Bankalarda yapay zekâya sıkı denetim: Kontrolden çıkarsa nasıl durdurulacak?

Küresel bankacılık sektöründe yapay zekâ kullanımına yönelik denetimler yeni bir aşamaya geçti. ABD’deki kurumlar, bankaların insan müdahalesi olmadan işlem yapabilen sistemler üzerindeki kontrolünü sorgularken Avrupa’da siber güvenlik hazırlıklarına ilişkin takvim daralıyor. Yeni incelemeler, ödeme sistemlerini etkileyebilecek riskler ve olası kesintilerden sonra hizmetlerin yeniden başlatılması konularını da gündeme getiriyor.

13 Ekim’de ortaya çıkan ayrıntılar, düzenleyici kurumların yalnızca yapay zekânın oluşturabileceği riskleri değerlendirmediğini gösteriyor. Sistemlerin hangi yetkilerle çalıştığı, yaptığı işlemlerin sonradan nasıl incelenebileceği ve tehlike durumunda nasıl devre dışı bırakılabileceği de araştırılıyor.

ABD Merkez Bankası (Fed), Para Birimi Denetleme Ofisi (OCC) ve Federal Mevduat Sigorta Kurumu (FDIC), bankaların gelişmiş yapay zekâ sistemlerini kullanım biçimlerine yönelik incelemelerini derinleştiriyor. Denetimlere yakın kaynakların aktardığı bilgilere göre kurumlar, özellikle kendi başına görev yerine getirebilen yapay zekâ ajanlarının kontrol mekanizmalarına odaklanıyor. Bankalara sistemlerin yetki sınırları, kararların izlenebilirliği, işlemleri kimin onayladığı ve gerektiğinde faaliyetlerin nasıl durdurulacağı soruluyor.

İncelemelerde bankaların Çin’de geliştirilen yapay zekâ teknolojilerinden yararlanıp yararlanmadığı ve siber savunma süreçlerinde bağımsız hareket edebilen yazılımlara ne ölçüde yetki verildiği de ele alınıyor. Ancak bu çalışmalar, ABD’de yeni bir zorunlu kapatma mekanizmasının getirildiği anlamına gelmiyor. Denetleyiciler şu aşamada bilgi topluyor ve bankaların mevcut hazırlıklarını değerlendiriyor.

Bankacılıkta kullanılan yeni nesil yapay zekâ sistemleri yalnızca müşteri sorularını yanıtlamıyor; siber tehditleri belirleyebiliyor, güvenlik açıklarını önceliklendirebiliyor ve belirli koşullarda otomatik müdahalede bulunabiliyor. Bu yazılımların bankaların bilgi işlem altyapısına erişmesi, kendilerine verilen yetkileri aşmaları halinde nasıl müdahale edileceği sorusunu gündeme getiriyor. Denetleyiciler bu nedenle kritik işlemlerde insan onayı bulunup bulunmadığını ve yapay zekâ kararlarının daha sonra incelenmesini sağlayacak kayıt sistemlerini de sorguluyor.

Denetimlerin bir diğer boyutu, bankaların dışarıdan temin ettikleri yapay zekâ hizmetlerine ve teknoloji sağlayıcılarına bağımlılığı. Bankanın kullandığı sistemde ya da hizmet aldığı sağlayıcıda meydana gelebilecek bir güvenlik sorununun temel bankacılık hizmetlerini aksatmaması hedefleniyor. Avrupa’daki incelemelerde de bankaların kullandıkları yapay zekâ sistemlerini ve dış sağlayıcılara bağımlılıklarını belirlemesi; gerektiğinde kritik sistemleri kontrollü şekilde kapatıp yeniden başlatabilmesi önem taşıyor.

Avrupa Merkez Bankası (ECB), yapay zekâ kaynaklı siber tehditlere karşı bankaların hazırlıklarını güçlendirmek için bir takvim belirledi. ECB Denetim Kurulu Başkanı Claudia Buch’un 7 Temmuz 2026’da önemli bankaların üst yöneticilerine gönderdiği resmî mektupta, kapsamlı siber güvenlik eylem planlarının 31 Ekim 2026’ya kadar ilgili denetim ekiplerine iletilmesi istendi. Bankalardan güvenlik açıklarını daha hızlı gidermeleri, tehdit izleme kapasitelerini artırmaları, üçüncü taraf teknoloji sağlayıcılarını denetlemeleri ve kriz sonrasında sistemleri yeniden çalıştırmaya yönelik önlemleri geliştirmeleri talep edildi. Planlarda uygulanacak önlemlerin yanı sıra sorumlu birimlerin, ihtiyaç duyulan kaynakların ve uygulama takviminin de yer alması gerekiyor. ECB planları karşılaştırmalı olarak değerlendirecek ve belirlenen eksikliklerin giderilmesini izleyecek. 31 Ekim 2026, yeni bir yasanın yürürlüğe gireceği tarih değil; mevcut bankacılık denetimi kapsamında planların teslim edilmesi için belirlenen son tarih.

İngiltere’deki denetimlerde ise siber saldırı sonrasında bankaların ne kadar hızlı yeniden faaliyete geçebileceği öne çıkıyor. İngiltere Merkez Bankası gözetimindeki değerlendirmelerde, büyük bankaların mevcut altyapılarından bağımsız çalışabilecek kurtarma sistemleri gündeme geliyor. Ana bilgi işlem altyapısı ciddi zarar görse bile kritik hizmetlerin ayrı ve güvenli sistemler üzerinden yeniden başlatılması amaçlanıyor. Bu bağımsız kurtarma altyapılarının kurulması ve sürekli hazır tutulması yüksek yatırım ve bakım maliyetleri doğurabiliyor. İngiliz yetkililer şu aşamada yeni bir genel zorunluluk açıklamak yerine bankalarla birlikte güvenlik hazırlıklarını geliştirmeye odaklanıyor.

Risk yalnızca yapay zekâ yazılımlarının hata yapmasıyla sınırlı değil. Gelişmiş yapay zekâ araçlarının siber saldırganlar tarafından kullanılması, güvenlik açıklarının daha hızlı bulunmasına ve aynı anda daha fazla kurumun hedef alınmasına imkân verebilir. Böyle bir saldırı bankaların kendi bilgi işlem altyapılarının yanı sıra ortak teknoloji sağlayıcılarını ve ödeme sistemlerini de etkileyebilir. Güvenli yedekler ile bağımsız kurtarma sistemleri yetersiz kalırsa müşterilerin hesaplarına erişememesi, para transferlerinin gecikmesi veya bazı bankacılık hizmetlerinin geçici olarak durması olasılıklar arasında bulunuyor. Bu senaryoların yaşandığına ilişkin genel bir tespit yok; denetimlerin amacı, aksaklıklar ortaya çıkmadan önce bankaların savunma ve kurtarma kapasitesini güçlendirmek. Önümüzdeki dönemin temel sorusu, bankaların yapay zekâdan daha fazla yararlanırken teknolojiyi kontrol etme ve sistemleri güvenli biçimde çalıştırma kapasitesini de aynı hızda geliştirip geliştiremeyeceği.

Kaynak: Haber Merkezi