Kazanimlar:
- AML (kara para aklamayla mücadele) ve KYC (müşterini tanı) süreçlerinin nasıl işlediğini ve yapay zekanın işlem izleme, tarama ve dosya özetinde nasıl kullanıldığını kavrayabilme
- Yapay zekayı şüpheli işlem taslağı ve müşteri risk profili özeti için kullanıp şüpheli işlem bildirimi (STR) kararını yetkili uyum görevlisine bırakabilme
- Yaptırım/PEP taraması, yanlış eşleşme ve mevzuata uyumun neden insan gözetimi gerektirdiğini kavrayıp denetim izini koruyabilme
Bankalar sadece para saklamaz; finansal sistemin kapısını da tutar. Bu kapıdan kara para, terörün finansmanı ve yaptırımlı fonlar geçmesin diye bankaların yasal yükümlülükleri vardır. İki temel süreç bunu sağlar: KYC (Know Your Customer — Müşterini Tanı), müşterinin kim olduğunu ve iş yaptığı fonların kaynağını doğrulamaktır; AML (Anti-Money Laundering — Kara Para Aklamayla Mücadele), işlemleri izleyip şüpheli olanları tespit etmektir. Türkiye'de bu alanın düzenleyicisi MASAK (Mali Suçları Araştırma Kurulu)'tur ve bankalar şüpheli işlemleri şüpheli işlem bildirimi (STR/SAR) ile bildirmekle yükümlüdür. Yapay zeka bu devasa hacimde işlem izleme, isim tarama ve dosya özetlemede güçlüdür; ama STR kararı yasal sonuç doğuran bir hükümdür ve yetkili uyum görevlisine aittir. Model bir ön-eleme ve taslak üretir, karar vermez.
Bu ünitede AML/KYC'nin nasıl işlediğini, yapay zekayı işlem izleme, tarama ve dosya özetinde nasıl kullanacağınızı ve neden insan gözetiminin ve denetim izinin zorunlu olduğunu göreceğiz.
KYC ve AML nasıl çalışır
- KYC (müşteri tanıma): Kimlik doğrulama, gerçek faydalanıcının (fonun asıl sahibinin) tespiti, risk sınıflandırması. Yüksek riskli müşteriler (ör. PEP — Politically Exposed Person / siyasi nüfuz sahibi kişi) için sıkılaştırılmış inceleme uygulanır.
- İşlem izleme (transaction monitoring): Müşterinin işlemlerinin bilinen aklama örüntülerine (yapılandırma/smurfing — büyük tutarı eşik altı parçalara bölme, hızlı giriş-çıkış, ilgisiz hesap ağları) karşı taranması.
- Tarama (screening): İsimlerin yaptırım listeleri ve PEP listeleriyle karşılaştırılması.
- Bildirim (STR): Şüphe makul düzeye ulaştığında MASAK'a bildirim yapılması.
İpucu: AML'de amaç "suçu kanıtlamak" değil, "makul şüpheyi bildirmek"tir. Uyum görevlisi savcı değildir; şüpheyi doğru değerlendirip yasal bildirimi zamanında yapmakla yükümlüdür. Bu değerlendirme yargı gerektirir ve modele devredilemez.
Yapay zeka nerede yardımcı olur
Görev
YZ rolü
Karar/onay kimde
İşlem izleme, örüntü işaretleme
Uyarı üretme
Uyum analisti inceler
İsim/yaptırım/PEP taraması
Eşleşme adayı
Uyum görevlisi teyit eder
Müşteri dosyası özeti
Özet taslağı
Analist doğrular
Risk profili taslağı
Sınıflandırma taslağı
Uyum onaylar
STR metni taslağı
Metin taslağı
Yetkili uyum görevlisi karar/imza
Her satırda model ön-eleme ve taslak üretir; şüpheli işlem bildirimi kararı yetkili uyum görevlisinindir.
Yanlış eşleşme (false match) sorunu
İsim taraması en yaygın hataları burada üretir. "Mehmet Yılmaz" adında binlerce kişi vardır; yaptırım listesindeki bir "Mehmet Yılmaz" ile müşterinizin aynı kişi olması gerekmez. Buna yanlış eşleşme (false positive match) denir. Uyum görevlisi eşleşmeyi doğum tarihi, uyruk, kimlik numarası gibi ek tanımlayıcılarla teyit etmelidir. İki hata da ağırdır: masum bir müşteriyi yaptırımlı ilan etmek de, gerçek bir eşleşmeyi kaçırmak da. Bu yüzden karar insanındır.
