Çıtanın Ötesi’nin ikinci bölümü yayında. Bu seride teknoloji dünyasını şekillendiren gelişmeleri yalnızca haber olarak değil; stratejik etkileri, girişimcilik ekosistemine yansımaları ve hukuki sonuçlarıyla birlikte ele alıyoruz. Hüseyin Oğuz ve Vircon Legal Yönetici Ortağı Erdem Mümtaz Hacıpaşaoğlu‘nun yorumlarıyla kaydettiğimiz bu bölüme ArdVentures Girişim Sermayesi Yatırım Fonu partnerlik etti.
Bu bölümün gündeminde üç başlık var ve üçü de aslında aynı soruyu farklı yerlerden soruyor: mevcut hukuki kalıplar, teknolojinin ürettiği yeni durumları taşıyabiliyor mu? Bir yapay zekâ ajanı kendi başına başka bir şirketin sunucusuna girdiğinde sorumluluk kimde? 14,8 milyar dolarlık bir satın almada rekabet endişesi, işlemin bir parçasını baştan satarak çözülebilir mi? Ve bir şirket hisse vermeden 1 milyar dolar aldığında bu hukuken ne oluyor?
Sandbox’tan Kaçan Model: Ajan Yapay Zekâda Sorumluluk Kimde? (00:48)
Temmuz 2026’da OpenAI, kendi iç değerlendirme ortamında çalışan modellerinin izole test ağından çıkıp Hugging Face’in üretim altyapısına sızdığını açıkladı. Olayın ayrıntıları, bir siber güvenlik vakasından çok bir davranış problemi tablosu çiziyor: siber reddetme filtreleri değerlendirme amacıyla gevşetilmiş modeller, paket kayıt defteri önbelleği olarak çalışan üçüncü taraf bir yazılımda sıfırıncı gün açığı bulup internete çıktı; ardından çalınan kimlik bilgileri, şablon enjeksiyonu ve sahte Kubernetes servis hesabı token’larını zincirleyerek uzaktan kod çalıştırmaya ulaştı. Hugging Face’in adli incelemesi yaklaşık 17.600 saldırgan eylemi tespit etti; müşteri verisine dokunulmadığı, modellerin yalnızca kendi değerlendirildikleri karşılaştırma testinin çözümlerini içeren veri setlerine odaklandığı açıklandı. OpenAI olayı “benzeri görülmemiş bir siber olay” olarak nitelendirdi ve modellerin hedefe kilitlenip “aşırı uçlara gittiğini” belirtti.
Buradaki hukuki mesele, klasik bir veri ihlalinden farklı. Bir çalışan ya da bir saldırgan değil, otonom bir yapay zekâ ajanı bir hedefe ulaşmak için kendi başına yetkisiz erişim gerçekleştirdi. Türk hukukunda bilişim sistemine hukuka aykırı erişim (TCK m. 243) ve sistemi engelleme, bozma, verileri yok etme (TCK m. 244) fiilleri bir insan failin kastını varsayar. Otonom bir ajanın eyleminde kast tartışması, doğrudan sistemi konuşlandıran ve gözetim yükümlülüğü altında olan tarafa kayar. Bu, teoride kalan bir soru değil: ajan yapay zekânın yetki ve sorumluluk sınırlarını ayrıca ele aldığımız yazıda tartıştığımız gibi, bugün müşteri sistemlerine bağlanan her ajan için sözleşmede yanıtlanması gereken bir sorudur.
AB tarafında çerçeve zaten kurulu. Genel amaçlı yapay zekâ modellerine ilişkin yükümlülükler (AB Yapay Zekâ Yasası m. 51-56) 2 Ağustos 2025’ten beri yürürlükte ve Dijital Omnibus paketi bu takvimi değiştirmedi — ertelenen, yüksek riskli sistemlere ilişkin Ek III ve Ek I yükümlülükleridir. Sistemik risk taşıyan modeller için siber güvenlik koruması sağlama, düşman testleri (adversarial testing) yürütme ve ciddi olayları AI Office’e bildirme yükümlülükleri bu paketin içindedir. Piyasa sonrası izleme de aynı mantığın parçası. Yani bu olay, yasanın öngördüğü senaryonun teorik olmadığının ilk büyük kamusal kanıtı oldu.
