Deepfake Nedir?
Deepfake (derin sahte) insanın duyu organlarıyla hatta belki de makinelerin dahi ayırt edemeyeceği kadar gerçekçi gözüken videolar üreten bir yazılım. Bu yazılım, bir kişinin sesi ve görüntüsünü başka bir kişinin vücuduna yerleştirerek sahte video üretilmesini ve bu videoda istenilen sözlerin söylenilmesini veya istenilen hareketlerin yapılmasını mümkün kılmaktadır.
Deepfake, mevcut veri setlerinden yeni veriler yaratabilen bir algoritma seti olan Generative Adversarial Networks’ü (GANlar), yani Üretken Çekişmeli Ağlar’ı kullanmaktadır[1]. Bir insanın yüzünü sabit bir görüntüde tanımlamak ve sonra başka bir yüzle değiştirmek (faceswap) için programlanan yapay zekâ; bunun için saniyede 30 ila 60 fotoğraf arasında tekrarlanarak (Frames per second (FPS)) bir video üretilmektedir[2]. Bunun temelinin ise Tensor Flow ve Keras gibi çoklu açık kaynaklı kütüphanelere (Open Source Libraries) dayandığı ifade edilmektedir[3]. Deepfake ile sahte video üretebilmek için Google görsel arama ve Youtube videolarından elde edilen ünlülerin ses ve görüntüleri kullanılmaktadır. Yüksek kalitede deepfake videosu üretebilmek günler alsa da bugün herkesin kullanabileceği ve anlık sahte video üretebildiği mobil uygulamalar ve yazılımlar bulunmaktadır[4].
Tehlikeler ve Özel Deepfake Kanunları
2017’de deepfake, 2018’de faceapp ve yakın zamanda Reface de yapay yüz ifadeleri ve konuşmaları oluşturan uygulamalar olarak hayatımıza girmiştir[5]. Her gün gelişmekte olan bu teknoloji, insan gözüyle ayırt edilemeyecek kadar gerçekçi sahte videolar üretmeyi mümkün kılarak temel hak ve özgürlüklere ciddi şekilde müdahale edebilecek bir potansiyele sahiptir.
Günümüzde genellikle ABD eski başkanı Barrack Obama’nın ve Tom Cruise’un videoları konuşulsa da deepfake kavramı ilk kez 2017 yılında Reddit adlı bir sitede ünlü oyuncuların yüzlerini porno videolarına yerleştirmek için kullanılmıştır[6]. Deepfake pornografisi aktör veya aktrisin yüzlerine deepfake teknolojisi uygulanarak zaten var olan bir pornografik yayını değiştirerek oluşturulan bir tür sahte pornodur. Bu içeriklerin üretiminde oldukça ciddi bir artış söz konusudur. Hollandalı siber güvenlik girişimi Deeptrace tarafından Ekim 2019'da yayınlanan bir raporda, tüm çevrimiçi deepfakelerin %96'sının pornografik olduğu belirtilmektedir[7]. Tüm bu süreç, 2019 yılında Amerika’da iki eyaleti (Virjinya, Kaliforniya) özel deepfake kanunu ile deepfake pornografisini cezalandırma yoluna itmiştir. Virjinya, ülkede rıza dışı deepfake pornografisinin dağıtımına cezai yaptırımlar uygulayan ilk eyalettir[8]. 1 Temmuz 2019'da yürürlüğe giren kanun, rıza dışı “sahte oluşturulmuş” müstehcen görüntü ve videoların dağıtımını bir kabahat (misdemeanor) haline getirmekte ve bir yıla kadar hapis ve 2.500 dolar para cezası ile cezalandırmaktadır[9].
