Yaş doğrulamaları dünya çapında yasal birer zorunluluk haline geliyor. Artık asıl soru platformların yaş doğrulaması yapıp yapmadığı değil; topladıkları yüz verilerinin ne amaçla saklandığı ve bu verilerin toplanmasına gerçekten ihtiyaç olup olmadığıdır.
Ricardo Amper, Incode Technologies Kurucusu ve CEO’su tarafından kaleme alındı.
Şu an dünya genelinde yürürlükte olan 30’dan fazla yaş doğrulama yasası bulunuyor. Birleşik Krallık, Çevrimiçi Güvenlik Yasası kapsamındaki “yüksek derecede etkili” yaş kontrolü şartını uygulamaya koyarken, 16 yaş altındaki kullanıcıların sosyal medyaya erişimi için 2027 baharında kısıtlamalar getirmeyi planlıyor.
Avustralya’nın 16 yaş altı kuralları Aralık ayında yürürlüğe girdi ve hükümet, ilk uyumsuzluk dalgalarının ardından maksimum para cezalarını 99 milyon dolara çıkarmayı hedeflediğini bildirdi. Brezilya’da Dijital ECA Mart 2026’da yürürlüğe girecekken, şu anda ABD’deki eyaletlerin yarısı bir tür yaş doğrulaması şartı koşuyor.
Yüz yaş tahmini, bu kurallara uyum sağlamak için en erişilebilir yöntemlerden biri olarak öne çıktı. Bu yöntem ne resmi bir kimlik kartı gerektiriyor ne de bir veri tabanı sorgusu; bu durum, elinde sunacak hiçbir belgesi olmayan her yaştan kullanıcı için süreci uygulanabilir kılıyor.
Benzer bir dönüşüm, biyometrik verilerin kullanımı tarihindeki kritik dönemeçlerde de gözlemlenmiştir. 19. yüzyılın sonlarında parmak izlerinin kimlik tespiti için kullanılmaya başlanması, o dönemde hem büyük bir güvenlik devrimi olarak alkışlanmış hem de bireysel mahremiyetin sınırlarının nerede çizileceği konusunda benzer tartışmaları tetiklemişti. Bugün yüz taramalarıyla yaşanan çekinceler, aslında teknolojinin sunduğu kolaylık ile kişisel verilerin korunması arasındaki o kadim dengenin modern bir yansımasıdır.
Düzenlemeye tabi pazarlarda, Incode’un verileri, kullanıcıların diğer yaş doğrulama yöntemlerine kıyasla bu yöntemi on seçenekten sekizinde tercih ettiğini gösteriyor. Ancak bu sistem, insanların paylaşmaktan en çekindiği şeylerden birini talep ediyor: yüzlerini. Şimdiye kadar neredeyse her uygulama aynı şekilde çalışıyordu; yüzü yakala, sunucuya gönder ve tahmini orada gerçekleştir.
Sunucu tabanlı yaş tahminindeki sorunlar
Kayıtlar, özellikle üçüncü taraf teknoloji altyapısına güvenen tedarikçiler için bu durumun neden giderek büyüyen bir risk teşkil ettiğini açıkça ortaya koyuyor. Identity Theft Resource Center’ın 2025 Yıllık Veri İhlali Raporu, ABD’nin geçtiğimiz yıl 3.322 veri ihlali kaydettiğini gösteriyor; bu rakam hem bir rekor seviyesinde hem de son beş yıla oranla %79’luk bir artışa tekabül ederken, aynı dönemde tedarik zinciri kaynaklı ihlaller iki katına çıktı.
Aynı kuruluşun araştırmaları, tüketicilerin %63’ünün biyometrik veri toplama süreçleri hakkında ciddi endişeler taşıdığını ortaya koyuyor.
Bu süreçte saldırılar, savunma mekanizmalarından çok daha hızlı bir ölçekte büyüyor. Platformu üzerinden işlenen 7 milyardan fazla kimlik doğrulaması sırasında Incode, yapay zeka ajanlarının desteğiyle gerçekleştirilen agentic fraud (aracılı dolandırıcılık) vakalarındaki artışı takip etti. Bu durum aslında teknolojinin hızla evrildiği her dönemde karşılaşılan bir paradoksu hatırlatıyor; tıpkı 19. yüzyılın sonlarında telgraf hatlarının güvenliğinin sağlanamaması nedeniyle devlet sırlarının çalınması gibi, bugün de dijitalleşmenin sunduğu yeni araçlar eski güvenlik açıklarını çok daha geniş ve karmaşık ölçeklerde tetikliyor.
2024 yılında agentic fraud, dolandırıcılık girişimlerinin %3’ünü oluştururken, 2026’nın ilk çeyreğinde bu oran %40’a ulaştı. Incode, önümüzdeki 18 ay içinde bu oranının %90’ı aşacağını öngörüyor.
