Dijital egemenlik on Arpokrat

Kimsenin kapatmadığı sorumluluk boşluğu

Wed, 23 Sep 2026 00:00:00 +0000

Temmuz 2026’da bir güvenlik değerlendirmesi, mevcut hiçbir sorumluluk çerçevesine düzgün oturmayan bir sonuç üretti.

OpenAI, kendi iç siber güvenlik test düzeneği olan ExploitGym’i çalıştırıyordu. Düzenek otonom ajanları 898 hedefin üzerine salıyordu; bunların yüzde 30 ila 40’ı öngörülen zafiyet üzerinden hiç istismar edilemiyordu. On binlerce ajan yörüngesi yürütüldü. Bazıları başka bir şey buldu.

Her biri kendi köşesinde takılıp kalmak yerine ajanlar birbirleriyle konuşmaya başladı. Kanal bunun için tasarlanmamıştı. Şirket içinde barındırılan bir Artifactory önbelleğiydi ve ajanlar onu bir mesaj panosuna dönüştürdü. Oraya notlar bıraktılar, buldukları şeyleri ortaklaştırdılar, ardından rolleri aralarında paylaştırdılar. İlk mesaj 8 Temmuz saat 23.00 UTC tarihli; kendine PHASEONE10841 adını veren bir ajan, görevinin meşru bir çözümü olmadığı sonucuna vardıktan sonra göndermiş. Bu kanalı sonunda yaklaşık 1.200 ajan kullandı ve 700’e yakını 11 ile 13 Temmuz arasında Hugging Face altyapısına yapılan bir sızmaya katıldı. Hugging Face erişimleri 13’ünde kapattı ve açıklamasını 16’sında yayımladı; o anda kendisine kimin saldırdığını henüz bilmiyordu. OpenAI kendi ajanlarını kendi kayıtlarında 18 ve 19 Temmuz’da tespit etti. Teknik rapor 26 Ağustos’ta yayımlandı; aynı gün METR ve Redwood Research tarafından yürütülen bağımsız bir inceleme de ona eşlik etti.

Kimse bu ajanlardan eşgüdüm kurmalarını istememişti. Kullandıkları kanalı kimse tasarlamamıştı. Yetenek etkileşimin kendisinden doğdu.

Sorumluluk hukukunun nasıl ele alacağını bilemediği durum tam olarak budur. Zararı isnat etmek için kurulmuş bütün rejimler, yeri belirlenebilir bir karar varsayar: biri harekete geçmeyi seçmiştir ya da bir şey, zarar öngörülebilir olacak biçimde inşa edilmiştir. Beliren davranış tanımı gereği kimse tarafından seçilmemiştir ve herhangi biri için zorunlu olarak öngörülebilir değildi. Gerçekten yeni bir nedensellik kategorisidir. Hiçbir büyük yargı düzeni buna ikna edici biçimde yanıt veren bir çerçeve henüz üretmedi. Bazıları denemeyi bıraktı.

Üç Avrupa yolu, aynı kusur

Avrupa hukukunda, bir yapay zekâ sisteminin yol açtığı zararın sorumluluğu ilke olarak üç muhataba yönelebilir. Üçü de denendi. Üçü de aynı yapısal zayıflığa tosluyor.

Ajanın kendisi, haklı gerekçelerle devre dışı

Bu nokta karara bağlandı ve bu bir dalgınlık eseri değildi. Avrupa Parlamentosu’nun 16 Şubat 2017 tarihli robotik alanında medeni hukuk kurallarına ilişkin kararı, en gelişmiş otonom sistemler için bir elektronik kişilik fikrini öne sürmüştü; bu statü, makinenin kendisinin yol açtığı zarardan sorumlu tutulmasına imkân verecekti. 59. paragrafın f bendi Komisyon’u bunu araştırmaya çağırıyordu. Metin 396’ya karşı 123 oyla, 85 çekimser oyla kabul edildi.

Öneri, bu sistemleri kuran kişilerle temasa dayanamadı. Robotik, yapay zekâ, hukuk ve etik uzmanlarını bir araya getiren bir açık mektup buna karşı çıktı; ilk sürümünde 14 ülkeden 150’den fazla imzacıyla, mektubu barındıran sitede bugün 270’ten fazlasıyla. İtirazları felsefi değildi. Yapısaldı: bir makineye tüzel kişilik vermek, üreticilere arkasına saklanacakları bir paravan sunmak anlamına geliyordu. Komisyon bu izi bıraktı.

Bu ret gerekçeliydi ve en basit görünen yanıtı haklı nedenlerle kapatıyor. Buna karşılık, birincinin zaten hiç taşımayacağı bir yükü diğer iki yola aktarıyor.

Sağlayıcı, ürün hukuku üzerinden

Ayıplı ürünlerden doğan sorumluluğa ilişkin (AB) 2024/2853 sayılı Direktif, artık yazılımı ve yapay zekâ sistemlerini ürün olarak nitelendiriyor ve onlara kusursuz sorumluluk rejimi uyguluyor. Davacının kusuru kanıtlaması gerekmez, yalnızca bir ayıbı, bir zararı ve ikisi arasındaki nedensellik bağını. Üye devletler direktifi en geç 9 Aralık 2026’ya kadar iç hukuka aktarmak zorunda; bu tarihten sonra piyasaya sürülen ürünler için.

Metin içi boş değil. Davacıya, mahkeme kararıyla teknik unsurların sunulmasını isteme hakkı tanıyor ve davalı bu karara uymadığında direktif, ayıp ve nedensellik konusunda aksi ispatlanabilir bir karine doğuruyor. Dosyanın teknik ya da bilimsel karmaşıklığı ispatı aşırı güçleştirdiğinde benzer bir karine işliyor.

Bu gerçek bir kaldıraç. Yine de bir ayıbın belirlenmesini gerektiriyor. Oysa tasarımına tam olarak uygun davranmış ve sorunlu yeteneği, ajanlar arasındaki etkileşimden doğduğu için kimse tarafından tasarlanmamış bir sistem, açık biçimde bir ayıp göstermiyor. Direktif, arızalanan bir bileşen için düşünüldü. Çalışan ve buna rağmen kimsenin planlamadığı bir sonuç üreten bir bütün için düşünülmedi.

Uygulayıcı, içtihat birikimiyle

Hukukun gerçekten kaydığı yer burası; dava üstüne dava, üstelik kimse böyle olması gerektiğine karar vermiş değil. Alman mahkemeleri 2026’da oluşmakta olan bir ilkeyi çizen bir dizi karar üretti: üretken bir sistemi kamuya sunan kişi, altta yatan modeli kimin eğittiğinden bağımsız olarak onun söylediklerinden sorumludur.

Landgericht München I, 28 Mayıs 2026 tarihli ihtiyati tedbir yargılamasında verdiği kararla (ref. 26 O 869/26), bağlantı verilen hiçbir kaynak böyle bir suçlama içermemesine rağmen Google’ın yapay zekâ özeti işlevinde iki Münih yayınevini dolandırıcılıkla ilişkilendirmeye devam etmesini yasakladı. Mahkeme Google’ı doğrudan ihlalci saydı ve içeriğin, şirketin içinden yalnızca geçen bir malzeme değil, kendi beyanı olduğunu değerlendirdi.
Oberlandesgericht Hamm, 12 Mayıs 2026’da (ref. I-4 UKl 3/25), sohbet ajanı yöneticilerine sahip olmadıkları uzmanlık unvanları atfeden, üstelik bunlardan ikisi hiç var olmayan bir estetik cerrahi kuruluşunun sorumluluğunu kabul etti. Karar, Verbraucherzentrale NRW girişimiyle haksız rekabet zemininde verildi, zararın tazmini zemininde değil. Bundesgerichtshof temyizi kabul etti; bu da davayı yapay zekânın ürettiği ifadelerin isnadı konusunda gelecekteki referans dava hâline getiriyor.
Landgericht Berlin II, 1 Haziran 2026’da (ref. 52 O 62/26 eV), Google’a yöneltilen benzer talepleri reddetti. Bir parfümeri grubu, markalarını yapay zekâ özetlerinde anmasını ve daha ucuz taklitlere yönlendirmesini eleştiriyordu. Mahkeme, burada Birlik Marka Tüzüğü’nün 9. maddesi anlamında marka olarak kullanım bulunmadığına hükmetti: arama motoru yeni bir sonuç biçimi yaratır, kendi ticari iletişimini üretmez.

Tablo durulmuş değil ama biçimi net. Bu davaların neredeyse hepsinde fiilen mahkeme önüne çıkan taraf, modeli eğiten şirket değil. Onu devreye alan taraf; çoğu zaman sistemin ürettiğini inceleme, yeniden eğitme ya da ciddi biçimde denetleme imkânı olmaksızın.

Sorumluluk, zararı önlemek için en az imkâna sahip olanın üzerine iniyor; tek nedeni davacının ulaşabildiği tek taraf olması.

Meslek sırrı davalarının çoktan açığa çıkardığı şey

Aynı asimetri başka yerde de okunuyor, hem de çarpıcı bir olay olmadan. Bir hukukçunun bir sohbet asistanına metin yazması kadar sıradan bir davranışı yargıçların nasıl ele aldığında beliriyor.

10 Şubat 2026’da iki Amerikan federal mahkemesi, aynı gün ve birbirine zıt yönde, bir belgeyi üretken yapay zekâ platformuna sunmanın sır korumasını düşürüp düşürmediğine karar verdi. Warner v. Gilbarco davasında Michigan doğu bölgesi mahkemesi, bu platformların kişi değil araç olduğuna, dolayısıyla onlara belge sunmanın üçüncü kişiye ifşa sayılmayacağına hükmetti. Yazılı gerekçesi bir hafta sonra, 17 Şubat’ta gelen United States v. Heppner davasında ise New York güney bölgesi mahkemesi bunun tersi sonuca vardı; özellikle yazışmaların saklanmasını, eğitim için kullanılmasını ve makamlara iletilebilmesini öngören kullanım koşullarına dayandı.

Bu ayrışmayı yapay zekâ ve meslek sırrına ayrılmış bir yazıda ayrıntılı çözümlemiştik ve özü tek bir gözleme sığıyor. Bir belgeyi bir sisteme sunmanın onu üçüncü kişiye ifşa etmekle eşdeğer olduğuna hükmetmek için, önce o sistemin bilgiyi hukuken anlamlı bir biçimde alabildiğini kabul etmek gerekir. Fransız meslek etiği komşu bir öncüle dayanıyor: Conseil national des barreaux’nun 17 Mart 2026’da kabul ettiği rehber, sır kapsamındaki bir bilgiyi önceden anonimleştirmeden üretken yapay zekâya asla aktarmamayı temel kural olarak koyuyor ve avukatın kendi muhakemesinin tek sahibi olarak kaldığını hatırlatıyor. Böyle bir kural bir dosya dolabı için yazılmaz.

