AB’deki kullanıcılara yazılım, SaaS ürünü, yapay zekâ özelliği, oyun ya da bağlantılı cihaz satan bir Türk şirketi, çok daha geniş bir kusursuz sorumluluk rejiminin içine giriyor. Ayıplı ürünlerden doğan sorumluluğa ilişkin (AB) 2024/2853 sayılı Direktif, 1985 tarihli Ürün Sorumluluğu Direktifi’nin yerini alıyor ve yazılımı ilk kez açıkça ürün sayıyor. Türk geliştiricinin AB’de çoğu zaman bir yerleşim yeri yoktur; ancak AB’deki ithalatçısı, yetkili temsilcisi ya da fulfilment ortağı oradadır ve bu şirketlerin riski sözleşmeyle Türkiye’ye geri taşımaya çalışması beklenir. Bu yazı Direktif’in kapsamını ve uygulanma tarihini, kimlere dava açılabileceğini, yazılım ve yapay zekâda ayıp ve ispat kurallarını, Türk hukukundaki karşılığını ve öncelikle neyin düzeltilmesi gerektiğini anlatıyor.
Ne değişiyor, ne zamandan itibaren
Direktif 18 Kasım 2024’te yayımlandı ve 8 Aralık 2024’te yürürlüğe girdi (m. 23). Üye devletler iç hukuk düzenlemelerini 9 Aralık 2026’ya kadar yürürlüğe koymak zorunda (m. 22/1). Yeni kurallar, 9 Aralık 2026’dan sonra piyasaya arz edilen veya hizmete sunulan ürünlere uygulanır (m. 2/1). 85/374/AET sayılı Direktif bu tarihten itibaren yürürlükten kalkar, ancak bu tarihten önce piyasaya arz edilen veya hizmete sunulan ürünler için uygulanmaya devam eder (m. 21). Direktif tam uyumlaştırma öngörür: üye devletler, Direktif izin vermedikçe daha sıkı ya da daha gevşek kurallar koyamaz (m. 3).
| Konu | 85/374/AET sayılı Direktif | (AB) 2024/2853 sayılı Direktif |
|---|---|---|
| Ürün | Taşınırlar ve elektrik | Yazılım ve dijital üretim dosyaları da dahil; bağlantılı dijital hizmetler bileşen sayılır (m. 4) |
| Zarar | Bedensel zarar; 500 ECU alt sınırının üzerindeki özel kullanım malları | Ruh sağlığı ve mesleki amaçla kullanılmayan veriler de eklenir; alt sınır yok (m. 6) |
| AB dışındaki imalatçı | İthalatçı üretici sayılır; üretici belirlenemezse tedarikçi sorumlu olur | İthalatçı, yetkili temsilci, fulfilment hizmet sağlayıcısı; ikincil olarak dağıtıcılar ve bazı platformlar (m. 8) |
| İspat | Zarar gören zararı, ayıbı ve illiyeti ispatlar | Mahkeme kararıyla delil ibrazı ve aksi ispatlanabilir karineler (m. 9 ve 10) |
Kasım 2026 itibarıyla Almanya iç hukuka aktarımı tamamlamış durumda: ürün sorumluluğu hukukunu modernleştiren kanun 8 Ekim 2026’da Federal Meclis’te (Bundestag) kabul edildi, Federal Konsey (Bundesrat) 16 Ekim 2026’da kanunu Arabuluculuk Komisyonu’na göndermeme kararı aldı ve kanun 27 Ekim 2026’da Federal Kanun Gazetesi’nde (BGBl. 2026 I Nr. 321) yayımlandı. Temel hükümler 9 Aralık 2026’da yürürlüğe giriyor. Diğer üye devletlerdeki durumun ülke bazında ayrıca kontrol edilmesi gerekir. Önerilen Yapay Zekâ Sorumluluk Direktifi (COM(2022) 496) ise artık gündemde değil: geri çekme bildirimi 6 Ekim 2025’te AB Resmî Gazetesi’nde yayımlandı. Önemli tarihleri yaklaşan yasal süreler sayfamızda takip edebilirsiniz.
Yazılım, SaaS, yapay zekâ ve açık kaynak
m. 4/1, ürün tanımına yazılımı açıkça dahil eder; 13 numaralı gerekçe de bunun yazılımın sunuluş biçiminden bağımsız olduğunu belirtir: cihazda saklanan, bulut üzerinden erişilen ya da hizmet olarak yazılım (SaaS) modeliyle sunulan yazılım fark etmez. Aynı gerekçeye göre Yapay Zekâ Tüzüğü anlamındaki yapay zekâ sistemi sağlayıcıları da imalatçı olarak kabul edilmelidir. Bilgi ise ürün değildir; medya dosyaları veya e-kitapların içeriği ve yazılımın salt kaynak kodu kapsam dışındadır.
