Finansta yapay zekâ projesini geciktiren şey model değil, hangi kullanımın düzenleme kapsamına girdiğini geç fark etmek. Avrupa Birliği'nin AI Act'i kredi değerliliği değerlendirmesini ve kredi skoru üretmeyi yüksek riskli sayıyor; aynı maddede dolandırıcılık tespiti bunun dışında tutulmuş. Bu tek cümle, aynı modeli kullanan iki özelliği tamamen farklı iki projeye çeviriyor: biri uygunluk dosyası gerektiriyor, diğeri gerektirmiyor.
Bu yazı hukuki görüş değil, ürün ve mühendislik ekipleri için bir kapsam çıkarma kılavuzudur. Atıf yapılan madde numaraları, tarihler ve Resmî Gazete sayıları 25 Eylül 2026'da resmî metinlerden doğrulanmıştır.
Kredi Skorlama Yüksek Riskli, Dolandırıcılık Tespiti Değil
AI Act, 13 Haziran 2024'te kabul edildi ve 12 Temmuz 2024'te Avrupa Birliği Resmî Gazetesi'nde yayımlandı. Yüksek riskli kullanımları Ek III'te sayıyor ve finans tarafındaki iki satır şöyle (bkz. Regulation (EU) 2024/1689, Ek III):
- 5(b): "AI systems intended to be used to evaluate the creditworthiness of natural persons or establish their credit score, with the exception of AI systems used for the purpose of detecting financial fraud"
- 5(c): "AI systems intended to be used for risk assessment and pricing in relation to natural persons in the case of life and health insurance"
İki ayrıntı ürün kararını doğrudan belirliyor. Birincisi, kapsam gerçek kişiyle sınırlı: tüzel kişi kredi değerlendirmesi bu bentte yok. İkincisi, sigorta tarafında yalnızca hayat ve sağlık sigortası sayılmış; kasko veya konut sigortasında fiyatlandırma bu bende girmiyor.
Buradan çıkan mühendislik kuralı şu: aynı özellik motorunu hem skorlama hem dolandırıcılık tespiti için kullanıyorsanız, iki kullanımı tek servis olarak paketlemeyin. Ortak bir servis, düşük riskli kullanımı da yüksek riskli rejimin içine çeker ve ayrıştırmak sonradan çok pahalıya mal olur.
Modele Veri Göndermek, Yurt Dışına Aktarımdır
Türkiye'de finansal veriyi bir dil modeli API'sine göndermek teknik bir tercih değil, KVKK'nın 9'uncu maddesi kapsamında bir aktarım. Bu madde 2024'te baştan yazıldı ve eski dokümanlarla çalışan ekipler yanlış rejimi anlatıyor.
2 Mart 2024 kabul tarihli 7499 sayılı Kanun, 12 Mart 2024 tarihli ve 32487 sayılı Resmî Gazete'de yayımlandı. Kanunun 34'üncü maddesi 6698 sayılı Kanun'un 9'uncu maddesini tamamen değiştirdi: yurt dışına aktarım artık yeterlilik kararı rejimine bağlı, karar Kurul tarafından veriliyor, Resmî Gazete'de yayımlanıyor ve en geç dört yılda bir değerlendiriliyor (bkz. 7499 sayılı Kanun, RG 12.03.2024 / 32487). Aynı kanunun 33'üncü maddesi 6698'in 6'ncı maddesindeki özel nitelikli veri rejimini de yeniden kurdu.
Pratik sonucu üç maddede toplanıyor:
- Hangi alanın modele gittiğini alan bazında yazın. "Müşteri verisi gönderiliyor" bir envanter kaydı değil. TCKN, IBAN, işlem açıklaması ve bakiye ayrı ayrı listelenmeli.
- Prompt'a giren veriyi maskeleyin. Model çağrısından önce çalışan bir maskeleme katmanı, hem aktarım kapsamını daraltıyor hem de log tarafındaki riski düşürüyor.
- Hata izleme aracınızı denetleyin. Bir istisna yakalandığında istek gövdesini olduğu gibi üçüncü tarafa gönderen kurulum, farkında olmadan ikinci bir aktarım kanalı açıyor.