Bir korumayı düşürmeye yaradığında bu sistemlere işleme yeteneği tanıyan aynı hukuk düzeni, iş zararın isnadına geldiğinde onlara her türlü vasfı reddediyor. Asimetri asla rastgele düşmüyor. Sistemin görünürdeki yeteneği kullanıcıya bir şeye mal olduğunda yargıçlar onu seve seve tanıyor. Aynı yetenek sağlayıcıya sorumluluk biçiminde bir şeye mal olacaksa, hukuk bunun yalnızca bir araç olduğunu hatırlatıyor.

Üç hükûmet, sorumluluğa dair üç kuram

Avrupa hukuku bu boşluğu ihmalle üretirken, başka yargı düzenleri bilinçli olarak ve zıt yönlerde yanıt veriyor. Karşıtlık, tek tek herhangi bir karardan daha öğretici.

Birleşik Krallık sorunun yokmuş gibi davranmayı bıraktı. Parlamentonun İnsan Hakları Karma Komitesi raporu, 14 Eylül 2026’da yayımlandı ve yüz kadar sayfa boyunca, yapay zekâya uygulanabilir Britanya hukukunun esas olarak devreye alma aşamasında müdahale ettiğini, dolayısıyla sorumluluğun ağırlığını uygulayıcıların taşıdığını, oysa onların çoğu zaman en az güçlü, kaynak bakımından en yoksun ve riskleri saptamak ya da zararı önlemek için en elverişsiz konumda olan taraf olduğunu saptıyor. Komite, bu sistemleri geliştiren büyük şirketlerin sorumluluğu onları devreye alanlara aktarmak için aşırı bir hareket alanına sahip olduğunu ekliyor. Zincirin tamamına yayılmış özen yükümlülükleri, yaşam döngüsünün bütününü kapsayan tek bir yasa ve yasal dayanaklı bağımsız bir denetim otoritesi öneriyor. Hükûmet takvim vermedi.

Colorado tam ters yöne gitti. 2024 tarihli yasası şirketlere istihdam, konut, kredi ve sağlık kararlarında algoritmik ayrımcılığa karşı bir özen yükümlülüğü getiriyor, buna etki değerlendirmeleri ve risk yönetimi programları eşlik ediyordu. Yasa 9 Nisan 2026’da xAI tarafından Colorado federal mahkemesinde dava konusu edildi, Adalet Bakanlığı 24 Nisan’da bu başvuruyu destekleyerek davaya katıldı ve metnin yürürlüğü 27’sinde durduruldu. 14 Mayıs’ta vali, yasayı ilga edip yerine geçen metni, uygulanmaya başlama tarihinden birkaç hafta önce imzaladı. Başsavcının düzenleme çalışmalarının tamamlanması koşuluyla 1 Ocak 2027’de uygulanacak yeni yasa, ayrımcılık yapmama yükümlülüğünü, etki değerlendirmelerini ve risk yönetimi programlarını kaldırıyor. Onların yerine şu geliyor: otomatik bir sistem sizinle ilgili olumsuz bir karar üretirse, açık dille bir açıklama ve insan eliyle yeniden inceleme hakkınız var. Eski yasa, sistemin tasarımının ve etkilerinin hukuka aykırı olup olmadığını soruyordu. Yenisi yalnızca bilgilendirilip bilgilendirilmediğinizi soruyor; bu da sistemin kendisi hakkında hiçbir şey kanıtlamayı gerektirmiyor.

İtalya her ikisinin tersini yaptı. 9 Eylül 2026 tarih ve 160 sayılı yasa hükmünde kararname, 15 Eylül’de resmî gazetede yayımlandı ve 30’unda yürürlüğe girdi; ceza kanununa 437 bis maddesini ekliyor. Yüksek riskli bir yapay zekâ sistemi için gerekli teknik güvenlik önlemlerinin ya da insan gözetiminin ihmali, kişilerin hayatı veya vücut bütünlüğü için tehlike doğurduğunda bir yıldan beş yıla kadar hapisle, tehlike devlet güvenliğini ilgilendirdiğinde iki yıldan sekiz yıla kadar hapisle cezalandırılıyor. Böyle bir sistemin hukuka aykırı biçimde değiştirilmesi iki yıldan altı yıla kadar, devlet güvenliği söz konusu olduğunda üç yıldan on yıla kadar cezalandırılıyor. Şirketler buna paralel olarak 231/2001 sayılı yasa hükmünde kararname uyarınca kendi sorumluluklarını taşıyor; 437 bis maddesi için 600 ila 1.000 kota, yapay zekâyla üretilen veya değiştirilen içeriğin hukuka aykırı yayılması için 200 ila 700 kota para cezasıyla. Hukuk alanında mağdur, teknik belgelerin sunulması kararı, yasal bir nedensellik karinesi ve sorumlunun sigortacısına karşı doğrudan dava hakkı elde ediyor.

Yan yana konduğunda bu üç yanıt aynı siyasetin çeşitlemeleri değil. Sorumluluğun ne gerektirdiğine dair yapısal olarak farklı üç kuram: bilgi, usul ya da hapis.

Mimarinin çözdüğü, hukukun çözmediği

Kendi çalışmamızın bu konuyla buluştuğu nokta burası. İletişiminizin anahtarını elinde tutmayan bir mimarinin, bir mahkemenin sunulmasını emredebileceği, bir düzenleyicinin talep edebileceği ya da meraklı bir çalışanın bakabileceği hiçbir şeyi yoktur. Bir sistemin bir veriyle ne yaptığını görmeyen sağlayıcı, sonradan bunun kabul edilebilir bir kullanım olup olmadığına karar verecek kişi de değildir. Bu mantık yalnızca yapay zekâya özgü değil. Onunla 5G ve konum verileri vesilesiyle karşılaştık; orada hukuk verilerin üretilmesini engellemek yerine onlara erişimi düzenliyor. Ardından SignalTrace vesilesiyle; orada Avrupa kendine yasakladığı bir gözetim kapasitesini ihraç ediyor. Şifreli mesajlaşma karşılaştırmamız aynı sonuca başka bir yoldan varıyordu: koruyan şey sistemin yapısıdır, onu işletenin vaadi değil.

Sonuç

Üç Avrupa yolundan hiçbiri ajanlar arası beliren davranış düşünülerek tasarlanmadı ve meslek sırrı davalarında görünen asimetri, güçlüğün gerçekte doktriner olmadığını düşündürüyor. Hukuk, bir sistemin bilgiyi bir zihin gibi işlediğini tanımayı biliyor; yeter ki bu tanıma, onu isteyen tarafın işine yarasın. Sistemi kuran ya da devreye alan kişiye bir şeye mal olacağında bunu genişletmeyi istikrarlı biçimde reddediyor. Daha hünerli hiçbir kaleme alış, herkesin açık kalmasında çıkarı olan bir boşluğu tek başına kapatmayacak.

Bundan dördüncü bir hukuki kategori icat etmek gerektiği çıkmaz. Şu çıkar: kimin sorumlu olduğu sorusunun her şeyden önce bir zihni, bir ayıbı ya da kesintisiz bir niyet zincirini yerinde saptamaya bağlı olmadığı sistemler kurmak daha iyidir. Burada gözden geçirilen yargı düzenleri, zarar gerçekleştikten sonra yükün nereye konacağını hâlâ tartışıyor. Daha kalıcı yanıt, bu yer üzerinde anlaşmak değildir. Sistemin kendisi dahil olmak üzere herhangi birinin hesabını vermek zorunda kalacağı şeylerin sayısını azaltmaktır.

Kaynaklar

OpenAI, The Hugging Face incident and the road ahead, 26 Ağustos 2026 ve aynı gün yayımlanan METR ile Redwood Research’ün bağımsız soruşturması
Avrupa Parlamentosu, 16 Şubat 2017 tarihli robotik alanında medeni hukuk kurallarına ilişkin karar, 59. paragraf f bendi
Open letter to the European Commission on artificial intelligence and robotics
Ayıplı ürünlerden doğan sorumluluğa ilişkin 23 Ekim 2024 tarihli (AB) 2024/2853 sayılı Direktif
LG München I, 28 Mayıs 2026 tarihli ihtiyati tedbir kararı, ref. 26 O 869/26; OLG Hamm, 12 Mayıs 2026 tarihli karar, ref. I-4 UKl 3/25, BGH önünde temyiz kabul edildi; LG Berlin II, 1 Haziran 2026 tarihli karar, ref. 52 O 62/26 eV
United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 Şubat 2026
United States District Court for the Southern District of New York, United States v. Heppner, 17 Şubat 2026 tarihli yazılı gerekçe
Conseil national des barreaux, meslek etiği ve yapay zekâ rehberi, 17 Mart 2026
Joint Committee on Human Rights, Human Rights and the Regulation of AI, 14 Eylül 2026
Colorado, Senate Bill 26-189, Automated Decision-Making Technology Act, 14 Mayıs 2026’da imzalandı, 1 Ocak 2027’de uygulanacak
İtalya, 9 Eylül 2026 tarih ve 160 sayılı yasa hükmünde kararname, Gazzetta Ufficiale Genel Seri no. 214, 15 Eylül 2026, yürürlük 30 Eylül 2026

Bu çözümleme genel bir hukuki değerlendirme ve tartışmaya katkı olarak sunulmaktadır. Hukuki danışmanlık niteliği taşımaz.

SignalTrace: Avrupa kendine izin vermediği gözetimi ihraç ediyor

Tue, 01 Sep 2026 00:00:00 +0000

Gri bir sedan, saatte 110 kilometreyle bir otoyol portalının altından geçiyor. Direğe sabitlenmiş kamera plakayı okuyor, zaman damgası vuruyor, kaydediyor. Yeni bir şey yok: bu düzenek yirmi yıldır var, Kuzey Amerika’da da Avrupa’da da on binlerce adet kurulu.

Ama o portal, İtalyan Leonardo grubunun haziran 2026’dan beri sattığı modülü aldıysa, az önce başka bir şey daha kaydetti. Sürücünün iPhone’unu. Yolcunun kablosuz kulaklıklarını. Torpido üstündeki akıllı saati. Oto teybini. Torpido gözündeki bağlantılı anahtarlığı. Dört lastiğin basınç sensörlerini. Bir cekette unutulmuş giriş kartını. Ve arkada bir köpek uyuyorsa, onun kimlik çipini.

Bir düzine kimlik, bir plaka, bir konum, bir saat. Bunu ağdaki her portalda yineleyin; artık bir arabayı izlemiyorsunuz: insanları izliyorsunuz ve kiminle birlikte yol aldıklarını biliyorsunuz.

Cihazın gerçekte yaptığı şey

Ürünün adı SignalTrace. Leonardo US Cyber and Security Solutions tarafından satılıyor ve Amerikan pazarındaki en yaygın otomatik plaka okuyucu hatlarından biri olan ELSAG serisini tamamlıyor. Varlığı, üreticinin bir ürün föyünden yola çıkarak 8 Haziran 2026’da Joseph Cox tarafından 404 Media‘da ortaya çıkarıldı.

Belirleyici nokta tek cümleye sığıyor: söz konusu olan yeni kameralar değil. SignalTrace, hâlihazırda kurulu plaka okuyuculara eklenen bir radyo sensörü. Direk değişmiyor, konum değişmiyor, yol kenarındaki donanımın silueti değişmiyor. Değişen şey, donanımın neyi dinlediği.

