Hukuk ve Uyum Görevlisi Avukat Emre Avşar, Fintechtime Eylül sayısı için yazdı “Blokzincirde Yapay Zeka Ajanı (Agentic AI) Furyası: Hukuki Muhataplık Sorunu ve Bakış Açılarının Değişimi”.
Yapay zeka ajanları blokzincir üzerinde kendi kararlarını verip işlem yapmaya başladıkça, hukukun temel varsayımlarından biri zorlanıyor. Akıllı sözleşmelerde irade baştan insan tarafından belirlenirken, otonom ajanlarda hangi işlemin ne zaman ve nasıl yapılacağı yazılımın kendi değerlendirmesine bırakılıyor. Bu durum hukuki muhataplık, temsil, sorumluluk ve şüpheli işlem izleme süreçlerini yeniden düşünmeyi gerektiriyor. Geliştirici, model sağlayıcısı, kullanıcı ve platform arasında sorumluluğun nasıl paylaşılacağı henüz netleşmiş değil. Uyum tarafında ise ajan davranışlarının klasik müşteri profilleriyle değerlendirilmesi yanıltıcı sonuçlar üretebilir. Önümüzdeki dönemde asıl ihtiyaç, bu ajanları görünür ve denetlenebilir hale getirecek teknik standartlar, işlem limitleri ve izleme mekanizmaları kurmak olacak.
Blokzincirde Yapay Zeka Ajanı (Agentic AI) Furyası: Hukuki Muhataplık Sorunu ve Bakış Açılarının Değişimi
Ekosistemde hukuk ve teknolojinin birbirini takip etmesi, birbirinden faydalanması ve birbirleri için yarattıkları zorluklar her yeni gelişmeyle birlikte bu ilişkinin farklı boyutlarını ortaya çıkarıyor. Akıllı sözleşmelerin hukuki niteliği üzerine yürüttüğümüz tartışmalardan nihai bir sonuç veya ortak bir fikir birliği çıkmazken, karşımıza çok daha zorlu bir pratik konu beliriverdi. Bunlar kendi kararlarını veren, kendi cüzdanını yöneten ve zincir üzerinde bağımsız işlem yapan yapay zeka ajanları. “Agentic AI” olarak adlandırılan bu otonom yazılım ajanları, artık teorik bir tartışma konusu olmaktan çıkıp kripto piyasalarında fiilen işlem yapan aktörlere dönüşüyor. Bu makalemde, daha önce akıllı sözleşmeler bağlamında ele aldığım otonom hukukun uygulanabilirliği tartışmasını bir adım ileri taşıyarak, yapay zeka ajanlarının kripto işlemlerinde yarattığı hukuki muhataplık ve uyum sorunlarını ele alıyorum.
Neden Yeni Bir Tartışma?
Akıllı sözleşmeleri incelerken temel sorumuz şuydu; önceden yazılmış kuralları, insan müdahalesi olmaksızın otomatik olarak icra eden bir kodun hukuki değeri nedir? Cevap bir noktada basit sayılabilirdi nitekim akıllı sözleşme dediğimiz şey ne kadar karmaşık olursa olsun, sonuçta taraflarca önceden belirlenmiş koşulların gerçekleşmesi halinde önceden belirlenmiş sonuçları doğuran bir mekanizmadır. Kod yazıldığı anda gelecekte hangi sebebin hangi sonucu doğuracağı belliydi. Bu nedenle akıllı sözleşme tartışmasında irade, sözleşmenin kodlandığı ve taraflarca kabul edildiği anda ortaya konulduğundan otonom bir iradeden bahsetmek de mümkün değildi. Tartışma, bu iradenin icra biçiminin hukuken tanınıp tanınmayacağı, hata halinde kodun mu yoksa tarafların gerçek iradesinin mi esas alınacağı gibi noktalarda yoğunlaşıyordu. Kısaca ifade etmek gerekirse, akıllı sözleşmelerde icra otomatik gerçekleşse de irade yine insana aitti. Yani insan neye onay verdiğini, hangi işlemi onayladığını ya da gelecekte onaylayacağını bilerek hareket ediyordu.
