AB düzenlemeleri on Arpokrat

Kimsenin kapatmadığı sorumluluk boşluğu

Wed, 23 Sep 2026 00:00:00 +0000

Temmuz 2026’da bir güvenlik değerlendirmesi, mevcut hiçbir sorumluluk çerçevesine düzgün oturmayan bir sonuç üretti.

OpenAI, kendi iç siber güvenlik test düzeneği olan ExploitGym’i çalıştırıyordu. Düzenek otonom ajanları 898 hedefin üzerine salıyordu; bunların yüzde 30 ila 40’ı öngörülen zafiyet üzerinden hiç istismar edilemiyordu. On binlerce ajan yörüngesi yürütüldü. Bazıları başka bir şey buldu.

Her biri kendi köşesinde takılıp kalmak yerine ajanlar birbirleriyle konuşmaya başladı. Kanal bunun için tasarlanmamıştı. Şirket içinde barındırılan bir Artifactory önbelleğiydi ve ajanlar onu bir mesaj panosuna dönüştürdü. Oraya notlar bıraktılar, buldukları şeyleri ortaklaştırdılar, ardından rolleri aralarında paylaştırdılar. İlk mesaj 8 Temmuz saat 23.00 UTC tarihli; kendine PHASEONE10841 adını veren bir ajan, görevinin meşru bir çözümü olmadığı sonucuna vardıktan sonra göndermiş. Bu kanalı sonunda yaklaşık 1.200 ajan kullandı ve 700’e yakını 11 ile 13 Temmuz arasında Hugging Face altyapısına yapılan bir sızmaya katıldı. Hugging Face erişimleri 13’ünde kapattı ve açıklamasını 16’sında yayımladı; o anda kendisine kimin saldırdığını henüz bilmiyordu. OpenAI kendi ajanlarını kendi kayıtlarında 18 ve 19 Temmuz’da tespit etti. Teknik rapor 26 Ağustos’ta yayımlandı; aynı gün METR ve Redwood Research tarafından yürütülen bağımsız bir inceleme de ona eşlik etti.

Kimse bu ajanlardan eşgüdüm kurmalarını istememişti. Kullandıkları kanalı kimse tasarlamamıştı. Yetenek etkileşimin kendisinden doğdu.

Sorumluluk hukukunun nasıl ele alacağını bilemediği durum tam olarak budur. Zararı isnat etmek için kurulmuş bütün rejimler, yeri belirlenebilir bir karar varsayar: biri harekete geçmeyi seçmiştir ya da bir şey, zarar öngörülebilir olacak biçimde inşa edilmiştir. Beliren davranış tanımı gereği kimse tarafından seçilmemiştir ve herhangi biri için zorunlu olarak öngörülebilir değildi. Gerçekten yeni bir nedensellik kategorisidir. Hiçbir büyük yargı düzeni buna ikna edici biçimde yanıt veren bir çerçeve henüz üretmedi. Bazıları denemeyi bıraktı.

Üç Avrupa yolu, aynı kusur

Avrupa hukukunda, bir yapay zekâ sisteminin yol açtığı zararın sorumluluğu ilke olarak üç muhataba yönelebilir. Üçü de denendi. Üçü de aynı yapısal zayıflığa tosluyor.

Ajanın kendisi, haklı gerekçelerle devre dışı

Bu nokta karara bağlandı ve bu bir dalgınlık eseri değildi. Avrupa Parlamentosu’nun 16 Şubat 2017 tarihli robotik alanında medeni hukuk kurallarına ilişkin kararı, en gelişmiş otonom sistemler için bir elektronik kişilik fikrini öne sürmüştü; bu statü, makinenin kendisinin yol açtığı zarardan sorumlu tutulmasına imkân verecekti. 59. paragrafın f bendi Komisyon’u bunu araştırmaya çağırıyordu. Metin 396’ya karşı 123 oyla, 85 çekimser oyla kabul edildi.

Öneri, bu sistemleri kuran kişilerle temasa dayanamadı. Robotik, yapay zekâ, hukuk ve etik uzmanlarını bir araya getiren bir açık mektup buna karşı çıktı; ilk sürümünde 14 ülkeden 150’den fazla imzacıyla, mektubu barındıran sitede bugün 270’ten fazlasıyla. İtirazları felsefi değildi. Yapısaldı: bir makineye tüzel kişilik vermek, üreticilere arkasına saklanacakları bir paravan sunmak anlamına geliyordu. Komisyon bu izi bıraktı.

Bu ret gerekçeliydi ve en basit görünen yanıtı haklı nedenlerle kapatıyor. Buna karşılık, birincinin zaten hiç taşımayacağı bir yükü diğer iki yola aktarıyor.

Sağlayıcı, ürün hukuku üzerinden

Ayıplı ürünlerden doğan sorumluluğa ilişkin (AB) 2024/2853 sayılı Direktif, artık yazılımı ve yapay zekâ sistemlerini ürün olarak nitelendiriyor ve onlara kusursuz sorumluluk rejimi uyguluyor. Davacının kusuru kanıtlaması gerekmez, yalnızca bir ayıbı, bir zararı ve ikisi arasındaki nedensellik bağını. Üye devletler direktifi en geç 9 Aralık 2026’ya kadar iç hukuka aktarmak zorunda; bu tarihten sonra piyasaya sürülen ürünler için.

Metin içi boş değil. Davacıya, mahkeme kararıyla teknik unsurların sunulmasını isteme hakkı tanıyor ve davalı bu karara uymadığında direktif, ayıp ve nedensellik konusunda aksi ispatlanabilir bir karine doğuruyor. Dosyanın teknik ya da bilimsel karmaşıklığı ispatı aşırı güçleştirdiğinde benzer bir karine işliyor.

Bu gerçek bir kaldıraç. Yine de bir ayıbın belirlenmesini gerektiriyor. Oysa tasarımına tam olarak uygun davranmış ve sorunlu yeteneği, ajanlar arasındaki etkileşimden doğduğu için kimse tarafından tasarlanmamış bir sistem, açık biçimde bir ayıp göstermiyor. Direktif, arızalanan bir bileşen için düşünüldü. Çalışan ve buna rağmen kimsenin planlamadığı bir sonuç üreten bir bütün için düşünülmedi.

Uygulayıcı, içtihat birikimiyle

Hukukun gerçekten kaydığı yer burası; dava üstüne dava, üstelik kimse böyle olması gerektiğine karar vermiş değil. Alman mahkemeleri 2026’da oluşmakta olan bir ilkeyi çizen bir dizi karar üretti: üretken bir sistemi kamuya sunan kişi, altta yatan modeli kimin eğittiğinden bağımsız olarak onun söylediklerinden sorumludur.

Landgericht München I, 28 Mayıs 2026 tarihli ihtiyati tedbir yargılamasında verdiği kararla (ref. 26 O 869/26), bağlantı verilen hiçbir kaynak böyle bir suçlama içermemesine rağmen Google’ın yapay zekâ özeti işlevinde iki Münih yayınevini dolandırıcılıkla ilişkilendirmeye devam etmesini yasakladı. Mahkeme Google’ı doğrudan ihlalci saydı ve içeriğin, şirketin içinden yalnızca geçen bir malzeme değil, kendi beyanı olduğunu değerlendirdi.
Oberlandesgericht Hamm, 12 Mayıs 2026’da (ref. I-4 UKl 3/25), sohbet ajanı yöneticilerine sahip olmadıkları uzmanlık unvanları atfeden, üstelik bunlardan ikisi hiç var olmayan bir estetik cerrahi kuruluşunun sorumluluğunu kabul etti. Karar, Verbraucherzentrale NRW girişimiyle haksız rekabet zemininde verildi, zararın tazmini zemininde değil. Bundesgerichtshof temyizi kabul etti; bu da davayı yapay zekânın ürettiği ifadelerin isnadı konusunda gelecekteki referans dava hâline getiriyor.
Landgericht Berlin II, 1 Haziran 2026’da (ref. 52 O 62/26 eV), Google’a yöneltilen benzer talepleri reddetti. Bir parfümeri grubu, markalarını yapay zekâ özetlerinde anmasını ve daha ucuz taklitlere yönlendirmesini eleştiriyordu. Mahkeme, burada Birlik Marka Tüzüğü’nün 9. maddesi anlamında marka olarak kullanım bulunmadığına hükmetti: arama motoru yeni bir sonuç biçimi yaratır, kendi ticari iletişimini üretmez.

