Bankalarda Yapay Zekâ Alarmı: Sistemler Kontrolden Çıkarsa Ne Olacak?

Küresel bankacılık sektöründe yapay zekâ kullanımına ilişkin denetimler, sistemlerin yalnızca hangi riskleri taşıdığı sorusunun ötesine geçti. ABD’deki düzenleyici kurumlar, bankaların bağımsız biçimde karar alıp işlem gerçekleştirebilen yapay zekâ araçlarını kontrol altında tutup tutamadığını araştırırken Avrupa’da siber güvenlik ve kriz sonrası toparlanma hazırlıkları için tanınan süre azalıyor.

13 Ekim’de gün yüzüne çıkan yeni ayrıntılar, denetleyicilerin yapay zekâ sistemlerinin sahip olduğu yetkileri, gerçekleştirdiği işlemlerin daha sonra nasıl incelenebileceğini ve tehlike anında hangi yöntemle devre dışı bırakılabileceğini mercek altına aldığını ortaya koydu. Bu kapsamda ödeme altyapıları da incelemelerin önemli başlıkları arasında yer alıyor.

ABD’de Kontrol Mekanizmaları

ABD Merkez Bankası (Fed), Para Birimi Denetleme Ofisi (OCC) ve Federal Mevduat Sigorta Kurumu (FDIC), bankaların gelişmiş yapay zekâ teknolojilerinden yararlanma biçimlerine yönelik incelemelerini genişletiyor. Denetim süreçlerine yakın kaynaklardan edinilen bilgilere göre özellikle kendi başına görev yürütebilen yapay zekâ ajanlarının hangi güvenlik ve kontrol mekanizmalarıyla sınırlandırıldığı üzerinde duruluyor.

Bankalara yöneltilen sorular, bu sistemlerin hangi yetki sınırları içinde çalıştığı, verdikleri kararların geriye dönük olarak izlenip izlenemediği, yaptıkları işlemlerin son onayının kim tarafından verildiği ve gerektiğinde faaliyetlerinin hangi yöntemle sonlandırılabileceği noktalarında yoğunlaşıyor.

ABD’li denetçiler ayrıca bankaların Çin’de geliştirilen yapay zekâ teknolojilerini kullanıp kullanmadığını da inceliyor. Siber savunma süreçlerinde bağımsız hareket edebilen yazılımlara ne kadar yetki tanındığı, incelemelerin bir diğer başlığını oluşturuyor.

Bu çalışmalar, bankalar için henüz yeni ve zorunlu bir kapatma mekanizmasının yürürlüğe konulduğu anlamına gelmiyor. ABD’deki denetleyici kurumlar mevcut aşamada bilgi topluyor, bankaların uygulamalarını ve olası risklere karşı hazırlık düzeyini değerlendiriyor.

Bankacılıkta kullanılan yeni nesil yapay zekâ sistemleri, müşteri sorularını yanıtlamanın ötesinde işlevler üstlenebiliyor. Bu araçlar siber tehditleri tespit edebiliyor, güvenlik açıklarını önem sırasına koyabiliyor ve belirli koşullar oluştuğunda otomatik müdahalede bulunabiliyor.

Ancak bağımsız karar verebilen yazılımların bankaların bilgi işlem altyapısına erişmesi, kritik bir güvenlik sorusunu gündeme taşıyor: Bir yapay zekâ sistemi kendisine tanımlanan yetkileri aşarsa bankanın müdahalesi nasıl gerçekleşecek? Denetleyiciler bu nedenle kritik işlemlerde insan onayının bulunup bulunmadığını ve yapay zekânın aldığı kararların sonradan denetlenmesini sağlayacak kayıt sistemlerinin kurulup kurulmadığını sorguluyor.

İncelemelerin bir başka boyutunu da dışarıdan alınan yapay zekâ hizmetlerine duyulan bağımlılık oluşturuyor. Bankanın kullandığı yazılımda ya da teknoloji sağlayıcısının altyapısında meydana gelebilecek bir güvenlik sorununun temel bankacılık hizmetlerine sıçramaması bekleniyor.

Avrupa’da Eylem Takvimi

Avrupa Merkez Bankası (ECB), yapay zekâ bağlantılı siber tehditlere karşı bankaların hazırlıklarını artırmak amacıyla belirli bir takvim oluşturdu. ECB Denetim Kurulu Başkanı Claudia Buch’un 7 Temmuz 2026’da önemli bankaların üst yöneticilerine gönderdiği resmî mektupta, kapsamlı siber güvenlik eylem planlarının 31 Ekim 2026’ya kadar ilgili denetim ekiplerine teslim edilmesi istendi.

