Yüksel Avukatlık Bürosu Kurucu Ortağı Gökhan Yüksel, Fintechtime Ağustos sayısı için yazdı “Bankanın Karşısına Müşteri Yerine Bir Yazılım Çıktığında: KYC’den KYA’ya Güvenin Yeni Mimarisi”.
“Yapay zekâ ajanlarının finansal hizmetlerde daha fazla rol üstlenmesi, bankacılıkta güven anlayışını da yeniden şekillendiriyor. Müşteri adına işlem yapan yazılımlar yaygınlaştıkça, yalnızca müşterinin kimliğinin doğrulanması yeterli olmayacak. Ajanın kimliği, yetki sınırları ve hangi kullanıcı talimatıyla hareket ettiğinin de güvenilir biçimde kanıtlanması gerekecek. Bu nedenle KYC yaklaşımı, KYA (Know Your Agent) gibi yeni güven katmanlarıyla desteklenirken, kimlik doğrulama, hesap verebilirlik ve hukuki sorumluluk finansal ekosistemin temel başlıkları arasına giriyor. Türkiye’de açık bankacılık altyapısı ve yapay zekâya yönelik düzenleme çalışmaları bu dönüşüm için önemli bir zemin oluşturuyor. Önümüzdeki dönemde rekabet avantajı sağlayacak kurumlar, yapay zekâ ajanlarını en hızlı devreye alanlar değil, insan iradesi, dijital temsil ve güven mimarisini birlikte tasarlayarak yeni nesil finansal işlemleri güvenli biçimde yönetebilenler olacak.”
Bankanın Karşısına Müşteri Yerine Bir Yazılım Çıktığında: KYC’den KYA’ya Güvenin Yeni Mimarisi
Bir sabah telefonunuza göz attığınızda, dijital asistanınızın gece boyunca sizin adınıza çalıştığını fark ediyorsunuz. Elektrik faturanızı en uygun tarifeden ödemiş, vadesi dolan mevduatınız için üç bankanın tekliflerini karşılaştırmış, yaklaşan seyahatiniz için uçak biletini fiyat düştüğü anda almış. Hiçbirinde parmağınız ekrana değmedi, şifre girilmedi, SMS onayı verilmedi.
Peki bu işlemleri “siz” mi yaptınız? Yarının bankacılık dünyasına adım atarken sektörün temel sorularından biri de işlemi başlatan gerçekten müşterinin kendisi mi?
Hukuken müşteri elbette gerçek veya tüzel kişi olmaya devam edecek. Ajan ancak müşterinin kullandığı bir araç, bir teknik işlem katmanı olabilir. Ancak mevcut Müşterini Tanı (“KYC” / “Know Your Customer“) yapısı, müşterinin veya müşteri adına hareket eden yetkili kişinin kimliğinin tespit edilebildiği bir modele dayanıyor. Yapay zekâ ajanlarının kullanıcı adına araştırıp, karşılaştırıp işlem adımlarını yürütebildiği bir dünyada ise bankanın karşısına giderek daha sık bir yazılım çıkacak.
Şubat sayısında yapay zekâ ajanlarının finansal hizmetlere girişini ve düzenleyicilerin bu yeni aktörü nasıl sınıflandırdığını ele almıştım. Madalyonun öteki yüzünde ise ajan işlem yaparken karşı tarafın ona nasıl güveneceği sorusu duruyor. Bu yazıda, küresel ekosistemin bu soruya verdiği yanıtı, yani Ajanını Tanı (“KYA” / “Know Your Agent“) yaklaşımını ve bu gelişmelerin Türk hukukundaki kimlik doğrulama, temsil ve sorumluluk tartışmalarına olası yansımalarını ele almaya çalışacağım.
Kimlik Tespiti ve Kimlik Doğrulama: Mevcut Modelin Sınırları
Bu makale çerçevesinde finansal hizmetlerdeki güven mimarisini iki başlık altında ele almak mümkün: kimlik tespiti ve kimlik doğrulama.
Türkiye’de ilk başlığı 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun ve ilgili Tedbirler Yönetmeliği taşıyor. Yükümlüler, mevzuatta belirtilen hallerde ve işlemin gerçekleştirilmesinden önce müşterilerinin ve müşterileri adına hareket edenlerin kimliğini tespit etmekle sorumlu.