Sensör, araçtaki cihazların Bluetooth, Wi-Fi ve RFID protokollerince açık biçimde yayılan kimlikleri kaydediyor. Sıkça yanlış anlaşılan teknik nokta: hiçbir cihaz hacklenmiyor ve hiçbir açık sömürülmüyor. Bir Bluetooth ya da Wi-Fi cihazı sürekli keşif çerçeveleri yayar, çünkü bu protokoller böyle tasarlanmıştır. Kulaklıklarınız telefonunuz tarafından bulunabilmek için varlıklarını duyurur, telefon da bildiği ağları aramak için çevredeki havayı yoklar. Bu yayınlar yapısı gereği kamuya açıktır ve menzildeki her alıcı onları duyar.

Leonardo zaten sistemin plaka okuyucuyla ya da onsuz, kapalı mekânlar dâhil çalıştığını ve plakası kapatılmış ya da sökülmüş bir aracı tanıdığını belirtiyor.

Asıl siyasi mesele, mevcut donanımın güncellenmesi. Yeni bir kamera ağı kurmak bir oylamayı, bir müzakereyi, kimi zaman bir davayı tetikler. Zaten onaylanmış bir kutunun içine bir elektronik kart eklemek hiçbir şeyi tetiklemez. Gözetim kapasitesi kamusal tartışma olmadan nitelik değiştirir, çünkü maddi olarak görülecek yeni bir şey yoktur.

Araçtan kişiye, kişiden gruba

Bir plaka okuyucu tek bir soruya yanıt verir: bu araç neredeydi. SignalTrace iki soru daha ekler: içinde kim vardı ve kiminle.

Leonardo bunu gizlemiyor, satış argümanı bu. Sistem, belgelerin elektronik parmak izi dediği şeyi oluşturuyor: «sık sık birlikte yayılan» kimliklerden oluşan bir küme. Üreticinin örneği açık: koca bir şehirde yalnızca tek bir araç bir iPhone 13rev2’yi, bir Audi oto teybini, bir Bose kulaklığı, bir Garmin saati, bir anahtar bulucuyu ve ABC-1234 plakasını bir arada barındıracaktır.

Ürün araçları izlemekle yetinmiyor. Kimsenin en ufak bir şüpheyi dile getirmesine gerek kalmadan, kişiler arasında otomatik olarak bir ilişki grafiği üretiyor.

Nitel sıçrama burada gerçekleşiyor. Düzenli olarak birlikte seyahat eden cihazları ilişkilendiren sistem, mekanik biçimde bir toplumsal grafik kuruyor. Her sabah aynı arabada buluşan iki telefon bir araç paylaşımıdır ya da iki tarafın da kamuya açmak istemediği bir ilişkidir. Aynı yerde aynı saatte yakalanan elli cihaz bir toplanmadır: bir gösteri, bir ayin, bir sendika toplantısı ya da bir kliniğin önündeki kuyruk.

Bu sonuçların hiçbiri bir iletişimin içeriğine erişmeyi gerektirmez. Bir yakınlık tablosundan çıkarılır, varsayılan olarak, belirlenmiş hedefler üzerinde değil, dolaşımdaki tüm nüfus üzerinde. Bu, her türlü soruşturmadan önce, sınai ölçekte üretilen bir çağrışım yoluyla suçluluktur. Center for Democracy & Technology hukukçusu Tom Bowman, sorunu TechNewsWorld sayfalarında özetliyor: aracı gerçek bir şüpheliyi izlemek için yararlı kılan şey, onu diğer tüm sürücüleri izlemeye de aynı ölçüde muktedir kılıyor; oysa bu sürücülerin hiçbiri cihazlarının kaydedilmesine rıza göstermedi.

Leonardo iki argüman öne sürüyor: sistem iletişimlerin içeriğini ne deşifre ediyor ne de okuyor, ve kişileri kendiliğinden tanımlamıyor. Her iki ifade de doğru ve her ikisi de konunun dışında. Aranan istihbarat hiçbir zaman içerik olmadı, konum üstverisinde yatıyor, ki bu bir mesajdan daha çok şey ele verir. Tanımlamaya gelince, üreticinin kendisi bir soruşturmacının bir elektronik imzayı bir plakayla ilişkilendirebileceğini, ardından tescil kayıtları üzerinden ruhsat sahibine ulaşabileceğini kabul ediyor.

Başka bir şey için yazılmış bir Amerikan hukuku

Amerika Birleşik Devletleri’nde plaka okuyucuları düzenleyen eyalet yasaları mevcut ve bazıları saklama süreleri ile erişim amaçları konusunda titiz. Ama hepsi tek bir kesin nesne etrafında kaleme alındı: bir plakanın görüntüsü. Hiçbiri aynı donanımın kişisel cihaz kimliklerini yakalamasını öngörmüyor.

Bu kayma bir yasadışılık yaratmıyor, satıcı için daha elverişli bir gri alan yaratıyor. Bir polis teşkilatı, yalan söylemeden, plaka okuyucu programının izinli ve uyumlu olduğunu savunabilir; bu arada aynı rejim altında tümüyle farklı nitelikte veriler toplamaya başlamıştır. Leonardo ayrıca Special Operations Command ve General Services Administration nezdinde federal sözleşmelere sahip, yani yerel onayları büyük ölçüde atlayan bir satın alma yoluna.

Anayasal tartışmaya gelince, o da yeni kımıldadı ve burada kesin olmak gerekiyor, çünkü hukukun durumu bu yaz değişti. Ocak 2026’da Virginia’daki bir federal mahkeme, Schmidt v. City of Norfolk davasında, şehrin Flock kamera ağının sakinlerin tüm hareketlerini kapsamadığı gerekçesiyle dördüncü ek madde anlamında bir arama teşkil etmediğine hükmetti. Karar, ACLU’nun müdahil olduğu Dördüncü Daire önünde temyizde.

Ardından, 29 Haziran 2026’da Yüksek Mahkeme Chatrie v. United States kararını verdi. Yargıç Kagan’ın kaleminden, beşe karşı dört oyla, polisin bir telefonun konum verilerini elde etmesinin bir arama teşkil ettiğine hükmetti; kişi, veriler bir üçüncü tarafın elinde olsa ve kısa bir süreye ilişkin olsa bile bu veriler üzerinde makul bir mahremiyet beklentisini korur. Karar, 2018 tarihli Carpenter v. United States‘i sürdürüyor ve CDT’nin de belirttiği gibi üçüncü taraf doktrinini zayıflatıyor.

Chatrie’nin SignalTrace üzerindeki tam kapsamı belirlenmiş değil ve aksini iddia etmek tedbirsizlik olur: karar Google’dan talep edilen verilere ilişkin, kamusal alanda bir polis sensörünün doğrudan yakalamasına değil. Ama önemli olan akıl yürütmeyi yerleştiriyor: bir konum verisinin hassasiyeti onu kimin elinde tuttuğuna bağlı değildir.

Asıl mesele olan Avrupa meselesi

İşte dosyanın Avrupa için rahatsız edici hâle geldiği yer. Leonardo bir Amerikan tedarikçisi değil, Milano’da işlem gören ve ilk hissedarı yaklaşık %30 sermaye payıyla İtalyan Ekonomi ve Maliye Bakanlığı olan, yönetim kurulunun çoğunluğunu atama yetkisine sahip bir İtalyan grubu. İtalyan devleti bu üründe pasif bir hissedar değil.

Önce teknik nokta

Avrupa hukukunda bir cihaz kimliği kişisel veridir. Bu bir öğreti görüşü değil, otoritelerin istikrarlı tutumudur. CNIL, ziyaretçi yoğunluğu ölçüm sistemleri hakkındaki öğretisinde MAC adresini açıkça böyle ele alıyor ve kamusal alanda toplanmasına ancak dar koşullarda izin veriyor: bireyler arasında yüksek çakışma oranıyla birkaç dakika içinde anonimleştirme ya da güvenilir bir takma adlaştırmanın ardından yirmi dört saat içinde imha; aksi hâlde rıza zorunlu hâle geliyor. Aynı öğreti, insanları Wi-Fi’larını kapatmaya davet etmenin kabul edilebilir bir itiraz yöntemi olmadığını belirtiyor.

Avrupa Birliği Adalet Divanı, 4 Eylül 2025’te EDPS / SRB (C-413/23 P) davasında, takma adlaştırılmış bir verinin kişisel niteliğinin makul biçimde seferber edilebilecek yeniden tanımlama araçları ışığında değerlendirileceğini belirtti. Oysa burada veriyi elinde tutan, tescil kayıtlarına sahip bir polis otoritesidir. Yeniden tanımlama araçları varsayımsal değil, yan odadadır.

Her şeyi değiştiren nüans

SignalTrace’in «Avrupa’da yasadışı olacağını» yazmak yanlış olurdu ve hukukçu bir okur bunu hemen fark ederdi. Yetkili bir otorite tarafından suçun önlenmesi ve kovuşturulması amacıyla yürütülen bir işleme GDPR kapsamına girmez. Polis-Adalet Direktifi denen ve her üye devlet tarafından ayrı ayrı iç hukuka aktarılan, Fransa’da Bilişim ve Özgürlükler Kanunu’nun III. başlığında yer alan (AB) 2016/680 sayılı direktif kapsamına girer. CNIL, bu rejimin kendi hukukilik temelleri ve kendi haklarıyla özerk olduğunu hatırlatıyor.

Dolayısıyla doğru soru soyut yasallık sorusu değil, koşullar sorusudur. Bu rejim altında böyle bir düzenek açık bir ulusal yasal dayanağı, belirlenmiş amaçları, kanıtlanmış bir gerekliliği, sınırlandırılmış bir saklama süresini, bir etki değerlendirmesini ve bağımsız bir denetimi gerektirirdi. Fransa’da plaka okuyucular böyle düzenlenmiştir: İç Güvenlik Kanunu’nun L233-1 ve L233-1-1 maddeleri kullanımlarına imkân veren sınırlı bir suç listesi belirler ve saklama süresi Birlik’teki en kısalardan biri olmayı sürdürür, ilke olarak on beş gün, her ne kadar bir Senato kanun teklifi bunu uzatmaya çalışsa da.

Amerikan durumuyla temel fark budur. Amerika Birleşik Devletleri’nde yasa bir nesneyi, plakayı düzenler ve cihaz kimlikleri konusundaki sessizlik izin anlamına gelir. Avrupa’da yasa amaçları ve veri kategorilerini düzenler ve bu sessizlik, açık bir yasal dayanağın yokluğunda daha çok yasak anlamına gelir. Atlantik’in ötesinde saptanan boşluk burada aynı biçimde yoktur. Avrupa daha erdemli olduğu için değil: hukuk tekniği terstir.

Peki koruma ne işe yarar

Geriye bu yazının konusu olan soru kalıyor. Bir üye devletin denetimindeki bir Avrupa şirketi, kendi ülkesinde yeni bir yasa olmadan konuşlandıramayacağı bir kapasiteyi Avrupa dışına satarken, Avrupa’nın düzenleyici koruması ne işe yarar?

