Bulut ve yapay zekâda kontrol çağrısı: Fransa Merkez Bankası bağımlılık riskine dikkat çekti

Fransa Merkez Bankası, finans kuruluşlarını bulut ve yapay zekâ tedarikçilerine bağımlılıklarını gözden geçirmeye, kritik veriler ve sistemler üzerindeki kontrolü güvence altına almaya çağırdı. Kurum, teknoloji kullanımını güvenlikle birlikte yürütürken tek bir sağlayıcıya operasyonel bağımlılığın doğurabileceği risklerin azaltılmasını istedi.

Fransa Merkez Bankası (Banque de France) Birinci Başkan Yardımcısı ve İhtiyati Denetim ve Çözüm Otoritesi (ACPR) Başkan Vekili Denis Beau, 15 Ekim’de Paris’te düzenlenen Association Europe-Finances-Régulations seminerindeki konuşmasında, dijital egemenliğin temel ilkesinin “verileri, altyapıyı ve bunları işletme kapasitesini kontrol etmek” olduğunu söyledi. Bu ilke, Fransa Merkez Bankası’nın 2028 strateji yol haritasında da yer alıyor.

Beau, büyük bulut ve yapay zekâ sağlayıcılarının yüksek performans ve güvenlik kapasitesi sunduğunu kabul etti. Ancak finans sektöründeki faaliyetlerin az sayıda sağlayıcıda yoğunlaşmasının, tek bir kesintinin birden fazla kuruma yayılmasına yol açabileceğini belirtti. Kritik faaliyetler dışarıya devredildikçe kurumların kendi operasyon ve risk değerlendirme yetkinliklerinin zayıflayabileceğini, sağlayıcıların hizmet kalitesini bağımsız biçimde değerlendirmelerinin de zorlaşabileceğini ifade etti.

Beau, belirli bir sağlayıcının sistemine derin biçimde bağlanmayı ifade eden ‘tedarikçiye bağımlılığı’ da risk olarak gösterdi. Bağımlılık arttıktan sonra kullanım ücretlerinin yükselmesi veya istenmeyen özelliklerin paket halinde satın alınmasının gerekebilmesi bu riskler arasında. Yapay zekâ, güvenlik açıklarını belirlemeye ve güvenlik yamaları hazırlamaya yardımcı olabilir; ancak sistemlere geniş erişim yetkisi verilmesi ihlal ve veri sızıntısı riski yaratabilir.

Beau, tedarik zinciri riskine örnek olarak 2024’teki CrowdStrike (CRWD) güncelleme olayını verdi. Microsoft (MSFT), o dönemde yayımladığı resmî blog yazısında güncellemeden 8,5 milyon Windows cihazının etkilendiğini tahmin etmişti.

Beau’nun aktardığı teknoloji bağımlılığı maliyetine ilişkin tahminin kapsamı da önem taşıyor. Konuşmada CIGREF araştırmasına dayanılarak yıllık 264 milyar avrodan söz edildi. Ancak CIGREF’in talebiyle Asterès tarafından hazırlanan 2025 tarihli raporda bu tutar, AB şirketlerinin yıllık bulut ve yazılım alımlarının ABD ekonomisine sağladığı katkının tahmini olarak tanımlanıyor. Resmî istatistiklerin yetersizliği nedeniyle Fransız büyük şirketlerinden altı bilgi teknolojileri yöneticisiyle yapılan görüşmelerin sonuçları AB geneline uyarlanmış; dolayısıyla rakam, fiilen yapılmış ödemelerin toplamı değil.

Beau’nun önerdiği adımlar arasında önemli BT varlıklarının ve sağlayıcı bağımlılıklarının listelenmesi, çoklu bulut ve hibrit bulut kullanımı, veri ve uygulamaları başka ortamlara taşıma planlarının hazırlanması ve açık kaynak yazılımlardan yararlanılması bulunuyor. Finans sektöründeki dış teknoloji sağlayıcılarının risklerini ele alan AB Dijital Operasyonel Dayanıklılık Yasası (DORA), 17 Ocak 2025’ten beri uygulanıyor ve kritik bilgi ve iletişim teknolojisi (ICT) üçüncü taraf sağlayıcıları için AB çapında bir denetim çerçevesi oluşturuyor.

Avrupa Komisyonu haziranda Bulut ve Yapay Zekâ Geliştirme Yasası’nı (CADA) önerdi. Teklif, bulut ve yapay zekâ hizmetlerinin egemenlik düzeyini değerlendirmek için AB genelinde ortak bir çerçeve öngörüyor. Düzenleme henüz yasama teklifi aşamasında; Avrupa Parlamentosu ve AB Konseyi’nin nihai kabul süreci bekleniyor.

CADA konusunda sektör görüşleri ayrışıyor. Avrupa bulut sağlayıcıları birliği CISPE, açıklamasında Avrupalı sağlayıcılardan daha fazla hizmet alınmasını, hizmetler arası birlikte çalışabilirliğin güçlendirilmesini ve yapay zekâ ile bulut hizmetlerinin paket halinde satılmasının önlenmesini istedi. CCIA Europe’un da aralarında bulunduğu uluslararası sektör kuruluşları ise ortak açıklamalarında, pazar erişiminin şirket merkezine veya mülkiyet yapısına göre sınırlandırılmasının müşteri seçeneklerini azaltıp maliyetleri artırabileceği uyarısında bulundu. Google Cloud da güvenilir AB dışı sağlayıcıların katılımına izin verilmesi gerektiğini savundu. Bu görüşler Beau’nun konuşmasına değil, CADA teklifine ilişkin.

Fransa Merkez Bankası, Mistral AI hizmetini egemen bulut üzerinden sunma seçeneği ile açık kaynak temelli özel bulut sanallaştırma projesi üzerinde çalışıyor. Beau’nun konuşmasında kripto varlıklar veya blokzincir politikası doğrudan ele alınmadı.