Sağlıkta Yapay Zekâ Destekli Karar Destek Sistemleri: Hukuki Sorumluluk Kime Ait?

Radyoloji görüntülerini önceden tarayan, laboratuvar sonuçlarını yorumlayan, ilaç etkileşimi uyarısı üreten yazılımlar artık Türkiye'deki sağlık kuruluşlarının günlük işleyişinin parçası. Peki bu sistemlerden biri yanlış bir çıktı ürettiğinde ve hasta zarar gördüğünde hukuken kim sorumlu olur? Sorunun cevabı, sanıldığı kadar tek katmanlı değil.

Yapay zekâ hukuken nedir: cihaz mı, araç mı?

Tartışmanın başlangıç noktası, kullanılan yazılımın hukuki niteliğidir. Türkiye'de tıbbi cihazlar, Avrupa Birliği'nin 2017/745 sayılı Tıbbi Cihaz Tüzüğü ile uyumlaştırılan Tıbbi Cihaz Yönetmeliği kapsamında düzenlenmektedir. Yönetmelik, tıbbi cihaz tanımına yazılımları da açıkça dâhil eder.

Buradaki ayrım kritiktir. Hasta randevusu planlayan, faturalama yapan veya dosya arşivleyen bir yazılım tıbbi cihaz değildir. Buna karşılık teşhis, önleme, izleme, tahmin, prognoz veya tedavi amacıyla kullanılan bir yazılım tıbbi cihaz sayılır. Bir mamografi görüntüsünde şüpheli lezyon işaretleyen yapay zekâ modülü, sepsis riski skorlayan bir algoritma veya ilaç dozunu öneren bir sistem bu kategoriye girer.

Bu nitelendirmenin pratik sonucu ağırdır: yazılımın CE işareti taşıması, risk sınıfına uygun uygunluk değerlendirme prosedüründen geçmesi, klinik değerlendirme dosyasının bulunması ve piyasaya arz öncesi ilgili kayıt yükümlülüklerinin yerine getirilmesi gerekir. Bu adımlar tamamlanmadan kullanılan bir sistem, henüz hiçbir hata yapmamış olsa bile mevzuata aykırıdır.

Üç katmanlı sorumluluk: hekim, kuruluş, üretici

Hekimin sorumluluğu — kararın sahibi değişmedi

Türk hukukunda tababet icrası, 1219 sayılı Kanun uyarınca yalnızca yetkili hekimlerce yapılabilir. Bir algoritma hukuken hekim değildir, olamaz. Dolayısıyla yapay zekâ çıktısı hukuken bir karar değil, öneridir. Nihai teşhis ve tedavi kararının sorumluluğu, sistem ne kadar gelişmiş olursa olsun hekimin üzerindedir.

Burada iki yönlü bir risk doğar. Hekim, doğru bir yapay zekâ uyarısını gerekçesiz şekilde göz ardı ederse özen yükümlülüğünü ihlal etmiş olabilir. Aynı şekilde, hatalı bir çıktıyı kendi klinik muhakemesinden geçirmeden benimserse — literatürde otomasyon yanlılığı olarak adlandırılan durum — yine özen yükümlülüğü ihlali gündeme gelir. Yapay zekâ hekimin sorumluluğunu azaltmaz; değerlendirmesi gereken veri kümesini genişletir.

Sağlık kuruluşunun sorumluluğu — seçim, eğitim, denetim

Sağlık kuruluşu, hasta ile arasındaki ilişki çerçevesinde Türk Borçlar Kanunu m.112 uyarınca borca aykırılıktan, çalıştırdığı hekim ve personelin fiillerinden ise TBK m.66 uyarınca sorumlu tutulabilir. Yapay zekâ bağlamında bu sorumluluk üç somut başlıkta yoğunlaşır:

• Seçim: Mevzuata uygun, sertifikalı ve amaca elverişli bir sistemin tercih edilmesi.
• Eğitim: Sistemi kullanacak personelin, aracın sınırlarını ve hata modlarını bilecek şekilde eğitilmesi.
• Denetim: Sistemin performansının izlenmesi, sapmaların kayda geçirilmesi ve gerektiğinde kullanımın durdurulması.

Bu üç başlıkta yazılı bir prosedürü ve kaydı bulunmayan bir kuruluş, olası bir uyuşmazlıkta organizasyon kusuru iddiasıyla karşılaşma riski taşır.

Üretici ve geliştiricinin sorumluluğu

7223 sayılı Ürün Güvenliği ve Teknik Düzenlemeler Kanunu, güvenli olmayan bir ürünün piyasaya arz edilmesi hâlinde üreticiye sorumluluk yükler. Yazılımın tıbbi cihaz sayıldığı hâllerde bu rejim doğrudan uygulanır. Ayrıca ayıplı ürün hükümleri, sözleşmesel sorumluluk ve haksız fiil sorumluluğu da paralel olarak gündeme gelebilir.

