World ID Bankalara Geldi: Deepfake Çağında Görüntülü Görüşmede İnsan Doğrulaması

Deepfake teknolojisi, canlı görüntülü görüşmede gerçek bir insanı taklit edebilecek düzeye geldi. World, bankalara bu soruna karşı iris taramasına dayalı bir insan kanıtı katmanı öneriyor. Fikrin mantığı sağlam. Ancak çözüm yeni bir soru doğuruyor: Görüntülü görüşmede insan doğrulamasını tek bir özel şirketin altyapısına bağlamak ne kadar güvenli?

Ne oldu?

Kurucuları arasında Sam Altman ve Alex Blania'nın bulunduğu World (eski adıyla Worldcoin), Money20/20 fuarında bankacılık ve finans için World ID çözümünü tanıttı. Sistem, Zoom gibi platformlardaki görüntülü görüşmelerde ya da yapay zeka ajanlarıyla yapılan işlemlerde karşı tarafın gerçek ve doğrulanmış bir insan olduğunu kriptografik olarak kanıtlamayı vaat ediyor. Doğrulamanın temelinde şirketin Orb adlı cihazıyla yapılan iris taraması var.

Neden önemli?

Görüntülü görüşme uzun süre “gördüğüme inanırım” ilkesine dayandı. Bu varsayım artık geçerli değil. 2024'te Hong Kong'da mühendislik şirketi Arup'un bir çalışanı, yöneticilerinin deepfake kopyalarının katıldığı bir video toplantısının ardından yaklaşık 25 milyon dolar transfer etti. Olay, sahte yüz ve sesin canlı ortamda bile ikna edici olabildiğini gösterdi. Bankalar için risk iki yönlü: Müşteri kılığındaki biri sahte hesap açabilir, banka temsilcisi kılığındaki biri de müşteriyi dolandırabilir.

Bankaların bugünkü savunması büyük ölçüde KYC süreçlerine dayanıyor: kimlik belgesi kontrolü, canlılık testi ve görüşmedeki temsilcinin gözlemi. Bu yöntemler “belge gerçek mi, karşımdaki kişi belgedekine benziyor mu?” sorusunu yanıtlıyor. World ise başka bir soruyu öne çıkarıyor: Karşımdaki bir insan mı? Üretken yapay zeka görüntüyü ve sesi taklit edebildikçe bu ikinci soru ayrı bir doğrulama katmanı gerektiriyor olabilir.

Sorun, bu katmanın kime emanet edildiği. World'ün iris toplama faaliyetleri Kenya, İspanya, Portekiz ve Endonezya gibi ülkelerde askıya alındı ya da soruşturmaya konu oldu. Almanya'da Bavyera veri koruma otoritesi veri silinmesine hükmetti. Şirket, iris verisini parçalara bölerek şifreli tuttuğunu ve sıfır bilgi ispatı (zero-knowledge proof) ile kişisel bilgi paylaşmadan doğrulama yaptığını söylüyor. Teknik tasarım ciddi bir çaba ürünü. Asıl tartışma ise güven ve yönetişim üzerinde.

Bankalara ve kullanıcılara nasıl yansır?

Bankalar açısından cazip taraf açık. Deepfake tespit yazılımları ile sahte içerik üreten modeller arasında bitmeyen bir yarış sürüyor. Kriptografik kanıt, bu yarışı görüntü analizinden çıkarıp matematiğe taşıyor. Ama bedeli de var. Doğrulama tek bir sağlayıcıya bağlanırsa, o sağlayıcının kesintisi, bir ülkedeki yasak kararı ya da iş modeli değişikliği doğrudan bankanın müşteri ilişkisine yansır. Kripto token ekonomisiyle büyümüş bir şirketin, sıkı düzenlenen bir sektörde kritik altyapı rolü üstlenmesi de denetçilerin sorgulayacağı bir konu.

Kullanıcı tarafında mesele daha temel. Şifre değiştirilebilir, iris değiştirilemez. Biyometrik veri bir kez sızar ya da kötüye kullanılırsa geri dönüşü yok. World'ün ham veriyle değil türeviyle çalıştığı iddiası doğru olsa bile, kullanıcıdan bir Orb bulup gözünü özel bir şirkete taratmasını istemek erişim ve rıza açısından yüksek bir eşik.

Türkiye'de görüntülü görüşmeyle hesap açmaya etkisi ne olur?

Türkiye, BDDK'nın 2021'de yürürlüğe giren uzaktan kimlik tespiti yönetmeliğiyle görüntülü görüşmeyle müşteri edinmeyi erken düzenleyen ülkeler arasında. Model; müşteri temsilcisiyle canlı görüşmeyi, kimlik kartındaki NFC çipinin okunmasını ve canlılık kontrolünü birleştiriyor. Çip okuma, sahte belgeye karşı güçlü bir kalkan. Zayıf halka ise görüntülü görüşmenin kendisi, yani deepfake'in tam hedef aldığı nokta.

World benzeri bir çözümün Türkiye'de kısa vadede yaygınlaşması zor görünüyor. KVKK biyometrik veriyi özel nitelikli kişisel veri sayıyor. Yurt dışına aktarım ve açık rıza kuralları sıkı. Bankacılık mevzuatı da kritik süreçlerde dış hizmet alımını sınırlıyor. Daha olası yol, bankaların deepfake tespiti ve canlılık kontrolüne yatırımı artırması ve NFC çipindeki biyometrik fotoğrafı eşleştirmede daha etkin kullanması.

Sırada ne var?

Üç başlık izlenmeli. Birincisi, World ile anlaşan bankaların hangi pazarlardan çıkacağı. İkincisi, Avrupa veri koruma otoritelerinin bu kullanım senaryosuna tepkisi. Üçüncüsü, yapay zeka ajanları adına işlem yapma yaygınlaştıkça insan kanıtı ihtiyacının nasıl standartlaşacağı. AB'nin dijital kimlik cüzdanı girişimi gibi devlet destekli projeler, aynı soruya kamusal bir yanıt vermeye aday.

Deepfake'e kriptografik bir yanıt aramak doğru yön. Ancak bu yanıtı tek bir özel şirketin iris veritabanına bağlamak, bir güvenlik açığını kapatırken yeni bir stratejik bağımlılık yaratıyor. Bankalar için sağlıklı olan, insan kanıtını tek bir sağlayıcıya değil, birlikte çalışabilen açık standartlara dayandırmak.