Türkiye’de bir fintech iş modelinin hayata geçip geçemeyeceğini çoğu zaman teknoloji değil hukuk belirliyor. 2026-2027’nin neredeyse her trendi ya bir lisans sahibine ayrılmış bir faaliyete ya da açık bir yasağa takılıyor. Kurallar da durmuyor: FAST işlem limiti 26 Ağustos 2026’da 300.000 TL’ye çıktı, TCMB 4 Eylül 2026’da biyometrik uzaktan kimlik tespitini düzenlemeye ekledi. Bu rehber, sekizi kurumsal (B2B) ve sekizi bireysel (B2C) olmak üzere on altı trendi, doğurduğu hukuki soru, temel Türk ve AB kuralı ve ayrıntılı yazımızla eşleştiriyor. Durum Ekim 2026 itibarıyladır.
Kurumsal finans (B2B): sekiz trend
| Trend | Hukuki soru | Temel Türk kuralı | Temel AB kuralı | Yazımız |
|---|---|---|---|---|
| 1. Tokenize para ve RWA (tokenize mevduat, stablecoin, toptan dijital merkez bankası parası) | Token ödemede kullanılabilir mi, hangi hakkı temsil ediyor? | TCMB’nin Ödemelerde Kripto Varlıkların Kullanılmamasına Dair Yönetmeliği md. 3/2, 4/2; 6362 sayılı Kanun md. 3/1-bb, 35/B | MiCA md. 48-50 (e-para tokenleri) | Tokenize para; RWA tokenizasyonu |
| 2. Programlanabilir hazine (koşullu ödeme, 7/24 teminat hareketi) | Koda bağlanan koşul geçerli mi, bu arada parayı kim tutabilir? | TBK md. 170, 175; 6493 sayılı Kanun md. 10, 14/3; TCMB Ödeme Hizmetleri Yönetmeliği md. 34 | Mutabakat Kesinliği Direktifi 98/26/EC; Finansal Teminat Direktifi 2002/47/EC | Programlanabilir hazine |
| 3. Yapay zekâ destekli operasyon (KYC/AML, kredi, arka ofis) | Karar modele bırakılabilir mi, model yanılırsa kim sorumlu? | MASAK Uyum Programı Yönetmeliği md. 18/2, 19/1-e; Destek Hizmetleri Yönetmeliği md. 4/1-b | AI Act Ek III 5(b); AMLR md. 76(5) | KYC, AML ve kredide yapay zekâ |
| 4. Hizmet olarak bankacılık (BaaS) | Her düzenlenmiş adımın lisansı kimde? | 6493 sayılı Kanun md. 13, 18; Bankacılık Kanunu md. 60; Dijital Bankalar Yönetmeliği md. 13 | PSD2 md. 11; CRD md. 21c (CRD VI ile eklendi) | BaaS ve gömülü finans |
| 5. Sınır ötesi ödemeler (ISO 20022, G20’nin 2027 hedefleri) | Her koridorda hangi lisans, döviz kuralı ve veri seti geçerli? | 6493 sayılı Kanun md. 12/1-ç; Tedbirler Yönetmeliği md. 24; İhracat Genelgesi geçici md. 4 | Tüzük (AB) 2023/1113 | Sınır ötesi ödemeler |
| 6. Açık finans (PSD2’den PSD3 ve FiDA’ya) | Ödeme hesapları dışındaki veri paylaşılabilir mi? | 6493 sayılı Kanun md. 12/1-f, g; Bankacılık Kanunu md. 73/3 | PSR uzlaşı metni md. 35, 43; FiDA teklifi COM(2023) 360 | Açık finans ve FiDA |
| 7. Dayanıklılık ve kuantum sonrası şifreleme | Sistemler nerede durmalı, BT riskini kim yönetir? | TCMB Bilgi Sistemleri Tebliği md. 21/1; BDDK Bilgi Sistemleri Yönetmeliği md. 25/1; 7545 sayılı Kanun md. 7/1-b | DORA md. 28-30; Yetki Devrine Dayalı Tüzük 2024/1774 md. 6(4) | DORA ve kuantum sonrası şifreleme |
| 8. İklim fintech’i (AB ETS, SKDM, karbon kredisi, ESG verisi) | Emisyonu kim raporlar ve öder, karbon tokeni nedir? | 7552 sayılı İklim Kanunu md. 9; ETS Yönetmeliği (RG 27.8.2026) | SKDM (CBAM) Tüzüğü 2023/956 md. 4, 9 (2025/2083 sayılı Tüzükle değişik); Direktif 2024/825 | İklim fintech’i |
