Yapay Zeka ile Dolandırıcılık: Hukuki Çerçeve ve Korunma Yolları

Kısa özet

Bu yazıda ses klonlama, sahte (deepfake) görüntü ve yapay zeka destekli mesajlarla işlenen dolandırıcılık yöntemleri, Türk hukukundaki ceza ve hukuk sorumluluğu çerçevesi, mağdurların başvurabileceği yollar ve şirketlerin alabileceği önlemler ele alınmaktadır.

Giriş

Yapay zeka araçlarının yaygınlaşmasıyla birlikte dolandırıcılık yöntemleri de değişmektedir. Birkaç saniyelik bir ses kaydından bir kişinin sesini taklit edebilen uygulamalar, gerçek kişilerin yüzünü ve hareketlerini taklit eden sahte videolar ve hatasız bir dille, kişiye özel hazırlanmış oltalama mesajları, dolandırıcıların inandırıcılığını önemli ölçüde artırmaktadır. Bu durum hem bireyleri hem de ödeme süreçleri e-posta veya telefon talimatlarına dayanan şirketleri doğrudan etkilemektedir.

Bu yazıda yapay zeka destekli dolandırıcılık yöntemleri, bu eylemlerin Türk hukukundaki ceza ve hukuk sorumluluğu bakımından değerlendirilmesi, mağdurların başvurabileceği yollar ve şirketlerin alabileceği önlemler ele alınmaktadır. İlgili mevzuat ve diğer kaynaklar kaynakçada gösterilmiştir.[1]

Yapay Zeka Destekli Dolandırıcılık Nasıl Gerçekleşiyor?

Ses klonlama ile yakın taklidi: Sosyal medyada paylaşılan videolardan veya kısa telefon görüşmelerinden elde edilen ses örnekleriyle bir aile üyesinin, arkadaşın veya iş ortağının sesi taklit edilmekte; acil bir durum (kaza, gözaltı, borç ödemesi gibi) anlatılarak para transferi istenmektedir. Ses tanıdık olduğu için mağdurun şüphelenmesi güçleşmektedir.

Yönetici taklidi ve sahte ödeme talimatları: Şirketlerde üst düzey bir yöneticinin sesi veya görüntüsü taklit edilerek, finans çalışanlarından “gizli ve acil” bir işlem için ödeme yapılması istenebilmektedir. Uygulamada “CEO dolandırıcılığı” olarak bilinen bu yöntem, artık yalnızca e-postayla değil, sahte sesli aramalar ve görüntülü toplantılarla da desteklenebilmektedir. Benzer şekilde tedarikçi taklidiyle banka hesap bilgilerinin değiştiğinin bildirilmesi de sık görülen bir yöntemdir.

Sahte yatırım reklamları: Tanınmış kişilerin görüntü ve seslerinin taklit edildiği videolarla, yüksek ve garantili getiri vaat eden yatırım platformlarının tanıtımı yapılmaktadır. Bu tür reklamlar çoğu zaman izinsiz faaliyet gösteren yapılara yönlendirmekte ve mağdurlardan önce küçük, ardından giderek artan tutarlarda para talep edilmektedir.

Kişiselleştirilmiş oltalama ve sahte belgeler: Yapay zeka ile üretilen, dil hatası içermeyen ve kişinin iş veya sosyal çevresine uygun hazırlanan mesajlar, bankacılık ve kurum bilgilerinin ele geçirilmesinde kullanılmaktadır. Sahte kimlik belgeleri, faturalar veya resmî yazılar da aynı araçlarla daha inandırıcı biçimde üretilebilmektedir.

Türk Hukukunda Hukuki Çerçeve

Yapay zekaya özgü bir düzenleme var mı?

Bu yazının hazırlandığı tarih itibarıyla Türkiye’de yapay zekayı bütünüyle düzenleyen, yürürlükte bir çerçeve kanun bulunmamaktadır.[2] Türkiye Büyük Millet Meclisine sunulmuş ve yapay zeka ile üretilen sahte içeriklerin etiketlenmesi, belirli süreler içinde kaldırılması ve sorumluluk esaslarının belirlenmesi gibi düzenlemeler öngören kanun teklifleri bulunmakla birlikte, bu teklifler henüz yasalaşmamıştır ve bağlayıcı değildir.[3] Bu nedenle yapay zeka kullanılarak işlenen eylemler, bugün için mevcut ceza, medeni, borçlar ve kişisel verilerin korunması mevzuatı çerçevesinde değerlendirilmektedir.