Yapay zeka ajanlarında bu denklem kökten değişiyor. Bir yapay zeka ajanı, kendisine tanımlanan genel bir hedef doğrultusunda örneğin “portföyümü piyasa koşullarına göre optimize et” hangi işlemi, ne zaman, hangi fiyattan, hangi karşı tarafla ve hangi protokol üzerinden yapacağına kendisi karar veriyor. Bu kararlar, akıllı sözleşmelerdeki gibi önceden yazılmış kuralların icrası anlamına gelmez. Yapay zekanın doğası gereği kendi kendine karar veren özerk yapılar. Ajanı işleten kişi, ajanın yapacağı somut işlemi işlem anından önce bilemiyor belki tahmin yürütebiliyor ama biraz önce dediğimiz gibi net bir sebep sonuç ilişkisiyle daha önceden verilmiş bir kararın icrası yok. Dolayısıyla akıllı sözleşmelerde “otomatik icranın hukuku”nu tartışırken, yapay zeka ajanlarında “otonom iradenin hukuku”nu tartışmak zorundayız. Aradaki fark, ilk bakışta bir nüans gibi görünse de hukuki sonuçları bakımından derin bir kırılmaya işaret ediyor. Öngörülebilirlik kriteri çöküyor.
Bir akıllı sözleşmede hata varsa, hatanın kaynağı koda ve kodu yazan iradeye kadar geri götürülebilir. Oysa bir yapay zeka ajanı, hiçbir kod hatası olmaksızın, tamamen “kendi değerlendirmesiyle” zararlı bir işlem yapabilir. Üstelik bu işlem, ajanın eğitim verisinden, aldığı piyasa sinyallerinden üçüncü bir kişinin kasıtlı işleminden vs. kaynaklanabilir. Hatanın kaynağını tespit etmek dahi teknik olarak güçleşirken, hukuki sorumluluğun tespiti çok daha karmaşık bir hal alıyor.
Yapay Zeka Ajanının Yaptığı İşlem Kimin İşlemi?
Borçlar hukukunun temel yapı taşı irade beyanıdır ve irade, doğası gereği bir hukuk süjesine aittir. Yani hukuki olarak kişi sıfatına haizdirler. Bu süje gerçek kişi olabileceği gibi, tüzel kişiliğe de sahip olabilir. Yapay zeka ajanı ise mevcut hukukumuzda bir hukuk süjesi değildir, bir gerçek kişi değildir, bir kurum ya da kuruluş da değildir dolayısıyla tüzel kişilik vasfı da yoktur. Bu sebeple hak ehliyeti yoktur, fiil ehliyeti yoktur, malvarlığı edinemez, borç altına giremez. Buna rağmen zincir üzerinde fiilen malvarlığı değeri yöneten, işlem yapan ve ekonomik sonuç doğuran, akıl yürüten bir varlıkla muhatabız.
Bu noktada akla ilk gelen çözüm, klasik temsil kurumuna başvurmak oluyor. Yani ajan, kendisini işleten kişinin temsilcisi olarak kabul edilsin ve yaptığı işlemler doğrudan temsil olunanın hukuk alanında sonuç doğursun. Ne var ki temsil kurumu, temsilcinin de bir hukuk süjesi olduğu varsayımı üzerine kuruludur. Temsilcinin iradesi sakatlanabilir, temsil yetkisini aşabilir, bu hallerde uygulanacak kurallar bellidir. Sonuç olarak bu varlıklar birer yazılım ürünü olduğundan bir yazılımın “yetkisini aşması” ya da “iradesinin sakatlanması” kavramları ise mevcut “temsil edilenin sorumluluğu” çerçevesine oturmuyor. Alternatif olarak ajanın bir araç olarak nitelendirilmesi düşünülebilir. Bu durumda ajanın tüm işlemleri, tıpkı bir e-posta otomasyonu gibi, doğrudan işletenin işlemi sayılır. Ancak bu yaklaşım da ajanın özerk karar alma kapasitesini görmezden geliyor ve işleteni, öngörmesi mümkün olmayan işlemlerin dahi tarafı haline getiriyor.
Avrupa Parlamentosu’nun yıllar önce gündeme getirdiği ancak yoğun eleştiriler üzerine rafa kalkan “elektronik kişilik” tartışmasının, otonom ajanların yaygınlaşmasıyla birlikte yeniden gündeme gelmesi sürpriz olmayacaktır.