Bireysel finans (B2C): sekiz trend
| Trend | Hukuki soru | Temel Türk kuralı | Temel AB kuralı | Yazımız |
|---|---|---|---|---|
| 1. Ajan tabanlı ticaret | Yapay zekâ ajanı ödediğinde müşteri onay vermiş sayılır mı? | TCMB Ödeme Hizmetleri Yönetmeliği md. 52; TBK md. 40-47 | PSD2 md. 64(2); AI Act md. 50(1) | Ajan tabanlı ticaret |
| 2. Üretken yapay zekâ ile kişiselleştirilmiş finans koçluğu | Sohbet botu ne zaman yatırım danışmanlığına dönüşür? | 6362 sayılı Kanun md. 37, 39, 109; SPK III-37.1 sayılı Tebliğ md. 45 | MiFID II md. 4(1)(4); AI Act md. 50(1) | Yapay zekâ finans asistanları |
| 3. Gömülü finans | Marka yönlendiren iş ortağı mı, temsilci mi, lisanssız sağlayıcı mı? | 6493 sayılı Kanun md. 13, 14/4, 20/4; TCMB Ödeme Hizmetleri Yönetmeliği md. 18, 21 | PSD2 md. 19-20 | BaaS ve gömülü finans |
| 4. Anlık ve hesaptan hesaba ödemeler (FAST, karekod ortak arayüzü) | Hangi karekod formatı zorunlu, transfer geri alınabilir mi? | TR Karekod Yönetmeliği md. 4/1; TCMB Ödeme Hizmetleri Yönetmeliği md. 64/1 | Anlık Ödemeler Tüzüğü (AB) 2024/886 | FAST ve TR Karekod |
| 5. Dijital kimlik ve cüzdanlar (biyometri, e-KYC) | Hangi müşteri için hangi uzaktan kimlik tespiti yolu hukuka uygun? | TCMB Ödeme Hizmetleri Yönetmeliği md. 41/4; MASAK 19 Sıra No’lu Genel Tebliğ md. 4/C; KVKK md. 6 | eIDAS 2 md. 5f(2); AMLR md. 22(6) | Dijital kimlik ve e-KYC |
| 6. Tokenize varlıklara erişim (tokenize fon, kısmi mülkiyet) | Bireysel yatırımcıya verilen tokenin temsil ettiği hak hangi rejime tabi? | 6362 sayılı Kanun md. 13/1, 109/1; TMK md. 705 | MiCA md. 2(4); DLT Pilot Rejimi (AB) 2022/858 | Tokenize fonlar; Tokenize para |
| 7. Alternatif veriyle kredi skorlama | Başvuru sahibi modele itiraz edebilir mi, model yüksek riskli mi? | KVKK md. 11/1-g; Destek Hizmetleri Yönetmeliği md. 4/1-b | AI Act Ek III 5(b), md. 27 | Yapay zekâ ile kredi skorlama |
| 8. Yapay zekâ destekli dolandırıcılık (deepfake, ödeme dolandırıcılığı, siber güvenlik) | Müşteri kandırıldığında zarar kimde kalır? | TCMB Ödeme Hizmetleri Yönetmeliği md. 52, 54, 69; TCK md. 158/4 | PSR uzlaşı metni md. 59; AI Act md. 50(4) | Deepfake ve APP dolandırıcılığı |
Lisans çevresi: ürünü değil, düzenlenmiş adımı sorun
Bankalar, elektronik para kuruluşları, ödeme kuruluşları ve PTT dışında kimse ödeme hizmeti sunamaz (6493 sayılı Kanun md. 13); TCMB izni olmadan ödeme veya elektronik para kuruluşu gibi faaliyet göstermenin cezası bir yıldan üç yıla kadar hapistir (md. 28/1). Mevduat kabulü kredi kuruluşlarına ayrılmıştır (5411 sayılı Bankacılık Kanunu md. 60). Ödeme ve elektronik para kuruluşları kredi veremez (6493 sayılı Kanun md. 14/4, 20/4). Yatırım hizmetleri için SPK izni gerekir (6362 sayılı Kanun md. 39); kripto varlık hizmet sağlayıcılar için de öyle (md. 35/B). İzinsiz kripto varlık hizmet sağlayıcılığının cezası üç yıldan beş yıla kadar hapistir (md. 109/A).
