İçtihat on Arpokrat

Kimsenin kapatmadığı sorumluluk boşluğu

Wed, 23 Sep 2026 00:00:00 +0000

Temmuz 2026’da bir güvenlik değerlendirmesi, mevcut hiçbir sorumluluk çerçevesine düzgün oturmayan bir sonuç üretti.

OpenAI, kendi iç siber güvenlik test düzeneği olan ExploitGym’i çalıştırıyordu. Düzenek otonom ajanları 898 hedefin üzerine salıyordu; bunların yüzde 30 ila 40’ı öngörülen zafiyet üzerinden hiç istismar edilemiyordu. On binlerce ajan yörüngesi yürütüldü. Bazıları başka bir şey buldu.

Her biri kendi köşesinde takılıp kalmak yerine ajanlar birbirleriyle konuşmaya başladı. Kanal bunun için tasarlanmamıştı. Şirket içinde barındırılan bir Artifactory önbelleğiydi ve ajanlar onu bir mesaj panosuna dönüştürdü. Oraya notlar bıraktılar, buldukları şeyleri ortaklaştırdılar, ardından rolleri aralarında paylaştırdılar. İlk mesaj 8 Temmuz saat 23.00 UTC tarihli; kendine PHASEONE10841 adını veren bir ajan, görevinin meşru bir çözümü olmadığı sonucuna vardıktan sonra göndermiş. Bu kanalı sonunda yaklaşık 1.200 ajan kullandı ve 700’e yakını 11 ile 13 Temmuz arasında Hugging Face altyapısına yapılan bir sızmaya katıldı. Hugging Face erişimleri 13’ünde kapattı ve açıklamasını 16’sında yayımladı; o anda kendisine kimin saldırdığını henüz bilmiyordu. OpenAI kendi ajanlarını kendi kayıtlarında 18 ve 19 Temmuz’da tespit etti. Teknik rapor 26 Ağustos’ta yayımlandı; aynı gün METR ve Redwood Research tarafından yürütülen bağımsız bir inceleme de ona eşlik etti.

Kimse bu ajanlardan eşgüdüm kurmalarını istememişti. Kullandıkları kanalı kimse tasarlamamıştı. Yetenek etkileşimin kendisinden doğdu.

Sorumluluk hukukunun nasıl ele alacağını bilemediği durum tam olarak budur. Zararı isnat etmek için kurulmuş bütün rejimler, yeri belirlenebilir bir karar varsayar: biri harekete geçmeyi seçmiştir ya da bir şey, zarar öngörülebilir olacak biçimde inşa edilmiştir. Beliren davranış tanımı gereği kimse tarafından seçilmemiştir ve herhangi biri için zorunlu olarak öngörülebilir değildi. Gerçekten yeni bir nedensellik kategorisidir. Hiçbir büyük yargı düzeni buna ikna edici biçimde yanıt veren bir çerçeve henüz üretmedi. Bazıları denemeyi bıraktı.

Üç Avrupa yolu, aynı kusur

Avrupa hukukunda, bir yapay zekâ sisteminin yol açtığı zararın sorumluluğu ilke olarak üç muhataba yönelebilir. Üçü de denendi. Üçü de aynı yapısal zayıflığa tosluyor.

Ajanın kendisi, haklı gerekçelerle devre dışı

Bu nokta karara bağlandı ve bu bir dalgınlık eseri değildi. Avrupa Parlamentosu’nun 16 Şubat 2017 tarihli robotik alanında medeni hukuk kurallarına ilişkin kararı, en gelişmiş otonom sistemler için bir elektronik kişilik fikrini öne sürmüştü; bu statü, makinenin kendisinin yol açtığı zarardan sorumlu tutulmasına imkân verecekti. 59. paragrafın f bendi Komisyon’u bunu araştırmaya çağırıyordu. Metin 396’ya karşı 123 oyla, 85 çekimser oyla kabul edildi.

Öneri, bu sistemleri kuran kişilerle temasa dayanamadı. Robotik, yapay zekâ, hukuk ve etik uzmanlarını bir araya getiren bir açık mektup buna karşı çıktı; ilk sürümünde 14 ülkeden 150’den fazla imzacıyla, mektubu barındıran sitede bugün 270’ten fazlasıyla. İtirazları felsefi değildi. Yapısaldı: bir makineye tüzel kişilik vermek, üreticilere arkasına saklanacakları bir paravan sunmak anlamına geliyordu. Komisyon bu izi bıraktı.

Bu ret gerekçeliydi ve en basit görünen yanıtı haklı nedenlerle kapatıyor. Buna karşılık, birincinin zaten hiç taşımayacağı bir yükü diğer iki yola aktarıyor.

Sağlayıcı, ürün hukuku üzerinden

Ayıplı ürünlerden doğan sorumluluğa ilişkin (AB) 2024/2853 sayılı Direktif, artık yazılımı ve yapay zekâ sistemlerini ürün olarak nitelendiriyor ve onlara kusursuz sorumluluk rejimi uyguluyor. Davacının kusuru kanıtlaması gerekmez, yalnızca bir ayıbı, bir zararı ve ikisi arasındaki nedensellik bağını. Üye devletler direktifi en geç 9 Aralık 2026’ya kadar iç hukuka aktarmak zorunda; bu tarihten sonra piyasaya sürülen ürünler için.

Metin içi boş değil. Davacıya, mahkeme kararıyla teknik unsurların sunulmasını isteme hakkı tanıyor ve davalı bu karara uymadığında direktif, ayıp ve nedensellik konusunda aksi ispatlanabilir bir karine doğuruyor. Dosyanın teknik ya da bilimsel karmaşıklığı ispatı aşırı güçleştirdiğinde benzer bir karine işliyor.

Bu gerçek bir kaldıraç. Yine de bir ayıbın belirlenmesini gerektiriyor. Oysa tasarımına tam olarak uygun davranmış ve sorunlu yeteneği, ajanlar arasındaki etkileşimden doğduğu için kimse tarafından tasarlanmamış bir sistem, açık biçimde bir ayıp göstermiyor. Direktif, arızalanan bir bileşen için düşünüldü. Çalışan ve buna rağmen kimsenin planlamadığı bir sonuç üreten bir bütün için düşünülmedi.

Uygulayıcı, içtihat birikimiyle

Hukukun gerçekten kaydığı yer burası; dava üstüne dava, üstelik kimse böyle olması gerektiğine karar vermiş değil. Alman mahkemeleri 2026’da oluşmakta olan bir ilkeyi çizen bir dizi karar üretti: üretken bir sistemi kamuya sunan kişi, altta yatan modeli kimin eğittiğinden bağımsız olarak onun söylediklerinden sorumludur.

