Kısa cevap: Basında yer alan bilgilere göre BDDK'nın, bankaların kullandığı yapay zeka sistemleri için kapsamlı bir düzenleme çerçevesi üzerinde çalıştığı belirtiliyor. Haziran 2026 sonunda basına yansıyan değerlendirmeler beş başlığı öne çıkarıyor: teknolojik bağımsızlık, kararların açıklanabilirliği, kritik kararlarda insan gözetimi, model riski yönetimi (stres testi ve validasyon) ve veri güvenliği ile KVKK uyumu. Henüz resmi bir metin yayımlanmadı; ancak tartışılan başlıkların yönü belli olduğu için hazırlık, taslak beklenmeden başlatılabilir.
Bilgilendirme: Bu yazı yalnızca kamuya açık haber kaynaklarındaki değerlendirmelere dayanmaktadır. BDDK'nın konuya ilişkin resmi ya da teyit edilmiş bir düzenlemesi veya açıklaması bulunmamaktadır. Aşağıdaki başlıklar, basında yer alan beklenti ve yorumlardan derlenmiştir; kurumun görüşü olarak sunulmamaktadır. İçerik genel bilgi amaçlıdır ve hukuki görüş niteliği taşımaz.
BDDK yapay zeka düzenlemesinde ne konuşuluyor?
Türkiye'de bankacılık, yapay zekaya özel ve müstakil bir rejime henüz sahip değil. Bugün yapay zeka kullanımı; iç sistemler ve risk yönetimi, tüketicinin korunması, bilgi sistemleri yönetimi, dış hizmet alımı ve operasyonel risk gibi mevcut düzenlemeler üzerinden denetleniyor. Konuşulan asıl değişiklik, bu dağınık yükümlülüklerin yapay zekaya özgü tek bir çerçeve altında toplanması.
Basına yansıyan değerlendirmelere göre BDDK henüz resmi bir açıklama yapmış değil; haberlerde konuşan sektör kaynakları çalışmanın hazırlık aşamasında olduğunu belirtiyor. Yön ise tesadüfi görünmüyor. Aynı haberlerde, kamuya açık BDDK 2025-2028 Stratejik Planı'nda yapay zekanın stratejik bir başlık olarak ele alındığına ve BDDK ile Kredi Kayıt Bürosu'nun ev sahipliğinde düzenlenen Yapay Zeka ve Bulut Teknolojileri Çalıştayı'nın sektör gündemini bu başlıklar etrafında topladığına işaret ediliyor. Yine basına yansıyan değerlendirmelere göre, mevzuatın Avrupa Birliği Yapay Zeka Yasası ile uyumlaştırılması Cumhurbaşkanlığı Orta Vadeli Program hedefleri arasında gösteriliyor.
Kısacası resmi taslak beklenirken bile çerçevenin ana hatları okunabiliyor. Aşağıda konuşulan beş başlığı ve her biri için bankaların bugünden ne yapabileceğini ele alıyoruz.
Konuşulan beş ana başlık
1. Teknolojik bağımsızlık
Basına yansıyan değerlendirmelerde en kritik başlık olarak teknolojik ve operasyonel bağımsızlık gösteriliyor. Bankaların yabancı teknoloji sağlayıcılarından veya üçüncü taraf yazılım şirketlerinden temin ettiği yapay zeka modellerine aşırı bağımlı hale gelmesi sistemik bir risk olarak değerlendiriliyor. Uygulamada bu başlık, tedarikçi konsantrasyonunun, dış hizmet alımı sözleşmelerinin ve model tedarik zincirinin gözden geçirilmesi anlamına geliyor. BDDK'nın yürürlükteki dış hizmet alımı düzenlemesi, denetim ve yerinde inceleme hakları üzerinden bu yükümlülükleri satıcı tarafına da taşıyor.
