1) FinTech Nedir, 2025’te Nereye Evrildi?

FinTech artık tek bir ürün kategorisi değil; ödemeler, kredi, sigorta, sermaye piyasaları, kimlik ve güvenlik, veri paylaşımı ve altyapı şemsiyesinde birleşen, API’lerle bağlanan bir finansal yazılım tedarik zinciri. 2025’te tablo net: “software eats finance” ifadesi slogan değil, işletim modeli.

Küresel ölçekte ödemeler gelirleri güçlü kalırken (McKinsey’nin son ödeme raporları bunu yıllardır işaret ediyor), yatırım döngüleri 2022 zirvesinden sonra kaliteye seçici kaydı; 2024–2025’te fintech yatırımlarında bilet büyüklüğü yüksek, gelir modeli oturmuş oyuncular öne çıkıyor.

---

2) Piyasa Dinamikleri: Veriye Dayalı, Regülasyon-İlk, API-Öncelikli

• Dijital kanallar ≠ tek başına büyüme. Artı değer: anlıklık + görünürlük + güven.

• RegTech ve SecTech (PCI DSS 4.0, SCA, ISO 20022) uyum maliyetini düşürürken riskleri ölçülebilir kılıyor. blog.pcisecuritystandards.org+1

• Platformlaşma: Bankacılık-as-a-Service (BaaS) ve gömülü finans dikeyleşerek büyüyor; regülatörler iş ortaklığı risk yönetimini netleştiriyor.

---

3) Ödemeler: Anlık, 7/24, QR ve ISO 20022—Yeni Normal

3.1 Anlık Ödemeler ve Türkiye: FAST + KOLAS

Türkiye Cumhuriyet Merkez Bankası’nın FAST (Fonların Anlık ve Sürekli Transferi) sistemi, 7/24 anlık TL transferlerini ülke ölçeğinde standart hale getirdi. 4 Haziran 2024 duyurusuyla işlem limiti 200.000 TL; işletmelere ve bireylere “true real-time” deneyim sunuluyor. KOLAS sayesinde telefon/e-posta gibi kolay adreslerle IBAN’sız para transferi de mümkün. Bu, perakende ödemelerde kullanım eşiğini düşürerek “nakit yerine anlık ödeme”yi gerçek alternatif yapıyor.

Kurumsal etki: Nakit akışı tahmini iyileşir, mutabakat süreleri kısalır, çalışma sermayesi verimliliği artar. Entegrasyon tarafında PÖS (Perakende Ödeme Sistemi) bağlantıları ve API hatları kritik.

3.2 TR Karekod: QR’da Tek Dil

TR Karekod, QR ödemelerde ulusal tek teknik standart. Kartlı ödemeler ve FAST için ayrı teknik rehberleri var; ISO/IEC 18004 ile uyumlu. Bu sayede işyeri entegrasyonları sadeleşiyor, interoperabilite artıyor. Büyük resim: tek format, çok kabul noktası. TCMB+2TCMB+2

3.3 ISO 20022: Zengin Veri, Daha Az Hata

ISO 20022 geçişiyle ödeme mesajları zenginleştirilmiş remittance/veri alanları kazanıyor. SWIFT CBPR+ için Kasım 2025 dönüm noktası; kurumsal mutabakat ve uyum sistemleriniz için plan-uygulama testlerini 2025 içinde bitirmek kritik.

3.4 Kartlı Ödemeler, TROY ve Güvenlik

Türkiye’nin ulusal kart şeması TROY, yerel ekosistemin dayanıklılığını artırıyor, kabul ağını genişletiyor. Kart ekosisteminde PCI DSS 4.0 uyum takvimi 31 Mart 2025; tarayıcı script kontrolü, MFA ve segmentasyon başlıkları özellikle zorlayıcı. blog.pcisecuritystandards.org

---

4) Açık Bankacılık → Açık Finans

4.1 AB’de PSD3/PSR ve Instant Payments Regülasyonu

AB’de PSD3 (yeni direktif) ve PSR (doğrudan uygulanan tüzük) için 2024 sonlarında siyasi uzlaşı sağlandı; 2025’te teknik metinler ve ikincil düzenlemeler ilerliyor. Paralelde Euro Anlık Ödemeler Tüzüğü IBAN-isim kontrolü gibi güvenlik/kullanışlılık gereksinimlerini zorunlu kılıyor. Sonuç: daha güçlü SCA, sahtekârlıkta ortak standartlar, veri erişiminde harmonizasyon.

4.2 Türkiye’de Çerçeve: Kanun 6493, ÖHVPS, TÖDEB

Türkiye’de 6493 sayılı Kanun ve ikincil düzenlemelerle ödeme hizmetleri ve veri paylaşım servisleri (AIS/PIS) hukuken tanımlı. BDDK’dan TCMB’ye yetki devri 2020’de tamamlandı; TÖDEB ise sektörün kamu tüzel kişiliğine haiz meslek birliği. Ödeme Hizmetleri Veri Paylaşım Servisleri (ÖHVPS) BKM koordinasyonuyla pratikte işlerlik kazanıyor. HerdemLawTCMBtodeb.org.tr

Kurumsal etki: Banka-dışı oyuncular hesap bilgisi ve ödeme başlatma servisleriyle yeni iş modelleri (finansal yönetim, çek-senet dijitalizasyonu, muhasebe entegrasyonları, gömülü tahsilat) kurabiliyor.

---

5) Dijital Kimlik, KYC/AML ve Uzaktan Müşteri Edinimi

PSD2’nin SCA kuralı (iki bağımsız faktör) artık dünya standardı; FIDO2/WebAuthn ve passkey pratikleri kimlik avına dayanıklı bir yol sunuyor. Türkiye’de bankalar için uzaktan kimlik tespiti 2021’den beri yaygın; ödeme kuruluşları ve e-para kurumlarında da uzaktan edinim ve geliştirilmiş müşteri tanıma metodları MASAK uyumu ile ele alınıyor. CorbadoFIDO Alliance

Teknik not:

• Liveness + NFC e-kimlik okuma + biyometri, mobil onboarding’in “altın üçlüsü”.

• Graph tabanlı AML (ilişki grafı + davranışsal anomaliler) F/UAR ve şüpheli işlem raporlarını zenginleştiriyor.

• Kayıt zinciri (audit trail) ve kanıtlanabilir dinamik bağlama (dynamic linking) kart-dışı SCA senaryolarında denetlenebilirlik sağlar. Keyless

---

6) Kredi, BNPL ve Risk: Veri + Model + Regülasyon Üçgeni

BNPL Avrupa’da Tüketici Kredisi Direktifi (CCD) kapsamına daha sıkı giriyor; tarafların bilgi verme ve uygunluk kontrolleri keskinleşiyor. Türkiye’de taksitlendirme ve mikro-kredi uygulamaları taksit vade sınırları/ürün grupları gibi kurallarla çevrili; iş modeli tasarımında sorumlu fiyatlama ve şeffaflık kritik.

Model katmanı: Alternatif veri, cihaz parmak izi ve işyeri davranışı gibi sinyaller erken temerrüt ve sahte başvuru yakalama oranını artırıyor. Üretken yapay zekâ destekli asistler, manuel inceleme sürelerini kesiyor.

---

7) Sigorta (InsurTech): Anlık Risk, Anlık Fiyatlama

Telematik (IoT), kullanım-bazlı sigorta (UBI) ve gerçek-zamanlı hasar doğrulama ile sigorta ürünleri mikro-poliçe düzeyinde parçalanıyor. Açık finans veri akışları hasar ve fiyatlamada “tek kayıt kaynağı”na yaklaşıyor. (Avrupa’daki PSR/PSD3 trendi bu uyumu hızlandıracak.)

---

8) Sermaye Piyasaları, Blockchain ve Tokenizasyon

8.1 Tokenizasyon

2024’te BlackRock BUIDL gibi örneklerle on-chain fonlar ana akıma girdi; kurumsal saklama ve mevzuat netleştikçe RWA tokenizasyonu (tahvil, para piyasası fonu, mevduat sertifikası) hızlanıyor. İşletim farkı: DVP/PvP uyumu, on-chain mutabakat ve regülasyon-uyumlu KYC/transfer kısıtları.

8.2 CBDC’ler

BIS anketlerine göre merkez bankalarının çok büyük bölümü CBDC araştırıyor; mBridge çok-ülkeli toptan CBDC pilotlarıyla sınır ötesi ödemelerde “anlık-uyumlu” bir gelecek resmediyor. Türkiye’de Dijital Türk Lirası projesi, ulusal kritik kurumlarla pilotlarını sürdürüyor. Mesaj: RTGS + anlık + programlanabilir para kesişiminde yeni iş akışları doğuyor.

