Regülasyon Değişir, Mimari Kalır

Yapay zekâ projeleri tek bir gündem etrafında ilerlemiyor. İlk aşamada kurumların odağında doğru kullanım senaryosunu bulmak ve teknolojinin gerçekten çalıştığını görmek vardı. Bunu, sistemleri daha geniş ölçekte devreye alma, iş değeri üretme ve güvenilirliği sağlama gibi başlıklar takip etti. Bugün ise bunların yanına başka bir başlık daha güçlü şekilde ekleniyor: Yapay zekâ sistemleri hangi kurallar içinde çalışacak ve kurumlar bu kurallara ne kadar hazır?

Avrupa Birliği'nin AI Act düzenlemesi ve Türkiye'de KVKK'nın üretken yapay zekâ kullanımına ilişkin yayımladığı rehberler, veri kullanımı, insan denetimi, şeffaflık ve kurumsal sorumluluk gibi konuları yapay zekâ projelerinin gündemine daha açık biçimde taşıyor. Özellikle AI Act kapsamında 2 Ağustos 2026'da devreye giren şeffaflık yükümlülükleri, bu başlıkların artık yalnızca iyi uygulama seviyesinde konuşulmadığını gösteriyor.

CBOT olarak sahada gördüğümüz ihtiyaç da buna paralel ilerliyor. Yapay zekâ sistemleri operasyonların içine yerleştikçe kurumların yalnızca "Bu sistem ne kadar iyi çalışıyor?" sorusuna cevap vermesi yetmiyor. Hangi veriye eriştiği, bu verinin nerede işlendiği, hangi kararları kendi başına alabildiği, hangi noktada insan kontrolünün devreye girdiği ve yapılan işlemlerin ne kadar izlenebilir olduğu da tasarımın parçası haline geliyor.

Buradaki kritik nokta şu: Bu başlıkların çoğu, bir regülasyon yayımlandıktan sonra sisteme sonradan eklenebilecek maddeler değil. Yapay zekâ çözümünün nasıl kurgulandığıyla doğrudan ilgili. Bu nedenle kurumların önündeki soru yalnızca "Kapsamlı bir AI düzenlemesi ne zaman gelecek?" değil. Daha önemli soru şu: Bugün kurduğumuz yapay zekâ sistemleri, yarın değişebilecek kurallara ne kadar hazır?

Bizce kurumların bugün yapması gereken, regülasyonun nasıl şekilleneceğini tahmin etmeye çalışmak değil. Asıl mesele; yapay zekâ sistemlerini veri kontrolü, şeffaflık, insan denetimi ve izlenebilirlik gibi prensipleri en baştan dikkate alarak kurgulamak. Çünkü iyi tasarlanmış bir yapay zekâ mimarisi yalnızca bugünün ihtiyacını karşılamaz, yarının kurallarına uyum sağlamayı da kolaylaştırır.

Yeni Soru Uyum Değil, Dayanıklılık

Kurumlar AI Act ve KVKK Regülasyonuna Nasıl Hazırlanır?

Büyük kurumlarda yapay zekâ projeleri zaten hukuk, uyum, bilgi güvenliği ve veri ekiplerinin değerlendirmesinden geçiyor. Özellikle bankacılık, sigorta, telekom, havayolu ve kamu gibi alanlarda bunun aksi düşünülemez.

Dolayısıyla bugün tartışmamız gereken konu, hukuk ekiplerini projeye daha erken dahil etmek değil. Bu zaten işin doğal bir parçası.

Asıl değişim başka yerde.

Bugüne kadar çoğu kurum bir projeyi mevcut kurallar çerçevesinde değerlendiriyordu: Bu veriyi kullanabilir miyiz? Bu bilgiyi burada saklayabilir miyiz? Bu süreci otomatikleştirebilir miyiz?

Şimdi bu soruların yanına daha zor bir soru ekleniyor:

Sistemimiz, kurallar değiştiğinde ne kadar kolay değişebilecek?

Bu küçük bir fark değil.

Çünkü yapay zekâda regülasyonun konusu yalnızca kullanılan veri değil. Sistem müşteriye kendisini nasıl tanıtıyor, hangi kararı ne ölçüde otomatik alıyor, hangi durumda insan devreye giriyor, ürettiği içeriğin kaynağı anlaşılabiliyor mu, yaptığı aksiyonların geriye dönük izi sürülebiliyor mu gibi başlıklar giderek daha görünür hale geliyor.