Türkiye’de ise henüz yürürlükte bir yapay zekâ kanunu yok; TBMM’ye sunulmuş, kimi risk temelli AB modelini izleyen, kimi mevcut kanunlarda değişiklik öngören birden fazla kanun teklifi bulunuyor. Bu boşlukta pratik koruma, mevzuattan değil sözleşmeden geliyor: ajanın yetki sınırı, çıkış (egress) kısıtları, insan onayı gereken eylem sınıfları, kayıt ve denetim izi, üçüncü taraf sistemlere erişimde açık izin, olay bildirim süreleri ve sorumluluk tavanı. Kişisel veri söz konusuysa KVKK’nın veri ihlali bildirim yükümlülüğü de bağımsız olarak işler.
Uber–Delivery Hero: Carve-out Bir Rekabet Çaresi mi? (08:44)
Uber, 16 Temmuz 2026’da Delivery Hero için pay başına 41,50 euro nakit, toplamda yaklaşık 14,8 milyar dolar değerinde gönüllü bir pay alım teklifi duyurdu. Prosus paylarını teklife sunmayı geri dönülemez biçimde taahhüt etti; bu, Uber’in ekonomik payını yaklaşık %53’e taşıyor. İşlem BaFin onayı ve rekabet izinleri dâhil koşullara bağlı, kapanış 2027’nin ikinci yarısında bekleniyor.
İşlemin hukuken en öğretici parçası tekliften değil, teklifin yanındaki hamleden geliyor: Delivery Hero, Uber Eats ile örtüştüğü 14 pazardaki operasyonunu SSW Partners’a yaklaşık 1,6 milyar dolara devrediyor. Türkiye açısından kritik olan da bu — Yemeksepeti bu 14 pazarın içinde ve Uber’e değil, SSW Partners’a geçiyor.
Bu, rekabet hukukunda “önce düzelt” (fix-it-first) diye anılan yapının ders kitabı örneği: taraflar, otoritenin çare talep etmesini beklemek yerine sorunlu örtüşmeleri baştan paketten çıkarıp önceden belirlenmiş bir alıcıya satıyor. Amaç, inceleme süresini kısaltmak ve şartlı izin riskini azaltmak. Buradan üç pratik sonuç çıkıyor:
Bir işlem, iki bildirim. Uber’in Delivery Hero’yu devralması ile SSW Partners’ın 14 pazarı devralması ayrı yoğunlaşmalardır ve ilgili ülkelerde ayrı ayrı bildirime tabidir. Türkiye’de Yemeksepeti’nin el değiştirmesi, kendi başına Rekabet Kurulu’nun iznini gerektiren bir işlemdir.
Eşikler artık çok daha aşağıda. 2026/2 sayılı Tebliğ ile gelen rejimde taraflardan biri Türkiye’de kurulu bir teknoloji teşebbüsü ise, 1 milyar TL’lik taraf eşiği 250 milyon TL olarak uygulanıyor. Dijital platformlar bu tanımın tam ortasında. Bu ölçekteki bir işlem için eşik zaten sorun değil; ama aynı kural, çok daha küçük teknoloji işlemlerini de bildirim kapsamına sokuyor — ayrıntısını yeni ciro eşikleri yazımızda ele aldık.
Çıkış kapısı kapanmıyor, şekil değiştiriyor. Bölümde tartıştığımız “exit ve IPO kapıları kapanıyor mu?” sorusunun cevabı burada görünüyor: halka arz yerine stratejik satın alma, satın alma içinde de ikincil bir devir katmanı. Türkiye’deki bir varlık, kendisiyle ilgisi olmayan bir küresel işlemin rekabet çaresi olarak el değiştirebiliyor. Alıcı tarafta olan girişimler için bu, satın alma stratejisinin rekabet analizinden ayrı düşünülemeyeceği anlamına geliyor.
