Finans direktörünün birebir klonlanmış sesi, “banka güvenlik birimi”nden gelen görüntülü arama: yapay zekâ, kimliğe bürünmeyi ucuz ve inandırıcı hâle getirdi; bu yıl da etrafındaki kurallar hareketlendi. 31 Temmuz 2026’dan bu yana Türk Ceza Kanunu’nda hesabını dolandırıcılara kullandıranlara ilişkin yeni bir fıkra var; 2 Ağustos 2026’dan bu yana AB Yapay Zekâ Tüzüğü’nün (AI Act) deepfake beyan kuralı uygulanıyor; AB Ödeme Hizmetleri Tüzüğü’nün (PSR) nihai uzlaşı metni de banka kimliğine bürünme dolandırıcılığında tüketiciye iade hakkı tanıyor. Türkiye’de değişmeyen ise zararın kimde kalacağını belirleyen kural. Her şey tek bir soruya bağlı: ödemeyi müşteri mi onayladı?
Eğilim tek paragrafta
Dolandırıcılar, mağdurun güvendiği kişi ve kurumları taklit etmek için üretken yapay zekâ kullanıyor. Ya dolandırıcı ödeme hizmeti sağlayıcısının kontrollerini aşıp (çağrı merkezine şifre sıfırlatarak ya da mağdura tek kullanımlık kodu okutarak) parayı kendisi çekiyor ya da sahte bir ses, görüntü veya mesajla ikna edilen mağdur parayı bizzat gönderiyor. İkinci kalıp uluslararası literatürde “authorised push payment” (APP) dolandırıcılığı olarak anılıyor ve Türk hukuku iki durumu çok farklı ele alıyor.
Yetkilendirilmiş mi, yetkilendirilmemiş mi: zararı belirleyen çizgi
Sorumluluk kuralları, 6493 sayılı Kanun’un 12 nci maddesinin üçüncü fıkrasına dayanılarak çıkarılan TCMB Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik’te (“Yönetmelik”) yer alıyor. Yönetmelik’in 52 nci maddesinin ikinci fıkrasına göre ödeme işlemi, gönderenin onay vermesiyle yetkilendirilmiş sayılır; üçüncü fıkraya göre mutabık kalınan yönteme uygun onaylanmamış işlem yetkilendirilmemiş sayılır. Ödeme hizmeti sağlayıcıları bankalar, ödeme kuruluşları, elektronik para kuruluşları ve PTT’dir (6493 s. Kanun m. 13).
| Senaryo | Muhtemel nitelik | Temel kural |
|---|---|---|
| Dolandırıcı ses veya görüntü kontrolünü aşıp ödemeyi kendisi yapıyor | Yetkilendirilmemiş | Yönetmelik m. 54: iade, ispat yükü sağlayıcıda |
| Mağdur, sahte “banka görevlisi”ne tek kullanımlık kodu okuyor, ödemeyi o yapıyor | Yetkilendirilmemiş, ancak müşterinin davranışı incelenir | m. 54/4-5: 250 TL sınırı ya da kast veya ağır ihmalde zararın tamamı |
| Finans ekibi “CEO” deepfake’inin talimatıyla yeni bir IBAN’a ödeme yapıyor | Yetkilendirilmiş (APP) | m. 52/2 ve m. 69: kanuni iade yok; genel borçlar hukuku |
| Oltalama aramasından sonra kart bilgileri kullanılıyor | Kartın haksız kullanımı | 5464 s. Kanun m. 12 (6493 s. Kanun m. 24 kart konularını dışarıda bırakır) |
Yetkilendirilmemiş işlemler: yük sağlayıcıda
Bu alanda Yönetmelik müşteriyi koruyor. Müşteri, işlemi öğrendiği andan itibaren gecikmeksizin ve her hâlükârda işlemden itibaren on üç ay içinde bildirimde bulunmalıdır (m. 54/1). Müşteri işlemi yetkilendirmediğini ileri sürerse, işlemin müşteri tarafından onaylandığını, doğru kaydedildiğini ve teknik bir arızadan etkilenmediğini ispat yükü sağlayıcıdadır (m. 54/2). İşlemin yetkilendirilmeden gerçekleştiği ispatlanınca sağlayıcı tutarı derhâl iade eder; gönderenin hileli kullanımına veya kast ya da ağır ihmaline dair kuvvetli şüphe varsa, iadeden önce makul bir süreyle sınırlı araştırma yapabilir (m. 54/3).