Gerçek bir kişinin sesi ve görüntüsü manipüle edilerek sahte bir video üretildiğinde bu sahte içerik; o kişiyi aşağılamak, küçük düşürmek veya ilgili sahte video ile tehdit etmek için kullanılabilir. Örneğin, Amerika’da bir kadın, kızının rakip takımında yer alan amigo kızların görüntülerini deepfake yazılımıyla manipüle ederek sigara, alkol ve uyuşturucu madde kullanırken gösteren içerikler üretmiştir. Bu sahte içeriklerle genç kızları tehdit eden kadın, genç kızların şikâyeti üzerine IP adresi takip edilerek yakalanmıştır. Bu siber taciz olayında, failin kendini saklayabilmek için en az dört telefon numarası, çeşitli uygulamalar ve araçlar kullandığı belirtilmektedir[10]. Bu konuda çevrimiçi toplulukların ve sosyal medya ağlarının hizmet sağlayıcıları da çeşitli politikalar geliştirmektedir. Örneğin; Mart 2015'te Twitter, izinsiz cinsel görüntülerin yayınlanmasını yasaklamıştır[11]. Bu tarz içerikleri paylaşan kişilerin hesapları kilitlenmiş ve kullanıcıların siteyi kullanmaya dönmeden önce ilgili içeriği silmeleri gereken bir sistem öngörülmüştür. Haziran 2015'te ise Google, mağdurlar için artık görüntülerinin Google İnternet aramalarından çıkarılmasını talep edebilecek yeni bir bildirim mekanizmasını başlatmıştır. Temmuz 2015'te Microsoft, mağdurların içeriğinin Bing arama motorundan ve OneDrive ve Xbox Live bulut hizmetlerinden kaldırılmasını sağlayacak benzer bir işlevi duyurmuştur.
Deepfake teknolojisi, kişiye gerçekte hiç söylemediği şeyleri sahte videoda söyleterek ve yapmadığı şeyleri yaptırarak insanları kandırmak ve dolandırmak için kullanılabilir. Örneğin, deepfake teknolojisi kullanılarak tespit edilen ilk siber dolandırıcılık vakası 2019 yılında yaşanmıştır. Wall Street Journal, ses klonlama yöntemiyle bir Alman enerji şirketinin 243 bin dolar değerinde dolandırıldığını anlatmaktadır. Olayda siber saldırganlar, İngiltere’de faaliyet gösteren bu şirketin yöneticisini Almanya’daki ortağın sesini yapay zekâ ile birebir kopyalayarak aramışlar ve Macaristan’daki bir tedarikçiye acil olarak 243 bin dolar ödeme yapmasını istemişlerdir. İngiltere’deki yönetici, telefonda firmasının Almanya’daki büyük hissedarı olan şirketin CEO’sunun sesini duyduğu için hiçbir şeyden şüphelenmemiş ve oluşan nakit açığı kısa sürede başka bir ödeme ile kapatılacağından ödemeyi gerçekleştirmiştir. Ancak daha sonra açığı kapatacak ödeme gelmeyince Macaristan’a gönderilen paranın Meksika’ya ve oradan da başka yerlere gönderildiği anlaşılmıştır. Bu olay deepfake teknolojisi kullanılarak tespit edilen ilk siber dolandırıcılık vakası olarak kayıtlara geçmiştir[12].
Deepfake videolarının siyasetçilere söylemedikleri sözleri söyleterek veya yapmadıkları bir hareketi yaptırarak seçim sonuçlarını etkilemek için kullanılması riski de bulunmaktadır. Örneğin, Amerikalı aktör Jordan Peele’nin sesi ve görüntüsü manipüle edilerek, Barack Obama'nın Donald Trump’a küfrettiğini gösteren bir deepake videosu üretmiştir. (17 Nisan 2018'de YouTube'a yüklendi) Bu videoda, Peele'nin sesi ve ağzı, Obama'nın sesine ve yüzüne dönüştürülmüştür[13]. Nitekim Amerika’da bilhassa ulusal güvenlik, seçimlerin manipüle edilmesini engellemek ve bilgi dezenformasyonunu önüne geçmek amacıyla deepfake kanunları çıkarıldığı görülmektedir. İlgili düzenlemelerde deepfake yazılımı ile üretilen videolara #deepfake ve benzeri yazılımlarla üretildiklerini gösteren bir filigran yerleştirilmesi zorunluluğu getirilmektedir[14]. Amerika’da ilk kez 20 Aralık 2019 tarihinde deepfake algoritmaları Federal düzeyde hukuki düzenlemeye konu olmuştur. 2020 Mali Yılı Ulusal Savunma Yetkilendirme Kanunu’nda Ulusal İstihbarat Direktörüne (DNI) bir raporlama gerekliliği ve bildirim yükümlülüğü bulunmaktadır. Amerika Birleşik Devletleri'nin seçimlerini veya yerel siyasi süreçlerini hedefleyen deepfake yazılımlarının kullanılması durumunda Kongreye bildirim yükümlülüğü getirilmiştir. Ayrıca Virjinya, Teksas ve Kaliforniya eyaletlerinde özel deepfake kanunları bulunmaktadır. Örneğin, Teksas’ta seçimlere zarar vermek amacıyla bir adayı karalamak veya seçim sonucunu etkilemek amacıyla seçime 30 gün kala bir deepfake videosu yapılmasını bir yıla kadar hapis cezası ve 4.000 ABD doları para cezası ile cezalandıran bir kanun bulunmaktadır[15].
