Brüksel’de 29 Eylül 2026’da yapılacak altıncı siyasi trilogue, Avrupa Birliği’nin Çocuk Cinsel İstismarı Yönetmeliği (CSAR) — kamuoyunda Chat Control 2.0 — dosyasını yeniden masaya getiriyor. Çocuk koruma hedefi neredeyse herkesçe kabul edilirken, tartışmanın özü başka: şüphesiz, kitlesel ileti tarama mı; yoksa yargı kararıyla, isimlendirilmiş şüphelilere yönelik hedefli tespit mi? İrlanda dönem başkanlığında, Adalet Bakanı Jim O’Callaghan’ın Konsey tarafını yönettiği bu görüşme, 450 milyon kişinin özel iletişimini ve uçtan uca şifrelemenin (E2EE) Avrupa’daki anlamını doğrudan etkiliyor.

The CyberSec Guru’nun 19 Eylül 2026 tarihli analizi, trilogue’nin neyi çözebileceğini ve neyi çözemeyeceğini netleştiriyor. Data Journalists’in 18 Eylül incelemesi ise Almanya’dan gelen sahte pozitif rakamlarıyla kitlesel taramanın pratikte nasıl “yanlış bayrak” ürettiğini hatırlatıyor. EDRi’nin 4 Ağustos 2026 tarihli “Chat Control 1.0 saga” notuna göre müzakereciler şifrelemeyi koruma ve yaş doğrulamayı CSAR metninden çıkarma konusunda ilerleme kaydetmiş görünüyor; kalan kavga zorunlu/gönüllü ve hedefli/kitlesel tespit çizgisinde. Bu yazı, 1.0 ile 2.0’ı ayırarak, client-side scanning’in E2EE’yi pratikte nasıl boşalttığını, sınıfsal mahremiyet kaybını ve sivil toplumun alternatiflerini özetliyor.

Trilogue nedir, 29 Eylül neyi bağlayabilir?

Trilogue, resmi bir oylama değil; Konsey, Parlamento ve Komisyon heyetlerinin kapalı müzakeresidir. Her taraf, başka zamanda ve başka çoğunlukla kabul edilmiş bir müzakere yetkisi (mandate) taşır. Konsey tarafı 26 Kasım 2025’te kabul edilen pozisyonu; Parlamento tarafı Kasım 2023’te LIBE/plenary ile sabitlenen metni taşır. Komisyon oylamada oy kullanmaz, uzlaşma dilini önerir. Bu yüzden müzakereciler o gün “istedikleri her şeyi” imzalayamaz: yetki dışına çıkan bir madde için COREPER’e veya LIBE’ye dönmek gerekir.

İrlanda dönem başkanlığı, Konsey belgesi 11501/26 (7 Temmuz 2026) ile altıncı siyasi trilogue’yi 29 Eylül’de Konsey binasında planladı; 10 ve 18 Eylül’de teknik hazırlık toplantıları yapıldı. Agence Europe ve Konsey’in Haziran 2026 trilogue ilerleme notlarına göre beşinci turda (29 Haziran) neredeyse tüm hükümlerde geçici uzlaşma sağlanmış, tespit (detection) maddesi açık bırakılmıştı. Yani 29 Eylül’ün asıl yükü, dosyanın geri kalanı değil; ileti taramasının nasıl tanımlanacağıdır.

Müzakerecilerin her iki yetkiyle de uyumlu biçimde uzlaşabileceği alan dar ama gerçek: hedefli tespit, mahkeme kararı, isimlendirilmiş şüpheliler ve E2EE kanallarına dokunmama. Risk değerlendirmesi, AB Çocuk Cinsel İstismarı Merkezi (EU Centre), raporlama ve şeffaflık raporları gibi kurumsal parçalar da bu çerçevede oturtulabilir. Buna karşılık, herkesin özel mesajına yönelik zorunlu tarama, client-side scanning ile şifrelemenin fiilen boşa çıkarılması veya iletişim hizmetlerinde zorunlu yaş doğrulama — mevcut yetkilerle tek öğleden sonra “kapatılabilecek” konular değildir.

Chat Control 1.0 ile 2.0: iki ayrı yasa, tek lakap

Kamuoyundaki “Chat Control” adı iki farklı hukuki katmanı birbirine karıştırıyor. Geçici rejim — Chat Control 1.0, (AB) 2026/1881 sayılı Tüzük — gönüllü taramaya izin verir; zorunlu kılmaz. Uçtan uca şifreli hizmetler, Parlamento’nun kabul ettiği değişikliklerle bu geçici rejimin kapsamı dışında bırakılmıştır. Metin 3 Nisan 2028’e kadar yürürlüktedir.

