Son yıllarda yaş doğrulama, internetin büyük bir kısmında standart bir uygulama haline geldi. Çocukların pornografi, diğer uygunsuz içeriklere veya toplumsal medyaya erişimlerini engellemeyi hedefleyen yasalar, hızla dünya genelinde yayıldı ve Birleşik Krallık, ABD, Avustralya, Fransa, Brezilya gibi birçok ülkeye ulaştı. Sorun, kullanıcıların beyan ettikleri yaşlarının doğruluğunu kontrol etmenin zorluğunda yatıyor. Ne yazık ki, politikacıların tercih ettiği her yöntem önemli eksiklikler barındırıyor ve uzmanların geliştirmeyi önerdiği çözümler şimdilik sadece birer konsept olarak kalıyor.
Popüler bir yöntem, kullanıcıların belirli bir platformdaki aktivitelerine dayalı olarak “yaşını tahmin eden” yapay zeka destekli yaş pekiştirmesidir. Diğer bir yöntem ise, kullanıcı gizliliğini önceliklendiren üçüncü taraf hizmetleridir. Üçüncüsü ise, kullanıcıların uygulama indirmeden önce yaş kontrolü yapılmasıdır. Ancak bu yöntemlerin her biri önemli değişim ve fedakarlıklar gerektiriyor. 2026’dayız ve giderek artan bir yaş kısıtlamalı internet ortamında yaşıyoruz, fakat doğru teknoloji henüz mevcut değil.
Yaş Tahmininin Başlangıcı
Kullanıcılardan kimlik veya yüz taraması istemek yerine, birçok platform önce kullanıcıların mevcut verileri üzerinden yaş tahmininde bulunmayı tercih ediyor. Örneğin, Meta, Instagram’da gençleri daha sınırlı hesaplara yerleştirmek için yapay zeka destekli bir sistem kullanıyor. Google ve YouTube, 18 yaşın altındaki kullanıcıları tespit etmek için hesapları taramaya başladı, Discord ise bu yılın ilerleyen dönemlerinde benzer bir sistemi uygulamaya almayı planlıyor.
Bu tahmin sistemleri çeşitli sinyalleri değerlendiriyor. Basit bir örnek, hesap açılma yaşıdır — Instagram’a 18 yıl önce katıldıysanız, muhtemelen 18 yaşınızdan büyüksünüz. Diğer sinyaller ise daha spekülatif. YouTube, arama geçmişinden video türlerini analiz etmek için yapay zeka kullanıyor. Discord, cihaz ve aktivite verilerini kullanabileceğini belirtirken, Instagram; bir gönderide bir kullanıcıya “14. yaş gününüz kutlu olsun” dendiğinde, bu hesabı işaretleyebilir.
İdeal olarak, tahminin avantajı, kimsenin ek veri sağlamasına gerek kalmamasıdır. Discord, yaş tahminine dayanan bu sistemi uygulamaya alırken, çoğu kullanıcının etkilenmeyeceğini söylüyor. Uluslararası Gizlilik Profesyonelleri Derneği’nden Cobun Zweifel-Keegan, “Kimin kim olduğunu bilmeden yaşını belirleyebilirsin, bu nedenle teorik olarak yaş tahmin teknolojileri daha az gizlilik ihlali yapıyor,” diyor.
Fakat yalnızca yaş tahmini genellikle birinin yaşını güvenilir bir şekilde tahmin edemez ve hükümet düzenleyicilerinin belirlediği standartları karşılamayabilir. Eğer sistem birinin yaşı hakkında emin değilse veya yanlışlıkla onu küçüklük olarak tanımlıyorsa, kullanıcıların yine de kişisel verilerini vermeleri istenir.
Bir kişinin en az 18 yaşında olduğunu doğrulamak için, yaş engelleme sistemi genellikle ona dair açıklayıcı veriler toplamak zorundadır ve bu yeni bir gizlilik sorunu doğurur. Devlet tarafından verilen bir fotoğraf kimliği gibi, oldukça doğru bir yaş göstergesi olsa da, verilerin açığa çıkması durumunda ciddi sorunlar yaratır, bu da daha önce birkaç kez yaşanmıştır. K-ID, Persona ve Yoti gibi üçüncü taraf satıcılar, her bir şirketin kendi sistemini çalıştırma ihtiyacını ortadan kaldırabilir ve bazı riskleri devredebilir. Kullanıcılar için ise bu hizmetlerin çözmeye çalıştığı fundamental bir güvenlik sorunu var, ama henüz çözülmüş değil.
Kullanıcının yüzünü tarayıp otomatik olarak yaş aralığını belirlemek, fotoğraf kimliklerine popüler bir alternatif haline geldi. Kullanıcıdan hukuki bir belge toplamak zorunda kalmaz ve hatta bu işlem, kullanıcının cihazında gerçekleştirilebilir, böylece tanımlayıcı bilgiler saklandığı bir yerde risk altında olmaz.
“Eğer [cihazda] bunu telefon üzerinde etkili bir şekilde çalıştırabilseydik, hemen yapardım ama şu an için mümkün değil.”
