Yapay zekâ teknolojilerinin hızla gelişmesi, birçok sektörde çığır açıcı yeniliklere öncülük etmiş ve önemli avantajlar sunmuştur.

Ancak bu teknolojik ilerleme, kötü niyetli kişiler tarafından da suistimal edilerek son derece sofistike dolandırıcılık yöntemlerinin geliştirilmesine olanak tanımıştır. Yapay zekâ destekli dolandırıcılık; deepfake içeriklerle yapılan kimlik sahtekârlıkları, yapay zekâ tarafından oluşturulan oltalama saldırıları ve sentetik kimlik oluşturma gibi birçok farklı yöntemi içermektedir. Bu tür suçlar, dünya genelinde olduğu gibi Türkiye’deki hukuk sistemini de ciddi şekilde zorlamaktadır.

Yapay Zekâ Destekli Dolandırıcılığın Temel Türleri

Deepfake Yoluyla Kimlik Taklidi

Yapay zekâ algoritmaları kullanılarak geliştirilen deepfake teknolojisi, ses ve görüntülerin gerçeğe son derece yakın sahte versiyonlarının oluşturulmasını mümkün kılmaktadır. Bu yöntemle dolandırıcılar, kişileri veya üst düzey yöneticileri taklit ederek para transferi gibi işlemleri gerçekleştirebilmektedir. Örneğin, Birleşik Krallık merkezli bir enerji şirketinin CEO’su, ana şirketin CEO’su olduğunu sanarak 220.000 Euro’luk bir transfer gerçekleştirmiştir. Dolandırıcılar, Yapay zekâ destekli ses üretimi kullanarak yöneticiyi kandırmıştır.

2024 yılında, İngiltere merkezli mühendislik firması Arup'un Hong Kong ofisinde çalışan bir finans görevlisi, video konferans sırasında şirketin CFO'su ve diğer yöneticileri olduğunu düşündüğü kişilerle görüşmüştür. Ancak bu kişiler, yapay zekâ ile oluşturulmuş deepfake görüntülerdir. Toplamda 25 milyon ABD doları tutarında 15 ayrı para transferi gerçekleştirilmiştir. Olayın ardından, çalışan durumu fark ettiğinde şirket merkezine başvurmuş, ancak transferler çoktan tamamlanmıştır.

Temmuz 2024'te, Ferrari'nin CEO'su Benedetto Vigna'nın kimliği, dolandırıcılar tarafından WhatsApp üzerinden taklit edilmeye çalışılmıştır. Dolandırıcılar, Vigna'nın sesini ve Güney İtalyan aksanını taklit eden bir deepfake ses kaydı kullanarak, üst düzey bir yöneticiyi gizli bir satın alma işlemi için ikna etmeye çalışmıştır. Ancak yönetici, Vigna'nın daha önce önerdiği bir kitabın adını sorarak kimliğini doğrulamaya çalışmıştır. Dolandırıcı bu soruya cevap veremeyince görüşme sonlandırılmıştır.

Dünyanın en büyük reklam ajansı WPP'nin CEO'su Mark Read, 2024 yılında bir deepfake dolandırıcılık girişiminin hedefi olmuştur. Dolandırıcılar, Read'in sesini ve görüntüsünü taklit eden yapay zekâ destekli içerikler kullanarak, şirket çalışanlarını sahte bir Microsoft Teams toplantısına davet etmiştir. Toplantı sırasında, Read'in kimliğine bürünen dolandırıcılar, çalışanlardan yeni bir iş girişimi için para ve kişisel bilgiler talep etmiştir. Ancak çalışanların dikkatli davranması sayesinde dolandırıcılık girişimi başarısız olmuştur.

2024 yılında, dolandırıcılar Elon Musk'ın deepfake videolarını kullanarak sosyal medya platformlarında sahte yatırım fırsatları sunmuştur. Bu videolarda, Musk'ın sesini ve görüntüsünü taklit eden yapay zekâ içerikleriyle, kullanıcılardan kripto para yatırımı yapmaları istenmiş, birçok kişi, bu sahte videolara inanarak ciddi maddi kayıplar yaşamıştır.

