Tüketici adına ürün arayan, karşılaştıran ve ödemeyi yapan yapay zekâ ajanları demodan ürüne geçiyor; Türkiye de bunun dışında değil. Garanti BBVA ve Mastercard, Aralık 2025’te ilerleyen dönemde kullanıma sunulacak yapay zekâ destekli bir alışveriş asistanının demosunu yaptı ve bunun Türkiye bankacılık sektöründeki ilk uçtan uca yapay zekâ asistanlı ticaret (agentic commerce) işlemi olduğunu açıkladı. İncelediğimiz Türk ve AB ödeme mevzuatının hiçbirinde yapay zekâ ajanları için yazılmış bir kural yok. Ekim 2026 itibarıyla ajan üzerinden ödeme, insanlar için yazılmış kurallara tabi: 6493 sayılı Kanun ve TCMB Yönetmeliği kapsamında ödeme onayı, Türk Borçlar Kanunu kapsamında temsil, mesafeli satış kuralları ve KVKK. AB kullanıcıları için buna 2 Ağustos 2026’dan beri uygulanan AI Act madde 50 şeffaflık yükümlülüğü ekleniyor.
Ajan tabanlı ticaret nedir, kart şemaları ne kuruyor?
Tüketici bir hedef koyar (“4.000 TL altındaki en iyi puanlı koşu ayakkabısı”); ajan arar, karşılaştırır, ödeme sayfasını doldurur ve tüketicinin kendisine verdiği bir ödeme aracıyla öder. Böylece talimat ile ödeme arasına kendi değerlendirmesini yapan bir yazılım girer. Kart şemaları bunun altyapısını kuruyor. Visa, 30 Nisan 2025’te duyurduğu Visa Intelligent Commerce kapsamında kart bilgilerinin yerine tokenize kimlik bilgileri koyan ve tüketicinin seçtiği ajanın onun adına hareket etmeye yetkili olduğunu teyit eden “AI-Ready Cards” ile tüketicinin belirlediği harcama limitleri ve koşullarından söz ediyor. Mastercard ise 29 Nisan 2025’te duyurduğu Agent Pay programında “Mastercard Agentic Tokens” kavramını getiriyor ve güvenilir yapay zekâ ajanlarının kayıtlı ve doğrulanmış olmasını şart koşacağını belirtiyor. Bunlar hukuk kuralı değil, şema programları; bize göre değerleri ispat açısından: onayın değerlendirileceği olgular token, limitler ve ajanın kimliği olacak.
6493 sayılı Kanun ve TCMB kuralları kapsamında ödeme onayı
6493 sayılı Kanun, tarafların hak ve yükümlülüklerini TCMB’nin çıkaracağı yönetmeliğe bırakıyor (m. 12/3). Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik’e göre gönderen onayı “ödeme hizmeti sağlayıcısı ile mutabık kalınan yönteme ve prosedüre uygun olarak” verir; onay alıcı ya da ödeme emri başlatma hizmeti sağlayıcısı vasıtasıyla da verilebilir (m. 52/1). “Mutabık kalınan yönteme uygun olarak onaylanmamış ödeme işlemi yetkilendirilmemiş sayılır” (m. 52/3). Ödeme aracı için harcama limiti kararlaştırılabilir (m. 53/1); müşteri güvenlik bilgilerini korumak ve iradesi dışında gerçekleşen işlemi derhal bildirmekle yükümlüdür (m. 53/4). Bizim değerlendirmemizle asıl soru yapay zekânın onay verip veremeyeceği değil, yaptığı işlemin sağlayıcıyla kararlaştırılan yönteme uyup uymadığıdır.
Ödeme ve elektronik para kuruluşları için TCMB’nin bilgi sistemleri Tebliği, elektronik kanaldan yapılan işlemlerde düzenlemelerde açıkça aksine imkân tanınmadıkça güçlü kimlik doğrulamayı esas alıyor (m. 10/8), düzenli ödeme talimatı verilirken güçlü kimlik doğrulamayı şart koşuyor (m. 10/11) ve gerekli hallerde bu mekanizmayı sunmayan kuruluşa işlemin yetkilendirildiğini ispat yükünü yüklüyor (m. 10/14). Bankalar BDDK’nın bilgi sistemleri yönetmeliğine tabi. Banka ve kredi kartlarında, 5464 sayılı Kanun’un düzenlediği hususlarda 6493 sayılı Kanun uygulanmaz (m. 24/1); 5464 sayılı Kanun’un 16. maddesi kart hamiline kartı ve şifreleri güvenli şekilde koruma yükümlülüğü getiriyor.