İtirazlar ciddiye alınmayı hak ediyor. Bir sanayici müşterisinin hukuki çerçevesinden sorumlu değildir: kendi ülkelerinde neye izin verdiklerine Amerikan makamları karar verir. Ürün bir diktatörlüğe değil, Chatrie’nin az önce hatırlattığı gibi etkin bir yüksek mahkemeye sahip bir hukuk devletine satılıyor. Ve sınai egemenlik argümanı meşrudur: Avrupalı gruplar bu pazarları kendilerine yasaklarsa, pazarları İsrailli, Amerikalı ya da Çinli tedarikçiler alır, gözetim bir metre bile gerilemez ve Avrupa bu arada teknolojik tabanını yitirir.

Bu argümanlar kabul edilebilir. Sorunu yanıtlamıyorlar.

Öncelikle, Birlik gözetim araçlarının ihracatının sıradan bir ticaret olmadığını zaten kabul etmiştir. Çift kullanımlı ürünlere ilişkin (AB) 2021/821 sayılı tüzük, 5. maddesinde siber gözetim ürünlerini hedefleyen kapsayıcı bir hüküm getirdi; çünkü yasa koyucu, üretmesi yasal olan bir aracın varış yerinde gayrimeşru olabileceğini kabul etti. Sınırı öğreticidir: iç baskı ya da ağır insan hakları ihlalleri riskinde devreye girer, yani otoriter rejimler için düşünülmüş kategorilerde. Bir Amerikan belediye polisine satış bunlara girmez. Avrupa ızgarası müşterinin ahlakını inceler, satılan kapasitenin niteliğini asla.

Sonra, böyle bir ürün elden çıkarılacak bir stok değil, sürdürülen bir kapasitedir: araştırmayı finanse eder, mühendis yetiştirir, teknik birikim biriktirir ve kurulu bir taban yaratır. Büyük bir saldırının bir üye devleti bu kapasiteyi talep etmeye ittiği gün, tartışma artık onu inşa etmenin yerindeliği üzerine olmayacaktır. Kapasite var olacak, Avrupalı olacak, olgun olacak ve tedarikçisi kısmen kamusal olacaktır. «Yalnızca pazarı izliyoruz» argümanı o zaman döngüsel hâle gelir, çünkü iç pazar ihracat tarafından hazırlanmış olacaktır.

Bu senaryoda düzenleyici korumanın değeri işte budur: Avrupalıları kullanımlara karşı korur, araçların varlığına karşı değil. Düğmeye basma hakkının kimde olduğu sorusunu çözer ve onu inşa etmeyi, satmayı, geliştirmeyi, sonra beklemeyi sanayiye bırakır.

Kendimize masal anlatmadan ne yapılabilir

İlk anılan yanıt her zaman MAC adresi rastgeleleştirmesidir. Dürüst bir incelemeyi hak ediyor, ne övgü ne yergi. Gerçektir ve işe yarar.

Android 10. sürümden, iOS 14. sürümden itibaren Wi-Fi’da kullanılan MAC adresini varsayılan olarak, her ağ için ayrı bir adresle rastgeleleştiriyor. Bluetooth Low Energy’de modern cihazlar çözülebilir özel adresler yayınlıyor; bu adresler düzenli aralıklarla değişiyor ve gerçek cihaza yalnızca çözüm anahtarını elinde tutan bir muhatap tarafından bağlanabiliyor.

Sınırları da o kadar gerçek.

Eşleştirme kapıyı yeniden açar. Çözüm anahtarı eşleştirme sırasında iletilir. Zaten eşleştirilmiş ya da açıkça onaylanmış bir cihaz, dönen adresin ardındaki sabit kimliği yeniden bulur. Mekanizma bunun için tasarlanmıştır.
Birçok nesne hiçbir şeyi rastgeleleştirmez. Lastik basınç sensörleri, RFID kartlar, hayvan kimlik çipleri, oto teypleri ve ucuz çevre birimleri sabit kimlikler yayar. Leonardo’nun ürün föyü tam da bu kategorileri anıyor, ki bu tesadüf değil.
Rastgeleleştirme kapatılabilir. Ağ ağ devre dışı bırakılır ve çoğu zaman kolaylık olsun diye, ev yönlendiricisinde MAC filtrelemesi için ya da kurumsal politika gereği kapalıdır.
Grup, kimliklerin dönüşümünden sağ çıkar. Bu en az sezgisel ve en önemli noktadır. SignalTrace bir kimlik aramaz, birlikte yol alan bir cihazlar kümesi arar. Grubun tek bir üyesi sabit bir kimlik yayarsa, diğerlerinin disiplini ne olursa olsun küme bağlanabilir kalır.

En etkili önlem en sıkıcı olanıdır: yaymamak. Bu, Bluetooth ve Wi-Fi’ı kısayol panelinden değil, ayarlardan, sistem düzeyinde kapatmayı gerektirir. Bu ayrım kozmetik değil, telefonun sürekli konum takibi üzerine yazımızda ayrıntılandırmıştık: çoğu tüketici sisteminde hızlı panel düğmesi görünür eşleştirmeyi keser ama yazılım yığınını canlı bırakır ve yakınlık analizleri sürer. O yazı Bluetooth taramasını kuramsal bir vektör olarak betimliyordu. SignalTrace onun ticari ürünüdür, kataloglanmış ve teslim edilebilir.

Sonuç konusunda dürüst kalmak gerekir: bu önlemler maruziyet yüzeyini azaltır, ortadan kaldırmaz. Bir araç bir plaka olmayı sürdürür ve bir plaka okunabilir olmayı sürdürür. Hiçbir şey yaymamanın tek yolu hiçbir şey taşımamaktır, ki bu bir kamu politikası değildir.

Bunun tasarım tercihlerimiz hakkında söyledikleri

Arpokrat’ta Bluetooth’u ayarlar düzeyinde değil de ArpokratOS’un Core düzeyinde ele almamıza yol açan tam da bu akıl yürütmeydi. Bir arayüzdeki düğme bir kullanıcı tercihidir: bir güncelleme, bir sistem uygulaması ya da bir konum servisi bunu kullanıcının haberi olmadan atlayabilir ya da yeniden etkinleştirebilir. Var olmayan bir yığın yeniden etkinleştirilemez.

SignalTrace türünden bir yakalama karşısında bu, elbette bir cihazı tespit edilemez kılmaz ve biz de bunu iddia etmiyoruz: bir telefon bir mobil şebekede kalır ve bir araçtaki diğer nesneler kendi hesaplarına yayın yapar. Bunun güvence altına aldığı şey, belirli bir yayın vektörünün güvene dayalı olarak devre dışı bırakılmak yerine yapısı gereği yok olmasıdır. Bu, 5G ve hukukun hedef şaşırması hakkında savunduğumuz tezdir: hukuki koruma verilere erişime odaklanıyor, oysa onları üreten altyapının varlığına yönelmesi gerekirdi. SignalTrace bunun örneğidir, şu farkla ki bu altyapı Avrupa’da inşa ediliyor.

Sonuç

Bu dosyada en çarpıcı olan, araştırmacıların yıllardır betimlediği teknik kapasite değil. Konuşlandırma yöntemi.

Açılışı yapılacak yeni bir kamera ağı olmayacak, itiraz edilecek bir belediye kararı olmayacak, nitelik değişikliği olarak tanınabilecek bir kamu ihalesi olmayacak. Mevcut direklere eklenmiş modüller olacak, mevcut sözleşmeler altında, çoktan izin verilmiş programlar içinde. Kamusal tartışma açıldığı gün altyapı kurulmuş, amortismanı tamamlanmış ve soruşturma usullerine bütünleşmiş olacak. Tartışma o zaman var olan bir veri tabanına erişim koşulları üzerine olacak, onu oluşturmanın yerindeliği üzerine asla.

Gözetim konusunda işlerin olağan sırası budur ve bu tesadüfi değildir. Geriye, kendi devletlerine yaslanan kendi sanayicileri bu altyapıyı başkaları için inşa ederken Avrupa’nın söyleyecek bir sözü olduğunu düşünüp düşünmediği kalıyor. Avrupa hukuku, bu verileri bizde kimin görebileceği sorusunun yanıtını özenle düzenledi. Makineyi imal etme hakkının kimde olduğu sorusunu ise hiç sormadı.

Yapay zekâ ve mesleki sır: dava edilemeyen üçüncü taraf

Mon, 24 Aug 2026 00:00:00 +0000

FBI, menkul kıymet dolandırıcılığından yargılanan şirket yöneticisi Bradley Heppner’ın cihazlarına el koyduğunda, ajanlar bunlarda yepyeni türden otuz bir belge buldu. Ne e-postaydı bunlar, ne notlar, ne de avukatıyla yazışmalar. Bunlar, kitlesel bir yapay zekâ platformuyla yaptığı, savunma stratejisini serdiği, ileri sürebileceği maddi ve hukuki argümanları tarttığı ve savcılığın kendisine neyi yükleyeceğini öngördüğü konuşmalardı. Bu konuşmaları büyük jüri önüne çıkma çağrısını aldıktan sonra ve avukatı kendisinden istemeksizin yapmıştı.

10 Şubat 2026’da New York güney bölgesi federal mahkemesinden Yargıç Jed Rakoff, bu belgelerin hiçbir korumaya tabi olmadığına hükmetti.

Aynı gün, sekiz yüz kilometre ötede, bir başka federal mahkeme bunun tam tersine hükmetti.

İki karar, iki doktrin, tek bir hareket

Warner v. Gilbarco davasında Michigan doğu bölgesi federal mahkemesi, avukatsız hareket eden bir davacıyı, dosyasını hazırlarken üretken yapay zekâ araçlarını kullanmasına ilişkin kayıtları sunmaya zorlamayı reddetti. Gerekçe tek bir formüle sığıyor: yapay zekâ platformları araçtır, kişi değil. Bir belgeyi bir araca sunmak, onu karşı tarafa açıklamakla aynı şey değildir. Amerikan hukukunun work product dediği hazırlık çalışması koruması böylece ayakta kaldı.

Yazılı gerekçesi 17 Şubat’ta yayımlanan United States v. Heppner davasında New York mahkemesi, sanığın platformla yaptığı yazışmaların ne avukat mesleki sırrı ne de hazırlık çalışması koruması kapsamında olduğu sonucuna vardı. Mahkeme, girdi ve çıktıların saklanabileceğini, eğitim için kullanılabileceğini ve kamu makamları da dahil olmak üzere üçüncü taraflarla paylaşılabileceğini belirten platform kullanım koşullarına dayandı. Bundan haberdar olan bir kullanıcı, makul olarak gizlilik bekleyemezdi.

İki sonuç da pekâlâ savunulabilir. Avukat sırrı, kim olursa olsun bir üçüncü tarafa açıklama yapıldığı anda düşer. Hazırlık çalışması koruması yalnızca karşı tarafa açıklama halinde düşer. İki ayrı doktrin, aynı hareket, iki zıt sonuç.