Ne yazık ki, Elektronik Sınır Vakfı’nın belirttiğine göre, yüz bazlı yaş tahmini genellikle yanıltıcı olabilir — özellikle renkli insanlarla ve kadınlarla ilgili — ve çeşitli yöntemlerle yanıltılabiliyor, bu da videoya dayalı karakter yüzleri gibi unsurları içerebilir. Eğer yüz taramaları hipotetik olarak sızdırılırsa, güçlü üçüncü taraf yüz tanıma araçları bu kişileri de tanımlayabilir.
Bu arada, cihaz üzerinde doğrulama — bilgi toplamaktan ziyade gizli kalacağı iddia edilen bir yaklaşım — kendi iç sorunlarıyla karşı karşıya. Persona’nın CEO’su Rick Song, sunucu tarafı kimlik doğrulamanın genellikle tercih edildiğini, çünkü cihaz üzerindeki sistemlerin açığa çıkarılmasının daha kolay olduğunu belirtiyor. On-device sistemleri geçmenin “nispeten kolay” olduğunu ifade eden Song, bunun nedeninin her şeyin sunuculara doğru kaydırılması olduğunu söylüyor, her ne kadar on-device sistemler gibi işletmeler için daha ucuz çalıştırılabilse de. “Eğer [cihazda] bunu telefon üzerinde etkili bir şekilde çalıştırabilseydik, hemen yapardım ama şu an için mümkün değil.”
On-device doğrulamanın bir diğer dezavantajı — en azından Song’un bakış açısına göre — daha eski telefonların, kullanıcıların yüzünü analiz etmek için kullanılan yapay zeka modellerini çalıştıracak kadar güçlü olmaması. “Dünya genelinde büyük bir yüzde hala eski Android cihazları kullanıyor ve büyük bir bölüm de iPhone 10 öncesi cihazlarda,” diyor Song ekleyerek. “Bu cihazlar modeli çalıştıramayacak kadar eski, bu nedenle sadece yeni cihazlara sahip olanlar daha fazla gizlilik elde edebiliyor ve diğerleri gizlilikten mahrum kalıyor.” O insanlar yine bir kimlik yüklemek zorunda kalacaklar ve bununla ilgili güvenlik riskleri de söz konusu.
Cihaz Üreticilerini ZOR Durumda Bırakmak
Artık yasal düzenleyiciler, yaş kısıtlamasını uygulamak için şık bir çözüm olarak uygulama mağazalarını belirlemiş durumda. Bu önerilere göre, uygulama mağazalarının sahipleri, kullanıcıların uygulama indirmeden veya satın almadan önce yaşlarını doğrulamak zorunda kalacaklar. Bu fikir, Meta, Spotify, Match ve Garmin gibi teknik şirketler tarafından destekleniyor ve bu yöntem, her platformda yaş kontrolü yapmaktan daha verimli olduğu iddia ediliyor.
Bu kuralların destekçileri genellikle Apple’ın iOS App Store ve Google’ın Android Play Store’u hedef alıyor, ancak diğer işletim sistemleri de işin içinde — burada işler biraz karmaşıklaşıyor. Örneğin, Kaliforniya’nın Dijital Yaş Güvence Yasası’na göre, Windows, macOS ve Linux gibi işletim sistemleri, 2027’den itibaren cihazın kurulumu sırasında kullanıcılardan doğum tarihlerini istemek zorundadır. İşletim sistemi daha sonra, bu sürecin bir parçası olarak, uygulama mağazasında sunulan uygulatara kullanıcının yaş aralığını içeren bir “sinyal” iletmelidir.
Bu durum, açık kaynaklı işletim sistemleri, özellikle çeşitli Linux dağıtımları için zor bir duruma yol açıyor; çünkü mevcut durumda çoğu, kullanıcıların yaşını saklayarak iletebilecek bir hesap oluşturmasını zorunlu kılmıyor. Popüler Linux dağıtımlarının geliştiricileri, yeni düzenlemelerle başa çıkmak için mücadele ediyor. Gizliliği ön planda tutan bir Android sürümü olan GrapheneOS, yaş doğrulamasını zorunlu kılmayacağını ve eğer cihazları “bu düzenlemeler nedeniyle bir bölgede satılamıyorsa, bu da böyle” diyeceklerini belirtti. Ayrıca, uygulama mağazası düzeyindeki yaş doğrulama yasalarının Linux havuzlarına uygulayıp uygulanmadığı da belirsiz.
Yaş doğrulama yasalarındaki parçalı yapı, teknoloji şirketlerinin durumu daha da karmaşıklaştırıyor. Kaliforniya’nın yaş doğrulama yasası gibi, Texas ve Louisiana da uygulama mağazası düzeyinde yaş kontrolleri uygulamak için yasalar çıkardı. Ancak Tennessee, Florida ve Virginia gibi diğer eyaletler, platformları doğrudan hedef alıyor. Her iki yaklaşım da, anayasal denetim altında dayanıklılığını kanıtlamakta zorluk çekiyor, çünkü yasal düzenlemelerin her iki tarafı da federal mahkemeler tarafından engelleniyor.
