17 Eylül 2026'da Avrupa Komisyonu, EU KIDS Act önerisini kabul etti. Kısaca: AB'deki bir reşit olmayanın kullanabileceği her dijital hizmet — bir sosyal ağ, bir video platformu, bir oyun, bir uygulama mağazası ya da bir yapay zekâ sohbet botu — bir şikâyet beklemek yerine tasarım gereği güvenli olduğunu kanıtlamak zorunda. 13 yaş altında hiçbir bağımsız hesap yok. 13 ile 14 yaş arasında ebeveyn denetimi altında gözetimli bir mini hesap. Bağımsız hesaplar 15 yaşında başlıyor. Yapay zekâ sohbet botları ve yapay zekâ arkadaşları reşit olmayanlar için varsayılan olarak kapalı. Uyumsuzluk, toplam yıllık dünya çapındaki cironun %6'sına kadar para cezası getiriyor.

Öneri henüz yasa değil — hâlâ Avrupa Parlamentosu ve üye devletlerle müzakere edilmesi gerekiyor. Ancak düzenlemenin yönü, bugün ürününüzde aldığınız teknik kararları etkileyecek kadar netleşmiş durumda.

Kuralda gerçekte ne değişti

Önceki kurallar tek bir soru soruyordu: zararlı içerik bildirildikten sonra onu kaldırdınız mı? KIDS Act bunu tersine çeviriyor ve bunun yerine şunu soruyor: hizmeti, kullanmak için fazla genç olan birinin hiç içeri giremeyeceği şekilde tasarladınız mı? Komisyonun kendi ifadesiyle öneri, ispat yükünü tersine çeviriyor ve hizmet sağlayıcının üzerine koyuyor.

Kapsam, çoğu insanın sandığından daha geniş. Mesele yalnızca büyük sosyal platformlar değil. Kanıtlanmış riskli özelliklere sahip oyunları, uygulama mağazalarını ve video paylaşım hizmetlerini kapsıyor ve yapay zekâ sohbet botlarını ve yapay zekâ arkadaşlarını açıkça kapsıyor. Başka bir deyişle: ürününüzde kullanıcıyla konuşan bir asistan varsa, sosyal medya şirketi olmasanız bile kapsam içindesiniz.

Yapay zekâ asistanı ekleyen herkes için önemli olan madde

Son iki yılda mağazasına ya da uygulamasına bir sohbet botu ekleyen her işletme için en önemli kısım bu. Öneri, yapay zekâ arkadaşlarının duygusal bağımlılık yaratması muhtemel şekillerde insan ilişkilerini taklit etmemesini şart koşuyor. Pratikte bu, farklı bir varsayılan davranış anlamına geliyor: konuşmalar varsayılan olarak oturumlar arasında hafıza taşımıyor ve 13 yaş altındakilerin erişimi yalnızca ebeveyn denetimi üzerinden işliyor.

Ayrıca arayüzle hiçbir ilgisi olmayan bir yükümlülük de ekliyor: sohbet botları lansmandan önce çocuk güvenliği riskleri açısından test edilmeli ve sonrasında izlenmeli. İncelenebilir bir konuşma kaydı ve nasıl davrandığını ölçmenin bir yolu olmadan yapay zekâ asistanı çalıştıran herkes, kendisinden istendiğinde hiçbir şeyi kanıtlayamadığını görecek.

Yaş güvencesi kimlik fotoğrafı toplamak demek değil

En yaygın yanlış anlama, yaş doğrulamanın kullanıcılardan kimlik belgesi toplamak anlamına geldiğidir — ki bu kendi veritabanınıza yapabileceğiniz en kötü şeydir. Komisyonun metni tam ters yöne gidiyor: doğrulama, ücretsiz bir AB yaş doğrulama uygulaması ve Avrupa Dijital Kimlik Cüzdanı dahil olmak üzere platformlardan bağımsız sertifikalı çözümler üzerinden yapılıyor ve sıfır bilgi ispatı teknolojisi kullanıyor; böylece platform, kullanıcının kim olduğunu ya da nerede olduğunu öğrenmeden bir yaş eşiği hakkında evet ya da hayır yanıtı alıyor.

Bu tasarım, Avrupa'nın çok ötesinde de kopyalanmaya değer. Genel ilke şu: ihtiyacınız olan yanıtı alın, onu üreten veriyi değil. Kararınız izin vermek ya da reddetmekse, tek bir boolean değere ihtiyacınız var — sonsuza dek güvenlik sorumluluğunuz hâline gelen, doğum tarihi ve kimlik numarası tutan bir kayda değil.