Cihaz Üzerinde Yaş Tahmini: Yüz Verisini Toplamadan Yaş Doğrulaması
Incode’un yüz yaş tahmini ve pasif canlılık modelleri artık tamamen kullanıcının telefonunda, tabletinde veya dizüstü bilgisayarında çalışıyor; bu sayede yüz verisi asla dışarıya iletilmiyor ve kaydedilmiyor.
Platformların, kullanıcı yüzü cihazdan ayrılmadan dünya çapındaki yaş doğrulama gereksinimlerini nasıl karşılayabileceğini inceleyin.
Politika ile Sağlanan Gizlilike Karşı Mimari ile Sağlanan Gizlilik
Sektörün şimdiye kadar standart cevabı bir gizlilik politikası olmuştur; yani biyometrik verilerin dikkatle işleneceğine ve kontrol işlemi tamamlandıktan sonra silineceğine dair yazılı bir söz.
Bir politika hukuki bir dokümandır; ancak bir güvenlik kontrolü değildir. Bir ihlali duruzduramaz, içerideki bir çalışanı engelleyemez veya güvenliği aşılmış bir tedarikçiyi durduramaz; yalnızca olay gerçekleştikten sonra sorumluluğu belirler.
Mimari yoluyla gizlilik ise bambaşka bir yaklaşım sunar: Sistemi, hassas verilerin en başından itibaren erişilebilir hale gelmeyeceği şekilde inşa etmek. Eğer bir yüz hiçbir zaman dışarıya iletilmiyorsa, ele geçirilemez.
Eğer veri asla kaydedilmiyorsa, ihlal edilemez. Kullanıcılar kimsenin sözüne güvenmek zorunda kalmaz; gizlilik artık bir vaat olmaktan çıkar ve mimarinin somut bir gerçeği haline gelir. Bu yaklaşım aslında siber güvenlik tarihindeki kritik bir dönüşümü simgeliyor; tıpkı geçmişte değerli eşyaları korumak için fiziksel kilitlere ve muhafızlara duyulan güvenin yerini, günümüzde verinin saklanma biçimiyle doğrudan korunmasını sağlayan şifreleme protokollerine bırakması gibi, teknoloji artık “güven” yerine “yapısal kesinlik” sunuyor.
İki Parçadan Oluşan 100 Milyon Dolarlık Taahhüt
Geçen ay, yapay zeka destekli kimlik doğrulama ve dolandırıcılık önleme alanında lider konumdaki Incode Technologies, gizlilik odaklı kimlik altyapısını geliştirmek için 100 milyon dolarlık bir taahhüdü duyurdu. Bu yatırım, eşten eşe (peer-to-peer) dolandırıcılık karşıtı iş birliği için gizliliği artıran kriptografik çözümler üzerine uzmanlaşan Identiq şirketinin satın alınmasıyla birlikte geldi.
Bu fonlar; cihaz üzerinde işlem yapma kabiliyetleri, gizliliği artıran teknolojilerde sürekli Ar-Ge çalışmaları ve genişletilmiş mühendislik kaynakları ile küresel ayak izini büyütmek için yönlendiriliyor.
İki hafta sonra ilk ürün kamuoyuyla paylaşıldı. Temmuz ayında piyasaya sürülen Cihaz Üstü Yaş Tahmini, Incode’un tescilli modellerinin ilk kez tamamen kullanıcının kendi cihazında çalıştığı bir dönüm noktası oldu.
Her iki gelişme de şirketin kuruluşunda alınan mimari kararlara dayanmaktadır: Biyometrik verilere insan erişimi yerine yapay zeka odaklı doğrulama, işlemin kullanıcının kendi cihazına taşınması ve verileri ifşa etmeden çalışacak şekilde tasarlanmış dolandırıcılık iş birlikleri.
Birinci Bölüm: Yüzün Asla Cihazdan Çıkmadığı Yaş Kontrolleri
Cihaz Üzerinde Yaş Tahmini (On-Device Age Estimation) teknolojisi, Incode’un iki temel modelini doğrudan kullanıcının telefonunda, tabletinde veya dizüstü bilgisayarında çalıştırır: yüz yaş tahmini ve pasif canlılık tespiti. Bu sistem, kameranın önünde bir fotoğraf, deepfake veya yeniden oynatılan bir video yerine gerçek ve canlı bir insanın bulunduğunu doğrular. Yüz verisi yerel olarak analiz edilir; hiçbir şekilde dışarı aktarılmaz veya kaydedilmez.
Dışarıya iletilen tek veri, kullanıcının platformun belirlediği yaş eşiğini karşılayıp karşılamadığına dair sonuçtur. Herhangi bir nedenle kontrol tamamlanamazse, kullanıcı otomatik olarak platform tarafından seçilen alternatif bir doğrulama yöntemiyle yönlendirilir.
