Agent Hukuku
Ücretsiz kitaplar
Akademi · Seviye 2 — Ajanı Güvenli Kurmak
Ders 2.2

Görev tanımı ve sınırlar

MB Slaytlı ders · ~8 dk · Mert Can Boyar

Envanteri çıkardınız; sıra her ajana “ne yapabilir, ne yapamaz” demeye geldi. Bu derste yürütme kontrolü kaybını, en az yetki ilkesini ve görev tanımının dört parçasını öğrenecek, yasağı kâğıttan sisteme nasıl taşıyacağınızı göreceksiniz.

Ders 2.2 · Ajanı Güvenli Kurmak01 / 08

Görev tanımı ve sınırlar

Hedef verip sınır vermemek, stajyere şirket kartı verip “satışları artır” demektir.

Slayt02 / 08

Vaka: hedefine sadık ajan

Tek hedef verilen satış ajanı (“denemeleri artır”) tereddüt eden müşterilere indirim önerdi, dozu artırdı, “ilk altı ay ücretsiz” paketi icat etti — hepsi şirketi bağlayan e-postalardı. “İndirim yetkisi vermedik ki. Ama yapamayacağını da söylemedik.”

Slayt03 / 08

Yürütme kontrolü kaybı

Ajan kötü niyetli değildi, hedefine fazla sadıktı. Buna sessiz kapsam genişlemesi eşlik eder: küçük indirim → büyük indirim → paket icadı. Hiçbir adım tek başına alarm çaldırmaz; toplamı felakettir.

Slayt04 / 08

Stajyer ve şirket kartı

Yeni bir stajyere ilk gün limitsiz kart, tüm dosyalar ve imza yetkisi verir misiniz? Vermezsiniz. Ajan, günde bin işlem yapabilen bir stajyerdir; en az yetki ilkesi bin kat önemlidir.

Slayt05 / 08

Görev tanımının dört parçası

  • Amaç beyanı — ne için var, başarı nasıl ölçülür.
  • İzinli eylemler (beyaz liste) — listede olmayan yoktur.
  • Yasaklı eylemler (kara liste) — kritik yasaklar açıkça.
  • Eskalasyon — hangi durumda durup insana sorar.
Slayt06 / 08

Neden kara liste de?

Belirsiz alanlar hep çıkar ve ajan belirsizliği kendi lehine yorumlar. Açık yasak hem ajana kısıt hem tedarikçiyle uyuşmazlıkta kanıttır: “Bunu yasaklamıştık, sistem yine de yaptı.”

Slayt07 / 08

Kâğıttan sisteme: korkuluklar

“Yapamaz” yazmak yetmez; sistemin gerçekten yapamaması gerekir: indirim sınırı → teknik limit; paket icadı → onaylı liste; taahhüt cümleleri → e-posta filtresi. Politika ile sistem arasındaki her fark bir denetim bulgusudur.

Slayt08 / 08

Özet + en pahalı hata testi

Görev tanımını ajanı bilmeyen bir çalışana verin ve sorun: “Bu kişi şirkete en fazla ne kadar zarar verebilir?” Rahatsız ediyorsa, tanım değil yetki fazladır.

Ajan, görev tanımını sizden almazsa kendisi yazar.

1 / 8

Hedef vermek yetmez, sınır gerekir

Uluslararası literatürün “yürütme kontrolü kaybı” dediği şeyi vakada görürsünüz: ajan kötü niyetli değildir, hedefine fazla sadıktır. Hedef belirsiz, bağlamsal sınırlar boş bırakılınca, sistem teknik olarak mümkün olan ama sizin hiç öngörmediğiniz yolları seçer. Buna sessiz kapsam genişlemesi eşlik eder; hiçbir adım tek başına alarm çaldırmaz, toplamı felakettir.

Unutmayın
Ajan, günde bin işlem yapabilen bir stajyerdir. Bir stajyere ilk gün limitsiz kart vermezsiniz — en az yetki ilkesi ajanlarda bin kat önemlidir.

Görev tanımının dört parçası

Her ajan için tek sayfalık bir belge yeter: amaç beyanı (KVKK m.4'teki amaçla sınırlılığın ajan dilindeki karşılığı), izinli eylemler (beyaz liste — listede olmayan yoktur), yasaklı eylemler (kara liste — çünkü belirsiz alanları ajan kendi lehine yorumlar) ve eskalasyon kuralları (hangi durumda durup insana sorar).

Dikkat
“Yapamaz” yazmak yetmez; sistemin gerçekten yapamaması gerekir. İndirim sınırı teknik limite, paket icadı onaylı liste kısıtına, taahhüt cümleleri e-posta filtresine dönüşmeli. Politika dokümanı ile sistem yapılandırması arasındaki her fark, bir denetim bulgusudur.
Bu derste öğrendikleriniz
  • Hedef verip sınır vermezseniz ajan kendi sınırını çizer.
  • Dört parça: amaç, izinli eylemler, yasaklı eylemler, eskalasyon.
  • Kara liste, belirsizliği ajanın lehine yorumlamasını engeller.
  • Yasağı sisteme taşıyın; “en pahalı hata” testini uygulayın.
← Önceki: Ajan envanteri Sonraki ders: Kimlik ve erişim →