İkinci başlık, her erişim ve işlemde karşıdakinin gerçekten yetkili kişi olduğunun teyidi. TCMB’nin 1 Aralık 2021 tarihli Bilgi Sistemleri ve Veri Paylaşım Servisleri Tebliği (“Tebliğ”), güçlü kimlik doğrulamayı müşterinin “bildiği, sahip olduğu veya biyometrik bir karakteristiği olan” farklı bileşen sınıflarından en az ikisinin bir arada kullanılması olarak tanımlıyor.
Bu bileşenlerden yalnızca biyometrik karakteristik doğrudan gerçek kişiye bağlı, parola, tek kullanımlık parola cihazı, şifreleme anahtarı veya akıllı kart gibi bilgi ve sahiplik unsurları ise Tebliğ’de sayılan teknik araçlar. Ne var ki bu araçlar, güvenlik bilgilerini koruması beklenen müşteriye özgülenmiş durumda ve bu bilgilerin bir yazılıma devrinin mevcut güvenlik yükümlülükleriyle nasıl bağdaşacağı ayrı bir tartışma konusu.
Tebliğ ayrıca, öngörülen istisnalar saklı kalmak üzere, finansal sonuç doğuran işlemlerde işlem doğrulama kodunun işlem bilgisiyle birlikte müşterinin onayına sunulmasını arıyor. Özetle mevcut düzenleme, esas olarak insan tarafından verilen veya önceden tanımlanan talimatları düzenliyor. Kullanıcıdan aldığı genel bir hedef doğrultusunda işlem adımlarını kendisi kurgulayabilen bazı yapay zekâ ajanları ise bu kurgunun öngörmediği bir aktör olarak sahneye çıkıyor.
Küresel Yanıt: Kimlikten Öte, Yetkinin Kanıtı
PYMNTS Intelligence ile Trulioo’nun sektör araştırması, kurumların bot ve ajan kaynaklı kimlik doğrulama risklerine giderek daha fazla önem verdiğini gösteriyor ve KYC ile İşletmeni Tanı (“KYB” / “Know Your Business“) süreçlerinin yanına üçüncü katmanı gündeme getiriyor. Müşteri adına hareket eden yazılımın kimliğinin ve yetki sınırlarının doğrulanması.
Burada KYA’nın, müşterinin kimliğinin tespitine ilişkin yükümlülüklerin yerine geçen yeni bir rejim olmadığı, bunları tamamlayan teknik bir güven katmanı olduğu kanaatindeyim. Doğrulanmış bir ajan da olağan dışı işlemler gerçekleştirebileceğinden, ajanın tanınması işlem izleme dahil mevcut yükümlülükleri ortadan kaldırmayacaktır.
28 Nisan 2026’da ise Kuala Lumpur’da Ant International, mobil arayüzler için “dünyanın ilk agentic ödeme çerçevesi” olarak tanıttığı Agentic Mobile Protocol’ü açık kaynak olarak duyurdu. Protokol, her ajana dijital kimlik tanımlayan bir Know Your Agent çerçevesi ile otonomi düzeyini belirleyen, bir yapay zekâ ajanının güvenilirliğini davranışlarına göre ölçüp puanlayan dinamik değerlendirme mekanizması olan agent trust rating içeriyor. Aynı gün ABD’de FIDO Alliance, Agentic Authentication çalışma grubunun kurulduğunu, Google’ın AP2 protokolünü, Mastercard’ın ise kullanıcı tarafından yetkilendirilmiş ajan eylemlerinin değiştirilemez kaydını tutmayı amaçlayan Verifiable Intent çerçevesini bu çatıya taşıdığını açıkladı. İki gün sonra Experian, tüketici, cihazı ve ajan arasında doğrulanabilir bir bağ kurmayı amaçlayan, geliştirilmekte olan Agent Trust çerçevesini Visa ve Cloudflare’in de yer aldığı bir ekosistemle duyurdu. Duyuruların ortak noktası dikkat çekici. Hiçbiri yalnızca ajanın “kim” olduğunu göstermekle yetinmiyor; ajanın kimin adına, hangi sınırlar içinde ve hangi doğrulanabilir kullanıcı talimatına dayanarak hareket ettiğini kanıtlamaya odaklanıyor.
Yetkili Olmak, Talimata Uygun Olmak Demek mi?
Temsilci gerçek veya tüzel kişi olabilirken, yapay zekâ ajanı mevcut hukukta kişilik ve bağımsız irade sahibi bir hak süjesi olarak değil, ajanın faaliyetinin, kullanıcının veya hizmet sağlayıcının kullandığı teknik sistemin faaliyeti olarak değerlendirilmesi gerektiği söylenebilir.