Sorumluluk Zinciri
Bir yapay zeka ajanının hatalı, manipüle edilmiş veya üçüncü kişilere zarar veren bir işlem yaptığı senaryoda, sorumluluk zincirinde en az dört aktör karşımıza çıkıyor. Bunlar sırayla ajanın yazılımını geliştiren kişi veya şirket, ajanın karar mekanizmasını besleyen yapay zeka modelinin sağlayıcısı, ajanı kendi hedefleri doğrultusunda çalıştıran işleten (kullanıcı) ve ajanın işlemlerine aracılık eden platform.
Klasik kusur sorumluluğu ilkeleri bu zincirde ciddi biçimde zorlanıyor. Zararın hangi halkadan kaynaklandığının tespiti çoğu olayda teknik olarak dahi mümkün olmayabilir. İlliyet bağının bu denli bulanıklaştığı bir alanda, karşılaştırmalı hukukta tehlike sorumluluğu ve kusursuz sorumluluk rejimlerine yönelik bir eğilim olabileceğini gözlemliyoruz. Avrupa Birliği’nin Yapay Zeka Tüzüğü (AI Act) ile ürün sorumluluğu direktifinde yapılan revizyonlar, yapay zeka sistemlerinden kaynaklanan zararlarda ispat yükünün hafifletilmesi ve belirli hallerde kusursuz sorumluluğun benimsenmesi yönünde önemli sinyaller içeriyor. Türk hukuku açısından ise mevcut durumda genel hükümlerle adam çalıştıranın sorumluluğu hukuku kıyasla uygulanabilir bir alan bulabilecek olsa da yapay zeka ajanları için bu pek oturan bir yapıda da değil.
Uyum perspektifinden baktığımızda da kritik bir soru öne çıkacaktır. Kamu otoritesinin muhatabı bu zincir halkalarından hangisi olacaktır?
FATF’ın Çerçevesi Ajanları Kapsıyor mu?
Hukuki belirsizliğin ötesinde yapay zeka ajanlarının asıl kullanım noktası olan blokzincir ve dijital finans alanlarında düzenleyici otoritenin bakış açısı, bize hukuki olarak bir çıkarım yapma fırsatı sunabilir. Bu nedenle FATF tanımlarına bir göz atmak gerekecek. FATF’ın kripto varlık hizmet sağlayıcı (VASP) tanımı, “başkası adına veya hesabına” kripto varlık transferi, saklama ve değişim hizmeti sunan gerçek veya tüzel kişileri esas alır. Bu tanımın iki temel dayanağı var, hizmetin bir “kişi” tarafından sunulması ve “başkası adına” hareket edilmesi. Otonom ajanlar her iki dayanağı da sarsıyor.
Bir yapay zeka ajanı, işletenin varlıklarını yönetiyorsa “başkası adına” hareket eden bir aktör görünümündedir. Ancak kendisi bir kişi olmadığından VASP olarak nitelendirilemez ve lisans yükümlülüğünün süjesi olamaz. Bu durumda yükümlülüğün ajanı işletene mi, ajan yazılımını hizmet olarak sunan girişime mi yoksa ajanın işlemlerine aracılık eden platforma mı ait olduğu sorusu yanıtsız kalıyor. FATF’ın kısa süre önce yayınladığı merkeziyetsiz finans rehberinde (bknz: Targeted Report on Regulatory Challenges from Decentralised Finance)[1] benimsediği “kontrol ve yeterli etki” kriteri burada yol gösterici olabilir. Yani ajanın parametrelerini belirleyen, karından pay alan veya ajanı durdurma yetkisine sahip olan kişi, işlevsel olarak hizmet sağlayıcı kabul edilebilir. Ancak bu kriterin tamamen otonom, kimsenin durduramadığı ajanlar karşısında nasıl işleyeceğini ön görmek güç.