İlk soru lisans. Başka bir ödeme hizmeti sağlayıcısındaki hesapla ilgili ödeme emri başlatma bir ödeme hizmetidir (6493 s. Kanun m. 12/1-f) ve TCMB ile ödeme hizmeti sağlayıcıları (bankalar, ödeme ve elektronik para kuruluşları, PTT) dışındaki kişiler ödeme hizmeti sunamaz (m. 13). Teknik hizmet sağlayanların, işlemin hiçbir anında transfer edilen fonun sahibi olmadığı hizmetler ise kapsam dışıdır (m. 12/2-ğ). Bir ajanın hangi tarafta kaldığı tasarımına bağlı.
Ajan yetkisini aşarsa: yetkili mi, yetkisiz mi?
Türk Borçlar Kanunu’na göre yetkili temsilcinin temsil olunan adına ve hesabına yaptığı işlemin sonuçları doğrudan temsil olunanı bağlar (m. 40); hukuki işlemden doğan yetkinin kapsamını o işlem belirler (m. 41) ve temsil olunan bu yetkiyi her zaman sınırlayabilir veya geri alabilir (m. 42); yetkisiz temsilcinin işlemi ancak onanırsa temsil olunanı bağlar (m. 46), onanmazsa diğer taraf zararını yetkisiz temsilciden isteyebilir (m. 47). Hak ehliyeti insanlara ve tüzel kişilere tanınmıştır (Türk Medeni Kanunu m. 8 ve 48).
Değerlendirmemiz: yazılımın hukuki kişiliği yok; bu nedenle bize göre yapay zekâ ajanı kendisi “temsilci” olamaz. Ya ajan, tüketicinin kendi beyanını ileten bir araçtır (TBK m. 33, iradenin haberci veya çevirmen gibi bir aracı ya da bir araç tarafından yanlış iletilmesinde yanılma hükümlerini zaten uyguluyor), ya da temsilci, ajanı işleten şirkettir ve ajan yetkisini aştığında 46 ve 47. maddeler ona karşı işler. Bu konuda bildiğimiz bir Türk mahkemesi kararı yok. Ödemeye uyarlarsak:
| Senaryo | Geçici değerlendirmemiz |
|---|---|
| Ajan, kararlaştırılan ödeme aracı ve yöntemle yanlış ürünü alıyor | Sağlayıcıya karşı muhtemelen yetkili işlem (m. 52/1); çözüm satış sözleşmesinde ve ajan sağlayıcısının şartlarında |
| Ödeme, sağlayıcıyla kararlaştırılan yöntemle onaylanmamış | Yetkilendirilmemiş sayılır (m. 52/3); onayı ispat yükü sağlayıcıda (m. 54/2). Kararlaştırılan harcama limitinin aşılmasının aynı sonucu doğurup doğurmadığı tartışmalı |
| Ajan, örneğin enjekte edilen talimatlarla üçüncü kişinin kontrolüne geçiyor | Yetkisiz işlem; iade yükümlülüğü (m. 54/3). Ödeme aracı kayıp, çalıntı veya gereği gibi korunmamış sayılırsa gönderen, bildirimden önceki 24 saatteki zararın 250 TL’ye kadar olan kısmından, hile, kast veya ağır ihmalde ise tamamından sorumlu (m. 54/4-5); bu haller dışında, gerekli kimlik doğrulama zorunlu tutulmadıysa sorumlu değil (m. 54/9) |
| Tüketici, kart numarasını veya şifresini denetlenmemiş bir ajana vermiş | Ağır ihmal iddiasına açık (m. 53/4, 54/5; kartlarda 5464 s. Kanun m. 12 ve 16) |
Aldatma kaynaklı zararlar için yapay zekâ destekli ödeme dolandırıcılığı yazımıza bakabilirsiniz.