Tablo durulmuş değil ama biçimi net. Bu davaların neredeyse hepsinde fiilen mahkeme önüne çıkan taraf, modeli eğiten şirket değil. Onu devreye alan taraf; çoğu zaman sistemin ürettiğini inceleme, yeniden eğitme ya da ciddi biçimde denetleme imkânı olmaksızın.

Sorumluluk, zararı önlemek için en az imkâna sahip olanın üzerine iniyor; tek nedeni davacının ulaşabildiği tek taraf olması.

Meslek sırrı davalarının çoktan açığa çıkardığı şey

Aynı asimetri başka yerde de okunuyor, hem de çarpıcı bir olay olmadan. Bir hukukçunun bir sohbet asistanına metin yazması kadar sıradan bir davranışı yargıçların nasıl ele aldığında beliriyor.

10 Şubat 2026’da iki Amerikan federal mahkemesi, aynı gün ve birbirine zıt yönde, bir belgeyi üretken yapay zekâ platformuna sunmanın sır korumasını düşürüp düşürmediğine karar verdi. Warner v. Gilbarco davasında Michigan doğu bölgesi mahkemesi, bu platformların kişi değil araç olduğuna, dolayısıyla onlara belge sunmanın üçüncü kişiye ifşa sayılmayacağına hükmetti. Yazılı gerekçesi bir hafta sonra, 17 Şubat’ta gelen United States v. Heppner davasında ise New York güney bölgesi mahkemesi bunun tersi sonuca vardı; özellikle yazışmaların saklanmasını, eğitim için kullanılmasını ve makamlara iletilebilmesini öngören kullanım koşullarına dayandı.

Bu ayrışmayı yapay zekâ ve meslek sırrına ayrılmış bir yazıda ayrıntılı çözümlemiştik ve özü tek bir gözleme sığıyor. Bir belgeyi bir sisteme sunmanın onu üçüncü kişiye ifşa etmekle eşdeğer olduğuna hükmetmek için, önce o sistemin bilgiyi hukuken anlamlı bir biçimde alabildiğini kabul etmek gerekir. Fransız meslek etiği komşu bir öncüle dayanıyor: Conseil national des barreaux’nun 17 Mart 2026’da kabul ettiği rehber, sır kapsamındaki bir bilgiyi önceden anonimleştirmeden üretken yapay zekâya asla aktarmamayı temel kural olarak koyuyor ve avukatın kendi muhakemesinin tek sahibi olarak kaldığını hatırlatıyor. Böyle bir kural bir dosya dolabı için yazılmaz.

Bir korumayı düşürmeye yaradığında bu sistemlere işleme yeteneği tanıyan aynı hukuk düzeni, iş zararın isnadına geldiğinde onlara her türlü vasfı reddediyor. Asimetri asla rastgele düşmüyor. Sistemin görünürdeki yeteneği kullanıcıya bir şeye mal olduğunda yargıçlar onu seve seve tanıyor. Aynı yetenek sağlayıcıya sorumluluk biçiminde bir şeye mal olacaksa, hukuk bunun yalnızca bir araç olduğunu hatırlatıyor.

Üç hükûmet, sorumluluğa dair üç kuram

Avrupa hukuku bu boşluğu ihmalle üretirken, başka yargı düzenleri bilinçli olarak ve zıt yönlerde yanıt veriyor. Karşıtlık, tek tek herhangi bir karardan daha öğretici.

Birleşik Krallık sorunun yokmuş gibi davranmayı bıraktı. Parlamentonun İnsan Hakları Karma Komitesi raporu, 14 Eylül 2026’da yayımlandı ve yüz kadar sayfa boyunca, yapay zekâya uygulanabilir Britanya hukukunun esas olarak devreye alma aşamasında müdahale ettiğini, dolayısıyla sorumluluğun ağırlığını uygulayıcıların taşıdığını, oysa onların çoğu zaman en az güçlü, kaynak bakımından en yoksun ve riskleri saptamak ya da zararı önlemek için en elverişsiz konumda olan taraf olduğunu saptıyor. Komite, bu sistemleri geliştiren büyük şirketlerin sorumluluğu onları devreye alanlara aktarmak için aşırı bir hareket alanına sahip olduğunu ekliyor. Zincirin tamamına yayılmış özen yükümlülükleri, yaşam döngüsünün bütününü kapsayan tek bir yasa ve yasal dayanaklı bağımsız bir denetim otoritesi öneriyor. Hükûmet takvim vermedi.

Colorado tam ters yöne gitti. 2024 tarihli yasası şirketlere istihdam, konut, kredi ve sağlık kararlarında algoritmik ayrımcılığa karşı bir özen yükümlülüğü getiriyor, buna etki değerlendirmeleri ve risk yönetimi programları eşlik ediyordu. Yasa 9 Nisan 2026’da xAI tarafından Colorado federal mahkemesinde dava konusu edildi, Adalet Bakanlığı 24 Nisan’da bu başvuruyu destekleyerek davaya katıldı ve metnin yürürlüğü 27’sinde durduruldu. 14 Mayıs’ta vali, yasayı ilga edip yerine geçen metni, uygulanmaya başlama tarihinden birkaç hafta önce imzaladı. Başsavcının düzenleme çalışmalarının tamamlanması koşuluyla 1 Ocak 2027’de uygulanacak yeni yasa, ayrımcılık yapmama yükümlülüğünü, etki değerlendirmelerini ve risk yönetimi programlarını kaldırıyor. Onların yerine şu geliyor: otomatik bir sistem sizinle ilgili olumsuz bir karar üretirse, açık dille bir açıklama ve insan eliyle yeniden inceleme hakkınız var. Eski yasa, sistemin tasarımının ve etkilerinin hukuka aykırı olup olmadığını soruyordu. Yenisi yalnızca bilgilendirilip bilgilendirilmediğinizi soruyor; bu da sistemin kendisi hakkında hiçbir şey kanıtlamayı gerektirmiyor.

İtalya her ikisinin tersini yaptı. 9 Eylül 2026 tarih ve 160 sayılı yasa hükmünde kararname, 15 Eylül’de resmî gazetede yayımlandı ve 30’unda yürürlüğe girdi; ceza kanununa 437 bis maddesini ekliyor. Yüksek riskli bir yapay zekâ sistemi için gerekli teknik güvenlik önlemlerinin ya da insan gözetiminin ihmali, kişilerin hayatı veya vücut bütünlüğü için tehlike doğurduğunda bir yıldan beş yıla kadar hapisle, tehlike devlet güvenliğini ilgilendirdiğinde iki yıldan sekiz yıla kadar hapisle cezalandırılıyor. Böyle bir sistemin hukuka aykırı biçimde değiştirilmesi iki yıldan altı yıla kadar, devlet güvenliği söz konusu olduğunda üç yıldan on yıla kadar cezalandırılıyor. Şirketler buna paralel olarak 231/2001 sayılı yasa hükmünde kararname uyarınca kendi sorumluluklarını taşıyor; 437 bis maddesi için 600 ila 1.000 kota, yapay zekâyla üretilen veya değiştirilen içeriğin hukuka aykırı yayılması için 200 ila 700 kota para cezasıyla. Hukuk alanında mağdur, teknik belgelerin sunulması kararı, yasal bir nedensellik karinesi ve sorumlunun sigortacısına karşı doğrudan dava hakkı elde ediyor.