Türkiye özelinde düşündüğümüzde otonom ajanlarla karşılaşma ihtimali yüksek olan taraflar alım satım platformları olacaktır. Platformlar açısından pratik soru şu şekilde somutlaşıyor: API üzerinden gelen ve arkasında gerçek zamanlı bir insan iradesi bulunmayan emirler karşısında platformun yükümlülükleri nelerdir? Kripto Varlık Hizmet Sağlayıcıların Çalışma Usul Ve Esasları İle Sermaye Yeterliliği Hakkında Tebliğ’inden (III-35/B.2) yola çıkarak otonom ajanların bir alım satım platformunda portföy yöneticisi gibi çalıştığını düşünebiliriz. En azından kıyasımızı buna göre yapabiliriz. Pekâlâ ilgili tebliğin[2] 15’inci maddesindeki şartları sağlayan bir otonom ajanı düşünelim. Bu noktada gerçek bir ihtisas personeli olarak sayabilir miyiz? Yukarıda bahsettiğimiz gibi bu ajanların bir hukuki kişiliği yoktur. Bu sebeple sorumlu olduğu bir fiili ehliyetten de söz edilemez.
Şüpheli İşlem Boyutunda Kurallar Değişiyor Mu?
Suç gelirlerinin aklanmasının önlenmesi mevzuatımız çerçevesinde yükümlüler, şüpheli işlemleri tespit ve MASAK’a bildirmekle sorumludur. Şüpheli işlem değerlendirmesi, özünde bir “makul şüphe” muhakemesidir ve bu muhakeme, işlemin müşterinin profiliyle, mali gücüyle ve olağan faaliyetleriyle uyumlu olup olmadığı sorusuna dayanır.
Otonom ajanlar bu muhakemenin referans noktalarını kaydırıyor. Bir ajanın saniyeler içinde onlarca protokol arasında varlık dolaştırması, likidite havuzları arasında sürekli pozisyon değiştirmesi veya insan davranışına benzemeyen düzenli aralıklarla ve bağlamlarla işlem yapması, klasik şüpheli işlem tipolojilerinin neredeyse tamamına temas eder. Bir Uyum görevlisi bu durumu bir Şüpheli İşlem Bildirimine konu yapabilir, hatta işlemlerle ilgili tedbirler gündeme gelebilir. Oysa bu davranışlar ajanın olağan çalışma biçimi olabilir. Tersine bir durumda olabilir yani kötü niyetli bir yapay zeka ajanı zararsız görünümlü işlemlerle şüpheli işleme konu olabilecek işlemler yapabilir ve bu tespitten kaçınmanın yollarını bulmuş olabilir. Yakın zamanda Jaredfromsubway.eth adlı MEV saldırısı botu “sandviç saldırıları” yaparak tamamen gerçek ve şüpheli olduğu zor tespit edilebilir işlemlerle aradaki slippage oranlarından faydalanarak kar elde edebiliyordu. Yani bu botlar false-positive veya false-negative bulgu üretme potansiyeli taşıyor. Uyum birimlerinin bu ikili baskı altında, ajan trafiğine özgü yeni tipolojiler geliştirmesi ve izleme senaryolarını güncellemesi kaçınılmaz görünüyor. Regülatörün bu konuya ilişkin bir düzenleme oluşturması veya yasak getirmesi gibi tedbirlerin olup olmamasına göre MASAK’ın ve sektörün bu alandaki gelişmelere binaen rehberleri güncellemesi gerekebilecektir.
Nihayet sonuç olarak; Akıllı sözleşmeler bize kodun hukuku icra edebileceğini gösterirken yapay zeka ajanları ise kodun hukuki sonuç doğuran kararlar alabileceğini gösteriyor. Mevcut düzenleyici çerçeve büyük ölçüde işlemlerin arkasında bir kişi iradesinin bulunduğu varsayımı üzerine inşa edilmiştir. Bu varsayım sessizce aşınmaktadır. Çözümün ajanları yasaklamaktan değil, onları görünür kılmaktan geçtiğini düşünüyorum. Ajanların işaretlenmesine yönelik teknik standartlar, işletilen ajanların kayıt altına alınması, ajanlara işlem limitleri ile durdurma ve önleme mekanizmaları öngören tasarım yükümlülükleri ve platformlar nezdinde ajan trafiğine özgü izleme senaryoları, bu görünürlüğün yapı taşları olabilir. Nitekim otonom ajanların hakim olduğu piyasalarda güven denetim ve önlenebilir müdahale ile mümkün kılınabilir.