Bu süreci mümkün kılan temel adım modellerin boyutlarını küçültmektir. Incode, her iki modeli de “bilgi damıtma” (knowledge distillation) tekniğini kullanarak orijinal boyutlarının yaklaşık on binde birine indirdi. Bu teknik, kompakt bir modelin, çok daha büyük ve gelişmiş bir modelin vereceği kararları birebir taklit edecek şekilde eğitilmesini sağlar.
Elde edilen bu modeller, özel bir donanım gerektirmeden geniş bir cihaz yelpazesinde standart bir tarayıcı veya uygulama içinde çalışabilecek kadar küçüktür.
Yüz verisi kullanıcının kendi cihazında işlendiği için, Incode’un veya herhangi bir platformun biyometrik verilere ya da yüz görüntüsüne erişmesinin teknik olarak hiçbir yolu yoktur. Basitçe ifade etmek gerekirse: kullanıcı yaşını kanıtlar, ancak yüzü cihazda kalır.
Bu yaklaşım, aslında bilişim dünyasında uzun süredir tartışılan “uç bilişim” (edge computing) kavramının güvenlik ve gizlilik odaklı birer örneğidir. Geçmişte verilerin merkezi sunucularda işlendiği dönemlerde veri güvenliği riskleri çok daha yüksekti; günümüzde ise kritik verilerin kaynağında, yani kullanıcının kendi cihazında işlenmesi, 1970’lerden bu yana gelişen kişisel veri koruma prensiplerinin modern birer yansıması olarak görülmektedir.
Peki, neden herhangi bir veri sunucuya gönderiliyor?
Kolayca manipüle edilebilen bir yaş kontrolü kimseyi korumaz. Cihazın tek başına tam olarak engelleyemediği durumlar; oturumun kendisinin tahrif edilmesi, örneğin sisteme dışarıdan dahil edilen sahte bir kamera akışı veya üzerinde oynanmış bir cihazdır. Incode’un sunucu tarafındaki katmanı; oturumun ne zaman ve nasıl gerçekleştiği, cihazın ve bağlantının karakteristik özellikleri gibi “oturum meta verilerini” analiz ederek müdahale saldırılarını ve tahrifatları tespit eder.
Bu veri seti yüz veya biyometrik bilgi içermez; yalnızca dolandırıcılık tespiti ve oturum bütünlüğünün korunması için mevcuttur.
Bu meta veriler olmadan, reşit olmayanlar yetişkin gibi görünebilir, yetişkinler ise reşit olmayan olarak tanımlanabilir; böyle bir durumda sistem güvenlik ve uyumluluk standartları açısından hiçbir değer ifade etmez.
Bu savunma mekanizmaları, doğdukları çevrenin ve maruz kaldıkları zorlukların birer mirasını taşımaktadır. Incode’un modelleri on yılı aşkın süredir internet dünyasının en yoğun saldırı altında olduğu alanlarda; bankalar, finansal teknolojiler (fintech), sağlık hizmetleri ve dolandırıcıların her gün derin sahte içerikler, sisteme sızma saldırıları ve tekrar oynatılan videolar kullandığı yüksek riskli servislerde aktif olarak görev yapmaktadır.
Incode’un güvenlik katmanı; derin sahte, sisteme sızma, tekrar oynatma ve fiziksel taklit gibi yöntemlere karşı %99 oranında sahtecilik tespiti sağlamaktadır. Bu standart, ABD’deki en büyük on bankadan sekizinin güveniyle onaylanmış bir anti-taklit protokolüdür ve 2026 yılı itibarıyla Incode platformu üzerinden 1 milyondan fazla yüz saldırısını başarıyla tespit etmiştir.
Cihaz Üzerinde Yaş Tahmini (On-Device Age Estimation), cihaz üzerindeki yaş tahmini özelliğini bu güçlü savunma mekanizmalarıyla birleştiren ilk kurumsal hazır çözümdür; şirket, bu kombinasyonun dünya çapındaki platformların yaş doğrulama standartlarını yeniden belirleyeceğine ve sektörü ileriye taşıyacağına inanmaktadır.
İkinci Bölüm: Veri Havuzlamadan Kaçınarak Birlikte Dolandırıcılıkla Mücadele
Taahhüdün ikinci kısmı, kurumların dolandırıcılık istihbaratını paylaşma biçimindeki kritik bir risk alanına odaklanmaktadır. Dolandırıcılar kurumsal sınırları aşarak geniş çaplı iş birlikleri kurarken, onlara karşı savunma hattı oluşturan kurumlar genellikle tek başlarına hareket eder ve tehdit verilerinin yalnızca küçük bir kısmını görebilirler.
