Comprendre la réglementation de l'IA en Turquie pour les entreprises et les particuliers

En 2026, la Turquie ne dispose toujours d'aucune loi unique et spécifiquement dédiée à l'intelligence artificielle. L'IA est plutôt encadrée par des lois existantes, dont la plus importante est la loi n° 6698 sur la protection des données personnelles (KVKKKVKKLoi n° 6698 sur la protection des données personnellesLa loi turque sur la protection des données — collecte, conservation et transfert des données personnelles, et l'autorité qui les fait respecter.Lexique →), qui s'applique à presque tout système d'IA traitant des données personnelles. Si vous vendez vers l'Union européenne, le règlement IA de l'UE peut également vous lier depuis la Turquie. Ce guide explique le cadre actuel, les changements récents de 2024 et 2025 que vous avez peut-être manqués, ainsi que les démarches pratiques que les entreprises et particuliers étrangers devraient entreprendre dès maintenant.

Existe-t-il une loi sur l'IA en Turquie en 2026 ?

En 2026, la Turquie ne dispose d'aucune loi unique et complète sur l'intelligence artificielle. Il n'existe aucun équivalent turc en vigueur du règlement IA de l'Union européenne. L'IA est plutôt encadrée indirectement par des lois qui existent déjà en matière de protection des données, de contrats, de responsabilité délictuelle, de propriété intellectuelle, de protection des consommateurs et de comportements pénalement répréhensibles, chacune appliquée à l'IA au cas par cas.

Cela ne signifie pas que l'IA n'est pas réglementée. Une entreprise qui déploie un système d'IA en Turquie doit se conformer à chaque loi générale que ce système met en jeu. Pour une entreprise étrangère, le point pratique est simple : « pas de loi sur l'IA » ne veut pas dire « pas d'obligations ». Les obligations se trouvent au sein d'autres textes, et plusieurs d'entre eux ont changé de manière significative en 2024 et 2025.

Comme le paysage évolue rapidement, tout déploiement d'IA devrait être confronté au droit en vigueur le jour de son lancement. Notre équipe technologie, IA et cybersécurité peut confirmer la manière dont ces règles s'appliquent à votre cas d'usage précis.

L'orientation de la politique turque en matière d'IA après 2025

Il n'existe pas encore de code contraignant sur l'IA, mais la Turquie a fixé une orientation politique claire, qui a été actualisée à l'expiration de la première période stratégique.

• La stratégie nationale d'intelligence artificielle 2021-2025 est désormais arrivée à son terme. Coordonnée par le Bureau de la transformation numérique de la Présidence et le ministère de l'Industrie et de la Technologie, elle posait des principes centrés sur l'humain, dignes de confiance et éthiques, largement alignés sur les normes internationales en matière d'IA.
• Un plan d'action actualisé a été publié pour prolonger la stratégie, attribuant des dizaines d'actions prioritaires à différents ministères, notamment le développement de grands modèles de langage turcs, l'élaboration d'une législation nationale sur l'IA, la clarification des droits de propriété intellectuelle sur les contenus générés par l'IA, ainsi que l'investissement dans les centres de données et le calcul haute performance.
• Une feuille de route plus récente met désormais l'accent sur la souveraineté numérique et la souveraineté des données, en maintenant les infrastructures et les données d'IA critiques sous juridiction nationale, et en préparant les systèmes de nouvelle génération tels que l'IA agentique.

Rien de tout cela n'a force de loi. Mais cela indique la direction que prend la Turquie, et cette orientation suit le modèle de l'UE d'assez près pour qu'il soit raisonnable, pour tout produit destiné au marché turc, de le concevoir selon une transparence et des contrôles des risques de type européen.

Protection des données : le véritable corpus de règles pour l'IA

Pour la plupart des systèmes d'IA en Turquie, la loi la plus pertinente est, à elle seule, la loi n° 6698 sur la protection des données personnelles (KVKK). Elle s'applique dès lors qu'un système d'IA traite des données personnelles, ce qui couvre l'immense majorité des déploiements réels : agents conversationnels, outils CRM et RH, moteurs de recommandation, reconnaissance faciale et bien d'autres.

Obligations essentielles au titre de la loi n° 6698

• Une base légale pour le traitement. Vous avez besoin d'un consentement explicite ou de l'un des autres fondements juridiques prévus par la loi (article 5 pour les données ordinaires, article 6 pour les catégories particulières). La loi n° 7499 (en vigueur le 1er juin 2024) a élargi les bases légales applicables aux données de catégorie particulière, de sorte que le consentement explicite n'est plus la seule voie pratique pour les données sensibles.
• Limitation des finalités et minimisation des données. Ne traitez les données que pour des finalités déterminées et légitimes.
• Transparence. Les personnes concernées doivent être informées de la manière dont leurs données sont utilisées, y compris dans le cadre de décisions automatisées et de profilage.
• Sécurité des données. Des mesures techniques et organisationnelles appropriées doivent protéger les données.

