Çip kontrolü satışta değil, son kullanıcı denetiminde kırılıyor

Lisans satışta, kayıp ikinci elde

ABD'nin çip kontrolü satış anında çalışıyor: 25 Mart'ta açılan bir davada 750 sunucunun 600'ü Çin'e gitmek için lisans gerektiriyordu. Kırılma 2. adımda, ürün üçüncü bir ülkedeki alıcıya geçtikten sonra yaşanıyor. 1–2 Ekim'de Los Angeles'ta mahkemeye çıkarılan Earthmade Computer sahibinin dosyası bunu açıkça gösteriyor.

The Register'ın aktardığı iddianameye göre sanık 2 Malezyalı aktarma şirketinden 176 milyon $'ın üzerinde ödeme aldı. Dosya, San Francisco Havalimanı'ndan Kuala Lumpur'a çıkan ve oradan Hong Kong'daki alıcılara yönlenen 92 sunucuyu izliyor. Sevkiyatlar A100 ve H100 veri merkezi işlemcilerinin yanında RTX 4090 ve RTX 5090 kartlarını da içeriyor.

Asıl veri 3 yıla yayılabilen süre: The Register şemanın Ekim 2023'ten 12 Ağustos 2026'ya kadar sürdüğünü yazıyor; bu, yaklaşık 34 ay demek. Bloomberg ise bitişi Ağustos 2024 ortası olarak veriyor, yani iki kaynak bitiş tarihinde 2 yıl ayrışıyor. Hangisi doğru olursa olsun, ihracat beyanı her sevkiyatta yapıldı ama son kullanıcı en az 10 ay boyunca görülmedi.

Aynı kalıp 2026'da tekrar ediyor. Mart'ta Supermicro'nun kurucu ortağı yaklaşık 2,5 milyar $'lık Nvidia donanımını Çin'e yönlendirmekle suçlandı; BIS'e göre bu 3 kişilik dosyada sunucular Güneydoğu Asya üzerinden aktı. Taipei Times'ın aktardığı Bloomberg verisine göre Çin'de yerel yönetimlerin kontrol ettiği bir kiralama şirketi de 700'ü aşkın sunucu alımını finanse etti; bunların 32'si lisanssız satışı yasak B300 çipli.

Üç transit ülke, üç farklı uygulama isteği

Malezya en net adımı 14 Temmuz 2025'te attı: ticaret bakanlığı o gün ABD menşeli yüksek performanslı YZ çiplerinin ihracatını, aktarmasını ve transit geçişini izne bağladı. Şirketler bu işlemleri en az 30 gün önceden bildirmek zorunda. Lui dosyasında şemanın bu kuraldan sonra da sürüp sürmediği 2 kaynakta farklı; kuralın kaçağı ne ölçüde kestiği doğrulanamadı.

Singapur ise 2025'ten beri yargı yolunu kullanıyor. Foreign Policy'ye göre ülkede 3 kişi yaklaşık 390 milyon $'lık sahte sunucu işlemi nedeniyle tutuklandı. 6 Temmuz 2026'da ana şüpheliye kara para aklama suçlaması eklendi ve kefalet 1,2 milyon Singapur dolarının üzerine çıkarıldı. Yani Singapur kaçakçılığı ihracat ihlali olarak değil, yaklaşık 390 milyon $'lık işlemde üreticileri kandırma suçu olarak kovuşturuyor.

Tayland 3 ülke içinde en zayıf halka gibi görünüyor. Thailand Business News'in 8 Mayıs 2026 haberine göre ABD, ülkenin ulusal YZ projesinde yer alan Bangkok merkezli OBON Corp'u milyarlarca dolarlık sunucuyu Çin'e geçirmekle şüpheleniyor. 25 Mart davasında ise 750 sunuculuk, yaklaşık 170 milyon $'lık sipariş Taylandlı bir alıcı adına verilmişti. Bu siparişi kesen BIS değil, alıcının kim olduğunu soran 2 şirket, Supermicro ve Nvidia oldu.

