ABD’de KIDS yasa tasarısı: Çocuk koruma kılıfıyla dev dijital gözetim altyapısı mı geliyor?

Amerikan Kongresi’nin gündemindeki ‘KIDS yasa tasarısı’, çocukları koruma iddiasıyla hazırlanırken, aslında geniş çaplı kişisel veri toplama ve olası *hack* riskini büyütebileceği endişelerini de beraberinde getiriyor. Özellikle son yıllarda yaşanan veri sızıntıları, ‘çevrimiçi yaş doğrulama’ sistemlerinin bizzat en zayıf halka haline gelebileceğini gösteriyor.

2024’te kimlik doğrulama şirketi AU10TIX, TikTok ve Uber gibi platformlara verdiği hizmet sırasında sürücü belgesi verilerini 1 yıldan uzun süre boyunca *hacker*lara açık bıraktığını kabul etti. 2025’te ise Discord’un yaş doğrulama sistemi sağlayıcısı *hack*lenerek yaklaşık 70 bin kişinin devlet tarafından verilen kimlik bilgileri sızdırıldı. Bu tekrar eden örnekler, belirgin bir eğilime işaret ediyor: ‘Yaş kontrolü’ dış firmalara ve merkezi veri depolarına bağlandığı anda, bu altyapılar birer saldırı hedefine dönüşüyor.

Bu tabloyu daha da ağırlaştıran unsur ise yapay zekâ(AI). Saldırıların hızı ve karmaşıklığı artarken, başarılı bir *hack* sonrasında verilerin çok kısa sürede küresel ölçekte yayılması her zamankinden daha kolay hale geldi.

Tam da bu ortamda, ABD Temsilciler Meclisi 29 Haziran’da “çocukların internet ve dijital güvenliği(KIDS) yasa tasarısı”nı 267’ye karşı 117 oyla kabul etti. Tasarının temeli, “çocukların çevrimiçi güvenliği yasası(KOSA)”na dayanıyor ve şu anda Senato’da inceleme sürecini bekliyor. Ancak KOSA’nın eş sponsoru olan senatörler Richard Blumenthal(Richard Blumenthal) ve Marsha Blackburn(Marsha Blackburn), Temsilciler Meclisi versiyonunu sert şekilde eleştiriyor ve çok daha sıkı düzenlemeler talep ediyor. Senato Ticaret Komitesi’nin vereceği karar, çevrimiçi kimlik doğrulama altyapısının önümüzdeki yıllardaki yönünü belirleyebilir.

‘Yaş doğrulama’ zorunlu değil ama fiilen dayatılıyor

KIDS tasarısı kağıt üzerinde yaş doğrulamayı zorunlu kılmıyor. Fakat taslak, platformlara “reşit olmayanların maruz kaldığı zararlardan hukuki olarak sorumlu olma” yükümlülüğü getirecek şekilde kurgulanmış durumda. Bu da şirketlerin gerçek anlamda iki seçeneği olduğu anlamına geliyor: Kullanıcının yaşını bir şekilde doğrulamak ya da ciddi tazminat ve dava riskini göze almak.

Bu yapı, hukuki sorumluluk mekanizmasını kullanarak yaş doğrulamayı ‘fiilen zorunlu’ hale getiriyor. Tasarıda bunun açıkça yazmıyor olması, pratikteki baskıyı ortadan kaldırmıyor. Tam tersine, uzmanlara göre asıl risk tam da burada başlıyor.

Erişim için bilgi paylaşımı *zorunlu* hale geldiğinde, toplanan veri hacmi kaçınılmaz biçimde büyüyor. Yaş kontrolüne yönelik basit bir araç, zamanla ‘kimin kim olduğunu’ tanımlayan kapsamlı bir kimlik tespit sistemine dönüşüyor. Şirketler böylece, istense de istenmese de devasa kimlik veri depoları kurmuş oluyor. Ancak bu depolar aslında birer ‘risk varlığı’. AU10TIX vakasında görüldüğü gibi, her an büyük çaplı bir veri sızıntısına zemin hazırlayabiliyor.

Veri gizliliği odaklı alternatifler şimdiden mevcut

Uzmanlar, teknik açıdan daha güvenli çözümlerin zaten mevcut olduğuna dikkat çekiyor. Birçok dijital hizmet için kritik olan, kullanıcının *tam yaşı* değil, yalnızca belli bir yaş eşiğini aşıp aşmadığı. Yani “18 yaşından büyük mü?”, “13 yaşından küçük mü?” gibi basit bir evet/hayır cevabı yeterli olabiliyor.

ABD’nin Utah eyaletinde yürürlüğe giren “devlet onaylı dijital kimlik(SEDI)” yasası bu noktada öne çıkan bir model sunuyor. Cardano Vakfı’nın geliştirdiği “Veridian” sistemi, kullanıcının yalnızca gerekli yaş şartını sağlayıp sağlamadığını kanıtlamasına imkân tanıyor; bunun dışında kalan kişisel bilgilerin paylaşılmasını engelleyecek şekilde tasarlanmış durumda. Böylece minimum veriyle maksimum güven sağlanması hedefleniyor.

Bu yaklaşım önemli bir ilkeyi ortaya koyuyor: ‘Güven’ için her zaman geniş çaplı veri ifşası gerekmiyor. Sistemler, daha tasarım aşamasında ‘mahremiyet koruması’ ilkesini merkeze alacak şekilde kurgulanabiliyor.

Çocuk koruma ile veri gözetimi arasında denge arayışı

KIDS yasa tasarısının ilan edilen hedefi son derece net: Çocukları çevrimiçi risklerden korumak. Ancak mevcut kurguyla tasarı, platformları daha fazla veri toplamaya ve saklamaya teşvik ediyor. Bu da uzun vadede, ‘dijital gözetim altyapısı’nın genişlemesine kapı aralayabilir.

Uzmanların önerdiği çözüm seti ise görece sade: ‘Veri minimizasyonu’nu (yani sadece zorunlu verilerin toplanmasını), saklama süresine katı sınırlar getirilmesini ve gerektiğinde mahremiyet dostu doğrulama yöntemlerinin kullanılmasını şart koşan bir çerçeve. Teknik açıdan bu tür modellerin uygulanabilir olduğu bilindiğine göre, politika yapıcıların da bu gerçekliği dikkate alması gerektiği savunuluyor.

Sonuçta belirleyici ilke oldukça basit: Çocukları korurken, gereksiz bilgi ifşasına gerek kalmadan güveni tesis etmek. İnterneti bir “kimlik kontrol bariyeri”ne dönüştürmek yerine, en az veriyle en yüksek güvenliği sağlayacak çözümlere yönelmek gerekiyor.

KIDS yasa tasarısının nihai şekli, önümüzdeki dönemde dijital kimlik altyapısının standartlarını tayin edecek bir sınav niteliği taşıyor. ABD’nin ‘koruma’ ile ‘gözetim’ arasında nasıl bir tercih yapacağı, sadece hukuki çerçeveyi değil, internetin genel karakterini de önemli ölçüde şekillendirebilir.