- Bağlantılı hizmetler. Ürünün işlevlerinden birini yerine getirmesi için gerekli olan dijital hizmet, örneğin akıllı bir buzdolabının sıcaklığını izleyip ayarlayan hizmet veya sesli asistan hizmeti, bileşen sayılır (m. 4/3 ve 4/4); 17 numaralı gerekçe bunu imalatçının kontrolü altındaki hizmetlerle sınırlar. İnternet erişim hizmetleri bağlantılı hizmet sayılmaz (gerekçe 17).
- Açık kaynak. Ticari faaliyet dışında geliştirilen veya sunulan özgür ve açık kaynaklı yazılım kapsam dışıdır (m. 2/2). Bir bedel karşılığında ya da yalnızca güvenlik, uyumluluk veya birlikte çalışabilirlik dışındaki amaçlarla kullanılan kişisel veriler karşılığında sunulan yazılım ticari sayılır (gerekçe 14). Ticari olmayan açık kaynak kodu kendi ürününe entegre eden imalatçı o koddaki ayıptan sorumlu tutulabilir; açık kaynak yazılımın geliştiricisi ise sorumlu tutulmaz (gerekçe 15).
- Küçük yazılım tedarikçileri. Yazılım bileşenini ürününe entegre eden imalatçı, sözleşmeyle rücu hakkından feragat etmişse, bileşeni piyasaya arz ettiği tarihte mikro veya küçük ölçekli işletme olan ayıplı yazılım bileşeni imalatçısına rücu edemez (m. 12/2). 2003/361/AT sayılı Komisyon Tavsiyesi’ne göre küçük işletme, ortak ve bağlı işletmelerle birlikte değerlendirildiğinde 50’den az çalışanı ve en fazla 10 milyon avro yıllık ciro veya bilanço toplamı olan işletmedir. Kanaatimizce küçük bir Türk SDK veya modül tedarikçisinin bu feragati talep etmesi yerinde olur.
İmalatçı Türkiye’deyse kim sorumlu
Ayıplı ürünün imalatçısı ve imalatçının kontrolü altında ürüne entegre edilen ayıplı bileşenin imalatçısı sorumludur (m. 8/1-a ve b). İmalatçı AB dışında yerleşikse, onun sorumluluğu saklı kalmak üzere zarar gören ithalatçıya, yetkili temsilciye ve AB’de ikisi de yoksa fulfilment hizmet sağlayıcısına da başvurabilir. Fulfilment hizmet sağlayıcısı, ürünün mülkiyetine sahip olmaksızın depolama, paketleme, adresleme ve gönderim hizmetlerinden en az ikisini sunan kişidir; posta, kargo ve yük taşımacılığı hizmetleri hariçtir (m. 8/1-c ve m. 4/13).
AB’de yerleşik sorumlu bir iktisadi işletmeci belirlenemezse, zarar görenin talebinden itibaren bir ay içinde böyle bir işletmeciyi ya da ürünü kendisine tedarik edeni bildirmeyen dağıtıcı sorumlu olur (m. 8/3). Aynı kural, kendisi iktisadi işletmeci olmayan ve Dijital Hizmetler Tüzüğü m. 6/3’teki koşulların gerçekleştiği çevrim içi pazar yerleri için de geçerlidir (m. 8/4). Sorumlular müteselsilen sorumludur (m. 12/1); ödeme yapan, iç hukuka göre diğerlerine rücu edebilir (m. 14).
Kanaatimizce uygulamasını veya oyununu doğrudan bir uygulama mağazası üzerinden satan geliştiricinin AB’de bir ithalatçısı veya yetkili temsilcisi bulunmayabilir; bu durumda talep doğrudan Türk imalatçıya yönelebilir. Sözleşme zincirindeki dağılımı şirket, tedarikçi ve model sağlayıcı arasında yapay zekâ sorumluluğunun dağılımı yazımızda ele aldık.