Bunların tamamını tek tek bugünün mevzuat maddelerine bağlamak mümkün olmayabilir. Ancak hepsi aynı yöne işaret ediyor: Yapay zekâyı yalnızca çalışan bir teknoloji olarak değil, yönetilmesi gereken bir kurumsal aktör olarak tasarlamak gerekiyor.

Bizce yeni dönemin asıl kırılma noktası burada.

Regülasyona hazır olmak, bütün kuralları bugünden bilmek değil. Kurallar değiştiğinde sistemi baştan kurmak zorunda kalmamaktır.

Yapay Zekânın Rolü Değiştikçe Kuralın Konusu da Değişiyor

Chatbot'tan Dijital Çalışana: Sorumluluk Nasıl Büyüyor?

Bu tartışmanın bugün hızlanmasının nedeni yalnızca yeni düzenlemeler değil. Yapay zekânın kurum içindeki rolü de çok hızlı değişiyor.

Bir süre önce sanal asistandan beklentimiz müşterinin sorusunu anlaması ve doğru cevabı vermesiydi. Bugün dijital çalışanlardan yalnızca cevap değil, iş bekliyoruz.

Veriye ulaşıyor. Kurumsal sistemlerle konuşuyor. Bir sonraki adımı belirliyor. İş akışını ilerletiyor. Bazı senaryolarda aksiyon alıyor.

Bu geçiş yönetişim açısından önemli.

Çünkü cevap üreten sistem ile işlem yapan sistem aynı şekilde yönetilemez.

Bir chatbot yanlış cevap verdiğinde çoğu zaman bir iletişim problemiyle karşılaşırız. Bir dijital çalışan yanlış aksiyon aldığında ise operasyon değişir. Bir kayıt açılabilir, bir işlem tetiklenebilir, müşteriyi doğrudan etkileyen bir süreç başlayabilir.

Bu nedenle agentic çağda kritik konu yapay zekânın ne kadar yetenekli olduğu kadar, yeteneğinin nerede başladığı ve nerede bittiği.

CBOT olarak dijital çalışan projelerinde bu ayrımı özellikle önemsiyoruz: Yetenek ile yetki aynı şey değil.

Bir sistemin teknik olarak bir işlemi yapabiliyor olması, kurumun o işlemi ona bırakması gerektiği anlamına gelmiyor.

Burada şirketlerin tasarlaması gereken yeni bir katman oluşuyor. Hangi görev tamamen otonom ilerleyebilir? Hangi aksiyon kullanıcı onayı gerektirir? Hangi durumda çalışan devreye girmeli? Hangi karar insan sorumluluğunda kalmalı?

Bunlar yalnızca risk azaltan kontroller değil. Doğru kurulduğunda yapay zekânın daha geniş ölçekte kullanılabilmesini sağlayan mekanizmalar.

Geçen ay güven konusunu ele alırken de aynı noktaya gelmiştik: Kurumlar yapay zekâya güvenmedikleri için yavaşlamıyor. Nerede güvenebileceklerini tanımlayamadıkları için yavaşlıyor.

Regülasyon tartışması bu ihtiyacı daha görünür hale getiriyor.

Şeffaflık "Bu Bir Yapay Zekâdır" Demekten Daha Büyük

AI Act Şeffaflık Yükümlülüğü Ne Getiriyor?

Avrupa Birliği'nin AI Act kapsamında 2 Ağustos 2026'da uygulanmaya başlayan şeffaflık yükümlülükleri bu dönüşümün iyi bir örneği.

Belirli durumlarda kullanıcının bir yapay zekâ sistemiyle etkileşimde bulunduğunu bilmesi gerekiyor. Bazı AI üretimi veya AI tarafından değiştirilmiş içerikler için de şeffaflık şartları bulunuyor. Avrupa Komisyonu'nun AI Act şeffaflık yaklaşımı, kullanıcı ile yapay zekâ arasındaki ilişkinin daha görünür hale geleceğini gösteriyor.

Ancak kurumlar açısından alınması gereken ders yalnızca chatbot ekranına "Bu hizmet yapay zekâ tarafından sağlanmaktadır" yazmak değil.

Asıl soru şu:

Kullanıcı ve kurum, yapay zekânın bu süreçteki rolünü gerçekten biliyor mu?

Bilgi mi veriyor? Öneri mi sunuyor? Karar vermeye mi yardımcı oluyor? Yoksa kullanıcı adına işlem mi yapıyor?