Bankayla Çalışıyorsanız BDDK Yönetmeliği Sizi de Bağlıyor
Bu, fintech ekiplerinin en sık kaçırdığı nokta. Yönetmeliğin muhatabı banka, ama bankanın yükümlülüğü sözleşme yoluyla tedarikçiye iniyor.
Söz konusu metin BDDK'nın "Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği"; 15 Mart 2020 tarihli ve 31069 sayılı Resmî Gazete'de yayımlandı, dayanağı 5411 sayılı Bankacılık Kanunu'nun 93'üncü maddesi ve 1 Temmuz 2020'de yürürlüğe girdi (bkz. RG 15.03.2020 / 31069). Yönetmeliğin 3'üncü maddesi hem "açık bankacılık servisleri" hem de "API" için tanım veriyor.
Teklif aşamasında sorulacak somut soru şu: modeli çalıştıran altyapı, bankanın birincil veya ikincil sistemleri kapsamında sayılan bir faaliyeti mi yürütüyor? Cevap evetse, dış hizmet ve bulut kullanımına ilişkin şartlar sizin mimarinizi de belirliyor ve bu, bölge seçiminden log saklamaya kadar her kalemi etkiliyor.
Sermaye Piyasası Tarafında Eski Tebliğ Artık Yok
Aracı kurum, portföy yönetim şirketi ya da kripto varlık hizmet sağlayıcıyla çalışıyorsanız referans tebliğ değişti. 13 Mart 2025 tarihli ve 32840 sayılı Resmî Gazete'de yayımlanan Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10) yürürlükte; tebliğin 32'nci maddesi 5/1/2018 tarihli VII-128.9 sayılı tebliği yürürlükten kaldırdı (bkz. SPK Tebliği VII-128.10, RG 13.03.2025 / 32840).
Uyum dokümanınız hâlâ VII-128.9'a atıf yapıyorsa güncel değil. Kapsam ve süreklilik başlıklarını içeren ayrıntılı değerlendirmeyi sermaye piyasası yazılımları yazısında ele aldık.
Burası Kırılıyor: Açıklanamayan Ret
Kredi başvurusu reddedilen müşteri "neden" diye soruyor. Modelin çıktısı bir olasılık skoru ve ekip elinde açıklama yok. Bu noktada üç şey aynı anda kırılıyor: müşteri deneyimi, denetim savunması ve modelin kendisini iyileştirme imkânı.
Sorun teknik olarak çözülebilir ama sonradan çözülemez. Karar anındaki girdi vektörünü, model sürümünü ve eşik değerini saklamıyorsanız altı ay önceki bir kararı yeniden üretemezsiniz.
Karar kaydının asgari içeriği:
| Alan | Neden gerekli |
|---|---|
| Model sürümü ve eğitim veri seti kimliği | Kararı yeniden üretmenin tek yolu |
| Girdi özellik vektörü (ham değil, üretilen hâli) | Özellik hesaplama mantığı da değişiyor |
| Skor, eşik ve eşiğin o tarihteki değeri | Eşik değişiklikleri sessizce yapılıyor |
| Nihai kararı veren (model mi, operatör mü) | İnsan gözetimi iddiasının kanıtı |
| Operatörün modeli ezdiği durumlar ve gerekçesi | Gözetimin gerçek olup olmadığını gösteren tek veri |
Son satır en değerlisi ve en çok atlananı. Operatörün modeli hiç ezmediği bir sistemde insan gözetimi kâğıt üzerinde vardır, pratikte yoktur; denetimde bu fark görülüyor.