Ayıp, güncellemeler ve destek sonu
Bir ürün, kişinin haklı olarak beklediği veya AB ya da ulusal hukukun öngördüğü güvenliği sağlamıyorsa ayıplıdır (m. 7/1). m. 7/2’de sayılan durumlar arasında ürünün piyasaya arzdan sonra öğrenmeye devam etme yeteneğinin etkisi, ürünün imalatçının kontrolünden çıktığı an ve güvenlikle ilgili siber güvenlik gereklilikleri de vardır; 32 numaralı gerekçe, bir güvenlik açığının ürünü ayıplı hâle getirebileceğini teyit eder. Daha iyi bir sürümün veya güncellemenin sonradan piyasaya çıkması tek başına önceki ürünü ayıplı yapmaz (m. 7/3).
Ayıbın muhtemelen piyasaya arzdan sonra ortaya çıktığı savunması (m. 11/1-c), ayıp imalatçının kontrolü altındaki bir bağlantılı hizmetten, güncellemeler dahil yazılımdan, güvenliğin sürdürülmesi için gerekli güncellemelerin sağlanmamasından ya da esaslı bir değişiklikten kaynaklanıyorsa kullanılamaz (m. 11/2). Kontrol kavramı, güncellemeleri doğrudan veya üçüncü kişi aracılığıyla sağlayabilme imkânını da kapsar (m. 4/5-b). Direktif güncelleme sağlama yükümlülüğü getirmez (gerekçe 51); ancak güvenlik açığını kapatabilecekken kapatmayan imalatçı, ayıbın piyasaya arzdan sonra doğduğu savunmasını kaybedebilir. Kanaatimizce ölçüt taahhüt değil imkân olduğundan, destek sonu duyurusu tek başına kontrolü sona erdirmeyebilir; bu nokta henüz yargı kararlarıyla netleşmedi. Kendisine sağlanan güncellemeyi kusuruyla yüklemeyen kullanıcının tazminatı indirilebilir (m. 13/2; gerekçe 55); buna karşılık üçüncü bir kişinin güvenlik açığını istismar etmesi, imalatçının zarar görene karşı sorumluluğunu azaltmaz (m. 13/1; gerekçe 55).
Geliştirme riski savunması korunuyor (m. 11/1-e); üye devletler mevcut istisnalarını koruyabilir, yeni istisnaları ise yalnızca belirli ürün kategorileri için getirebilir (m. 18). Yazılım güncellemesi veya yapay zekâ sisteminin sürekli öğrenmesi yoluyla yapılan esaslı değişiklik (gerekçe 40), 10 yıllık hak düşürücü süreyi yeniden başlatır (m. 17/1-b). Olay anında yapılacakları yapay zekâ olay müdahalesi ve sorumluluk yazımızda, güvenlik yükümlülüklerini ise AB Siber Dayanıklılık Tüzüğü yazımızda anlattık.
Neler talep edilebilir, ispat nasıl işler
Tazminat hakkı gerçek kişilere aittir; ancak sigortacı gibi zarar görenin haklarına halef olan kişiler de talepte bulunabilir (m. 5). Tazmin edilen zararlar şunlardır: tıbben tanınmış ruh sağlığı zararı dahil ölüm veya bedensel zarar; ayıplı ürünün kendisi ve yalnızca mesleki amaçla kullanılan mallar dışındaki mallara gelen zarar; mesleki amaçla kullanılmayan verilerin yok olması veya bozulması (m. 6/1). Kısmen de olsa mesleki amaçla kullanılan veriler kapsam dışıdır (gerekçe 22); bu nedenle kanaatimizce saf B2B SaaS ürünlerinin riski, tüketiciye yönelik uygulama ve oyunlara göre daha dardır, ancak bedensel zarar talepleri yine mümkündür. Sorumluluk, zarar görene karşı sözleşmeyle veya ulusal hukukla sınırlanamaz ya da kaldırılamaz (m. 15); 56 numaralı gerekçe, ulusal hukukla azami tutar sınırı da konulamayacağını belirtir.
Ayıbı, zararı ve illiyet bağını davacı ispatlar (m. 10/1); ancak talebinin inandırıcılığını destekleyecek yeterli olgu ve delil sunan davacının isteği üzerine mahkeme, davalının elindeki ilgili delilleri ibraz etmesine karar verebilir (m. 9/1) ve ticari sırları korumak için önlem alabilir (m. 9/4 ve 9/5). Davalının delil ibraz etmemesi, ürünün zorunlu güvenlik gerekliliklerine aykırı olması veya olağan kullanımda açık bir arıza hâlinde ayıp karine olarak kabul edilir (m. 10/2). Ayıp ispatlanmışsa ve zarar, ayıpla tipik olarak bağdaşan türdense illiyet bağı karine olarak kabul edilir (m. 10/3). Teknik veya bilimsel karmaşıklık ispatı aşırı zorlaştırıyorsa ve davacı olasılığı gösterirse, mahkeme ayıbı, illiyeti ya da her ikisini karine olarak kabul eder (m. 10/4). Tüm karinelerin aksi ispatlanabilir (m. 10/5); uygulamada bunun için başvurulacak başlıca malzeme imalatçının kendi belgeleri ve kayıtlarıdır. Zarar gören, zararı, ayıbı ve sorumlu işletmeciyi öğrendiği veya makul olarak öğrenmesi gerektiği tarihten itibaren üç yıl içinde dava açmalıdır (m. 16/1); dava açılmadıkça hak, ürünün piyasaya arz edildiği veya hizmete sunulduğu tarihten itibaren 10 yıl, bedensel zararın geç ortaya çıkması nedeniyle bu süre içinde dava açılamamışsa 25 yıl geçmekle düşer (m. 17).