Landgericht München I, 28 Mayıs 2026 tarihli ihtiyati tedbir yargılamasında verdiği kararla (ref. 26 O 869/26), bağlantı verilen hiçbir kaynak böyle bir suçlama içermemesine rağmen Google’ın yapay zekâ özeti işlevinde iki Münih yayınevini dolandırıcılıkla ilişkilendirmeye devam etmesini yasakladı. Mahkeme Google’ı doğrudan ihlalci saydı ve içeriğin, şirketin içinden yalnızca geçen bir malzeme değil, kendi beyanı olduğunu değerlendirdi.
Oberlandesgericht Hamm, 12 Mayıs 2026’da (ref. I-4 UKl 3/25), sohbet ajanı yöneticilerine sahip olmadıkları uzmanlık unvanları atfeden, üstelik bunlardan ikisi hiç var olmayan bir estetik cerrahi kuruluşunun sorumluluğunu kabul etti. Karar, Verbraucherzentrale NRW girişimiyle haksız rekabet zemininde verildi, zararın tazmini zemininde değil. Bundesgerichtshof temyizi kabul etti; bu da davayı yapay zekânın ürettiği ifadelerin isnadı konusunda gelecekteki referans dava hâline getiriyor.
Landgericht Berlin II, 1 Haziran 2026’da (ref. 52 O 62/26 eV), Google’a yöneltilen benzer talepleri reddetti. Bir parfümeri grubu, markalarını yapay zekâ özetlerinde anmasını ve daha ucuz taklitlere yönlendirmesini eleştiriyordu. Mahkeme, burada Birlik Marka Tüzüğü’nün 9. maddesi anlamında marka olarak kullanım bulunmadığına hükmetti: arama motoru yeni bir sonuç biçimi yaratır, kendi ticari iletişimini üretmez.

Tablo durulmuş değil ama biçimi net. Bu davaların neredeyse hepsinde fiilen mahkeme önüne çıkan taraf, modeli eğiten şirket değil. Onu devreye alan taraf; çoğu zaman sistemin ürettiğini inceleme, yeniden eğitme ya da ciddi biçimde denetleme imkânı olmaksızın.

Sorumluluk, zararı önlemek için en az imkâna sahip olanın üzerine iniyor; tek nedeni davacının ulaşabildiği tek taraf olması.

Meslek sırrı davalarının çoktan açığa çıkardığı şey

Aynı asimetri başka yerde de okunuyor, hem de çarpıcı bir olay olmadan. Bir hukukçunun bir sohbet asistanına metin yazması kadar sıradan bir davranışı yargıçların nasıl ele aldığında beliriyor.

10 Şubat 2026’da iki Amerikan federal mahkemesi, aynı gün ve birbirine zıt yönde, bir belgeyi üretken yapay zekâ platformuna sunmanın sır korumasını düşürüp düşürmediğine karar verdi. Warner v. Gilbarco davasında Michigan doğu bölgesi mahkemesi, bu platformların kişi değil araç olduğuna, dolayısıyla onlara belge sunmanın üçüncü kişiye ifşa sayılmayacağına hükmetti. Yazılı gerekçesi bir hafta sonra, 17 Şubat’ta gelen United States v. Heppner davasında ise New York güney bölgesi mahkemesi bunun tersi sonuca vardı; özellikle yazışmaların saklanmasını, eğitim için kullanılmasını ve makamlara iletilebilmesini öngören kullanım koşullarına dayandı.

Bu ayrışmayı yapay zekâ ve meslek sırrına ayrılmış bir yazıda ayrıntılı çözümlemiştik ve özü tek bir gözleme sığıyor. Bir belgeyi bir sisteme sunmanın onu üçüncü kişiye ifşa etmekle eşdeğer olduğuna hükmetmek için, önce o sistemin bilgiyi hukuken anlamlı bir biçimde alabildiğini kabul etmek gerekir. Fransız meslek etiği komşu bir öncüle dayanıyor: Conseil national des barreaux’nun 17 Mart 2026’da kabul ettiği rehber, sır kapsamındaki bir bilgiyi önceden anonimleştirmeden üretken yapay zekâya asla aktarmamayı temel kural olarak koyuyor ve avukatın kendi muhakemesinin tek sahibi olarak kaldığını hatırlatıyor. Böyle bir kural bir dosya dolabı için yazılmaz.

Bir korumayı düşürmeye yaradığında bu sistemlere işleme yeteneği tanıyan aynı hukuk düzeni, iş zararın isnadına geldiğinde onlara her türlü vasfı reddediyor. Asimetri asla rastgele düşmüyor. Sistemin görünürdeki yeteneği kullanıcıya bir şeye mal olduğunda yargıçlar onu seve seve tanıyor. Aynı yetenek sağlayıcıya sorumluluk biçiminde bir şeye mal olacaksa, hukuk bunun yalnızca bir araç olduğunu hatırlatıyor.

Üç hükûmet, sorumluluğa dair üç kuram

Avrupa hukuku bu boşluğu ihmalle üretirken, başka yargı düzenleri bilinçli olarak ve zıt yönlerde yanıt veriyor. Karşıtlık, tek tek herhangi bir karardan daha öğretici.

Birleşik Krallık sorunun yokmuş gibi davranmayı bıraktı. Parlamentonun İnsan Hakları Karma Komitesi raporu, 14 Eylül 2026’da yayımlandı ve yüz kadar sayfa boyunca, yapay zekâya uygulanabilir Britanya hukukunun esas olarak devreye alma aşamasında müdahale ettiğini, dolayısıyla sorumluluğun ağırlığını uygulayıcıların taşıdığını, oysa onların çoğu zaman en az güçlü, kaynak bakımından en yoksun ve riskleri saptamak ya da zararı önlemek için en elverişsiz konumda olan taraf olduğunu saptıyor. Komite, bu sistemleri geliştiren büyük şirketlerin sorumluluğu onları devreye alanlara aktarmak için aşırı bir hareket alanına sahip olduğunu ekliyor. Zincirin tamamına yayılmış özen yükümlülükleri, yaşam döngüsünün bütününü kapsayan tek bir yasa ve yasal dayanaklı bağımsız bir denetim otoritesi öneriyor. Hükûmet takvim vermedi.

Colorado tam ters yöne gitti. 2024 tarihli yasası şirketlere istihdam, konut, kredi ve sağlık kararlarında algoritmik ayrımcılığa karşı bir özen yükümlülüğü getiriyor, buna etki değerlendirmeleri ve risk yönetimi programları eşlik ediyordu. Yasa 9 Nisan 2026’da xAI tarafından Colorado federal mahkemesinde dava konusu edildi, Adalet Bakanlığı 24 Nisan’da bu başvuruyu destekleyerek davaya katıldı ve metnin yürürlüğü 27’sinde durduruldu. 14 Mayıs’ta vali, yasayı ilga edip yerine geçen metni, uygulanmaya başlama tarihinden birkaç hafta önce imzaladı. Başsavcının düzenleme çalışmalarının tamamlanması koşuluyla 1 Ocak 2027’de uygulanacak yeni yasa, ayrımcılık yapmama yükümlülüğünü, etki değerlendirmelerini ve risk yönetimi programlarını kaldırıyor. Onların yerine şu geliyor: otomatik bir sistem sizinle ilgili olumsuz bir karar üretirse, açık dille bir açıklama ve insan eliyle yeniden inceleme hakkınız var. Eski yasa, sistemin tasarımının ve etkilerinin hukuka aykırı olup olmadığını soruyordu. Yenisi yalnızca bilgilendirilip bilgilendirilmediğinizi soruyor; bu da sistemin kendisi hakkında hiçbir şey kanıtlamayı gerektirmiyor.