Uygulamada üreticiler, lisans sözleşmelerine geniş sorumsuzluk kayıtları koyar. Ancak TBK m.115 uyarınca ağır kusur hâlinde sorumsuzluk anlaşması kesin olarak hükümsüzdür. Dahası, üretici sorumluluğu zarar gören hastaya karşı doğduğu ölçüde, hastane ile üretici arasındaki sözleşme hükmüyle bertaraf edilemez. Sözleşme yalnızca taraflar arasındaki rücu ilişkisini düzenler.

Bunun pratik sonucu şudur: hasta, zararının tazmini için doğrudan sağlık kuruluşuna başvurur; kuruluş tazminatı ödedikten sonra kusur oranında üreticiye rücu eder. Dolayısıyla tedarik sözleşmesinde rücu mekanizmasının açıkça düzenlenmiş olması, ürün sorumluluk sigortası bulunup bulunmadığının teyidi ve sigorta teminat limitlerinin bilinmesi, sözleşme müzakeresinin en kritik başlıklarıdır. Uygulamada bu başlıklar çoğunlukla fiyat ve entegrasyon tartışmalarının gölgesinde kalır; sorun çıktığında ise ilk bakılan yer burasıdır.

Senaryo bazlı sorumluluk matrisi

Uygulamada sorumluluk tek bir tarafta toplanmaz; olayın nedenine göre dağılır. Aşağıdaki tablo, sık karşılaşılan senaryolarda ağırlığın nereye kaydığını özetler.

Tablo bir kesinlik iddiası taşımaz; her olay kendi delil durumu içinde değerlendirilir. Ancak gösterdiği eğilim nettir: sorumluluğun nereye düşeceğini belirleyen şey çoğunlukla kayıtlardır. Hangi çıktının ne zaman üretildiği, hekimin bunu değerlendirip değerlendirmediği, performans sapmalarının izlenip izlenmediği — bunların kaydı yoksa, ispat yükü genellikle kuruluşun aleyhine işler.

Türk hukukunun ilk net konumu

Türkiye'de yapay zekânın klinik kullanımına ilişkin genel bir kanun henüz bulunmuyor. Ancak Tıbbi Laboratuvar Hizmetleri ve İleri Teknoloji Tıbbi Laboratuvar Uygulamaları Hakkında Yönetmelik (RG 24.10.2025, S. 33057), mevzuatın bu konudaki ilk açık konumunu ortaya koyması bakımından dikkat çekicidir.

Yönetmeliğin 11. maddesinin 15. fıkrası, laboratuvar süreçlerinde yapay zekâ tekniklerinin ve klinik karar destek sistemlerinin kullanımına açıkça yer verirken bunu üç sınırla birlikte yapmaktadır:

• Yapay zekâ teknikleri ve onay destek sistemleri yalnızca tıbbi laboratuvar uzmanlarının ve hekimlerin iş akışına destek amacıyla kullanılır.
• Klinik karar destek sistemi ve sonuç raporları hakkındaki nihai sorumluluk tıbbi laboratuvar uzmanına aittir.
• Algoritmaların laboratuvar içi validasyonunun yapılması ve yazılı hâle getirilmesi zorunludur.

İlk iki kural, yukarıda çizilen çerçevenin mevzuattaki birebir karşılığıdır: yapay zekâ araçtır, karar veren insandır, sorumluluk insandadır. Üçüncü kural ise pratikte en çok gözden kaçandır — üreticinin doğrulaması, kullanıcının doğrulamasının yerine geçmez. Bir algoritmanın CE işareti taşıması, o algoritmanın sizin hasta popülasyonunuzda, sizin cihazlarınızla, sizin ölçüm koşullarınızda beklendiği gibi çalıştığını göstermez. Yerinde validasyon ve bunun yazılı kaydı, hem mevzuat gereği hem de olası bir uyuşmazlıkta en güçlü savunma dayanağıdır.

Düzenleme doğrudan laboratuvarlara ilişkin olsa da, ortaya koyduğu yaklaşımın radyoloji, patoloji ve genel klinik karar destek alanlarında da referans alınması beklenebilir.

KVKK boyutu: model eğitimi ve özel nitelikli veri

Yapay zekâ tartışmasının çoğu zaman gözden kaçan ikinci ayağı veri korumadır. Sağlık verileri, 6698 sayılı Kanun'un 6. maddesi uyarınca özel nitelikli kişisel veri kategorisindedir ve işlenmesi ağırlaştırılmış şartlara tabidir. Kişisel Sağlık Verileri Hakkında Yönetmelik bu çerçeveyi ayrıntılandırır.