Yapay zekâ ile Kişiselleştirilmiş Oltalama ve Sosyal Mühendislik

Yapay zekâ, kişilerin yazışma üsluplarını taklit ederek son derece gerçekçi oltalama e-postaları ve mesajları oluşturabilir. Bu tür içerikler, alıcıların güvenini kolayca kazanarak veri veya para kaybına neden olabilir.

Mayıs 2025'te, FBI, yapay zekâ kullanılarak üst düzey ABD yetkililerinin seslerinin taklit edildiği ve bu sahte sesli mesajlarla kişilerin kandırılarak kişisel hesap bilgilerine erişildiği konusunda uyarıda bulunmuştur. Saldırganlar, bu yöntemle hedef kişileri hacker kontrolündeki platformlara yönlendirerek kimlik bilgilerini ele geçirmiştir.

Şubat 2024'te, Avrupa'nın önde gelen perakende şirketlerinden Pepco Group'un Macaristan şubesi, yapay zekâ ile oluşturulmuş sahte e-postalarla hedef alınmıştır. Dolandırıcılar, şirket içi yazışma tarzını taklit eden ve resmi görünen e-postalarla finans departmanını kandırarak yaklaşık 15,5 milyon Euro'luk haksız bir para transferi gerçekleştirmiştir. Bu olay, yapay zekânın sosyal mühendislik saldırılarında nasıl etkili bir şekilde kullanılabileceğini gösteren çarpıcı bir örnektir.

2024 yılında Hindistan'da faaliyet gösteren bir finans kuruluşu, yapay zekâ tarafından oluşturulan ve şirket içi yazışmaları birebir taklit eden e-postalarla hedef alınmıştır. Saldırganlar, sosyal medya ve diğer açık kaynaklardan topladıkları verileri kullanarak, yöneticilerin yazışma tarzını ve dilini taklit eden sahte e-postalar hazırlamıştır. Bu e-postalar, resmi formatta ve inandırıcı içerikte olduğundan, çalışanlar tarafından gerçek sanılarak hassas bilgilerin paylaşılmasına ve finansal kayıplara yol açmıştır.

2024 yılında, küresel bir ilaç şirketinin üst düzey yöneticisinin sesi, yapay zekâ kullanılarak klonlanmıştır. Saldırganlar, bu sahte sesle şirket çalışanlarını arayarak acil bir satın alma işlemi için büyük miktarda para transferi yapılmasını talep etmiştir. Çalışanlar, yöneticilerinin sesini duyduklarını sanarak talebi yerine getirmiş ve şirket 35 milyon dolar kaybetmiştir.

Sentetik Kimlik Dolandırıcılığı

Yapay zekâ araçları, gerçek ve sahte bilgilerin harmanlanmasıyla oluşturulan “sentetik kimlikler” yardımıyla banka hesabı açmak, kredi almak gibi işlemleri gerçekleştirmek için kullanılabilir.

2023 yılında, ABD'de yapay zekâ kullanılarak oluşturulan sentetik kimlikler aracılığıyla gerçekleştirilen dolandırıcılıkların toplam zararı 35 milyar dolara ulaşmıştır. Dolandırıcılar, gerçek kişisel verileri (örneğin, sosyal güvenlik numaraları) sahte bilgilerle birleştirerek yeni kimlikler oluşturmuş ve bu kimliklerle banka hesapları açarak kredi başvurularında bulunmuştur. Yapay zekâ, bu sahte kimliklerin daha inandırıcı görünmesini sağlamak için sahte belgeler ve yüz görüntüleri üretmekte kullanılmıştır. Yine 2025 yılında, ABD'de dolandırıcılar, yapay zekâ kullanarak sahte kimlik belgeleri (örneğin, ehliyet, pasaport) oluşturmuş ve bu belgelerle banka hesapları açmıştır. Bu hesaplar, kara para aklama ve diğer yasa dışı faaliyetlerde kullanılmıştır. Yapay zekâ, sahte belgelerin gerçekçi görünmesini sağlamak için kullanılmıştır.