Bu ayrım netleşmedikçe şeffaflık yalnızca ekrandaki bir bilgilendirmeye dönüşür. Oysa yapay zekânın sorumluluğu büyüdükçe sistemin rolünün de açık biçimde tanımlanması gerekiyor.

Bu noktada iyi tasarım ile regülasyon yine aynı yerde buluşuyor.

Kullanıcı neyle karşı karşıya olduğunu bildiğinde deneyim daha öngörülebilir hale geliyor. Kurum sistemin sınırlarını bildiğinde risk daha yönetilebilir oluyor. Operasyon sistemi hangi noktada devralacağını bildiğinde ise ölçekleme kolaylaşıyor.

Yani şeffaflık yalnızca uyum sağlamıyor. Belirsizliği azaltıyor.

Yeni Veri Sorusu: AI Ne Kadarını Görmeli?

KVKK'nın Üretken Yapay Zekâ Rehberi ve Veri Minimizasyonu

Benzer bir dönüşümü veri tarafında da görüyoruz.

Yapay zekâ projelerinde veri uzun süre "ne kadar çok, o kadar iyi" refleksiyle ele alındı. Daha fazla doküman, daha fazla müşteri geçmişi, daha fazla kurumsal bilgi sisteme açıldığında modelin daha güçlü çalışacağı düşünüldü.

Kurumsal AI olgunlaştıkça bu yaklaşım değişiyor.

Artık soru "AI hangi verilere erişebilir?" değil.

"Bu işi yapmak için hangi verilere erişmesi gerçekten gerekiyor?"

KVKK'nın Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi de veri minimizasyonu, açık işleme amacı ve kişisel verilerin kontrollü kullanımı üzerinde duruyor.

Ancak burada da konu mevzuat maddesinden daha büyük.

Bir kurumun çalışanlarına yıllardır verdiği erişim yetkilerini düşünelim. Finans ekibindeki herkes tüm finansal verilere erişmez. Müşteri hizmetlerindeki her çalışan müşteriye ait her bilgiyi göremez. Roller, sorumluluklar ve erişim sınırları vardır.

Yapay zekâda da aynı kurumsal disiplin gerekiyor.

Hangi dijital çalışan hangi sisteme bağlanabilir? Hangi veri alanını görebilir? Hangi bilgiyi yalnızca okuyabilir, hangisini değiştirebilir? Hangi veri kurum dışındaki bir modele gönderilebilir? Bu sorular, verinin kurum sınırları içinde mi dışında mı işlendiğiyle de doğrudan bağlantılı.

AI ölçeklendikçe şirketlerin "kim neye erişebilir?" sorusuna verdiği cevabın içine artık insanlar kadar yapay zekâ sistemleri de giriyor.

Bu nedenle veri yönetişimi ile AI yönetişimi giderek birbirinden ayrılamaz hale geliyor.

İnsan Denetiminin Rolünü de Yeniden Tanımlamak Gerekiyor

"Human in the Loop" Yapay Zekâda Ne Anlama Gelir?

Yapay zekâ yönetişiminde en sık duyduğumuz kavramlardan biri "human in the loop".

Ancak insanı her kararın içine koymak tek başına iyi yönetişim değil.

Bir dijital çalışan yüzlerce işlemi otomatik yürütüyor ancak her işlem için insan onayı gerekiyorsa, teknoloji teoride çalışıyor olabilir ama operasyon ölçeklenmiyor.

Diğer uçta, bütün kararları sisteme bırakmak da kurumsal kullanım için gerçekçi değil.

Asıl mesele insanın sistemde bulunup bulunmaması değil, nerede bulunması gerektiğini tasarlamak.

Yüksek güvenli ve düşük riskli adımlar otomatik ilerleyebilir. Belirsizlik arttığında, sistem tanımlanan sınırların dışına çıktığında veya müşteri açısından kritik bir karar söz konusu olduğunda insan devreye girebilir.

CBOT olarak "insana pas atma" mekanizmasını bu nedenle yalnızca bir hata yönetimi yöntemi olarak görmüyoruz. İyi tasarlandığında otonomi ile kontrol arasındaki dengeyi kuruyor.

Bu ayrım gelecekteki düzenlemeler açısından da önemli olacak. Çünkü yapay zekânın karar süreçlerinde ne kadar rol oynayabileceği tartışılırken kurumların gösterebilmesi gereken şey yalnızca "insan denetimimiz var" olmayacak.