Karşılaştırmalı hukukta ise Avrupa Birliği’nin Yapay Zeka Tüzüğü, deepfake niteliğindeki ses ve görüntü içeriklerinin yapay olarak üretildiğinin veya değiştirildiğinin açıklanmasına ilişkin şeffaflık yükümlülükleri öngörmektedir (m. 50). Bu yükümlülükler, kural olarak 2 Ağustos 2026 tarihinden itibaren uygulanmaktadır. Türkiye’de yerleşik şirketler de faaliyetlerinin ve yapay zeka çıktılarının AB ile bağlantısına göre Tüzüğün uygulama kapsamına girebilir.[4]

Ceza hukuku bakımından

Yapay zeka kullanılarak bir kişinin hileli davranışlarla aldatılması ve bu yolla mağdurun veya başkasının zararına, failin kendisine veya başkasına yarar sağlanması, dolandırıcılık suçunu oluşturur (TCK m. 157). Eylemin “bilişim sistemlerinin, banka veya kredi kurumlarının araç olarak kullanılması suretiyle” işlenen nitelikli dolandırıcılık kapsamında değerlendirilmesi, bu araçların hileli davranışın gerçekleştirilmesindeki rolüne bağlıdır (TCK m. 158/1-f). Paranın yalnızca bir banka hesabına gönderilmiş olması, tek başına bu nitelikli halin oluştuğu anlamına gelmez. Bu nitelikli halde hapis cezasının alt sınırı ve adli para cezasının miktarı bakımından kanunda ağırlaştırıcı özel kurallar bulunmaktadır. Failin kendisini kamu görevlisi veya banka çalışanı olarak tanıtması gibi durumlar da ayrıca nitelikli hal olarak düzenlenmiştir (TCK m. 158/1-l).[5]

Yapay zekanın kullanılması, Türk Ceza Kanunu’nda kendi başına ayrı bir suç veya ayrı bir nitelikli hal olarak düzenlenmiş değildir. Ancak eylemin niteliğine göre dolandırıcılığın yanında başka suçlar da gündeme gelebilir: Bir kişinin görüntü veya sesinin izinsiz kullanılması özel hayatın gizliliğini ihlal veya kişisel verilerin hukuka aykırı olarak kaydedilmesi ve yayılması suçlarını (TCK m. 134-136); bir bilişim sistemine izinsiz girilmesi veya verilerin değiştirilmesi bilişim suçlarını (TCK m. 243-244); başkasına ait banka veya kredi kartının kötüye kullanılması ise ayrıca düzenlenmiş suçu (TCK m. 245) oluşturabilir. Sahte belge üretilmesi halinde belgede sahtecilik hükümleri de değerlendirilir.

Kişilik hakları ve kişisel veriler bakımından

Bir kişinin sesi ve görüntüsü, kişilik hakkının korunan unsurları arasındadır. Hukuka aykırı olarak kişilik hakkı saldırıya uğrayan kişi, saldırıya son verilmesini, saldırı tehlikesinin önlenmesini ve sürmekte olan etkilerinin ortadan kaldırılmasını isteyebilir; koşulları varsa maddi ve manevi tazminat da talep edebilir (TMK m. 24-25; TBK m. 49 ve m. 58).

Kimliği belirli veya belirlenebilir bir kişiye ait ses ve görüntü kayıtları kişisel veri niteliğindedir. Ancak her ses veya görüntü kaydı kendiliğinden biyometrik veri sayılmaz; kişinin benzersiz biçimde tanınmasını veya kimliğinin doğrulanmasını sağlayan özel teknik işlemler sonucunda elde edilen biyometrik veriler, özel nitelikli kişisel veriler arasında yer alır (KVKK m. 3 ve m. 6). Bir kişinin ses veya görüntüsünün geçerli bir işleme şartı bulunmadan yapay zeka modellerinde kullanılması, kişisel verilerin hukuka aykırı işlenmesi anlamına gelebilir. İlgili kişi, verilerini işleyen veri sorumlusuna başvurabilir; başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde kanuni süreler içinde Kişisel Verileri Koruma Kuruluna şikayette bulunabilir (KVKK m. 11, m. 13 ve m. 14). İnternet ortamındaki içerikler bakımından platforma bildirim, kişilik haklarının korunmasına yönelik talepler ve koşulları varsa ihtiyati tedbir yolları değerlendirilebilir. 5651 sayılı Kanun kapsamındaki başvuru yolları ise ihlalin niteliğine ve yürürlükteki hükümlere göre ayrıca belirlenmelidir; her kişilik hakkı ihlali, özel hayatın gizliliğinin ihlaliyle aynı başvuru yoluna tabi değildir.

