Naylon Faturanın Dijital İzi: Yapay Zekâ Sahte Belgeyi Üretiyor, KAŞİF ve KURGAN Anında Takibe Alıyor

Giriş

Yapay zekâ teknolojileri; metin, tablo, görsel, imza, kaşe ve kurumsal şablon üretme kapasitesi sayesinde ticari belgelerin çok kısa sürede ve gerçeğinden ayırt edilmesi güç biçimde hazırlanmasını mümkün hâle getirmiştir. Günümüzde bir fatura, banka dekontu, sevk irsaliyesi, sözleşme, faaliyet belgesi veya ödeme makbuzu; şirket logosu, vergi numarası, imza ve kaşe görüntüsü eklenerek birkaç dakika içerisinde üretilebilmektedir.

Ancak belgenin yapay zekâ tarafından hazırlanmış olması, fiilin hukuki niteliğini değiştirmemektedir. Gerçekte bulunmayan bir mal teslimini, hizmet ifasını veya ödemeyi gerçekleşmiş gibi gösteren belgenin yapay zekâ yardımıyla üretilmesi de Türk hukuku bakımından sahte belge düzenlenmesi anlamına gelebilir.

Hazine ve Maliye Bakanlığı da sahte belge düzenlenmesi ve haksız vergi iadesi taleplerine karşı geleneksel inceleme yöntemlerinden gerçek zamanlı veri analizine dayanan bir sisteme geçmiştir. Bu kapsamda Gelir İdaresi Başkanlığı tarafından kullanılan KAŞİF ile Vergi Denetim Kurulunun geliştirdiği KURGAN, sahte belgeyle mücadelede yeni dönemin iki önemli dijital denetim aracı olarak öne çıkmaktadır.

Yapay Zekâ Kullanılarak Hazırlanan Her Belge Sahte midir?

Bir belgenin yapay zekâ aracılığıyla oluşturulması, tek başına hukuka aykırılık meydana getirmez. Yapay zekâ; gerçek bir ticari işleme dayanan faturanın açıklama bölümünü hazırlamak, sözleşme taslağı oluşturmak veya muhasebe kayıtlarını sınıflandırmak amacıyla hukuka uygun şekilde kullanılabilir.

Hukuka aykırılık, yapay zekânın kullanımından değil; oluşturulan belgenin gerçekte bulunmayan bir işlem veya durumu varmış gibi göstermesinden kaynaklanır.

Vergi Usul Kanunu’nun 359. maddesinde sahte belge, gerçek bir muamele veya durum olmadığı hâlde bunlar varmış gibi düzenlenen belge olarak tanımlanmaktadır. Buna karşılık gerçek bir işlem bulunmasına rağmen işlemin mahiyetinin veya miktarının gerçeğe aykırı gösterilmesi hâlinde “muhteviyatı itibarıyla yanıltıcı belge” söz konusu olur.

Örneğin:

• Hiç verilmeyen bir danışmanlık hizmeti için fatura oluşturulması sahte belge,
• Gerçekte 100.000 TL olan hizmetin 500.000 TL olarak gösterilmesi muhteviyatı itibarıyla yanıltıcı belge,
• Başka bir şirkete ait faturanın logo ve bilgilerinin yapay zekâyla değiştirilerek kullanılması maddi sahtecilik,
• Gerçek olmayan banka ödeme dekontunun üretilmesi ise belgenin niteliğine ve kullanım yerine göre özel veya resmî belgede sahtecilik oluşturabilir.

Dolayısıyla yapay zekâ, hukuken fail değil; suçun işlenmesini kolaylaştıran bir araçtır. Cezai sorumluluk, belgeyi hazırlayan, hazırlatan, sisteme yükleyen veya sahte olduğunu bilerek kullanan gerçek kişilere aittir.

KAŞİF Nedir ve Sahte Belgeyi Nasıl Tespit Eder?

