Ödeme kuruluşları, elektronik para kuruluşları, kripto platformları ve bankalar yapay zekâyı operasyonun içine yerleştiriyor: müşteri riskini puanlayan, AML alarmlarını sıralayan, kredi kararını destekleyen ve uyum dosyası notu taslağı hazırlayan modeller. Ekim 2026 itibarıyla Türkiye’deki temel kuralların hiçbiri doğrudan yapay zekâ için yazılmış değil, ancak “model hata yaptığında kim sorumlu?” sorusunun cevabı bu kurallarda zaten var. AB müşterisi veya AB’li kurumsal müşterisi olan bir Türk fintech için iki tarih önemli: AI Act’in gerçek kişilerin kredi skorlamasına ilişkin yüksek riskli sistem kuralları, Dijital Omnibus ile 2 Ağustos 2026’dan ertelenerek 2 Aralık 2027‘den itibaren uygulanacak; AB Kara Paranın Aklanmasının Önlenmesi Tüzüğü (AMLR) ise 10 Temmuz 2027‘de uygulanmaya başlıyor.
“Yapay zekâ destekli operasyon” pratikte ne demek?
Ortada tek bir ürün yok; düzenlenmiş süreçlerin içine yerleştirilen bir araç seti var: müşteri kabulünde risk skoru ve yüz-kimlik eşleştirmesi, aklama olasılığına göre alarm sıralayan işlem izleme, kredi modelleri ve belge toplayan, kayıt mutabakatı yapan ya da şüpheli işlem bildirimi taslağını bir insanın incelemesine hazırlayan “ajanlar”. Bunların çoğu tedarikçiden alınıyor. Her hukuk düzeninde iki soru doğuyor: bu iş bir makineye (ya da onu işleten tedarikçiye) bırakılabilir mi ve sistem hata yaptığında düzenleyiciye ve müşteriye karşı kim cevap verir? Bu yazı fintech hukuku sayfamızın operasyon başlığının bir parçası.
MASAK: model işaretler, uyum görevlisi karar verir
Ödeme ve elektronik para kuruluşları Tedbirler Yönetmeliği uyarınca yükümlüdür (md. 4/1-e). 5549 sayılı Kanun md. 4 uyarınca şüpheli işlemleri bildirmek, Tedbirler Yönetmeliği md. 19 uyarınca işlemlerin müşteri profiliyle uyumunu sürekli izlemek, md. 20/1 uyarınca yeni teknolojilerin kötüye kullanılma riskine özel dikkat göstermek ve md. 28/2 uyarınca şüphenin oluştuğu tarihten itibaren en geç on iş günü içinde bildirmek zorundadırlar. Yapay zekâ motoru bu yükümlülükleri karşılamanın makul bir yolu; ancak Uyum Programı Yönetmeliği kararı isimli kişilerde bırakıyor:
- Uyum programından nihai olarak yönetim kurulu sorumludur; yetkinin yönetim kurulu üyelerine devri bu sorumluluğu ortadan kaldırmaz (md. 6/1, 6/3).
- Uyum görevlisi münhasıran kurum personeli olarak atanır (md. 16/2) ve şüpheli olduğuna karar verdiği işlemleri Başkanlığa bildirir (md. 19/1-e). Uyum birimi personeli alarmların değerlendirilmesinde görev alabilir, ancak bildirim kararı veremez (md. 18/2). Bir modelin konumu bundan daha güçlü değildir.
- Risk derecelendirme yöntemlerinin tutarlılığı ve etkinliği geriye dönük olarak sorgulanmalıdır (md. 12/1-ç); pratikte bu, model doğrulaması demektir.
Tedarikçi sorumluluğu üstlenmez. Tedbirler Yönetmeliği md. 21’deki üçüncü tarafa güven ilkesi nihai sorumluluğu güvenen kuruluşta bırakır; md. 21/4 ise ana hizmet birimlerinin uzantısı veya tamamlayıcısı niteliğindeki hizmetleri yaptırılan kişilerle ilişkileri bu ilkenin dışında tutar; bizim okumamıza göre bu kişilerin yaptığı iş kuruluşun kendi işi sayılır. Yaptırımlar kişilere de uzanır: 5549 sayılı Kanun md. 5/1’deki yükümlülüklere aykırılık md. 13/2’deki yazılı ihtar ve sürelere rağmen giderilmezse sorumlu yönetim kurulu üyesine, yoksa üst düzey yöneticiye, yükümlüye verilen idari para cezasının dörtte biri uygulanır (md. 13/3). Temel yükümlülükler için MASAK yükümlülükleri rehberimize bakabilirsiniz.