Türk Hukuk Sisteminde YZ Destekli Dolandırıcılığa Yönelik Mevzuat

Türk Ceza Kanunu (TCK)

TCK, yapay zekâ ile işlenen dolandırıcılık eylemleri için doğrudan bir düzenleme içermese de bazı genel hükümler bu tür suçlara uygulanabilir niteliktedir:

Madde 157 – Basit Dolandırıcılık: Bir kimseyi aldatıcı davranışlarla kandırarak menfaat temin etmek suç sayılmakta ve hapis cezası öngörülmektedir.

Madde 158 – Nitelikli Dolandırıcılık: Bilişim sistemleri, banka veya kredi kurumları kullanılarak işlenen dolandırıcılık suçlarında ceza artırılmaktadır. Yapay zekâ aracılığıyla işlenen suçlar bu kapsama girebilir.

Madde 135-140 – Kişisel Verilere Karşı Suçlar: Kişisel verilerin hukuka aykırı şekilde elde edilmesi, kaydedilmesi, paylaşılması gibi fiiller bu maddeler kapsamında suç sayılmaktadır.

6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK)

KVKK, kişisel verilerin işlenmesi konusunda veri sorumlularına önemli yükümlülükler yüklemektedir. Deepfake içerik üretimi veya sentetik kimlik oluşturulması süreçlerinde kullanılan kişisel veriler, KVKK hükümlerine aykırılık teşkil edebilir. Kurul, idari yaptırımlar uygulama yetkisine sahiptir.

Türkiye’de Yapay Zekâya İlk Hukuki Dokunuş: Meclise Sunulan Kanun Teklifi Üzerine Değerlendirme

Türkiye’de yapay zekâya ilişkin yasal altyapıyı oluşturmak amacıyla 24 Haziran 2024 tarihinde Türkiye Büyük Millet Meclisi’ne ilk kapsamlı kanun teklifi sunulmuştur. Her ne kadar bu teklif, Avrupa Birliği'nin Yapay Zekâ Tüzüğü kadar ayrıntılı olmasa da, ülkemizdeki düzenleyici sürecin başlangıcı olması açısından önem taşımaktadır.

Teklifin temel hedefi, yapay zekâ sistemlerinin güvenli, etik ve adil kullanımını sağlamak, kişisel verilerin korunmasını temin etmek ve bireylerin mahremiyet haklarını ihlallere karşı korumaktır. Bu doğrultuda; sistem sağlayıcıları, kullanıcıları, ithalatçıları ve dağıtıcıları da kapsayan geniş bir yelpazeye yönelik sorumluluklar tanımlanmıştır.

Kanun teklifinde yapay zekâ, insan benzeri bilişsel işlevleri yerine getirebilen bilgisayar tabanlı sistemler olarak tanımlanmıştır. Ancak bu tanım, AB Tüzüğü’ndeki gibi sistemlerin bağımsız şekilde hareket edebilme veya belirli çıktılar üretebilme yetisine dair teknik ayrıntıları içermemektedir. Ayrıca kamu kurumlarının kapsam dışında bırakılması ve bazı tanımların muğlak kalması, uygulamada tereddütlere neden olabilecek boşluklara işaret etmektedir.

Teklifte, güvenlik, şeffaflık, hesap verebilirlik ve adalet ilkelerine uygunluk temel esas olarak belirlenmişse de, bu ilkelerin nasıl uygulanacağına veya nasıl denetleneceğine dair detaylı hükümler yer almamaktadır. Aynı şekilde yüksek risk içeren yapay zekâ sistemleri için özel önlemler alınması gerektiği belirtilmiş, fakat bu risklerin nasıl tanımlanacağı ve ne tür ek yükümlülükler getireceği açıklanmamıştır.