Denetimin sınırı: dünyada 25 görevli

BIS'in kapasitesini en iyi Müsteşar Kessler'in 14 Temmuz 2026'da Temsilciler Meclisi'ne sunduğu ifade anlatıyor. Kessler'e göre denetim birimi bugün 299 kadroyla çalışıyor ve yurt dışında yalnızca 25 görevlisi var. 2027 bütçe talebi birimin ödeneğini 122 milyon $'dan 301 milyon $'a, yani %147 artırmayı öneriyor.

Kessler aynı ifadede 299 kişilik kadronun akranlarından fazla dosya ve ihbarla boğulduğunu kabul ediyor. Ceza hacmi ise hızla büyüdü: BIS'in kestiği para cezaları 2024'teki 16 milyon $'dan 2025'te 324 milyon $'a çıktı. Cezadaki 20 katlık artış kovuşturmanın güçlendiğini, ama sevkiyattan sonra yerinde kontrolün hâlâ dar kaldığını birlikte gösteriyor.

Foreign Policy'nin Eylül 2025 analizine göre BIS'in tüm Güneydoğu Asya'da yerinde kontrol yapan yalnızca 1 ihracat kontrol görevlisi vardı. Bu veri 1 yıllık ve bugünkü bölgesel dağılım doğrulanamadı. Yine de 25 kişilik küresel kadroyla Malezya, Singapur ve Tayland'daki binlerce sunucunun son kullanıcısını tek tek doğrulamak mümkün görünmüyor.

İkinci kaçak yol: kiralamak ve kopyalamak

Fiziksel sevkiyat zorlaştıkça 2 kanal öne çıkıyor. Birincisi bulut: The Register'a göre Çinli şirketler en az 2023'ten beri yurt dışında barındırılan kontrollü GPU'ları kiralayarak kullanıyor. Temsilciler Meclisi bu erişimi ihracat sayan Uzaktan Erişim Güvenliği Yasası'nı 12 Ocak 2026'da 369'a 22 oyla kabul etti. Latham & Watkins'in 23 Mart notuna göre yasa Senato Bankacılık Komitesi'nde bekliyordu; sonraki durumu doğrulanamadı.

2. kanal damıtma, yani büyük bir modelin cevaplarını toplayıp daha küçük bir modeli o cevaplarla eğitmek. OpenAI'nin kendi geliştirici belgesi yöntemi 4 adımda anlatıyor ve büyük modelin çıktısını küçük modelin ince ayar verisine çeviren meşru bir maliyet aracı olarak sunuyor. OpenAI 30 Eylül'de, 24–25 Temmuz'da 4.000'i aşkın kullanıcıdan gelen 16.000 isteği Moonshot AI ile bağlantılı kişilere bağladı.

Bu 2. kanalın zayıflığı kanıtta. The Hacker News'e göre OpenAI atıf için kamuya teknik kanıt sunmadı; Moonshot'ın yanıtı 30 Eylül'den bu yana doğrulanamadı. Damıtmada sınırdan 1 çip bile geçmiyor, yalnızca metin geçiyor. Bu yüzden BIS'in 2025'te kestiği 324 milyon $'lık cezanın dayandığı lisans mantığı burada hiç işlemiyor.

Ateşkes takvimiyle bağ

24 Eylül zirvesi çip kontrolünü masaya almadı ve kararları 10 Ocak 2027'ye bıraktı. Sertleşme yürütmeden değil, 535 üyeli Kongre'den geliyor. Roll Call'un 23 Eylül haberine göre çiplerde konum doğrulama isteyen tasarı savunma yasası paketine girdi ve Temsilciler Meclisi komitesinden 42'ye 0 oyla geçti. Konum doğrulama tam da bu raporun gösterdiği açığa, yani satıştan sonraki 10–34 aylık görünmezliğe yanıt veriyor.

Önümüzdeki 98 günde iki şey izlenmeli. Birincisi 2027 savunma yetki yasasının uzlaşma metninde çip konum maddesinin kalıp kalmadığı. İkincisi Kongre'nin BIS'in yurt dışı kadrosunu 25'ten 65'e çıkaracak ödeneği onaylayıp onaylamadığı. Bu 2 adımdan hiçbiri gerçekleşmezse 10 Ocak pazarlığı, ABD'nin fiilen uygulayamadığı bir kontrolü takas kalemi olarak masaya koyma riski taşır.