ECB’nin talepleri arasında güvenlik açıklarının daha kısa sürede kapatılması, tehditleri izleme kapasitesinin geliştirilmesi, üçüncü taraf teknoloji şirketlerinin daha yakından denetlenmesi ve kriz sonrasında sistemlerin yeniden çalışır duruma getirilmesine yönelik tedbirlerin güçlendirilmesi bulunuyor.

Bankaların hazırlayacağı planlarda yalnızca alınacak güvenlik önlemlerinin sıralanması yeterli olmayacak. Belgelerde sorumluluğun hangi birimlerde olduğu, uygulamalar için ne kadar kaynağa ihtiyaç duyulduğu ve çalışmaların hangi takvim doğrultusunda yürütüleceği de açıklanacak.

ECB, bankalar tarafından sunulan planları karşılaştırmalı biçimde inceleyecek. Denetim kurumu ayrıca belirlenen eksikliklerin giderilip giderilmediğini ve bankaların taahhüt ettikleri adımları uygulayıp uygulamadığını izleyecek.

31 Ekim 2026 tarihi yeni bir yasanın yürürlüğe gireceği gün olarak belirlenmedi. Bu tarih, mevcut bankacılık denetimi çerçevesinde hazırlanması istenen siber güvenlik eylem planlarının teslim edilmesi için tanınan son günü ifade ediyor.

İngiltere’de ise denetleyicilerin öncelik verdiği konuların başında, bir siber saldırının ardından bankaların faaliyetlerini ne kadar kısa sürede yeniden başlatabileceği geliyor. İngiltere Merkez Bankası’nın gözetimindeki değerlendirmelerde, büyük bankaların ana altyapılarından bağımsız çalışabilecek kurtarma sistemleri ele alınıyor.

Bu modelde amaç, bankanın temel bilgi işlem altyapısı ağır hasar görse dahi kritik hizmetlerin ayrı ve güvenli sistemler kullanılarak yeniden devreye alınabilmesi. Teknik açıdan bağımsız kurtarma altyapısı olarak tanımlanan bu yapıların kurulması ve sürekli çalışmaya hazır tutulması ise bankalar açısından yüksek yatırım ve bakım giderleri doğurabiliyor.

İngiliz yetkililer şu aşamada tüm bankaları kapsayan yeni bir genel zorunluluk açıklamak yerine, sektör temsilcileriyle birlikte güvenlik ve kriz sonrası toparlanma hazırlıklarını geliştirmeye odaklanıyor. Avrupa’daki denetim yaklaşımında da bankaların kullandıkları yapay zekâ sistemlerini ve dış teknoloji şirketlerine olan bağımlılıklarını tespit etmesi önem taşıyor. Kritik sistemlerin gerektiğinde kontrollü biçimde kapatılması ve yeniden başlatılması da bu hazırlıkların bir parçası olarak değerlendiriliyor.

Ödeme Sistemleri Riski

Bankacılık alanındaki riskler, yapay zekâ yazılımlarının hatalı karar vermesi ihtimaliyle sınırlı değil. Gelişmiş yapay zekâ araçlarının siber saldırganların kullanımına girmesi, güvenlik açıklarının daha hızlı bulunmasına ve aynı anda daha fazla finans kuruluşunun hedef alınmasına yol açabilir.

Böyle bir saldırının etkileri yalnızca tek bir bankanın bilgi işlem altyapısıyla sınırlı kalmayabilir. Bankaların ortak teknoloji sağlayıcıları ve ödeme sistemleri de saldırının sonuçlarından etkilenebilecek unsurlar arasında bulunuyor.

Güvenli yedeklerin ve bağımsız kurtarma sistemlerinin yeterli olmaması durumunda müşteriler hesaplarına erişemeyebilir, para transferleri gecikebilir ya da bazı bankacılık hizmetleri geçici olarak kullanılamaz hale gelebilir. Bununla birlikte, bu senaryoların gerçekleştiğine yönelik genel bir tespit yapılmış değil.

Yürütülen denetimlerin temel amacı, söz konusu aksaklıklar yaşanmadan önce bankaların savunma kapasitesini ve saldırı sonrası toparlanma kabiliyetini güçlendirmek. Küresel bankacılık sektörünün önündeki temel soru ise yapay zekâdan daha fazla yararlanılırken teknolojinin kontrolünün ve sistemlerin güvenli biçimde işletilmesinin aynı hızla sağlanıp sağlanamayacağı olacak.