---

9) Güvenlik ve Uyum: PCI DSS 4.0, SCA, ISO 20022, CoP

9.1 PCI DSS 4.0—31 Mart 2025 Takvimi

PCI DSS v4.0.1 ile “future-dated” gereksinimlerin 31 Mart 2025’te zorunlu olacağı net. Ödeme sayfası script envanteri/kontrolü, MFA kapsam genişlemesi, targeted risk analysis, PAN koruma yaklaşımları için şimdiden değişiklik yönetimi planı hazırlayın. blog.pcisecuritystandards.org+1

9.2 SCA: Kart Ötesi

PSD2’nin Strong Customer Authentication şartı, kartlı/kartsız tüm dijital ödemeler için yaygın. Passkey/FIDO2 ile phishing-resistant MFA, mobil deneyimde sürtünmeyi azaltırken uyumu koruyor. CorbadoFIDO Alliance

9.3 Instant Payments Regülasyonu ve “Ad-Soyad/IBAN Eşleşmesi”

AB’nin Instant Payments Regulation’ı; IBAN-isim uyuşmazlığı uyarısı gibi kontrolleri zorunlu kılıyor. Kurumsal hesaplarda payee-name check ve ekran üstü açık uyarılar, otomatize edilmiş iç kontrollerle birlikte düşünülmeli.

9.4 Türkiye Özelinde

• Kanun 6493 ve ikincil düzenlemeler: TCMB yetkisi, veri paylaşımı, lisans çerçevesi. HerdemLaw

• TR Karekod Yönetmelik ve teknik kurallar: kartlı ödeme/FAST QR birlikte çalışabilirliği. TCMB+1

• TÖDEB: Üyeler için rehber ve hakem heyeti; sektörel yeknesaklık ve iletişim. todeb.org.trtodeb.org.tr

---

10) Altyapı ve Mimari: “Payments-Grade” Sistem Nasıl Kurulur?

10.1 Çizgimiz: Cloud-Native + Event-Driven + Zero-Trust

• Çok bölgeli (multi-region) aktif-aktif mimari, <100 ms P99 hedefli ödemeler için elzem.

• Event bus (Kafka, Pulsar) ile idempotent ve exactly-once semantiğe yakınlaşın; settlement/ledger katmanında ACID + eventual reconciliation hibritini uygulayın.

• Zero-trust: müşteri-kanalı → API GW → servis mesh (mTLS) → HSM/VAULT hattında anahtar yönetimi (BYOK/HYOK).

• Gözlemlenebilirlik: trace-ID’yi işlem referansı ile eşleyin; SLA/SLO metrikleri uyarılı ve yazılı olsun.

10.2 Entegrasyon: ISO 20022 + ÖHVPS + TR Karekod

• ISO 20022 mapping tablolarını şema-versiyonlamalı yönetin.

• ÖHVPS için gözlem noktaları: erişim token ömrü, SCIM/rol yönetimi, rate-limit ve idempotency-key.

• TR Karekod’da merchant registry ve yönlendirme sistemi (KYS) entegrasyonlarını test ortamında uçtan uca doğrulayın. TCMBarchitecht.com

10.3 Güvenlik Sertifikasyonları

• PCI DSS 4.0 uyum yol haritasını dev-sec-ops boru hattına sabitleyin; tarayıcı script envanteri ve onay mekanizmasını CI/CD’ye bağlayın.

• SCA için WebAuthn/Passkeys + CIBA/decoupled auth senaryolarını paralel kurgulayın. blog.pcisecuritystandards.orgFIDO Alliance

---

11) Yapay Zekâ: Fraud, Risk, Operasyon ve Deneyim

11.1 Sahtekârlık (Fraud) ve Davranışsal Analitik

• GNN/graph modelleri, cihaz-kullanıcı-hesap-işyeri ilişkilerinden organize kalıpları yakalıyor.

• Gerçek zamanlı feature store ile sub-second skorlamada dinamik eşikler.

• GenAI: fraud analistlerine otomatik özet, itiraz/chargeback dosyalarında içerik üretimi. (Visa/Mastercard tarafındaki yeni duyurular ve endüstri raporları bu yönde.)

11.2 Kredi ve Tahsilat

• Explainable AI (SHAP/LIME) ile regülatör-uyumlu karar şeffaflığı.

