Deepfake Görüntüyle Kimlik Sahteciliğinin Hukuki Boyutu

Yapay zekâ ile bir kişinin yüzü, sesi veya görüntüsü taklit edilerek üretilen sahte içerikler, artık sahte yatırım reklamından görüntülü görüşmede yönetici taklidine ve bankacılık uygulamasında biyometrik canlılık testinin atlatılmasına kadar geniş bir alanda mağduriyete yol açıyor. Yazıda deepfake içeriğin Türk hukukunda hangi suç ve hukuk hükümleriyle karşılandığı, bankanın güven kurumu olarak yükümlülükleri, içeriğin kaldırılması ve erişim engeli yolları, delil tespiti ve anonim hesaplarda failin bulunması, açılacak ceza ve tazminat davalarında uyulması gereken süreler aşama aşama ele alınıyor.

Deepfake İçeriğin Hukuki Niteliği ve Uygulanacak Ceza Hükümleri

Türk Ceza Kanunu'nda yalnızca deepfake adıyla düzenlenmiş bağımsız bir suç tipi bulunmuyor. Fiil, üretimde kullanılan yapay zekâ tekniğine göre değil, gerçekleştirilen eylemin niteliğine göre nitelendirilir. 5237 sayılı Türk Ceza Kanunu m.2'deki suçta ve cezada kanunilik ilkesi gereği kanunun açıkça suç saymadığı fiilden ceza verilemez; bu nedenle her dosyada ilgili suçun maddi ve manevi unsurları ayrı ayrı kurulmalıdır.

Niteliğe göre Suç Tipinin Belirlenmesi

Yüz, ses ve görüntü kaydı, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin olduğundan kişisel veri niteliğindedir. Bu verilerin hukuka aykırı olarak elde edilmesi, kaydedilmesi, verilmesi veya yayılması TCK m.136/1 kapsamında iki yıldan dört yıla kadar hapis cezası gerektirir.

5237 Sayılı Türk Ceza Kanunu m. 136/1: "Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır."

Yargıtay Ceza Genel Kurulu, E. 2012/1510, K. 2014/331, T. 17.06.2014: "Her türlü kişisel verinin hukuka aykırı olarak başkasına verilmesi, yayılması ve ele geçirilmesi fiillerinin kanunun 136. maddesindeki suçu oluşturduğu kabul edilmelidir."

Karar, gerçek bir kişiye ait görüntünün yeni ve yanıltıcı bir kimlikle sunulmasının hukuki önemini gösterir; yüz ve ses verisinin rıza dışı işlenip yayılması bu madde kapsamında değerlendirilir.

Özel hayatın gizliliğini ihlal (TCK m.134) ile kişisel verilerin hukuka aykırı yayılması (TCK m.136) arasındaki ayrım, üretimde gerçek bir özel kaydın kullanılıp kullanılmadığına göre yapılır. TCK m.134, taklidin gerçek bir özel görüntü veya ses kaydından üretildiği ya da böyle bir kaydı içerdiği durumlarda öne çıkar. Yargıtay 12. Ceza Dairesi, E. 2013/22544, K. 2014/12128, T. 20.05.2014 kararında, gerçek bir özel görüntü içermeyen sahte hesap paylaşımında özel hayatın gizliliğini ihlal nitelendirmesini suç vasfında yanılgı olarak görmüştür.

Deepfake ses veya görüntüyle bir kişi aldatılarak malvarlığı işlemi yaptırıldığında TCK m.158/1-f gündeme gelir. Bilişim sistemlerinin araç olarak kullanılması suretiyle nitelikli dolandırıcılıkta hapis cezasının alt sınırı dört yıldan, adlî para cezası suçtan elde edilen menfaatin iki katından az olamaz.

Yargıtay 15. Ceza Dairesi, E. 2011/15281, K. 2012/40365, T. 02.07.2012: "Kendisini müştekinin tanıdığı […] gibi tanıtıp sesini taklit ederek […] 250 TL […] şeklinde gerçekleşen olayda dolandırıcılık suçunun oluştuğuna yönelik kabulde bir isabetsizlik görülmemiştir."

