Yapay zekâ destekli dolandırıcılıklar, tanıdık kişilerin seslerinin klonlanmasından sahte yatırım videolarına ve sohbet botlarıyla hazırlanan oltalama mesajlarına kadar geniş bir yöntem yelpazesiyle uygulanıyor. Mağduriyet yaşayan kişilerin hangi ceza ve hukuk yollarına başvurabileceği, bankaların sorumluluğunun hangi koşullarda doğabileceği ve dijital delillerin nasıl korunması gerektiği bu yazıda açıklanmaktadır.

Yapay Zekâ Destekli Dolandırıcılığın Hukuki Niteliği

Mevcut Suç Tipleri Kapsamında Değerlendirme

Yapay zekâ destekli dolandırıcılık, kullanılan teknolojinin adı üzerinden ayrı ve bağımsız bir suç türü olarak değil, yapay zekâ araçlarının mevcut suçların işlenmesinde kullanılması çerçevesinde değerlendirilir. Bu nedenle hukuki nitelendirme yapılırken yapay zekânın kullanılmış olması tek başına yeterli değildir. Sahte içerik, hileli davranış, bilişim sistemi, banka veya kredi kurumu, ödeme aracı ve mağdurun uğradığı zarar birlikte incelenir.

Sahte ses, görüntü, mesaj, internet sitesi veya yatırım ilanı aracılığıyla mağdurun iradesi yanıltılıyor ve bu hile sonucunda fail ya da üçüncü kişi lehine menfaat sağlanıyorsa TCK m.157 kapsamında basit dolandırıcılık değerlendirmesi gündeme gelir. Burada belirleyici unsur, yapay zekâ teknolojisinin teknik özelliklerinden ziyade, sahte içerik veya hileli davranışın mağdurun karar verme sürecini etkilemesi ve menfaat teminine yönelmesidir.

Eylemde bir bilişim sistemi, banka veya kredi kurumu araç olarak kullanılmışsa TCK m.158/1-f kapsamında nitelikli dolandırıcılık hükümleri uygulanabilir. Örneğin yapay zekâ ile oluşturulan bir içerik, sahte bir dijital platform, banka işlemi veya çevrim içi ödeme kanalıyla birlikte kullanılmışsa olayın yalnızca iletişim yöntemi olarak değerlendirilmesi yeterli değildir. Kullanılan sistemin ve finansal aracın suçun gerçekleştirilmesindeki işlevi ayrıca belirlenir.

Yapay zekâ destekli yöntem, dolandırıcılığın yanında başka bilişim eylemlerini de içerebilir. Bir bilişim sistemine yetkisiz girilmesi TCK m.243, sistemin engellenmesi veya bozulması ise TCK m.244 kapsamında ayrıca incelenebilir. Banka veya kredi kartlarının kötüye kullanılması söz konusu olduğunda TCK m.245 bakımından değerlendirme yapılır. Bu maddelerin uygulanıp uygulanmayacağı, somut olayda hangi sisteme erişildiğine, hangi işlemin gerçekleştirildiğine ve kullanılan ödeme aracının niteliğine göre belirlenir.

Dolayısıyla tek bir olayda birden fazla hukuki görünüm ortaya çıkabilir. Sahte kimlik veya ses kullanılarak mağdurdan para alınması dolandırıcılık yönünden; hesaba ya da sisteme yetkisiz erişim sağlanması bilişim suçu yönünden; kart bilgilerinin kullanılması ise kartların kötüye kullanılması yönünden ele alınabilir. Ancak her olayda tüm hükümlerin otomatik biçimde uygulanması söz konusu değildir. Ceza sorumluluğu, failin gerçekleştirdiği somut hareketler ve bu hareketlerin suç tipindeki unsurlarla örtüşmesi üzerinden belirlenir.

Ses, Görüntü ve Kimlik Taklidinin Sonuçları

Ses klonlama ve deepfake teknolojileri, bir kişinin gerçek sesine veya görüntüsüne benzer içerikler oluşturulmasını sağlayarak kimlik taklidini mümkün kılar. Bu içeriklerin hukuki sonucu, yalnızca teknik olarak sahte olup olmadıklarına göre değil, hangi amaçla üretildiklerine ve nasıl kullanıldıklarına göre değerlendirilir. Aile üyesi, yönetici, banka görevlisi, kamu görevlisi veya tanınmış kişi taklit edilerek mağdurdan para ya da finansal işlem talep edilmesi, hileli davranışın niteliğini ortaya koyan bir unsur olabilir.

Ses veya görüntünün gerçek kişiye aitmiş izlenimi yaratması, mağdurun güven duygusunu etkileyen bir araç işlevi görür. Ancak sesin tanıdık olması veya görüntünün gerçekçi görünmesi, tek başına suçun oluştuğunu göstermez. Hukuki değerlendirmede içeriğin kim tarafından üretildiği, kime gönderildiği, hangi talebi içerdiği, mağdurun bu içerik üzerine hangi işlemi yaptığı ve failin menfaat sağlayıp sağlamadığı birlikte incelenir.

Deepfake içerik, bir bilişim sistemi veya banka işlemiyle birleştirildiğinde TCK m.158/1-f kapsamında nitelikli dolandırıcılık değerlendirmesi yapılabilir. İçeriğin oluşturulması veya yayılması sırasında bir bilişim sistemine yetkisiz erişim, sistemin engellenmesi ya da bozulması gerçekleşmişse TCK m.243 ve TCK m.244 de olayın özelliklerine göre gündeme gelebilir. Banka veya kredi kartı bilgilerinin kullanılması halinde TCK m.245 yönünden ayrıca inceleme yapılır.