Bununla birlikte, kamera görüntüsü bildiği gibi önemli bir delil aracıdır. Dolayısıyla yargılama sırasında delillerin sıhhati bakımından da artık ciddi bir şüphe söz konusu olabilir. Son olarak, bilgi teknolojilerini bulanıklaştıran deepfake benzeri algoritmalar maddi gerçekliğe (fact) ve vatandaşın doğru haber alma hakkına yönelik de ciddi bir tehdit oluşturmaktadır. Örneğin, internette birçok kişi robot olmadığını kanıtlamak için tüm ağaç görsellerini seçin veya tüm trafik lambalarını seçin gibi bir kontrol panelinden geçmiştir. Bu kontrol sistemi, sadece güvenlik için değil, aynı zamanda makinenin öğrenmesi için veri sağlamaktadır[16]. İşte genellikle eğlenmek amacıyla anında telefona indirilebilen mobil uygulamalarla deepfake videoları üretilmesi de bu videoların daha gerçekçi olması adına yapay zekaya veri sağlamaktadır. Tüm bu tehlikeler, Türk hukukundaki düzenlemelerin yeterli olup olmadığı sorusunu beraberinde getirmektedir.
Deepfake ve Türk Ceza Hukuku
5237 sayılı Türk Ceza Kanunu’nda sahte içerikli görüntü, video veya haber üretilmesini özel olarak suç haline getiren bir düzenleme bulunmamaktadır. Fakat deepfake videolarının konusu olan ses ve görüntü bir kişisel veridir[17]. Bu bağlamda kişisel verilerin korunmasına ilişkin suçlar gündeme gelebilir.
Türk Ceza Kanunu’nda ise kişisel verilerin korunmasına ilişkin suç ve yaptırımlar belirlenmiştir. Kanunun kişilere karşı suçlar başlıklı ikinci kısmının “Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar” bölümünde yer alan 135. maddesinde “kişisel verilerin kaydedilmesi suçu”, 136. maddesinde “kişisel verilerin hukuka aykırı olarak verilmesi veya ele geçirilmesi suçu” ve 138. maddesinde “kişisel verileri yok etmeme” eylemleri suç olarak düzenlenmiştir. Bu durumda eğer bir kişinin daha önce yayınlanmış bir görüntüsü rızası olmaksızın deepfake teknolojisiyle manipüle ederek bir video içeriğine veya deepfake porno içeriğine yerleştirilirse; TCK m. 136 gereği kişisel verileri hukuka aykırı olarak verme veya ele geçirme suçu oluşabilir. Fakat kişinin daha önce hiç yayınlanmamış bir görüntüsü rızası dışında deepfake teknolojisiyle manipüle ederek bir video içeriğine veya deepfake porno içeriğine yerleştirilirse; bu durumda TCK m. 134 gereği özel hayatın gizliliğini ihlal suçu oluşacaktır. Deepfake pornografisinde mağdur eğer çocuksa, TCK m. 226’da düzenlenen müstehcenlik suçu oluşabilir.
Bununla birlikte, sahte video içeriğiyle bir kişi aşağılanıyor, küçük düşürülüyor ve onur ve şerefi ihlal ediliyorsa TCK 125. maddesinde düzenlenen hakaret suçu; ilgili sahte içerikler ile kişi tehdit ediliyorsa TCK m. 106 gereği tehdit suçu da gündeme gelebilir. Fakat farklı neviden fikri içtima kuralı gereği fail cezası ağır olan suçtan, bu durumda TCK’nın 136. Maddesi (2 yıl- 4 yıl) kişisel verileri hukuka aykırı olarak verme veya ele geçirme suçundan cezalandırılacaktır[18].
Siber saldırgan, başkasına ait görüntüleri veya videoları (kişisel verileri) bir bilişim sistemine hukuka aykırı olarak girerek, bozarak veya verileri yok ederek elde etmişse; bu durumda hem “kişisel verileri hukuka aykırı olarak verme veya ele geçirme suçu”, hem de “bilişim sistemine girme suçu” veya “sistemi engelleme, bozma, verileri yok etme veya değiştirme suçu” oluşacaktır. Nitekim 5237 sayılı TCK’ da “Bilişim Alanında Suçlar” bölümünde yer alan 243. maddesinde “bilişim sistemine girme suçu”, 244. maddesinde “sistemi engelleme bozma, verileri yok etme veya değiştirme suçu”, 245. maddesinde “banka veya kredi kartlarını kötüye kullanılması suçu”, 245/A maddesinde “yasak cihaz ve programlar kullanma suçu” düzenlenmiştir. Eğer bir kişinin sesi ve görüntüsü klonlanarak banka veya kredi kartı bilgilerini kullanılır veya kullandırtılarak kendisine veya başkasına yarar sağlanırsa; bu durumda TCK m. 245 gereği banka veya kredi kartlarını kötüye kullanılması suçu oluşacaktır.