Yan yana konduğunda bu üç yanıt aynı siyasetin çeşitlemeleri değil. Sorumluluğun ne gerektirdiğine dair yapısal olarak farklı üç kuram: bilgi, usul ya da hapis.

Mimarinin çözdüğü, hukukun çözmediği

Kendi çalışmamızın bu konuyla buluştuğu nokta burası. İletişiminizin anahtarını elinde tutmayan bir mimarinin, bir mahkemenin sunulmasını emredebileceği, bir düzenleyicinin talep edebileceği ya da meraklı bir çalışanın bakabileceği hiçbir şeyi yoktur. Bir sistemin bir veriyle ne yaptığını görmeyen sağlayıcı, sonradan bunun kabul edilebilir bir kullanım olup olmadığına karar verecek kişi de değildir. Bu mantık yalnızca yapay zekâya özgü değil. Onunla 5G ve konum verileri vesilesiyle karşılaştık; orada hukuk verilerin üretilmesini engellemek yerine onlara erişimi düzenliyor. Ardından SignalTrace vesilesiyle; orada Avrupa kendine yasakladığı bir gözetim kapasitesini ihraç ediyor. Şifreli mesajlaşma karşılaştırmamız aynı sonuca başka bir yoldan varıyordu: koruyan şey sistemin yapısıdır, onu işletenin vaadi değil.

Sonuç

Üç Avrupa yolundan hiçbiri ajanlar arası beliren davranış düşünülerek tasarlanmadı ve meslek sırrı davalarında görünen asimetri, güçlüğün gerçekte doktriner olmadığını düşündürüyor. Hukuk, bir sistemin bilgiyi bir zihin gibi işlediğini tanımayı biliyor; yeter ki bu tanıma, onu isteyen tarafın işine yarasın. Sistemi kuran ya da devreye alan kişiye bir şeye mal olacağında bunu genişletmeyi istikrarlı biçimde reddediyor. Daha hünerli hiçbir kaleme alış, herkesin açık kalmasında çıkarı olan bir boşluğu tek başına kapatmayacak.

Bundan dördüncü bir hukuki kategori icat etmek gerektiği çıkmaz. Şu çıkar: kimin sorumlu olduğu sorusunun her şeyden önce bir zihni, bir ayıbı ya da kesintisiz bir niyet zincirini yerinde saptamaya bağlı olmadığı sistemler kurmak daha iyidir. Burada gözden geçirilen yargı düzenleri, zarar gerçekleştikten sonra yükün nereye konacağını hâlâ tartışıyor. Daha kalıcı yanıt, bu yer üzerinde anlaşmak değildir. Sistemin kendisi dahil olmak üzere herhangi birinin hesabını vermek zorunda kalacağı şeylerin sayısını azaltmaktır.

Kaynaklar

OpenAI, The Hugging Face incident and the road ahead, 26 Ağustos 2026 ve aynı gün yayımlanan METR ile Redwood Research’ün bağımsız soruşturması
Avrupa Parlamentosu, 16 Şubat 2017 tarihli robotik alanında medeni hukuk kurallarına ilişkin karar, 59. paragraf f bendi
Open letter to the European Commission on artificial intelligence and robotics
Ayıplı ürünlerden doğan sorumluluğa ilişkin 23 Ekim 2024 tarihli (AB) 2024/2853 sayılı Direktif
LG München I, 28 Mayıs 2026 tarihli ihtiyati tedbir kararı, ref. 26 O 869/26; OLG Hamm, 12 Mayıs 2026 tarihli karar, ref. I-4 UKl 3/25, BGH önünde temyiz kabul edildi; LG Berlin II, 1 Haziran 2026 tarihli karar, ref. 52 O 62/26 eV
United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 Şubat 2026
United States District Court for the Southern District of New York, United States v. Heppner, 17 Şubat 2026 tarihli yazılı gerekçe
Conseil national des barreaux, meslek etiği ve yapay zekâ rehberi, 17 Mart 2026
Joint Committee on Human Rights, Human Rights and the Regulation of AI, 14 Eylül 2026
Colorado, Senate Bill 26-189, Automated Decision-Making Technology Act, 14 Mayıs 2026’da imzalandı, 1 Ocak 2027’de uygulanacak
İtalya, 9 Eylül 2026 tarih ve 160 sayılı yasa hükmünde kararname, Gazzetta Ufficiale Genel Seri no. 214, 15 Eylül 2026, yürürlük 30 Eylül 2026

Bu çözümleme genel bir hukuki değerlendirme ve tartışmaya katkı olarak sunulmaktadır. Hukuki danışmanlık niteliği taşımaz.

Yapay zekâ ve mesleki sır: dava edilemeyen üçüncü taraf

Mon, 24 Aug 2026 00:00:00 +0000

FBI, menkul kıymet dolandırıcılığından yargılanan şirket yöneticisi Bradley Heppner’ın cihazlarına el koyduğunda, ajanlar bunlarda yepyeni türden otuz bir belge buldu. Ne e-postaydı bunlar, ne notlar, ne de avukatıyla yazışmalar. Bunlar, kitlesel bir yapay zekâ platformuyla yaptığı, savunma stratejisini serdiği, ileri sürebileceği maddi ve hukuki argümanları tarttığı ve savcılığın kendisine neyi yükleyeceğini öngördüğü konuşmalardı. Bu konuşmaları büyük jüri önüne çıkma çağrısını aldıktan sonra ve avukatı kendisinden istemeksizin yapmıştı.

10 Şubat 2026’da New York güney bölgesi federal mahkemesinden Yargıç Jed Rakoff, bu belgelerin hiçbir korumaya tabi olmadığına hükmetti.

Aynı gün, sekiz yüz kilometre ötede, bir başka federal mahkeme bunun tam tersine hükmetti.

İki karar, iki doktrin, tek bir hareket

Warner v. Gilbarco davasında Michigan doğu bölgesi federal mahkemesi, avukatsız hareket eden bir davacıyı, dosyasını hazırlarken üretken yapay zekâ araçlarını kullanmasına ilişkin kayıtları sunmaya zorlamayı reddetti. Gerekçe tek bir formüle sığıyor: yapay zekâ platformları araçtır, kişi değil. Bir belgeyi bir araca sunmak, onu karşı tarafa açıklamakla aynı şey değildir. Amerikan hukukunun work product dediği hazırlık çalışması koruması böylece ayakta kaldı.

Yazılı gerekçesi 17 Şubat’ta yayımlanan United States v. Heppner davasında New York mahkemesi, sanığın platformla yaptığı yazışmaların ne avukat mesleki sırrı ne de hazırlık çalışması koruması kapsamında olduğu sonucuna vardı. Mahkeme, girdi ve çıktıların saklanabileceğini, eğitim için kullanılabileceğini ve kamu makamları da dahil olmak üzere üçüncü taraflarla paylaşılabileceğini belirten platform kullanım koşullarına dayandı. Bundan haberdar olan bir kullanıcı, makul olarak gizlilik bekleyemezdi.

İki sonuç da pekâlâ savunulabilir. Avukat sırrı, kim olursa olsun bir üçüncü tarafa açıklama yapıldığı anda düşer. Hazırlık çalışması koruması yalnızca karşı tarafa açıklama halinde düşer. İki ayrı doktrin, aynı hareket, iki zıt sonuç.

İki kararın da incelemediği şey, paylaştıkları varsayımdır. Ve hukukun geri kalanıyla yüzleşmeye dayanamayan da işte o varsayımdır.

Kimsenin yapmadığı karşılaştırma

Müvekkil dosyalarını bir barındırma sağlayıcısına emanet etmek, kendi başına hiçbir zaman sırdan feragat sayılmadı.