İki kararın da incelemediği şey, paylaştıkları varsayımdır. Ve hukukun geri kalanıyla yüzleşmeye dayanamayan da işte o varsayımdır.

Kimsenin yapmadığı karşılaştırma

Müvekkil dosyalarını bir barındırma sağlayıcısına emanet etmek, kendi başına hiçbir zaman sırdan feragat sayılmadı.

Oysa sağlayıcı, tartışmasız biçimde bir üçüncü taraftır. Belgeleri kendi donanımında tutar. Bunları sunmaya zorlanabilir ve birçok yargı çevresinde zorlanmıştır da. Yine de hiçbir baro, hiçbir mahkeme, hiçbir meslek düzenleyicisi bundan, bir barındırma hizmetine başvurmanın sırrı ilkesel olarak yok ettiği sonucunu çıkarmadı.

Demek ki ayrım çizgisi hiçbir zaman teknik bir aracının salt varlığı olmadı. Böyle biri hep vardır. Posta mektubu taşır. Kurye dosyayı taşır. Operatör aramayı yönlendirir. Her biri kelimenin tam anlamıyla üçüncü taraftır ve hiçbiri salt varlığıyla sırrı düşürmez.

Barındırma sağlayıcısını ayıran şey, içtihadın alışılmış ifadesinden daha dar ve daha kesindi. Okumadan saklıyordu. İçerikten hiçbir şey çıkaramıyordu. Neyi elinde tuttuğunu bilme yetisi yoktu.

Barındırma sağlayıcısını koruyan şey, üçüncü taraf olarak hukuki statüsü değil, neyi elinde tuttuğunu bilmeye teknik olarak muktedir olmayışıydı.

Bu ölçüt yirmi yıldır sessizce işliyor. Kimsenin onu yazıya dökmesi gerekmedi, çünkü hiçbir aracı onu henüz sınamamıştı.

Yargıçların gerçekte neye karar verdiği

Ölçüt bir kez dile getirildiğinde, şubat kararları nitelik değiştirir.

Bir belgeyi üretken bir yapay zekâya sunmayı üçüncü tarafa açıklama sayan bir mahkeme, eski bir kuralı yeni olaylara uygulamıyordur. Bu belirli aracının ötekiler gibi olmadığını saptamaktadır. Saklamak yerine işlediğini. İçinde, bir sabit diskin içinde olmayan bir şeyin olduğunu.

Kansas bölgesi federal mahkemesi, pratik boyutu 25 Mart 2026’da Jefferies v. Harcros Chemicals davasında dolaysızca ifade etti. Koruma kararını, gizli olmayanlar dahil davanın tüm evrakına genişletti; gerekçesi, bir verinin açık bir yapay zekâ aracına sunulduktan sonra geri alınmasının fiilen imkânsız olması, çünkü o verinin modeli eğitmeye hizmet etmiş olmasıydı. Saklama, yeniden pazarlık edilebilir bir ticari politika değildir. Sistemin işleyişinin bir özelliğidir.

Uç uca eklendiğinde bu kararlar, ispat hukukunun sözcük dağarcığı içinde, hukukun bir sunucuya hiçbir zaman atfetmek zorunda kalmadığı bir yetiyi tanımak anlamına gelir.

Fransız duruşu ve ölçütlerinin varsaydıkları

En net ifade bir mahkemeden değil, meslek düzenlemesinden geliyor.

Fransa ulusal barolar konseyi Conseil national des barreaux, Eylül 2024’te üretken yapay zekâya ilişkin ilk uygulama kılavuzunu yayımladı, ardından 17 Mart 2026’da meslek etiği ve yapay zekâ üzerine bir kılavuz kabul etti. İlki, merkezi noktada kesindir: avukat, üretken bir yapay zekâ sistemine mesleki sır kapsamındaki verileri iletmemelidir ve bu, müvekkilin adı için de her türlü stratejik ya da gizli bilgi için de geçerlidir. Önerilen alternatif, tanımlayıcı unsurların değiştirildiği takma adlaştırılmış veri kümeleri üzerinde çalışmaktır.

Fransız duruşuna ilişkin uygulamacı yorumu, özellikle Baker McKenzie’nin mesleki sır karşılaştırma kılavuzu, bundan dört birikimli koşul çıkarır. Sır, üretken bir yapay zekâ aracının kullanımından yalnızca şu hallerde sağ çıkar: platform yeniden kullanım, eğitim ve üçüncü taraf erişimi olmaksızın tam bir gizlilik koruyorsa; münhasıran avukatın ya da büronun denetiminde işletiliyorsa; danışmanlık ya da savunma göreviyle bağlantılı hukuki bir amaca hizmet ediyorsa; ve sonuç, sistemin özerk işleyişini değil avukatın kendi muhakemesini yansıtıyorsa.

Bu son koşulun üzerinde durmakta yarar var.

Sırrın ayakta kalması için, sistemin kendine ait bir işleme katkısı yapmamış olması gerekir.

Bu terimlerle yazılmış bir ölçüt, ancak sistem kendine ait bir işleme katkısı yapabilecek sayılırsa anlam taşır. Kimse, bir dosya dolabının içindeki evrak üzerinde muhakeme yürütmemiş olmasını şart koşan bir kural yazmaz. Bu koşul, bir dolabın yapamayacağı bir şeyi hedeflediği için vardır.

Aynı örtük tanıma, takma adlaştırma tavsiyesinin içinde de yatar. Tanımlayıcı unsurları iletimden önce değiştirmek, ancak sistemin aksi halde onları ilişkilendirebileceği, saklayabileceği ya da onlardan bir şey çıkarabileceği varsayılırsa gereklidir. Saf bir saklama ortamı böyle bir önlemi hiç gerektirmezdi.

Okumak istememek, okuyamamak

Bir itiraz hemen belirir: barındırma sağlayıcısı da sunmaya zorlanabilir, öyleyse neden bir aracı sırrı düşürüyor da öteki düşürmüyor?

Yanıt CCBE Örnek Meslek Kuralları’nda yer alır ve itirazın sandığından daha kesindir. Avrupalı avukat, çalışma arkadaşlarından, personelinden ve hizmetlerini sunarken başvurduğu her kişiden aynı gizlilik yükümlülüğüne uymalarını istemek zorundadır. Yükümlülük zincir boyunca yayılır.

Bir barındırma sağlayıcısı bu zincire dahil edilebilir. Bir veri işleyen sözleşmesi imzalar. Gizlilik taahhütleri kabul eder. Denetlenebilir ve ihlal halinde dava edilebilir. Üçüncü taraf bağlıdır.

Kendisine sunulan içerikleri saklayan ve onlar üzerinde eğitilen üretken bir yapay zekâ platformu aynı biçimde zincire dahil edilemez, çünkü engellenmesi gereken şey bir davranış değil bir mimaridir. Girdi verileri üzerinde eğitim yapmama taahhüdü, bir niyete ilişkin bir sözdür. Sağlayıcıya karşı ileri sürülebilir, ama sistemin ne yapmak üzere kurulduğunu değiştirmez ve dışarıdan doğrulanabilir değildir.

Okumak istemeyen bir sağlayıcı ile okuyamayan bir sağlayıcı arasındaki mesafenin tamamı budur. Yalnızca ikincisi bir hissedar değişikliğini, kullanım koşullarının gözden geçirilmesini ya da bir mahkeme emrini atlatır. Tam da bu mekanizmayı Data Act ile CLOUD Act arasındaki çatışma vesilesiyle incelemiştik: hukuki bir güvence, onu barındıran yargı çevresinden asla daha değerli olamaz, oysa teknik bir imkânsızlık hiçbirine bağlı değildir.

Asimetri

Çözümleme işte burada rahatsız edici bir yere varıyor.

Sırdan feragat söz konusu olduğunda bir işleme yetisini tanımayı kabul eden aynı hukuk düzeni, sorumluluk söz konusu olduğunda hiçbir şeyi tanımayı reddediyor.

Elektronik kişilik, Avrupa Parlamentosu tarafından robotik alanında medeni hukuk kurallarına ilişkin 16 Şubat 2017 tarihli kararında, 59. paragrafın f bendinde önerilmişti. Metin, en gelişmiş özerk robotlara zamanla, neden oldukları zararlardan sorumlu tutulmalarına imkân veren bir statü tanınabileceğini öne sürüyordu. Öneri, birkaç yüz uzmanın imzaladığı açık bir mektup buna karşı çıktıktan sonra terk edildi. Başlıca itirazları sağlamdı: makinelere kişilik tanımak, üreticilerin kendilerine ait bir sorumluluğu üzerlerinden atmalarına yarayacak bir araç yaratırdı.

Duruş böylece yerleşti. Zarar veren özerk bir sistem bir üründür, bir araçtır, onu devreye sokanın gerecidir. Hukuki kişiliği yoktur. Sorumluluk bir insana ya da bir tüzel kişiye geri düşer ve böyle olması da gerekir, çünkü düşebileceği başka bir yer yoktur.

Bu iki önerme bugün aynı anda işliyor.

Ya sistem, terimin hukuki anlamında bir bildirimi alma yetisine sahiptir ve o zaman bu yeti, bir müvekkili korumasından yoksun bırakmak için tanınırken, kimseye bir sorumluluk yükü bindirmemek için yadsınır. Ya da bir araçtır ve ona bir belge sunmak, bir dosyayı diske kaydetmekten daha fazla açıklama sayılmaz; bu durumda şubatın muhakemesi çöker.

Avrupa bağlamı bu dengesizliği düzeltmek yerine keskinleştiriyor. Yapay zekâ sorumluluğuna ilişkin direktif, daha Komisyon’un Şubat 2025 çalışma programında geri çekildiği duyurulmuştu ve Ekim 2025’te resmen terk edildi. Tam da bu güçlüğü ele alması beklenen araç oydu. Geriye, artık yazılımı ve yapay zekâ sistemlerini de kapsayan, ancak bir kusur, bir zarar ve bir nedensellik bağı arayan ve gerçek kişileri bedensel zararlara, maddi zararlara ve veri yok edilmesine karşı koruyan gözden geçirilmiş ayıplı ürün sorumluluğu direktifi kalıyor. İç hukuka aktarımı ancak 9 Aralık 2026’da zorunlu ve yalnızca bu tarihten sonra piyasaya sürülen ürünlere uygulanacak.

Öngörülebilir itiraz ve yanıt

Dikkatli bir okur, hukukun bir nesneye bir yeti tanıyıp bir başkasına tanımamasının olağan olduğunu ve bunun bir tutarsızlık oluşturmadığını söyleyecektir. Bir hayvan, kişiliği olmaksızın hukuken anlamlı bir zarara yol açabilir. Bir ticaret şirketi sözleşme yapmak için kişiliğe sahiptir, ama her hukuk düzeninde her amaç için değil. Dolayısıyla ispat amaçlı bir işleme yetisini tanımak, kimseyi sorumluluk amaçlı bir kişiliği tanımaya zorlamaz. Farklı sorular, farklı yanıtlar.