Temmuz 2026’da Parlamento’da geçici rejimi reddetme hareketi 314’e 276 oyla reddi savundu; ancak bileşen üyelerin mutlak çoğunluğu (o gün 360) sağlanamadığı için metin geçti. Aynı oylamada E2EE’yi client-side scanning’e karşı koruyan değişiklikler de kabul edildi. EDRi’nin Ağustos 2026 değerlendirmesi bunu “kitlesel gözetime karşı güçlü sinyal” olarak okurken, kalıcı CSAR müzakeresinde şifreleme ve yaş doğrulama satırlarının daraldığını da not ediyor.

Chat Control 2.0 ise Mayıs 2022’den beri müzakere edilen kalıcı CSAR’dır. Burada tartışma, izinden yükümlülüğe geçişte yoğunlaşıyor: tespit emirleri olacak mı, kim çıkaracak, kime yöneltilecek? Konsey’in 26 Kasım 2025 yetkisi zorunlu tespit emirlerini metinden çıkarıp gönüllü taramayı desteklerken, iletişim hizmetlerinde zorunlu yaş doğrulamayı içeriyor. Parlamento’nun Kasım 2023 yetkisi tespiti son çare, isimlendirilmiş şüpheli ve yargı kararıyla sınırlıyor; E2EE’yi koruyor; zorunlu yaş doğrulama öngörmüyor.

Client-side scanning: şifrelemeden önce bakmak

Uçtan uca şifrelemede içerik gönderen cihazda şifrelenir, yalnızca alıcıda çözülür; sunucu düz metni görmez. Client-side scanning bu mimariyi “kırmadan” aşmayı önerir: mesaj şifrelenmeden önce cihazda algoritmaya gösterilir, eşleşmeler raporlanır. Teknik olarak anahtar kırılmamış olabilir; pratikte mahremiyet garantisi, kullanıcının bakış açısından, şifreleme hiç yokmuş gibidir.

Konsey Hukuk Servisi, genel ve ayrım gözetmeyen taramayı AB hukukuyla bağdaşmaz bulduğunu tekrarladı. AİHM’nin Şubat 2024 tarihli Podchasov / Rusya kararında şifrelemeyi zayıflatmaya zorlamanın demokratik bir toplumda gerekli sayılamayacağı çizgisi, 46 Avrupa Konseyi üyesini — AB’nin 27’sini de — bağlayan bir standarttır. Şart’ın 7. (özel hayat) ve 8. (kişisel veri korunması) maddeleri ile ABAD’ın Digital Rights Ireland, Tele2 Sverige ve La Quadrature du Net içtihadı, şüphesiz ve kitlesel iletişim verisine erişimi orantısız bulma çizgisini pekiştirir.

Yapay zekâ, sahte pozitifler ve kimin dosyası açılıyor?

Bilinmeyen CSAM’i (hash veritabanında olmayan materyali) yakalamak için mesaj ölçeğinde sınıflandırıcılar gerekir. Ölçek büyüdükçe yüzde düzeyindeki hata oranları bile yılda milyonlarca yanlış bayrağa dönüşebilir. Data Journalists’in 18 Eylül 2026 aktarımında Patrick Breyer, Alman BKA verilerine dayanarak kitlesel tarama kaynaklı CSAM bildirimlerinin yarısından fazlasının cezai açıdan işleme alınabilir olmadığını belirtiyor; 2025’te bayrakların yaklaşık yüzde 52’sinin hukuken ilgisiz kaldığı, on binlerce özel fotoğraf, video ve sohbetin haksız yere ifşa edildiği vurgulanıyor.

Bu, “çocukları koruyoruz” cümlesinin teknik yüzüdür: yanlış pozitif, yalnızca istatistik değil; mahrem görüntülerin insan moderatörlere veya otomatik rapor hatlarına düşmesidir. 1 Şubat 2027’de sağlayıcıların hata oranı raporları; 1 Ekim 2026’da Komisyon’un raporlama kuruluşları listesi — Chat Control 1.0 takvimindeki bu tarihler, trilogue’den daha somut bir gerçeklik üretecek: tarama gerçekte ne yakalıyor, kimi yanlış yakalıyor, raporlar kime gidiyor?

Sınıfsal lens: anonimliğin bedeli kimden kesilir?