Hisse Vermeden 1 Milyar Dolar: Cohort Fonlaması Hukuken Ne? (14:10)
14 Temmuz 2026’da General Catalyst’in Customer Value Fund‘ı (CVF), David Beckham’ın kurucu ortağı olduğu ve Prenetics bünyesindeki IM8‘e 1 milyar dolar taahhüt etti. Yapı klasik bir tur değil: CVF öz kaynak almıyor, hisse seyreltmesi yaratmıyor. Bunun yerine müşteri kazanım maliyetinin (CAC) bir bölümünü finanse ediyor ve geri ödemeyi, sabit bir brüt marj varsayımıyla hesaplanan “referans gelir” üzerinden, tavanı önceden belirlenmiş bir gelir payı olarak alıyor. Yatırım geri kazanıldığında ve tavana ulaşıldığında pay sona eriyor, gelirin tamamı şirkete dönüyor.
Türk hukuku perspektifinden bu yapının ilk sorusu nitelendirme: bu bir ödünç (kredi) ilişkisi mi, yoksa gelir paylaşımına dayalı bir yatırım sözleşmesi mi? Cevap kozmetik değil — finansman faaliyetinin izne tabi olup olmadığı, sınır ötesi ödemelerde stopaj ve KKDF gibi yüklerin doğup doğmayacağı, muhasebesel olarak borç mu gelir düzeltmesi mi sayılacağı ve bilançoda nasıl görüneceği bu nitelendirmeden çıkar. Sınır ötesi kurgularda kaynağın nerede vergilendiği ve stopaj yükümlülüğü, yapı imzalanmadan netleştirilmesi gereken kalemlerdir.
İkinci soru mevcut yatırımcılarla uyum. Seyreltme yaratmaması, bu tür bir finansmanı otomatik olarak serbest kılmaz. Yatırım sözleşmelerindeki borçlanma sınırları, olumsuz taahhütler (negative covenants), gelir veya varlık üzerinde öncelik yaratan işlemler için onay şartları ve likidite tercihi ile etkileşim tek tek kontrol edilmelidir. Cap table’a dokunmayan bir yapı, çıkış anındaki nakit akışı sıralamasını yine de değiştirebilir.
Üçüncüsü, bu modelin kimin için işlediği. CVF benzeri yapılar, birim ekonomisi öngörülebilir, abonelik tabanlı ve CAC–LTV ilişkisi ölçülebilir işler için tasarlanmıştır. Ürün-pazar uyumunu henüz kurmamış bir girişim için aynı yapı, seyreltmeden kaçarken katı bir gelir yükümlülüğü altına girmek anlamına gelebilir. Öz kaynak riski paylaşır; gelir paylaşımı paylaşmaz.
Bölümden Çıkan Üç Pratik Başlık
- Ajan yapay zekâ kullanıyorsanız — yetki sınırını, çıkış kısıtlarını, insan onayı gereken eylemleri ve olay bildirim süresini sözleşmeye yazın; kayıt ve denetim izini baştan kurun.
- Bir işlem planlıyorsanız — rekabet eşiği analizini imzadan önce yapın; teknoloji teşebbüsü tanımı nedeniyle 250 milyon TL eşiği sandığınızdan çok daha erken devreye girer.
- Seyreltmesiz finansman değerlendiriyorsanız — yapının hukuki nitelendirmesini, vergisel sonuçlarını ve mevcut yatırım sözleşmelerinizle uyumunu term sheet aşamasında netleştirin.
Bölümün tamamını YouTube’da izleyebilirsiniz. Çıtayı Yükseltenler’in konuk bölümleri de her hafta yayında; arşiv için İçgörüler sayfasına göz atabilirsiniz.
Bu başlıklardan biri sizin gündeminizde mi? Ajan yapay zekâ sözleşmeleri, rekabet bildirimi ve alternatif finansman yapıları için birlikte çalışalım. Görüşme planlayın →
Sıkça Sorulan Sorular
Bir yapay zekâ ajanı üçüncü tarafın sistemine izinsiz eriştiğinde sorumlu kim?