Karar insan ses taklidinin aldatma aracı olduğu bir olayı ele almaktadır. Bugünkü yapay ses vakalarında işlevi, mağdurun kimlik hakkında yanıltılması ile bu hile nedeniyle malvarlığı işlemi yapması arasındaki bağı göstermesidir.

Bir deepfake görüntünün yayımlanacağı tehdidiyle haksız çıkar istenmesi TCK m.107/2 kapsamında şantaj suçunu oluşturur (TCK m.107/2).

Yargıtay 4. Ceza Dairesi, E. 2013/24285, K. 2015/31943, T. 24.06.2015: "Sanığın, MSN'den görüştüğü mağdura yönelik 'kamerasını açmadığı takdirde, çıplak haliyle yapmış olduğu fotomontaj resmini internet sitelerine yükleyeceğini bildirmesi' şeklindeki eyleminin TCK'nın 107. maddesinde düzenlenen şantaj suçunu oluşturduğu…"

Sahte içerik henüz yayımlanmamış olsa bile şantaj tamamlanabilir.

Failin sırf halk arasında endişe, korku veya panik yaratmak saikiyle gerçeğe aykırı bilgiyi kamu barışını bozmaya elverişli şekilde alenen yayması hâlinde TCK m.217/A uygulanır ve fail suçu gerçek kimliğini gizleyerek işlemişse ceza yarı oranında artırılır.

Herkese Açık Fotoğrafın Kullanılması ve Kişisel Veri İhlali

Herkese açık bir fotoğrafın bulunması, o görüntünün her amaçla kullanılmasına izin vermez. Yargıtay 12. Ceza Dairesi, E. 2015/4349, K. 2016/5349, T. 30.03.2016 kararında, özel hayata ilişkin olmayan ve herkese açık profilden elde edilen fotoğrafların, ilgilinin isim ve soyismi kullanılmadan başka bir profilde yayınlanmasının suç oluşturmadığını belirtmiştir. Karar, bütün fotoğrafların serbestçe kullanılabileceği anlamına gelmez; görüntünün yeni bir kimlik, cinsel içerik, reklam veya dolandırıcılık bağlamına taşınması ilk paylaşım amacını aşar ve TCK m.136/1 ile m.125 kapsamında değerlendirilir.

Ceza Sorumluluğunun Aktörlere göre Ayrıştırılması

İçeriğin yaşam döngüsünde üretim, ilk yükleme, yeniden paylaşım ve reklamla yaygınlaştırma farklı kişilerce yapılabilir. Ceza sorumluluğu şahsidir ve kast her aktör için ayrı kurulur. İçeriği üreten, ürettiren, yayımlayan, yeniden paylaşan veya şantaj ve dolandırıcılık amacıyla kullanan kişinin hukuki durumu aynı değildir; içeriği gerçek zannederek paylaşan ile sahte olduğunu bilerek paylaşan ayrı değerlendirilir.

Rıza dışı cinsel deepfake, gerçek bir özel hayat kaydının yayılmasından farklıdır; üretimde böyle bir kayıt kullanılmışsa elde edilmesi ve ifşası önem kazanır. Çocukların yer aldığı içerikte TCK m.226 uygulanır ve içeriğin yapay zekâyla oluşturulması çocuğun korunmasına ilişkin hükümlerin uygulanmasını kendiliğinden engellemez.

Aynı fiille birden fazla farklı suç oluştuğunda TCK m.44 uyarınca en ağır cezayı gerektiren suçtan hüküm kurulur.

Yargıtay 12. Ceza Dairesi, E. 2020/984, K. 2024/3050, T. 10.06.2024: Kişinin baş bölgesine ait fotoğrafların müstehcen görüntülere montajlanarak yayılması hakaret (TCK m. 125), kişisel verileri hukuka aykırı yayma (TCK m. 136) ve müstehcenlik (TCK m. 226/2) suçlarını birlikte oluşturan tek bir fiil olarak değerlendirilmiş; TCK m. 44 uyarınca m. 136'dan cezalandırma yapılması gerektiği belirtilmiştir.