2. Kararların açıklanabilirliği
Yapay zekanın verdiği kararların, özellikle de kredi reddi gibi müşteri mağduriyeti doğurabilecek süreçlerin gerekçelendirilebilir olması hedefleniyor. Sektörde "kara kutu" olarak anılan öngörülemez modellerin denetlenebilirliği ilk sırada duruyor. Bir modelin çıktısını hem müşteriye hem de denetçiye anlaşılır biçimde gerekçelendiremiyorsanız, o modeli tahsis süreçlerinde güvenle tutmanız zorlaşır. Burada açıklanabilirlik akademik bir tartışma değil, denetim izine dayanan bir kanıt üretme sorumluluğu olarak karşımıza çıkıyor.
3. Kritik kararlarda insan gözetimi
Kredi, teminat ve müşteri aleyhine sonuç doğurabilecek işlemlerde nihai onay yetkisinin insanda kalması bekleniyor. Bu yaklaşım, Avrupa Birliği Yapay Zeka Yasası'ndaki insan gözetimi ilkesiyle aynı çizgide ilerliyor. Özellikle bağımsız hareket eden yapay zeka ajanları ve otomatik araç çağrıları, geri dönüşü zor işlemlerde bir onay adımına bağlanmadığında ilk kırılan halka oluyor.
4. Model riski yönetimi
Düzenlemenin yalnızca veri güvenliğiyle sınırlı kalmayıp model riski yönetimini de kapsaması bekleniyor. Bankaların ürüne aldığı yapay zeka sistemlerinin düzenli olarak stres testinden geçirilmesi ve validasyon süreçlerinin işletilmesi gündemde. Model riski yönetimi bankalar için yabancı bir kavram değil; yeni olan tarafı, bu disiplinin üretken yapay zekaya, yani istem enjeksiyonu, veri sızıntısı ve halüsinasyon gibi davranışsal risklere genişletilmesi.
5. Veri güvenliği ve KVKK uyumu
Müşteri verilerinin yapay zeka eğitiminde kullanım sınırlarının netleştirilmesi bekleniyor. Bu başlık doğrudan KVKK ve yapay zeka yükümlülükleriyle kesişiyor. Kişisel verinin eğitim ve çıkarım aşamalarında nerede kullanıldığı, nasıl maskeleneceği ve model çıktılarında dışarı sızıp sızmadığı denetlenebilir olmalı.
Zamanlama neden şimdi kritik? EU AI Act, ISO 42001 ve takvim
Bu başlıkların gündeme gelmesi boşlukta değil. Üç referans aynı yöne işaret ediyor.
Avrupa Birliği Yapay Zeka Yasası, finansal kuruluşların kredi değerlendirmesi gibi kullanım alanlarını yüksek riskli kategoride sayıyor ve sıkı yükümlülükler getiriyor. Yüksek riskli sağlayıcı yükümlülüklerinin önemli bir bölümü, hukuken 2 Ağustos 2026 tarihinde yürürlükte olacak biçimde yazıldı. Haziran 2026'da bir Digital Omnibus ertelemesiyle bu tarihin 2 Aralık 2027'ye taşınması siyaseten kararlaştırıldı; ancak değişiklik henüz resmi olarak kabul edilmediği için kanundaki tarih şu an itibarıyla 2026 olmaya devam ediyor. Değişikliği ayrı bir yazıda inceledik; yüksek riskli sistemlerin siber güvenlik yükümlülükleri için ise şu okumaya bakabilirsiniz.
ISO/IEC 42001 standardı, niyet beyanıyla değil kanıtla yönetilen bir yapay zeka yönetim sistemi ister. Bu düzenlemede beklenen validasyon ve gözetim süreçlerinin kurumsal karşılığı büyük ölçüde burada duruyor. Test tarafında ise NIST AI 600-1, MITRE ATLAS ve OWASP LLM ile Agentic Top 10 listeleri, denetçinin bekleyeceği test seviyesini belirliyor. Dilerseniz NIST AI 600-1 profilini yirmi dakikada gözden geçirebilirsiniz.