Pek çok kişinin gözden kaçıracağı operasyonel bir ayrıntı var: mevcut hesaplar. Öneri, sağlayıcıların kurallar yürürlüğe girdikten sonra altı ay içinde mevcut reşit olmayan hesaplarını devre dışı bırakmasını şart koşuyor. Yani iş yeni bir kayıt ekranıyla sınırlı değil; mevcut kullanıcı tabanınıza ve onun hakkında gerçekte ne bildiğinize kadar uzanıyor.

Eskiden büyüme zekâsı sayılan, artık ihlal olan tasarım kalıpları

Önerinin büyük bir kısmı içerikle hiç ilgili değil; oturumu uzatmak için kurulmuş arayüz mekanikleriyle ilgili. Reşit olmayanlar için yasaklar listesi şunları içeriyor:

  • Gerçek bir mola olmadan sonsuz otomatik oynatma ve sonsuz kaydırma.
  • Kullanıcıyı geri çekmek için tasarlanmış, kullanıcının gerçekte yaptığı hiçbir şeyle ilgisi olmayan bildirimler.
  • Kitlesel izleyicilere paylaşım yapmanın ödüllendirilmesi.
  • Bir günü kaçıran kullanıcıyı cezalandıran seri mekanikleri.
  • Takibe dayalı öneri akışları, yabancılardan gelen mesajlar ve varsayılan olarak herkese açık profiller.

Sosyal olmayan ürünler için çıkarılacak ders: aynı kalıplar pek çok sadakat uygulamasının, mağazanın ve eğitim uygulamasının içinde yaşıyor. Büyüme modelinizin bir kısmı günlük bir seriye ve akşam bildirimlerine dayanıyorsa, bu modelin artan bir düzenleyici baskı altında olduğunu anlayın — ve yalnızca Avrupa'da değil.

Bir Suudi işletmesi olarak bu size ulaşıyor mu

Üç net durumda. Birincisi, AB içinde kullanıcılarınız varsa: Avrupa kuralları şirketin merkezini değil kullanıcıyı takip eder ve her iki mağazada küresel olarak yayımlanan bir Suudi oyunu ya da eğitim uygulaması bu kapsama girer. İkincisi, bir Avrupa kuruluşunun tedarikçisiyseniz; bu durumda yükümlülük size sözleşme ve denetim gereklilikleri aracılığıyla ulaşır. Üçüncüsü ve pratikte en sık can yakanı: iki uygulama mağazası bu tür kuralları yayın koşullarına çeviriyor. Avrupa düzenlemesi olarak başlayan şey genellikle App Store ve Google Play incelemesinde herkese uygulanan bir maddeye dönüşüyor.

Yerel olarak, Suudi Arabistan'ın Kişisel Verilerin Korunması Kanunu (PDPL) tam fiil ehliyetine sahip olmayan kişilerin verilerini zaten ele alıyor, bu durumlarda veli onayı istiyor ve sizi veri minimizasyonuna bağlıyor. Fark şu ki Avrupa önerisi, veri koruma katmanının üzerine bir ürün tasarımı katmanı ekliyor. İyi haber şu: birine hazırlanmak, neredeyse diğerine hazırlanmak demek.

Teknik ekibiniz bu çeyrekte ne yapmalı

Şu anda büyük bir uyum programına ihtiyacınız yok — birkaç haftaya sığan dört adım yeterli:

  • Yaşları bilin. Sisteminiz hangi kullanıcıların reşit olmayabileceğini bile biliyor mu? Çoğu ürün buna yanıt veremiyor ve ilk açık bu.
  • Kodda reşit olmayan ayarlarını yetişkin ayarlarından ayırın. Bunu arayüze dağılmış bir koşul değil, izin katmanında açılıp kapatılabilen bir işaret yapın.
  • Varsayılanları düzeltin. Yapay zekâ asistanı kapalı, profil gizli, yabancılardan mesaj yok, gece bildirimi yok. Bir varsayılanı değiştirmek, bir özelliği sonradan yeniden inşa etmekten çok daha ucuz.
  • Testleri belgeleyin. Bir sohbet botu çalıştırıyorsanız her sürüm için bir güvenlik testi kaydı tutun. Belgenin kendisi sizin kanıtınızdır.

Origami'de uyduğumuz kural basit: kullanıcısının yaşını bilmeyen bir tasarım onu koruyamaz, sizi de koruyamaz. Yukarıdakilerin tamamı, düzgün inşa edilmiş herhangi bir üründe yeniden yazmaya gerek kalmadan uygulanabilir.

Kaynaklar