Satın almanın kendisi: ön bilgilendirme ve cayma
6502 sayılı Kanun’a göre satıcı, tüketiciyi kabulden önce, siparişi onaylarsa ödeme yükümlülüğü altına gireceği konusunda da bilgilendirmek zorundadır ve ispat yükü satıcıdadır (m. 48/2). Mesafeli Sözleşmeler Yönetmeliği’ne göre internet satışında temel bilgiler tüketicinin ödeme yükümlülüğü altına girmesinden hemen önce ayrıca gösterilir (m. 6/2-a); tüketicinin ön bilgileri edindiğini teyit etmesi sağlanmazsa “sözleşme kurulmamış sayılır” (m. 7); siparişin ödeme yükümlülüğü anlamına geldiği bildirilmeyen tüketici siparişiyle bağlı değildir (m. 8/1). 6563 sayılı Kanun da sözleşme şartlarının ve toplam bedelin ödeme bilgileri girilmeden önce açıkça görülmesini ve siparişin gecikmeksizin teyit edilmesini istiyor (m. 4). Değerlendirmemiz: ajan “onayla” düğmesine bastığında “tüketicinin” neyi teyit ettiği belirsiz. Satıcılar ön bilgileri tüketiciye kalıcı veri saklayıcısıyla göndermeli, ajan işletenler de teyit izini saklamalı.
Taraf yine tüketici olduğundan 14 günlük cayma hakkı (6502 s. Kanun m. 48/4; Yönetmelik m. 9) ajan aracılığıyla yapılan alışverişte de geçerli. Ancak taraflarca aksi kararlaştırılmadıkça, belirli bir tarihte veya dönemde yapılması gereken konaklama, eşya taşıma, araba kiralama, yiyecek-içecek tedariki ve boş zamanın değerlendirilmesine ilişkin sözleşmelerde ve elektronik ortamda anında ifa edilen hizmetlerde cayma hakkı yok (Yönetmelik m. 15/1-g, ğ).
KVKK: veri minimizasyonu ve otomatik kararlar
E-postayı ve alışveriş geçmişini okuyan bir ajanın veri işlemesi, işleme amacıyla bağlantılı, sınırlı ve ölçülü olmalı (KVKK m. 4/2-ç). Kurum’un 12 Mart 2026’da duyurduğu Etken Yapay Zekâ (Agentic AI) dokümanı, bu sistemlerin ulaşılmak istenen amaç için gerekli olandan daha geniş veri kümelerine erişebileceğine dikkat çekiyor, amaçla sınırlılık ve veri minimizasyonu ilkelerini öne çıkarıyor ve insan gözetiminin hangi koşullarda ve aşamalarda devreye gireceğinin açıkça tanımlanmasını öneriyor. İlgili kişi, verilerinin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhine bir sonuç çıkmasına itiraz edebilir (m. 11/1-g). Ajanın seçiminin veya bir ajan ödemesinin otomatik olarak reddedilmesinin böyle bir sonuç olup olmadığı henüz sınanmadı; biz yine de tasarımı itiraza göre yapmayı öneririz.
AB’deki tüketicilere hizmet veren Türk şirketleri için AB katmanı
PSD2’ye göre onay, gönderen ile sağlayıcı arasında kararlaştırılan biçimde verilir (m. 64/2); gönderen elektronik ödeme başlattığında güçlü müşteri kimlik doğrulaması (SCA) uygulanır (m. 97/1-b); yetkisiz ödemeler en geç ertesi iş günü sonuna kadar iade edilir (m. 73/1); kayıp, çalıntı veya kötüye kullanılan ödeme aracında gönderen, hile, kast veya ağır ihmal yoksa en fazla 50 avroya katlanır (m. 74/1), sağlayıcı SCA istememişse hile hali dışında hiçbir zarara katlanmaz (m. 74/2).