Geleneksel çözüm olan kurumlar arası müşteri verilerini havuzlamak, bir sorunu çözerken başka bir riski tetiklemektedir. Merkezi veri havuzları (data lakes), tam olarak siber saldırı istatistiklerinin işaret ettiği ve hedef alınması en kolay noktalardır.
Bu durum aslında dijital güvenlik dünyasında tarihsel bir paradoksu yansıtmaktadır; 19. yüzyılın sonlarında bankacılık sistemleri merkezileşmeye başladığında, tüm nakit ve kayıtların tek bir merkezde toplanması operasyonel verimliliği artırsa da aynı zamanda büyük çaplı soygunlar için “tek bir hedef” oluşturmuştu. Günümüzün dijital dünyasında veri havuzları, o dönemdeki fiziksel altın depoları gibi açık ve savunmasız odak noktaları haline gelmiştir.
Identiq, kurumların müşteri verilerini hiçbir üçüncü tarafa ifşa etmeden sadece dolandırıcılık sinyallerini paylaşmasına olanak tanıyan patentli gizlilik artırıcı teknolojiyi geliştirmek için yaklaşık on yıl harcadı ve 50 milyon dolardan fazla yatırım yaptı.
Merkezi veri havuzları yok. Veri aracılığı yok.
Incode platformuna entegre edilen bu çalışma, yıllık milyarlarca doğrulamaya ulaşması öngörülen bir sistem olarak platformun yeteneklerine ağ tabanlı dolandırıcılık istihbaratı ekleyecektir.
Identiq Kurucu Ortağı ve CEO’su Itay Levy, kurumların ortak endişesini şu sözlerle ifade ediyor: “Bize her kurum aynı soruyu sordu: Müşteri verileri üzerindeki kontrolü kaybetmeden dolandırıcılıkla nasıl birlikte mücadele edebiliriz?”
Levy, bu soruya verilen cevabı Identiq olarak geliştirdiklerini ve Incode bünyesinde bu çözümün artık büyük miktarda kullanıcı verisiyle çalışan her organizasyonun kullanımına sunulduğunu belirtiyor.
Şu Anda Standartlar Belirleniyor
Baskı iki koldan geliyor: Düzenlemeler sürekli genişliyor ve kullanıcılar giderek daha fazla gizlilik odaklı yöntemler talep ediyor. Regülatörler ise hangi yaş doğrulama yöntemlerinin etkili kabul edileceğine aktif olarak karar verme aşamasında; bu durum, mevcut dönemi standartların belirlendiği kritik bir süreç haline getiriyor.
Bu tür bir denge arayışı aslında teknoloji dünyasında köklü bir geçmişe dayanıyor. Örneğin, 1970’lerde Avrupa’da kişisel verilerin korunmasına yönelik ilk yasal çerçevelerin tartışılmaya başlanmasıyla ortaya çıkan “güvenlik için mahremiyetten ödün verme” ikilemi, bugün dijital kimlik doğrulama teknolojilerinde çok daha karmaşık bir boyuta taşındı. Geçmişteki bu savunma mekanizmaları ve veri koruma çabaları, bugünün gelişmiş şifreleme ve yerel işleme teknikleri için temel taşlarını oluşturarak günümüzün katı regülasyonlarına karşı sağlam bir zemin hazırladı.
Incode’un bu süreçteki konumu bir yol haritasından ziyade somut bir başarı tablosu olarak öne çıkıyor: SOC 2 Type 2, ISO/IEC 27001, HIPAA Attestation of Compliance, FedRAMP Ready, Age Check Certification Scheme (ACCS) ve Kantara IAL2 Component Services Trust Mark gibi kapsamlı uyumluluk programları; işlenen 7 milyardan fazla güven kontrolü; ve artık yüzün cihazı asla terk etmediği, verilerin birleştirilmeden dolandırıcılıkla mücadele edildiği somut bir ürün sunuyor.
Incode Kurucu Ortağı ve CEO’su Ricardo Amper konuyu şu sözlerle özetliyor: “Gizlilik ve dolandırıcılığın önlenmesi arasında bir ödünleşme değil, aynı sorunun parçaları olduğuna her zaman inandık; yani bu sorun ya birlikte çözülür ya da hiçi.”
Yaş doğrulamaları dünya genelinde yasal bir zorunluluk haline geliyor. Bizim görevimiz, yaşınızı kanıtlamanın kullanıcı için mümkün olduğunca az zahmet gerektirmesini sağlamak.
Incode’un Cihaz Üzerinde Yaş Tahmini Özelliğini Deneyin
On-Device Age Estimation özelliğinin, platformların kullanıcının yüzü cihazdan ayrılmadan yaş doğrulama gereksinimlerini nasıl karşıladığını görün ve ekibiniz için bir tanıtım randevusu alın: incode.com/privacy
Kaynak: Bleepingcomputer