Türk hukukundaki karşılık: 7223 sayılı Kanun
Türk hukukunda ürün sorumluluğu, 7223 sayılı Ürün Güvenliği ve Teknik Düzenlemeler Kanunu’nda (Resmî Gazete 12 Mart 2020, sayı 31066) düzenlenmiştir. Kanun’un 6. maddesine göre ürünün bir kişiye veya mala verdiği zararı imalatçı veya ithalatçı giderir; zarar gören, uğradığı zararı ve uygunsuzluk ile zarar arasındaki nedensellik bağını ispat etmelidir; birden fazla imalatçı veya ithalatçı sorumluysa bunlar müteselsilen sorumludur; bu sorumluluğu kaldıran veya azaltan sözleşme hükümleri hükümsüzdür; tazminat talebi, zarar görenin zararı ve tazminat yükümlüsünü öğrendiği tarihten itibaren üç yıl ve her hâlde zararın doğduğu tarihten itibaren on yıl içinde zamanaşımına uğrar. Uygunsuzluk, ürünün ilgili teknik düzenlemeye veya genel ürün güvenliği mevzuatına uygun olmaması hâlidir (m. 3); bu, Direktif’teki beklentiye dayalı ayıp ölçütünden farklıdır. Kanun’un 2/2 maddesi, AB üyesi ülkelere ihraç edilen veya ihraç edilmesi hedeflenen ürünleri de Kanun kapsamında piyasaya arz edilmiş sayar. Kanun’un 3. maddesi ürünü her türlü madde, müstahzar veya eşya olarak tanımlar ve yazılımdan söz etmez; kanaatimizce bağımsız yazılımın veya SaaS’ın kapsamda olup olmadığı henüz netlik kazanmamıştır.
AB’deki ortaklarınız ne isteyecek, nereden başlamalı
AB’deki ithalatçıların, temsilcilerin ve entegratörlerin risklerini Türkiye’ye geri taşımaya çalışması beklenir: kimi zaman üst sınırı olmayan tazmin yükümlülükleri, rücu hakları, asgari sigorta, güncelleme taahhütleri ve kayıtlara erişim. Bir poliçenin bu talepleri gerçekten karşılayıp karşılamadığını yapay zekâ sigortası ve ürün sorumluluğu teminatı yazımızda anlattık.
- 9 Aralık 2026’dan sonra AB pazarına ne arz edeceğinizi ve bunu kimin üzerinden yapacağınızı çıkarın.
- Gerçekten sağlayabileceğiniz bir güvenlik güncellemesi süresi ve destek sonu politikası belirleyin; sözleşmeleri ve kullanıcı bildirimlerini buna uyumlayın.
- Tasarım dosyalarını, risk değerlendirmelerini, test sonuçlarını, güncelleme kayıtlarını ve model değişiklik kayıtlarını m. 9 kapsamındaki ibraz taleplerine hazır tutun.
- Büyük güncellemeleri ve modelin yeniden eğitilmesini olası esaslı değişiklik olarak değerlendirin ve her değerlendirmeyi belgeleyin.
- Tazmin üst sınırını, taleplerin yönetimini ve rücu koşullarını müzakere edin; küçük bir yazılım tedarikçisiyseniz m. 12/2 feragatini isteyin.
- Sigortanızın yalnızca yazılımdan oluşan ürünler dahil AB’deki ürün sorumluluğu taleplerini karşıladığını teyit edin.
Sık sorulan sorular
AB’de ofisi olmayan bir Türk şirketiyiz. AB’deki bir tüketici bize doğrudan dava açabilir mi?