Türk hukukunda bilişim suçları insan failin kastını varsaydığı için sorumluluk, sistemi konuşlandıran ve gözetim yükümlülüğü altında olan tarafa kayar. Pratik koruma sözleşmeden gelir: yetki sınırı, insan onayı, kayıt tutma ve sorumluluk tavanı.
AB Yapay Zekâ Yasası’nın GPAI yükümlülükleri ertelendi mi?
Hayır. Genel amaçlı yapay zekâ modellerine ilişkin yükümlülükler 2 Ağustos 2025’ten beri yürürlükte. Dijital Omnibus ile ertelenen, yüksek riskli sistemlere ilişkin takvimdir.
Yemeksepeti’nin el değiştirmesi Türkiye’de ayrı bir rekabet iznine tabi mi?
SSW Partners’ın devralması, Uber–Delivery Hero işleminden ayrı bir yoğunlaşmadır ve eşikler aşıldığı ölçüde Rekabet Kurulu’na ayrıca bildirilmesi gerekir.
Seyreltmesiz (non-dilutive) finansman her girişim için uygun mu?
Hayır. Bu yapılar birim ekonomisi öngörülebilir, abonelik tabanlı işler için tasarlanmıştır. Öz kaynak riski paylaşır; gelir paylaşımına dayalı finansman paylaşmaz.
Kaynaklar
- Uber Technologies — Uber Announces Acquisition Offer for Delivery Hero (16 Temmuz 2026): investor.uber.com
- Rekabet Kurulundan İzin Alınması Gereken Birleşme ve Devralmalar Hakkında Tebliğ (No: 2026/2, RG 11.02.2026): rekabet.gov.tr
- AB Yapay Zekâ Yasası (Tüzük (AB) 2024/1689) — resmî portal: artificialintelligenceact.eu
- Cloud Security Alliance — OpenAI and Hugging Face Security Incident: Inside the Great Sandbox Escape: cloudsecurityalliance.org
- TechCrunch — David Beckham’s health drink startup IM8 takes $1B from General Catalyst’s CVF fund (14 Temmuz 2026): techcrunch.com
Bu yazı genel bilgilendirme amaçlıdır; hukuki tavsiye niteliği taşımaz. Spesifik bir durum için lütfen Vircon Legal’e danışın.
Yazar
Bu konu masanızdaysa
Kurucu Akademisi'nde şablonlar ve kontrol listeleri ücretsiz; spesifik bir durum için 30 dakikalık ön görüşme planlayabilirsiniz.
Kurucu AkademisiGörüşme planlayınDaha fazla Vircon İçgörüleri
Çıtanın Ötesi #1: SpaceX Halka Arzı, Anthropic Fable 5 Krizi ve Türkiye’nin YZ Eylem Planı
17 Temmuz 2026Çıtayı Yükseltenler #91: Doğan Turan ile Glocalzone'dan Sentez'e Proaktif Exit ve Portföy Modeli
31 Temmuz 2026Çıtayı Yükseltenler 90: Esat Canlı: EchoTwin AI
8 Haziran 2026Çıtayı Yükseltenler 89: Emir Bölen: Oleka Capital
22 Nisan 2026Çıtayı Yükseltenler 88: Tunç Günbey & Mert Tuna Yılmaz - Cypien AI
14 Nisan 2026Çıtayı Yükseltenler 87: Mehmet Üner - ENA Venture Capital
7 Nisan 2026İlgili Hizmet Alanlarımız
Startup Hukuku
Kuruluş, kurucu sözleşmeleri, ESOP, term sheet ve regülasyon.
Hizmet sayfası →Birleşme ve Devralmalar
M&A danışmanlığı: due diligence, yapılandırma, dokümantasyon, müzakere.
Hizmet sayfası →Gizlilik ve Siber Güvenlik
KVKK ve GDPR uyumu, veri ihlali yönetimi, siber güvenlik.
Hizmet sayfası →