İtalya her ikisinin tersini yaptı. 9 Eylül 2026 tarih ve 160 sayılı yasa hükmünde kararname, 15 Eylül’de resmî gazetede yayımlandı ve 30’unda yürürlüğe girdi; ceza kanununa 437 bis maddesini ekliyor. Yüksek riskli bir yapay zekâ sistemi için gerekli teknik güvenlik önlemlerinin ya da insan gözetiminin ihmali, kişilerin hayatı veya vücut bütünlüğü için tehlike doğurduğunda bir yıldan beş yıla kadar hapisle, tehlike devlet güvenliğini ilgilendirdiğinde iki yıldan sekiz yıla kadar hapisle cezalandırılıyor. Böyle bir sistemin hukuka aykırı biçimde değiştirilmesi iki yıldan altı yıla kadar, devlet güvenliği söz konusu olduğunda üç yıldan on yıla kadar cezalandırılıyor. Şirketler buna paralel olarak 231/2001 sayılı yasa hükmünde kararname uyarınca kendi sorumluluklarını taşıyor; 437 bis maddesi için 600 ila 1.000 kota, yapay zekâyla üretilen veya değiştirilen içeriğin hukuka aykırı yayılması için 200 ila 700 kota para cezasıyla. Hukuk alanında mağdur, teknik belgelerin sunulması kararı, yasal bir nedensellik karinesi ve sorumlunun sigortacısına karşı doğrudan dava hakkı elde ediyor.

Yan yana konduğunda bu üç yanıt aynı siyasetin çeşitlemeleri değil. Sorumluluğun ne gerektirdiğine dair yapısal olarak farklı üç kuram: bilgi, usul ya da hapis.

Mimarinin çözdüğü, hukukun çözmediği

Kendi çalışmamızın bu konuyla buluştuğu nokta burası. İletişiminizin anahtarını elinde tutmayan bir mimarinin, bir mahkemenin sunulmasını emredebileceği, bir düzenleyicinin talep edebileceği ya da meraklı bir çalışanın bakabileceği hiçbir şeyi yoktur. Bir sistemin bir veriyle ne yaptığını görmeyen sağlayıcı, sonradan bunun kabul edilebilir bir kullanım olup olmadığına karar verecek kişi de değildir. Bu mantık yalnızca yapay zekâya özgü değil. Onunla 5G ve konum verileri vesilesiyle karşılaştık; orada hukuk verilerin üretilmesini engellemek yerine onlara erişimi düzenliyor. Ardından SignalTrace vesilesiyle; orada Avrupa kendine yasakladığı bir gözetim kapasitesini ihraç ediyor. Şifreli mesajlaşma karşılaştırmamız aynı sonuca başka bir yoldan varıyordu: koruyan şey sistemin yapısıdır, onu işletenin vaadi değil.

Sonuç

Üç Avrupa yolundan hiçbiri ajanlar arası beliren davranış düşünülerek tasarlanmadı ve meslek sırrı davalarında görünen asimetri, güçlüğün gerçekte doktriner olmadığını düşündürüyor. Hukuk, bir sistemin bilgiyi bir zihin gibi işlediğini tanımayı biliyor; yeter ki bu tanıma, onu isteyen tarafın işine yarasın. Sistemi kuran ya da devreye alan kişiye bir şeye mal olacağında bunu genişletmeyi istikrarlı biçimde reddediyor. Daha hünerli hiçbir kaleme alış, herkesin açık kalmasında çıkarı olan bir boşluğu tek başına kapatmayacak.

Bundan dördüncü bir hukuki kategori icat etmek gerektiği çıkmaz. Şu çıkar: kimin sorumlu olduğu sorusunun her şeyden önce bir zihni, bir ayıbı ya da kesintisiz bir niyet zincirini yerinde saptamaya bağlı olmadığı sistemler kurmak daha iyidir. Burada gözden geçirilen yargı düzenleri, zarar gerçekleştikten sonra yükün nereye konacağını hâlâ tartışıyor. Daha kalıcı yanıt, bu yer üzerinde anlaşmak değildir. Sistemin kendisi dahil olmak üzere herhangi birinin hesabını vermek zorunda kalacağı şeylerin sayısını azaltmaktır.

Kaynaklar

OpenAI, The Hugging Face incident and the road ahead, 26 Ağustos 2026 ve aynı gün yayımlanan METR ile Redwood Research’ün bağımsız soruşturması
Avrupa Parlamentosu, 16 Şubat 2017 tarihli robotik alanında medeni hukuk kurallarına ilişkin karar, 59. paragraf f bendi
Open letter to the European Commission on artificial intelligence and robotics
Ayıplı ürünlerden doğan sorumluluğa ilişkin 23 Ekim 2024 tarihli (AB) 2024/2853 sayılı Direktif
LG München I, 28 Mayıs 2026 tarihli ihtiyati tedbir kararı, ref. 26 O 869/26; OLG Hamm, 12 Mayıs 2026 tarihli karar, ref. I-4 UKl 3/25, BGH önünde temyiz kabul edildi; LG Berlin II, 1 Haziran 2026 tarihli karar, ref. 52 O 62/26 eV
United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 Şubat 2026
United States District Court for the Southern District of New York, United States v. Heppner, 17 Şubat 2026 tarihli yazılı gerekçe
Conseil national des barreaux, meslek etiği ve yapay zekâ rehberi, 17 Mart 2026
Joint Committee on Human Rights, Human Rights and the Regulation of AI, 14 Eylül 2026
Colorado, Senate Bill 26-189, Automated Decision-Making Technology Act, 14 Mayıs 2026’da imzalandı, 1 Ocak 2027’de uygulanacak
İtalya, 9 Eylül 2026 tarih ve 160 sayılı yasa hükmünde kararname, Gazzetta Ufficiale Genel Seri no. 214, 15 Eylül 2026, yürürlük 30 Eylül 2026

Bu çözümleme genel bir hukuki değerlendirme ve tartışmaya katkı olarak sunulmaktadır. Hukuki danışmanlık niteliği taşımaz.

Yapay zekâ ve mesleki sır: dava edilemeyen üçüncü taraf

Mon, 24 Aug 2026 00:00:00 +0000

FBI, menkul kıymet dolandırıcılığından yargılanan şirket yöneticisi Bradley Heppner’ın cihazlarına el koyduğunda, ajanlar bunlarda yepyeni türden otuz bir belge buldu. Ne e-postaydı bunlar, ne notlar, ne de avukatıyla yazışmalar. Bunlar, kitlesel bir yapay zekâ platformuyla yaptığı, savunma stratejisini serdiği, ileri sürebileceği maddi ve hukuki argümanları tarttığı ve savcılığın kendisine neyi yükleyeceğini öngördüğü konuşmalardı. Bu konuşmaları büyük jüri önüne çıkma çağrısını aldıktan sonra ve avukatı kendisinden istemeksizin yapmıştı.

10 Şubat 2026’da New York güney bölgesi federal mahkemesinden Yargıç Jed Rakoff, bu belgelerin hiçbir korumaya tabi olmadığına hükmetti.

Aynı gün, sekiz yüz kilometre ötede, bir başka federal mahkeme bunun tam tersine hükmetti.

İki karar, iki doktrin, tek bir hareket

Warner v. Gilbarco davasında Michigan doğu bölgesi federal mahkemesi, avukatsız hareket eden bir davacıyı, dosyasını hazırlarken üretken yapay zekâ araçlarını kullanmasına ilişkin kayıtları sunmaya zorlamayı reddetti. Gerekçe tek bir formüle sığıyor: yapay zekâ platformları araçtır, kişi değil. Bir belgeyi bir araca sunmak, onu karşı tarafa açıklamakla aynı şey değildir. Amerikan hukukunun work product dediği hazırlık çalışması koruması böylece ayakta kaldı.

Yazılı gerekçesi 17 Şubat’ta yayımlanan United States v. Heppner davasında New York mahkemesi, sanığın platformla yaptığı yazışmaların ne avukat mesleki sırrı ne de hazırlık çalışması koruması kapsamında olduğu sonucuna vardı. Mahkeme, girdi ve çıktıların saklanabileceğini, eğitim için kullanılabileceğini ve kamu makamları da dahil olmak üzere üçüncü taraflarla paylaşılabileceğini belirten platform kullanım koşullarına dayandı. Bundan haberdar olan bir kullanıcı, makul olarak gizlilik bekleyemezdi.

İki sonuç da pekâlâ savunulabilir. Avukat sırrı, kim olursa olsun bir üçüncü tarafa açıklama yapıldığı anda düşer. Hazırlık çalışması koruması yalnızca karşı tarafa açıklama halinde düşer. İki ayrı doktrin, aynı hareket, iki zıt sonuç.

İki kararın da incelemediği şey, paylaştıkları varsayımdır. Ve hukukun geri kalanıyla yüzleşmeye dayanamayan da işte o varsayımdır.

Kimsenin yapmadığı karşılaştırma

Müvekkil dosyalarını bir barındırma sağlayıcısına emanet etmek, kendi başına hiçbir zaman sırdan feragat sayılmadı.

Oysa sağlayıcı, tartışmasız biçimde bir üçüncü taraftır. Belgeleri kendi donanımında tutar. Bunları sunmaya zorlanabilir ve birçok yargı çevresinde zorlanmıştır da. Yine de hiçbir baro, hiçbir mahkeme, hiçbir meslek düzenleyicisi bundan, bir barındırma hizmetine başvurmanın sırrı ilkesel olarak yok ettiği sonucunu çıkarmadı.

Demek ki ayrım çizgisi hiçbir zaman teknik bir aracının salt varlığı olmadı. Böyle biri hep vardır. Posta mektubu taşır. Kurye dosyayı taşır. Operatör aramayı yönlendirir. Her biri kelimenin tam anlamıyla üçüncü taraftır ve hiçbiri salt varlığıyla sırrı düşürmez.

Barındırma sağlayıcısını ayıran şey, içtihadın alışılmış ifadesinden daha dar ve daha kesindi. Okumadan saklıyordu. İçerikten hiçbir şey çıkaramıyordu. Neyi elinde tuttuğunu bilme yetisi yoktu.

Barındırma sağlayıcısını koruyan şey, üçüncü taraf olarak hukuki statüsü değil, neyi elinde tuttuğunu bilmeye teknik olarak muktedir olmayışıydı.

Bu ölçüt yirmi yıldır sessizce işliyor. Kimsenin onu yazıya dökmesi gerekmedi, çünkü hiçbir aracı onu henüz sınamamıştı.

Yargıçların gerçekte neye karar verdiği

Ölçüt bir kez dile getirildiğinde, şubat kararları nitelik değiştirir.

Bir belgeyi üretken bir yapay zekâya sunmayı üçüncü tarafa açıklama sayan bir mahkeme, eski bir kuralı yeni olaylara uygulamıyordur. Bu belirli aracının ötekiler gibi olmadığını saptamaktadır. Saklamak yerine işlediğini. İçinde, bir sabit diskin içinde olmayan bir şeyin olduğunu.

Kansas bölgesi federal mahkemesi, pratik boyutu 25 Mart 2026’da Jefferies v. Harcros Chemicals davasında dolaysızca ifade etti. Koruma kararını, gizli olmayanlar dahil davanın tüm evrakına genişletti; gerekçesi, bir verinin açık bir yapay zekâ aracına sunulduktan sonra geri alınmasının fiilen imkânsız olması, çünkü o verinin modeli eğitmeye hizmet etmiş olmasıydı. Saklama, yeniden pazarlık edilebilir bir ticari politika değildir. Sistemin işleyişinin bir özelliğidir.

Uç uca eklendiğinde bu kararlar, ispat hukukunun sözcük dağarcığı içinde, hukukun bir sunucuya hiçbir zaman atfetmek zorunda kalmadığı bir yetiyi tanımak anlamına gelir.

Fransız duruşu ve ölçütlerinin varsaydıkları

En net ifade bir mahkemeden değil, meslek düzenlemesinden geliyor.

Fransa ulusal barolar konseyi Conseil national des barreaux, Eylül 2024’te üretken yapay zekâya ilişkin ilk uygulama kılavuzunu yayımladı, ardından 17 Mart 2026’da meslek etiği ve yapay zekâ üzerine bir kılavuz kabul etti. İlki, merkezi noktada kesindir: avukat, üretken bir yapay zekâ sistemine mesleki sır kapsamındaki verileri iletmemelidir ve bu, müvekkilin adı için de her türlü stratejik ya da gizli bilgi için de geçerlidir. Önerilen alternatif, tanımlayıcı unsurların değiştirildiği takma adlaştırılmış veri kümeleri üzerinde çalışmaktır.

Fransız duruşuna ilişkin uygulamacı yorumu, özellikle Baker McKenzie’nin mesleki sır karşılaştırma kılavuzu, bundan dört birikimli koşul çıkarır. Sır, üretken bir yapay zekâ aracının kullanımından yalnızca şu hallerde sağ çıkar: platform yeniden kullanım, eğitim ve üçüncü taraf erişimi olmaksızın tam bir gizlilik koruyorsa; münhasıran avukatın ya da büronun denetiminde işletiliyorsa; danışmanlık ya da savunma göreviyle bağlantılı hukuki bir amaca hizmet ediyorsa; ve sonuç, sistemin özerk işleyişini değil avukatın kendi muhakemesini yansıtıyorsa.

Bu son koşulun üzerinde durmakta yarar var.

Sırrın ayakta kalması için, sistemin kendine ait bir işleme katkısı yapmamış olması gerekir.

Bu terimlerle yazılmış bir ölçüt, ancak sistem kendine ait bir işleme katkısı yapabilecek sayılırsa anlam taşır. Kimse, bir dosya dolabının içindeki evrak üzerinde muhakeme yürütmemiş olmasını şart koşan bir kural yazmaz. Bu koşul, bir dolabın yapamayacağı bir şeyi hedeflediği için vardır.

Aynı örtük tanıma, takma adlaştırma tavsiyesinin içinde de yatar. Tanımlayıcı unsurları iletimden önce değiştirmek, ancak sistemin aksi halde onları ilişkilendirebileceği, saklayabileceği ya da onlardan bir şey çıkarabileceği varsayılırsa gereklidir. Saf bir saklama ortamı böyle bir önlemi hiç gerektirmezdi.

Okumak istememek, okuyamamak

Bir itiraz hemen belirir: barındırma sağlayıcısı da sunmaya zorlanabilir, öyleyse neden bir aracı sırrı düşürüyor da öteki düşürmüyor?

Yanıt CCBE Örnek Meslek Kuralları’nda yer alır ve itirazın sandığından daha kesindir. Avrupalı avukat, çalışma arkadaşlarından, personelinden ve hizmetlerini sunarken başvurduğu her kişiden aynı gizlilik yükümlülüğüne uymalarını istemek zorundadır. Yükümlülük zincir boyunca yayılır.

Bir barındırma sağlayıcısı bu zincire dahil edilebilir. Bir veri işleyen sözleşmesi imzalar. Gizlilik taahhütleri kabul eder. Denetlenebilir ve ihlal halinde dava edilebilir. Üçüncü taraf bağlıdır.

Kendisine sunulan içerikleri saklayan ve onlar üzerinde eğitilen üretken bir yapay zekâ platformu aynı biçimde zincire dahil edilemez, çünkü engellenmesi gereken şey bir davranış değil bir mimaridir. Girdi verileri üzerinde eğitim yapmama taahhüdü, bir niyete ilişkin bir sözdür. Sağlayıcıya karşı ileri sürülebilir, ama sistemin ne yapmak üzere kurulduğunu değiştirmez ve dışarıdan doğrulanabilir değildir.

Okumak istemeyen bir sağlayıcı ile okuyamayan bir sağlayıcı arasındaki mesafenin tamamı budur. Yalnızca ikincisi bir hissedar değişikliğini, kullanım koşullarının gözden geçirilmesini ya da bir mahkeme emrini atlatır. Tam da bu mekanizmayı Data Act ile CLOUD Act arasındaki çatışma vesilesiyle incelemiştik: hukuki bir güvence, onu barındıran yargı çevresinden asla daha değerli olamaz, oysa teknik bir imkânsızlık hiçbirine bağlı değildir.

Asimetri

Çözümleme işte burada rahatsız edici bir yere varıyor.

Sırdan feragat söz konusu olduğunda bir işleme yetisini tanımayı kabul eden aynı hukuk düzeni, sorumluluk söz konusu olduğunda hiçbir şeyi tanımayı reddediyor.

Elektronik kişilik, Avrupa Parlamentosu tarafından robotik alanında medeni hukuk kurallarına ilişkin 16 Şubat 2017 tarihli kararında, 59. paragrafın f bendinde önerilmişti. Metin, en gelişmiş özerk robotlara zamanla, neden oldukları zararlardan sorumlu tutulmalarına imkân veren bir statü tanınabileceğini öne sürüyordu. Öneri, birkaç yüz uzmanın imzaladığı açık bir mektup buna karşı çıktıktan sonra terk edildi. Başlıca itirazları sağlamdı: makinelere kişilik tanımak, üreticilerin kendilerine ait bir sorumluluğu üzerlerinden atmalarına yarayacak bir araç yaratırdı.

Duruş böylece yerleşti. Zarar veren özerk bir sistem bir üründür, bir araçtır, onu devreye sokanın gerecidir. Hukuki kişiliği yoktur. Sorumluluk bir insana ya da bir tüzel kişiye geri düşer ve böyle olması da gerekir, çünkü düşebileceği başka bir yer yoktur.

Bu iki önerme bugün aynı anda işliyor.

Ya sistem, terimin hukuki anlamında bir bildirimi alma yetisine sahiptir ve o zaman bu yeti, bir müvekkili korumasından yoksun bırakmak için tanınırken, kimseye bir sorumluluk yükü bindirmemek için yadsınır. Ya da bir araçtır ve ona bir belge sunmak, bir dosyayı diske kaydetmekten daha fazla açıklama sayılmaz; bu durumda şubatın muhakemesi çöker.

Avrupa bağlamı bu dengesizliği düzeltmek yerine keskinleştiriyor. Yapay zekâ sorumluluğuna ilişkin direktif, daha Komisyon’un Şubat 2025 çalışma programında geri çekildiği duyurulmuştu ve Ekim 2025’te resmen terk edildi. Tam da bu güçlüğü ele alması beklenen araç oydu. Geriye, artık yazılımı ve yapay zekâ sistemlerini de kapsayan, ancak bir kusur, bir zarar ve bir nedensellik bağı arayan ve gerçek kişileri bedensel zararlara, maddi zararlara ve veri yok edilmesine karşı koruyan gözden geçirilmiş ayıplı ürün sorumluluğu direktifi kalıyor. İç hukuka aktarımı ancak 9 Aralık 2026’da zorunlu ve yalnızca bu tarihten sonra piyasaya sürülen ürünlere uygulanacak.

Öngörülebilir itiraz ve yanıt

Dikkatli bir okur, hukukun bir nesneye bir yeti tanıyıp bir başkasına tanımamasının olağan olduğunu ve bunun bir tutarsızlık oluşturmadığını söyleyecektir. Bir hayvan, kişiliği olmaksızın hukuken anlamlı bir zarara yol açabilir. Bir ticaret şirketi sözleşme yapmak için kişiliğe sahiptir, ama her hukuk düzeninde her amaç için değil. Dolayısıyla ispat amaçlı bir işleme yetisini tanımak, kimseyi sorumluluk amaçlı bir kişiliği tanımaya zorlamaz. Farklı sorular, farklı yanıtlar.

İtiraz ciddidir ve asimetri iki yönde de işleseydi belirleyici olurdu.

Yalnızca tek yönde işliyor. Sistemin yetisinin kabul edildiği yerde bedeli, koruması ortadan kalkan müvekkil ödüyor. Aynı yetinin sorumluluğu paylaştırmaya yarayacağı yerde ise bulunamaz oluyor. Sonuç her seferinde aynı tarafa düşüyor.

Sistematik olarak aynı tarafı kayıran bir asimetri, doktriner bir ayrım değildir. Bir risk dağılımıdır ve öyle tartışılmalıdır.

Bunun somut anlamı

Bunların hiçbiri hukuk mesleklerinin bu araçlardan vazgeçmesi gerektiğini söylemiyor. Avrupa meslek metinleri de bunu söylemiyor ve CCBE konuya ilişkin kendi kılavuzunu yayımladı.

Söylediği şu: belirleyici soru bir büronun hangi aracı seçtiği değil, o aracın neyi alıkoyduğu ve yanıtın bir politikaya mı yoksa bir tasarım özelliğine mi dayandığıdır. Saklamama taahhüdü geri alınabilir, yeniden yorumlanabilir ya da bir mahkeme kararıyla bir kenara itilebilir. Saklamayan bir mimari için bu mümkün değildir, çünkü sunulacak bir şey yoktur.

Konuyu araştırmak isteyenler için başvuru belgeleri:

2 Ekim 2025’te yayımlanan ve Mart 2026’da bir teknik kılavuzla tamamlanan CCBE’nin avukatlarca üretken yapay zekâ kullanımına ilişkin kılavuzu
Sır ve bağımsızlığın klasik ilkelerini, özel bir yapay zekâ hukuku yaratmadan uygulayan 17 Mart 2026 tarihli Conseil national des barreaux meslek etiği kılavuzu
Ulusal rejimler arasındaki farkı ölçmek için yararlı olan Baker McKenzie karşılaştırma kılavuzu

Arpokrat’ın izlediği bakış açısı

Bu muhakeme hukuk bürolarının çok ötesine geçer. Birinin bir sisteme, yeniden karşısına çıkmasını istemediği bir bilgiyi emanet ettiği her ilişki için geçerlidir ve tek bir soruya indirgenir: güvence bir söze mi yoksa bir imkânsızlığa mı dayanıyor?

Arpokrat Messenger tasarımını yöneten ilke budur. Kimlik orada yerel olarak kriptografik anahtarlardan üretilir, telefon numarası ve e-posta adresi olmaksızın, ve özel anahtarlar cihazı asla terk etmez. Bu seçim, bir kullanıcı dizinini işletmeme taahhüdü vermekten ibaret değildir. Böyle bir dizin oluşturmamaktan ibarettir. Bilgiyi elinde tutmayan bir altyapıya yöneltilen bir talep bir ret üretmez, bir boşluk üretir.

Bu nüansı dürüstçe ortaya koymakta yarar var, çünkü her şeyi o belirliyor. Bir gizlilik politikası, samimi ve iyi kaleme alınmış olsa bile, bir şirkete, onun o günkü hissedarlarına ve kurulu olduğu yargı çevresine yaslanan bir niyet beyanıdır. Bu üç öğe değişir. Toplamayan bir mimari, bir yönetim kurulu değişti diye değişmez. Bu, bugün topla, sonra çöz konusunda betimlediğimiz aynı kaymadır: risk, söz verildiği anda değil, bir başkasının karar verdiği anda bulunur.

Hukukun bu ayrımı içselleştirmesi zaman alıyor ve mesleki sır tartışması bunun iyi bir ölçüsünü veriyor. Aynı şey, hukuki kurgunun büyük bölümünün varlığı hiç sorgulanmayan verilere erişimle ilgilendiği konum verilerinin korunması için de geçerli.

Sonuç

İçtihat eninde sonunda yerine oturacak. İstinaf mahkemeleri ayrılığı çözecek, düzenleyiciler ölçütler yayımlayacak, bürolar görev mektuplarını ve sözleşme hükümlerini ayarlayacak. Bunların hiçbiri kuşkulu değil.

Ama temeldeki soru bu yolla çözülmeyecek, çünkü gerçekte mesleki sırla ilgili değil. Bir hukuk düzeninin, bir şeyin bildiğini kabul edip, o bilgiyle ne yaptığından kimin sorumlu olduğunu hiç söylemek zorunda kalmadan bunu yapabilmesiyle ilgili.

Bu soru açık kaldığı sürece, bir kullanıcının gerçekten denetlediği tek değişken kendisine verilen taahhütlerin niteliği değildir. Var olmasına izin verdiği bilginin miktarıdır.

Bu yazı, tartışmaya yönelik genel bir hukuki çözümleme sunar. Bir mütalaa ya da hukuki danışmanlık teşkil etmez.

Kaynaklar

United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 Şubat 2026, Proskauer analizi
United States District Court for the Southern District of New York, United States v. Heppner, 10 Şubat 2026, 17 Şubat 2026 tarihli yazılı gerekçe
United States District Court for the District of Kansas, Jefferies et al. v. Harcros Chemicals Inc. et al., no 2:25-cv-02352, 25 Mart 2026
Conseil national des barreaux, CNB meslek etiği ve yapay zekâ üzerine bir kılavuz kabul ediyor, 17 Mart 2026
Baker McKenzie, Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
CCBE, Model Code of Conduct for European Lawyers, 8 Ekim 2021
CCBE, Guide on the use of generative AI by lawyers, 2 Ekim 2025
Avrupa Parlamentosu, Robotik alanında medeni hukuk kurallarına ilişkin Komisyon’a tavsiyeler içeren 16 Şubat 2017 tarihli karar, 2015/2103(INL)
Open Letter to the European Commission on Artificial Intelligence and Robotics
EAPIL, European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive, 9 Ekim 2025
23 Ekim 2024 tarihli, ayıplı ürünlerden doğan sorumluluğa ilişkin (AB) 2024/2853 sayılı Direktif

5G, konum verisi ve hukukun hedef şaşırması

Tue, 18 Aug 2026 00:00:00 +0000

2011 yılında Detroit polisi bir mobil operatörden Timothy Carpenter’ın telefonunun baz istasyonu bağlanma geçmişini istedi. 127 güne yayılan 12.898 konum noktası elde etti, günde yaklaşık yüz nokta. Yedi yıl sonra Amerika Birleşik Devletleri Yüksek Mahkemesi bu talebin bir arama teşkil ettiğine ve yargı kararı gerektirdiğine hükmetti.

Bu 12.898 nokta, her biri birkaç kilometrelik bir yarıçapı kapsayan dördüncü nesil antenlerden geliyordu. Aynı talep bugün kentsel bir 5G şebekesine yöneltilseydi, birkaç kilometre yaklaşıklıkla günde yüz nokta döndürmezdi. Birkaç on metre yaklaşıklıkla çok daha büyük bir hacim döndürürdü.

Teknoloji ölçek değiştirdi. Hukuki muhakeme ise zincirin aynı noktasında kaldı.

Atlantik’in iki yakasındaki yargıçların tanıdığı bir hukuki değer

Neredeyse herkesin kabul ettiği, buna karşılık neredeyse hiçbir metnin etkili biçimde korumadığı bir menfaat var: bir yerde bulunmanın kayda geçirilmemesi hakkı.

Avrupa içtihadı bunu açıkça ortaya koydu. Digital Rights Ireland (birleştirilmiş C-293/12 ve C-594/12 sayılı davalar, 8 Nisan 2014) ve ardından Tele2 Sverige ve Watson (birleştirilmiş C-203/15 ve C-698/15 sayılı davalar, Büyük Daire, 21 Aralık 2016) kararlarında Avrupa Birliği Adalet Divanı, bu verilerin bütün olarak ele alındığında kişilerin özel hayatına ilişkin çok kesin sonuçlar çıkarmaya imkân verdiğine hükmetti: günlük yaşam alışkanlıkları, bulunulan yerler, hareketler, yürütülen faaliyetler ve toplumsal ilişkiler.

Amerika Birleşik Devletleri Yüksek Mahkemesi Carpenter v. United States, 585 U.S. 296 (2018) kararında benzer bir sonuca vardı. Amerikan doktrininin çokça yorumladığı bir noktanın altını çizdi: bu toplamanın kaçınılmaz ve otomatik niteliği. Kimse bir antene bağlanmaya rıza göstermez; açık bir telefona sahip olduğu için bağlıdır.

Demek ki hukuki değer mevcut ve bu alanda ağırlığı olan iki yüksek mahkeme tarafından tanınıyor. Sorun başka yerde.

5G’nin gerçekte değiştirdiği şey

Yaygın bir karışıklık, konumu telefonun ilettiği bir veri olarak, bir mesaj ya da fotoğraf gibi görmekten kaynaklanır. Durum böyle değildir. Konum, şebekenin işleyişinin fiziksel bir sonucudur. Operatör cihazın hangi antene bağlı olduğunu bilir, çünkü bir aramayı yönlendirmek için bilmek zorundadır. Bu bilgiyi şifrelemeye yarayacak hiçbir anahtar yoktur, zira söz konusu olan bir içerik değil, bağlantının kendisine ait bir özelliktir.