Kayıp veya çalıntı ödeme aracı ya da gereği gibi korunmayan güvenlik bilgileri nedeniyle aracın başkasınca kullanılması hâlinde gönderen, bildirimden önceki yirmi dört saatteki zararın en fazla 250 TL’sinden sorumludur; bildirimden sonrası için sorumlu tutulamaz (m. 54/4). Gönderen hileli davranmışsa ya da 53 üncü maddedeki yükümlülüklerini kasten veya ağır ihmalle yerine getirmemişse sınır kalkar, zararın tamamı ona ait olur (m. 54/5). İki kural müşteri lehinedir. Sağlayıcı, TCMB düzenlemelerinin gerektirdiği kimlik doğrulamayı zorunlu tutmadıysa, gönderen kayıp veya çalıntı araçtan ya da güvenlik bilgilerinin kötüye kullanılmasından doğan zarardan, 54/5 saklı kalmak kaydıyla, sorumlu tutulamaz (m. 54/9). Ödeme ve elektronik para kuruluşlarının bilgi sistemlerine ilişkin TCMB Tebliği’ne göre de gerekli hâllerde güçlü kimlik doğrulama sunmayan kuruluş, işlemin müşteri tarafından yetkilendirildiğini ispat etmek zorundadır (Tebliğ m. 10/14).
Kartlar ayrı bir yoldan gider: 6493 sayılı Kanun, 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu kapsamındaki hususlarda uygulanmaz (m. 24/1). 5464 sayılı Kanun’un 12 nci maddesi, bildirimden önceki yirmi dört saatteki hukuka aykırı kullanımda kart hamilinin sorumluluğunu 150 lira ile sınırlar; ağır ihmal, kast veya bildirimin yapılmaması hâlinde bu sınır uygulanmaz.
APP dolandırıcılığı: Türkiye’de kanuni iade yok
Ödeme talimatını mağdur bizzat veriyorsa, deepfake ne kadar iyi olursa olsun işlem 52/2 uyarınca yetkilendirilmiştir. 69 uncu maddeye göre gönderenin belirttiği kimlik tanımlayıcıya (uygulamada IBAN) uygun yapılan ödeme doğru gerçekleştirilmiş sayılır; müşteri alıcının adı gibi ilave bilgi verse bile sağlayıcı yalnızca kimlik tanımlayıcıdan sorumludur. 69/2-4 uyarınca gönderenin sağlayıcısı fonları geri almak için gereken işlemleri yapar; geri alınamazsa yazılı talep üzerine gönderene hukuki yollara başvururken kullanabileceği bilgi ve belgeleri verir. Bu yükümlülükler müşterinin belirttiği kimlik tanımlayıcının hatalı olduğu durum için düzenlenmiştir; dolandırıcının verdiği IBAN’a yapılan ödemeye uygulanıp uygulanmayacağı net değildir.