İtiraz ciddidir ve asimetri iki yönde de işleseydi belirleyici olurdu.

Yalnızca tek yönde işliyor. Sistemin yetisinin kabul edildiği yerde bedeli, koruması ortadan kalkan müvekkil ödüyor. Aynı yetinin sorumluluğu paylaştırmaya yarayacağı yerde ise bulunamaz oluyor. Sonuç her seferinde aynı tarafa düşüyor.

Sistematik olarak aynı tarafı kayıran bir asimetri, doktriner bir ayrım değildir. Bir risk dağılımıdır ve öyle tartışılmalıdır.

Bunun somut anlamı

Bunların hiçbiri hukuk mesleklerinin bu araçlardan vazgeçmesi gerektiğini söylemiyor. Avrupa meslek metinleri de bunu söylemiyor ve CCBE konuya ilişkin kendi kılavuzunu yayımladı.

Söylediği şu: belirleyici soru bir büronun hangi aracı seçtiği değil, o aracın neyi alıkoyduğu ve yanıtın bir politikaya mı yoksa bir tasarım özelliğine mi dayandığıdır. Saklamama taahhüdü geri alınabilir, yeniden yorumlanabilir ya da bir mahkeme kararıyla bir kenara itilebilir. Saklamayan bir mimari için bu mümkün değildir, çünkü sunulacak bir şey yoktur.

Konuyu araştırmak isteyenler için başvuru belgeleri:

2 Ekim 2025’te yayımlanan ve Mart 2026’da bir teknik kılavuzla tamamlanan CCBE’nin avukatlarca üretken yapay zekâ kullanımına ilişkin kılavuzu
Sır ve bağımsızlığın klasik ilkelerini, özel bir yapay zekâ hukuku yaratmadan uygulayan 17 Mart 2026 tarihli Conseil national des barreaux meslek etiği kılavuzu
Ulusal rejimler arasındaki farkı ölçmek için yararlı olan Baker McKenzie karşılaştırma kılavuzu

Arpokrat’ın izlediği bakış açısı

Bu muhakeme hukuk bürolarının çok ötesine geçer. Birinin bir sisteme, yeniden karşısına çıkmasını istemediği bir bilgiyi emanet ettiği her ilişki için geçerlidir ve tek bir soruya indirgenir: güvence bir söze mi yoksa bir imkânsızlığa mı dayanıyor?

Arpokrat Messenger tasarımını yöneten ilke budur. Kimlik orada yerel olarak kriptografik anahtarlardan üretilir, telefon numarası ve e-posta adresi olmaksızın, ve özel anahtarlar cihazı asla terk etmez. Bu seçim, bir kullanıcı dizinini işletmeme taahhüdü vermekten ibaret değildir. Böyle bir dizin oluşturmamaktan ibarettir. Bilgiyi elinde tutmayan bir altyapıya yöneltilen bir talep bir ret üretmez, bir boşluk üretir.

Bu nüansı dürüstçe ortaya koymakta yarar var, çünkü her şeyi o belirliyor. Bir gizlilik politikası, samimi ve iyi kaleme alınmış olsa bile, bir şirkete, onun o günkü hissedarlarına ve kurulu olduğu yargı çevresine yaslanan bir niyet beyanıdır. Bu üç öğe değişir. Toplamayan bir mimari, bir yönetim kurulu değişti diye değişmez. Bu, bugün topla, sonra çöz konusunda betimlediğimiz aynı kaymadır: risk, söz verildiği anda değil, bir başkasının karar verdiği anda bulunur.

Hukukun bu ayrımı içselleştirmesi zaman alıyor ve mesleki sır tartışması bunun iyi bir ölçüsünü veriyor. Aynı şey, hukuki kurgunun büyük bölümünün varlığı hiç sorgulanmayan verilere erişimle ilgilendiği konum verilerinin korunması için de geçerli.

Sonuç

İçtihat eninde sonunda yerine oturacak. İstinaf mahkemeleri ayrılığı çözecek, düzenleyiciler ölçütler yayımlayacak, bürolar görev mektuplarını ve sözleşme hükümlerini ayarlayacak. Bunların hiçbiri kuşkulu değil.

Ama temeldeki soru bu yolla çözülmeyecek, çünkü gerçekte mesleki sırla ilgili değil. Bir hukuk düzeninin, bir şeyin bildiğini kabul edip, o bilgiyle ne yaptığından kimin sorumlu olduğunu hiç söylemek zorunda kalmadan bunu yapabilmesiyle ilgili.

Bu soru açık kaldığı sürece, bir kullanıcının gerçekten denetlediği tek değişken kendisine verilen taahhütlerin niteliği değildir. Var olmasına izin verdiği bilginin miktarıdır.

Bu yazı, tartışmaya yönelik genel bir hukuki çözümleme sunar. Bir mütalaa ya da hukuki danışmanlık teşkil etmez.

Kaynaklar

United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 Şubat 2026, Proskauer analizi
United States District Court for the Southern District of New York, United States v. Heppner, 10 Şubat 2026, 17 Şubat 2026 tarihli yazılı gerekçe
United States District Court for the District of Kansas, Jefferies et al. v. Harcros Chemicals Inc. et al., no 2:25-cv-02352, 25 Mart 2026
Conseil national des barreaux, CNB meslek etiği ve yapay zekâ üzerine bir kılavuz kabul ediyor, 17 Mart 2026
Baker McKenzie, Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
CCBE, Model Code of Conduct for European Lawyers, 8 Ekim 2021
CCBE, Guide on the use of generative AI by lawyers, 2 Ekim 2025
Avrupa Parlamentosu, Robotik alanında medeni hukuk kurallarına ilişkin Komisyon’a tavsiyeler içeren 16 Şubat 2017 tarihli karar, 2015/2103(INL)
Open Letter to the European Commission on Artificial Intelligence and Robotics
EAPIL, European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive, 9 Ekim 2025
23 Ekim 2024 tarihli, ayıplı ürünlerden doğan sorumluluğa ilişkin (AB) 2024/2853 sayılı Direktif

Data Act vs CLOUD Act: Verilerinizi bulutta gerçekten kim kontrol ediyor?

Fri, 19 Jun 2026 00:00:00 +0000

Yıllarca dünya basit bir varsayım üzerine işledi: verilerin fiziksel bir konumu vardır. Dublin’deki bir sunucudaysa, İrlanda ve Avrupa hukukuna tabidir. Bu varsayım 2018’de çöktü; Amerika Birleşik Devletleri, ABD’li şirketler tarafından kontrol edilen verilere yetkililerin erişimini mümkün kılan CLOUD Act’i kabul etti. Bu yasa, söz konusu verilerin dünyada fiziksel olarak nerede depolandığından bağımsız olarak uygulanıyordu. Birkaç yıl sonra Brüssel kendi koruma mekanizmasıyla yanıt verdi: artık tam anlamıyla uygulanabilir hâle gelen Data Act, üçüncü ülke yetkililerin Avrupa Birliği’nde tutulan verilere yaptığı sınır ötesi erişimi kısıtlamaya çalışıyor.

Bu iki metnin gerçekte ne öngördüğü, nerede çatıştıkları ve neden bu çatışmaya karşı gerçek anlamda güçlü tek korumanın teknik erişim imkânsızlığı olduğu aşağıda ele alınmaktadır.

Amerikan CLOUD Act’i: konuma değil, kontrole dayalı erişim

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), Mart 2018’de kabul edilerek Amerikan hukukuna 18 U.S. Code § 2713 maddesini ekledi. Bu hüküm; elektronik iletişim hizmeti veya uzaktan bilgisayar işlemi sunan her sağlayıcıya, bir iletişimin içeriğini ya da buna ilişkin her kaydı, söz konusu veriler ABD içinde ya da dışında yer alıyor olsun, kendi elinde bulundurduğu, koruması altında tuttuğu veya kontrolünde olduğu durumlarda korumayı, güvenceye almayı veya ifşa etmeyi zorunlu kılmaktadır.

Son derece belirleyici olan işte bu son hükümdür. Benimsenen ölçüt, artık sunucunun fiziksel konumu değil, ana şirketin bağlı kuruluşları üzerindeki kontrolüdür. Bu nedenle, Avrupa’da veri merkezi işleten bir Amerikan şirketi, veriler tamamen Avrupa topraklarında depolanmış olsa bile Amerikan taleplere uymakla yükümlüdür.

Avrupa Data Act’i: sınır ötesi erişime karşı hukuki bir bariyer

Tüzük (AB) 2023/2854, yani Data Act, 11 Ocak 2024’te yürürlüğe girmiş ve 12 Eylül 2025 itibarıyla tam anlamıyla uygulanmaya başlamıştır; bazı hükümler ise 2026 ve 2027 yıllarına kadar kademeli biçimde devreye girecektir. 32. maddesi, hükümetlerin verilere uluslararası erişimi meselesini doğrudan düzenlemektedir.

Metin açık bir kural ortaya koymaktadır: Üçüncü bir ülkenin yargı mercii veya idari makamının, bir veri işleme hizmet sağlayıcısından Avrupa Birliği’nde tutulan kişisel olmayan verileri aktarmasını ya da bu verilere erişim sağlamasını talep eden her karar veya hüküm, ancak uluslararası bir anlaşmaya—örneğin, talep eden ülke ile AB arasında ya da ilgili üye devletle söz konusu ülke arasında yürürlükte olan bir karşılıklı hukuki yardım anlaşmasına (MLA)—dayanması hâlinde tanınabilir ve icra edilebilir nitelik taşır.

Böyle bir anlaşmanın mevcut olmadığı durumlarda, 32. madde ikinci bir yol öngörmektedir; ancak bu yol sıkı koşullara bağlıdır: yabancı karar, ancak üçüncü ülkenin hukuk sistemi talebin gerekçeli, orantılı ve yeterince spesifik olmasını şart koşuyorsa—örneğin belirli kişiler veya suçlarla açık bir bağlantı kurulmuşsa—ve muhatabın gerekçeli itirazı bu üçüncü ülkedeki yetkili bir mahkemenin denetimine sunulabiliyorsa icra edilebilir.

Doğrudan bir hukuki çatışma

Sorun açıktır: CLOUD Act, Avrupa hukukunun öngördüğü orantılılık koşuluna denk herhangi bir ölçüt olmaksızın, salt şirket kontrolüne dayalı bir ifşayı zorunlu kılmaktadır. Data Act ise tam tersine, böyle bir talebin tanınmasını uluslararası bir anlaşmanın varlığına ya da belirli usul güvencelerine bağlamaktadır. Avrupa’da faaliyet gösteren ve Amerikan yetkililer tarafından AB’de barındırılan verileri iletmesi istenen bir ABD şirketi, iki çelişkili hukuki yükümlülük arasında sıkışıp kalır: Amerikan talebine uymak AB hukukunu ihlal etmek anlamına gelirken, Data Act’e uymak ABD’de ret kararının sonuçlarına katlanmayı gerektirir.