Bunların üstünde lisansla aşılamayan bir yasak var: kripto varlıklar “ödemelerde doğrudan veya dolaylı şekilde kullanılamaz” (TCMB’nin 16 Nisan 2021 tarihli Yönetmeliği md. 3/2), ödeme ve elektronik para kuruluşları kripto platformlarına veya bu platformlardan yapılacak fon aktarımlarına aracılık edemez (md. 4/2). Stablecoin ile nakit bacağı ya da kriptoyla ödeme alan bir kasa bugün bu nedenle mümkün değil. Tokenize varlıklarda ilk soru, tokenin hangi hakkı temsil ettiğidir: tokenin el değiştirmesi taşınmaz mülkiyetini devretmez (TMK md. 705).
Yapay zekâ yönetişimi: kararı hâlâ belirli bir kişi verir
Uyum birimi personeli uyarıları değerlendirebilir, ancak MASAK’a bildirim yapılıp yapılmayacağına karar veremez (Uyum Programı Yönetmeliği md. 18/2); kararı uyum görevlisi verir (md. 19/1-e). Bankalar kredi değerlendirmesini ve kredi kararını destek hizmeti kuruluşundan alamaz (Destek Hizmetleri Yönetmeliği md. 4/1-b). Kişi, münhasıran otomatik sistemlerle yapılan analiz sonucu aleyhine çıkan sonuca itiraz edebilir (KVKK md. 11/1-g). Belirli bir kişiye sermaye piyasası araçları hakkında yönlendirici tavsiye veren bir asistan, uyarı metni ne derse desin yatırım danışmanlığı yapar (SPK III-37.1 sayılı Tebliğ md. 45). 1 Ağustos 2026’dan beri reklamlarda tüketicinin ekonomik davranışını önemli ölçüde etkileyen yapay zekâ kullanımının belirtilmesi gerekiyor (Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliği md. 18/8).
AB kullanıcıları için AI Act’in 50. maddesindeki şeffaflık yükümlülükleri 2 Ağustos 2026’dan itibaren uygulanıyor; o tarihten önce piyasaya sunulmuş üretken yapay zekâ sistemlerinin sağlayıcıları ise 50(2) maddesindeki işaretleme yükümlülüğüne 2 Aralık 2026’ya kadar uymak zorunda. Yapay Zekâ Dijital Omnibus Tüzüğü ((AB) 2026/1744), gerçek kişilerin kredi skorlamasına ilişkin yüksek risk kurallarını, uygulayıcıların temel haklar etki değerlendirmesi (md. 27) dahil, 2 Aralık 2027’ye erteledi.
Veri paylaşımı: ödeme hesapları açık, gerisi değil
Türkiye’de açık bankacılık ödeme hesaplarında duruyor: 6493 sayılı Kanun md. 12/1-f ve g kapsamındaki ödeme emri başlatma ve hesap bilgisi hizmetleri, BKM’nin geliştirdiği Ödeme Hizmetleri Veri Paylaşım Servisleri (ÖHVPS) üzerinden yürüyor (kart bilgileri 17 Mart 2026’da eklendi). Bunun ötesinde müşteri sırrı niteliğindeki bilgiler, KVKK kapsamında açık rıza alınsa dahi müşterinin talebi ya da talimatı olmadan üçüncü kişilerle paylaşılamaz (Bankacılık Kanunu md. 73/3); KVKK md. 11 ise veri taşınabilirliği hakkı içermiyor. AB’de FiDA hâlâ teklif aşamasında; PSR’nin nihai uzlaşı metni 17 Nisan 2026 tarihli, resmî kabul süreci ise devam ediyor. Orta Vadeli Program (2027-2029), KVKK’nın GDPR ile uyumunun 2027’nin üçüncü çeyreğinde tamamlanmasını hedefliyor.
Dolandırıcılıkta sorumluluk: kimin ödeyeceğini yetkilendirme belirler
Ödeme işlemi, gönderen onay verdiğinde yetkilendirilmiş sayılır (TCMB Ödeme Hizmetleri Yönetmeliği md. 52/2); mutabık kalınan yönteme uygun onaylanmamış işlem yetkilendirilmemiş sayılır (md. 52/3). Yetkilendirilmemiş işlemde ispat yükü ödeme hizmeti sağlayıcısındadır (md. 54/2), gönderen ise bildirimden önceki 24 saat için en fazla 250 TL’den sorumludur; hile, kast veya ağır ihmal hâlinde bu sınır uygulanmaz (md. 54/4-5); tüketici olmayan müşterilerle bu korumalar sözleşmeyle değiştirilebilir (md. 72). Kandırılan müşteri talimatı kendisi verdiyse işlem yetkilendirilmiştir: verilen IBAN’a yapılan ödeme doğru gerçekleştirilmiş sayılır (md. 69) ve bulabildiğimiz hiçbir Türk kuralı otomatik iade öngörmüyor. FAST ödeme emri, gönderenin ödeme hizmeti sağlayıcısına ulaştıktan sonra, aksi kararlaştırılmadıkça geri alınamaz (md. 64/1). 31 Temmuz 2026’dan beri TCK md. 158/4, iştirakin yalnızca kart veya hesap erişim araçlarını vermekle sınırlı kaldığı hâllerde cezayı yarı oranında indiriyor. AB’nin PSR uzlaşı metni ise banka kimliğine bürünme dolandırıcılığında tüketiciye iade hakkı tanıyor (md. 59); metin henüz kabul edilmedi.