Yapay zekâ aracını dışarıdan almak: TCMB ve BDDK
TCMB’nin Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmeliği’nin (RG 1.12.2021, Sayı 31676) 21 inci maddesine göre ödeme hizmeti sunumu ve elektronik para ihracı dış hizmet alımına konu edilemez; bilgi sistemleri ise üst yönetimin yetkilerinin devri sonucunu doğurmayan yazılı bir sözleşmeyle dışarıdan alınabilir. Kuruluş, dış hizmet sağlayıcının işlemlerinden de sorumludur (md. 21/4); sağlayıcı yurt dışındaysa TCMB’nin bilgi edinmesine ve denetim yapmasına yasal engel bulunmamalıdır (md. 21/7). Bilgi Sistemleri Tebliği buna şunları ekler: bilgi sistemleri üzerindeki karar alma gücü ve sorumluluk kuruluşta kalır (md. 16/1), sözleşme TCMB’ye ve denetçilere bilgi ve inceleme hakkı tanımalıdır (md. 16/9), kişisel veriler ise bulutta yalnızca yurt içinde tesis edilmiş özel bulut veya TCMB’nin uygun gördüğü sağlayıcılarca sunulan topluluk bulutu modeliyle işlenebilir (md. 16/7). Bizim okumamıza göre yurt dışında barındırılan genel bulut tabanlı bir model API’si, müşterinin kişisel verisi gönderildiği anda bu kurala kolay uymaz. Tebliğ md. 13, diğer kurumlar nezdinde API ile yapılan sorgulamaları ve amaçlarını da kapsayan, zaman damgalı denetim izlerinin en az on yıl saklanmasını ister.
Bankalar için çizgi daha keskin. BDDK’nın Bankaların Destek Hizmeti Almalarına İlişkin Yönetmeliği (RG 5.11.2011, Sayı 28106) kredi taleplerinin değerlendirilmesini, kredi tekliflerinin hazırlanmasını ve kredi kararının verilmesini (md. 4/1-b) ve kredi riskinin izlenmesini (md. 4/1-d) destek hizmeti kuruluşlarından sağlanamayacak faaliyetler arasında sayar. Tedarikçinin modeli kredi ekibini destekleyebilir, kredi kararının kendisi olamaz. Kredi tarafı için yapay zekâ ile kredi skorlama rehberimize bakabilirsiniz.
KVKK: otomatik karar ve AML istisnası
6698 sayılı Kanun md. 11/1-g, işlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi suretiyle kişinin aleyhine bir sonuç çıkmasına itiraz hakkı tanır; gerçek bir insan incelemesi olmadan modelin verdiği kredi reddi bunun tipik örneğidir (KVKK 11 inci madde yazımız). AML izlemesi ise bir istisnaya girebilir: md. 28/2-a, kişisel veri işlemenin suç işlenmesinin önlenmesi için gerekli olduğu hallerde, orantılı olmak kaydıyla, md. 10’u, md. 11’i (zararın giderilmesini talep hakkı hariç) ve md. 16’yı uygulama dışı bırakır. 5549 sayılı Kanun md. 4/2’deki ifşa yasağı da bildirimin açıklanmasına engeldir. KVKK’nın Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeleri (Nisan 2025 baskısı), karar alma süreçlerinde insan müdahalesinin rolünün tesis edilmesi gerektiğini belirtir.
AB: Dijital Omnibus sonrası AI Act
AI Act, sistemlerini AB pazarına sunan Türk sağlayıcıyı ve yapay zekâ çıktısı Birlik’te kullanılan Türk sağlayıcı veya uygulayıcıyı (deployer) kapsar (md. 2/1-a, c). Gerçek kişilerin kredi değerliliğinin değerlendirilmesi ve kredi skorunun belirlenmesi yüksek risklidir; finansal dolandırıcılığın tespiti amacıyla kullanılan sistemler hariçtir (Ek III, 5(b)). Tek amacı kişinin iddia ettiği kişi olduğunu teyit etmek olan biyometrik doğrulama, uzaktan biyometrik tanımlama kategorisinin dışındadır (Ek III, 1(a)). Gerçek kişilerin profilini çıkaran bir Ek III sistemi her durumda yüksek risklidir (md. 6/3).