Ses ve görüntü taklidinin özel hayat alanına müdahale etmesi hâlinde TCK m.134 önem taşır. Deepfake içerik, kişinin özel hayatının gizliliğini ihlal edecek şekilde kullanılmışsa bu düzenleme kapsamında değerlendirme yapılabilir. Görüntü veya seslerin kayda alınması suretiyle gerçekleştirilen ihlaller bakımından cezanın bir kat artırılacağı belirtilmiştir. Bu nedenle sahte içeriğin yalnızca paylaşılmış olması değil, özel hayat alanına ilişkin ses veya görüntünün kaydedilmesi ve kullanım biçimi de hukuki nitelendirmede dikkate alınır.

Kişisel Veri ve Kişilik Hakkı İhlalleri

Yapay zekâ ile üretilen veya dönüştürülen ses ve görüntüler, gerçek bir kişiyle ilişkilendirilebildiği ölçüde kişinin kimliğini ve kişisel alanını etkileyebilir. Özellikle kişinin sesinin, görüntüsünün veya kimliğini belirlemeye yarayan unsurların rıza dışında kullanılması, dolandırıcılık suçundan bağımsız olarak kişisel veri ve kişilik hakkı bakımından da sonuç doğurabilir.

Kişinin görüntüsünün veya sesinin sahte bir yatırım ilanında, reklamda, mesajda ya da dolandırıcılık senaryosunda kullanılması; ilgili kişinin kamuya karşı yanlış tanıtılmasına, itibarının zedelenmesine veya iradesi dışında bir eylemle ilişkilendirilmesine yol açabilir. Bu kullanımın özel hayatın gizliliğini ihlal eden bir niteliğe ulaşması hâlinde TCK m.134 kapsamında ceza hukuku değerlendirmesi yapılır. Görüntü veya seslerin kayda alınması suretiyle gerçekleştirilen ihlaller bakımından öngörülen ceza artışı ayrıca dikkate alınır.

Kişisel verilerin yapay zekâ sistemlerinde işlenmesi bakımından hukuka uygunluk koşulları da önem taşır. Bir kişinin sesinin veya görüntüsünün yapay zekâ ile işlenmesi, dönüştürülmesi ya da yeni bir içerikte kullanılması, yalnızca teknolojik bir işlem olarak görülemez. Verinin hangi amaçla işlendiği, kullanımın kişiyle bağlantısı ve içeriğin hukuka aykırı bir eylemin parçası olup olmadığı somut olay kapsamında belirlenir.

Kişilik hakkı yönünden değerlendirmede, sahte içeriğin kaldırılması, kullanımın durdurulması ve doğan zararın giderilmesi talepleri gündeme gelebilir. Maddi veya manevi zarar doğuran kullanım, ceza soruşturmasından ayrı bir hukuki sorumluluk incelemesini gerektirebilir. Bu kapsamda mağdurun kişisel alanına yapılan müdahale, itibar kaybı ve sahte içeriğin yayılma biçimi birlikte ele alınır.

Sonuç olarak yapay zekâ, suçun hukuki niteliğini tek başına belirlemez; mevcut suç tiplerinin işlenmesinde kullanılan bir araçtır. Aynı olayda dolandırıcılık, bilişim sistemine yönelik eylemler, kartların kötüye kullanılması ve özel hayatın gizliliğinin ihlali farklı yönlerden incelenebilir. Nitelendirme, yapay zekâ üretimi içeriğin teknik görünümüne değil, somut hareketin mağdur üzerindeki etkisine, kullanılan sisteme ve elde edilen menfaate dayanır.

Bankaların İrade Dışı İşlemlerde Sorumluluğu

Güven Kurumu Olarak Bankanın Özen Yükümlülüğü

Yapay zekâ ile üretilen ses, görüntü veya mesaj kullanılarak gerçekleştirilen irade dışı banka işlemlerinde, yalnızca dolandırıcının hileli davranışı değil, bankanın işlem güvenliği bakımından yerine getirdiği yükümlülükler de incelenir. Müşterinin hesabından bilgisi ve onayı dışında para transferi yapılması, kredi kullandırılması veya ödeme gerçekleştirilmesi hâlinde bankanın sorumluluğu otomatik olarak doğmaz; ancak bankanın güvenlik sistemleri, işlem denetimleri ve olaydan haberdar olduktan sonra aldığı tedbirler somut olay temelinde değerlendirilir.

Bankacılık Kanunu, bankaların mevduatı koruma ve güvenli bankacılık hizmeti sunma yükümlülüğünün değerlendirilmesinde dayanak alınan temel düzenlemeler arasındadır. Banka, müşterinin parasını yalnızca teknik olarak hesapta tutan bir kuruluş değildir. Bankacılık ilişkisinin niteliği gereği, müşterinin hesap hareketlerinin güvenli biçimde yürütülmesi ve olağan dışı işlemlere karşı gerekli kontrollerin işletilmesi önem taşır.

