Uyum ve denetimde yapay zekâ

PDF sürümünü okuyun (5 sayfa)

İşlem izleme ve finansal suçlar

Uyum (compliance), yapay zekâ için hem en umut verici hem de en hassas alanlardan biridir. Geleneksel işlem izleme sistemleri çok sayıda uyarı üretir ve bunların büyük kısmı manuel incelemeden sonra asılsız çıkar. Makine öğrenmesi modelleri uyarıları gerçek olma olasılıklarına göre sıralayabilir, hesaplar arasındaki örüntüleri tespit edebilir ve haber metinleri gibi yapılandırılmamış bilgileri analiz edebilir. Singapur Para Otoritesi (MAS), bankaların bu tür modelleri kara para aklamayla mücadele sistemlerinde ve dolandırıcılık tespitinde yaygın biçimde kullandığını gözlemledi. Düzenleyici tehlike iki yönlüdür. Gerçek uyarıları bastıran bir model, bankayı H. Kısım’da incelenen kara para aklamayla mücadele kurallarının ihlali riskiyle karşı karşıya bırakır. Sonucunu açıklayamayan bir modeli ise denetim otoritesi ya da mahkeme önünde savunmak güçtür. MAS, düzenleyici riski yapay zekânın başlıca riskleri arasında sayar ve örnek olarak kara para aklamayla mücadeleyi desteklemek için kullanılan bir modelin zayıf performansını gösterir.¹

Bu modellerin dayandığı veriler de değişti. 1 Nisan 2024’ten bu yana altı büyük ticari banka, birden fazla uyarı işareti gösteren müşterilere ilişkin bilgileri COSMIC aracılığıyla paylaşabiliyor. COSMIC, MAS’ın bu bankalarla birlikte 2023 tarihli Finansal Hizmetler ve Piyasalar (Değişiklik) Kanunu (Financial Services and Markets (Amendment) Act 2023) kapsamında başlattığı dijital bir platformdur. İlk aşamada tüzel kişilerin kötüye kullanılmasına, ticaret finansmanının kötüye kullanılmasına ve kitle imha silahlarının yayılmasının finansmanına odaklanır.² Bu tür bir platform, analitik modellerin yararlanabileceği yapılandırılmış sinyallerin kaynağıdır. Platformun hukuki çerçevesi ve kara para aklamayla mücadeledeki önemi H. Kısım’da ele alınmaktadır.

Üçüncü taraf modelleri ve yoğunlaşma

Kuruluşların çoğu üretken modellerini az sayıdaki küresel sağlayıcıdan satın alır. MAS bundan doğan üç risk tespit etti: ön eğitim verilerinden kaynaklanan bilinmeyen önyargılar, veri koruma kaygıları ve pek çok kuruluşun aynı temel modellere bağımlı olmasından doğan yoğunlaşma riski. Bankalar bu risklere telafi edici testler, olağanüstü durum planları ve yenilenmiş sözleşmelerle yanıt verdi. Bu sözleşmeler performans garantileri, veri koruma, denetim hakları ve sağlayıcının mevcut bir hizmete yapay zekâ eklemesi hâlinde bildirim yükümlülüğü öngörür.³

Nihai Rehber ilkeyi netleştirir. Bir kuruluş, üçüncü taraf bir sağlayıcıyı sağlam risk yönetimi uygulamaları benimsemeye zorlayamayabilir. Buna rağmen üçüncü taraf yapay zekânın kendi bünyesinde nasıl kullanıldığından ve bunun müşteriler ile diğer paydaşlar üzerindeki olası etkisinden sorumlu olmaya devam eder.⁴ E.I. Bölüm’de incelenen dış kaynak kullanımı ve teknoloji risk yönetimi kuralları da bunlarla birlikte uygulanır.

Olaylar, izleme ve olağanüstü durum planları

Rehber, yapay zekâ olaylarını temeldeki sistemin veya modelin arızasını, hatalı çalışmasını ya da zayıf performansını içeren olaylar olarak tanımlar. MAS bu olaylar için ayrı bir bildirim rejimi öngörmemeye karar verdi. Kuruluşlar, temel nedeni ne olursa olsun olayları mevcut teknoloji riski ve iş sürekliliği gereklilikleri çerçevesinde bildirmeye devam etmelidir. Risk önemliliği yüksek kullanım durumları için olağanüstü durum planları zorunludur. Pekiştirmeli öğrenme sistemleri gibi kendini otomatik olarak güncelleyen modeller daha sıkı izleme gerektirir, çünkü davranışları işletim sırasında insan müdahalesi olmadan değişebilir.⁵