Yargıtay 12. Ceza Dairesi, E. 2024/1536, K. 2026/3395, T. 06.04.2026: "Sanığın katılana şantaj yapmak amacıyla sosyal medya hesabından elde ettiği katılanın baş kısmına ait fotoğrafı çıplak kadın vücuduna montajlamasına ilişkin fiilin TCK'nın 136/1. maddesinde düzenlenen verileri hukuka aykırı olarak verme veya ele geçirme suçunu oluşturduğu…"

Uygulama alanını sosyal medyadan alınan baş fotoğrafı, çıplak bedene montaj, mağdurla açık ilişkilendirme, gönderim ve şantaj amacı belirlemiştir; rızasız cinsel montaj bakımından güncel bir örnek sunar.

Kayıt gerçekliğinin suç vasfını etkilediği dosyalarda teknik doğrulama zorunludur.

Yargıtay 12. Ceza Dairesi, E. 2016/9990, K. 2017/7386, T. 11.10.2017: "Ses kayıtlarının gerçek olup olmadıkları, montajlanıp montajlanmadıkları hususlarında bilirkişi raporu aldırılarak, sonucuna göre sanığın hukuki durumunun takdir ve tayini gerekirken eksik inceleme ile yazılı şekilde hüküm kurulması…"

Karar sentetik bir ses kaydına ilişkin değildir; kaydın montaj olup olmadığı belirlenmeden hüküm kurulamayacağını gösterir. Şikâyete bağlı suçlarda TCK m.73 uyarınca fiil ve failin öğrenilmesinden itibaren altı aylık süre işlemeye başlar (TCK m.73/2); TCK m.139 ise kişisel verilerin kaydedilmesi ile verileri hukuka aykırı verme veya ele geçirme suçlarını genel şikâyet kuralının dışında bırakır.

Biyometrik Doğrulamanın Atlatılması ve Bankanın Güven Kurumu Sorumluluğu

Dijital bankacılıkta kredi çekimi, para transferi ve hesap açılışı işlemleri biyometrik doğrulamaya bağlandığında, yüz ve ses verisi kişiyi benzersiz biçimde tanımlamaya yarayan teknik işlemden geçirildiği ölçüde 6698 sayılı Kişisel Verilerin Korunması Kanunu m.6 kapsamında özel nitelikli kişisel veri sayılır. Aynı Kanunun m.12 hükmü, veri sorumlusuna bu verilere hukuka aykırı erişimi ve hukuka aykırı işlemeyi önlemek için teknik ve idari tedbir alma yükümlülüğü yükler; banka, biyometrik veriyi işlediği andan itibaren bu yükümlülüğün muhatabıdır.

Anomali Tespiti Yükümlülüğü

Bankaların uzaktan müşteri edinimi ve biyometrik doğrulama altyapısı yalnızca kimlik tespiti amacına hizmet etmez; işlem güvenliğinin bir parçasıdır. Gece saat 03:00 sularında müşterinin hesabında ilk kez yüklü kredi çekilmesi ve bu tutarın çekimden hemen sonra meçhul hesaplara aktarılması, olağandışı işlem (anomali) niteliğindedir. Fraud tespit sistemleri bu tür işlemleri durdurup sesli teyit almakla yükümlüdür; işlemin durdurulmaması bankanın kusursuz sorumluluğunu doğurur. Aynı yükümlülük, mağdur adına yüklenen kredinin meçhul hesaplara aktarılmasıyla birlikte değerlendirilir. Telefonla yapılan çağrının tebligat sayılmaması gibi, SMS onay kodu girmiş olması da tek başına bankayı sorumluluktan kurtarmaz. Casus yazılım, SMS okumasını engelleyecek bir altyapı kurmuşsa, bu durumu tespit edip engellemek bankanın görevidir. Banka "Güven Kurumu" olarak, biyometrik canlılık testinin sahte görüntü veya deepfake ile atlatılmasını engellemekle yükümlüdür. Yüz tanıma sisteminin kandırılması, bankanın ağır teknolojik zafiyetidir.

Canlılık Testinin Deepfake Karşısındaki Sınırı ve Sanal Kamera Saldırıları

Canlılık testi tek başına yeterli değildir, çünkü saldırganlar fiziksel kamerayı devre dışı bırakıp sanal kamera yazılımıyla hazır videoyu sisteme enjekte edebilmektedir; iProov sanal kamera saldırılarında yüzde 2.665 oranında bir artış belgeledi. Yüksek kaliteli yüz değiştirme araçları göz kırpma, kaş hareketi ve bakış yönü gibi mikro hareketleri taklit edebildiğinden, canlılık komutları hazır videoyla karşılanabilir. Sumsub'un 2026 verilerine göre deepfake, küresel fraud vakalarının yüzde 11'ini oluşturuyor; bu oran 2024'te yüzde 7 idi. Saldırı yöntemleri beş başlıkta toplanır:

• Yüz değiştirme bindirmesi (face swap overlay); DeepFaceLive gibi açık kaynak araçlar gerçek zamanlı yüz bindirmeyi saniyeler içinde yapar.
• Sanal kamera enjeksiyonu (virtual camera injection); fiziksel kamera devre dışı bırakılıp hazır veya yapay zekâ ile üretilmiş video sisteme enjekte edilir.
• Önceden kaydedilmiş video tekrarı (replay attack); çalıntı biyometrik veriler yeniden oynatılır.
• 3D maske ve derinlik saldırısı.
• Belge sahteciliği. Savunma beş katmanlıdır: pasif canlılık testi, enjeksiyon tespit sistemi, FFT analizi, zamansal analiz ve belge doğrulama forensiği. Bu katmanlar birlikte kullanıldığında tek başına hiçbirinin sağlayamayacağı koruma oluşur.

Gece Yarısı Çekilen Kredinin İptali için İhtiyati Tedbir Talepli Menfi Tespit

Mağdur, krediyi ödemek yerine Cumhuriyet savcılığına suç duyurusunda bulunabilir ve Tüketici Mahkemesinde "İhtiyati Tedbir Talepli Menfi Tespit" davası açarak borcu iptal ettirebilir. Bankanın icra takibini durdurmak için dava açılırken ihtiyati tedbir talep edilmelidir; tedbir talebi, icra takibinin durdurulması sonucunu doğurur. [KONYA] Nöbetçi Tüketici Mahkemesine sunulacak dilekçe taslağında, davalı bankanın siber güvenlik zafiyeti ve anomali tespiti yükümlülüğüne aykırı davranması nedeniyle çekilen kredi sözleşmesinin geçersizliğinin tespiti, borçlu olunmadığının tespiti (menfi tespit) ve icra takibinin durdurulması için teminatsız ihtiyati tedbir talebi yer alır. Biyometrik doğrulamanın atlatıldığı bu tür dosyalarda, banka KYC ve EDD yükümlülüğü altında olduğundan, özen ihlali tespit edildiğinde rücu mümkündür.

İçeriğin Kaldırılması, Erişim Engelleme ve Süre Yönetimi

İçeriğin yayından kaldırılması, erişimin engellenmesi, kişilik hakkına dayanan tedbir ve tazminat yolları birbirinden farklı usullere tabidir; her yolun kendi mercisi, kendi süresi ve kendi sonucu bulunur.

5651 M.9/a Yolu ve Dört Aşamalı Başvuru

5651 sayılı Kanun m.9/A, özel hayatının gizliliği ihlal edildiğini iddia eden kişiye, Siber Güvenlik Başkanlığına doğrudan başvurarak içeriğe erişimin engellenmesini isteme hakkı tanır. Başvuruda, hakkın ihlaline neden olan yayının tam adresi (URL), hangi açılardan hakkın ihlal edildiğine ilişkin açıklama ve kimlik bilgilerini ispatlayacak bilgilere yer verilir; bu unsurlar eksik olduğunda talep işleme konulmaz. Başvuru, dört aşamalı bir süreç izler:

• Başvuru, özel hayatın gizliliğini ihlal eden içerik için Siber Güvenlik Başkanlığına yapılır; Başkanlık talebi derhâl Birliğe bildirir.
• Erişim sağlayıcılar, tedbiri en geç dört saat içinde yerine getirir.
• Mağdur, talebini yirmi dört saat içinde sulh ceza hâkiminin kararına sunar.
• Hâkim, kararını en geç kırk sekiz saat içinde açıklar; aksi hâlde tedbir kendiliğinden kalkar. 24.07.2026 tarihli 7590 sayılı Kanunla 31.07.2026'dan itibaren 5651 sayılı Kanun'a "Başkanlık: Siber Güvenlik Başkanlığı" tanımı eklenmiş; m.9/A dahil maddelerdeki "Kurum" ibareleri "Başkanlık" olarak değiştirilmiştir. Tedbir, ihlali oluşturan yayın, kısım, bölüm, resim veya video bakımından URL esaslı uygulanır. İçeriğin yurt dışı kaynaklı olması, erişimin engellenmesine engel değildir; engelleme, faile karşı değil içeriğe karşı işler. Kişilik hakkı ihlallerinde sulh ceza hâkimliğine başvurmayı düzenleyen 5651 sayılı Kanun m.9, Anayasa Mahkemesinin 11.10.2023 tarihli ve E. 2020/76, K. 2023/172 sayılı kararıyla iptal edilmiştir.

Anayasa Mahkemesi, E. 2020/76, K. 2023/172, T. 11.10.2023: 5651 sayılı Kanun'un kişilik hakları nedeniyle içeriğin çıkarılması ve erişimin engellenmesini düzenleyen 9. maddesi iptal edilmiştir. Karar 10.01.2024 tarihli ve 32425 sayılı Resmî Gazete'de yayımlanmış, iptal hükmü yayımdan dokuz ay sonra, 10 Ekim 2024'te yürürlüğe girmiştir. Bu tarihten sonra kişilik hakkı ihlali iddiası, tek başına 5651 m.9 üzerinden bir erişim engeli kararının dayanağı olamaz; başvurunun özel hayatın gizliliği temelinde ve süreler gözetilerek kurulması gerekir. Dört aşamalı süreçte en sık atlanan yer, tedbirin sulh ceza hâkiminin kararına yirmi dört saat içinde sunulmasıdır. Günlük erişimi Türkiye'den bir milyonu aşan sosyal ağ sağlayıcıları, 5651 sayılı Kanun ek m.4 uyarınca kişilerin başvurularına en geç kırk sekiz saat içinde cevap vermekle yükümlüdür. 7578 sayılı Kanunun 22. maddesiyle 1 Kasım 2026'dan itibaren bu yükümlülük, itibar odaklı taklitler dahil tüm başvuruları kapsar hâle gelmiştir. Aynı tarihten itibaren bu sağlayıcılar aldatıcı reklamları engelleyici tedbirleri almakla (ek m.4/21), günlük erişimi on milyonu aşanlar ise içeriğin yeniden yayınlanmaması için gerekli tedbirleri almakla (ek m.4/23) yükümlüdür. Ek m.4/14'e göre, hukuka aykırılığı hâkim veya mahkeme kararıyla tespit edilen içerik bildirildiği hâlde yirmi dört saat içinde kaldırılmazsa sosyal ağ sağlayıcı doğan zarardan sorumlu olur.

Kişilik Hakkı İhlallerinde Hukuk Mahkemesinden İhtiyati Tedbir

Kişilik hakkını ihlal eden içerik için erişim engeli yerine hukuk mahkemesinden ihtiyati tedbir istenir; tedbir talebi HMK m.389 vd. hükümlerine dayandırılır. Tedbir, içeriğin kaldırılmasını veya erişimin engellenmesini sağlar ve ceza yolundan bağımsız olarak işletilebilir. Saldırı sürdüğünde asliye hukuk mahkemesinden talep edilen ihtiyati tedbirde, dava öncesi tedbirde iki haftalık dava açma süresine dikkat edilmelidir. TMK m.24 uyarınca kişilik hakkına yapılan her saldırı; rıza, daha üstün nitelikte özel veya kamusal yarar ya da kanunun verdiği yetkinin kullanılması sebeplerinden biriyle haklı kılınmadıkça hukuka aykırıdır. TMK m.25, hâkimden istenebilecekleri sayar: saldırı tehlikesinin önlenmesi, sürmekte olan saldırıya son verilmesi, sona ermiş olsa bile etkileri devam eden saldırının hukuka aykırılığının tespiti, düzeltmenin veya kararın üçüncü kişilere bildirilmesi ya da yayımlanması; bunlarla birlikte maddî ve manevî tazminat ile elde edilmiş kazancın vekâletsiz iş görme hükümlerine göre verilmesi istenebilir. İçerik silinse bile itibar zararı sürdüğünden, "etkileri devam eden saldırının hukuka aykırılığının tespiti" talebi uygulamada önem taşır. Davacı, kişilik haklarının korunması için kendi yerleşim yeri veya davalının yerleşim yeri mahkemesinde dava açabilir. İnternet ortamındaki bir paylaşımın kişilik hakkına saldırı oluşturup oluşturmadığı, ifade özgürlüğü ile kişilik hakkı arasındaki denge gözetilerek belirlenir. Yargıtay Hukuk Genel Kurulu, E. 2017/2602, K. 2021/1448, T. 18.11.2021: İnternet ortamındaki bir paylaşımın kişilik hakkına saldırı oluşturup oluşturmadığı, ifade özgürlüğü ile kişilik hakkı arasındaki denge gözetilerek belirlenir. Kurul, AİHS m. 10 ve AİHM ölçütlerini (müdahalenin yasayla öngörülmesi, meşru bir amaç izlemesi ve demokratik toplumda gerekli olması) esas almış; somut olayda ifadelerin eleştiri sınırında kaldığı ve kişilik hakkına saldırı oluşturmadığı sonucuna varmıştır. Kararda TMK m. 24'e de dayanılmıştır. İfade özgürlüğü koruması bir görüşün açıklanmasına yöneliktir; hiç gerçekleşmemiş bir olayı gerçekmiş gibi gösteren üretilmiş içerik ise gerçek dışı bir olgunun sunulmasıdır. Deepfake içeriğin eleştiri veya haber verme hakkı kapsamında savunulması bu nedenle belirgin biçimde zordur. Tazminat ve kişilik hakkı davaları TMK m.24-25 ile TBK m.58'e dayanır; maddi zarar için TBK m.49, manevi zarar için TBK m.58 çerçevesinde talepler ileri sürülür. Miktar, ihlalin ağırlığı, yayılma alanı ve tarafların durumuna göre değerlendirilir. Ceza davası devam ederken tazminat davası açılabilir; iki yol birbirinden bağımsızdır ve ceza davasının sonucunu beklemek zorunlu değildir. Failin bulunamaması içeriğin kaldırılmasına engel değildir; fail sonradan tespit edilirse tazminat davası zamanaşımı içinde açılabilir.

Delil Tespiti, Failin Bulunması ve Tazminat Yolu

Deepfake dosyalarında sonucu belirleyen çoğu zaman hukuki argümanın gücü değil, içeriğin yayılmaya devam ettiği ilk günlerde atılan adımlardır. İçerik silindikten sonra mağdurun elinde yalnızca bir ekran görüntüsü kalır; bu nedenle delil, içerik kaldırılmadan önce ve kaynağıyla birlikte toplanmalıdır.

Delil Tespiti ve Zincirleme Muhafaza

Delil, içeriğin tam URL'si, paylaşım tarihi ve saati, paylaşan hesabın kullanıcı adı ile profil adresi, tarih-saati görünen ekran görüntüleri ve ekran kaydı, mümkünse orijinal dosya, sesle yapılan arama veya mesaj varsa arama kaydı, numara ve mesaj ekranı, platform bildirim numarası ve yazışmalar, karşılaştırma için mağdurun kendi gerçek ses ve görüntü kayıtları, zararı gösteren belgeler ile taklidi üreten uygulama veya reklam varsa uygulamanın adı ve mağaza sayfası korunarak toplanır. Dosya tekrar dönüştürülüp sıkıştırılmamalıdır; içerik mağdurun kendi cihazına indirilmemelidir, özellikle müstehcen içerikte dosyayı bulundurmak ayrı bir sorun doğurabilir. İçeriğin silinme riski bulunduğunda dava açmadan önce delil tespiti istenebilir; talep 6100 sayılı Hukuk Muhakemeleri Kanunu m.400 hükmüne dayandırılır. Uygulamada sıralama sonuç doğurur: önce sulh hukuk mahkemesinden ve mümkünse noter aracılığıyla delil tespiti yaptırılır, URL, tarih, saat, hesap adı ve görüntüleme sayısı kayda geçirilir. Delil tespiti, içeriğin hızla kaldırıldığı dosyalarda sonradan ispatın tek dayanağını oluşturur. Delilin güvenilirliği zincirleme muhafazaya bağlıdır. Sunulan ses ve video kayıtlarında teknik doğrulama, bilirkişi incelemesiyle dosya bütünlüğü, kodlama bilgileri, üst veri, piksel tutarsızlıkları, frekans bant sapmaları ve üretim izleri üzerinden yapılır. Videonun sahte olduğunun ispatı için adli bilişim incelemesi talep edilmeli; sıkıştırma izleri, yüz sınırlarındaki tutarsızlıklar ile ses ve dudak hareketleri arasındaki uyumsuzluk gibi bulgular değerlendirilir. Bu talep şikâyet dilekçesinde açıkça yazılmalıdır, aksi hâlde içerik gerçek kabul edilerek dosya yürür. Mağdurun kendi imkânlarıyla faili araştırması hukuka aykırı delil riski doğurur.

