Ajan yönetişiminin doğrulama açığı: kusursuz bir log neden neredeyse hiçbir şey kanıtlamaz?

Bir denetçiyi müvekkilin ofisinde hayal edin. Önündeki ekranda, yapmaması gereken bir ödemeyi gerçekleştirmiş bir yapay zeka ajanının eksiksiz logu var. Her adım kayıtlı: istem, plan, gerekçe, araç çağrıları, onay. Log bütün, zaman damgalı ve pırıl pırıl biçimlendirilmiş.

Ve neredeyse hiçbir şey kanıtlamıyor.

2026'da agentic yapay zeka yönetişiminin rahatsız edici merkezi tam da burası. Sorun artık ilke kıtlığı değil. Singapur ilkeleri yazdı, AB yanına mevzuat çıkardı, her büyük danışmanlığın piramit diyagramlı bir çerçevesi var. Sorun şu: bu ilkelerin önemli bir kısmı bugün doğrulanamıyor — ve doğrulaması olmayan yönetişim bir beyandan ibarettir. