Sınır yapay zekâsı artık finans sistemi için sistemik bir siber risk

ESRB, AB otoritelerinden bu alandaki kapasiteyi, uzmanlığı ve stratejik özerkliği artırmalarını istedi. Ayrıca yapay zekâ sağlayıcıları, finans kuruluşları ve denetim otoriteleri arasında koordineli bir yaklaşım çağrısı yaptı .

Üç Avrupa denetim otoritesinden ortak destek

Aynı gün Avrupa Bankacılık Otoritesi (EBA), Avrupa Sigorta ve Mesleki Emeklilik Otoritesi (EIOPA) ile Avrupa Menkul Kıymetler ve Piyasalar Otoritesi (ESMA), birlikte “ESAs” olarak anılan üç Avrupa denetim kurumu, ESRB’nin uyarısını destekleyen ortak bir açıklama yayımladı .

Bu kurumlar, Dijital Operasyonel Dayanıklılık Yasası’nın (DORA) kapsamındaki tüm finans kuruluşlarından siber güvenlik ve bilgi-iletişim teknolojileri risk yönetimi düzenlemelerini sınır yapay zekâsı tehditlerini dikkate alacak şekilde uyarlamalarını istedi. Kapsama bankaların yanı sıra sigorta şirketleri, varlık yöneticileri ve yatırım firmaları da giriyor .

Denetimde ortak ve risk temelli yaklaşım çağrısı

EBA, EIOPA ve ESMA, 31 Temmuz’da yayımladıkları JC 2026 25 sayılı ortak açıklamada sektörler arası, risk temelli ve tutarlı bir denetim yaklaşımı talep etti . Öne çıkan beklentiler şöyle sıralandı:

• Yapay zekâ destekli siber riskler için yönetim kurulu gözetiminin ve üst düzey hesap verebilirliğin güçlendirilmesi,
• Sürekli risk değerlendirmeleri yapılması ve bilgi-iletişim teknolojileri risk çerçevelerinin güncellenmesi,
• Yapay zekânın saldırı sürelerini kısaltmasını dikkate alan hızlı olay müdahale kapasitesinin kurulması,
• Bankacılık, sigortacılık ve sermaye piyasaları arasında eşit rekabet koşullarının korunması .

ECB’den önemli bankaların yöneticilerine doğrudan mektup

ECB Denetim Kurulu Başkanı Claudia Buch, 7 Temmuz’da Tek Denetim Mekanizması (SSM) kapsamında denetlenen “önemli kurumların” üst yöneticilerine mektup gönderdi . Mektuplarda, yapay zekâ destekli siber tehditlere karşı derhal ve proaktif önlemler alınması istendi; her kurumdan somut bir eylem planı hazırlaması talep edildi .

Raporlara göre yaklaşık 110 kredi kuruluşunun kapsamlı planlarını 2026 yılının ekim ayı sonuna kadar sunması bekleniyor . Bu adım, düzenleyicilerin konuyu genel bir politika uyarısından çıkarıp doğrudan kurum bazlı denetim gündemine taşıdığını gösteriyor.

Birleşik Krallık da paralel adımlar attı

Birleşik Krallık’ta İngiltere Merkez Bankası, Finansal Davranış Otoritesi (FCA) ve Hazine, benzer bir takvim içinde kademeli müdahalelerde bulundu.

BoE, FCA ve Hazine’den ortak siber dayanıklılık çağrısı

İngiltere Merkez Bankası, FCA ve Birleşik Krallık Hazine’si 15 Mayıs 2026’da ortak bir açıklama yayımlayarak denetlenen finans kuruluşları ile finansal piyasa altyapılarından sınır yapay zekâsının yol açabileceği tehditlere karşı siber savunmalarını acilen güçlendirmelerini istedi .

Açıklamada firmaların harekete geçmesi beklenen beş alan belirlendi:

1. Yönetişim ve strateji,
2. Güvenlik açıklarının yönetimi,
3. Üçüncü taraf risklerinin yönetimi,
4. Koruma ve savunma,
5. Olaylara müdahale ile kurtarma .

Yetkililer, bu beklentilerin tamamen yeni kurallar anlamına gelmediğini; mevcut operasyonel dayanıklılık düzenlemeleri ve Üst Düzey Yöneticiler ile Sertifikasyon Rejimi’nin zaten firmalara bu riskleri planlama ve azaltma sorumluluğu yüklediğini vurguladı .