Dolandırıcılığa Uğrayan Kişi Neler Yapabilir?

İlk saatlerde yapılması gerekenler

Para transferi gerçekleşmişse, vakit kaybetmeden ilgili bankaya veya ödeme kuruluşuna başvurularak işlemin dolandırıcılık şüphesi taşıdığı bildirilmeli; işlemin durdurulması, geri çağrılması veya tutarın korunması için uygulanabilecek tedbirler talep edilmelidir. Bu bildirim, tek başına alıcı hesabına bloke konulacağını veya paranın geri alınacağını garanti etmez. Hızlı bildirim, paranın başka hesaplara aktarılmadan önce tespit edilebilmesi bakımından belirleyici olabilir. Bunun yanında internet bankacılığı ve e-posta şifreleri değiştirilmeli, ele geçirildiği düşünülen hesaplara ilişkin güvenlik ayarları gözden geçirilmelidir.

Dolandırıcılıkta kullanılan mesajlar, arama kayıtları, ses dosyaları, videolar, banka dekontları ve yazışmalar silinmeden saklanmalıdır. Ekran görüntülerinin yanı sıra kayıtların orijinal hallerinin, tarih bilgilerinin, ilgili internet adreslerinin ve işlem referanslarının korunması, ileride bilirkişi incelemesi yapılabilmesi bakımından önemlidir.

Ceza şikayeti

Dolandırıcılık eylemleri hakkında Cumhuriyet başsavcılığına veya kolluk birimlerine şikayette bulunulabilir. Nitelikli dolandırıcılık suçunun soruşturulması şikayete bağlı olmamakla birlikte, mağdurun olayları ve delilleri ayrıntılı biçimde bildirmesi, soruşturmanın etkinliği ve paranın izinin sürülmesi bakımından önemlidir. Soruşturma sürecinde paranın aktarıldığı hesaplara ilişkin bilgilerin tespiti, hukuk yoluyla yapılacak talepler için de yol gösterici olabilir.

Hukuki talepler

Mağdur, failin yanı sıra somut olayda sorumluluk veya iade yükümlülüğü doğan diğer kişilere karşı tazminat veya sebepsiz zenginleşme hükümlerine dayalı taleplerde bulunabilir. Paranın aktarıldığı hesap sahibinin belirlenmesi, bu kişinin tek başına tüm zarardan sorumlu olduğu anlamına gelmez. Alacağın niteliği, borçlu ve kanuni koşullar değerlendirilerek alacağın güvence altına alınması için ihtiyati haciz yolu da gündeme gelebilir (İİK m. 257 vd.). Uygulamada dolandırıcılıkta kullanılan hesapların, kendi adına hesap açtırılarak bu hesapları başkalarının kullanımına bırakan kişilere ait olduğu durumlarla karşılaşıldığından, bu kişilerin hukuki sorumluluğu da somut olayın koşullarına göre ayrıca değerlendirilir.

Banka ve ödeme kuruluşları bakımından

Bankaların ve ödeme kuruluşlarının, müşterilerinin hesaplarının güvenliğini sağlama ve olağan dışı işlemleri tespit etme konusunda özen yükümlülükleri bulunmaktadır. Mağdurun aldatılarak kendisinin verdiği ödeme talimatı ile onayı olmadan hesabından gerçekleştirilen işlem birbirinden ayrılmalıdır. Sorumluluğun nasıl paylaşılacağı; işlemin nasıl gerçekleştiğine, kart veya kimlik doğrulama bilgilerinin nasıl ele geçirildiğine, müşterinin bildirim yükümlülüğünü zamanında yerine getirip getirmediğine ve kurumun güvenlik önlemleri ile bildirim sonrasında aldığı tedbirlere göre değişir. Bu konuda banka kartları ve kredi kartları ile ödeme hizmetlerine ilişkin özel mevzuat ve bankaların bilgi sistemlerine ilişkin düzenlemeler dikkate alınmalıdır. Mağdurun tüketici olduğu durumlarda uyuşmazlığın niteliği ve tutarına göre tüketici hakem heyetleri veya tüketici mahkemeleri de başvuru yolları arasında yer alabilir. Bankanın sorumluluğuna ilişkin değerlendirme her olayda farklı sonuç verebileceğinden, kesin bir iade beklentisi oluşturulmamalıdır.[6]