Türkiye'deki çerçeve son şekliyle yazıldığında bu standartlarla büyük ölçüde ortak bir dili konuşacak. Sonuç şu: EU AI Act ve ISO 42001 için bugün yürüttüğünüz hazırlığın önemli bir bölümü, BDDK metni çıktığında da işinize yarayacak.
Bankalar bugünden ne yapabilir? Hazırlık kontrol listesi
Resmi metnin yayımlanmasını beklemek zorunlu değil. Aşağıdaki adımların her biri konuşulan beş başlıkla doğrudan eşleşiyor.
- Yapay zeka envanterini çıkarın. Hangi modelin hangi sağlayıcıdan geldiğini, hangi kullanım alanında çalıştığını ve hangi veriyle beslendiğini tek bir yerde toplayın. Tedarikçi konsantrasyonu ve bağımlılık, ancak görünür hale geldiğinde yönetilebilir. Ayrıntı için AI varlık envanteri nasıl kurulur yazısına bakabilirsiniz.
- Yüksek riskli kullanım alanlarını işaretleyin. Kredi değerlendirme, dolandırıcılık skorlama ve müşteriye dönük otomatik kararlar öncelikli. Bu alanlar hem BDDK hem de EU AI Act tarafında en çok sorgulanacak başlıklar.
- Modelleri saldırgan yöntemlerle test edin. İstem enjeksiyonu, veri sızıntısı, aşırı yetki ve açıklanabilirlik için düzenli ve zamanlanmış testler kurun. Belirli bir güne ait sızma testi, sonuçları çıktığı gün eskimeye başlar.
- Açıklanabilirlik kanıtını saklayın. Bir kredi reddini gerekçelendirebilmek için girdiyi, çıktıyı ve karar mantığını bir denetim izinde tutun.
- İnsan onay noktalarını tanımlayın. Geri dönüşü zor işlemlerde nihai onayı bir kişiye bağlayın ve bu kontrolün fiilen işlediğini kayıt altına alın.
- Veri kullanım sınırlarını netleştirin. Eğitim ve çıkarım aşamalarında kişisel veri akışını haritalayın, model çıktılarında sızıntıya karşı maskeleme uygulayın.
- Her bulguyu bir çerçeveye eşleyin. OWASP, NIST, MITRE ATLAS, EU AI Act ve ISO 42001 kontrolleriyle etiketlenmiş bulgular, denetçiye sunacağınız kanıtın kendisidir.
Başlıklar ile kontrollerin eşlemesi
Konuşulan her başlık aslında "neyi kanıtlamanız gerekecek" sorusuna dönüşüyor. Aşağıdaki tablo bu eşleme mantığını özetliyor.
| BDDK başlığı | Neyi kanıtlamanız gerekecek | Bunu nasıl sürekli üretebilirsiniz |
|---|---|---|
| Teknolojik bağımsızlık | Model ve sağlayıcı envanteri, bağımlılık ve konsantrasyon analizi | Tüm yapay zeka varlıklarının tek envanteri ve sağlayıcı görünürlüğü |
| Açıklanabilirlik | Karar gerekçesi ve denetim izi, kara kutu test sonuçları | Açıklanabilirlik ve çıktı işleme testleri, kanıta bağlı bulgular |
| İnsan gözetimi | Kritik işlemlerde insan onay noktalarının varlığı | Çalışma anı politikaları ve onay akışları |
| Model riski yönetimi | Düzenli stres testi ve validasyon kayıtları | Zamanlanmış saldırgan tarama paketleri ve bağımsız skorlama |
| Veri güvenliği ve KVKK | Eğitim ve çıkarım veri sınırları, sızıntı koruması | Çıktı kapsamlı veri kaybı koruması ve kişisel veri maskeleme |
Penaxtra bu süreçte ne yapıyor?