“Şirketler, çeşitli teknolojileri kullanarak yaş tahmin veya doğrulama yapmakta zorlanmıyorlar,” diyor Zweifel-Keegan. “Farklı araçlar kullanıyorlar, ancak hükümetin bunu zorunlu hale getirmesi zor. Hükümet bunu yaptığında, bu, Anayasa’nın Birinci Değişikliği’ne tabidir. Şu ana dek, bunun iyi bir şekilde dayanamadığını görmedik.”
Bütün bu karmaşık yaş doğrulama kuralları arasında, bazı çevrimiçi platformlar, Discord ve Roblox gibi, gereksinim olmadıklarında bile doğrulama sistemlerini hayata geçirdi ve bununla birlikte bu teknolojinin pek çok değişkenini de içerdiler.
Daha iyi bir yol yok mu?
Tüm bunlar arasında, gizlilik uzmanları, veri toplama süreçlerini azaltacak bir yöntem geliştirmek için çalışıyor. Bir seçenek, sıfır bilgi kanıtı (ZKP) adı verilen, kişisel detayları üçüncü taraflarla paylaşmadan birinin 18 yaşında olduğunu kanıtlayan kriptografik bir yöntemdir ve bu, 2022’de Fransa’nın veri gizliliği ajansı tarafından gösterilmiştir. Önerilen sisteme göre, birinin kimliğini veren devlet kurumu, kullanıcılara 18 yaşın üstünde olduklarını gösteren bir kanıt sunacak, böylece doğum tarihlerini veya diğer kişisel bilgilerini doğrudan bir web sitesine veya üçüncü tarafa açıklamaları gerekmeyecek. Kullanıcılar bu yaş kanıtını dijital cüzdanlarında saklayabilir, bu da onlara bu kanıtı gereksinimi olan web sitelerine veya uygulama mağazalarına sunma imkanı tanır. Google, bu teknolojinin geliştirilmesine destek veren şirketler arasında yer alıyor, ancak bunun da eksiklikleri söz konusudur.
Brave araştırmacıları, ZKP uygulayan birçok sistemin “gerçekten sıfır bilgi sunamayabileceğini” dile getiriyor. Eğer bu sistemler yanlış bir şekilde kurulursa, gizliliği de aşındırabilir. Özellikle, bir hizmetin kullanıcıdan yaş grubu bilgisi talep etmesi durumunda, kullanıcı birden fazla kez yetişkin olduğunu kanıtlayınca yaşlarının dar bir aralığını açıklamış oluyor. “Örneğin, ilk kez 20 ile 22 yaş arasında olduğunu kanıtlayan bir kullanıcı, iki ay sonra 21 yaş üstünde olduğunu kanıtlıyor, bu durumda tam doğum tarihini dar bir aralık halinde açıklamış oluyor,” diyor Brave Araştırmaları.
Avrupa Birliği, açık kaynaklı bir yaş doğrulama uygulaması geliştirmek için spesifikasyonlar hazırlamakta ve ZKP’yi “deneysel” bir özellik olarak daha sonra dahil edecektir. Uygulama, kullanıcıların devlet kimliğini veya pasaportunu yüklemelerini veya bir banka ya da okul aracılığıyla yaşlarını doğrulamalarını gerektirecektir. Uygulama, kullanıcıların yaşını doğruladıktan sonra “güvenilir liste” kayıtlı yaş doğrulama sağlayıcılarını kullanarak, kullanıcıya herhangi bir tanımlayıcı bilgi içermeyen bir yaş kanıtı üretecektir. Kullanıcılar, uygulamanın sağladığı yaş kanıtını yaş kısıtlamalı platformlara erişim sağlamada kullanabilirler.
Gizlilik Geleceği Forumu, bir kimlik veya yüz taraması ile yapılan ilk yaş kontrolünü gerçekleştirdikten sonra “stabil, geri dönüşü olmayan kriptografik anahtar” üretebilecek bir sistemi de vurgulamıştır. Bu anahtar, başka yerlerde sunulmak üzere verilebilecektir. FPF’den politika danışmanı Daniel Hales, bu yöntemin, tarayıcıda veya cihazda saklanan yeniden kullanılabilir kimlik bilgileri ile birlikte kullanılabileceğini belirtiyor. “Bu, yaş kontrolü sayısını azaltabilir, ancak aynı zamanda paylaşılan cihazlar veya bireylerin kimlik bilgilerinin birden fazla kişi arasında paylaşılması riskini de azaltabilir,” diyor Hales.
Ancak bu yöntemler hâlâ sadece fikir aşamasındadır. Hales’e göre, şirketler ve yasama organları “gizlilik ile güvenlik arasındaki dengeyi” düşünmelidir. Şu ana kadar, herhangi bir politika veya yaş doğrulama sağlayıcısı bu dengeyi başarıyla gerçekleştiremedi; bu da hepimizi, bu süreci netleştirirken tehlikeye atıyor.
