İstanbul’u hiç ekrandan izlediniz mi? Sabah yedide Boğaz’a inen sisi, Kadıköy iskelesinde biriken kalabalığı, Fatih’ten Taksim’e uzanan araç selini — hepsini tek bir ekrandan, tek bir algoritmadan? Biri izliyor. Belki her zaman birileri izliyordu. Ama şimdi soru değişti: o görüntüler nereye akıyor, hangi ülkenin hukukuna göre işleniyor?

I. Tahran’dan Gelen Ders: Trafik Verisi Altyapısının Stratejik Riski

Financial Times’ın isimsiz kaynaklara dayanan haberine göre İsrail istihbaratı, Operasyon Kükreyen Aslan’dan yıllar önce Tahran’ın trafik kamera ağına sızdı. Bu kameralar, İran rejiminin kentsel gözetleme amacıyla kurduğu bir altyapının parçasıydı. İroni burada başlıyor: Rejimin kendi denetimini pekiştirmek için inşa ettiği sistem, yıllar içinde tam tersine dönüp onu vuran bir silaha dönüştü.

Görüntülerin şifreli biçimde Tel Aviv sunucularına aktarıldığı ileri sürülüyordu; yapay zeka algoritmaları bu ham veriyi işliyor, İranlı yetkililerin yaşam örüntüleri haritalanıyordu — nereye gidiyorlar, ne zaman, kiminle, hangi güzergahla. Harita tamamlandığında sahaya dökülen operasyon kısa sürede hedeflerine ulaştı. General Dan Caine’in açıklamaları, siber ve uzay kabiliyetlerinin operasyonun ayrılmaz bir parçası olduğunu gösteriyor. Silah değil, veri. Ateş değil, örüntü.

Ne var ki savaş bitmedi. Onlarca ölüye rağmen İran ayakta; çatışmanın sona erip ermediği belirsiz. Tahran kapanmış bir dosya değil — açık bir dosya olarak önümüzde duruyor.

Ve bu dosyanın bir sayfası, 10 Mart 2026’da beklenmedik bir yerden açıldı.

Amerikan Girişim Enstitüsü (American Enterprise Institute — AEI) kıdemli araştırmacısı ve eski Pentagon danışmanı Michael Rubin, sosyal medya hesabından Türkçe bir paylaşım yaptı. Rubin, 1990’lı yıllardan bu yana bölge politikalarını yakından takip eden, Pentagon’da Irak ve İran dosyalarını bizzat yürütmüş bir isim; Türkiye konusundaki eleştirel tutumu da sır değil.

Yazdıklarının özeti şuydu: İstanbul ve Ankara’daki trafik kameralarının benzer biçimde erişime açık olması kuvvetle muhtemel. Hamas veya Hizbullah’ı destekleyen ya da Kürtlere yönelik operasyonlara karışan Türk siyasetçilerin, drone fabrikası çalışanlarının, istihbarat ve askerî personelin hareketleri bu kameralar aracılığıyla izlenebilir — ve bu bilgi ilgili aktörlerle paylaşılabilir. Olası bir çatışmada bu kişilerin ne kadar süre hayatta kalacağını da tahmin etti: birkaç dakika.

Washington’ın pek de Türkiye dostu olmayan politika çevrelerinden gelen bu metin, siyasi bir provokasyon olarak da okunabilir, bir risk bildirimi olarak da. Ama hukuk açısından bu ayrım ikincil önem taşır: kamuya açık platformda, ülkemiz yetkililerinin fiziksel güvenliğini doğrudan ilgilendiren bir senaryo dile getirildi. Rubin teknik kanıt sunmuyor; ancak doğrulanabilir olgulara dayanan mimari bir riske işaret ediyor. Bu olguların içeriği nedir?