Décisions automatisées et profilage

L'IA qui note, classe ou filtre des personnes, par exemple pour présélectionner des candidats à un emploi ou évaluer la solvabilité, soulève une préoccupation spécifique au regard de la KVKK concernant les décisions automatisées et le profilage. Les personnes concernées doivent être informées, le traitement doit reposer sur une base légale, et vous devez être en mesure d'en expliquer la logique. Ces mêmes cas d'usage constituent aussi des déclencheurs classiques de « haut risque » au titre du règlement IA de l'UE : un seul outil de recrutement peut ainsi attirer l'attention sous les deux régimes à la fois.

Transferts transfrontaliers de données : ce qui a changé en 2024

Le changement récent le plus important pour les entreprises étrangères concerne le régime des transferts transfrontaliers. Le fait d'alimenter en données personnelles un outil d'IA, un modèle dans le cloud ou un service hébergé à l'étranger constitue un transfert transfrontalier au sens de la KVKK, et les règles ont été refondues par la loi n° 7499, qui a modifié l'article 9 (publiée le 12 mars 2024, en vigueur le 1er juin 2024). Le règlement sur les transferts a suivi le 10 juillet 2024.

L'ancien modèle fondé par défaut sur le consentement a disparu. Il existe désormais un cadre à trois niveaux :

• Décisions d'adéquation. Transferts vers des pays ou des secteurs que le Conseil de protection des données personnelles a jugés adéquats. Ces décisions sont réévaluées au moins tous les quatre ans.
• Garanties appropriées. En l'absence de décision d'adéquation, vous pouvez vous appuyer sur des garanties telles que des clauses contractuelles types (CCT) publiées par le Conseil, des règles d'entreprise contraignantes pour les transferts intragroupe, ou des engagements écrits approuvés par le Conseil.
• Exceptions occasionnelles et ponctuelles. Un ensemble restreint de situations isolées, comme le consentement explicite au transfert spécifique ou les transferts nécessaires à l'exécution d'un contrat.

Pour les groupes transfrontaliers qui utilisent une plateforme d'IA commune, cela revient souvent à choisir entre des règles d'entreprise contraignantes et des CCT, puis à les documenter et à les notifier correctement. Nous aidons les groupes transfrontaliers et la structuration d'entreprise à choisir le bon mécanisme de transfert dès la première fois, et vous pouvez en savoir plus dans notre guide sur le RGPD et la conformité turque en matière de protection des données.

Le guide KVKK sur l'IA générative (24 novembre 2025)

Le 24 novembre 2025, l'Autorité de protection des données personnelles a publié son guide sur l'intelligence artificielle générative et la protection des données personnelles (en 15 questions). Il s'appuie sur les recommandations antérieures de l'Autorité de 2021 relatives à l'IA et aux données personnelles, et constitue désormais le signal officiel le plus clair de la manière dont le régulateur attend que l'IA générative et les grands modèles de langage soient traités.

Le guide n'est pas une loi, mais il fixe les attentes du régulateur sur l'ensemble du cycle de vie de l'IA, notamment :

• Une base légale à chaque étape. La collecte de données d'entraînement, l'entraînement et l'affinage d'un modèle, ainsi que sa mise à disposition des utilisateurs sont traités comme des activités de traitement distinctes, chacune nécessitant sa propre base légale au titre de la loi n° 6698.
• Des durées de conservation justifiables. Les jeux de données d'entraînement ne devraient pas être conservés indéfiniment ; la conservation doit être limitée et justifiable.
• Transparence et droits des personnes concernées. Les individus conservent des droits à l'égard des systèmes construits à partir de leurs données, et vous devez être en mesure d'y répondre.
• Exactitude et hallucinations. Un résultat d'IA inexact à propos d'une personne réelle est traité comme un problème d'exactitude des données, et non comme une simple bizarrerie technique.

Pour les entreprises étrangères, l'écueil le plus fréquent reste le même : transférer des données de clients ou de salariés vers un outil d'IA à l'étranger sans avoir d'abord réglé la question de la base légale et des règles de transfert transfrontalier exposées ci-dessus.

Est-il légal d'utiliser ChatGPT ou l'IA générative à des fins professionnelles en Turquie ?