Şirketler İçin Önleyici Tedbirler

Yönetici taklidi ve sahte ödeme talimatlarına karşı en etkili önlemler, teknik olduğu kadar süreçseldir. Belirli bir tutarın üzerindeki ödemeler ile banka hesap bilgisi değişikliklerinde çift onay uygulanması, talimatın geldiği kanaldan bağımsız, önceden kayıtlı bir iletişim kanalı üzerinden geri arama ile doğrulama yapılması, “gizli ve acil” nitelikteki ödeme taleplerinin özel bir inceleme sürecine tabi tutulması ve finans ile satın alma ekiplerine yapay zeka destekli dolandırıcılık yöntemleri hakkında düzenli eğitim verilmesi önerilir.

Şirketlerin ayrıca kişisel verilerin güvenliğine ilişkin teknik ve idari tedbirleri almakla yükümlü olduğu unutulmamalıdır (KVKK m. 12 ). Her dolandırıcılık olayı kendiliğinden bildirime tabi bir kişisel veri ihlali oluşturmaz. İşlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edildiği bir ihlal söz konusuysa, veri sorumlusu ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kuruluna; etkilenen ilgili kişilere ise makul olan en kısa sürede bildirim yapmalıdır. 7545 sayılı Siber Güvenlik Kanunu’nun kapsamı kritik altyapılar ve belirli sektörlerle sınırlı olmadığından, şirketlerin faaliyetlerine uygulanabilecek yükümlülükler ayrıca değerlendirilmelidir. Yöneticilerin kamuya açık ses ve görüntü kayıtlarının paylaşımında dikkatli davranılması ve şirket içi “güvenlik sözcüğü” gibi ek doğrulama yöntemleri de riski azaltabilir. Ancak bu yöntemler, bağımsız kanaldan doğrulama ve çift onayın yerini almamalıdır.[7]

Sık Yapılan Hatalar

Bireyler bakımından en sık görülen hatalar; tanıdık bir sesten veya görüntüden gelen talebin ikinci bir kanaldan doğrulanmadan yerine getirilmesi, dolandırıldığının fark edilmesinden sonra bankaya bildirimin geciktirilmesi, mesaj ve kayıtların silinmesi ve “parayı geri alma” vaadiyle ikinci kez dolandırıcılığa maruz kalınmasıdır. Mağdurlara ulaşarak ücret karşılığında paranın kesin olarak geri alınacağını vaat eden kişi veya platformlara karşı da dikkatli olunmalıdır.

Şirketler bakımından ise ödeme süreçlerinin tek bir çalışanın onayına bırakılması, hesap değişikliği bildirimlerinin yalnızca e-postaya dayanılarak işleme alınması, olay sonrasında kayıtların korunmaması ve olayın şirket içinde saklanarak bankaya ve yetkili makamlara geç bildirilmesi sık rastlanan hatalardır. Varsayımsal bir örnek vermek gerekirse; genel müdürün sesini taklit eden bir aramayla “gizli bir satın alma için acil ödeme” isteyen kişinin talimatı, önceden kayıtlı telefon numarasından geri arama yapılmadan uygulandığında, şirketin hem doğrudan zarara uğraması hem de iç kontrol süreçlerinin yeterliliğinin sorgulanması riski ortaya çıkar.

Sonuç

Yapay zeka, dolandırıcılık eylemlerini daha inandırıcı ve hızlı hale getirmektedir; ancak bu eylemler Türk hukukunda yeni bir hukuki boşluk içinde değildir. Bugün için yapay zekayı bütünüyle düzenleyen yürürlükte bir çerçeve kanun bulunmamakla birlikte, dolandırıcılık, bilişim suçları, kişilik haklarının korunması ve kişisel verilerin korunması hükümleri bu eylemlere uygulanmaktadır. Mağdurlar bakımından hızlı bildirim ve delillerin korunması, şirketler bakımından ise bağımsız doğrulama ve çift onay gibi süreçsel önlemler belirleyicidir. Yapay zekaya ilişkin kanun tekliflerinin yasalaşması halinde bu çerçevenin yeniden değerlendirilmesi gerekecektir. Her somut olayda başvurulabilecek yollar ve sonuçlar, olayın koşullarına göre farklılık gösterebilir.

Sıkça sorulan sorular

Yapay zeka ile dolandırıcılık ayrı bir suç mudur?