Kaynaklarda aktarılan Yargıtay 11. Hukuk Dairesi ve Yargıtay Hukuk Genel Kurulu yaklaşımına göre bankalar, yalnızca para saklayan kuruluşlar değil, aynı zamanda güven kurumlarıdır. Bu yaklaşım, 2022-2024 dönemi bakımından banka sorumluluğuna ilişkin değerlendirmelerde aktarılmıştır. Bankanın sorumluluğu belirlenirken işlemin müşterinin olağan kullanım alışkanlıklarına uygun olup olmadığı, işlem öncesinde veya sonrasında şüpheli göstergelerin bulunup bulunmadığı ve bankanın bu göstergelere karşı etkili bir müdahalede bulunup bulunmadığı dikkate alınır.

Müşterinin bir şifreyi girmiş olması veya bankadan SMS gönderilmiş bulunması, tek başına bankanın her durumda sorumsuz olduğu sonucunu doğurmaz. Yapay zekâ destekli yöntemlerde sesli onay, görüntülü doğrulama veya müşteri temsilcisi taklidi gibi araçlar kullanılabildiğinden, güvenlik değerlendirmesi yalnızca tek bir doğrulama adımına indirgenemez. Müşteriden siber güvenlik uzmanı gibi davranması beklenemez. Bununla birlikte müşterinin ağır kusurunun bulunup bulunmadığı da bankanın sorumluluğunun kapsamının belirlenmesinde ayrıca ele alınır.

Şüpheli İşlem ve Fraud Filtrelerinin İşletilmesi

Bankaların işlem güvenliği, müşterinin sunduğu kimlik doğrulamasını pasif biçimde kabul etmekten ibaret değildir. BDDK Bankaların Bilgi Sistemleri Hakkında Yönetmelik m.36, bankaların işlemleri yalnızca otomatik olarak uygulamakla yetinemeyeceği ve bilgi sistemleri güvenliğine ilişkin kontrolleri işletmesi gerektiği yönündeki değerlendirmede anılan hükümdür. Bu çerçevede bankanın fraud filtrelerini, anomali tespit mekanizmalarını ve şüpheli işlem kontrollerini işlevsel biçimde kullanması gerekir.

İrade dışı işlem iddiasında aşağıdaki göstergeler önem taşır:

• İşlemin müşterinin önceki hesap kullanım biçiminden belirgin biçimde ayrılması
• Kısa süre içinde yüksek tutarlı veya art arda transferler yapılması
• Paranın alışılmadık bir hesaba, kripto varlık platformuna veya yurt dışına aktarılması
• İnternet şifresinin değiştirilmesiyle birlikte hesaptan para çıkışı gerçekleşmesi
• Müşterinin bankaya bildiriminden sonra hesabın veya ödeme kanalının derhâl güvenceye alınmaması
• Aynı hesap üzerinde şüpheli giriş, cihaz veya işlem hareketlerinin görülmesi

Bu göstergelerden birinin bulunması tek başına bankanın kusurunu kanıtlamaz. Ancak bankanın sahip olduğu bilgi sistemleri üzerinden fark edilebilecek olağan dışı hareketlerin hiçbir inceleme yapılmadan tamamlanması, özen yükümlülüğü bakımından aleyhe değerlendirmeye konu olabilir. Bankanın teknik kayıtları, işlem onay zinciri, kullanılan cihaz ve oturum bilgileri ile bildirim sonrasında uygulanan güvenlik tedbirleri uyuşmazlığın çözümünde belirleyici niteliktedir.

Kaynakta, İzmir 3. Tüketici Mahkemesinin, yalnızca internet şifresini sıfırlayıp hesaba blokaj koymayan bankayı %70 kusurlu bulduğu belirtilmiştir. Bu veri, bankaya yapılan bildirimin ardından alınan tedbirlerin de sorumluluk incelemesinin bir parçası olduğunu göstermektedir. Müşterinin bankayı zamanında uyarmasına rağmen hesabın, kartın veya dijital bankacılık kanalının yeterince koruma altına alınmaması, bankanın olay sonrasındaki davranışının ayrıca değerlendirilmesini gerektirir.

Banka Başvurusu ve İade Talebi

İrade dışı işlem fark edildiğinde banka ile derhâl iletişime geçilmelidir. Bildirim sırasında hesabın ve kartların kullanıma kapatılması, dijital bankacılık erişiminin güvenceye alınması, şüpheli işlemlerin incelenmesi ve mümkünse para hareketlerinin durdurulması talep edilmelidir. Telefonla yapılan bildirimin yanında yazılı başvuru oluşturulması, başvuru tarihinin ve içeriğinin ispatı bakımından önem taşır.

Bankaya yapılacak başvuruda aşağıdaki hususlar açıkça belirtilmelidir:

• İşlemin müşteri tarafından gerçekleştirilmediği
• İşleme ilişkin rıza veya onay bulunmadığı
• Şüpheli işlem tarihleri ve tutarları
• Hesap, kart veya ödeme kanalının güvenceye alınması talebi
• İşlem kayıtlarının, erişim bilgilerinin ve doğrulama kayıtlarının korunması isteği
• İrade dışı işlem nedeniyle oluşan zararın iadesi talebi

Kaynakta, bankaya gönderilecek ihtarnamede zararın tebliğden itibaren 3 gün içinde iade edilmesinin talep edilebileceği belirtilmiştir. İhtarnamede, işlemlerin müşterinin iradesi dışında gerçekleştiği açıklanmalı; zarar kalemleri, ilgili işlem kayıtları ve daha önce bankaya yapılan bildirimler gösterilmelidir. İade yapılmaması hâlinde başvurulabilecek hukuki yolların saklı tutulduğu da bildirilmelidir.

