AML ve KYC teknolojileriyle güvenli ve uyumlu platformlar

30 saniyede karar

Yeni bir kullanıcı kayda başlar. Kimlik fotoğrafı yükler, selfie çeker, adresini yazar. Siz birkaç saniye içinde karar vermek zorundasınız: kabul mü, inceleme mi, ret mi? Yanlış karar risk taşır. Doğru karar hız ister. Peki bunu hangi teknoloji katmanları ile, hem güvenli hem uyumlu şekilde yaparız?

AML/KYC neydi, neye dönüştü?

KYC, “müşterini tanı” demektir. Kimliğin doğru kişiyle eşleştiğini kanıtlar. eKYC ise bu süreci dijital yapar. KYB ise şirket müşteriler için benzer bir kontroldür. AML, “kara para aklamayı önleme” çerçevesidir. Kural seti, süreç ve izleme içerir. Son yıllarda temel fark şudur: Bu iş artık sadece bir liste taraması değil. Canlılık kontrolü, belge sahteciliği tespiti, işlem grafiği, açıklanabilir yapay zekâ ve vaka yönetimi bir arada çalışır.

Küresel çizgiyi anlamak için FATF tavsiyeleri günceldir. AB içinde iseniz, AB AML/CFT paketi kapsamı ve takvim etkiler. Bu çerçeve, teknoloji seçimini ve kayıt akışınızı doğrudan etkiler.

Gerçeklik kontrolü

• “PEP taraması yaptım, bitti” yanlıştır. PEP sadece bir parçadır.
• Belge sahteciliği yaygındır. Sadece gözle bakış yetmez.
• Düşük sürtünme her zaman düşük risk demek değildir. Akıllı sürtünme gerekir.

Görünmeyen mimari: KYC/AML teknoloji yığını

Kimlik kanıtı: belge okuma, biyometri, liveness. NIST çerçevesi tutarlılık sağlar; bkz. NIST SP 800-63-3 dijital kimlik kılavuzu. Kurumsal müşteri doğrulamada LEI kontrolü değer katar; bkz. GLEIF/LEI verileri.

Tarama katmanı: PEP, yaptırım, olumsuz haber (adverse media). Burada iyi eşleşme stratejisi ve bağlamsal alanlar (doğum tarihi, ülke) gerekir. Risk skoru: davranış ve profil verisi bir arada puan üretir. İşlem izleme: kurallara ek, grafik temelli ve makine öğrenimi tabanlı anomali tespit eder. Vaka yönetimi: karar izleri, notlar ve denetim izi. Rehberlik için FCA finansal suç rehberi pratik bakış sunar.

Tablo: Modüller, amaç, etki, veri, gizlilik riski, yaygın tuzaklar

Aşağıdaki tablo, temel modül ve metrikleri tek bakışta özetler. Kendi ortamınıza göre eşikleri ve veri işleme notlarını güncelleyin.

Kişisel veri işlerken açık rıza, saklama süresi ve veri minimizasyonu şarttır. AB için pratik kılavuz: GDPR rehberi.

Sahadan kısa bir vaka

Orta ölçekli bir ödeme uygulaması, yeni ülkeye açıldı. İlk ay, PEP eşleşmeleri çok arttı. Yanlış pozitifler, destek kuyruğunu şişirdi. Kayıt onayı 9 dakikadan 2 dakikaya düşmeliydi ama 15 dakikaya çıktı.

Ekip üç adım attı: (1) PEP eşleşmelerine doğum tarihi ve ülke alanını zorunlu yaptı. (2) Yüksek risk segmentinde liveness adımını öne aldı, düşük riskte asenkron belge kontrolüne geçti. (3) İşlem izlemede “yeni cihaz + yüksek tutar + ilk 24 saat” kuralını ağırlıklandırdı. Sonuç: yanlış pozitif %41 azaldı, ilk onay süresi 3 dakikanın altına indi. Bu yaklaşım, “risk temelli” ilkeye uygundur; bkz. EBA risk faktörleri rehberi.

Yüksek riskli alanlar: kripto, ödemeler, çevrim içi oyun

Kripto borsaları, P2P ödemeler ve çevrim içi oyun, hız ve anonimlik nedeniyle daha risklidir. Ülke, lisans, yaş ve cihaz izi önemlidir. İlk işlemde daha sıkı kontrol, sonra dinamik azaltma stratejisi işe yarar. Singapur otoritesinin açıklayıcı sayfası çerçeveyi net verir: MAS AML/CFT açıklaması.

Oyun tarafında, lisans ve şeffaflık, risk yönetiminin parçasıdır. Kullanıcılar güvenli siteleri bilmek ister. Tarafsız incelemeler bunu kolaylaştırır. Bu yüzden bağımsız bir kaynak olan Spilloversikt.com gibi siteler, hangi platformların lisanslı olduğunu, ödeme hızını ve sorumlu oyun araçlarını açıkça göstererek hem kullanıcıya hem operatöre şeffaflık sağlar.

Küresel resim ve kapasite geliştirme konularında Dünya Bankası AML/CFT sayfası geniş kaynak sunar.