Tespit edebildiğimiz hiçbir kanun veya TCMB düzenlemesi APP mağduruna otomatik iade hakkı tanımıyor. Sağlayıcıya karşı talep genel hükümlere dayanır: 6098 sayılı Türk Borçlar Kanunu’nun 112 nci maddesi, borcu gereği gibi ifa etmeyen borçluyu kusursuzluğunu ispat etmedikçe sorumlu tutar; 6102 sayılı Türk Ticaret Kanunu’nun 18 inci maddesinin ikinci fıkrası her tacirin basiretli bir iş insanı gibi hareket etmesini ister; TBK m. 115 ağır kusurdan sorumsuzluk anlaşmasını, izne tabi uzmanlık gerektiren faaliyetlerde hafif kusurdan sorumsuzluk anlaşmasını da kesin hükümsüz sayar. Sağlayıcı ise müşterinin kendi davranışını öne sürecektir: TBK m. 114/2 yollamasıyla sözleşmeye aykırılıkta da uygulanan m. 52’ye göre zarar gören, zararın doğmasında veya artmasında etkili olmuşsa hâkim tazminatı indirebilir veya tamamen kaldırabilir.
Bu uyuşmazlıklar çoğunlukla aşağıdaki izleme yükümlülükleri etrafında şekillenir. Kurumsal müşteriler için Yönetmelik’in 72 nci maddesi önemli: müşterinin tüketici olmadığı işlemlerde taraflar, 54 üncü maddenin ikinci, dördüncü ve altıncı fıkraları dâhil bazı hükümlerin uygulanmamasını veya farklı uygulanmasını kararlaştırabilir.
İzleme ve kimlik doğrulama yükümlülükleri
Ödeme ve elektronik para kuruluşları için Tebliğ’in 19 uncu maddesi, uygun olan durumlarda asgari olarak bilinen dolandırıcılık yöntemlerini, normal dışı ödeme veya davranış desenlerini, ele geçirilmiş kimlik doğrulama unsurlarını, zararlı yazılım belirtilerini ve mümkünse müşterinin ve karşı tarafların geçmiş dolandırıcılık kayıtlarını izleyen işlem takip mekanizmaları kurulmasını şart koşar. Olağan dışı veya yüksek riskli işlem tespit edildiğinde müşteri telefon veya SMS gibi uygun yöntemlerle en kısa sürede uyarılmalıdır (m. 19/2). Bankalar için benzer yükümlülük, BDDK’nın Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği’nin 36 ncı maddesinde yer alır.
Tebliğ, sesle yapılan sosyal mühendisliği de öngörüyor. Elektronik kanal işlemlerinde güçlü kimlik doğrulama esastır ve kuruluşun mobil uygulamasının değil cihaz üreticisinin kontrolündeki parola, PIN veya biyometrik veriler güçlü kimlik doğrulama unsuru sayılmaz (m. 10/8). Müşterinin telefonla kimlik doğrulama veya telefon bilgisi değişikliği talebi personelin dahli olmadan otomatik sistemlerle yürütülür (m. 10/30); müşteri aranmadan önce numaranın başka bir numaraya yönlendirilmediği kontrol edilir (m. 10/31). Telefon hizmetinde görevli personele sosyal mühendislik konusunda periyodik eğitim verilmesi zorunludur (m. 8/19).
Biyometrik veri, 6698 sayılı KVKK’nın 6 ncı maddesinin birinci fıkrasına göre özel nitelikli kişisel veridir; Tebliğ’deki biyometrik veri tanımı da yüz ve sesi kapsar. Kimlik doğrulamada veya uzaktan kimlik tespitinde ses izi ya da yüz eşleştirmesi kullanan şirketlerin m. 6/3’teki işleme şartlarından birine, Kurul’un belirlediği yeterli önlemlere (m. 6/4) ve m. 12’deki güvenlik tedbirlerine ihtiyacı vardır. 6493 sayılı Kanun’un 23 üncü maddesinin ikinci fıkrası, ödeme usulsüzlüklerini önlemek, araştırmak ve ortaya çıkarmak için gerekli durumlarda kişisel bilgilerin kullanılmasına imkân tanır. Kişilik hakları boyutu için ses klonlama yazımıza bakabilirsiniz.