Yargıtay 4. Hukuk Dairesi, E. 2018/5125, K. 2019/1595, T. 20.03.2019: Hukuka aykırı olarak elde edilmiş delil, hukuk yargılamasında da hükme esas alınamaz. Daire, hükmün tek ve belirleyici olarak hukuka aykırı biçimde elde edilmiş kayıtlara dayandırıldığı davada istemin tümden reddi gerektiğine karar vermiştir. Buna göre faili ortaya çıkarmak için hukuka aykırı yollara başvurmak, tazminat davasının tamamını riske atar. Anonim hesaplarda IP kayıtları mağdurun kendi çabasıyla değil, savcılık aracılığıyla istenir; içeriği yayımlayan hesapla ilk hazırlayanın aynı kişi olduğu varsayılamaz ve failin başlangıçta bilinmemesi suç duyurusuna engel değildir. Hakaret suçunda şikâyet süresi, fail ve fiilin öğrenilmesinden itibaren altı ay, her hâlde fiilin gerçekleşmesinden itibaren iki yıldır (TCK m.73/2). Sürenin kaybedilmesi, içeriği üreten kişi hakkındaki ceza yolunu kapatır; tazminat yolunda ise TBK m.72 uyarınca zararın ve tazminat yükümlüsünün öğrenilmesinden itibaren iki, fiilden itibaren on yıllık zamanaşımı işler. Kişilik hakkına yapılan saldırıya karşı TMK m.24-25 hükümlerine dayanılır. 4721 Sayılı Türk Medeni Kanunu m. 24: "Kişilik hakkı zedelenen kimsenin rızası, daha üstün nitelikte özel veya kamusal yarar ya da kanunun verdiği yetkinin kullanılması sebeplerinden biriyle haklı kılınmadıkça, kişilik haklarına yapılan her saldırı hukuka aykırıdır." TMK m.25 uyarınca saldırının önlenmesi, sürmekte olan saldırıya son verilmesi, sona ermiş olsa bile etkileri devam eden saldırının hukuka aykırılığının tespiti, düzeltmenin veya kararın üçüncü kişilere bildirilmesi ya da yayımlanması; bunlarla birlikte maddî ve manevî tazminat ile elde edilmiş kazancın vekâletsiz iş görme hükümlerine göre verilmesi istenebilir. Manevi tazminat talebi 6098 sayılı Türk Borçlar Kanunu m.58'e dayandırılır; miktar ihlalin ağırlığı, yayılma alanı ve tarafların durumuna göre takdir edilir. Yeniden paylaşan bakımından ayrı bir değerlendirme yapılır. Salt görüntüleme ile yeniden paylaşım aynı şey değildir; yayma fiili kişisel verileri hukuka aykırı yayma suçu bakımından bağımsız ele alınabilir. "Ben üretmedim" savunması sorumluluğu kendiliğinden kaldırmaz; yeniden paylaşım yeni bir yayma hareketi ve kişilik hakkı saldırısı oluşturabilir. Rızasız cinsel deepfake ile şantaj içeren montaj dosyalarında tazminat ve ceza sorumluluğu birlikte doğar. Yargıtay 12. Ceza Dairesi, E. 2024/1536, K. 2026/3395, T. 06.04.2026: "Sanığın katılana şantaj yapmak amacıyla sosyal medya hesabından elde ettiği katılanın baş kısmına ait fotoğrafı çıplak kadın vücuduna montajlamasına ilişkin fiilin TCK'nın 136/1. maddesinde düzenlenen verileri hukuka aykırı olarak verme veya ele geçirme suçunu oluşturduğu…" Yargıtay 12. Ceza Dairesi, E. 2020/984, K. 2024/3050, T. 10.06.2024: Kişinin baş bölgesine ait fotoğrafların müstehcen görüntülere montajlanarak yayılması hakaret (TCK m. 125), kişisel verileri hukuka aykırı yayma (TCK m. 136) ve müstehcenlik (TCK m. 226/2) suçlarını birlikte oluşturan tek bir fiil olarak değerlendirilmiş; TCK m. 44 uyarınca m. 136'dan cezalandırma yapılması gerektiği belirtilmiştir. Bu kararlar, montaj ve deepfake içerikte maddi ve manevi tazminat talebinin dayanağını somutlaştırır: mağdur, hem ceza yolunda suç duyurusunu hem de hukuk mahkemesinde kişilik hakkının korunmasına dayanan davayı aynı anda işletebilir; ceza davasının sonucunu beklemek zorunda değildir. Yüz ve ses kişisel veri niteliğinde olduğundan, veriyi işleyen şirket varsa KVKK m.13 başvurusu en geç otuz gün içinde sonuçlandırılır; başvurunun reddi, yetersiz cevap veya süresinde cevap verilmemesi hâlinde m.14 uyarınca Kurula şikâyet yolu açılır. Videoyu veya sesi eğitim verisi olarak kullanan yapay zekâ hizmeti, özel nitelikli kişisel veriyi m.6 şartlarına uygun işlemediyse m.12'deki teknik ve idari tedbir yükümlülüğünü ihlal etmiş olur; hukuka aykırı elde etme hâlinde veri sorumlusu durumu ilgili kişiye ve Kurula bildirmekle yükümlüdür. Delil tespiti talebi, erişim engeli başvurusundan ve ceza şikâyetinden ayrı ilerleyen bir adımdır; içerik kaldırılsa bile "etkileri devam eden saldırının hukuka aykırılığının tespiti" ve tazminat talepleri bu kayıtlar üzerinden sürdürülür. Fail sonradan tespit edilirse tazminat davası zamanaşımı içinde açılabilir; erişimin engellenmesi içeriğe karşı işlediğinden, failin bilinmemesi bu yolu tıkamaz. Sonuç olarak mağdurun izlemesi gereken sıra şudur: içeriği kaldırılmadan önce URL, hesap ve tarih bilgisiyle kayıt altına alıp mümkünse HMK m.400 uyarınca delil tespiti yaptırmak; özel hayatın gizliliğine dayanan 5651 m.9/A başvurusunu yirmi dört saatlik hâkim onayı süresini takvime yazarak işletmek; kişilik hakkı ihlali için TMK m.24-25 ve HMK m.389 kapsamında ihtiyati tedbir istemek; Cumhuriyet savcılığına içeriğin yapay zekâ ile üretildiğini ve gerçek bir kayıt olmadığını açıkça belirterek suç duyurusunda bulunmak ve adli bilişim incelemesi talep etmek; failin tespiti için IP kayıtlarını savcılık aracılığıyla istemek; maddi ve manevi tazminat taleplerini TBK m.49 ve m.58 çerçevesinde ayrı bir davada ileri sürmek; veriyi işleyen şirket varsa KVKK başvurusunu başlatmak.