2026-2028 kritik tarihler
| Tarih | Ne oluyor? | Yazı |
|---|---|---|
| 7 Ekim 2026 | 30.000 TL ve üzeri elektronik transferlerde teyitli gönderen bilgisi | Sınır ötesi |
| 24 Aralık 2026 (bizim hesabımız) | AB üye devletleri Avrupa Dijital Kimlik Cüzdanı sunmalı | e-KYC |
| 11 Ocak 2027 | CRD VI: üçüncü ülke şirketleri bir üye devlette mevduat kabulü için o devlette yetkili şube kurmalı (istisnalar saklı) | BaaS |
| 18 Ocak 2027 (en geç) | ABD GENIUS Act yürürlüğe giriyor | Tokenize para |
| 31 Ocak 2027 | İhracat bedellerinin en az %35’inin bankaya satılması kuralı bu tarihe kadar geçerli | Sınır ötesi |
| 2027 sistem yılı | Türkiye ETS’de fiyat mekanizması başlıyor | İklim |
| 9 Nisan 2027 | Euro bölgesindeki ödeme ve elektronik para kuruluşları anlık euro transferi sunmalı | FAST |
| 10 Temmuz 2027 | AB AMLR uygulanmaya başlıyor | Yapay zekâ operasyonları |
| 30 Eylül 2027 | 2026 ithalatı için ilk SKDM beyanı ve sertifika teslimi | İklim |
| 2 Aralık 2027 | Kredi skorlama dahil Ek III sistemleri için AI Act yüksek risk kuralları | Kredi skorlama |
| 24 Aralık 2027 (bizim hesabımız) | Bankalar dahil güçlü kullanıcı doğrulaması kullanmak zorunda olan özel güvenen taraflar AB cüzdanını talep üzerine kabul etmeli (mikro ve küçük işletmeler hariç) | e-KYC |
| 2027 sonu | G20 sınır ötesi ödeme hedefleri (bağlayıcı değil) | Sınır ötesi |
| 2028’e kadar | ECB, Pontes’in tam uygulamasını ve Appia için bir yol haritası taslağını öngörüyor | Tokenize para |
Nereden başlamalı?
- Her ürünün fon akışını çizin ve her düzenlenmiş adımda lisans sahibini adlandırın.
- Nakit bacağını kripto varlıkla değil, banka veya TCMB lisanslı kuruluş üzerinden yürütün.
- Token basmadan önce hangi hakkı kime karşı verdiğini yazılı hâle getirin.
- Model ve ajanlarınızın envanterini, her kararın sahibi olan kişiyle birlikte tutun.
- Yetkilendirilmiş ve yetkilendirilmemiş dolandırıcılık vakaları için ayrı iade kuralları yazın.
- Her veri kaynağını ÖHVPS, müşteri talimatı (Bankacılık Kanunu md. 73/3) veya bir KVKK işleme şartı üzerinden yürütün.
- Yukarıdaki tarihleri uyum takviminize ekleyin. Fintech hukuku sayfamız bu tarihleri izliyor.
Türkiye’de bir fintech’e hangi kurum lisans verir?
Faaliyete göre değişir: ödeme ve elektronik para kuruluşları TCMB’den izin alır (6493 sayılı Kanun md. 14/1, 18/2); yatırım kuruluşları ve kripto varlık hizmet sağlayıcılar SPK’dan izin alır (6362 sayılı Kanun md. 39, 35/B); finansman şirketleri BDDK Kurulundan izin alır (6361 sayılı Kanun md. 4).
Bir Türk şirketi stablecoin ile ödeme yapabilir veya tahsilat alabilir mi?
Hayır. Ödemelerde Kripto Varlıkların Kullanılmamasına Dair Yönetmelik md. 3/2 kripto varlıkların ödemelerde doğrudan veya dolaylı kullanımını yasaklıyor ve bizim okumamıza göre stablecoin bir kripto varlıktır: 6362 sayılı Kanun’da Ekim 2026 itibarıyla ayrı bir stablecoin kategorisi yok.
AB Yapay Zekâ Tüzüğü (AI Act) bir Türk fintech’ine uygulanır mı?