Oui, l'utilisation de ChatGPT ou d'un autre outil d'IA générative à des fins professionnelles n'est pas interdite en Turquie. Ce qui compte, c'est quelles données vous y introduisez et où vont ces données. Trois questions déterminent si votre usage est conforme :

• Saisissez-vous des données personnelles ? Si vous collez des informations relatives à des clients, des salariés ou des justiciables dans une requête, la KVKK s'applique pleinement. Il vous faut une base légale, de la transparence et une position défendable en matière de conservation.
• L'outil est-il hébergé à l'étranger ? La plupart des grands services d'IA traitent les données en dehors de la Turquie, ce qui fait de votre saisie un transfert transfrontalier. Il vous faut alors une décision d'adéquation, des garanties appropriées (telles que des CCT notifiées) ou une exception valable.
• Le résultat pourrait-il causer un préjudice ? Un résultat inexact, contrefaisant ou diffamatoire peut engager une responsabilité, traitée dans la section suivante.

Responsabilité : qui répond des préjudices causés par l'IA ?

Le droit turc ne confère à l'IA aucune personnalité juridique : un système d'IA ne peut donc pas être tenu pour responsable en tant que tel. La responsabilité incombe aux personnes et aux entreprises qui se trouvent derrière, selon le droit commun.

• Responsabilité contractuelle. Si un produit ou service d'IA n'exécute pas ce qui a été promis, le fournisseur peut être responsable au titre du contrat (TBK n° 6098).
• Responsabilité délictuelle pour faute. La partie dont l'IA cause un dommage par sa faute peut devoir des dommages-intérêts en vertu de la règle générale de responsabilité délictuelle de l'article 49 du TBK.
• Responsabilité du fait des produits et responsabilité du fait des consommateurs. Les producteurs peuvent voir leur responsabilité engagée pour des produits défectueux, et la loi n° 6502 sur la protection des consommateurs ajoute des obligations lorsque l'utilisateur est un consommateur.
• Exposition pénale. L'utilisation abusive de l'IA, par exemple des hypertrucages (deepfakes) employés à des fins d'escroquerie, de diffamation ou d'imagerie non consentie, peut tomber sous le coup d'infractions prévues par le code pénal turc n° 5237 (TCKTCKCode pénal turc n° 5237La loi qui définit les infractions et leurs peines en Türkiye — escroquerie, abus de confiance, faux, blanchiment et infractions commises dans le cadre d'une organisation.Lexique →).

Comme, à défaut, ce sont les règles supplétives qui trancheront, les contrats avec les fournisseurs et les clients d'IA devraient clairement répartir la responsabilité, la PI et les garanties dans vos contrats. C'est le contrôle le plus efficace que la plupart des entreprises peuvent mettre en place aujourd'hui.

Propriété intellectuelle et résultats produits par l'IA

Les questions de PI relatives à l'IA sont principalement régies par la loi n° 5846 sur les œuvres intellectuelles et artistiques (FSEK) et la loi n° 6769 sur la propriété industrielle (SMK). Deux questions reviennent sans cesse :

• Propriété des contenus générés par l'IA. La FSEK protège l'œuvre qui porte la « marque de son auteur » (l'exigence d'originalité, ou hususiyet, de l'article 1/B). Un résultat généré de manière autonome par l'IA, sans apport créatif humain significatif, peut échapper à la protection du droit d'auteur. C'est un risque commercial réel si votre entreprise envisage de détenir et de concéder sous licence des contenus produits par l'IA.
• Données d'entraînement et contrefaçon. L'utilisation de textes, d'images ou de code protégés par le droit d'auteur pour entraîner un modèle peut soulever des questions de contrefaçon. Documentez la provenance de vos données d'entraînement et les licences sur lesquelles vous vous appuyez.

Comme ce domaine reste incertain, les contrats devraient indiquer expressément qui détient les résultats de l'IA et qui supporte le risque de réclamations de tiers en matière de PI. Notre équipe propriété intellectuelle peut structurer ces clauses afin que vos droits ne soient pas laissés au hasard.

Pourquoi le règlement IA de l'UE compte, même depuis la Turquie

Le règlement IA de l'Union européenne (règlement (UE) 2024/1689) n'est pas du droit turc, mais il a une véritable portée extraterritoriale. Une entreprise établie en Turquie peut entrer dans son champ d'application si elle met des systèmes d'IA sur le marché de l'UE, ou si le résultat de son IA est utilisé dans l'UE. Pour les exportateurs et les fournisseurs de SaaS, cela peut impliquer de se conformer aux règles de l'UE, indépendamment de la position plus souple en Turquie.