Ceza hukuku boyutu
Bilişim sistemlerinin, banka veya kredi kurumlarının araç olarak kullanılmasıyla işlenen dolandırıcılık TCK m. 158/1-f’de, kişinin kendisini kamu görevlisi veya banka çalışanı olarak tanıtmasıyla işlenen dolandırıcılık ise m. 158/1-l’de nitelikli hâl olarak düzenlenir. Her ikisinde de ceza üç yıldan on yıla kadar hapistir; hapis cezasının alt sınırı dört yıldan, adli para cezası suçtan elde edilen menfaatin iki katından az olamaz. 31 Temmuz 2026 tarihli Resmî Gazete’de yayımlanan 7589 sayılı Kanun, 158 inci maddeye dördüncü fıkrayı ekledi: iştirak, haksız menfaat amacıyla banka veya kredi kartı gibi ödeme araçlarını ya da banka, aracı kurum, ödeme hizmeti sağlayıcısı veya kripto varlık hizmet sağlayıcısı nezdindeki hesabın kullanılmasını sağlayan zorunlu bilgi veya araçları başkasına vermekle sınırlıysa ceza yarı oranında indirilir. Kastedilen, kamuoyunda “hesap kiralama” olarak bilinen durumdur.
AB ile karşılaştırma
PSR, Birlik içinde sunulan ödeme hizmetlerine uygulanır (m. 2); bu nedenle AB’deki müşterilere AB’de lisanslı bir şirket üzerinden hizmet veren Türk grupları için önemlidir. Ekim 2026 itibarıyla nihai uzlaşı metni, 17 Nisan 2026 tarihli 8221/26 sayılı Konsey belgesidir; metin 22 Nisan 2026’da COREPER tarafından teyit edilmiş, resmî kabul süreci ise devam etmektedir. Reformun genel çerçevesi için PSD3 ve PSR yazımıza bakabilirsiniz.
| Konu | Türkiye (bugün) | AB PSR (17 Nisan 2026 metni) |
|---|---|---|
| Yetkisiz kullanımda gönderenin üst sınırı | 250 TL (Yönetmelik m. 54/4) | 50 avro (m. 60/1) |
| Banka kimliğine bürünme (APP) | Kanuni iade yok | Bankanın iletişim kanalları taklit edildiyse tüketiciye iade; sağlayıcıya ve polise bildirim şartı, 15 iş günü içinde cevap (m. 59) |
| Alıcı adı kontrolü | Sağlayıcı yalnızca kimlik tanımlayıcıdan sorumlu (m. 69) | Tüm kredi transferlerinde ad ve IBAN eşleştirmesi (m. 50); aksaklıkta iade (m. 57) |
| Zamanlama | Yürürlükte | Yürürlükten 21 ay sonra; m. 50 ve 57 için 27 ay (m. 112) |
AB Yapay Zekâ Tüzüğü’ne göre deepfake üreten yapay zekâ sistemlerinin uygulayıcıları, içeriğin yapay olarak üretildiğini veya manipüle edildiğini açıklamak zorundadır (m. 50/4); üretken yapay zekâ sağlayıcıları da çıktıları makinece okunabilir biçimde işaretlemelidir (m. 50/2). 50 nci madde 2 Ağustos 2026’dan itibaren uygulanıyor; (AB) 2026/1744 sayılı Tüzük, bu tarihten önce piyasaya sürülmüş sistemlerin sağlayıcılarına işaretleme yükümlülüğü için 2 Aralık 2026’ya kadar süre tanıyor. Dolandırıcılar deepfake’lerini etiketlemeyecek; konunun ayrıntısı deepfake yazımızda.
Nereden başlamalı?
- Dolandırıcılık vakalarını “yetkilendirilmemiş” ve “yetkilendirilmiş” olarak ayırın, her biri için iade karar kuralı yazın.
- TCMB düzenlemelerinin aradığı her yerde güçlü kimlik doğrulamayı zorunlu tutun; boşluk zararı size taşır.