• Aksiyonlaşabilir öngörü: tahsilata düşmeden “erken itme” (nudging) ve kişiselleştirilmiş ödeme planları.

11.3 Müşteri Deneyimi

• Konuşan asistanlar (LLM) ile “başvuru → sözleşme → aktivasyon” süreci dakikalara iner; hallucination-guardrail ve KMS izolasyonuyla güvenli.

---

12) Türkiye Merceği: Strateji ve Yol Haritası (Infranet perspektifi)

1. Ödeme modernizasyonu (0–6 ay):

• FAST ve TR Karekod kapsaması; KOLAS entegrasyonu.

• Kart tarafında PCI DSS 4.0 zorunlulukları için boşluk analizi (gap assessment). blog.pcisecuritystandards.org

2. Açık bankacılık ürünleşmesi (3–12 ay):

• ÖHVPS (AIS/PIS) üzerinden nakit akışı görünürlüğü, otomatik mutabakat, gömülü tahsilat.

• TÖDEB rehber ve hakem mekanizmalarıyla müşteri deneyimi standartlaştırma. todeb.org.tr

3. Veri ve AI (6–18 ay):

• Fraud/risk feature store, graph altyapı, gerçek zamanlı skorlama.

• Explainability + model risk dokümantasyonu.

4. ISO 20022 + ISO-first mimari (0–12 ay):

• Kasım 2025 kesiti öncesi mesaj haritaları ve regresyon testleri.

5. Uyumluluk seti (hemen):

• SCA güçlendirmesi (passkeys, device binding).

• PCI 4.0’a yol haritası; script inventory, MFA, network segmentation. Corbadoblog.pcisecuritystandards.org

---

13) Sık Sorulanlar (FAQ)

S: FAST ile kartlı ödemeler çakışır mı?
C: Hayır. TR Karekod sayesinde hem kartlı ödeme hem FAST aynı QR ekosisteminde yaşayabilir. İş modeli seçimi (komisyon, settlement hızı) senaryoya bağlı. TCMB

S: PSD3/PSR bizi nasıl etkileyecek?
C: AB ile iş yapanlar için SCA, fraud izleme ve veri paylaşımı standardı daha netleşecek; IBAN-isim kontrolü gibi hızlı ödeme gereksinimleri süreçlerinize girecek.

S: PCI DSS 4.0 için en kritik “action item” nedir?
C: 31 Mart 2025’e hazırlıkta tarayıcı script envanteri/kontrolü ve MFA kapsamı çoğu kurumda ana efor kalemi. blog.pcisecuritystandards.org

S: ISO 20022 bize ne kazandırır?
C: Zengin veri alanları (faturalama, eşleştirme) mutabakatı hızlandırır; AML ve sahtekârlık tespiti için daha bağlamsal bilgi sağlar. Kasım 2025 itibarıyla SWIFT CBPR+ uyumu şart.

S: CBDC ve tokenizasyon yakın vadede gerçek mi?
C: Evet; mBridge ve BUIDL gibi projeler kurumsal düzeyde çalışıyor. Türkiye’de Dijital TL pilotu ilerliyor; kısa vadede toptan ödemeler ve mutabakat alanlarında etkisini göreceğiz.

---

Sonuç: “Finans = Yazılım + Regülasyon + Davranışsal Veri”

2025’in FinTech resmi net: anlık, açık, güvenli.
Türkiye’de FAST/KOLAS/TR Karekod üçlüsü günlük ödemeleri dönüştürüyor; 6493 ve ÖHVPS ile açık bankacılık ürünleşiyor. AB tarafında PSD3/PSR + Instant Payments Regulation, globalde ISO 20022 ve PCI DSS 4.0 uyumu oyunun kural kitabı. Üzerine yapay zekâ eklendiğinde, kazananlar alçak gecikmeli altyapı + sıkı uyum + ölçülebilir müşteri değeri kombinasyonunu kuranlar olacak. blog.pcisecuritystandards.org

Pratik tavsiye:

• 90 gün içinde: PCI 4.0 gap analizi, SCA-passkey pilotu, TR Karekod/FAST uçtan uca test.

• 180 gün içinde: ÖHVPS tabanlı bir nakit görünürlüğü veya gömülü tahsilat MVP’si.

• 12 ay içinde: ISO 20022 tam uyumluluk + graph-tabanlı fraud skorlama.