Dikkat: "Model eşleştirdi" demek "kişi odur" demek değildir. Bir müşteriyi yanlışlıkla yaptırımlı ilan etmek, hem o kişiye ciddi zarar verir hem de bankayı hukuki riske sokar. Eşleşme daima ek tanımlayıcılarla teyit edilir.
Dört kopyalanabilir şablon
1) İşlem örüntüsü ön-değerlendirmesi:
Rolün: AML analistine inceleme HAZIRLIĞI yapan asistan. Hüküm verme.Anonim işlem serisi: [10 gün içinde 9.800 TL'lik 6 ayrı yatırma, farklıATM'ler]. Görev: bu seri bilinen hangi aklama örüntüleriyle (yapılandırma,hızlı giriş-çıkış vb.) benzeşiyor olabilir? Her benzerliği veriye bağla,"şüpheli hükmü" verme; incelenecek soruları listele.
2) İsim eşleşmesi teyit kontrol listesi:
Bir müşteri adı bir yaptırım/PEP listesiyle eşleşti. Uyum görevlisininYANLIŞ EŞLEŞME olasılığını elemek için kontrol etmesi gereken ektanımlayıcıları ve adımları listele. Hüküm verme; sadece teyit soru setiniüret. (Örn: doğum tarihi, uyruk, kimlik no, adres örtüşmesi.)
3) Müşteri dosyası özeti (KYC incelemesi):
Rolün: KYC dosya özeti çıkaran asistan.Sana verdiğim anonim dosya notlarına DAYAN, yeni bilgi ekleme.Görev: müşteri risk değerlendirmesi için düzenli, nötr bir özet çıkar;belirsiz veya eksik noktaları "[teyit gerekli]" diye işaretle.Risk sınıfı kararını uyum görevlisi verecek.
4) STR metni taslağı:
Rolün: şüpheli işlem bildirimi TASLAĞI hazırlayan asistan.Yalnızca doğrulanmış bulgulara dayan, spekülasyon ekleme. Nötr, olgusalbir dille işlemin neden şüpheli görüldüğünü açıkla. Nihai bildirim kararıve imza yetkili uyum görevlisine ait; bu bir taslaktır.Bulgular: [doğrulanmış işlem ve gözlem notları]
Zayıf prompt / Güçlü prompt
Zayıf prompt:
Bu müşteri şüpheli mi, STR yapmam gerekiyor mu, karar ver. İsim listeyleeşleştiyse doğrudan yaptırımlı say.
Modelden yasal hüküm ister, yanlış eşleşmeyi görmezden gelir ve denetim izi kurmaz.
Güçlü prompt:
Rolün: uyum analistine ön-eleme ve taslak sunan asistan, karar verici değil.İşlem örüntülerini bilinen risklerle benzeşme açısından maddele; her maddeyiveriye bağla. İsim eşleşmesini "aday" say, ek tanımlayıcılarla teyit sorularıüret. STR hükmü ve imza yetkili uyum görevlisine ait. Belirsizleri işaretle.
Güçlü istem ön-elemeyi taslak olarak konumlar, yanlış eşleşmeyi hesaba katar ve kararı yetkiliye bırakır.
Üç mini vaka
Vaka 1 — Yapılandırma yakalanır. Model, bir hesaba 8 günde farklı şubelerden 9.500-9.900 TL aralığında 7 yatırma işaretler; hepsi raporlama eşiğinin hemen altındadır. Analist bunu inceler, müşterinin beyan edilen faaliyetiyle bağdaşmadığını görür ve yetkili uyum görevlisi doğrulayarak STR taslağını onaylar. Model ön-eledi, karar insanca verildi.
Vaka 2 — Yanlış eşleşme elenir. Tarama, bir müşteriyi yaptırım listesindeki bir isimle eşleştirir. Uyum görevlisi doğum tarihi ve uyruğu karşılaştırır: uyuşmuyor. Bu bir yanlış eşleşmedir; müşteri mağdur edilmeden kayıt düşülür. Otomatik "yaptırımlı" işaretlense masum biri ağır zarar görürdü.
Vaka 3 — Aşırı otomasyon riski. Bir ekip, modelin ürettiği tüm uyarıları hiç incelemeden otomatik STR'ye dönüştürmeyi önerir. Bu reddedilir: hem çoğu uyarı yanlış pozitiftir hem de gerekçesiz, denetim izi olmayan bir bildirim akışı hem MASAK nezdinde hem hukuken savunulamaz. Süreç, insan incelemesi ve denetim iziyle yeniden kurulur.