Hayır. Türk Ceza Kanunu’nda yapay zeka kullanımına özgü ayrı bir suç tanımı yoktur. Eylemler, niteliğine göre dolandırıcılık, nitelikli dolandırıcılık, bilişim suçları veya kişisel verilere ilişkin suçlar kapsamında değerlendirilir.

Dolandırıcılık sonucu gönderdiğim parayı banka iade etmek zorunda mıdır?

Bu durum; işlemin kim tarafından onaylandığına, bildirimin zamanında yapılıp yapılmadığına ve bankanın güvenlik önlemlerine göre değişir. Her olay ayrıca değerlendirilir; bu nedenle bankaya mümkün olan en kısa sürede bildirim yapılması önemlidir.

Sesimin veya görüntümün sahte bir içerikte kullanıldığını fark ettim; ne yapabilirim?

İçeriğin ve yayıldığı yerlerin kayıt altına alınması, platforma bildirim yapılması ve koşulları varsa kişilik hakkı ihlali, kişisel verilerin korunması ve ceza hukuku yollarına başvurulması değerlendirilebilir.

Kaynakça

[1] Mevzuat: 5237 sayılı Türk Ceza Kanunu, RG 12.10.2004, S. 25611, https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=5237&MevzuatTur=1&MevzuatTertip=5; 6698 sayılı Kişisel Verilerin Korunması Kanunu, RG 07.04.2016, S. 29677, https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5; 4721 sayılı Türk Medeni Kanunu, RG 08.12.2001, S. 24607, https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=4721&MevzuatTur=1&MevzuatTertip=5; 6098 sayılı Türk Borçlar Kanunu, RG 04.02.2011, S. 27836, https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6098&MevzuatTur=1&MevzuatTertip=5; 2004 sayılı İcra ve İflas Kanunu, RG 19.06.1932, S. 2128, https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=2004&MevzuatTur=1&MevzuatTertip=5 (Erişim: [gg.aa.yyyy – yayım öncesi bağlantı kontrolünde eklenecek]).

[2] TBMM, Yapay Zeka Kanun Teklifi, Esas No. 2/2234, Başkanlığa geliş tarihi: 24.06.2024; resmî kayıtta komisyondadır. https://www.tbmm.gov.tr/Yasama/KanunTeklifi/e21539a0-888a-4500-81be-01904a918c53 (Erişim: 26.10.2026).

[3] TBMM, 5651 sayılı Kanunda Değişiklik Yapılmasına Dair Kanun Teklifi, Esas No. 2/3404, Başkanlığa geliş tarihi: 03.12.2025; resmî kayıtta komisyondadır. https://www.tbmm.gov.tr/Yasama/KanunTeklifi/c6d96014-55f7-45fe-a014-019ae46fb0f0 (Erişim: 26.10.2026). Diğer ilgili teklif: Yapay Zekâya İlişkin Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun Teklifi, Esas No. 2/3358.

[4] Regulation (EU) 2024/1689 (Artificial Intelligence Act), m. 2 ve m. 50, https://eur-lex.europa.eu/eli/reg/2024/1689/oj; Avrupa Komisyonu, Article 50 şeffaflık yükümlülüklerine ilişkin açıklamalar, https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act (Erişim: 26.10.2026).

[5] Mevzuat: 5237 sayılı Türk Ceza Kanunu m. 158/1, https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=5237&MevzuatTur=1&MevzuatTertip=5 (Erişim: [gg.aa.yyyy – yayım öncesi bağlantı kontrolünde eklenecek]).

[6] Mevzuat: 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu, https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=5464&MevzuatTur=1&MevzuatTertip=5; 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun, https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6493&MevzuatTur=1&MevzuatTertip=5; Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik (Erişim: [gg.aa.yyyy – yayım öncesi bağlantı kontrolünde eklenecek]).

[7] 7545 sayılı Siber Güvenlik Kanunu, özellikle m. 2; TBMM kabul metni: https://cdn.tbmm.gov.tr/KKBSPublicFile/D28/Y3/KanunMetni/9ac32dc5-35ee-46a8-8c47-7a16ec35d36f.htm (Erişim: 26.10.2026). Kişisel Verileri Koruma Kurulu, 24.01.2019 tarihli ve 2019/10 sayılı Karar; Kurumun veri ihlali bildirimlerine ilişkin kamuoyu duyurusu: https://www.kvkk.gov.tr/Icerik/8595/kamuoyu-duyurusu (Erişim: 26.10.2026). 5651 sayılı Kanun güncel metni: https://mevzuat.adalet.gov.tr/mevzuat/103224?query=5651 (Erişim: 26.10.2026).