Le règlement s'applique par étapes. Les jalons confirmés et en vigueur sont les suivants :

Ce qu'il faut en retenir pour les entreprises étrangères : évaluez dès maintenant votre exposition à l'UE plutôt que d'attendre. Compte tenu de l'intention déclarée de la Turquie de s'aligner sur le modèle de l'UE, constituer tôt une documentation de niveau européen réduit le coût d'une mise en conformité future. Nous conseillons les groupes transfrontaliers et la structuration d'entreprise précisément sur ce type d'exposition à un double régime.

Ce qui se prépare : les projets de loi turcs sur l'IA et la loi sur les deepfakes

Deux évolutions législatives indiquent la direction que prend la Turquie, et elles concernent autant le volet « et les particuliers » de ce sujet que les entreprises.

• Le projet de loi sur l'IA fondé sur les risques (déposé le 25 juin 2024). Un court projet de huit articles bâti sur les principes de sécurité, de transparence, d'égalité, de responsabilité et de protection de la vie privée, adoptant une approche fondée sur les risques. Il reste en commission et n'est pas encore une loi.
• Le projet de loi sur les contenus générés par l'IA / les deepfakes (déposé le 7 novembre 2025). Un projet distinct et plus récent proposant des modifications à plusieurs lois, dont le code pénal turc, pour encadrer les contenus générés par l'IA. Parmi les mesures rapportées figurent une définition légale du « système d'IA », l'étiquetage obligatoire des contenus générés par l'IA (deepfakes), des délais de retrait plus courts et des sanctions administratives.

Pour les particuliers préoccupés aujourd'hui par la fraude au deepfake, l'usage abusif de leur image ou l'usurpation d'identité, les recours existants se trouvent dans le code pénal n° 5237 et en droit civil (droits de la personnalité et responsabilité délictuelle au titre du TBKTBKCode des obligations turc n° 6098La loi qui sous-tend presque tout accord privé en Türkiye : contrats, responsabilité délictuelle, bail, travail, mandat et enrichissement sans cause.Lexique →), et non encore dans une loi dédiée à l'IA.

Comment les obligations de sécurité liées à l'IA s'articulent avec la loi sur la cybersécurité

Les systèmes d'IA n'évoluent pas en vase clos. Lorsqu'ils traitent des données personnelles ou font fonctionner des services critiques, des obligations de sécurité découlent aussi du cadre cyber plus large de la Turquie. La loi n° 7545 sur la cybersécurité et les obligations de sécurité des données de la KVKK exigent, ensemble, des mesures techniques et organisationnelles appropriées autour de vos modèles, de vos données d'entraînement et de vos chaînes de déploiement.

Pour une entreprise étrangère, la conséquence pratique est qu'un déploiement d'IA devrait être examiné sous l'angle de la protection des données, de la PI et de la cybersécurité au cours d'une même démarche, plutôt que de traiter ces aspects comme des projets distincts. Vous pouvez également consulter notre aperçu des tendances de la cybercriminalité et des stratégies de cybersécurité pour comprendre l'évolution de ces risques.

Démarches pratiques de conformité pour les entreprises et les particuliers

Tant qu'une loi turque spécifiquement dédiée à l'IA n'est pas en vigueur, un socle de conformité raisonnable comprend :

1. Cartographiez vos flux de données. Identifiez quelles données personnelles votre IA traite et où elles vont, puis mettez-vous en conformité avec la loi n° 6698 (KVKK), en accordant une attention particulière aux règles de transfert transfrontalier postérieures à 2024.
2. Sécurisez le mécanisme de transfert. Si les données quittent la Turquie, choisissez l'adéquation, des CCT (et notifiez dans les 5 jours ouvrables), des règles d'entreprise contraignantes ou une exception valable, et documentez votre choix.
3. Documentez vos systèmes d'IA. Conservez des traces des finalités, des sources de données, des durées de conservation, de la logique du modèle le cas échéant, et de la supervision humaine. Ce sont les fondations de tout cadre fondé sur les risques.
4. Soignez vos contrats. Répartissez la responsabilité, la propriété de la PI et les garanties dans les accords avec les fournisseurs et les clients, au titre du TBK n° 6098.
5. Vérifiez votre exposition à l'UE. Si votre IA touche le marché de l'UE, évaluez dès maintenant le règlement IA de l'UE et suivez le calendrier actuel du haut risque.
6. Surveillez les projets de loi. Le projet de loi turc sur l'IA et le projet de loi sur les deepfakes pourraient imposer de nouvelles obligations.

Lexin Legal conseille les entreprises et les particuliers étrangers en matière de technologie, de protection des données, de propriété intellectuelle et de droit commercial en Turquie. Pour discuter de la manière dont ces règles s'appliquent à votre projet d'IA, contactez notre équipe ou découvrez nos services technologie, IA et cybersécurité.

Questions fréquentes