KAŞİF, Gelir İdaresi Başkanlığının teknoloji birimi GİB Teknoloji ile TÜBİTAK Yapay Zekâ Enstitüsü iş birliğiyle geliştirilen yapay zekâ tabanlı risk analiz uygulamasıdır. Kural tabanlı eski sistemlerden farklı olarak KAŞİF, yalnızca önceden belirlenmiş ihlal kalıplarını aramamakta; mükelleflerin ekonomik ve ticari davranışlarındaki olağan dışı değişiklikleri makine öğrenmesi modelleriyle analiz etmektedir.

Sistem kapsamında yaklaşık dört milyon mükellefin verileri günlük olarak analiz edilmektedir. İncelenen veri başlıkları arasında şunlar bulunmaktadır:

• Düzenlenen ve alınan faturalar,
• Vergi beyannameleri,
• Tahakkuk ve tahsilat bilgileri,
• İthalat ve ihracat işlemleri,
• İşletmenin üretim kapasitesi,
• Çalışan sayısı,
• Demirbaş ve sermaye yapısı,
• Mükellefiyet başlangıç tarihi,
• KDV iadesi talepleri,
• Şirketler arasındaki ticari ve mali ilişkiler.

KAŞİF, örneğin hiçbir mal veya hizmet alımı bulunmayan yeni kurulmuş bir şirketin aynı gün içerisinde yüksek tutarlı faturalar düzenlemesini riskli olarak değerlendirebilmektedir. Nitekim sistemin ilk uygulamalarında, mükellefiyet tesis ettirdiği gün herhangi bir alımı bulunmadan fatura düzenleyen şirketler ile kuruluşundan birkaç gün sonra on milyonlarca liralık fatura hareketi oluşturan mükelleflerin tespit edildiği açıklanmıştır.

Bu noktada yapay zekâ tarafından oluşturulmuş faturanın görsel olarak kusursuz olması önemini kaybetmektedir. KAŞİF faturanın yalnızca biçimine değil, faturanın arkasındaki ekonomik gerçekliğe bakmaktadır. Bir şirketin çalışanı, deposu, sermayesi, mal alımı, nakliye kaydı veya üretim kapasitesi bulunmadan yüksek miktarda ticari işlem gerçekleştirmesi, sistem açısından ciddi bir risk göstergesidir.

Başka bir anlatımla KAŞİF, “Bu belge bilgisayarda nasıl hazırlandı?” sorusundan çok, “Bu belgede gösterilen ticari işlem gerçekten gerçekleşmiş olabilir mi?” sorusuna cevap aramaktadır.

KURGAN Sistemi Nedir?

KURGAN, Vergi Denetim Kurulu Başkanlığı Risk Analiz Merkezi tarafından geliştirilen Kuruluş Gözetimli Analiz sistemidir. Sistem, cari veriler üzerinden çalışmakta, ekonomide gerçekleşen işlemleri büyük veri analitiğiyle taramakta ve doğrudan işlem riskini ölçmektedir. Vergi Denetim Kurulu, KURGAN’ı mükellefleri riskli işlemler konusunda önceden bilgilendiren, olası denetim süreçlerine ilişkin farkındalık sağlayan ve işlem odaklı çalışan bir erken uyarı sistemi olarak tanımlamaktadır.

KURGAN’ın temel farkı, yalnızca belirli bir şirketi “riskli mükellef” olarak işaretlemek yerine, şirketler arasındaki ticari işlemlerin oluşturduğu ağı analiz etmesidir.

Örneğin bir şirketin:

• Sürekli olarak aynı riskli şirketlerden fatura alması,
• Mal veya para hareketinin geriye doğru dolaştırılması,
• Birbirleriyle bağlantılı şirketler arasında karşılıklı fatura düzenlenmesi,
• Gerçek ekonomik faaliyeti bulunmayan şirketlerden yüksek tutarlı alım yapılması,
• Kısa süre içinde çok sayıda şirket kurulup kapatılması,
• Aynı kişilerin farklı şirketlerde ortak veya yönetici olarak görünmesi,

KURGAN tarafından sahte belge organizasyonuna işaret eden bir işlem örüntüsü olarak değerlendirilebilir.

Vergi Denetim Kurulu tarafından 1 Ekim 2025 tarihinde yayımlanan KURGAN Rehberi ile sahte belgeyle mücadelede tekil faturalardan ziyade organizasyonların ve işlem ağlarının bütün olarak incelenmesi yaklaşımı benimsenmiştir.