Bununla birlikte TCK’nın diğer maddelerinde bilişim sistemi aracılığıyla işlenmesi mümkün olan suçlar düzenlenmiştir. Bunlar; TCK m.124; haberleşmenin engellenmesi, TCK m.125; hakaret, TCK m.132; haberleşmenin gizliğini ihlal, TCK m. 142/2-e; bilişim sisteminin kullanılması yoluyla işlenen hırsızlık, TCK m.158/1-f; bilişim sisteminin kullanılması yoluyla işlenen dolandırıcılık suçlarıdır.
Sonuç
Sonuç olarak, 5237 sayılı Türk Ceza Kanunu’nda sahte içerikli görüntü, video veya haber üretilmesini ve paylaşılmasını özel olarak suç haline getiren bir düzenleme bulunmamaktadır. Her ne kadar kişisel verilerin korunmasına ilişkin özellikle TCK m. 134 “özel hayatın gizliliğini ihlal suçu” ve m. 136. “kişisel verilerin hukuka aykırı olarak verilmesi veya ele geçirilmesi suçu” uygulama alanı bulabilirse de kişinin rızası olmaksızın gerçek bir görüntünün paylaşılması ile deepfake teknolojisi ile manipüle edilmiş bir fotoğrafın paylaşılması arasında önemli bir fark bulunmaktadır. İkincisinde, kişi daha önce hiç bulunmadığı bir ortamda, hiç söylemediği sözleri söylerken veya hiç yapmadığı hareketleri yaparken ifşa edilmektedir. Kanun koyucunun, bu iki ihlal şekli arasındaki farkı dikkate alarak; mevcut görüntü ve seslerin kişinin rızası dışında manipüle edilerek sahte video üretilmesi ve ifşa edilmesini suç olarak düzenlemesi genel ve özel caydırıcılık açısından fayda sağlayabilir. Kişinin rızası dışında bir deepfake pornografisi üretilmesi ve paylaşılması da özel olarak düzenlenmeyi gerektirmektedir. Nitekim dijital ortamda gerçekleştirilen bu eylemler; özel hayat, kişisel veriler, cinsel dokunulmazlık, insan haysiyeti gibi birden fazla hukuki değeri birlikte ihlal edebilmektedir. Ayrıca bu eylemler; teknoloji yardımıyla hem daha kolay işlenebilmekte hem de etkileri daha yıkıcı olabilmektedir. Paylaşımların çok sayıda kişiye ulaştırılabilir, zaman sınırı olmaksızın internet ortamında ulaşılabilir ve sayısız kişi tarafından kopyalanabilir. Bu durumun unutulmayı olanaksız hale getirdiği, fiziksel mesafeleri etkisiz kıldığı, ayıplamayı ve kınamayı ise binlerce kişinin katılımına açık hale getirdiği gözden kaçırılmamalıdır.