İngiltere Merkez Bankası yapay zekâyı sistemik istikrar riski saydı

İngiltere Merkez Bankası’nın Finansal Politika Komitesi, 7 Temmuz’da yayımlanan yarı yıllık Finansal İstikrar Raporu’nda yapay zekâyı iki ayrı kanaldan sistemik risk olarak tanımladı: yapay zekâ bağlantılı piyasalardaki kaldıraç ve yoğunlaşma ile sınır yapay zekâsının büyüttüğü siber tehditler .

Banka Genel Müdür Yardımcısı Sarah Breeden, otonom yapay zekâ ajanları için özel politika önlemlerinin gündeme gelebileceği sinyalini verdi . Reuters’ın aktardığına göre banka, yapay zekânın bankaların siber saldırılara karşı kırılganlığını artırabileceğine de dikkat çekti .

FCA incelemesi: Dolandırıcılık daha ikna edici ve ölçeklenebilir olacak

FCA, 6 Temmuz’da finansal hizmetlerde yapay zekânın geleceğine ilişkin kapsamlı bir inceleme yayımladı. İnceleme, yapay zekânın dolandırıcılığı daha ikna edici, daha geniş ölçekte uygulanabilir ve tespit edilmesi daha zor hâle getireceği sonucuna vardı .

Deepfake’ler, sentetik kimlikler ve kişiselleştirilmiş sosyal mühendislik saldırıları bu riskin başlıca örnekleri arasında gösteriliyor. FCA ayrıca, değişen tehdit ortamını karşılamak için düzenleyici çerçevelerin güncellenmesi gerektiğini belirtti .

Anketler tehdidin boyutu hakkında ne söylüyor?

Düzenleyici kurumlar bu adımları bilgi eksikliği içinde atmadı. 2026’da yayımlanan çeşitli araştırmalar, hem tehditlerin hızını hem de finans sektörünün hazırlık açığını ortaya koyuyor.

• Dünya Ekonomik Forumu – Global Cybersecurity Outlook 2026: Katılımcıların yüzde 87’si yapay zekâ kaynaklı açıkları en hızlı büyüyen siber risk olarak tanımladı. Yapay zekâ araçlarının güvenliğine ilişkin endişe bildirenlerin oranı, 2025’teki yüzde 37’den 2026’da yüzde 64’e yükseldi .
• Gigamon 2026 Hibrit Bulut Güvenliği Araştırması: İhlal yaşayan finans hizmetleri kuruluşlarının yüzde 77’si yapay zekâ bağlantılı bir ihlal bildirdi. Yüzde 54’ü yapay zekâ destekli sosyal mühendislik saldırılarında artış gördüğünü söylerken, yüzde 88’i yapay zekâ tarafından üretilen bir siber saldırıya karşı yeterince hazırlıklı olmadığını belirtti .
• KPMG 2026 Bankacılık Teknolojisi Araştırması: Banka yöneticilerinin yüzde 76’sı son bir yılda siber saldırıların arttığını bildirdi. Bankacılık liderlerinin yüzde 92’si siber risk bütçelerini artırırken, yüzde 84’ü yapay zekânın getirdiği risklere özel yatırımlarını yükseltiyor .
• ProSight 2026 CRO Görünümü Araştırması: Baş Risk Yöneticilerinin yüzde 74’ü teknoloji ve siber riski en önemli risk kategorisi olarak gösterdi. Araştırmaya göre dijitalleşme ve yapay zekâ, saldırganların bankalara ve müşteri hesaplarına ulaşabileceği giriş noktalarını genişletiyor .
• Cloud Security Alliance – State of Cloud and AI for Financial Services 2026: Kuruluşların yüzde 20’si yapay zekâ bağlantılı güvenlik olayı yaşadığını bildirdi. Yüzde 21’i ise böyle bir olay yaşanıp yaşanmadığından emin olmadığını söyledi. Bu sonuç, yapay zekâ güvenliği konusunda ciddi bir görünürlük ve izleme açığına işaret ediyor .
• Darktrace finans sektörü araştırması: Katılımcıların yüzde 92’si, yapay zekâ ajanlarının iş gücü genelinde kullanılmasının güvenlik sonuçlarından endişe duyduğunu belirtti .
• CSI 2026 Bankacılık Öncelikleri Araştırması: Yapay zekâ destekli sosyal mühendislik, üst üste üçüncü yıl finans sektörünün en önemli siber güvenlik tehdidi olarak öne çıktı .