Böylece sahte belge düzenleyen şirketin yanı sıra bu şirketten belge alanlar, faturaları başka şirketlere aktaranlar, para hareketlerini gerçekleştirenler ve organizasyonu yöneten kişiler de ilişki ağı içinde görülebilmektedir.

KAŞİF ile KURGAN Arasındaki Temel Fark

KAŞİF ve KURGAN aynı amaca hizmet etmekle birlikte farklı aşamalarda ve farklı yöntemlerle çalışmaktadır.

KAŞİF, Gelir İdaresi Başkanlığının geniş mükellef verileri içerisinde olağan dışı davranışları ve sahte belge düzenleme ihtimali yüksek şirketleri tespit eden yapay zekâ tabanlı analiz sistemidir.

KURGAN ise Vergi Denetim Kurulu bünyesinde işlemler arasındaki ilişkileri, sahte belge zincirlerini ve organizasyon yapılarını değerlendiren risk analiz ve erken uyarı mekanizmasıdır.

Bu sistemlerin birlikte çalışması sonucunda yeni kurulmuş bir şirketin olağan dışı fatura hareketi önce KAŞİF tarafından tespit edilebilir; şirketin hangi mükelleflere fatura düzenlediği, hangi kişilerle bağlantılı olduğu ve işlemlerin ekonomide nasıl yayıldığı ise KURGAN tarafından analiz edilebilir.

Yapay Zekâyla Sahte Fatura Düzenlemenin Cezası Nedir?

Vergi Usul Kanunu’nun 359/b maddesi uyarınca vergi kanunları gereğince düzenlenen veya saklanması gereken belgelerin asıl veya suretlerini tamamen ya da kısmen sahte olarak düzenleyenler veya bu belgeleri kullananlar hakkında üç yıldan sekiz yıla kadar hapis cezası öngörülmektedir.

Gerçek bir işlem bulunmasına rağmen işlem miktarının veya niteliğinin gerçeğe aykırı gösterildiği muhteviyatı itibarıyla yanıltıcı belgelerin düzenlenmesi veya kullanılması hâlinde ise ceza on sekiz aydan beş yıla kadar hapis olarak düzenlenmiştir.

Ayrıca sahte belge kullanılarak vergi kaybına sebebiyet verilmesi hâlinde vergi aslı, gecikme faizi ve vergi ziyaı cezası gündeme gelebilir. Vergi Usul Kanunu’nun 359. maddesindeki fiillerle vergi ziyaına sebebiyet verilmesi durumunda vergi ziyaı cezası kural olarak üç kat uygulanabilmektedir.

Sahte belgenin vergi belgesi dışında bir belge olması hâlinde ise Türk Ceza Kanunu hükümleri uygulanabilir. Türk Ceza Kanunu’nun 204. maddesinde resmî belgede sahtecilik için iki yıldan beş yıla, 207. maddesinde özel belgede sahtecilik için bir yıldan üç yıla kadar hapis cezası düzenlenmiştir.

Sahte belgenin bir kişiyi aldatmak, para veya malvarlığı menfaati sağlamak amacıyla kullanılması hâlinde somut olayın özelliklerine göre dolandırıcılık veya nitelikli dolandırıcılık suçları da gündeme gelebilir. Bununla birlikte aynı fiile hangi hükümlerin uygulanacağı; belgenin niteliği, kullanım amacı, işlemlerin sayısı ve fiiller arasındaki hukuki bağlantı değerlendirilerek belirlenmelidir.

Şirket Yöneticisi ve Mali Müşavir Sorumlu Olur mu?

Sahte belge düzenleyen şirketin tüzel kişi olması, cezai sorumluluğu ortadan kaldırmaz. Ceza sorumluluğu şahsidir ve fiili gerçekleştiren gerçek kişilerin rolü ayrı ayrı incelenir.

Bu kapsamda;

• Sahte belge düzenlenmesi talimatını veren şirket yöneticisi,
• Şirketi yalnızca fatura düzenlemek amacıyla kuran kişi,
• Sahte faturayı bilerek muhasebe kayıtlarına işleyen görevli,
• Sahte olduğunu bildiği faturayı KDV indiriminde kullanan mükellef,
• Belge organizasyonuna bilerek aracılık eden kişi,

iştirak hükümleri çerçevesinde sorumlu tutulabilir.