Yapay zekâ, açıklanabilirlik ve model riski

ML modeli hızlıdır ama karar nedenini açıklamak zorundasınız. İç kontrol, denetim izi ve “neden bu alarm?” sorusuna net yanıt şarttır. “Model drift” izlenmezse iyi model de zamanla bozulur. Bu yüzden model versiyonlama, A/B test ve gölge mod gereklidir.

İyi uygulama ilkeleri için Wolfsberg İlkeleri değerlidir. Özellikle müşteri risk sınıflaması ve işlem izleme tasarımında yol gösterir.

Yaptırım, PEP ve medya taraması: liste + bağlam

Yaptırım listeleri çoktur ve hızla güncellenir. ABD için OFAC arama, AB için AB yaptırım haritası iyi başlangıçtır. İsim eşleşmesinde bağlam şarttır: doğum tarihi, ülke, meslek ve hatta dil farklı yazımlar.

Ceza soruşturma işaretlerini ararken, resmi uyarı türlerini de gözden kaçırmayın; örneğin INTERPOL Red Notice kayıtları.

Gizlilik–uyum dengesi

Güvenlik isteriz ama veri hakkına da saygı gerekir. En iyi yol: veri minimizasyonu, açık rıza, saklama süresi kısaltma, teknik ve idari tedbir. Güvenlik yönetim sistemi için ISO/IEC 27001 standart bir zemindir. Türkiye’de kişisel veriler için KVKK rehberi gereklilikleri belirler. Ülke dışına veri aktarımı, DPIA ve silme politikası net yazılı olmalıdır.

Satın almak mı, inşa etmek mi?

Kritik soru budur. Kendi çözümünüz size esneklik verir ama zaman alır. Tedarikçi çözümü hızlıdır ama kapsama ve maliyete bakmak gerekir. Kriterler: kapsama (ülke, belge tipi), doğruluk, gecikme (latency), fiyat, API sınırları, SLA, denetim izi, destek ve yol haritası.

ABD’de faaliyet veya karşı taraf varsa, kılavuzlar ve rapor yükümlülükleri için FinCEN rehberleri önemlidir.

Hızlı başlangıç kontrol listesi

• Risk değerlendirmesi yapın; ürün, ülke, kanal bazında.
• KYC kanıt matrisini yazın; hangi riskte hangi adım.
• PEP/yaptırım kaynaklarını ve güncelleme sıklığını sabitleyin.
• Alarm eşiğini segment bazlı deneyin; sonuçları ölçün.
• DPIA ve saklama süresi politikasını imzalayın.
• Model izleme: drift, yanlılık, açıklama arşivi.
• Ekip eğitimi ve vaka yazımı için standart form oluşturun.
• Sahtecilik taktikleri için aylık gözden geçirme takvimi kurun.

SSS

PEP taramasında yanlış pozitifleri nasıl azaltırım?

Ad-soyadı bağlamla eşleştirin: doğum tarihi, ülke, dil varyasyonu. Eşik değerini isim benzerliğine göre katmanlı yapın. Düşük güven eşleşmeyi operatöre bırakın. Negatif anahtar kelime listesi (ör. farklı kişi işareti) ekleyin.

Biyometrik liveness hangi hileleri yakalar?

Canlılık, maske, fotoğraf, video oynatma ve ekran yansıtma gibi hilelere karşı çalışır. Pasif liveness kullanıcıyı yormaz; aktif liveness daha güvenlidir. Işık ve açı çeşitliliği veri setinde olmalıdır.

KYC’de belge sahteciliğine karşı en güncel yöntem nedir?

Çoklu sinyal yaklaşımı en sağlamıdır: MRZ kontrol, hologram/UV, güvenlik öğesi okuma, yazı tip analizi, kâğıt dokusu sinyali ve cihaz imzası. Şüpheli durumlarda manuel incelemeyi hızlı kuyruğa alıp geri bildirimle modeli güncelleyin.

İşlem izleme alarm eşiğini nasıl ayarlarım?

Önce kural tabanlı eşiklerle başlayın. Sonra ML ile hassasiyeti artırın. Gözlem penceresi (zaman), tutar ve frekans kombinasyonlarını test edin. A/B deneyle yanlış pozitif ve kaçırtma oranını birlikte izleyin. Genel çerçeve için BIS raporları faydalıdır.

Kapanış: Öğrendiklerimiz

Hız ve güven bir arada olabilir. Anahtar, katmanlı ve risk temelli tasarım, iyi kaynaklar ve açıklanabilir karar izidir. Küçük değişiklikler bile büyük fark yaratır: bağlam alanı eklemek, eşikleri bölmek, modeli izlemek. Bugün bir adım atın: kayıt akışınızı gözden geçirin, tabloya göre boşlukları işaretleyin, dış kaynakları yer imine ekleyin.

Hukuki uyarı: Bu içerik genel bilgilendirme amaçlıdır; hukuki danışmanlık değildir. Kendi hukuk ve uyum ekibinizle doğrulayın.

Yazar notu: İçerik, AML/KYC projelerinde saha deneyimine ve kamu kurumu kılavuzlarına dayalıdır.

Son güncelleme: Haziran 2026