Ajan tabanlı (agentic) sistemlerde izleme, iş akışları boyunca bilgi akışlarını ve karar yollarını, yani akıl yürütme süreçlerini, gerçekleştirilen eylemleri ve kullanılan araçları kapsamalıdır. Bu sayede kuruluş, ajan zincirleri boyunca tek tek eylemleri yeniden kurgulayabilir ve bir hatanın kaynağını bulabilir. MAS ayrıca araçlara ve sistemlere erişimin kapsamının risk önemliliğinin ek bir boyutu olarak değerlendirilebileceğini önerdi, çünkü geniş yetkilere sahip ajanlar veri ihlali riskini katlayabilir.⁶

Denetim otoritesinin kendi veri kullanımı

MAS, Baş Veri Sorumlusu (Chief Data Officer) makamını oluşturduğundan bu yana kendi çalışmalarında veri analitiğinden yararlanmaktadır. FEAT İlkeleri yayımlandığında bu görevi David Hardoon yürütüyordu. Denetçiler, düzenleyici raporları işlemek, şüpheli işlem bildirimlerini taramak ve piyasa istismarı örüntülerini tespit etmek için analitik araçlar kullanır.⁷ Denetim ilişkisinin kendisi bu araçlarla değişmez. Araçlar, denetim otoritesinin dikkat gerektiren kuruluşları ve işlemleri seçmesine yardımcı olur. Değerlendirme ise E.I. Bölüm’de açıklanan kanunlar çerçevesinde insan tarafından verilen bir yargı olarak kalır.

Notlar

1. MAS, Information Paper, Aralık 2024, para. 2.1: karar ağacı tabanlı makine öğrenmesi modelleri “commonly used in anti-money laundering (AML) systems to detect suspicious transactions, and in fraud detection systems” – MAS, Information Paper, Aralık 2024, para. 2.2: “Regulatory risks, e.g., poor performance of AI used to support AML efforts could lead to non-compliance with regulations.” ↩
2. MAS, “COSMIC” (mas.gov.sg, Erişim tarihi: Kasım 2026): 1 Nisan 2024’te başlatıldı; katılımcılar DBS, OCBC, UOB, SCB, Citibank ve HSBC; hukuki dayanak Financial Services and Markets (Amendment) Act 2023 ve Financial Services and Markets (Information Sharing Scheme for Prescribed Financial Institutions) Regulations 2024; üç risk alanı. ↩
3. MAS, Information Paper, Aralık 2024, para. 7.2.1: üçüncü taraf yapay zekâdan kaynaklanan riskler arasında “unknown biases from pre-training data, data protection concerns, as well as concentration risks due to increased interdependencies” bulunur – MAS, Information Paper, Aralık 2024, para. 7.2.2(a)–(d): telafi edici testler, olağanüstü durum planlaması, “performance guarantees, data protection, the right to audit, and notification when AI is introduced” konularında hükümler içeren hukuki sözleşmeler ve farkındalık çalışmaları. ↩
4. MAS, Response to Feedback, 7 Ekim 2026, para. 9.3–9.4: finansal kuruluş “remains accountable for how third-party AI is used within its organisation”; “the onus is on the FI to ensure that risks arising from its use of third-party AI are appropriately managed”. ↩
5. MAS, Response to Feedback, 7 Ekim 2026, para. 10.69: “AI incidents” tanımı; “MAS does not intend to introduce AI-specific incident reporting requirements at this juncture” – MAS, Response to Feedback, 7 Ekim 2026, para. 10.67 ve 10.70. ↩
6. MAS, Response to Feedback, 7 Ekim 2026, para. 12.8 – MAS, Response to Feedback, 7 Ekim 2026, para. 7.7: finansal kuruluş, “the extent of access to tools and systems granted as an additional dimension for AI risk materiality assessments of agentic AI” hususunu dikkate alabilir. ↩
7. MAS’ın denetimde ve şüpheli işlem bildirimlerinin analizinde veri analitiği ile makine öğrenmesini kullanımı için bkz. 2018/19’dan itibaren MAS yıllık raporları ve MAS yetkililerinin denetim teknolojisi (supervisory technology) üzerine konuşmaları. ↩

Yalnızca genel bilgi amaçlıdır. Bu makale hukuki veya vergisel danışmanlık niteliği taşımaz, somut bir olaya ilişkin danışmanlığın yerini tutmaz ve avukat-müvekkil ilişkisi kurmaz. Makale, Ekim 2026 itibarıyla hukuki durumu yansıtır.