Ancak yalnızca şirket ortağı, yönetici veya mali müşavir sıfatını taşımak cezai sorumluluk için yeterli değildir. Kişinin sahte belge düzenlenmesi veya kullanılması eylemine hangi şekilde katıldığı ve kastının bulunup bulunmadığı somut delillerle ortaya konulmalıdır.

Danıştay Vergi Dava Daireleri Kurulu da sahte belge düzenleme fiiline iştirak nedeniyle yaptırım uygulanabilmesi için kişinin organizasyon içindeki rolünün ve gerçekleştirdiği fiillerin somut delillerle gösterilmesi gerektiğini kabul etmektedir. Salt bağlantı, şüphe veya başka şirketlere ilişkin olumsuz tespitler tek başına iştirak için yeterli değildir.

KAŞİF veya KURGAN Tespiti Tek Başına Suç Delili Sayılır mı?

KAŞİF veya KURGAN tarafından oluşturulan risk kaydı, doğrudan mahkûmiyet kararı anlamına gelmez.

Bu sistemler, vergi idaresinin hangi mükellef veya işlemlerin daha ayrıntılı incelenmesi gerektiğini belirlemesine yardımcı olan risk analiz araçlarıdır. Nitekim KAŞİF tarafından riskli bulunan mükelleflerin vergi incelemesi yapılmak üzere Vergi Denetim Kuruluna bildirildiği, ayrıca iş yerlerinde yoklama yapılabildiği açıklanmıştır.

Dolayısıyla yapay zekânın oluşturduğu risk puanı:

• Vergi incelemesi başlatılmasına,
• Yoklama yapılmasına,
• İzaha davet sürecine,
• KDV iadesinin incelemeye alınmasına,
• Vergi tekniği veya vergi suçu raporu düzenlenmesine

sebep olabilir. Ancak vergisel veya cezai sorumluluk için işlemlerin gerçek mahiyetinin ayrıca araştırılması gerekir.

Vergi yargılamasında faturayı düzenleyen şirket hakkındaki genel olumsuzlukların, faturayı kullanan mükellefin işlemlerinin sahte olduğunu otomatik olarak göstermediği kabul edilmektedir. Mal teslimi, ödeme, taşıma, stok, üretim, çalışan ve ticari faaliyet gibi unsurların birlikte değerlendirilmesi gerekir. Vergilendirmede biçimsel görünümden çok işlemin gerçek mahiyeti esastır.

Ceza yargılamasında ise kişinin belgeyi sahte olduğunu bilerek düzenlediği veya kullandığı, her türlü şüpheden uzak, kesin ve inandırıcı delillerle ispatlanmalıdır. Yapay zekâ sisteminin verdiği risk sonucu, ceza soruşturması açısından başlangıç şüphesi oluşturabilirse de tek başına kastın ve suçun işlendiğinin kesin delili sayılamaz.

Yapay Zekâ Destekli Denetim Savunma Hakkını Nasıl Etkiler?

Yapay zekâ tabanlı denetim sistemlerinin kullanılması vergi incelemelerini hızlandırırken, mükellefin savunma hakkı bakımından yeni tartışmaları da beraberinde getirmektedir.

Mükellefe yalnızca “yapay zekâ sistemi tarafından riskli bulunduğu” bildirilmesi yeterli değildir. Savunma hakkının etkili biçimde kullanılabilmesi için riskli kabul edilen işlemler, dönemler, faturalar ve maddi tespitler somut olarak açıklanmalıdır.

Vergi inceleme raporunda;

• Hangi faturaların sahte olduğu,
• Mal veya hizmetin neden gerçekleşmediğinin düşünüldüğü,
• Ödeme ve sevkiyat kayıtlarının neden kabul edilmediği,
• Kapasite ve çalışan verilerindeki çelişkilerin neler olduğu,
• Mükellefin hangi şirket veya kişilerle bağlantılı görüldüğü

ortaya konulmalıdır.