Yüksek riskli sistemlerin uygulayıcıları kullanım talimatlarına uymak, insan gözetimini gerekli yetkinlik, eğitim ve yetkiye sahip kişilere vermek, işleyişi izlemek, kayıtları (log) en az altı ay saklamak ve hakkında karar verilen kişileri bu sistemin kullanıldığı konusunda bilgilendirmek zorundadır (md. 26/1, 2, 5, 6, 11). Kredi skorlama uygulayıcıları ayrıca temel haklar etki değerlendirmesi yapar (md. 27). (AB) 2026/1744 sayılı Tüzük (ABRG L 24.7.2026, 27 Temmuz 2026’dan beri yürürlükte) md. 113’ü değiştirdi; md. 26 ve 27’yi de içeren Bölüm III’ün 1-3 üncü kısımları Ek III sistemleri için 2 Aralık 2027’den itibaren uygulanacak.
AB: AMLR, AMLA ve EBA rehberleri
(AB) 2024/1624 sayılı Tüzük (AMLR) 10 Temmuz 2027’den itibaren uygulanır (md. 90). Md. 76/5, otomatik süreçlerden veya yapay zekâ sistemlerinden doğan kararlara üç şartla izin verir: işlenen veri müşteri durum tespiti kapsamında elde edilen veriyle sınırlı olmalı; iş ilişkisine girme, reddetme, sürdürme veya durum tespitinin kapsamını değiştirme kararları anlamlı insan müdahalesine tabi olmalı; müşteri karara ilişkin açıklama alabilmeli ve karara itiraz edebilmelidir, şüpheli işlem bildirimi hariç. Md. 18 denetim otoritesine bildirimle dış hizmet alımına izin verir; ancak yükümlü tamamen sorumlu kalır ve sağlayıcının faaliyetlerinin mantığını anladığını gösterebilmelidir. Müşteri risk profiline ilişkin karar, FIU’ya bildirim (aynı üye devletteki grup içi bir yükümlüye verilmesi hariç) ve şüpheli işlem tespit kriterlerinin onayı hiçbir şekilde dışarıya verilemez (md. 18/3). Rapora dönüşsün ya da dönüşmesin her şüphe değerlendirmesi kayıt altına alınır (md. 77/1-b). AMLA Tüzüğü ((AB) 2024/1620), Otorite’ye seçilmiş yükümlülerin dış hizmet aldığı üçüncü taraflardan bilgi isteme yetkisi verir (md. 17/1). AB’deki ödeme ve e-para kuruluşları için EBA’nın dış hizmet rehberi (EBA/GL/2019/02) yönetim organının sorumluluklarının devredilemeyeceğini (para. 35) ve kritik fonksiyonlarda denetim hakkını (para. 87) düzenler. EBA’nın 18 Eylül 2026 tarihli BİT dışı üçüncü taraf riski nihai raporu (EBA/GL/2026/09) bu rehberi henüz belirlenmemiş bir tarihten itibaren yürürlükten kaldıracak; BİT hizmetlerini ise DORA’ya bırakıyor.
| Soru | Türkiye | AB |
|---|---|---|
| Bildirim kararını kim verir? | Uyum görevlisi (Uyum Programı Yön. md. 18/2, 19/1-e) | FIU’ya bildirim grup dışına verilemez (AMLR md. 18/3-e) |
| Kredi kararı | Bankalar değerlendirmeyi ve kararı dışarıdan alamaz (BDDK Yön. md. 4/1-b); KVKK md. 11/1-g | Yüksek riskli (Ek III 5(b)); uygulayıcı yükümlülükleri 2.12.2027’den itibaren |
| Kayıtlar | Denetim izi 10 yıl (Bilgi Sistemleri Tebliği md. 13); AML kayıtları 8 yıl (5549 s.K. md. 8) | Log en az 6 ay (AI Act md. 26/6); her şüphe değerlendirmesi (AMLR md. 77/1-b) |
| Tedarikçiden sorumluluk | Kuruluş sorumlu (TCMB Yön. md. 21/4) | Yükümlü tamamen sorumlu (AMLR md. 18/2) |
Belirsiz kalan noktalar
MASAK, TCMB veya BDDK’nın doğrudan yapay zekâya yönelik bağlayıcı bir düzenlemesini tespit etmedik; bu nedenle denetim otoriteleri teknolojiden bağımsız kuralları, mantığı geriye doğru izlenmesi zor modeller için farklı yorumlayabilir. Türk hukuku, uyum görevlisinin alttaki işlemleri incelemeden bir modelin sıralamasına ne ölçüde güvenebileceğini söylemiyor. Tebliğ md. 16/7’deki bulut kuralı büyük dil modeli API’lerinden önce yazıldı. AB’de değişik AI Act md. 111/2, uygulama tarihinden önce hizmete girmiş sistemleri ancak tasarımlarında önemli değişiklik olursa kapsıyor; düzenli yeniden eğitilen modeller için bunun anlamı rehberlik bekliyor.