II. İstanbul ve Ankara’nın Trafik Altyapısı: Kamuya Açık Belgeler Ne Söylüyor?

22 Eylül 2020’de, pandemi her iki şehri de dondurmuşken, İstanbul Büyükşehir Belediyesi (İBB) ile ABD Ticaret ve Kalkınma Ajansı (USTDA) ve Amerikalı yazılım şirketi SAS Türkiye arasında “İstanbul Ulaşım ve Trafik Mükemmeliyet Merkezi” projesi için 5,1 milyon dolarlık bir hibe anlaşması imzalandı. Tam bir ay önce, 20 Temmuz 2020’de, Ankara Büyükşehir Belediyesi de aynı USTDA ve SAS Türkiye ile “Hat ve İşletme Optimizasyonu Projesi” için ayrı bir 2,5 milyon dolarlık anlaşma imzalamıştı. Başkentin toplu taşıma rotaları, seyahat süreleri, acil durum senaryoları — tümü kapsam içinde.

Bu anlaşmaların yapıldığı 2020 yılında siber güvenlik farkındalığı Türkiye’de bugünkü seviyede değildi; 7545 sayılı Kanun henüz yoktu, ikincil düzenlemeler tartışılmıyordu. Anlaşmaları değerlendirirken bu bağlamı göz ardı etmemek gerekiyor. Asıl soru geriye dönük bir eleştiri değil: bu mimari bugün hâlâ işliyor ve hukuki çerçeve hâlâ eksik.

Rakamlar, kentsel bir trafik optimizasyon projesinin gerektirdiği altyapı yatırımıyla orantısız görünebilir. Bu izlenim yanlış değil; ama nedenini anlamak gerekiyor: para doğrudan belediyelere aktarılmadı, ABD hükümetinin Amerikalı teknoloji şirketine yabancı pazarda iş açmasını finanse etmesi biçiminde yapılandırıldı.

Projenin açıklanan hedefleri arasında ortalama seyahat süresini ve trafik sıkışıklığını azaltmak yer alıyordu. Aradan geçen altı yılda bu hedeflere ne ölçüde ulaşıldığına dair kamuya açık herhangi bir sonuç raporu ya da performans değerlendirmesi bulunmuyor. İBB, Mart 2025’te gündeme gelen iddialara yanıt verirken verilerin kendi veri merkezinde saklandığını açıkladı; ancak bu açıklamada projenin ulaşım hedeflerine dair herhangi bir değerlendirmeye yer verilmedi.

USTDA kendi tanımıyla “gelişmekte olan pazarlardaki kritik altyapıda ABD hükümetinin öncü aktörü.” Dışişleri Bakanlığı’nın dış politika rehberliği altında faaliyet gösteriyor; bütçe gerekçelerinde hedefler açık: “kritik teknolojilerde ABD liderliği” ve “ulusal güvenlik ve dış politika hedeflerine hizmet.” SAS ise aynı zamanda ABD Savunma Bakanlığı’nın tedarikçisi. Şirketin kendi kamu sektörü sayfasında şu ifade yer alıyor: “SAS’ın ilk müşterisi ABD federal hükümetiydi. Bugün ABD kabinesindeki tüm bakanlıklar ve Savunma Bakanlığı’nın tüm kolları SAS müşterisidir.”

Bunlar komplo iddiası değil — şirketin kendi kamuya açık beyanları. Tedarikçi olmak veri paylaşımı anlamına gelmiyor; ama hukuki risk değerlendirmesi açısından bu ilişkinin göz ardı edilmesi de mümkün değil.

III. FISA 702, CLOUD Act ve Yabancı Yazılımın Hukuki Statüsü

Peki İstanbul ve Ankara’nın trafik verisi nerede işleniyor?

SAS Viya, Microsoft Azure üzerinde çalışıyor. Türkiye’de Azure veri merkezi yok — Microsoft’un kendi topluluk forumundaki resmi yanıt bu. En yakın bölgeler Hollanda, İrlanda, BAE. Sözleşmelerde veri yerelleştirme koşulunun bulunup bulunmadığı kamuya açık değil.

Ve işte asıl hukuki mesele burada başlıyor.

ABD’nin Foreign Intelligence Surveillance Act (FISA 702) düzenlemesi, Amerikalı teknoloji şirketlerinin yabancı uyruklulara ait verilere yetkili makamların belirli koşullarda erişimine imkân tanıyan bir potansiyel erişim rejimi kuruyor; bireyselleştirilmiş mahkeme kararı değil, FISA Mahkemesi’nin genel onayı yeterli. Hedefin Türk vatandaşı ya da Türk kurumu olması bu tabloda herhangi bir güvence sağlamıyor. CLOUD Act ise daha ileri gidiyor: ABD Adalet Bakanlığı’nın kendi tanımıyla, bir şirketin ABD yargı yetkisine tabi olması halinde, kontrolündeki veriyi — nerede depolandığından bağımsız olarak — teslim etmesi gerekebilir. Süreç gizli yürür; sonuç, verinin sessizce el değiştirmesidir.

