Finans sektöründe yapay zeka kullanımının hızla yayılması, bankaların karşı karşıya olduğu siber güvenlik risklerini de yeniden şekillendiriyor. Avrupa Merkez Bankası’nın (ECB) 7 Temmuz 2026’da banka CEO’larına gönderdiği mektup, yapay zekanın siber tehdit ortamını değiştirdiğine dikkat çekerek finans kuruluşlarının savunma mekanizmalarını güçlendirmesini gündeme taşıdı.
Avrupa Sistemik Risk Kurulu’nun siber güvenlik risk derecelendirmesini “ciddi” seviyesine yükseltmesinin ardından ECB, önemli finansal kuruluşlardan 31 Ekim 2026’ya kadar yönetim kurulu tarafından onaylanmış bir eylem planı sunmalarını bekliyor.
BANKALAR İÇİN ÖNCELİKLİ ALANLAR BELİRLENDİ
Hazırlanacak planların kısa ve uzun vadeli önlemleri içermesi, kaynak tahsisini ve sorumlulukları netleştirmesi gerekiyor. ECB’nin öncelikleri arasında zafiyet ve yama yönetimi, siber tehditlerin izlenmesi, yapay zeka destekli savunma yetenekleri ve üçüncü taraf bilgi ve iletişim teknolojileri risklerinin yönetimi bulunuyor.
Bankaların ayrıca internete bağlı sistemlerini koruması, mevcut savunma katmanlarını güçlendirmesi ve eski teknolojilerini modernize etmesi bekleniyor.
Yapay zekanın siber saldırılarda kullanılabilmesi, geleneksel güvenlik süreçleri açısından da yeni bir baskı oluşturuyor. Yapay zeka destekli araçların yazılım açıklarını daha hızlı tespit edebilmesi, bankaların tehditlere karşı daha kısa sürede harekete geçmesini gerekli kılıyor.
“GÖLGE YAPAY ZEKA” KULLANIMI DA RİSK OLUŞTURUYOR
Bankaların kendi yapay zeka uygulamalarını güvence altına almasının yanı sıra çalışanların kurum tarafından onaylanmamış yapay zeka araçlarını kullanması da önemli bir risk alanı olarak öne çıkıyor.
“Gölge yapay zeka” olarak adlandırılan bu kullanım, kurumsal verilerin kontrol dışındaki yapay zeka sistemlerine aktarılması ihtimalini artırıyor. Bu nedenle ağ trafiğinin izlenmesi ve yetkisiz uygulamaların belirlenmesi, bankaların güvenlik politikalarında daha fazla önem kazanıyor.
ÜÇÜNCÜ TARAF TEKNOLOJİLERİ DE DENETİMDE
ECB’nin talimatı, bankaların yalnızca kendi altyapılarına odaklanmasını yeterli görmüyor. Harici yapay zeka servislerine aktarılan verilerin güvenliği ve teknoloji tedarik zincirindeki risklerin yönetilmesi de planların kapsamına giriyor.
Bu yaklaşım, finans kuruluşlarının hizmet aldığı teknoloji şirketleri ve yapay zeka sağlayıcıları üzerinden oluşabilecek riskleri de kurumsal siber güvenlik stratejisinin parçası haline getiriyor.
YÖNETİM KURULLARININ SORUMLULUĞU ARTIYOR
Düzenlemenin dikkat çeken yönlerinden biri, siber güvenlik konusundaki sorumluluğun teknik ekiplerle sınırlı tutulmaması. Eylem planlarının yönetim kurulu tarafından onaylanacak olması, yapay zeka kaynaklı siber risklerin doğrudan üst yönetimin gündemine taşınması anlamına geliyor.
Bankaların yapay zeka kullanımı, güvenlik riskleri ve olay eğilimlerine ilişkin ölçülebilir göstergeler oluşturması ve kriz anlarında müdahale kapasitesini güçlendirmesi bekleniyor.
ECB’nin 31 Ekim 2026 için belirlediği son tarih, bankalar açısından yapay zeka güvenliğinin artık yalnızca teknoloji yatırımı değil, aynı zamanda kurumsal risk ve yönetişim meselesi haline geldiğini ortaya koyuyor.