Ekim 2026 itibarıyla Ödeme Hizmetleri Tüzüğü (PSR) henüz kabul edilmedi: nihai uzlaşı metni 17 Nisan 2026 tarihli (Konsey belgesi 8221/26) ve Parlamento’nun usul dosyasında aşama “Awaiting Council’s 1st reading position” olarak görünüyor. Bu metin, ödeme hizmeti kullanıcısının onayı olmadan hareket eden üçüncü kişinin başlattığı işlemi yetkilendirilmemiş sayıyor (m. 49/1a), kullanıcıya her ödeme aracı için harcama limiti belirleme imkânı veriyor (m. 51/1) ve SCA unsurlarını sağlayan ve doğrulayan teknik hizmet sağlayıcıyla dış hizmet sözleşmesi yapılmasını şart koşuyor (m. 87/1). Yapay zekâ ise metinde yalnızca dolandırıcılık izleme aracı olarak geçiyor (gerekçe 103). Reformun geneli için PSD3 ve PSR yazımıza bakabilirsiniz.
AI Act’e göre sağlayıcılar, gerçek kişilerle doğrudan etkileşime girmesi amaçlanan yapay zekâ sistemlerinin, açıkça anlaşılmadıkça, kişilere bir yapay zekâ sistemiyle etkileşimde olduklarını bildirmesini sağlamalı (m. 50/1); bu yükümlülük 2 Ağustos 2026’dan beri uygulanıyor (m. 113). Digital Omnibus on AI (Tüzük (AB) 2026/1744) bu tarihi değiştirmedi; madde 50 bakımından tanıdığı tek geçiş süresi (2 Aralık 2026’ya kadar) piyasadaki sistemlerin madde 50/2 işaretleme yükümlülüğüne ilişkin. Tüketici Hakları Direktifi, tüketicinin sipariş verirken ödeme yükümlülüğünü açıkça kabul etmesini, düğme kullanılıyorsa bunun “order with obligation to pay” veya eşdeğer bir ifadeyle etiketlenmesini istiyor; aksi halde tüketici bağlı değil (m. 8/2). 19 Haziran 2026’dan itibaren çevrim içi arayüzle kurulan mesafeli sözleşmelerde “withdraw from contract here” benzeri bir cayma işlevi de zorunlu (Direktif (AB) 2023/2673 ile eklenen m. 11a).
Nereden başlamalı?
Ajan yetkisini bir matris olarak tasarlayın (bkz. ajanlar, yetki ve sorumluluk), ardından:
- Yetki: ajanın neyi, kimden ve hangi tutara kadar alabileceği; tarihe bağlı rezervasyonlar, anında ifa edilen dijital hizmetler ve geri dönüşü olmayan her şey yalnızca öneri aşamasında kalsın.
- Harcama limitleri: yalnızca istemde (prompt) değil, ödeme aracı düzeyinde (Yön. m. 53/1).
- Kimlik bilgileri: güçlü kimlik doğrulamayla kurulan, ajana özgü token’lar; asla açık kart numarası veya bankacılık şifresi değil.
- Kayıtlar: talimat, teklif, ön bilgilendirme, teyit ve kimlik doğrulama; 13 aylık düzeltme süresi boyunca (Yön. m. 54/1) ve KVKK’nın izin verdiğinden uzun olmamak üzere saklanmalı.
- Sözleşme şartlarında sorumluluk: ajan talimatı yanlış anladığında kimin kime iade yapacağı, yetkinin kolayca geri alınması (TBK m. 42; Yön. m. 52/4) ve bir şikâyet kanalı.
- Bilgilendirme ve lisans: AB kullanıcıları için madde 50 bildirimleri ve akışınızın ödeme emri başlatma mı, teknik hizmet mi olduğuna dair yazılı bir değerlendirme (bkz. fintech hukuku sayfamız).
Sık sorulan sorular
Yapay zekâ ajanım yanlış ürünü alırsa sağlayıcım parayı iade eder mi?
Kararlaştırılan ödeme aracı ve yöntem kullanıldıysa muhtemelen yetkisiz işlem olarak iade etmez, çünkü TCMB Yönetmeliği onayı bu yönteme bağlıyor (m. 52). Bize göre başvurulabilecek yollar, istisna yoksa cayma hakkı ve ajan sağlayıcısının sözleşme şartlarıdır.
AB’de PSR her ajan ödemesinde güçlü kimlik doğrulama isteyecek mi?