İnsanın neden ve hangi noktada devreye girdiğini açıklayabilmek gerekecek.

İzlenebilirlik Yeni Kurumsal Hafıza

Yapay Zekâ Denetim İzi (Audit Trail) Neden Kritik?

Bir başka temel konu da izlenebilirlik.

Bir sistem bugün doğru çalışıyor olabilir. Ancak altı ay sonra bir müşteri işlemi sorguladığında veya kurum bir hatayı araştırdığında önemli olan yalnızca sonucun ne olduğu değil, o sonuca nasıl gelindiği.

AI hangi veriyi kullandı? Hangi modeli çağırdı? Hangi kurumsal araçlarla konuştu? Hangi adımı kendi başına attı? Nerede kullanıcıdan onay aldı? Nerede insan devreye girdi?

Bu sorulara cevap veremeyen bir sistem yalnızca denetim açısından sorun yaratmaz. Öğrenme kapasitesini de sınırlar.

Çünkü hata olduğunda hatanın kaynağını göremezsiniz.

Model mi yanıldı? Veri mi yanlıştı? Entegrasyon mu çalışmadı? Yoksa sistem kendisine tanımlanan görevi doğru yapmasına rağmen süreç mi yanlış tasarlanmıştı?

Yapay zekânın operasyon içindeki rolü büyüdükçe izlenebilirlik teknik log olmaktan çıkıyor. Kurumun AI ile yaptığı işin hafızasına dönüşüyor.

Bu nedenle bugün regülasyon için yapılan bir yatırım gibi görünen izlenebilirlik, yarın performans ve operasyon yönetiminin temel araçlarından biri olabilir.

Asıl Mesele: Değişime Hazır Bir Mimari Kurmak

Regülasyona Dayanıklı Kurumsal Yapay Zekâ Mimarisi Nasıl Olur?

Bütün bu başlıklar bizi aynı noktaya getiriyor. Veri erişimi, yetki sınırları, insan denetimi, şeffaflık ve izlenebilirlik birbirinden bağımsız kontrol alanları değil. Birlikte, kurumun yapay zekâyı nasıl yönettiğini belirleyen mimariyi oluşturuyor.

Bizce önümüzdeki dönemde asıl fark da burada ortaya çıkacak.

Çünkü modeller değişecek. Dijital çalışanların yapabildikleri genişleyecek. Yeni kullanım alanları ortaya çıkacak. Kurumların yapay zekâya verdiği sorumluluk arttıkça bugün yeterli görünen kontrol mekanizmaları da yeniden değerlendirilecek.

Bu değişimin tamamını bugünden tahmin etmek mümkün değil. Zaten gerekli de değil.

Kurumların ihtiyacı, her yeni gelişmede sıfırdan kural yazmak değil; yeni koşullara uyum sağlayabilecek temel prensipleri bugünden kurmak. Hangi verinin hangi amaçla kullanılacağı belliyse, yetkiler açık biçimde tanımlanmışsa, kritik noktalarda insan müdahalesi mümkünse ve sistemin yaptığı işlemler izlenebiliyorsa değişimi yönetmek çok daha kolay hale geliyor.

Bu yaklaşım regülasyon açısından hazırlık sağlarken, aynı zamanda yapay zekânın ölçeklenmesini de kolaylaştırıyor. Çünkü kurum neyi kontrol ettiğini bildiğinde sisteme daha fazla sorumluluk verebiliyor. Belirsizlik azaldıkça kullanım alanı genişliyor, daha fazla süreç yapay zekâyla çalışabilir hale geliyor.

Buradaki paradoks aslında oldukça basit: Daha fazla kontrol, doğru tasarlandığında daha az hareket alanı değil; daha güvenli bir büyüme alanı yaratıyor.

CBOT olarak kurumsal yapay zekâda bir sonraki olgunluk aşamasının da burada şekillendiğini düşünüyoruz. Mesele yalnızca güçlü modeller kullanmak ya da daha fazla süreci otomatikleştirmek değil. Yapay zekânın kurum içinde hangi sınırlar, sorumluluklar ve kontrol mekanizmalarıyla çalışacağını tasarlamak.

Çünkü iyi bir AI mimarisinin gücü yalnızca bugün ne kadar iyi çalıştığında değil, yarın koşullar değiştiğinde ne kadar kolay uyum sağlayabildiğinde ortaya çıkıyor.

Regülasyonu beklemek yerine hazırlanmak dediğimiz şey de tam olarak bu.