Kritik ayrım şudur: hastanın tedavisi amacıyla veri işlemek ile o veriyi bir modelin eğitiminde kullanmak farklı işleme amaçlarıdır. Tedavi amacıyla alınan onam veya dayanılan istisna, model eğitimini kapsamaz. İkinci amaç kendi hukuki dayanağını, kendi aydınlatma metnini ve kendi saklama süresini gerektirir.

Bulut tabanlı sistemlerde ayrıca yurt dışına veri aktarımı rejimi devreye girer. Yabancı sağlayıcının sunucusuna gönderilen her hasta verisi bir aktarımdır ve KVKK'nın aktarım hükümlerine uygun bir hukuki mekanizmaya dayanmalıdır. Sağlayıcının rolü de netleştirilmelidir: veri işleyen mi, yoksa kendi amaçları için de işlediği için bağımsız veri sorumlusu mu? Sözleşmedeki tek bir cümle, ihlal hâlinde sorumluluğun kimde olacağını değiştirebilir.

Aydınlatılmış onam: hastaya söylenmeli mi?

Hasta Hakları Yönetmeliği, hastanın tanı ve tedavi süreci hakkında bilgilendirilme hakkını düzenler. Yapay zekâ kullanımının bu kapsamda hastaya açıklanıp açıklanmayacağı ise henüz mevzuatta ayrıca düzenlenmiş değildir.

Değerlendirmede belirleyici ölçüt, sistemin karardaki ağırlığıdır. Arka planda çalışan bir görüntü ön işleme aracının hastaya ayrıca bildirilmesi beklenmez. Buna karşılık teşhisin veya tedavi seçiminin belirlenmesinde fiilen etkili olan bir sistem söz konusuysa, bunun aydınlatılmış onam kapsamında açıklanması hem hasta hakları hem de olası bir uyuşmazlıkta ispat açısından güvenli yaklaşımdır.

Sağlık kuruluşları için 8 maddelik uyum kontrolü

1. Envanter çıkarın. Kurumda fiilen kullanılan tüm yapay zekâ ve karar destek sistemlerini, hangi birimde ve hangi amaçla kullanıldığıyla birlikte listeleyin. Çoğu kuruluşta bu liste beklenenden uzundur.
2. Her sistemi sınıflandırın. Tıbbi cihaz mı, değil mi? Tıbbi cihazsa CE işareti, uygunluk belgesi ve kayıt durumu dosyada mevcut mu?
3. Sözleşmeleri gözden geçirin. Sorumluluk, güncelleme, performans garantisi ve rücu maddeleri var mı? Sorumsuzluk kayıtlarının sınırını bilin.
4. Veri işleme rollerini netleştirin. Sağlayıcı veri işleyen mi? Veri işleyen sözleşmesi imzalandı mı? Yurt dışı aktarım varsa dayanağı nedir?
5. Kullanım protokolü yazın. Sistemin hangi durumda kullanılacağı, çıktının nasıl değerlendirileceği ve hangi hâllerde göz ardı edilebileceği yazılı olmalı.
6. Eğitim kaydı tutun. Kimin, ne zaman, hangi sistem için eğitim aldığı belgelenmeli.
7. Performansı izleyin. Yanlış pozitif ve negatif oranlarını periyodik ölçün, sapmaları kayda geçirin ve eşik aşıldığında kullanımı durduracak bir prosedür tanımlayın.
8. Olay kayıt mekanizması kurun. Sistemden kaynaklanan her şüpheli olayın raporlanacağı bir kanal oluşturun. Bu kayıtlar, olası bir uyuşmazlıkta kuruluşun en güçlü savunma aracıdır.

Sonuç

Yapay zekâ sağlık hizmetinde sorumluluğu ortadan kaldırmıyor; dağıtıyor. Hekimin özen yükümlülüğü yerinde duruyor, sağlık kuruluşunun seçim ve denetim sorumluluğu yeni bir başlık kazanıyor, üretici ise ürün güvenliği rejimi altında tabloya ekleniyor.

Mevzuatın henüz bu teknolojiye özgü bütüncül bir çerçeve sunmadığı bir dönemde, sağlık kuruluşlarının en etkili korunma yöntemi belgelemedir. Hangi sistemin hangi amaçla, kimin onayıyla, hangi denetim altında kullanıldığı yazılı olarak kayıtlıysa, olası bir uyuşmazlıkta tartışma zemini kuruluşun lehine kurulur. Bu kayıt yoksa, tartışma varsayımlar üzerinden yürür.

Sıkça sorulan sorular