Kitlesel tarama ve zorunlu yaş doğrulama, “herkes eşit risk altında” masalını çabuk bozar. Anonim veya düşük izli iletişim; şiddet mağdurları, gazetecilerin kaynakları, LGBTİ+ bireyler, göçmenler, sendikal örgütlenme ve emek mücadeleleri için çoğu zaman güvenlik aracıdır. Kimlik bağlayan yaş doğrulama ve cihaz üzeri tarama, bu grupların riskini artırırken, taslaklarda askerî ve hükümet hesaplarının taramadan muaf tutulması — “gizli bilgi” gerekçesiyle — aynı mimarinin kimin için vazgeçilmez sayıldığını gösterir. Bakanlar ve diplomatlar şifrelemeyi kendi güvenliği için tutar; hemşire, öğretmen, sendikacı veya muhbir aynı korumayı “engelleme” diye okur. Bu asimetri, çocuğu koruma dilinin altında bir gözetim altyapısı inşa etme eleştirisini besler.

EDRi ve sivil toplum, Thorn ile Oak Foundation ağları üzerinden yürütülen lobi faaliyetlerini de uzun süredir eleştiriyor: çocuk koruma hedefi meşru olsa da, zorunlu tarama altyapısından sözleşme bekleyen yapay zekâ ve içerik moderasyonu şirketlerinin politika tasarımına ağırlık vermesi, sorunu “en etkili koruma”dan “en satılabilir tarayıcı”ya kaydırır. Hedefli soruşturma, güçlendirilmiş kolluk, sınır ötesi işbirliği ve istismarın kök nedenlerine yönelik önleme programları çocukları daha doğrudan korurken, herkesin mesajına kurulan tarayıcı kâğıt üzerinde daha “ölçeklenebilir” görünür.

Almanya salınımı ve siyasi aritmetik

Zorunlu tarama bloğunu durdurmak için Konsey’de nitelikli çoğunluğa karşı bloke azınlık gerekir. Almanya’nın nüfus ağırlığı ve tarihsel olarak kitlesel gözetime anayasal direnci, 29 Eylül aritmetiğinin merkezindedir. Kamuoyu söylemleri şüphesiz taramayı reddederken, müzakere talimatlarının gönüllü taramayı tamamlayan zorunlu tespit diline kapı aralayıp aralamadığı, The CyberSec Guru analizinin de altını çizdiği gibi, dosyanın kaderini belirleyebilir. Parlamento tarafında ise Temmuz’daki 314’lük ret oyu, kitlesel gözetime karşı iştahın zayıf olduğunu gösterir; zorunlu rejim için aynı meclisten daha fazlasını istemek zorlaşır.

Ne istenmeli: hedefli yargı, kaynaklı kolluk, önleme

EDRi, Digitalcourage, Chaos Computer Club, Access Now, Signal Foundation ve yüzlerce akademisyen/teknoloji uzmanının ortak çizgisi çocuk korumasına karşı olmak değil; şüphesiz kitlesel taramayı araç olarak reddetmektir. Alternatif çerçeve net: yargı denetimli, orantılı ve denetime açık hedefli tespit; yeterince kaynaklandırılmış kolluk; sınır ötesi işbirliği; platformlarda hak temelli içerik moderasyonu; istismarı üreten yapısal koşullara yönelik önleme. “Risk temelli tespit” veya “çocuk güvenliği” etiketleriyle zorunlu taramayı yumuşatmak, Şart ve ABAD çizgisini ortadan kaldırmaz.

29 Eylül’de “geçici anlaşma” denirse metin COREPER ve Parlamento onayına gider; “ilerleme” denirse dosya bir sonraki dönem başkanlığına — İrlanda’nın ardından Litvanya, sonra Yunanistan — kalır. Chat Control 1.0 2028’e kadar zaten yürürlükte kalır; kısa vadede hukuki boşluk oluşmaz. Asıl mesele, kalıcı metnin Avrupa’yı şüphesiz ileti taramasını yazan ilk demokratik blok haline getirip getirmeyeceğidir. Çocukları korumak ile herkesi potansiyel şüpheli saymak aynı şey değildir; trilogue’nin sınavı da budur.

Kaynaklar: The CyberSec Guru, “Chat Control 2.0: What Happens on September 29, 2026?” (19 Eylül 2026); Data Journalists, “Chat Control: All Europeans’ communications under the microscope” (18 Eylül 2026); EDRi, “The Chat Control 1.0 saga” (4 Ağustos 2026); Agence Europe / Konsey–Parlamento Haziran 2026 trilogue ilerleme notları; AB Temel Haklar Şartı md. 7–8; ABAD Digital Rights Ireland / Tele2 / La Quadrature du Net içtihadı; AİHM Podchasov / Rusya (Şubat 2024); Konsey Hukuk Servisi görüşleri.