Bankanın sorumluluğu değerlendirilirken müşterinin davranışı ile bankanın güvenlik yükümlülüğü birlikte ele alınır. Müşterinin bilgileri paylaşması, bir bağlantıya tıklaması veya doğrulama adımını tamamlaması, olayın bütün koşulları incelenmeden ağır kusur kabul edilemez. Aynı şekilde bankanın güvenlik sistemlerini güncel tutmaması, şüpheli işlemleri tespit etmemesi veya bildirimden sonra gerekli blokajı uygulamaması da tek başına göz ardı edilemez. Uyuşmazlıkta işlem kayıtları, müşteri bildirimleri ve bankanın müdahale zamanlaması birlikte değerlendirilerek zararın hangi ölçüde bankaya yükletileceği belirlenir.

Mağduriyet Sonrası Başvuru ve Delil Koruma Süreci

Banka ve Ödeme Kuruluşlarına Derhal Bildirim

Yapay zekâ destekli dolandırıcılık sonucunda hesaptan irade dışında para çıkışı, kredi kullandırılması veya ödeme gerçekleştirilmesi fark edildiğinde ilk başvuru bankaya ya da işlemi gerçekleştiren ödeme kuruluşuna yapılmalıdır. Bildirim geciktirilmeden gerçekleştirilerek şüpheli işlemlerin incelenmesi, ilgili hesap ve ödeme kanallarının güvenceye alınması ve devam eden para transferlerinin durdurulması talep edilmelidir. Banka dışındaki bir ödeme kuruluşu, elektronik para kuruluşu veya kripto varlık hizmet sağlayıcısı kullanılmışsa aynı bildirim bu kuruluşa da yöneltilmelidir.

Başvuru yalnızca telefon görüşmesiyle sınırlı tutulmamalıdır. Telefonla yapılan ihbarın ardından bankanın mobil uygulaması, internet şubesi, elektronik posta, fiziksel şube veya yazılı başvuru kanallarından biri kullanılarak kayıt oluşturulmalıdır. Başvuruda işlemlerin müşteri tarafından gerçekleştirilmediği, herhangi bir rıza veya onay verilmediği, işlem tarihleri ve tutarları ile kullanılan hesap veya kart bilgilerinin neler olduğu açıkça belirtilmelidir. Başvuru numarası, görüşme tarihi, görüşülen birim ve banka tarafından verilen cevap saklanmalıdır.

Bankadan veya ödeme kuruluşundan özellikle aşağıdaki işlemler talep edilmelidir:

• İrade dışı işlemlerin derhâl incelemeye alınması
• Hesap, kart, dijital bankacılık ve ödeme kanallarının geçici olarak güvenceye alınması
• Devam eden transferler bakımından gerekli durdurma veya bloke işlemlerinin değerlendirilmesi
• İşlemlere ilişkin erişim, doğrulama, oturum ve cihaz kayıtlarının korunması
• Para gönderilen hesap, platform veya kuruluş bilgilerinin tespit edilmesi
• Şüpheli işlem dosyasına ilişkin yazılı cevap verilmesi

Bankaya gönderilecek ihtarnamede, irade dışında gerçekleşen işlemlerden kaynaklanan zararın tebliğden itibaren 3 gün içinde iade edilmesi talep edilebilir. İhtarnamede yalnızca para iadesi istenmemeli; hangi işlemlerin çekişmeli olduğu, işlemlerin neden müşteri iradesi dışında gerçekleştiği, daha önce hangi tarihte bildirim yapıldığı ve bankadan hangi güvenlik tedbirlerinin talep edildiği de açıklanmalıdır. Bankanın yazılı cevabı veya cevap vermemesi, daha sonra yürütülecek ceza ve hukuk süreçlerinde başvurunun zamanını ve kapsamını gösterebilecek bir kayıt niteliğindedir.

Cumhuriyet Başsavcılığına Suç Duyurusu

Banka veya ödeme kuruluşuna yapılan bildirim, Cumhuriyet Başsavcılığına yapılacak suç duyurusunun yerine geçmez. Mağdur, olayın tüm aşamalarını açıklayan bir başvuruyla soruşturma makamlarına müracaat etmelidir. Suç duyurusunda yapay zekâ kullanımının yalnızca genel biçimde belirtilmesi yeterli değildir. Sahte ses, görüntü, mesaj, internet sitesi, yatırım ilanı veya kimlik taklidinin nasıl kullanıldığı; mağdurun hangi iletişim üzerinden yönlendirildiği; hangi işlemin ne zaman yapıldığı ve zararın nasıl oluştuğu kronolojik biçimde aktarılmalıdır.

Başvuruya, olayın ispatına katkı sağlayabilecek dijital ve finansal kayıtlar eklenmelidir. Özellikle banka dekontları, hesap hareketleri, ödeme kayıtları, mesajlaşmalar, elektronik postalar, telefon numaraları, sahte internet sitesi bağlantıları, sosyal medya hesapları ve görüntülü veya sesli görüşme kayıtları korunmalıdır. Şüpheli hesap bilgileri, IBAN, işlem açıklaması ve transferin yöneldiği platforma ilişkin bilgiler de başvuruda gösterilmelidir.