- Çağrı merkezini klon seslere karşı test edin: personel eliyle şifre veya telefon değişikliği yok, dış aramadan önce yönlendirme kontrolü var.
- İzleme kurallarını yeni alıcı, olağan dışı tutar ve aciliyet desenlerine göre ayarlayın; gönderilen her uyarıyı kayıt altına alın.
- Kurumsal müşterilerde m. 72 kapsamındaki sözleşme hükümlerini gözden geçirin, yeni IBAN’lar için geri arama kuralı ekleyin.
- Ses veya yüz biyometrisi için KVKK m. 6 değerlendirmesi yapın.
- AB’de kullanıcınız varsa PSR ad kontrolü ve kimliğe bürünme iade akışını planlayın.
İlgili lisans ve uyum içerikleri fintech hukuku sayfamızda.
Deepfake aramasından sonra yapılan ödeme Türk hukukunda yetkilendirilmemiş sayılır mı?
Talimatı müşteri verdiyse hayır (TCMB Yönetmeliği m. 52/2). Dolandırıcı deepfake ile kontrolleri aşıp ödemeyi kendisi başlattıysa işlem yetkilendirilmemiştir ve 54 üncü madde uygulanır.
Yetkilendirilmemiş işlemde müşteri en fazla ne kadar zarara katlanır?
Bildirimden önceki yirmi dört saat için en fazla 250 TL, bildirimden sonrası için hiç (Yönetmelik m. 54/4); gönderen hileli davrandıysa veya güvenlik yükümlülüklerini kasten ya da ağır ihmalle ihlal ettiyse sınır uygulanmaz (m. 54/5). Kartın haksız kullanımında 5464 sayılı Kanun m. 12 uygulanır.
Türkiye’de AB’deki kimliğe bürünme iadesinin bir karşılığı var mı?
Ekim 2026 itibarıyla hayır. AB PSR uzlaşı metninin 59 uncu maddesi, dolandırıcıların bankanın kendi iletişim kanallarını taklit ettiği durumlarda tüketiciye iade hakkı tanıyor; ancak PSR henüz resmen kabul edilmedi ve tespit edebildiğimiz hiçbir Türk düzenlemesi yetkilendirilmiş ödemeler için benzer bir iade öngörmüyor.
Kaynak. 6493 sayılı Kanun (RG 27.6.2013, S. 28690), m. 12/3, 13, 23/2, 24/1; Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik (RG 1.12.2021, S. 31676; RG 4.9.2026, S. 33360’a kadar değişiklikleriyle), m. 52, 53, 54, 69, 72; Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ (RG 1.12.2021, S. 31676, değişiklikleriyle), m. 3, 8, 10, 19; Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik (RG 15.3.2020, S. 31069), m. 36; 5464 sayılı Kanun (RG 1.3.2006, S. 26095), m. 12; 6098 sayılı Türk Borçlar Kanunu (RG 4.2.2011, S. 27836), m. 52, 112, 114, 115; 6102 sayılı Türk Ticaret Kanunu (RG 14.2.2011, S. 27846), m. 18/2; 5237 sayılı Türk Ceza Kanunu (RG 12.10.2004, S. 25611), m. 158; 7589 sayılı Kanun (RG 31.7.2026, S. 33326), m. 13; 6698 sayılı Kanun (RG 7.4.2016, S. 29677), m. 6, 12; PSR nihai uzlaşı metni, Konsey belgesi 8221/26 (17 Nisan 2026), m. 2, 50, 57, 59, 60, 112; Konsey belgesi 13589/26 (2 Ekim 2026); (AB) 2024/1689 sayılı Yapay Zekâ Tüzüğü (ABRG L, 12.7.2024), m. 50, 113; (AB) 2026/1744 sayılı Tüzük (ABRG L, 24.7.2026).
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki tavsiye niteliği taşımaz; somut durum için hukuki destek alınmalıdır.