PSR henüz kabul edilmedi. Nisan 2026 uzlaşı metninde SCA, gönderen elektronik ödeme emri verdiğinde (m. 85/1-c) veya tokenize ödeme aracının uzaktan oluşturulmasını ya da yenilenmesini istediğinde (m. 85/1-d) uygulanıyor; gönderenin hiçbir etkileşimi veya katılımı olmadan alıcının başlattığı işlemler ise muaf (m. 85/2). Ajanın verdiği emrin hangi gruba gireceği açık değil.
Kaynak. 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun (RG 27.6.2013, 28690), m. 12, 13, 24; Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik (RG 1.12.2021, 31676), m. 52-54; Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ (RG 1.12.2021, 31676), m. 10; Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik (RG 15.3.2020, 31069); 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu (RG 1.3.2006, 26095), m. 12, 16; 6098 sayılı Türk Borçlar Kanunu (RG 4.2.2011, 27836), m. 33, 40-47; 4721 sayılı Türk Medeni Kanunu (RG 8.12.2001, 24607), m. 8, 48; 6502 sayılı Tüketicinin Korunması Hakkında Kanun (RG 28.11.2013, 28835), m. 48; Mesafeli Sözleşmeler Yönetmeliği (RG 27.11.2014, 29188), m. 6, 7, 8, 9, 15; 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun (RG 5.11.2014, 29166), m. 4; 6698 sayılı Kişisel Verilerin Korunması Kanunu (RG 7.4.2016, 29677), m. 4, 11; KVKK, Etken Yapay Zekâ (Agentic AI) (duyuru 12.3.2026); Direktif (AB) 2015/2366 (OJ L 337, 23.12.2015), m. 64, 73, 74, 97; PSR nihai uzlaşı metni, Konsey belgesi 8221/26 (17.4.2026), m. 49, 51, 85, 87, gerekçe 103; Legislative Observatory 2023/0210(COD); Tüzük (AB) 2024/1689 (OJ L, 12.7.2024), m. 50, 113; Tüzük (AB) 2026/1744 (OJ L, 24.7.2026); Direktif 2011/83/AB (OJ L 304, 22.11.2011), m. 8; Direktif (AB) 2023/2673 (OJ L, 28.11.2023), m. 11a; Visa basın bülteni, 30.4.2025; Mastercard basın bülteni, 29.4.2025; Garanti BBVA ve Mastercard duyurusu (Aralık 2025).
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki tavsiye niteliği taşımaz; somut durum için hukuki destek alınmalıdır.
Yazar
Daha fazla Vircon İçgörüleri
AB Yapay Zekâ Tüzüğü Türk Hukukunda: Sağlayıcı ve Deployer İçin Terim ve Yükümlülük Karşılıkları Tablosu
11 Ekim 2026İşyerinde Yapay Zekâ: Kullanım Politikası, İzlemenin Sınırı ve Otomasyon Kaynaklı Yeniden Yapılanma
6 Ekim 2026Yapay Zekâ Kararı Yönetim Kurulunun İşi: TTK'da Özen Borcu, Devir ve Belge Düzeni
3 Ekim 2026Omnibus Sonrası Yapay Zekâ Okuryazarlığı Yükümlülüğü: Türk Şirketi Ne Belgelemeli?
25 Eylül 2026Çıktı Yanlış Olduğunda Kim Öder? Şirket, Tedarikçi ve Model Sağlayıcı Arasında Sorumluluk Dağılımı
8 Ekim 2026Yapay Zekâyı Kurmak Değil Satın Almak: Tedarik Sözleşmesinde Bulunması Gerekenler
4 Ekim 2026İlgili Hizmet Alanlarımız
Birleşme ve Devralmalar
M&A danışmanlığı: due diligence, yapılandırma, dokümantasyon, müzakere.
Hizmet sayfası →ABD Şirket Kuruluşları ve Flip-Up
Delaware C-Corp, flip-up, SAFE/convertible note, 83(b) seçimi.
Hizmet sayfası →ICO'lar & Kripto Para Birimleri Blockchain
Kripto varlık regülasyonu, token arzı, exchange ve custody lisansı.
Hizmet sayfası →