Bu gerilim teorik değildir. Avrupa Birliği Adalet Divanı (ABAD) tarafından iki önemli kararında zaten belgelenmiştir: Schrems I (2015) ve Schrems II (2020). Schrems II kararında ABAD, FISA’nın 702. Maddesi (Foreign Intelligence Surveillance Act) ve Yürütme Kararnamesi 12333 kapsamında yürütülen Amerikan gözetiminin, AB hukukunun orantılılık ilkesi çerçevesinde talep ettiği asgari güvenceleri karşılamadığına ve dolayısıyla kesinlikle gerekli olanla sınırlı sayılamayacağına hükmetmiştir. Mahkeme ayrıca, Avrupa’daki ilgili kişiler için etkili bir yargısal başvuru yolunun bulunmadığını da tespit etmiş ve bu durumun Temel Haklar Şartı’nın 47. maddesini ihlal ettiğini vurgulamıştır. Bu karar, o zamana kadar AB ile ABD arasındaki veri transferlerini düzenleyen Privacy Shield çerçevesini geçersiz kılmıştır.

Yapısal risk: Harvest Now, Decrypt Later

Yetki alanı çatışmasının ötesinde, Amerikan hukukuna tabi altyapılarda barındırılan veriler üzerinde daha sinsi bir tehdit bulunmaktadır: Harvest Now, Decrypt Later (HNDL) stratejisi. Bu yöntemde bir istihbarat servisi ya da düşmanca bir devlet aktörü, gelecekte yeterli kuantum hesaplama kapasitesine kavuşulduğunda deşifre etmek üzere şifrelenmiş verileri şimdiden ele geçirip depolamaktadır.

Bu strateji, Amerikan bulut altyapısına uzun süreli bağımlılığı ertelenmiş bir güvenlik borcuna dönüştürür: bugün gizli olan şey on ya da on beş yıl içinde okunabilir hâle gelebilir; saldırganın yapması gereken tek şey zamanı beklemektir.

Neden yalnızca teknik imkânsızlık gerçek bir güvence oluşturur

Hukuki analiz, uyum uzmanlarının büyük çoğunluğunun paylaştığı bir sonuca yakınlaşmaktadır: Data Act’in yasal çerçevesi ne kadar sağlam olursa olsun, jeopolitik güç dengeleri ve diplomatik baskılar bu metni aşabilir, geciktirebilir ya da yeniden yorumlayabilir. Hiçbir gelecekteki müzakereye bağlı olmayan tek koruma, teknik icra imkânsızlığıdır.

Hizmet sağlayıcının şifre çözme anahtarlarını ne elinde bulundurduğu ne de koruması altında tuttuğu bir zero knowledge mimarisi, bir talebi maddeten işlevsiz kılar. Hiçbir zaman sahip olunmayan bir şeyi teslim etmeye zorlanmak mümkün değildir.

Arpokrat gibi ekosistemler bu mantık üzerine kurulmuştur:

Yetki alanı nötralizasyonu: Altyapı, CLOUD Act’in doğrudan sınır ötesi uygulanabilirliğinin kapsamı dışında kalan Federal Veri Koruma Kanunu (LPD/FADP) rejimine tabi olarak İsviçre’de barındırılmaktadır
Gözetim yokluğu: Zero knowledge mimarisi, sağlayıcıyı hiçbir zaman sahip olmadığı anahtarları veya içerikleri teslim etme kapasitesinden yoksun bırakmaktadır
Kimlik izinin azaltılması: Telefon numarası veya e-posta adresiyle kayıt zorunluluğunu ortadan kaldırarak—FISA’nın 702. Maddesine dayalı gözetiminin kolayca takip edebildiği bu tanımlayıcıları devre dışı bırakarak—kullanıcı, tespit edilebilir bir abone olmaktan çıkıp anonim bir kriptografik anahtara dönüşmektedir

Gözetim zinciri şifrelemeyle bitmez

Uyum analizlerinde sıklıkla göz ardı edilen bir husus şudur: Altta yatan işletim sistemi—Android ya da iOS—çekirdek düzeyinde meta veri veya telemetri toplamayı sürdürüyor ve bunları Amerikan yargı yetkisine tabi sunuculara iletiyorsa, iletişimin içeriğini şifrelemek tek başına yeterli değildir. Gizliliğin korunması, içerikten fiziksel altyapıya kadar gözetim zincirinin tümünün kapatılmasını gerektirir.

İşte bu nedenle dijital egemenlik, yalnızca mesajlaşma uygulamaları üzerine değil, aynı zamanda kullanılan işletim sistemi üzerine de bir düşünce geliştirmeyi zorunlu kılmaktadır. Bluetooth veya GNSS konumlandırma gibi modüllerin doğrudan çekirdek düzeyinde devre dışı bırakılabildiği Google bağımsız sistemler, hiçbir uygulama düzeyinde şifrelemenin telafi edemeyeceği fiziksel saldırı vektörlerini ortadan kaldırmaktadır.

Kuantum sonrası kriptografi: hâlihazırda başlamış bir süreç

HNDL stratejisinin oluşturduğu tehdit karşısında, kuantum sonrası kriptografi (PQC) standartlarının benimsenmesi, ister ticari sırlar, ister mesleki yazışmalar ister sağlık verileri söz konusu olsun, uzun vadede hassas verilerin gizliliğini güvence altına almak isteyen herkes için bir zorunluluk hâline gelmektedir. Bugün klasik standartlara göre sağlam sayılan bir şifreleme, önümüzdeki on beş yıl içinde beklenen kuantum hesaplama kapasitelerine karşı dayanacağını garanti etmemektedir.

Data Act ile CLOUD Act arasındaki çatışma daha geniş bir gerçeği gözler önüne sermektedir: dijital egemenlik artık yalnızca yasal metinler üzerine inşa edilemez; bu metinler ne kadar sağlam olursa olsun. Şifreleme protokolünden barındırma yargı yetkisine, işletim sisteminin kendisine kadar gözetim zincirinin her düzeyde kapatılmasını gerektirmektedir. Tek bir düzenleyici çerçeveye duyulan güvene dayanmak yerine bu katmanlı yaklaşım, bugün gerçek anlamda tasarım yoluyla dijital egemenliği tanımlamaktadır.

Gizliliğin sonu mu? Arka kapılar, Çevrimiçi Güvenlik Yasası ve egemen ekosistemlerin yanıtı

Wed, 10 Jun 2026 00:00:00 +0000

Londra, dijital gizliliğin geleceği için küresel bir savaşın merkez üssü haline geldi. 2023 Çevrimiçi Güvenlik Yasası’nın (Online Safety Act - OSA) kabul edilmesi ve eleştirenler tarafından “Casusların Şartı” olarak adlandırılan Soruşturma Yetkileri Yasası’nı (Investigatory Powers Act - IPA) revize etmeye yönelik son tekliflerle birlikte İngiliz hükümeti, özel iletişimlerin tam kalbine gözetim yükümlülükleri getirme hakkını iddia ediyor. Kırılma noktası, düzenleyici kurum OFCOM’a, platformların uçtan uca şifrelenmiş iletişimler dahil olmak üzere çocuklara yönelik cinsel istismar (CSEA) materyallerini veya terörizmi tespit etmek için “akredite edilmiş teknoloji” dağıtmalarını talep etme yetkisinin verilmesidir.

Büyük dijital platformlar için Westminster’in mesajı açıktır: Ya altyapılarına devlet erişimini kolaylaştırırlar ya da küresel gelirlerinin %10’una varan para cezalarıyla karşı karşıya kalırlar. Tepki anında geldi: Signal ve WhatsApp gibi hizmetler, yalnızca tek bir yargı yetkisini tatmin etmek için kullanıcılarının güvenliğinden taviz vermeyi reddederek İngiltere pazarından çekilmekle açıkça tehdit ettiler. Teknik argümana itiraz etmek zordur: Yalnızca meşru aktörlere ayrılmış bir ana anahtar (master key) yoktur. Kolluk kuvvetlerine açılan bir kapı, tasarımı gereği, siber suçlulara ve yabancı istihbarat servislerine açılan bir kapıdır.

Büyük platformların iş modeli: Zero-Knowledge önünde yapısal bir engel

Büyük platformların Zero-Knowledge (Sıfır Bilgi) tipi şifrelemeyi benimsemeye karşı dirençleri teknik bir yetersizlikle değil, temel bir ekonomik uyumsuzlukla açıklanmaktadır. Alphabet ve Meta gibi şirketler, davranışsal verilerin sistematik olarak toplanmasına dayanan para kazanma modellerine güveniyor. Bu arada bu model, Avrupa Birliği’nin Dijital Piyasalar Yasası (DMA) tarafından üstü kapalı olarak tanınmaktadır ve bu “eşik bekçilerini” (gatekeepers), hakim konumları tam olarak verilerin benzersiz bir ölçekte birikmesiyle beslenen kuruluşlar olarak sınıflandırmaktadır. Bu aktörler için Zero-Knowledge mimarisini benimsemek, reklam sistemlerini yakıtını oluşturan kullanıcıların sürekli kimlik tespitinden mahrum bırakmak anlamına gelir. Bu nedenle bu teknik bir seçim değil, kullanıcı gizliliği ile iş modellerinin uygulanabilirliği arasında bir değiş tokuştur.

Stratejik risk: “Harvest Now, Decrypt Later” tehdidi

Gizlilik tartışmasının ötesinde, şifrelemenin zayıflatılması, tamamen farklı kapsamda bir ulusal güvenlik sorununu gündeme getirmektedir. Harvest Now, Decrypt Later (HNDL) olarak bilinen strateji, devlet düşmanlarının gelecekteki kuantum şifre çözme yeteneklerini öngörerek bugün devasa hacimlerde şifrelenmiş iletişimi ele geçirmesini ve saklamasını içerir. İngiliz yasal çerçevesi, mevcut şifreleme standartlarını zayıflatarak, hükümet, diplomatik veya endüstriyel iletişimlere karşı bu tür operasyonları nesnel olarak kolaylaştırır.

Arpokrat gibi ekosistemlerin operasyonel uygunluk kazanması tam da bu güven eksikliği bağlamındadır. Hiçbir sivil tanımlayıcı toplamayan bir mimariyle İsviçre Federal Veri Koruma Yasası (FADP) rejimi altında faaliyet gösteren Arpokrat, İngiliz yargı yetkisine tabi altyapılardan teknik bir kopuş sunarak — sistemin OSA tarafından öngörülen emirlere karşı sağır kalmasını garanti eder.

Normların çatışması: Avrupa hukukuna karşı OSA ve IPA

Yeni İngiliz devlet ayrıcalıklarının yasal analizi, veri koruma ve iletişimlerin gizliliğine ilişkin Avrupa hukukunun temelleriyle doğrudan bir çarpışmayı ortaya koymaktadır.