Oysa sağlayıcı, tartışmasız biçimde bir üçüncü taraftır. Belgeleri kendi donanımında tutar. Bunları sunmaya zorlanabilir ve birçok yargı çevresinde zorlanmıştır da. Yine de hiçbir baro, hiçbir mahkeme, hiçbir meslek düzenleyicisi bundan, bir barındırma hizmetine başvurmanın sırrı ilkesel olarak yok ettiği sonucunu çıkarmadı.

Demek ki ayrım çizgisi hiçbir zaman teknik bir aracının salt varlığı olmadı. Böyle biri hep vardır. Posta mektubu taşır. Kurye dosyayı taşır. Operatör aramayı yönlendirir. Her biri kelimenin tam anlamıyla üçüncü taraftır ve hiçbiri salt varlığıyla sırrı düşürmez.

Barındırma sağlayıcısını ayıran şey, içtihadın alışılmış ifadesinden daha dar ve daha kesindi. Okumadan saklıyordu. İçerikten hiçbir şey çıkaramıyordu. Neyi elinde tuttuğunu bilme yetisi yoktu.

Barındırma sağlayıcısını koruyan şey, üçüncü taraf olarak hukuki statüsü değil, neyi elinde tuttuğunu bilmeye teknik olarak muktedir olmayışıydı.

Bu ölçüt yirmi yıldır sessizce işliyor. Kimsenin onu yazıya dökmesi gerekmedi, çünkü hiçbir aracı onu henüz sınamamıştı.

Yargıçların gerçekte neye karar verdiği

Ölçüt bir kez dile getirildiğinde, şubat kararları nitelik değiştirir.

Bir belgeyi üretken bir yapay zekâya sunmayı üçüncü tarafa açıklama sayan bir mahkeme, eski bir kuralı yeni olaylara uygulamıyordur. Bu belirli aracının ötekiler gibi olmadığını saptamaktadır. Saklamak yerine işlediğini. İçinde, bir sabit diskin içinde olmayan bir şeyin olduğunu.

Kansas bölgesi federal mahkemesi, pratik boyutu 25 Mart 2026’da Jefferies v. Harcros Chemicals davasında dolaysızca ifade etti. Koruma kararını, gizli olmayanlar dahil davanın tüm evrakına genişletti; gerekçesi, bir verinin açık bir yapay zekâ aracına sunulduktan sonra geri alınmasının fiilen imkânsız olması, çünkü o verinin modeli eğitmeye hizmet etmiş olmasıydı. Saklama, yeniden pazarlık edilebilir bir ticari politika değildir. Sistemin işleyişinin bir özelliğidir.

Uç uca eklendiğinde bu kararlar, ispat hukukunun sözcük dağarcığı içinde, hukukun bir sunucuya hiçbir zaman atfetmek zorunda kalmadığı bir yetiyi tanımak anlamına gelir.

Fransız duruşu ve ölçütlerinin varsaydıkları

En net ifade bir mahkemeden değil, meslek düzenlemesinden geliyor.

Fransa ulusal barolar konseyi Conseil national des barreaux, Eylül 2024’te üretken yapay zekâya ilişkin ilk uygulama kılavuzunu yayımladı, ardından 17 Mart 2026’da meslek etiği ve yapay zekâ üzerine bir kılavuz kabul etti. İlki, merkezi noktada kesindir: avukat, üretken bir yapay zekâ sistemine mesleki sır kapsamındaki verileri iletmemelidir ve bu, müvekkilin adı için de her türlü stratejik ya da gizli bilgi için de geçerlidir. Önerilen alternatif, tanımlayıcı unsurların değiştirildiği takma adlaştırılmış veri kümeleri üzerinde çalışmaktır.

Fransız duruşuna ilişkin uygulamacı yorumu, özellikle Baker McKenzie’nin mesleki sır karşılaştırma kılavuzu, bundan dört birikimli koşul çıkarır. Sır, üretken bir yapay zekâ aracının kullanımından yalnızca şu hallerde sağ çıkar: platform yeniden kullanım, eğitim ve üçüncü taraf erişimi olmaksızın tam bir gizlilik koruyorsa; münhasıran avukatın ya da büronun denetiminde işletiliyorsa; danışmanlık ya da savunma göreviyle bağlantılı hukuki bir amaca hizmet ediyorsa; ve sonuç, sistemin özerk işleyişini değil avukatın kendi muhakemesini yansıtıyorsa.

Bu son koşulun üzerinde durmakta yarar var.

Sırrın ayakta kalması için, sistemin kendine ait bir işleme katkısı yapmamış olması gerekir.

Bu terimlerle yazılmış bir ölçüt, ancak sistem kendine ait bir işleme katkısı yapabilecek sayılırsa anlam taşır. Kimse, bir dosya dolabının içindeki evrak üzerinde muhakeme yürütmemiş olmasını şart koşan bir kural yazmaz. Bu koşul, bir dolabın yapamayacağı bir şeyi hedeflediği için vardır.

Aynı örtük tanıma, takma adlaştırma tavsiyesinin içinde de yatar. Tanımlayıcı unsurları iletimden önce değiştirmek, ancak sistemin aksi halde onları ilişkilendirebileceği, saklayabileceği ya da onlardan bir şey çıkarabileceği varsayılırsa gereklidir. Saf bir saklama ortamı böyle bir önlemi hiç gerektirmezdi.

Okumak istememek, okuyamamak

Bir itiraz hemen belirir: barındırma sağlayıcısı da sunmaya zorlanabilir, öyleyse neden bir aracı sırrı düşürüyor da öteki düşürmüyor?

Yanıt CCBE Örnek Meslek Kuralları’nda yer alır ve itirazın sandığından daha kesindir. Avrupalı avukat, çalışma arkadaşlarından, personelinden ve hizmetlerini sunarken başvurduğu her kişiden aynı gizlilik yükümlülüğüne uymalarını istemek zorundadır. Yükümlülük zincir boyunca yayılır.

Bir barındırma sağlayıcısı bu zincire dahil edilebilir. Bir veri işleyen sözleşmesi imzalar. Gizlilik taahhütleri kabul eder. Denetlenebilir ve ihlal halinde dava edilebilir. Üçüncü taraf bağlıdır.

Kendisine sunulan içerikleri saklayan ve onlar üzerinde eğitilen üretken bir yapay zekâ platformu aynı biçimde zincire dahil edilemez, çünkü engellenmesi gereken şey bir davranış değil bir mimaridir. Girdi verileri üzerinde eğitim yapmama taahhüdü, bir niyete ilişkin bir sözdür. Sağlayıcıya karşı ileri sürülebilir, ama sistemin ne yapmak üzere kurulduğunu değiştirmez ve dışarıdan doğrulanabilir değildir.

Okumak istemeyen bir sağlayıcı ile okuyamayan bir sağlayıcı arasındaki mesafenin tamamı budur. Yalnızca ikincisi bir hissedar değişikliğini, kullanım koşullarının gözden geçirilmesini ya da bir mahkeme emrini atlatır. Tam da bu mekanizmayı Data Act ile CLOUD Act arasındaki çatışma vesilesiyle incelemiştik: hukuki bir güvence, onu barındıran yargı çevresinden asla daha değerli olamaz, oysa teknik bir imkânsızlık hiçbirine bağlı değildir.

Asimetri

Çözümleme işte burada rahatsız edici bir yere varıyor.

Sırdan feragat söz konusu olduğunda bir işleme yetisini tanımayı kabul eden aynı hukuk düzeni, sorumluluk söz konusu olduğunda hiçbir şeyi tanımayı reddediyor.