Avrupa dışındaki veriler de benzer bir tablo çiziyor. Hindistan Merkez Bankası’nın (RBI) Haziran 2026 tarihli Finansal İstikrar Raporu, yapay zekâ destekli siber tehditlerin ülkenin finans sektörü için algılanan en önemli siber güvenlik riski olduğunu ortaya koydu . Hindistan DSCI ise istismar penceresinin yaklaşık 745 günden 44 güne gerilediğini, saldırı maliyetlerinin de yüzde 70’ten fazla düştüğünü bildirdi .

Uzmanlar ve sektör gözlemcileri ne öneriyor?

Düzenleyici açıklamalar, sektör kuruluşları ve uzman değerlendirmeleri birkaç ortak öncelikte buluşuyor.

Yönetim kurulu düzeyinde sorumluluk

Sınır yapay zekâsına bağlı siber risk, yalnızca bilgi teknolojileri biriminin operasyonel sorunu olarak görülmemeli. Bu risk, yönetim kurulunun risk iştahına ve bilgi-iletişim teknolojileri yönetişim çerçevesine dahil edilmeli . Üst yönetim seviyesinde açık sorumluluk tanımlanmalı ve yöneticilerin yapay zekâ bağlantılı siber riskleri denetleyebilmesi sağlanmalı .

Temel siber güvenlik uygulamalarını hızlandırmak

Uzmanların önerileri her zaman daha fazla araç satın almaya dayanmıyor. Hızlı yama uygulama, erişim yönetimi, ağ segmentasyonu ve sıfır güven mimarisi gibi temel uygulamaların tutarlı biçimde yürütülmesi kritik önem taşıyor .

Buna ek olarak kuruluşların:

• Gerçek zamanlı ağ görünürlüğüne ve yapay zekâ destekli savunma araçlarına yatırım yapması,
• İhlallerin yayılabileceği alanı sınırlamak için “etki alanı” veya “blast radius” kontrolleri kurması,
• Sınır yapay zekâsı saldırı senaryolarına odaklanan düzenli kırmızı takım ve karşıt testler yürütmesi,
• Üçüncü taraf ve tedarik zinciri bağımlılıklarını yeniden değerlendirmesi öneriliyor .

Düzenleyiciler ve ülkeler arasında koordinasyon

Uluslararası Para Fonu (IMF) ve ESRB’nin de savunduğu yaklaşım, finans düzenleyicilerini, siber güvenlik kurumlarını, yapay zekâ geliştiricilerini ve özel sektörü aynı çerçevede buluşturan “bütün ülke” yaklaşımı .

G7 Siber Uzmanlar Grubu ve Finansal İstikrar Kurulu gibi platformlar üzerinden uluslararası koordinasyonun güçlendirilmesi, kamu kurumlarının yapay zekâ ve siber güvenlik uzmanlığının artırılması da öneriler arasında yer alıyor .

Kural koymaktan uygulamalı denetime geçiş

Birleşik Krallık ve AB’deki gelişmeler, düzenleyicilerin yalnızca genel ilkeler yayımlamak yerine yapay zekâ kaynaklı siber riskleri kurum bazında denetlemeye yöneldiğini gösteriyor .

İstismar penceresinin yaklaşık 745 günden 44 güne inmesi, olay müdahale sürelerinin ve hizmet seviyesi anlaşmalarının yeniden düşünülmesini gerektirebilir . Ayrıca DORA ve Solvency II kapsamındaki mevcut bildirim eşikleri ile sermaye gerekliliklerinin sınır yapay zekâsı riskini yeterince yansıtıp yansıtmadığı da değerlendirilmelidir .

Sonuç: Risk artık geleceğin değil, bugünün konusu

Avrupa ve Birleşik Krallık’taki düzenleyici mesaj giderek netleşiyor: Sınır yapay zekâsı kaynaklı siber risk, uzak bir gelecek senaryosu değil. Saldırıların keşif, istismar ve uygulama aşamalarını makine hızına taşıyabilecek aktif bir tehdit söz konusu.

Finans kuruluşları için uygun yanıt; güçlü yönetişim, temel siber güvenlik disiplininin eksiksiz uygulanması, savunma amaçlı yapay zekâ yatırımları, hızlı olay müdahalesi ve sınır ötesi denetim koordinasyonunun birlikte yürütülmesi anlamına geliyor.