Hangi Kullanım Hangi Kapıdan Geçiyor
| Kullanım | AI Act Ek III | İlk sorulacak soru |
|---|---|---|
| Bireysel kredi skorlama | 5(b) kapsamında | Karar kaydı ve insan gözetimi kurulu mu? |
| Dolandırıcılık tespiti | 5(b)'de istisna | Skorlamayla aynı servisi mi paylaşıyor? |
| Hayat/sağlık sigortası fiyatlama | 5(c) kapsamında | Gerçek kişi mi fiyatlanıyor? |
| Müşteri hizmetleri asistanı | Sayılmıyor | Hangi veri alanları modele gidiyor? |
| Belge okuma, sözleşme özetleme | Sayılmıyor | Çıktı doğrudan karara mı bağlanıyor? |
| İşlem sınıflandırma, mutabakat | Sayılmıyor | Hatanın maliyeti kimde? |
"Sayılmıyor" sütunu rahatlatıcı görünüyor ama son satırdaki soru duruyor. Mutabakatta yanlış eşleşen bir kayıt, muhasebe kapanışında bulunana kadar görünmez; bu işin algoritma tarafını banka entegrasyonu rehberimizde ele aldık.
Model Seçimi Bir Altyapı Kararıdır
Finansal veriyle çalışırken sağlayıcı seçimini model kalitesi değil, veri sözleşmesi belirliyor. Üç seçenek ve gerçek maliyetleri:
Bulut API'si. En hızlı başlangıç, en kısa geliştirme süresi. Karşılığında her çağrı bir yurt dışı aktarımı ve sözleşme kapsamı sizin denetiminizde değil.
Yurt içi bölge. Bazı sağlayıcılar bölgesel uç noktalar sunuyor. Aktarım sorununu daraltıyor ama ortadan kaldırmıyor; hangi işlemin hangi bölgede yürüdüğünü sözleşmeden okuyun, pazarlama sayfasından değil.
Kendi altyapınızda açık ağırlıklı model. Veri hiç çıkmıyor. Bedeli donanım, operasyon ve model güncelleme yükü. Bu yolun pratiğini kurumsal yerel LLM kurulumu yazısında anlattık.
Efor Bandı
ininia'da yazılım geliştirme 300-400 USD/adam-gün bandında, adam-gün dökümüyle fiyatlanıyor. Finansal bir yapay zekâ özelliğinin teklifinde ayrı satır olarak görmek isteyeceğiniz kalemler:
- Veri envanteri ve alan bazında sınıflandırma (modele giden her alan tek tek)
- Maskeleme ve prompt öncesi temizleme katmanı
- Karar kaydı tablosu ve yeniden üretilebilirlik testi
- İnsan gözetimi arayüzü ve ezme (override) akışı
- Değerlendirme kümesi: gerçek vakalardan üretilmiş, beklenen çıktısı yazılmış
- İzleme: skor dağılımı kayması, ezme oranı, gecikme ve maliyet
Beşinci kalem en çok hafife alınanı. Değerlendirme kümesi olmadan model değişikliğinin iyileştirme mi bozulma mı olduğunu bilemezsiniz ve her sürüm bir kumar hâline gelir. Kendi kapsamınız için bir bant görmek isterseniz proje fiyat hesaplama aracını kullanabilirsiniz.
Sırada Ne Var
Bugün yapılacak iş bir sınıflandırma: planladığınız yapay zekâ özelliklerini listeleyin ve her birini yukarıdaki tabloya oturtun. Ek III'te karşılığı olan her satır, model geliştirme değil uygunluk projesidir ve takvimi ona göre kurulur.
Listenin en üstündeki özellik dolandırıcılık tespitiyse iyi haber: hem istisna kapsamında hem de karar kaydı gereksinimi daha hafif. Oradan başlayın. Finans tarafındaki çalışma biçimimizi finans ve fintech sayfasında, yapay zekâ entegrasyonu yaklaşımımızı yapay zeka entegrasyonları sayfasında anlattık.
AI Act Ek III 5(b) ve 5(c) metinleri Regulation (EU) 2024/1689'dan; 6698 sayılı Kanun'un 9'uncu maddesindeki değişiklik 7499 sayılı Kanun'dan (RG 12.03.2024 / 32487); BDDK yönetmeliğinin tarih, sayı, dayanak ve yürürlük bilgileri RG 15.03.2020 / 31069'dan; SPK VII-128.10 tebliği ve VII-128.9'un yürürlükten kaldırılması RG 13.03.2025 / 32840'tan 25 Eylül 2026 tarihinde doğrulanmıştır. Mevzuat değişir; projeye başlarken güncel metni kontrol edin.