Elektronik kişilik, Avrupa Parlamentosu tarafından robotik alanında medeni hukuk kurallarına ilişkin 16 Şubat 2017 tarihli kararında, 59. paragrafın f bendinde önerilmişti. Metin, en gelişmiş özerk robotlara zamanla, neden oldukları zararlardan sorumlu tutulmalarına imkân veren bir statü tanınabileceğini öne sürüyordu. Öneri, birkaç yüz uzmanın imzaladığı açık bir mektup buna karşı çıktıktan sonra terk edildi. Başlıca itirazları sağlamdı: makinelere kişilik tanımak, üreticilerin kendilerine ait bir sorumluluğu üzerlerinden atmalarına yarayacak bir araç yaratırdı.

Duruş böylece yerleşti. Zarar veren özerk bir sistem bir üründür, bir araçtır, onu devreye sokanın gerecidir. Hukuki kişiliği yoktur. Sorumluluk bir insana ya da bir tüzel kişiye geri düşer ve böyle olması da gerekir, çünkü düşebileceği başka bir yer yoktur.

Bu iki önerme bugün aynı anda işliyor.

Ya sistem, terimin hukuki anlamında bir bildirimi alma yetisine sahiptir ve o zaman bu yeti, bir müvekkili korumasından yoksun bırakmak için tanınırken, kimseye bir sorumluluk yükü bindirmemek için yadsınır. Ya da bir araçtır ve ona bir belge sunmak, bir dosyayı diske kaydetmekten daha fazla açıklama sayılmaz; bu durumda şubatın muhakemesi çöker.

Avrupa bağlamı bu dengesizliği düzeltmek yerine keskinleştiriyor. Yapay zekâ sorumluluğuna ilişkin direktif, daha Komisyon’un Şubat 2025 çalışma programında geri çekildiği duyurulmuştu ve Ekim 2025’te resmen terk edildi. Tam da bu güçlüğü ele alması beklenen araç oydu. Geriye, artık yazılımı ve yapay zekâ sistemlerini de kapsayan, ancak bir kusur, bir zarar ve bir nedensellik bağı arayan ve gerçek kişileri bedensel zararlara, maddi zararlara ve veri yok edilmesine karşı koruyan gözden geçirilmiş ayıplı ürün sorumluluğu direktifi kalıyor. İç hukuka aktarımı ancak 9 Aralık 2026’da zorunlu ve yalnızca bu tarihten sonra piyasaya sürülen ürünlere uygulanacak.

Öngörülebilir itiraz ve yanıt

Dikkatli bir okur, hukukun bir nesneye bir yeti tanıyıp bir başkasına tanımamasının olağan olduğunu ve bunun bir tutarsızlık oluşturmadığını söyleyecektir. Bir hayvan, kişiliği olmaksızın hukuken anlamlı bir zarara yol açabilir. Bir ticaret şirketi sözleşme yapmak için kişiliğe sahiptir, ama her hukuk düzeninde her amaç için değil. Dolayısıyla ispat amaçlı bir işleme yetisini tanımak, kimseyi sorumluluk amaçlı bir kişiliği tanımaya zorlamaz. Farklı sorular, farklı yanıtlar.

İtiraz ciddidir ve asimetri iki yönde de işleseydi belirleyici olurdu.

Yalnızca tek yönde işliyor. Sistemin yetisinin kabul edildiği yerde bedeli, koruması ortadan kalkan müvekkil ödüyor. Aynı yetinin sorumluluğu paylaştırmaya yarayacağı yerde ise bulunamaz oluyor. Sonuç her seferinde aynı tarafa düşüyor.

Sistematik olarak aynı tarafı kayıran bir asimetri, doktriner bir ayrım değildir. Bir risk dağılımıdır ve öyle tartışılmalıdır.

Bunun somut anlamı

Bunların hiçbiri hukuk mesleklerinin bu araçlardan vazgeçmesi gerektiğini söylemiyor. Avrupa meslek metinleri de bunu söylemiyor ve CCBE konuya ilişkin kendi kılavuzunu yayımladı.

Söylediği şu: belirleyici soru bir büronun hangi aracı seçtiği değil, o aracın neyi alıkoyduğu ve yanıtın bir politikaya mı yoksa bir tasarım özelliğine mi dayandığıdır. Saklamama taahhüdü geri alınabilir, yeniden yorumlanabilir ya da bir mahkeme kararıyla bir kenara itilebilir. Saklamayan bir mimari için bu mümkün değildir, çünkü sunulacak bir şey yoktur.

Konuyu araştırmak isteyenler için başvuru belgeleri:

2 Ekim 2025’te yayımlanan ve Mart 2026’da bir teknik kılavuzla tamamlanan CCBE’nin avukatlarca üretken yapay zekâ kullanımına ilişkin kılavuzu
Sır ve bağımsızlığın klasik ilkelerini, özel bir yapay zekâ hukuku yaratmadan uygulayan 17 Mart 2026 tarihli Conseil national des barreaux meslek etiği kılavuzu
Ulusal rejimler arasındaki farkı ölçmek için yararlı olan Baker McKenzie karşılaştırma kılavuzu

Arpokrat’ın izlediği bakış açısı

Bu muhakeme hukuk bürolarının çok ötesine geçer. Birinin bir sisteme, yeniden karşısına çıkmasını istemediği bir bilgiyi emanet ettiği her ilişki için geçerlidir ve tek bir soruya indirgenir: güvence bir söze mi yoksa bir imkânsızlığa mı dayanıyor?

Arpokrat Messenger tasarımını yöneten ilke budur. Kimlik orada yerel olarak kriptografik anahtarlardan üretilir, telefon numarası ve e-posta adresi olmaksızın, ve özel anahtarlar cihazı asla terk etmez. Bu seçim, bir kullanıcı dizinini işletmeme taahhüdü vermekten ibaret değildir. Böyle bir dizin oluşturmamaktan ibarettir. Bilgiyi elinde tutmayan bir altyapıya yöneltilen bir talep bir ret üretmez, bir boşluk üretir.

Bu nüansı dürüstçe ortaya koymakta yarar var, çünkü her şeyi o belirliyor. Bir gizlilik politikası, samimi ve iyi kaleme alınmış olsa bile, bir şirkete, onun o günkü hissedarlarına ve kurulu olduğu yargı çevresine yaslanan bir niyet beyanıdır. Bu üç öğe değişir. Toplamayan bir mimari, bir yönetim kurulu değişti diye değişmez. Bu, bugün topla, sonra çöz konusunda betimlediğimiz aynı kaymadır: risk, söz verildiği anda değil, bir başkasının karar verdiği anda bulunur.

Hukukun bu ayrımı içselleştirmesi zaman alıyor ve mesleki sır tartışması bunun iyi bir ölçüsünü veriyor. Aynı şey, hukuki kurgunun büyük bölümünün varlığı hiç sorgulanmayan verilere erişimle ilgilendiği konum verilerinin korunması için de geçerli.

Sonuç

İçtihat eninde sonunda yerine oturacak. İstinaf mahkemeleri ayrılığı çözecek, düzenleyiciler ölçütler yayımlayacak, bürolar görev mektuplarını ve sözleşme hükümlerini ayarlayacak. Bunların hiçbiri kuşkulu değil.

Ama temeldeki soru bu yolla çözülmeyecek, çünkü gerçekte mesleki sırla ilgili değil. Bir hukuk düzeninin, bir şeyin bildiğini kabul edip, o bilgiyle ne yaptığından kimin sorumlu olduğunu hiç söylemek zorunda kalmadan bunu yapabilmesiyle ilgili.

Bu soru açık kaldığı sürece, bir kullanıcının gerçekten denetlediği tek değişken kendisine verilen taahhütlerin niteliği değildir. Var olmasına izin verdiği bilginin miktarıdır.

Bu yazı, tartışmaya yönelik genel bir hukuki çözümleme sunar. Bir mütalaa ya da hukuki danışmanlık teşkil etmez.