Algoritmanın ticari sır veya kamu güvenliği gerekçesiyle bütün teknik ayrıntılarının açıklanmaması anlaşılabilir olsa da, kişi hakkında yaptırım uygulanmasına temel oluşturan maddi olguların denetlenebilir ve itiraz edilebilir olması hukuk devleti ilkesinin gereğidir.

Şirketler Kendilerini Nasıl Korumalıdır?

KAŞİF ve KURGAN döneminde şirketlerin yalnızca faturanın şeklen doğru olmasına güvenmesi yeterli değildir. Faturanın gerçek bir mal teslimi veya hizmet ifasına dayandığını gösteren bütün ticari belgelerin birlikte saklanması gerekir.

Şirketlerin özellikle şu tedbirleri alması önem taşımaktadır:

1. Yeni çalışılacak şirketlerin vergi, faaliyet, adres ve ticaret sicili bilgilerinin kontrol edilmesi,
2. Sipariş formu, sözleşme, teklif ve yazışmaların saklanması,
3. Ödemelerin mümkün olduğunca banka üzerinden ve açıklamalı yapılması,
4. Sevk irsaliyesi, taşıma faturası, teslim tutanağı ve depo kayıtlarının korunması,
5. Hizmet faturalarında hizmetin gerçekten sunulduğunu gösteren rapor, e-posta ve çalışma çıktılarının arşivlenmesi,
6. Şirketin faaliyet kapasitesiyle orantısız yüksek tutarlı faturalara karşı ek inceleme yapılması,
7. Yapay zekâ ile hazırlanan belgelerin insan denetimi ve yetkili onayından geçirilmesi,
8. Muhasebe sistemlerine belge yükleyen kişilerin işlem kayıtlarının tutulması,
9. Şüpheli belgelerin KDV indiriminde veya gider kaydında kullanılmadan önce hukuki ve mali incelemeye tabi tutulması,
10. KURGAN veya vergi idaresinden gelen uyarıların cevapsız bırakılmaması.

Özellikle “mal teslim edildi, faturanın nereden geldiğini bilmiyordum” şeklindeki savunma her olayda yeterli olmayabilir. Mükellefin ticari ilişkinin gerçekliğini araştırıp araştırmadığı, iş hacmine uygun özeni gösterip göstermediği ve fatura düzenleyicisi şirketle bağlantısı birlikte değerlendirilecektir.

Sonuç

Yapay zekâ, sahte belge düzenleyen kişiler bakımından görünüşte yeni imkânlar oluşturmuş olsa da aynı teknoloji vergi idaresine çok daha geniş bir tespit kapasitesi kazandırmıştır.

KAŞİF, milyonlarca mükellefin davranışlarını günlük olarak analiz ederek olağan dışı işlemleri belirlemekte; KURGAN ise şirketler arasındaki fatura ve işlem ağlarını izleyerek sahte belge organizasyonlarının bütününü ortaya çıkarmayı hedeflemektedir.

Bu nedenle sahte belgenin görsel açıdan kusursuz hazırlanmış olması artık yeterli değildir. Yapay zekâ destekli denetim sistemleri belgenin kâğıt üzerindeki görünümünden çok, belgenin arkasında gerçek bir ekonomik faaliyet bulunup bulunmadığını incelemektedir.

Bununla birlikte KAŞİF veya KURGAN tarafından üretilen risk sonucu tek başına cezalandırma gerekçesi olamaz. Vergi tarhiyatı ve ceza sorumluluğu için her mükellef yönünden ayrı, somut ve denetlenebilir tespitler yapılması; kişinin kastının, işlemdeki rolünün ve belgenin gerçek bir ticari faaliyete dayanmadığının ortaya konulması gerekir.

Sonuç olarak yapay zekâ çağında sahte belgeyle mücadele yalnızca teknolojik değil, aynı zamanda hukuki bir denge meselesidir. Kamu zararının ve kayıt dışılığın önlenmesi kadar, algoritmik risk değerlendirmelerinin masumiyet karinesi, savunma hakkı ve hukuki güvenlik ilkelerine uygun biçimde kullanılması da zorunludur.