Dipnotlar
Jennifer Baker, Deepfakes could break the ınternet, cpo magazine, https://www.cpomagazine.com/cyber-security/deepfakes-could-break-the-internet/, 21 Ekim 2019; Çiğdem Eylül Öneren, Deepfake İnterneti Yıkabilir, Sanal Hukuk, https://www.sanalhukuk.net/deepfake-interneti-yikabilir/, (Çevrimiçi), 16 Mart 2021. ↩︎
Adem Akkır, Gökcan Yıldırım, Bir Bilişim Suçu “Deepfake”, MGC Legal, 13.03.2018, (Çevrimiçi), https://www.mgc.com.tr/bir-bilisim-sucu-deepfake, 16 Mart 2021. ↩︎
Akkır, Yıldırım, Bir Bilişim Suçu “Deepfake”, MGC Legal, 13.03.2018, (Çevrimiçi), https://www.mgc.com.tr/bir-bilisim-sucu-deepfake, 16 Mart 2021. ↩︎
Web Kamerasıyla Gerçek Zamanlı Yüzünüzü Taklit Ettirin!, (Çevrimiçi), https://www.youtube.com/watch?v=tUYguKACazs&t=565s, 20 Mart 2021. ↩︎
Faceapp ve Reface adlı mobil uygulamalar da deepfake gibi insanların yüzlerini gerçekçi bir şekilde dönüştürmeye yarayan yapay zekâ destekli yazılımlardır. ↩︎
Samantha Cole, "We Are Truly Fucked: Everyone Is Making AI-Generated Fake Porn Now", https://www.vice.com/en/article/bjye8a/reddit-fake-porn-app-daisy-ridley, 24 January 2018. ↩︎
The State of Deepfakes, Landscape, Threats, and Impact, (Çevrimiçi), https://regmedia.co.uk/2019/10/08/deepfake_report.pdf, 19 Mart 2021. ↩︎
Jason Chipman, Matthew Ferraro, Stephen Preston, First Federal Legislation on Deepfakes Signed into Law, Jdsupra, https://www.jdsupra.com/legalnews/first-federal-legislation-on-deepfakes-42346/, (Çevrimiçi), 18 Mart 2021. ↩︎
Ferraro, Deepfake Legislation, at 15-16. ↩︎
Kim Bellware, “Cheer mom used deepfake nudes and threats to harrass daughter’s temmates, police say”, The Washington Post, https://www.washingtonpost.com/nation/2021/03/13/cheer-mom-deepfake-teammates/, 20 Mart 2021. ↩︎
https://help.twitter.com/tr/rules-and-policies/twitter-report-violation, (Çevrimiçi), 20 Mart 2021. ↩︎
Sabah Gazetesi, “CEO’nun Sesini Yapay Zeka İle Taklit Ettiler 1,4 Milyon TL Çaldılar”, 3 Eylül 2019, https://www.sabah.com.tr/ekonomi/2019/09/03/ceonun-sesini-yapay-zekayla-taklit-ettiler-14-milyon-tl-caldilar, E.T 26.03.2021. ↩︎
Fagan, Kaylee. "A viral video that appeared to show Obama calling Trump a 'dips---' shows a disturbing new trend called 'deepfakes'". Business Insider, 3 November 2020. ↩︎
Jason Chipman, Matthew Ferraro, Stephen Preston, First Federal Legislation on Deepfakes Signed into Law, Jdsupra, https://www.jdsupra.com/legalnews/first-federal-legislation-on-deepfakes-42346/, (Çevrimiçi), 18 Mart 2021. ↩︎
Jason Chipman, Matthew Ferraro, Stephen Preston, First Federal Legislation on Deepfakes Signed into Law, Jdsupra, https://www.jdsupra.com/legalnews/first-federal-legislation-on-deepfakes-42346/, (Çevrimiçi), 18 Mart 2021. ↩︎
Tolga Yenisey, “Deep Learning’in Temelleri ve Yeni Gelişmeler”, Feridun Yenisey Hukuk İhtisas Seminerleri, YouTube, https://www.youtube.com/watch?v=38zXT5rEZNw, 21 Ekim 2020. ↩︎
6698 sayılı Kişisel Verilerin Korunması Kanununda kişisel veri; “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlanmıştır. Bu tanımla kişinin, yaşı mesleği, sesi, görüntüsü, imzası veya özgeçmişi gibi bilgiler kişiyi belirgin kıldığı müddetçe kişisel veri olarak kabul edilmektedir. 6698 sayılı kanun “işlenmeleri halinde ilgili kişilerin mağdur olmasına veya ayrımcılığına maruz kalmasına neden olma riski taşıyan verileri özel nitelikli kişisel veriler (hassas veriler) olarak tanımlamıştır. Bu bağlamda; “Özel Nitelikli Kişisel Verilerin İşlenme Şartları” başlığını taşıyan 6. Maddesine göre özel nitelikli kişisel veriler (hassas veriler); “Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verileri”dir. Bu veriler “işlenmeleri halinde ilgili kişilerin mağdur olmasına veya ayrımcılığa maruz kalmasına neden olma riski taşıyan verilerdir”. Hassas veriler kanunda sınırlı sayıda belirlenmiş olduğundan genişletilemez. Hassas veriler ancak 6698 sayılı kanunun 6. maddesinde yer alan istisnai hallerde işlenebilecektir. ↩︎
Yargıtay 4 CD, E. 2015/24024, K. 2015/39927, T. 14.12.2015; Yargıtay 12 CD, E. 2016/10995, K. 2017/7760, T. 23.10.2017. ↩︎