Soruşturma kapsamında failin belirlenmesi ve para hareketlerinin izlenmesi bakımından IP, cihaz, kullanıcı ve blockchain kayıtları değerlendirilebilir. Bu kayıtlar, işlemin hangi cihaz veya kullanıcı üzerinden gerçekleştirildiğinin, hesabın hangi erişim noktalarından kullanıldığının ve aktarılan dijital varlıkların izlediği hareket zincirinin incelenmesine imkân sağlayabilir. Somut olayın özelliklerine göre banka hesapları ve dijital varlıklar bakımından CMK m.128/a kapsamında el koyma talebi değerlendirilebilir.

Suç duyurusunda yalnızca failin cezalandırılması istenmemeli; delillerin korunması ve gecikmesinde sakınca bulunan kayıtların ilgili kurumlardan temin edilmesi de talep edilmelidir. Banka işlem logları, platform kullanıcı kayıtları, iletişim bilgileri ve dijital varlık transferlerine ilişkin kayıtlar zaman içinde değişebileceğinden, başvuruda bu verilerin muhafaza altına alınması açıkça istenmelidir. Başvurunun ekinde sunulan her belgenin hangi olguyu kanıtladığı da belirtilmelidir.

Dijital Delillerin Bütünlüğünün Sağlanması

Yapay zekâ destekli dolandırıcılık soruşturmalarında dijital delilin yalnızca varlığı değil, değiştirilmeden korunmuş olması da önem taşır. Ekran görüntüsü alınması, tek başına içeriğin kaynağını ve bütünlüğünü her durumda ortaya koymaz. Bu nedenle mesaj, ses kaydı, görüntü, elektronik posta veya internet sayfası mümkün olduğunca orijinal biçimiyle saklanmalı; dosya üzerinde değişiklik yapılmamalı ve içeriklerin elde edildiği cihaz korunmalıdır.

Mağdur, şüpheli içerikleri silmemeli, hesabı kapatmamalı, telefonu veya bilgisayarı sıfırlamamalı ve kayıtları yeniden kaydetme ya da düzenleme yoluyla değiştirmemelidir. Uygulama içindeki mesajlar, kullanıcı adı, telefon numarası, tarih, saat, bağlantı adresi ve işlem bilgileri birlikte muhafaza edilmelidir. İçerik daha sonra erişilemez hâle gelebileceğinden, mevcut kayıtların gecikmeden alınması ve başvuru dosyasına eklenmesi gerekir.

Delil koruma sürecinde aşağıdaki veriler birlikte saklanmalıdır:

• Mesajlaşmaların ve elektronik postaların mümkünse tam görünümü
• Ses ve görüntü kayıtlarının orijinal dosyaları
• Arama tarihleri, saatleri ve kullanılan telefon numaraları
• Banka dekontları ile hesap hareketleri
• Sahte internet sitesi, uygulama veya sosyal medya hesabına ait bağlantılar
• Cihaz, kullanıcı ve oturum bilgileri
• Para transferlerinin yöneldiği hesap veya dijital varlık adresleri

Ekran görüntüsü, yazışma, ses kaydı ve diğer dijital verilerin değiştirilmediğini göstermek amacıyla zaman damgalı hash değerleri kullanılabilir. Hash değeri, dijital dosyanın belirli bir andaki bütünlüğünü karşılaştırmaya yarayan teknik doğrulama aracıdır. Bu yöntemin uygulanması hâlinde hangi dosyanın ne zaman alındığı ve doğrulama değerinin hangi kayıtla eşleştirildiği belgelenmelidir.

Dijital delillerin elde edilmesi ve incelenmesi sırasında usule uygunluk ayrıca gözetilmelidir. Kaynaklarda, dijital delillerin elde edilmesine ilişkin usulün CMK m.134 çerçevesinde ve Anayasa Mahkemesi denetimi bakımından önem taşıdığı aktarılmıştır. Bu nedenle delilin hangi cihazdan, hangi yöntemle ve hangi işlem sırasıyla elde edildiği açıklanabilir olmalıdır. Orijinal kayıtların korunması, kopyaların ayrı tutulması ve delile yapılan her müdahalenin kayıt altına alınması, içeriğin güvenilirliğinin değerlendirilmesinde önem taşır.

Tazminat, İçerik Kaldırma ve Kişisel Veri Hakları

Maddi ve Manevi Tazminat Talepleri

Yapay zekâ kullanılarak oluşturulan sahte ses, görüntü, mesaj veya yatırım içeriği nedeniyle zarar doğması hâlinde ceza soruşturmasından bağımsız olarak özel hukuk sorumluluğu da gündeme gelir. Zararın kaynağı, failin hileli eylemi, kişisel verilerin hukuka aykırı kullanılması, kişilik hakkına yönelik müdahale veya finansal işlem güvenliğindeki ihmal olabilir. Somut olayda zarara neden olan davranış, zarar miktarı ve davranış ile zarar arasındaki bağlantı birlikte değerlendirilir.

Yapay zekâ kaynaklı zararların genel haksız fiil sorumluluğu çerçevesinde değerlendirilmesinde TBK m.49 temel hükümler arasında yer alır. Bu kapsamda mağdurun malvarlığında meydana gelen eksilme, doğrudan yapılan ödeme, irade dışında kullanılan kredi, hesaptan çıkan para veya sahte yatırım yönlendirmesi sonucunda kaybedilen değer maddi zarar bakımından incelenir. Zararın belirlenmesinde banka kayıtları, dekontlar, hesap hareketleri, kredi belgeleri, ödeme kuruluşu kayıtları ve dijital iletişim içerikleri önem taşır.