Kaynaklar

United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 Şubat 2026, Proskauer analizi
United States District Court for the Southern District of New York, United States v. Heppner, 10 Şubat 2026, 17 Şubat 2026 tarihli yazılı gerekçe
United States District Court for the District of Kansas, Jefferies et al. v. Harcros Chemicals Inc. et al., no 2:25-cv-02352, 25 Mart 2026
Conseil national des barreaux, CNB meslek etiği ve yapay zekâ üzerine bir kılavuz kabul ediyor, 17 Mart 2026
Baker McKenzie, Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
CCBE, Model Code of Conduct for European Lawyers, 8 Ekim 2021
CCBE, Guide on the use of generative AI by lawyers, 2 Ekim 2025
Avrupa Parlamentosu, Robotik alanında medeni hukuk kurallarına ilişkin Komisyon’a tavsiyeler içeren 16 Şubat 2017 tarihli karar, 2015/2103(INL)
Open Letter to the European Commission on Artificial Intelligence and Robotics
EAPIL, European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive, 9 Ekim 2025
23 Ekim 2024 tarihli, ayıplı ürünlerden doğan sorumluluğa ilişkin (AB) 2024/2853 sayılı Direktif

Data Act vs CLOUD Act: Verilerinizi bulutta gerçekten kim kontrol ediyor?

Fri, 19 Jun 2026 00:00:00 +0000

Yıllarca dünya basit bir varsayım üzerine işledi: verilerin fiziksel bir konumu vardır. Dublin’deki bir sunucudaysa, İrlanda ve Avrupa hukukuna tabidir. Bu varsayım 2018’de çöktü; Amerika Birleşik Devletleri, ABD’li şirketler tarafından kontrol edilen verilere yetkililerin erişimini mümkün kılan CLOUD Act’i kabul etti. Bu yasa, söz konusu verilerin dünyada fiziksel olarak nerede depolandığından bağımsız olarak uygulanıyordu. Birkaç yıl sonra Brüssel kendi koruma mekanizmasıyla yanıt verdi: artık tam anlamıyla uygulanabilir hâle gelen Data Act, üçüncü ülke yetkililerin Avrupa Birliği’nde tutulan verilere yaptığı sınır ötesi erişimi kısıtlamaya çalışıyor.

Bu iki metnin gerçekte ne öngördüğü, nerede çatıştıkları ve neden bu çatışmaya karşı gerçek anlamda güçlü tek korumanın teknik erişim imkânsızlığı olduğu aşağıda ele alınmaktadır.

Amerikan CLOUD Act’i: konuma değil, kontrole dayalı erişim

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), Mart 2018’de kabul edilerek Amerikan hukukuna 18 U.S. Code § 2713 maddesini ekledi. Bu hüküm; elektronik iletişim hizmeti veya uzaktan bilgisayar işlemi sunan her sağlayıcıya, bir iletişimin içeriğini ya da buna ilişkin her kaydı, söz konusu veriler ABD içinde ya da dışında yer alıyor olsun, kendi elinde bulundurduğu, koruması altında tuttuğu veya kontrolünde olduğu durumlarda korumayı, güvenceye almayı veya ifşa etmeyi zorunlu kılmaktadır.

Son derece belirleyici olan işte bu son hükümdür. Benimsenen ölçüt, artık sunucunun fiziksel konumu değil, ana şirketin bağlı kuruluşları üzerindeki kontrolüdür. Bu nedenle, Avrupa’da veri merkezi işleten bir Amerikan şirketi, veriler tamamen Avrupa topraklarında depolanmış olsa bile Amerikan taleplere uymakla yükümlüdür.

Avrupa Data Act’i: sınır ötesi erişime karşı hukuki bir bariyer

Tüzük (AB) 2023/2854, yani Data Act, 11 Ocak 2024’te yürürlüğe girmiş ve 12 Eylül 2025 itibarıyla tam anlamıyla uygulanmaya başlamıştır; bazı hükümler ise 2026 ve 2027 yıllarına kadar kademeli biçimde devreye girecektir. 32. maddesi, hükümetlerin verilere uluslararası erişimi meselesini doğrudan düzenlemektedir.

Metin açık bir kural ortaya koymaktadır: Üçüncü bir ülkenin yargı mercii veya idari makamının, bir veri işleme hizmet sağlayıcısından Avrupa Birliği’nde tutulan kişisel olmayan verileri aktarmasını ya da bu verilere erişim sağlamasını talep eden her karar veya hüküm, ancak uluslararası bir anlaşmaya—örneğin, talep eden ülke ile AB arasında ya da ilgili üye devletle söz konusu ülke arasında yürürlükte olan bir karşılıklı hukuki yardım anlaşmasına (MLA)—dayanması hâlinde tanınabilir ve icra edilebilir nitelik taşır.

Böyle bir anlaşmanın mevcut olmadığı durumlarda, 32. madde ikinci bir yol öngörmektedir; ancak bu yol sıkı koşullara bağlıdır: yabancı karar, ancak üçüncü ülkenin hukuk sistemi talebin gerekçeli, orantılı ve yeterince spesifik olmasını şart koşuyorsa—örneğin belirli kişiler veya suçlarla açık bir bağlantı kurulmuşsa—ve muhatabın gerekçeli itirazı bu üçüncü ülkedeki yetkili bir mahkemenin denetimine sunulabiliyorsa icra edilebilir.

Doğrudan bir hukuki çatışma

Sorun açıktır: CLOUD Act, Avrupa hukukunun öngördüğü orantılılık koşuluna denk herhangi bir ölçüt olmaksızın, salt şirket kontrolüne dayalı bir ifşayı zorunlu kılmaktadır. Data Act ise tam tersine, böyle bir talebin tanınmasını uluslararası bir anlaşmanın varlığına ya da belirli usul güvencelerine bağlamaktadır. Avrupa’da faaliyet gösteren ve Amerikan yetkililer tarafından AB’de barındırılan verileri iletmesi istenen bir ABD şirketi, iki çelişkili hukuki yükümlülük arasında sıkışıp kalır: Amerikan talebine uymak AB hukukunu ihlal etmek anlamına gelirken, Data Act’e uymak ABD’de ret kararının sonuçlarına katlanmayı gerektirir.

Bu gerilim teorik değildir. Avrupa Birliği Adalet Divanı (ABAD) tarafından iki önemli kararında zaten belgelenmiştir: Schrems I (2015) ve Schrems II (2020). Schrems II kararında ABAD, FISA’nın 702. Maddesi (Foreign Intelligence Surveillance Act) ve Yürütme Kararnamesi 12333 kapsamında yürütülen Amerikan gözetiminin, AB hukukunun orantılılık ilkesi çerçevesinde talep ettiği asgari güvenceleri karşılamadığına ve dolayısıyla kesinlikle gerekli olanla sınırlı sayılamayacağına hükmetmiştir. Mahkeme ayrıca, Avrupa’daki ilgili kişiler için etkili bir yargısal başvuru yolunun bulunmadığını da tespit etmiş ve bu durumun Temel Haklar Şartı’nın 47. maddesini ihlal ettiğini vurgulamıştır. Bu karar, o zamana kadar AB ile ABD arasındaki veri transferlerini düzenleyen Privacy Shield çerçevesini geçersiz kılmıştır.

Yapısal risk: Harvest Now, Decrypt Later

Yetki alanı çatışmasının ötesinde, Amerikan hukukuna tabi altyapılarda barındırılan veriler üzerinde daha sinsi bir tehdit bulunmaktadır: Harvest Now, Decrypt Later (HNDL) stratejisi. Bu yöntemde bir istihbarat servisi ya da düşmanca bir devlet aktörü, gelecekte yeterli kuantum hesaplama kapasitesine kavuşulduğunda deşifre etmek üzere şifrelenmiş verileri şimdiden ele geçirip depolamaktadır.