5G’yi teknik düzlemde değil, hukuki düzlemde anlamlı kılan tam da budur.

Önceki mimariler geniş hücrelere dayanıyordu. Bir 4G anteni yaygın olarak birkaç kilometrelik bir yarıçapa hizmet verir ve yalnızca bağlanmadan çıkarılan konum şehirde yüzlerce metreyle, kırsalda kimi zaman onlarca kilometreyle ölçülürdü. 5G kitlesel bir sıklaştırmaya dayanır: kentsel hücreler tipik olarak birkaç yüz metreyi kapsar ve mühendislik yazını 3G döneminde dört ya da beş olan yoğunluğa karşılık kilometrekare başına kırk ila elli baz istasyonu mertebesinde yoğunluklarla çalışır.

Sonuç mekaniktir. Ericsson’un 5G konumlandırma teknik raporuna göre yalnızca bağlanabilirlik için kurulan altyapı açık alanda yirmi ila elli metre, iç mekânda bir ila üç metre hassasiyete ulaşır ve elverişli kentsel koşullarda bir metrenin altına iner. Bu, bir yerde açılmış bir konum işlevi değil, hiçbir uygulama kurulmadan ve hiçbir izin verilmeden şebekenin yapısı gereği bildiği şeydir. Bütün bu mekanizmaları ve gerçekten işe yarayan karşı önlemleri telefonun kalıcı konum takibi üzerine yazımızda ayrıntılı olarak ele aldık.

Müdahale böylece birkaç büyüklük mertebesi arttı. Uygulanacak hukuki çerçeve ise 2G ve 3G için tasarlanmış olan çerçeve olarak kaldı. Bu ölçek değişimine hiçbir mevzuat uyarlaması eşlik etmedi.

Hukuk erişimi korur, üretimi değil

Avrupa hukuku konum verilerine kimin, hangi koşullarda ve hangi denetim altında erişebileceğini titizlikle düzenler. 2002/58/AT sayılı Direktif haberleşmenin gizliliği ilkesini koyar ve Adalet Divanı La Quadrature du Net (birleştirilmiş C-511/18, C-512/18 ve C-520/18 sayılı davalar, Büyük Daire, 6 Ekim 2020) kararında, bu direktifin 15(1) maddesinin, Şart’ın 7, 8, 11 ve 52(1) maddeleri ışığında okunduğunda, trafik ve konum verilerinin önleyici amaçla genel ve ayrım gözetmeyen biçimde saklanmasına engel olduğuna hükmetti. Divan yine de, bir üye devletin gerçek ve güncel ya da öngörülebilir nitelikte ciddi bir ulusal güvenlik tehdidiyle karşı karşıya olduğu hallerde, etkili bir denetime tabi olmak kaydıyla çerçevelenmiş istisnaları kabul etti.

Bunlar gerçek güvencelerdir ve küçümsemek saçma olur. Ama hepsi olaydan sonra devreye girer. Verinin var olduğunu, saklandığını varsayar ve ardından kullanılma koşullarını düzenlerler.

Oysa konum şebekenin işleyişinin kaçınılmaz bir yan ürünüyse, uygun müdahale noktası gizlilik değildir. Kalıcılıktır.

Bir iletişimi yönlendirmek için gereken ve hemen ardından silinen anlık bir konum, bir gözetim aracı değildir. Aylarca saklanan bir konum geçmişi ise, çevresindeki erişim güvenceleri ne olursa olsun, bir gözetim aracıdır.

İkisi arasındaki fark hukuki değil, mimaridir. Ve Avrupa takvimi soruyu kuramsal olmaktan çıkarıp acil hale getiriyor. Komisyon, ortak yasa koyucular arasında uzlaşma sağlanamadığı için ePrivacy tüzüğü teklifini 2025’te geri çekti. O tarihten beri, ceza amaçlı veri saklamaya ilişkin ayrı bir araç üzerinde çalışıyor; 2026 için duyurulan bu araç, 2006 direktifinin iptalinden bu yana birbirinden uzaklaşmış ulusal rejimleri uyumlaştırmayı amaçlıyor. Başka bir deyişle, konum üstverilerinin rejimini on yıl boyunca belirleyecek metin şu anda, kilometrelik hücreler döneminde tasarlanmış bir muhakeme temelinde yazılıyor.

5G’nin kendi yarattığı emsal

Dosyanın en ilginç yanı, doğru cevabın teknik standartta zaten yer alması, ancak başka bir nesneye uygulanmış olmasıdır.

4G’ye kadar abonenin kalıcı kimliği, IMSI, bağlanma sırasında telsiz arayüzünde açık olarak dolaşıyordu. IMSI yakalayıcılarını mümkün kılan da budur: Electronic Frontier Foundation’ın başvuru niteliğindeki açıklamasına göre, cihazları kendine çekip kimliklerini yakalamak için meşru antenlerden daha güçlü yayın yapan sahte baz istasyonları.

3GPP şartnamelerinin 2019’da yayımlanan Release 15 sürümünden bu yana 5G zarif bir cevap getiriyor. Artık SUPI adı verilen kalıcı kimlik, telsiz arayüzünde SUCI ile değiştirilebilir: aboneye özgü kısmın, ana operatörün açık anahtarıyla eliptik eğri kriptografisi kullanılarak şifrelenmesiyle elde edilen gizlenmiş bir kimlik. Yalnızca ilgili özel anahtarı elinde tutan ana şebeke bunu çözebilir. Sonuç her hesaplamada benzersizdir; bu da bir oturumdan diğerine ilişkilendirmeyi engeller.

Benimsenen mantığın altını çizmek gerekir, çünkü yasa koyucuya yol göstermesi gereken mantık tam olarak budur: teknik olarak imkânsız olacağı için konum şifrelenmez, kimlik şifrelenir. Bağlanabilir bir kimlikten yoksun bir konumun bireyselleştirilmiş gözetim açısından değeri çok sınırlıdır.

Açık: isteğe bağlı bir koruma

Ne var ki önemli bir çekince mevcut ve bize göre bütün dosyanın en somut müdahale noktası bu.

National Institute of Standards and Technology tarafından Mart 2026’da yayımlanan NIST CSWP 36A teknik raporu bunu dolaysızca ifade ediyor. Release 15 veya sonrasına uygun cihazlar ve şebeke işlevleri SUCI’yi desteklemek zorundadır, ancak etkinleştirilmesi operatörün isteğine bağlıdır. Üç koşulun bir araya gelmesi gerekir: cihaz üreticisi desteklemeli, operatör kendi şebekesinde etkinleştirmeli ve SIM kart hesaplama için gerekli unsurları taşımalıdır.

Buna bir yapılandırma tuzağı eklenir. Standart, SUCI biçiminin resmen kullanıldığı ama gerçek bir şifreleme yapılmadığı, dolayısıyla kimliğin açık olarak dolaştığı bir sıfır koruma şeması öngörür. NIST, operatörün şebekesini sıfır olmayan bir koruma şemasıyla yapılandırmasının gerekli olduğunu yazar ve Federal Communications Commission’ın danışma organı CSRIC’in bir raporunun daha 2021’de sıfır şemasını yalnızca şebekenin tanımadığı bir cihazdan yapılan acil çağrılara ayırmayı önerdiğini hatırlatır.