Deepfake veya ses klonlama içeriği mağdurun ticari itibarını, mesleki konumunu ya da sosyal çevresindeki güvenilirliğini zedelemişse manevi zarar da ortaya çıkabilir. Kişinin hiç gerçekleştirmediği bir açıklamayı yapmış gibi gösterilmesi, yatırım tavsiyesi vermiş izlenimi oluşturulması veya dolandırıcılık eylemiyle ilişkilendirilmesi, kişilik alanında sonuç doğuran müdahaleler niteliğinde değerlendirilebilir. Manevi tazminat talebinde içeriğin niteliği, yayılma biçimi, mağdurla kurduğu bağlantı ve mağdur üzerindeki etkisi somutlaştırılmalıdır.

Tazminat istemi yalnızca ana zarar tutarıyla sınırlı kalmayabilir. Kaynaklarda belirtildiği üzere, koşulları oluştuğunda işlemiş faiz ve yargılama giderleri de talep edilebilir. Bununla birlikte talep edilecek kalemlerin, belgelenebilir zarar ve olayla bağlantılı sonuçlar üzerinden açıkça ortaya konulması gerekir. Sahte içeriğin yayılmasını sağlayan kişi, içeriği kullanan fail veya olayın koşullarına göre güvenlik yükümlülüğü bulunan kuruluşlar bakımından sorumluluk değerlendirmesi ayrı ayrı yapılır.

Tazminat sürecinde aşağıdaki unsurların birlikte ortaya konulması gerekir:

• Hukuka aykırı eylemin hangi içerik veya işlem aracılığıyla gerçekleştirildiği
• Mağdurun hangi malvarlığı veya kişilik hakkının zarar gördüğü
• Maddi zararın hangi kayıtlarla ispatlandığı
• İçeriğin yayılması ya da işlemin gerçekleştirilmesi ile zarar arasındaki bağlantı
• Manevi zararın ortaya çıkmasına neden olan somut etkiler
• Faiz ve yargılama gideri taleplerinin dayandığı zarar kalemleri

Deepfake İçeriğin Kaldırılması

Deepfake içeriğin internet sitesinde, sosyal medya hesabında, mesajlaşma uygulamasında veya başka bir dijital platformda yayımlanması hâlinde yalnızca tazminat talep edilmesiyle yetinilmemelidir. İçeriğin dolaşımda kalması yeni mağduriyetlere, kişilik hakkı ihlalinin devam etmesine ve sahte görüntünün daha geniş bir kitleye ulaşmasına neden olabilir. Bu nedenle içeriğin kaldırılması veya erişimin engellenmesine yönelik başvurular, somut olayın özelliklerine göre ayrıca yürütülür.

Kaynaklarda, deepfake içeriklerin kaldırılması veya erişimin engellenmesi amacıyla 5651 sayılı Kanun m.9-A kapsamında BTK ve ilgili platformlara başvuru yapılabileceği belirtilmiştir. Başvuruda içeriğin bulunduğu bağlantılar, kullanıcı veya hesap bilgileri, paylaşım tarihi, içeriğin sahte niteliği ve kişilik hakkına ya da özel alana yönelik ihlalin nasıl gerçekleştiği açıkça gösterilmelidir. Aynı içeriğin farklı bağlantılarda veya farklı hesaplarda yayımlanması hâlinde her bir erişim adresi ayrıca belirtilmelidir.

Platforma yapılacak bildirimde, sahte içeriğin hangi kişiye aitmiş gibi sunulduğu, içeriğin mağdurla gerçekte bulunmayan bir ilişki kurduğu ve yayının hangi zararı doğurduğu açıklanmalıdır. İçerik kaldırılmadan önce bağlantı adresleri, ekran görüntüleri, paylaşım bilgileri ve mümkünse orijinal dosya korunmalıdır. Kaldırma talebinin dayanağı olan delillerin başvuru öncesinde saklanması, içeriğin daha sonra silinmesi veya değiştirilmesi hâlinde olayın ispatı bakımından önem taşır.

Kaldırma başvurusu, içeriği oluşturan veya yayan kişinin cezai ve hukuki sorumluluğunu ortadan kaldırmaz. İçeriğin platformdan çıkarılması, maddi veya manevi zararın meydana gelmediği anlamına da gelmez. Bu nedenle erişimin engellenmesi veya kaldırma süreci ile tazminat ve diğer hukuki başvurular birbirinden bağımsız biçimde değerlendirilmelidir.

Otomatik Karar Alma Süreçlerine İtiraz

Yapay zekâ sistemleri kişisel verileri işleyerek kişiler hakkında otomatik değerlendirmeler, sınıflandırmalar veya sonuçlar oluşturabilir. Bu sonuçlar kredi kullanımı, hesap güvenliği, işlem onayı, risk değerlendirmesi ya da platform erişimi üzerinde etkili olduğunda, ilgili kişinin hangi verilerle ve hangi süreç sonucunda değerlendirildiği önem kazanır. Otomatik sistemin ürettiği sonucun hatalı, eksik veya sahte içeriklere dayalı olması kişinin ekonomik ve kişisel alanında doğrudan sonuç yaratabilir.