Denetim izi neden AML'nin belkemiğidir
AML'de bir bildirimi yapmak kadar, o bildirimi neden yaptığınızı (veya neden yapmadığınızı) gösterebilmek de önemlidir. Denetçi yıllar sonra geldiğinde "bu uyarıyı gördünüz, neden STR yapmadınız?" diye sorabilir; cevabınız kayıtlı ve gerekçeli olmalıdır. Bu yüzden AML sürecinde her adım iz bırakır:
- Uyarının kaydı: Hangi kural/model, hangi işlemi, hangi skorla işaretledi.
- İncelemenin kaydı: Analist neye baktı, hangi ek bilgiyi topladı, müşteriyle temas oldu mu.
- Kararın gerekçesi: STR yapıldı/yapılmadı ve neden; kim onayladı.
Yapay zeka bu kayıtların taslağını hızlıca üretebilir; ama kaydın doğruluğu ve tamlığı uyum görevlisinin sorumluluğundadır. "Kararı verdik ama neden verdik yazmadık" durumu, AML'de en savunulamaz pozisyondur.
İpucu: İyi bir denetim izi, "sonradan hatırlarım" varsayımına değil, karar anında yazılan nota dayanır. Aradan geçen zaman ayrıntıları siler; gerekçeyi kararla eşzamanlı kaydedin. Bu, hem mevzuat hem de kendinizi koruma açısından hayatidir.
Sık yapılan hatalar
- Modeli hâkim yapmak. Uyarıyı otomatik STR'ye çevirmek; STR yasal bir karardır, uyum görevlisinindir.
- Yanlış eşleşmeyi görmezden gelmek. İsim benzerliğini teyit etmeden müşteriyi yaptırımlı saymak.
- Müşteriye şüpheyi ifşa etmek. "Hakkınızda aklama şüphesi var" demek (tipping-off); çoğu mevzuatta yasaktır.
- Denetim izini bırakmamak. Uyarının, incelemenin ve kararın gerekçesini belgelememek.
- Gerçek faydalanıcıyı atlamak. Fonun asıl sahibini doğrulamadan KYC'yi tamamlamak.
Dikkat: AML/KYC alanında bir eksiklik yıllar sonra denetimde ortaya çıkabilir ve bankaya ağır idari para cezası getirebilir. Bu yüzden her karar gerekçeli, kayıtlı ve insan onaylı olmalı; "sistem kaçırmış" bir mazeret değildir.
Özetle
KYC müşteriyi ve fon kaynağını tanır, AML işlemleri izleyip şüpheliyi tespit eder; MASAK'a STR ile bildirim yapılır. Yapay zeka işlem izleme, tarama ve dosya özetinde güçlü bir ön-eleyicidir, ama STR ve yaptırım hükmü yetkili uyum görevlisinindir. Yanlış eşleşmeler ek tanımlayıcılarla elenir, denetim izi her adımda korunur, müşteriye şüphe ifşa edilmez. Tek cümlede: Yapay zeka şüpheliyi öne çıkarır; bildirim ve uyum hükmünü yetkili görevli verir.
Uygulama görevi
Anonim bir işlem serisi (eşik altı çok sayıda yatırma gibi) tanımlayın ve 1. şablonla örüntü ön-değerlendirmesi yaptırın. Sonra bir isim eşleşmesi senaryosu kurgulayıp 2. şablonla teyit kontrol listesi üretin ve doğum tarihi/uyruk uyuşmadığında kararınızı yazın. Son olarak 4. şablonla bir STR taslağı üretip içinde spekülasyon olup olmadığını denetleyin; nihai kararın kimde olduğunu not edin.
Kontrol listesi
- [ ] Uyarıyı ön-eleme olarak ele aldım; otomatik STR'ye çevirmedim.
- [ ] İsim eşleşmesini ek tanımlayıcılarla teyit ettim (yanlış eşleşme kontrolü).
- [ ] KYC'de gerçek faydalanıcı ve fon kaynağını gözettim.
- [ ] Müşteriye şüpheyi ifşa etmedim (tipping-off yasağı).
- [ ] Her adımın gerekçesini ve denetim izini kayda geçirdim.
- [ ] STR/uyum hükmünü yetkili görevliye bıraktım.