Kötü niyet aramaya gerek yok. Yapı böyle kurulmuş.

İBB, Mart 2025’te gündeme gelen iddialara yanıt verirken verilerin kendi veri merkezinde saklandığını açıkladı. Bu açıklama doğruysa yazılım katmanındaki FISA/CLOUD Act riski bu proje için farklı değerlendirilmeli. Ama buradaki asıl hukuki sorun veri konumundan ibaret değil: bu bilgiyi bağımsız olarak doğrulayacak teknik denetim mekanizması yok, sözleşme şartnamesi kamuya açık değil ve 7545 sayılı Kanun bugüne dek bu tür bir denetimi zorunlu kılmadı. Güvence, kurumun kendi açıklamasına dayanıyor.

IV. Bankacılık Sektörünün Çözdüğü Sorunu Belediyeler Neden Çözemedi?

Türk bankacılık sektörü bu riski çok daha önce fark etti. BDDK’nın Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği (15 Mart 2020, md. 25), bankaların birincil ve ikincil sistemlerini yurt içinde bulundurmasını zorunlu kılıyor; bulut hizmeti alınması durumunda bile dış hizmet sağlayıcının kullandığı sistemlerin yurt içinde konumlandırılması şart. Bir Türk bankasının müşteri verisi Hollanda sunucularında işlenemez. Ama İstanbul ve Ankara’da yaşayan milyonlarca insanın her sabah nereye gittiği, hangi güzergahı kullandığı, hangi saatte nerede olduğu — bu veriler, herhangi bir yasal engel olmaksızın yurt dışında işlenebilir. İki şehrin de aynı dönemde imzaladığı anlaşmalar, aynı yıl yürürlüğe giren bankacılık yönetmeliğinin hiç kapsamına girmedi.

Kamuoyunda şimdi bir tartışma var: veriler çalındı mı, kimin elinde, kim sorumlu? Siyasi eksen, polisiye dil. Ama bu tartışmanın gölgesinde kalan başka bir soru var — daha sessiz, daha kalıcı.

Mimari bu riski zaten içinde barındırıyordu.

Düzenleme ve denetim yetkisi olan kurumlardan — BTK’dan, Siber Güvenlik Başkanlığı’ndan, KGYS’nin sahibi sıfatıyla İçişleri Bakanlığı’ndan — açıklama yok. Anlaşmaları imzalayan belediyelerden de. Bu sessizlik bir tercih mi yoksa bir yetersizlik mi — her iki yanıt da ayrı ayrı ciddi. Zira kamuya hizmet sunan kurumların, bu hizmetin hangi teknik ve hukuki çerçevede yürütüldüğünü kamuoyuyla paylaşma sorumluluğu, demokratik hesap verebilirliğin en temel gerekliliklerinden biridir.

Lawrence Lessig yıllar önce şunu yazmıştı: Kod yasadır. Hangi bulut platformunun seçildiği, sözleşmede veri yerelleştirme koşulunun olup olmadığı, hangi şifreleme protokollerinin uygulandığı — bunların tamamı birer hukuki karar. Ve bu kararlar çoğunlukla ihale sürecinde, teknik şartnamede, hukuki denetimden uzakta verildi.

V. İki Sistem, Tek Şehir: KGYS, UYM ve Yalıtım Sorusu

Tahran bize bir şey öğretti: kentsel veri altyapısı bir güvenlik meselesidir. Trafik kameraları, sensörler, hareket örüntüleri — bunlar teknik sistemler olduğu kadar stratejik varlıklar. Bu varlıkların kimin hukukuna tabi olduğu barış döneminde göz ardı edilebilecek bir ayrıntı gibi görünebilir.