Uygulanabilir: Tüzük, yapay zekâ sistemini AB pazarına sunan AB dışındaki sağlayıcıya ve çıktısı Birlik’te kullanılan AB dışındaki sağlayıcı veya uygulayıcıya uzanır (md. 2(1)). Madde 50 bugün uygulanıyor; kredi skorlamaya ilişkin yüksek risk yükümlülükleri 2 Aralık 2027’den itibaren uygulanacak.
Kaynak. 6493 sayılı Kanun (RG 27.6.2013/28690), md. 10, 12-14, 18, 20, 28; Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik (RG 1.12.2021/31676, RG 4.9.2026/33360’a kadar değişiklikleriyle), md. 18, 21, 34, 41, 52, 54, 64, 69, 72; TCMB Bilgi Sistemleri Tebliği (RG 1.12.2021/31676), md. 21; Ödemelerde Kripto Varlıkların Kullanılmamasına Dair Yönetmelik (RG 16.4.2021/31456), md. 3, 4; 6362 sayılı Sermaye Piyasası Kanunu (RG 30.12.2012/28513), md. 3, 13, 35/B, 39, 109, 109/A, 7518 sayılı Kanun (RG 2.7.2024/32590) ile değişik; SPK III-37.1 sayılı Tebliğ, md. 45; 5411 sayılı Bankacılık Kanunu (RG 1.11.2005/25983 Mükerrer), md. 60, 73; 6361 sayılı Kanun (RG 13.12.2012/28496), md. 4; Bankaların Destek Hizmeti Almalarına İlişkin Yönetmelik (RG 5.11.2011/28106), md. 4; MASAK Uyum Programı Yönetmeliği (RG 16.9.2008/26999), md. 18, 19; 6698 sayılı KVKK (RG 7.4.2016/29677), md. 6, 11; 4721 sayılı Türk Medeni Kanunu (RG 8.12.2001/24607), md. 705; 5237 sayılı Türk Ceza Kanunu (RG 12.10.2004/25611), md. 158, 7589 sayılı Kanun (RG 31.7.2026/33326) ile değişik; Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliğinde değişiklik (RG 1.7.2026/33297); Orta Vadeli Program (2027-2029) (RG 6.9.2026/33362 Mükerrer); Tüzük (AB) 2024/1689 (AI Act) (OJ L, 12.7.2024), md. 2, 27, 50, Ek III, Tüzük (AB) 2026/1744 ile değişik; Tüzük (AB) 2023/1114 (MiCA) (OJ L 150, 9.6.2023), md. 2, 48-50; PSR nihai uzlaşı metni, Konsey belgesi 8221/26 (17.4.2026), md. 35, 43, 59; Tüzük (AB) 2024/1624 (AMLR) (OJ L, 19.6.2024), md. 22, 76, 90. Diğer kaynaklar bağlantı verilen yazılarda yer alıyor.
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki tavsiye niteliği taşımaz; somut durum için hukuki destek alınmalıdır.
Yazar
Daha fazla Vircon İçgörüleri
Türkiye'de Açık Bankacılık: Fintech'ler İçin Pratik Hukuki Rehber (2026)
18 Ekim 2026PSD2'den Sonra Açık Finans: AB FiDA Teklifi Nerede ve Türkiye İçin Ne Anlama Geliyor? (2026)
2 Kasım 2026Anlık ve Hesaptan Hesaba Ödemeler: FAST, TR Karekod ve AB Anlık Ödemeler Tüzüğü (İş Yerleri ve Fintech'ler İçin)
27 Ekim 2026DORA, Bulut Yoğunlaşması ve Kuantum Sonrası Şifreleme: Türk Fintech'ler İçin Operasyonel Dayanıklılık Haritası (2026)
24 Ekim 2026İklim Fintech'i: SKDM (CBAM), Türkiye ETS, Karbon Kredisi ve ESG Verisi
22 Ekim 2026Stablecoin, Tokenize Mevduat ve Toptan Dijital Para: Türk Şirketleri İçin Hukuki Durum (Ekim 2026)
21 Ekim 2026İlgili Hizmet Alanlarımız
ICO'lar & Kripto Para Birimleri Blockchain
Kripto varlık regülasyonu, token arzı, exchange ve custody lisansı.
Hizmet sayfası →Gizlilik ve Siber Güvenlik
KVKK ve GDPR uyumu, veri ihlali yönetimi, siber güvenlik.
Hizmet sayfası →Bilişim Hukuku
SaaS, yazılım lisansı, bulut hizmetleri ve BT sözleşmeleri.
Hizmet sayfası →