Direktif bakımından evet. İmalatçı nerede yerleşik olursa olsun sorumludur (m. 8/1). Direktif, zarar görenin AB’de muhatap bulabilmesi için ithalatçı, yetkili temsilci ve fulfilment hizmet sağlayıcısı gibi AB’de yerleşik davalılar ekler; tazminat ödeyen bu şirketlerin iç hukuk ve aranızdaki sözleşme çerçevesinde size rücu etmesi beklenir. Hangi mahkemenin yetkili olduğu ve kararın Türkiye’de tenfiz edilip edilemeyeceği ise ayrı sorulardır.
Kullanım şartlarımızla bu taleplerde sorumluluğu sınırlayabilir miyiz?
Zarar görene karşı hayır. m. 15, Direktif’ten doğan sorumluluğun sözleşmeyle veya ulusal hukukla sınırlanmasını ya da kaldırılmasını engeller; 56 numaralı gerekçe de ulusal hukukla azami tutar sınırı konulamayacağını belirtir. Üst sınırlar, tazmin hükümleri ve rücu maddeleri ise maliyeti tedarik zincirindeki şirketler arasında paylaştırır; bu nedenle müzakere edilmeye değer.
Bir güvenlik yamasını yayımlamazsak sorumlu olur muyuz?
Olabilirsiniz. Ürün kontrolünüz altındayken güvenliğin sürdürülmesi için gerekli güncellemelerin sağlanmaması, ayıbın piyasaya arzdan sonra doğduğu savunmasını ortadan kaldırır (m. 11/2-c). Direktif güncelleme yükümlülüğü getirmez; ancak kapatabileceğiniz hâlde kapatmadığınız bir açık, ayıp tespitini destekleyebilir. Buna karşılık, sağladığınız güncellemeyi yüklemeyen kullanıcının tazminatı indirilebilir.
Kaynaklar. (AB) 2024/2853 sayılı Direktif (AB Resmî Gazetesi L serisi, 18.11.2024), m. 1 ila 18 ve 21 ila 23, gerekçe 13 ila 15, 17, 22, 32, 40, 51, 55 ve 56; 85/374/AET sayılı Konsey Direktifi, m. 2, 3, 4 ve 9; 2003/361/AT sayılı Komisyon Tavsiyesi, Ek, m. 2; Komisyon önerilerinin geri çekilmesi (C/2025/5423, 6.10.2025); Avrupa Komisyonu, Liability for defective products; Alman Federal Meclisi (8 Ekim 2026); Federal Konsey, 584/26 sayılı karar, 16 Ekim 2026; BGBl. 2026 I Nr. 321 (27 Ekim 2026); 7223 sayılı Ürün Güvenliği ve Teknik Düzenlemeler Kanunu (Resmî Gazete 12 Mart 2020, sayı 31066), m. 2, 3 ve 6.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş niteliği taşımaz; somut durumunuz için danışmanlık alınız.
Yazar
Daha fazla Vircon İçgörüleri
PSD3 ve PSR: AB Ödeme Reformu Türk Ödeme ve Elektronik Para Kuruluşları İçin Ne Anlama Geliyor?
19 Ekim 2026AB Yapay Zekâ Tüzüğü Türk Hukukunda: Sağlayıcı ve Deployer İçin Terim ve Yükümlülük Karşılıkları Tablosu
11 Ekim 2026PSD2'den Sonra Açık Finans: AB FiDA Teklifi Nerede ve Türkiye İçin Ne Anlama Geliyor? (2026)
2 Kasım 2026KYC, AML ve Kredi Operasyonunda Yapay Zekâ: Türk ve AB Kurallarına Göre Sorumluluk Kimde? (Ekim 2026)
30 Ekim 2026Stablecoin, Tokenize Mevduat ve Toptan Dijital Para: Türk Şirketleri İçin Hukuki Durum (Ekim 2026)
21 Ekim 2026AB Siber Dayanıklılık Tüzüğü (CRA): 11 Eylül 2026'dan Beri 24 Saatte Bildirim. Türk Yazılım ve Cihaz Üreticileri Ne Yapmalı?
13 Ekim 2026İlgili Hizmet Alanlarımız
Bilişim Hukuku
SaaS, yazılım lisansı, bulut hizmetleri ve BT sözleşmeleri.
Hizmet sayfası →Birleşme ve Devralmalar
M&A danışmanlığı: due diligence, yapılandırma, dokümantasyon, müzakere.
Hizmet sayfası →Oyun ve Espor Hukuku
Stüdyo yatırım turları, mülkiyet zinciri, yayıncı ve platform sözleşmeleri, espor.
Hizmet sayfası →