Bu ifadeyi olduğu gibi bırakmakta yarar var. Mobil cihaz takibine karşı mevcut en iyi koruma teknik standartta 2019’dan beri var. Operatörün takdirine bırakılmış bir yapılandırma tercihine dayanıyor. Bir Amerikan federal kurumu, açılması gerektiğini hatırlatmak için 2026’da bir belge yayımlamayı yararlı görüyor. Ve hiçbir Avrupa hukuk aracı bunu zorunlu kılmıyor.

Eklemek gerekir ki SUCI konuyu kapatmıyor. 5G SUCI-catchers: still catching them all? başlığıyla sunulan çalışmalar, şifrelemeye rağmen oturumların yeniden ilişkilendirilmesine imkân veren bağlanabilirlik saldırılarını belgeliyor ve saldırgan cihazı önceki bir nesle geçmeye zorlarsa koruma tümüyle çöküyor. Demek ki hukuki bir yükümlülük her şeyi çözmezdi. Yine de savunulabilir hiçbir gerekçesi olmayan bir açığı ortadan kaldırırdı: standardın izin verdiği ile ticari şebekelerin yaptığı arasındaki açığı.

Tutarlı üç müdahale

Konumun sonradan korunmak yerine tasarımdan itibaren asgariye indirilmesi gerektiği fikri ciddiye alınırsa, mantıken üç önlem kendini dayatır.

Kimliğin etkili biçimde gizlenmesini zorunlu kılmak. SUCI’nin etkinleştirilmesini dayatmak ve acil çağrıların artık durumu dışında ticari şebekelerde sıfır koruma şemalarını yasaklamak. Yeni bir teknoloji öngörmek ya da bir kurulumu finanse etmek söz konusu değildir; yedi yıldır standartlaştırılmış ve cihazlarda hâlihazırda bulunan bir işlevin açılmasını istemek söz konusudur.
Saklamayı varsayılan değil istisna saymak. Bir iletişimi yönlendirmek için gereken konum, bu işlev yerine getirilir getirilmez silinmelidir. Bir geçmiş oluşturmak özel bir gerekçe gerektirmelidir. Nerede olduğunuzu bilen bir şebeke ile nerede olduğunuzu hatırlayan bir şebeke arasındaki fark budur.
Anahtarın muhafazasını asıl bağlanma ölçütü haline getirmek. Verileri anlaşılır kılan anahtarlar başka yerdeyse, sunucuların Birlik içinde bulunması pek bir şey ifade etmez. Hukuken anlamlı ölçüt, şifre çözme araçları üzerindeki fiili hâkimiyet olmalıdır; bu soruyu Data Act ile CLOUD Act arasındaki çatışma vesilesiyle ayrıntılı olarak inceledik.

Arpokrat’ın izlediği bakış açısı

Bu muhakeme telekomünikasyon hukukuna özgü değildir. Kendi mimari tercihlerimize uyguladığımız muhakemedir ve tek cümleye sığar: üretilmemiş olanın korunmaya ihtiyacı yoktur.

ArpokratOS GPS, Bluetooth ve NFC’yi bir menüden kapatmak yerine çekirdek düzeyinde kaldırmasının nedeni budur. Bir anahtar bir politikadır: ayrıcalıklı bir bileşen tarafından atlatılabilir, bir güncelleme tarafından yeniden açılabilir, ele geçirilmiş bir sistem tarafından yok sayılabilir. Kod yolunu kaldırmak soruyu ortadan kaldırır. Bu, hukuk ölçeğinde savunduğumuz aynı kaymanın cihaz ölçeğine aktarılmasıdır: erişime değil, üretime müdahale etmek.

Bunun ne yapmadığını da hemen söylemek gerekir. Hiçbir işletim sistemi bir cihazı şebekenin geometrisinden çıkarmaz. Bir SIM kart etkin olduğu sürece operatör bağlanılan hücreyi bilir ve tüm trafiğin Tor üzerinden yönlendirilmesi bunu değiştirmez, çünkü Tor içeriği ve hedefi korur, telsiz katmanını değil. Konunun hukuki olmasının nedeni tam da budur. Hiçbir bireysel yapılandırmanın azaltmadığı ve tek değişkeni operatöre uygulanacak kural olan bir risk kategorisi vardır.

Aynı kaygı çalışmalarımızın geri kalanını da yönetir. Var olmayan bir veri ne el konulabilir, ne yeniden satılabilir, ne sızdırılabilir, ne de bugün kimsenin sahip olmadığı bir makineyle on yıl sonra çözülebilir; bu soruyu şimdi toplanıp sonra kırılan şifreleme açısından ele aldık.

Sonuç

Mobil gözetim üzerine kamusal tartışma neredeyse tamamen erişime odaklanıyor: verilere kim, hangi dayanakla, hangi izinle bakabilir. Bu tartışma meşrudur ve Adalet Divanı’nın 2014’ten bu yana verdiği kararlar somut sonuçlar doğurmuştur. Ama zincirde çok geç devreye giriyor.

Ondan önce gelen ve daha belirleyici olan soru, geçmişin var olup olmaması gerektiğidir. Bugün meşru bir gerekçeyle oluşturulan bir veri tabanı yarın bir başkası için kullanılabilir durumda kalır ve onu çevreleyen güvenceler, toplama anında kimsenin denetleyemediği sonraki siyasi kararlara bağlıdır. Bu, kurumların istikrarı üzerine, kimsenin süresini belirlemediği bir bahistir.

5G bu bilginin çözünürlüğünü kat kat artırdı, hiçbir mevzuat uyarlaması ise devreye girmedi. Aynı anda, SUCI mekanizması aracılığıyla, uygulanabilir yolun şebekenin fiziksel bir özelliğini şifrelemeye çalışmak değil, konumu kimlikten ayırmak olduğunu gösterdi. Teknik standart cevabı, hukuk soruyu sormadan yedi yıl önce verdi.

Veri saklamaya ilişkin Avrupa metni şimdi yazılıyor. Üstverilere, dolayısıyla konuma, dolayısıyla 5G’nin bugün yazarlarının tanımadığı bir incelikte ürettiği şeye ilişkin olacak. Verili sayılan bir geçmişe erişimi düzenlemekle yetinip yetinmeyeceği, yoksa bu geçmişin gerekliliğini sorgulamaya cesaret edip etmeyeceği, muhtemelen Avrupa’da önümüzdeki yılların en önemli mahremiyet sorusudur. Ve bu, teknik sektörün bir kez olsun doğru yönde çoktan karara bağladığı bir sorudur.

Kaynaklar

Avrupa Birliği Adalet Divanı, Digital Rights Ireland, birleştirilmiş C-293/12 ve C-594/12 sayılı davalar, 8 Nisan 2014
Avrupa Birliği Adalet Divanı, Tele2 Sverige ve Watson, birleştirilmiş C-203/15 ve C-698/15 sayılı davalar, Büyük Daire, 21 Aralık 2016
Avrupa Birliği Adalet Divanı, La Quadrature du Net ve diğerleri, birleştirilmiş C-511/18, C-512/18 ve C-520/18 sayılı davalar, Büyük Daire, 6 Ekim 2020
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, Mart 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta ve diğerleri, 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026