Yapay zekâ sistemlerinin kişisel veri işlemesi bakımından KVKK m.5 kapsamında hukuka uygunluk nedenlerinin bulunması gerekir. Verinin hangi amaçla işlendiği, işleme faaliyetinin hukuki dayanağı, kullanılan verilerin kapsamı ve elde edilen sonucun kişiyle bağlantısı somut olay bakımından incelenmelidir. Ses, görüntü, kimlik bilgisi veya işlem verisinin yapay zekâ sistemi tarafından kullanılması, bu verilerin her amaçla işlenebileceği anlamına gelmez.

Otomatik karar alma sürecinin kişiyi etkileyen bir sonuç doğurması hâlinde, kaynaklarda KVKK m.11/g kapsamında ilgili kişinin itiraz hakkı anılmıştır. Bu itirazda, kararın yalnızca otomatik değerlendirmeye dayanıp dayanmadığı, kullanılan verilerin doğruluğu ve kararın kişi üzerindeki etkisi sorgulanabilir. Sahte ses veya görüntü nedeniyle kişinin hesabının kısıtlanması, işleminin reddedilmesi ya da riskli kullanıcı olarak sınıflandırılması hâlinde, kararın dayandığı veri ve değerlendirme süreci hakkında başvuru yapılması gerekir.

Başvuruda özellikle şu hususlar açıklanmalıdır:

• Otomatik kararın hangi işlem veya hizmet üzerinde etkili olduğu
• Kullanılan kişisel verinin hatalı, sahte veya ilgisiz olduğu
• Kararın mağdur bakımından doğurduğu maddi ya da kişisel sonuç
• Kararın yeniden incelenmesi ve hatalı verinin düzeltilmesi talebi
• Otomatik değerlendirme yerine olayın yetkili kişi tarafından ele alınması isteği

Kişisel verinin hukuka uygun işlenmemesi veya hatalı veriye dayanılarak karar verilmesi, olayın koşullarına göre tazminat ve içerik kaldırma talepleriyle birlikte değerlendirilebilir. Böylece mağdurun başvurusu yalnızca sahte içeriğin yayından çıkarılmasına değil, bu içeriğin veya verinin otomatik sistemlerde kullanılmasının durdurulmasına ve doğurduğu sonuçların giderilmesine de yönelir.

Ceza Sorumluluğu, Zamanaşımı ve Korunma Tedbirleri

Failin Dijital Delillerle Belirlenmesi

Yapay zekâ destekli dolandırıcılıkta failin belirlenmesi, sahte sesin veya görüntünün yapay zekâ ile üretildiğinin ortaya konulmasından ibaret değildir. Ceza sorumluluğu bakımından içeriği hazırlayan, kullanan, mağdura gönderen, ödeme sürecini yöneten ve elde edilen menfaatin aktarılmasına katılan kişilerin eylemleri ayrı ayrı incelenir. Bu kapsamda dijital içerik ile finansal hareket arasındaki bağlantının kurulması gerekir.

Soruşturma makamlarınca değerlendirilebilecek başlıca veriler şunlardır:

• Kullanılan IP adresleri
• Cihaz ve kullanıcı eşleşmeleri
• Hesaplara giriş ve oturum kayıtları
• Telefon numaraları ve elektronik iletişim kayıtları
• Sosyal medya profilleri ile sahte internet sitesi bilgileri
• Banka hesap hareketleri ve ödeme kayıtları
• Kripto varlık transferlerine ilişkin blockchain kayıtları
• Ses, görüntü, mesaj ve elektronik posta içerikleri

Bu verilerin birlikte değerlendirilmesi, failin yalnızca bir kullanıcı hesabıyla ilişkilendirilmesinden daha kapsamlı bir inceleme yapılmasını sağlar. Bir hesabın veya cihazın belirli bir kişiye ait olması, o kişinin her durumda suçun faili olduğunu tek başına göstermez. Hesabın kim tarafından kullanıldığı, erişim yetkisinin nasıl sağlandığı, ortak kullanım bulunup bulunmadığı ve işlem sırasında kullanılan cihaz ile kullanıcı arasındaki bağlantı somut delillerle ortaya konulmalıdır.

Dolandırıcılık gelirlerinin farklı hesaplara veya dijital varlık platformlarına aktarılması hâlinde para hareketlerinin izlediği zincir ayrıca incelenir. Gelirin suçtan kaynaklanan malvarlığı değeri olarak değerlendirilmesi durumunda TCK m.282 gündeme gelebilir. Bu değerlendirmede transferlerin zamanlaması, işlem açıklamaları, hesaplar arasındaki bağlantı ve paranın nihai olarak kim tarafından kullanıldığı önem taşır.

Bilişim sistemi veya banka ve kredi kurumlarının araç olarak kullanıldığı nitelikli dolandırıcılık bakımından kaynaklarda TCK m.158 kapsamında 3 yıldan 10 yıla kadar hapis ve 5.000 güne kadar adlî para cezası öngörüldüğü belirtilmiştir. Uygulanacak yaptırımın belirlenmesinde yapay zekânın kullanılması değil, somut eylemin nitelikli dolandırıcılık unsurlarını taşıyıp taşımadığı esas alınır.