Denetim ve yaptırımlar konusunda da bazı belirsizlikler bulunmaktadır. Hangi kurumun denetim yetkisine sahip olacağı ve para cezalarının hangi durumlarda uygulanacağı açıkça tanımlanmamıştır. Bu noktada, kanunilik ilkesi gereği uygulanacak yaptırımların açık, belirli ve öngörülebilir şekilde düzenlenmesi büyük önem arz etmektedir.

Sonuç olarak, sunulan taslak mevcut haliyle yapay zekâ alanındaki hukuki boşluğu tamamen doldurmamakla birlikte, Türkiye’de bu alanda mevzuat çalışmalarının başlamış olması açısından umut verici bir ilk adımdır. İlerleyen süreçte, kapsamlı, net ve uygulamaya elverişli düzenlemelerin yapılması elzemdir.

Mağdurlar İçin Hukuki Koruma ve Başvuru Yolları

Yapay zekâ destekli dolandırıcılığın mağdurları, Türk hukuk sisteminde şu hukuki yollara başvurabilirler:

Ceza Soruşturması Başlatılması: Mağdur, Cumhuriyet Başsavcılığı’na suç duyurusunda bulunarak, TCK kapsamında faillerin tespiti ve cezalandırılması amacıyla ceza soruşturması başlatılmasını talep edebilir.

Hukuk Davaları (Tazminat): Maddi veya manevi zarara uğrayan mağdurlar, zararın giderilmesi amacıyla Borçlar Kanunu hükümlerine dayanarak tazminat davası açabilirler.

Kişisel Verileri Koruma Kurulu’na Şikâyet: Eğer olayda kişisel verilerin hukuka aykırı şekilde kullanılması söz konusuysa, mağdur KVKK kapsamında Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilir.

Hukuki ve Teknik Zorluklar

Failin Tespiti: Dijital Anonimlik ve Yargı Yetkisi Sorunu

Yapay zekâ destekli dolandırıcılık vakalarında en temel zorluklardan biri, fiilin faili olan şahsın tespitidir. Bu tür eylemler genellikle internet altyapısı ve dijital platformlar aracılığıyla gerçekleştirildiğinden, dolandırıcılık eyleminin izi çoğu zaman birçok ülkeye yayılmakta ve fail, farklı yargı yetki alanlarında faaliyet gösterebilmektedir. Bu durum, hem adli iş birliğini hem de ceza soruşturmasının etkinliğini ciddi biçimde sekteye uğratmaktadır.

Nitekim, IP gizleyici (VPN) araçlar, dark web tabanlı iletişim ağları ve anonim dijital cüzdanlar gibi teknolojiler, failin izini sürmeyi güçleştirmektedir. Bu bağlamda, siber suçlara karşı uluslararası ceza adaleti iş birliğinin artırılması, özellikle Interpol ve Europol gibi kurumlarla entegre veri paylaşım mekanizmalarının güçlendirilmesi önem arz etmektedir.

Mevzuatın Güncelliği

Yapay zekâ teknolojisinin gelişim hızı, mevcut hukuk normlarının bu teknolojiye cevap verme kapasitesini büyük ölçüde zorlamaktadır. Hâlihazırdaki Türk mevzuatı, örneğin Türk Ceza Kanunu, KVKK ve Elektronik Haberleşme Kanunu gibi düzenlemeler, yapay zekâ destekli dolandırıcılık vakalarına doğrudan temas etmemekte; bu nedenle birçok olay “mevzuat dışı” kalmakta ya da yargı organları “kıyas yoluyla” hüküm uygulamak zorunda kalmaktadır.

Bu durum, hem hukuki güvenlik ilkesini hem de kanunilik ilkesini zedelemektedir. Belirlilik ve öngörülebilirlikten uzak kalan uygulamalar, mağdurlar açısından yeterli koruma sağlanamamasına, sanık açısından da adil yargılanma hakkının ihlal edilmesine sebebiyet verebilmektedir.