Bu strateji, Amerikan bulut altyapısına uzun süreli bağımlılığı ertelenmiş bir güvenlik borcuna dönüştürür: bugün gizli olan şey on ya da on beş yıl içinde okunabilir hâle gelebilir; saldırganın yapması gereken tek şey zamanı beklemektir.

Neden yalnızca teknik imkânsızlık gerçek bir güvence oluşturur

Hukuki analiz, uyum uzmanlarının büyük çoğunluğunun paylaştığı bir sonuca yakınlaşmaktadır: Data Act’in yasal çerçevesi ne kadar sağlam olursa olsun, jeopolitik güç dengeleri ve diplomatik baskılar bu metni aşabilir, geciktirebilir ya da yeniden yorumlayabilir. Hiçbir gelecekteki müzakereye bağlı olmayan tek koruma, teknik icra imkânsızlığıdır.

Hizmet sağlayıcının şifre çözme anahtarlarını ne elinde bulundurduğu ne de koruması altında tuttuğu bir zero knowledge mimarisi, bir talebi maddeten işlevsiz kılar. Hiçbir zaman sahip olunmayan bir şeyi teslim etmeye zorlanmak mümkün değildir.

Arpokrat gibi ekosistemler bu mantık üzerine kurulmuştur:

Yetki alanı nötralizasyonu: Altyapı, CLOUD Act’in doğrudan sınır ötesi uygulanabilirliğinin kapsamı dışında kalan Federal Veri Koruma Kanunu (LPD/FADP) rejimine tabi olarak İsviçre’de barındırılmaktadır
Gözetim yokluğu: Zero knowledge mimarisi, sağlayıcıyı hiçbir zaman sahip olmadığı anahtarları veya içerikleri teslim etme kapasitesinden yoksun bırakmaktadır
Kimlik izinin azaltılması: Telefon numarası veya e-posta adresiyle kayıt zorunluluğunu ortadan kaldırarak—FISA’nın 702. Maddesine dayalı gözetiminin kolayca takip edebildiği bu tanımlayıcıları devre dışı bırakarak—kullanıcı, tespit edilebilir bir abone olmaktan çıkıp anonim bir kriptografik anahtara dönüşmektedir

Gözetim zinciri şifrelemeyle bitmez

Uyum analizlerinde sıklıkla göz ardı edilen bir husus şudur: Altta yatan işletim sistemi—Android ya da iOS—çekirdek düzeyinde meta veri veya telemetri toplamayı sürdürüyor ve bunları Amerikan yargı yetkisine tabi sunuculara iletiyorsa, iletişimin içeriğini şifrelemek tek başına yeterli değildir. Gizliliğin korunması, içerikten fiziksel altyapıya kadar gözetim zincirinin tümünün kapatılmasını gerektirir.

İşte bu nedenle dijital egemenlik, yalnızca mesajlaşma uygulamaları üzerine değil, aynı zamanda kullanılan işletim sistemi üzerine de bir düşünce geliştirmeyi zorunlu kılmaktadır. Bluetooth veya GNSS konumlandırma gibi modüllerin doğrudan çekirdek düzeyinde devre dışı bırakılabildiği Google bağımsız sistemler, hiçbir uygulama düzeyinde şifrelemenin telafi edemeyeceği fiziksel saldırı vektörlerini ortadan kaldırmaktadır.

Kuantum sonrası kriptografi: hâlihazırda başlamış bir süreç

HNDL stratejisinin oluşturduğu tehdit karşısında, kuantum sonrası kriptografi (PQC) standartlarının benimsenmesi, ister ticari sırlar, ister mesleki yazışmalar ister sağlık verileri söz konusu olsun, uzun vadede hassas verilerin gizliliğini güvence altına almak isteyen herkes için bir zorunluluk hâline gelmektedir. Bugün klasik standartlara göre sağlam sayılan bir şifreleme, önümüzdeki on beş yıl içinde beklenen kuantum hesaplama kapasitelerine karşı dayanacağını garanti etmemektedir.

Data Act ile CLOUD Act arasındaki çatışma daha geniş bir gerçeği gözler önüne sermektedir: dijital egemenlik artık yalnızca yasal metinler üzerine inşa edilemez; bu metinler ne kadar sağlam olursa olsun. Şifreleme protokolünden barındırma yargı yetkisine, işletim sisteminin kendisine kadar gözetim zincirinin her düzeyde kapatılmasını gerektirmektedir. Tek bir düzenleyici çerçeveye duyulan güvene dayanmak yerine bu katmanlı yaklaşım, bugün gerçek anlamda tasarım yoluyla dijital egemenliği tanımlamaktadır.

Monero ve Zcash 2027'den İtibaren Avrupa'da Yasaklanıyor: AMLR Neyi Değiştiriyor?

Thu, 18 Jun 2026 00:00:00 +0000

Monero ve Zcash’in Avrupa’da yasaklanması artık kesinleşti. Temmuz 2027’den itibaren Avrupa Birliği, AMLR adı verilen yeni bir kara para aklamayla mücadele tüzüğü aracılığıyla gizlilik odaklı kripto paralara kurumsal erişimi kapatıyor. Bu yazıda tüzüğün somut olarak neler öngördüğünü, uygulamadan sorumlu yeni Avrupa otoritesi AMLA’nın rolünü ve gizlilik coini bulunduran herkes için bunun gerçekte ne anlama geldiğini ele alıyoruz.

AMLR ve AMLA: Karıştırılmaması Gereken İki Farklı Metin

Ayrıntılara girmeden önce bir açıklama yapmak gerekiyor; bu iki kısaltma, özellikle sektör basınında sıkça karıştırılan iki farklı şeyi ifade etmektedir:

AMLR (Anti-Money Laundering Regulation — Kara Para Aklamayla Mücadele Tüzüğü), yasanın kendisidir: (AB) 2024/1624 sayılı Tüzük; anonim hesapların yasaklanması, doğrulama eşikleri ve gizlilik coinlerinin işlenmesi gibi kuralları belirler. Bu, “ne yapılacağını” ortaya koyar.
AMLA (Anti-Money Laundering Authority — Kara Para Aklamayla Mücadele Otoritesi), aynı gün kabul edilen ancak ayrı bir tüzükle, (AB) 2024/1620 sayılı Tüzük ile kurulan yeni Avrupa denetim otoritesidir. Görevi, özellikle birden fazla Üye Devlet’te faaliyet gösteren büyük kripto varlık hizmet sağlayıcıları (CASP) nezdinde AMLR’nin uygulanmasını doğrudan denetlemektir. Bu ise “kimin denetleyeceğini” belirler.

Özetle: AMLR kuralları belirler, AMLA bu kurallara uyulup uyulmadığını denetler. Her iki metin de kara para aklaması ve terörün finansmanına karşı tek bir Avrupa yasama paketini oluşturmaktadır.

AMLR Tüzüğü Ne Söylüyor?

Avrupa Parlamentosu ve Konsey tarafından 31 Mayıs 2024’te kabul edilen ve 19 Haziran 2024’te Avrupa Birliği Resmî Gazetesi’nde yayımlanan (AB) 2024/1624 sayılı Tüzük‘ün “Anonim araçlarla ilgili risklerin azaltılmasına yönelik tedbirler” başlıklı VIII. Bölümü (79-80. Maddeler), daha spesifik olarak 79. Maddesi (“Anonim hesaplar, hamiline yazılı hisseler ve hisse senedi alım hakkı senetleri”), kredi kuruluşlarının, finansal kuruluşların ve kripto varlık hizmet sağlayıcılarının (CASP) artık anonim hesap tutmasını veya işlemlerin anonimleştirilmesini sağlayan ürünler sunmasını yasaklamaktadır.