Ama bu noktada teknik bir ayrımı açıkça ortaya koymak gerekiyor. İstanbul’da iki ayrı kentsel kamera katmanı bulunuyor. Birincisi, güvenlik odaklı Kent Güvenlik Yönetim Sistemi (KGYS) — eski adıyla MOBESE. Bu sistem Emniyet Genel Müdürlüğü bünyesinde, İçişleri Bakanlığı’nın kontrolünde. Tahran’da sızılan sisteme teknik olarak en çok benzeyen bu. İkincisi, İBB’nin Ulaşım Yönetim Merkezi (UYM) sistemi — trafik akışı, seyahat süreleri, sensörler, mobil uygulama entegrasyonu. USTDA-SAS anlaşmasının hedeflediği bu.

İBB, bu sistemdeki verilerin kendi veri merkezinde tutulduğunu açıkladı; bu iddia doğruysa FISA/CLOUD Act erişim riski bu proje için farklı değerlendirilmeli. Ama iki sistem arasındaki sınır pratikte göründüğü kadar net değil. İBB’nin kendi UYM sayfası, Valilik’in bu sisteme anlık erişebildiğini belgeliyor; acil durumlarda ise AKOM çatısı altında tüm sistemler birleşiyor. İstanbul Valiliği’nin 2022’de hazırladığı resmi yazıda da belediye kamera sistemlerinin KGYS dışında alternatif veri kaynağı oluşturabileceği kabul ediliyor.

Bu entegrasyonun hukuki çerçevesi kamuya açık değil. Entegrasyon hangi hukuki çerçevede işliyor? Belediye sistemine erişim yetkisinin kime, ne zaman ve hangi koşullarda tanındığı kamuya açık bir belgede tanımlanmış değil. KGYS’nin siber güvenlik mimarisinin hangi denetim mekanizmasına tabi olduğu da. Rubin’in işaret ettiği risk tek bir sistemde değil — parçalı, dağıtık ve birbirine geçmiş bu altyapının bütününde.

VI. 7545 Sayılı Kanun ve Sessiz Kalan Siber Güvenlik Başkanlığı

7545 sayılı Siber Güvenlik Kanunu 19 Mart 2025’te yürürlüğe girdi. Üzerinden neredeyse bir yıl geçiyor. Kanunun öngördüğü kritik altyapı listesi henüz yayımlanmadı. Belediye ve kentsel ulaşım sistemlerinin kapsama alınıp alınmayacağı belirsiz. Veri yerelleştirme yükümlülüklerine ilişkin ikincil düzenleme yok. İhale süreçlerine yabancı yazılım denetim koşulu getirilmesine dair herhangi bir çalışma kamuoyuyla paylaşılmadı. Forseti’nin Ocak 2026’daki analizinde de tespit ettiğimiz üzere, piyasada 2026’nın ilk yarısı beklenti olarak konuşuldu; ama Siber Güvenlik Başkanlığı bu süreçte hala görünür değil.

Oysa pencere hâlâ açık. Belediye altyapılarının kritik altyapı kapsamına alınması, yabancı yazılımlar için bağımsız denetim zorunluluğu, veri yerelleştirme koşulunun ihale şartnamelerine eklenmesi — bunlar teknik değil, hukuki tercihler. Gecikmenin maliyeti ise her geçen gün artıyor.

Rubin bir senaryo yazdı. Senaryo teknik olarak mümkün. Hukukun görevi o senaryoyu imkânsız kılmak — ya da en azından önüne geçecek mimariyi zorunlu kılmak.

Savaş bize başka şeyler de öğretti: yerli yazılım, yerli altyapı, bağımsız veri merkezi — bunlar artık teknoloji politikasının değil güvenlik politikasının konusu. Ama bu, ayrı bir yazıyı hak ediyor.

 

Kapak Görseli; J. M. W. Turner, Rain, Steam and Speed – The Great Western Railway; the painting depicts an early locomotive of the Great Western Railway crossing the River Thames on Brunel’s recently completed Maidenhead Railway Bridge.The painting is also credited for allowing a glimpse of the Romantic strife within Turner and his contemporaries over the issue of the technological advancement during the Industrial Revolution. Rain, Steam and Speed – The Great Western Railway (1844). Oil on canvas, 91 × 121.8 (aproximation) cm (36 × 48.0 in). National Gallery, London.