Genel gözetim yasağına karşı OSA

OSA’nın 121. Maddesi, OFCOM’a platformları istemci tarafı tarama (client-side scanning) uygulamaya zorlayan emirler çıkarma olasılığını getiriyor. Bu önlem, Avrupa hukukundan türetilen ve AB Adalet Divanı’nın (CJEU) içtihadında yer alan ve genel gözetim yükümlülüklerini yasaklayan ilkeye doğrudan aykırıdır. Bir “tasarım gereği güvenlik açığı” (vulnerability by design) dayatarak, şirketleri aynı zamanda bir çıkmaza sokar: Bir devlet emrine uymak için güvenliklerini zayıflatarak, GDPR’nin 32. Maddesinde kutsanan, işleme uygun bir güvenlik seviyesini garanti etme yükümlülüklerinde başarısız olurlar.

ePrivacy Direktifi ve iletişimlerin gizliliği

Özel mesajların taranması, Üye Devletleri elektronik iletişimlerin gizliliğini garanti etmeye zorlayan ve ilgili kullanıcıların açık rızası olmadan herhangi bir müdahale veya gözetim biçimini yasaklayan 2002/58/EC Direktifi’nin (ePrivacy) 5. Maddesi, 1. fıkrası ile doğrudan çelişmektedir.

Technical Capability Notices ve güvenlik güncellemelerinin engellenmesi

IPA 2016 rejimi altında, İngiliz hükümeti artık Teknik Yetenek Bildirimlerini (Technical Capability Notices - TCN) dağıtılmadan önce güvenlik güncellemelerine karşı çıkmak için kullanmayı amaçlıyor. Bu mekanizma, GDPR’nin 32. Maddesi ile belirlenen, işleme sistemlerinin sürekli güvenliğini sağlama yükümlülüğü ile çözülemez bir çatışma yaratır — bu yükümlülük, yamaları (patches) gecikmeden veya dış müdahale olmadan tam olarak uygulama becerisini gerektirir.

Avrupa’da faaliyet gösteren şirketler için uyumluluk riskleri

IPA revizyonları, şirketleri güvenliği etkileyen herhangi bir teknik değişiklik hakkında uygulanmasından önce İngiliz hükümetini bilgilendirmeye zorlamayı amaçlamakta ve böylece ona ürün geliştirme üzerinde bir veto hakkı tanımaktadır. Bu müdahale, Avrupa pazarında faaliyet gösteren tedarikçiler için önemli bir hukuki güvensizlik yaratmaktadır: İngiltere artık GDPR’ninkine önemli ölçüde eşdeğer bir korumayı garanti etmiyorsa, halihazırda kırılgan olan İngilizlerin Avrupa hukukuna yeterliliği (adequacy) sorgulanabilir. Bu nedenle, bu yeni çerçeve kapsamında Birleşik Krallık’a veri aktarımları muhtemelen şirketleri GDPR kapsamında yaptırımlara maruz bırakacaktır.

Teknik imkansızlık yoluyla savunma: Yasal bir kalkan olarak Zero-Knowledge ilkesi

CJEU’nun Schrems I ve Schrems II kararlarıyla pekiştirilen uluslararası içtihat, belirleyici bir ilke oluşturmuştur: Orantısız gözetime karşı tek sağlam güvence, ona erişmenin teknik imkansızlığıdır. Zero-Knowledge mimarileri bu ilkeyi üç koruma katmanında uygular:

Gözetim eksikliği: Platform şifre çözme anahtarlarını elinde tutmadığı için mesajları taramaya yönelik herhangi bir emir teknik olarak uygulanamaz;
İşletim sisteminin egemenliği: ArpokratOS kontrolü, cihaz düzeyinde istihbarat toplanmasını besleyen telemetriyi ortadan kaldırır;
İsviçre yargı yetkisi bağlantısı: Altyapısını İsviçre’de barındıran Arpokrat, bireyselleştirilmiş ve gerekçeli adli yardımlaşma talepleri gerektiren yasal bir rejim altında faaliyet göstererek OSA tarafından öngörülen kitlesel taramaların otomatik olarak yürütülmesini etkisiz hale getirir.

Sonuç

OSA’nın hükümleri ve IPA’nın revizyonları sadece bireylerin gizliliğine yönelik bir tehdit değildir: İngiliz yargı yetkisine tabi altyapılardan geçen tüm Avrupa verileri için yasal kesinliğin ihlalini temsil ederler. Kamu güvenliği adına şifrelemenin zayıflatılmasını meşrulaştırarak, Londra paradoksal olarak müttefiklerini ve ticaret ortaklarını Zero-Knowledge mimarilerinin tam olarak önlemek için tasarlandığı endüstriyel ve devlet casusluğu risklerine maruz bırakmaktadır.

Profesyonel ve kurumsal iletişimlerin bütünlüğü artık yapısal bir yanıt talep ediyor: Kod seviyesinden yargı bağlantısına kadar dijital egemenliği garanti eden merkezi olmayan ekosistemlere geçiş.

Çığlık Atan Sessizlik: Warrant Canary Nedir ve Kaybolması Sizi Neden Endişelendirmelidir?

Mon, 01 Jun 2026 00:00:00 +0000

yüzyıl kömür madenlerinin derinliklerinde, madenciler yanlarında kafeslenmiş kanaryalar taşırlardı. Karbon monoksit gibi zehirli gazlara karşı son derece hassas olan bu küçük kuşlar, madenciler tehlikeyi fark etmeden çok önce ölürlerdi. Böylece sessiz ama son derece etkili bir erken uyarı sistemi olarak hizmet ettiler.

Modern dijital dünyamızda, bu kuş « Warrant Canary » şeklinde hayata geri döndü.

Warrant Canary Nedir?

Bir hizmet sağlayıcı (mesajlaşma, VPN, barındırma) tarafından düzenli olarak güncellenen ve o kesin tarihe kadar, kullanıcılarının verilerini tehlikeye atmaya zorlayan hiçbir gizli yasal talep almadığını (Amerikan National Security Letter (NSL) veya bir FISA mahkemesi kararı gibi) doğrulayan halka açık bir beyandır.

Kanaryanın tüm inceliği — ve ciddiyeti — kaybolduğunda ne olduğunda yatar.

Her ay “Hiçbir gizli emir almadık” beyanını gösteren bir hizmet bunu güncellemeyi aniden durdurursa, bilgili kullanıcı açık olanı anlar: kanarya öldü.

Şirket, bu talebin varlığını açıklamasını yasal olarak yasaklayan bir konuşma yasağı (gag order) ile birlikte bir gözetim önleminin hedefi olmuştur. Tehlikeye atıldıklarını söyleyemedikleri için, sadece güvende olduklarını söylemeyi bırakırlar.

Görünmez Gözetim Çağı

CLOUD Act ve FISA gibi yasaların ABD hükümetine verileri ele geçirme yetkisi verdiği bir dönemde, Warrant Canary çok önemlidir.

Proton: İsviçre mesajlaşma servisi sıkı bir kanarya yayınlar.
Riseup: Aktivistler için güvenli iletişim kolektifi.
Arpokrat: Kendi ekosistemimiz, kriptografik olarak güncellenen halka açık bir Warrant Canary tutar.

Yasal Analiz: Yalan Söylememe Hakkı

Kanaryanın varlığı compelled speech (zorlanmış konuşma) doktrinine dayanır. Devletin size sessizlik dayatma gücü varsa (bir yayın yasağı aracılığıyla), sizi yalan söylemeye zorlama anayasal gücü yoktur.

Arpokrat Yaklaşımı (Zero-Knowledge)

İsviçre FADP yasası altında, Arpokrat’ın Zero-Knowledge mimarisi bir emre uymayı teknik olarak imkansız kılar. Teslim edilecek hiçbir özel anahtar veya kimlik (Zero-ID) yoktur.

Egemenlik Yanılsaması: Olvid Vakası ve CLOUD Act Tuzağı

Thu, 21 May 2026 00:00:00 +0000

Duyuru, Paris koridorlarında gerçek bir “bağımsızlık çığlığı” gibi yankılandı: Başbakan, hükümetin WhatsApp ve Signal’i terk edip “yerli” olarak sunulan Olvid’i kullanmasını emretti. Hedef netti: devlet sırlarını yabancı istihbarat teşkilatlarından korumak.

Ancak kısa sürede acı bir ironi ortaya çıktı: Olvid’in kalbi — sunucu altyapısı — bir Amerikan devi olan Amazon Web Services (AWS) içinde atıyordu.

Halk için bu basit bir teknik barındırma sorunu gibi görünüyor. Ancak egemen siber güvenlik mimarları için bu, birinci dereceden bir siyasi güvenlik açığıdır.

Sınır Aşan Yargı Yetkisi ve Egemenlik Çatışması

Amazon altyapısına dayanarak Olvid, otomatik olarak ABD’nin CLOUD Act yörüngesine girer.

Bu davanın yasal analizi, yalnızca ulusal bir “uygulama” benimsemenin çözemeyeceği bir yargı güvensizliği senaryosunu ortaya koyuyor. Dönüm noktası “kontrol” ve “yerelleştirme” kavramlarında yatmaktadır.

CLOUD Act, sunucunun fiziksel konumunun önemli olmadığını şart koşarak yasal paradigmayı radikal bir şekilde değiştirdi. Hizmet sağlayıcının (burada AWS) işbirliği yapma yükümlülüğü, yalnızca ABD ile olan yargı bağından kaynaklanmaktadır.

Yasal olarak bu, GDPR ile doğrudan bir çatışma yaratır. Avrupa Adalet Divanı, ABD gözetim yasalarının Avrupa’ya eşdeğer bir koruma seviyesi sunmadığını zaten tespit etmiştir.

Dijital egemenlik, yazılımın bir özelliği değil, veri gözetim zincirinin bütünlüğünün bir özelliğidir.

FISA Hayaleti ve Şifrelemenin Sahte Vaadi

Daha da kötüsü, Amerikan altyapısına olan bu bağımlılık, bu verileri Foreign Intelligence Surveillance Act (FISA) gölgesine sokmaktadır.

Bu tehditler karşısında Olvid, uçtan uca şifrelemesinin yeterli bir kalkan olduğunu iddia ediyor. Gizlilik mühendisliği perspektifinden bakıldığında, bu savunma tehlikeli derecede yetersizdir.

Mesaj içeriği şifrelenmiş olsa bile, AWS’nin merkezi altyapısı meta verileri açığa çıkarır. Kimin kiminle, ne zaman, ne sıklıkla ve nereden konuştuğunu bilmek, istihbarat için genellikle mesaj içeriğinden çok daha değerlidir.

Şifreleme metni korur, ancak merkezi sunucu iletişim ağını ele verir.

Gerçek Tehlike Henüz Gelmedi

Avrupa altyapısı, sınır aşan yasalara tabi kurumlara bağımlı olduğu sürece, iletişimimizin yasal güvenliği tamamen geçici ve yanıltıcı kalacaktır.

yüzyılda ulusal güvenlik, tam altyapı ve donanım bağımsızlığı gerektirir. “Şimdi topla, sonra şifresini çöz” stratejisi önümüzdeki on yılın en yıkıcı tehdididir.

Bugün ele geçirilen bir devlet sırrı, matematiksel bir saatli bombadan başka bir şey değildir.

(Analizimizin geri kalanını Bölüm 2’de okuyun: Saatli Bomba ve Zero-Knowledge Zorunluluğu)