Dolayısıyla, yapay zekâya özgü bir ceza hukuku ve kişisel veri koruma hukuku sistematiğinin oluşturulması, sadece kanun teklifleri düzeyinde kalmamalı, detaylı uygulama yönetmelikleri, sektörel rehberler ve bağlayıcı teknik standartlarla desteklenmelidir. Avrupa Birliği'nin “Yapay Zekâ Tüzüğü” modeli bu bağlamda örnek alınabilir; ancak Türkiye'nin kendi dijital yapısına ve tehdit profiline uygun özgün düzenlemeler geliştirmesi daha yerinde olacaktır.

Adli Makamların Teknik Kapasite Eksikliği

Yapay zekâ destekli dolandırıcılıkların soruşturulması ve kovuşturulması, klasik dolandırıcılık suçlarından farklı olarak ileri düzey teknik bilgi gerektirmektedir. Deepfake analizleri, ses klonlamasının tespiti, sahte belgelerin orijinalliğinin incelenmesi gibi teknik detaylar, uzmanlık alanı dışında kalan savcı ve hâkimler için değerlendirilmesi oldukça güç hususlardır.

Bu noktada, bilirkişi müessesesinin daha yetkin ve bağımsız bir yapıya kavuşturulması, yalnızca adli tıp uzmanları değil, aynı zamanda yapay zekâ mühendislerinden oluşan uzman havuzlarının oluşturulması elzemdir. Ayrıca, adli kolluk ve cumhuriyet savcılarına yönelik olarak yapay zekâ temelli suçlar konusunda özel eğitim programları düzenlenmeli, Yargıtay ve Danıştay gibi yüksek yargı organlarında konuyla ilgili ihtisas daireleri oluşturulmalıdır.

Öneri olarak, Adalet Bakanlığı bünyesinde “Yapay Zekâ ve Dijital Suçlar Dairesi” benzeri bir birim kurulması, hem politika geliştirme hem de vakalara teknik destek sunma açısından yapısal bir adım olacaktır.

Yapay zekâ teknolojisinin yol açtığı yeni suç türleri, klasik ceza ve hukuk sistemlerinin sınırlarını zorlamaktadır. Bu durum, yalnızca mevzuatla değil; çok boyutlu bir hukuk politikasıyla ele alınmalıdır. Ulusal ve uluslararası düzeyde iş birliği, mevzuatın güncellenmesi, teknik kapasitenin artırılması ve uzmanlaşmış yargı sistemi mekanizmaları bu sürecin temel taşlarını oluşturmalıdır.Türkiye’nin bu çerçevede proaktif davranması, hem yatırım ortamının korunması hem de vatandaşlarının dijital haklarının güvence altına alınması açısından stratejik önemdedir.

Sonuç olarak, yapay zekâ destekli dolandırıcılık, yalnızca bireylerin ekonomik güvenliğini tehdit etmekle kalmamakta, aynı zamanda hukuk sistemlerinin normatif sınırlarını da ciddi biçimde zorlamaktadır. Deepfake teknolojileri, sentetik kimlik üretimi ve yapay zekâ temelli sosyal mühendislik saldırıları; geleneksel dolandırıcılık kavramının ötesine geçerek çok daha karmaşık ve tespiti güç suç türlerinin doğmasına neden olmuştur. Türk hukuk sistemi bu yeni tehditlere karşı belirli hükümlerle mücadele etmeye çalışsa da, gerek mevzuatın güncelliği, gerekse uygulayıcıların teknik yeterliliği bakımından önemli açıklar barındırmaktadır.

Bu doğrultuda, Türkiye’nin hem mevzuat altyapısını çağın gerekliliklerine uygun şekilde revize etmesi hem de teknik kapasitesini artıracak yapısal reformlara öncülük etmesi kaçınılmaz bir zorunluluktur. Aksi hâlde, dijital suçlar karşısında bireylerin ve kurumların korunmasız kalması, hukuk devleti ilkesinin zedelenmesine yol açacaktır.

Yapay zekânın sunduğu imkânlarla gelen risklerin bertaraf edilmesi ancak çok yönlü bir strateji, uzmanlaşmış yargı mekanizmaları ve etkin uluslararası iş birliği ile mümkün olacaktır.