Sınır Ötesi Soruşturma İmkânları

Yapay zekâ destekli dolandırıcılıkta fail, mağdurdan farklı bir ülkede bulunabilir; kullanılan sunucu, sosyal medya hesabı, ödeme kuruluşu veya kripto varlık hizmet sağlayıcısı da başka bir ülkede faaliyet gösterebilir. Bu durumda soruşturma yalnızca Türkiye’deki banka hesabı veya telefon numarasıyla sınırlı yürütülemez. Dijital izlerin, ödeme hareketlerinin ve hesap bilgilerinin farklı ülkelerde bulunması, uluslararası adli iş birliği ihtiyacını doğurur.

Sınır ötesi incelemede özellikle şu unsurların belirlenmesi gerekir:

• Sahte içeriğin hangi ülkeden veya altyapıdan yayıldığı
• Kullanılan hesapların ve platformların hangi hukuk düzenine tabi olduğu
• Para veya kripto varlıkların hangi ülke ya da hizmet sağlayıcı üzerinden aktarıldığı
• Failin kimlik bilgilerinin hangi kurumlarda bulunduğu
• Dijital kayıtların hangi makam aracılığıyla temin edilebileceği

Kripto varlık hizmet sağlayıcıları ve sermaye piyasası düzenlemeleri bakımından 7518 sayılı Kanun kaynaklarda anılan temel kanunlardan biridir. Dolandırıcılık gelirlerinin kripto varlıklara dönüştürülmesi veya lisanssız platformlara aktarılması hâlinde, ilgili hizmet sağlayıcının ve işlemlerin tabi olduğu düzenleyici çerçeve ayrıca incelenir. Blockchain kayıtları transfer zincirini gösterebilse de bu kayıtların gerçek kişiyle ilişkilendirilmesi için hesap, cihaz, kimlik ve finansal verilerle desteklenmesi gerekir.

Nitelikli dolandırıcılık bakımından kaynaklarda belirtilen 15 yıllık zamanaşımı süresi, ceza soruşturmasının süresiz biçimde yürütülemeyeceğini gösterir. Zamanaşımı hesabı, somut olayın hukuki nitelendirmesine ve uygulanacak hükümlere göre yapılır. Bu nedenle mağdurun başvurusunu geciktirmemesi; dijital kayıtların, platform verilerinin ve finansal hareketlerin erişilebilir olduğu dönemde soruşturma makamlarına sunulması gerekir.

Yapay Zekâ Dolandırıcılığından Korunma

Yapay zekâ ile oluşturulan ses ve görüntüler gerçekçi görünse de tanıdık bir ses, görüntülü görüşme veya kurum logosu tek başına kimlik doğrulaması sayılmaz. Para gönderilmesi, kredi kullanılması, yatırım yapılması veya hesap bilgilerinin paylaşılması istenen durumlarda talep, aramayı yapan kişiyle aynı iletişim kanalı üzerinden değil, önceden bilinen ve güvenilir bir kanal aracılığıyla bağımsız biçimde doğrulanmalıdır.

Korunma bakımından temel tedbirler şunlardır:

• Hesaplarda iki faktörlü kimlik doğrulama kullanılması
• Her hizmet için güçlü ve benzersiz şifre oluşturulması
• Aile bireyleri arasında gizli bir parola veya doğrulama kelimesi belirlenmesi
• Şüpheli bir talepte aramanın sonlandırılması ve kişinin kayıtlı numarasından bağımsız biçimde aranması
• Yüksek tutarlı transferlerde çift onay uygulanması
• Bilinmeyen bağlantılara, sahte yatırım ilanlarına ve doğrulanmamış uygulamalara itibar edilmemesi
• Yalnızca lisanslı platformların kullanılması
• Kamu kurumlarının, bankaların veya tanınmış kişilerin adı ve logosu kullanılan içeriklerin bağımsız kaynaklardan doğrulanması

Acil durum, gizlilik veya baskı ifadeleriyle bağımsız doğrulamanın engellenmesi önemli bir risk göstergesidir. Arayan kişinin telefonun kapatılmamasını, başka kimseyle görüşülmemesini veya işlemin hemen yapılmasını istemesi, talebin güvenilirliğini artırmaz. Özellikle geri döndürülmesi güç ödeme yöntemlerinde işlem yapılmadan önce ikinci bir kişiyle görüşülmesi ve talebin farklı bir iletişim kanalıyla teyit edilmesi gerekir.

Kurumlar bakımından yüksek tutarlı ödemelerde çift onay, çalışanların sahte ses ve görüntü yöntemleri konusunda bilgilendirilmesi ve lisanslı finansal hizmet sağlayıcılarının tercih edilmesi koruyucu önlemlerdir. Yapay zekâ destekli dolandırıcılıkta teknik araçlar gelişse de bağımsız kimlik doğrulaması, erişim güvenliği ve işlem öncesi ikinci kontrol temel savunma mekanizmalarını oluşturur.

Sonuç olarak ceza sorumluluğu, yapay zekânın kullanılmış olmasına değil, somut hileli eyleme, bilişim veya finansal sistemin kullanım biçimine ve failin elde edilen menfaatle bağlantısına göre belirlenir. TCK m.158 kapsamındaki yaptırım ve kaynaklarda belirtilen 15 yıllık zamanaşımı süresi, olayın gecikmeden bildirilmesini ve dijital delillerin korunmasını zorunlu kılar. Mağduriyetin önlenmesinde ise iki faktörlü kimlik doğrulama, güçlü şifre, bağımsız geri arama, aile parolası, yüksek tutarlı işlemlerde çift onay ve lisanslı platform kullanımı birlikte uygulanmalıdır.