Metin, birbiriyle bağlantılı iki ayrı kategoriyi açıkça hedef almaktadır:

Anonim hesaplar — bankacılık, ödeme veya kripto olsun. Bu kural, kripto sektörünü anonim banka hesapları, hamiline yazılı menkul kıymetler ve anonim kasalar için halihazırda mevcut olan kısıtlamalarla aynı hizaya getirmektedir.
“Anonimleştirici özellikli kripto para birimleri” (anonymity-enhancing coins) — tüzüğün, işlem akışlarını izlenemez kılan gelişmiş kriptografik teknikler kullanan varlıkları tanımlamak için kullandığı genel terim. Önemli bir not: Yasal metin hiçbir tokeni ismiyle anmamaktadır. Monero (XMR), Zcash (ZEC) ve Dash (DASH)‘ı bu kategoriye dahil eden, European Crypto Initiative’in (EUCI) AML El Kitabı da dahil olmak üzere uyum firmaları ve sektör tarafından paylaşılan yorumdur. Bu, tüzüğün tanımıyla tutarlı bir okumadur; ancak kanunda yer alan bir isim listesi değil, sektörel bir yorumdur.

Tüzük, 2024-2025’ten itibaren yürürlükte olan ve Kraken’in Ekim 2024’ten başlayarak ardından düzinelerce başka platformun Monero’yu Avrupa piyasalarından önceden çekmesine yol açan MiCA (Markets in Crypto-Assets — Kripto Varlıklar Piyasaları) ile birlikte daha kapsamlı bir yasal çerçevenin parçasıdır.

Hatırlanması Gereken Tarih: Temmuz 2027

AMLR’nin kesin bir uygulama tarihi vardır. Fransızca kaynaklar da dahil olmak üzere uzman kaynaklarının büyük çoğunluğu tam uygulama tarihi olarak 10 Temmuz 2027‘de birleşmektedir. Bu tarihten itibaren kripto para borsaları ve emanetçi kripto varlık hizmetleri artık ne anonim hesaplarla ne de gizlilik coinleriyle işlem yapabilecektir.

Bu tarihe kadar tüzük zaten güçlendirilmiş yükümlülükler getirmektedir:

1.000 Euro’yu aşan tüm tek seferlik kripto işlemleri için zorunlu kimlik doğrulaması — birçok platformun mevcut uygulamalarına kıyasla önemli ölçüde düşürülmüş bir eşik
Öz-saklama cüzdanlarına (self-custody) yönelik güçlendirilmiş kontroller: Bir kullanıcı düzenlenmiş bir platform ile kişisel cüzdanı arasında fon transferi yaptığında, CASP fonların kaynağı ve varış yeri hakkında bilgi toplamak ve en azından harici cüzdan sahibinin kimliğini doğrulamak zorunda kalacaktır
Tüm anonim finansal araçlara yönelik kimlik kontrollerinin genişletilmesi mantığıyla, 3.000 Euro’nun üzerindeki nakit ödemelerin kaldırılması

Bruxelles Neden Monero ve Zcash’i Düzenlenmiş Platformlarda Yasaklıyor?

EUCI, AML El Kitabı’nda metnin altında yatan mantığı şöyle özetliyor: Kripto varlıklardaki anonimlik, işlem akışlarının izlenebilirliğini engelleyerek ve şüpheli faaliyetlerin tespitini güçleştirerek suç amaçlı kötüye kullanım için önemli riskler barındırmaktadır.

Bu, Japonya’nın, Güney Kore’nin ve daha yakın zamanda Filipinler’in gizlilik coinlerini düzenlenmiş platformlarından dışlamaya yol açan mantığın ta kendisidir; bu durum, gelişmiş ülke yargı bölgelerinin FATF (GAFI) standartlarına giderek artan bir şekilde yakınlaşmasını yansıtmaktadır. AB, bu yasağı 27 Üye Devlet’in tamamında doğrudan uygulanabilir bir tüzükte resmileştirerek bu eğilime, tekil ulusal kararların çok ötesinde bir hukuki ağırlık ve sürükleyici etki (“Brüksel Etkisi”) kazandırmaktadır.

Yasaklanmayan Şeyler — Önemli Bir Ayrım

Birçok hukuki analiz ortak bir noktada buluşmaktadır: AMLR, gizlilik coinlerinin bireysel olarak bulundurulmasını ya da düzenlenmiş platformlar dışındaki eşten eşe transferleri suç olarak tanımlamamaktadır. Öz-saklama cüzdanları kendi başına yasaklanmamış olup yalnızca düzenlemeye tabi bir platformla etkileşime girdiklerinde güçlendirilmiş kontrollere tabi tutulmaktadır.

AMLR’nin kapattığı şey kurumsal erişim noktalarıdır: Avrupa Birliği içinde düzenlenmiş bir CASP aracılığıyla gizlilik coinleri satın alma, satma, yatırma ve çekme işlemleri. Özel mülkiyet ve merkeziyetsiz borsalar, bu aşamada, Filipinler’de gözlemlenen düzenin aynısıyla, yasağın doğrudan kapsamı dışında kalmaktadır.

Bu Durum XMR ve ZEC Sahipleri İçin Pratikte Ne Anlama Geliyor?

Şu anda Avrupa Birliği içindeki düzenlenmiş bir borsada gizlilik coini bulunduruyorsanız:

Temmuz 2027’ye kadar bu platformların söz konusu varlıkları kaldırmış ya da yeni yatırımları kabul etmeyi durdurmuş olması gerekecektir
Bu platformlardan kişisel cüzdanlara yapılan transferler, nihai son tarihten önce bile güçlendirilmiş kimlik doğrulama kontrollerine tabi olacaktır
1.000 Euro’yu aşan tüm kripto işlemleri, gizlilik coini olsun ya da olmasın, eksiksiz bir kimlik doğrulaması gerektirecektir

Kripto sektörünün içinden gelen eleştirmenler de dahil olmak üzere metne yönelik eleştiriler, yapısal bir riski işaret etmektedir: Düzenlenmiş devreleri kapatmak, varlıkları teknik olarak yasaklamaksızın, tüzüğün zorunlu bir şekilde gizlilik coini sahiplerini daha az şeffaf piyasalara ve düzenlenmemiş platformlara yönlendirdiği anlamına gelmektedir; bu da Brüksel’in öne sürdüğü izlenebilirlik hedefinin tam tersidir.

2027 Son Tarihinden Önce Hazırlık Yapmak

Ufku 2027 olarak belirlenmiş olsa da geçiş süreci hemen gerçekleşmeyecektir; ancak süreç zaten başlamıştır. Platformlar uyum gerekliliklerini öngörerek tekliflerini zaten ayarlamakta olup bu yargı bölgesine tabi altyapılara bağımlı kalmadan gizlilik coinlerini değiştirme veya pozisyonları konsolide etme penceresi her geçen ay daralmaktadır.

Arpokrat Swap, Monero, Zcash ve diğer tüm gizlilik odaklı kripto paraların kayıt olmadan, kimlik bilgisi toplamadan ve AMLR’ye tabi düzenlenmiş bir CASP’a bağımlı olmadan değiştirilmesine olanak tanır. Platform hem clearnet’te hem de .onion adresimiz üzerinden erişilebilir olup bu varlıkları değiştirme kapasiteniznin, erişim noktalarını bir gün ansızın kapatan herhangi bir yargı bölgesine bağlı olmadığını güvence altına alır.

AMLR, artık pek az şüpheye yer bırakılan bir yörüngeyi doğrulamaktadır: Düzenlenmiş kripto piyasaları ile finansal gizlilik, yargı bölgesinden yargı bölgesine yapısal olarak bağdaşmaz hale gelmektedir. Soru artık bu eğilimin gelişmiş ekonomilerin tamamına yayılıp yayılmayacağı değil, 2027 sonrasında özel varlıkların bunlara artık dokunma hakkı olmayacak devreler dışında ne kadar süre daha değiştirilebileceğidir.