Asıl kritik ayrım ise bir işlemin teknik olarak yetkilendirilmiş olmasının, ajanın kullanıcının somut iradesine uygun davrandığı anlamına gelmemesidir. Kullanıcının hiç yetki vermediği bir işlem ile genel yetki verdiği ancak ajanın belirlenen limiti aştığı ya da yetki içinde kalıp isabetsiz bir tercih yaptığı işlemler hukuken aynı senaryo kabul edilemeyecektir.
Avrupa Birliği’nin Yapay Zekâ Yasası (“AI Act”), yapay zekâ ajanları için ayrı bir hukuki kategori oluşturmadığını not etmek gerekir. Ancak bir ajanın, somut özelliklerine bağlı olarak AI Act’in 3 üncü maddesindeki yapay zekâ sistemi tanımı kapsamına girdiği kabul edilebilecektir.
2 Ağustos 2026’da uygulanmaya başlayacak 50 nci madde, insanlarla doğrudan etkileşim için tasarlanan sistemlerin, durumun koşullardan açıkça anlaşıldığı haller dışında, kişiye bir yapay zekâ sistemiyle etkileşimde bulunduğunu bildirmesini gerektiriyor. Avrupa Komisyonu’nun Mayıs 2026’da yayımladığı taslak rehberlerde de ajanların bu kapsamda değerlendirildiği görülmekte. AI Act, esas olarak insanın bir yapay zekâyla etkileşimde olduğunu bilmesine odaklanıyor; bir finansal kuruluşun ajanın kimliğini ve kullanıcının ajana verdiği yetkiyi nasıl doğrulayacağı ise bugün için sektör protokollerinin sahasında kalıyor.
Türkiye Penceresi: Tanıdık Kavramlar, Yeni Aktör
6493 sayılı Kanun’un 12 nci maddesinde düzenlenen ve TCMB’nin veri paylaşım servisleri mimarisiyle hayata geçen açık bankacılık modeli, “müşterinin onayıyla onun adına hareket eden yetkili üçüncü taraf” kavramını hukukumuza kazandırmıştır. Ödeme emri başlatma hizmeti sağlayıcısı müşteri adına ödeme emri başlatıyor, hesap bilgisi hizmeti sağlayıcısı ise müşterinin hesap bilgilerini konsolide ederek sunuyor. Her ikisi de lisanslı ve denetime tabi.
Yapay zekâ ajanları da gelecekte bu lisanslı sağlayıcıların altyapılarını kullanıcı adına kullanabilir, ancak bu, ajanın kendisini lisanslı bir hizmet sağlayıcısı hâline getirmez. Dolayısıyla kimlik doğrulama bileşenlerinin kurgusu, işlem onayı süreçleri, kimlik tespiti yükümlülükleri ve ajanlı işlemlerde yetki ile talimatın nasıl kayıt altına alınacağı, önümüzdeki dönemde düzenleyicilerin masasına gelmesi muhtemel başlıklar arasında sayılabilir.
Bu tartışmanın zemini de belirmeye başladı. Mart 2026’da yayımlanan TBMM Yapay Zekâ Araştırma Komisyonu Raporu, risk temelli bir regülasyon modeli geliştirilmesini öneriyor ve bir Türk yapay zekâ kanunu hazırlanmasını gündeme alıyor. Haziran 2026’da açıklanan 2026-2030 Türkiye Yapay Zekâ Eylem Planı ise orantılı risk yaklaşımına dayalı, kullanıcıların haklarını koruyan ve yatırımcılara öngörülebilirlik sağlayan bir düzenleyici çerçeve oluşturulmasını hedefliyor. Ajanlı finansal işlemlerdeki kimlik, yetki ve sorumluluk sorularının da bu çerçeve şekillenirken gündeme gelmesi beklenebilir.
Genel Değerlendirme
Yarının bankacılık dünyasında rekabetin yalnızca hız ve deneyim üzerinden değil, güvenin kime ve neye göre tesis edildiği üzerinden şekilleneceği anlaşılıyor. Önümüzdeki dönemde fark yaratacak kurumların, ajanlara kapıyı en hızlı açanlar değil, kimlik, yetki, hesap verebilirlik ve sorumluluk mimarisini bu kapıyla birlikte kurgulayabilenler olacağı kanaatindeyim. Zira yarının bankacılığı, müşterinin yerini yazılımın aldığı bir dönem değil, müşterinin kimliğinin yanında, onun adına hareket eden yazılımın kimliğinin, yetkisinin ve kullanıcı iradesiyle bağının da doğrulanması gereken bir dönem olacak gibi görünüyor.