Nereden başlamalı?
- Model envanteri: KYC, izleme, kredi ve arka ofisteki her model ve ajan; sahibi, tedarikçisi, verisi, barındırma yeri ve AI Act sınıfı.
- İnsan incelemesi: bir kişinin verdiği kararları (bildirim, ret, ilişkiyi sonlandırma, kredi) ve imzadan önce neyi kontrol edeceğini yazın.
- Açıklanabilir şüphe kararları: kapatılan veya bildirilen her alarm için model çıktısını, kontrol edilen olguları ve uyum görevlisinin gerekçesini, ifşa yasağı sınırları içinde kaydedin.
- Doğrulama: skor ve eşikleri gerçek vakalarla geriye dönük test edip yönetim kuruluna raporlayın (Uyum Programı Yön. md. 12/1-ç, e).
- Tedarikçi sözleşmeleri: düzenleyici ve denetçi erişimi, alt yükleniciye aktarım, veri konumu, çıkış planı ve müşteri verisiyle model eğitilmemesi.
- Denetim izi: ajan eylemlerini, model sürümlerini ve API sorgularını Tebliğ md. 13 standardında kaydedin.
Bir yapay zekâ sistemi MASAK’a kendi başına şüpheli işlem bildirimi yapabilir mi?
Hayır. Uyum görevlisi atanması gereken yükümlülerde bildirimi uyum görevlisi yapar ve hangi işlemlerin şüpheli olduğuna o karar verir (Tedbirler Yönetmeliği md. 27/2, Uyum Programı Yönetmeliği md. 19/1-e). Model alarm üretip önceliklendirebilir; karar ve gerekçesi uyum görevlisine aittir.
AML işlem izlemesi AI Act’e göre yüksek riskli mi?
Ek III, AML izlemesini doğrudan saymıyor ve 5(b) bendi dolandırıcılık tespitini kredi kategorisinin dışında tutuyor. AML’de yapay zekâya ilişkin daha özel AB kuralları, 10 Temmuz 2027’den itibaren uygulanacak AMLR md. 76/5’te yer alıyor.
AI Act’in yüksek risk takvimi ertelendi mi?
Evet. (AB) 2026/1744 sayılı Tüzük, kredi skorlama dahil Ek III sistemleri için yüksek risk kurallarını 2 Aralık 2027’ye, Ek I sistemleri için 2 Ağustos 2028’e erteledi.
Kaynak. 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun (RG 18.10.2006, Sayı 26323), md. 4, 5, 8, 13; Tedbirler Hakkında Yönetmelik (RG 9.1.2008, Sayı 26751), md. 4, 19, 20, 21, 27, 28; Uyum Programı Hakkında Yönetmelik (RG 16.9.2008, Sayı 26999), md. 6, 12, 16, 18, 19; Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik (RG 1.12.2021, Sayı 31676), md. 21; Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ (RG 1.12.2021, Sayı 31676), md. 13, 16; Bankaların Destek Hizmeti Almalarına İlişkin Yönetmelik (RG 5.11.2011, Sayı 28106), md. 4; 6698 sayılı Kişisel Verilerin Korunması Kanunu (RG 7.4.2016, Sayı 29677), md. 11, 28; KVKK Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler (Nisan 2025); (AB) 2024/1689 sayılı Tüzük (AI Act, ABRG L 12.7.2024), md. 2, 6, 26, 27, 111, 113, Ek III; (AB) 2026/1744 sayılı Tüzük (Dijital Omnibus, ABRG L 24.7.2026); (AB) 2024/1624 sayılı Tüzük (AMLR, ABRG L 19.6.2024), md. 18, 76, 77, 90; (AB) 2024/1620 sayılı Tüzük (AMLA, ABRG L 19.6.2024), md. 17; EBA/GL/2019/02; EBA/GL/2026/09 (nihai rapor 18.9.2026).
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki tavsiye niteliği taşımaz; somut durum için hukuki destek alınmalıdır.