Penaxtra, Türkiye ve Avrupa Birliği'ndeki düzenlemeye tabi kuruluşlar için yapay zeka güvenlik duruş yönetimine odaklanan bir platform. Yaptığı iş büyük ölçüde yukarıdaki tablonun sağ sütunuyla örtüşüyor: yapay zeka varlıklarını envantere alıyor, bunları zamanlanmış saldırgan test paketleriyle sınıyor, çalışma anını kendi altyapınızda barındırdığınız bir ağ geçidiyle koruyor ve her bulguyu OWASP, NIST AI 600-1, MITRE ATLAS, EU AI Act ve ISO 42001 kontrollerine eşleyerek denetim düzeyinde kanıt üretiyor.
Kredi reddi gibi kararların gerekçelendirilmesi, modellerin düzenli stres testinden geçirilmesi, insan onay noktalarının işletilmesi ve müşteri verisinin model çıktısında dışarı sızmaması. Bu başlıkların hepsi, denetçinin göreceği türden kanıta dönüşen çalışmalar. Olası bir BDDK düzenlemesi yayımlandığında hazırlığınızın önemli bir bölümü tamamlanmış olur. İlgili okumalar: yapay zeka güvenlik duruş yönetimi nedir ve EU AI Act uygunluğu.
Sık sorulan sorular
BDDK yapay zeka düzenlemesi ne zaman yürürlüğe girecek?
Henüz resmi bir metin veya tarih yayımlanmadı. Basına yansıyan bilgiler çalışmanın hazırlık aşamasında olduğunu gösteriyor. Cumhurbaşkanlığı Orta Vadeli Programı, mevzuatın Avrupa Birliği Yapay Zeka Yasası ile uyumlaştırılmasını 2026 yılı içinde öngörüyor.
Düzenleme hangi kuruluşları kapsayacak?
Beklenti, BDDK'nın denetim alanındaki bankalar ve finansal kuruluşlar yönünde. Bankalara yapay zeka hizmeti sunan üçüncü taraf sağlayıcılar da yürürlükteki dış hizmet alımı düzenlemesi üzerinden dolaylı biçimde kapsanıyor.
EU AI Act ile BDDK düzenlemesi arasında nasıl bir ilişki var?
Avrupa Birliği Yapay Zeka Yasası, finansal kullanım alanlarını yüksek riskli sayıyor ve sıkı yükümlülükler getiriyor. BDDK'nın çalışması bu standartları dikkate alıyor ve Türkiye mevzuatının EU AI Act ile uyumlaştırılması resmi bir program hedefi. Uygulamada biri için yaptığınız hazırlık, diğeri için de büyük ölçüde geçerli oluyor.
Yapay zekada model riski, stres testi ve validasyon ne anlama geliyor?
Modelin beklenen ve beklenmeyen girdiler altında nasıl davrandığını düzenli olarak ölçmek ve doğrulamak anlamına geliyor. Üretken yapay zekada bu çalışma; istem enjeksiyonu, veri sızıntısı, aşırı yetki ve halüsinasyon gibi davranışsal risklerin saldırgan testlerle ölçülmesini kapsıyor.
Bankalar en yüksek getirili ilk adımı nerede atmalı?
Yapay zeka envanterini çıkarmak, yüksek riskli kullanım alanlarını işaretlemek, modelleri düzenli ve saldırgan yöntemlerle test etmek, açıklanabilirlik kanıtını saklamak ve her bulguyu bir kontrol çerçevesine eşlemek ilk adımlar arasında en somut geri dönüşü sağlar.
Kaynaklar
Buradaki düzenleme ayrıntıları kamuya açık haber kaynaklarına dayanıyor; BDDK'nın resmi bir metni henüz bulunmuyor.
- Bağımsız Denetim Türkiye, "Bankacılıkta yapay zeka düzenlemesi yolda", 27 Haziran 2026.
- Dünya Gazetesi, "Finans sektöründe yapay zeka düzenlemesi yolda", Haziran 2026.
- BloombergHT, "Finans sektöründe yapay zeka altyapısı hazırlığı", 2026.
- BDDK 2025-2028 Stratejik Planı; Cumhurbaşkanlığı 2026-2028 Orta Vadeli Program.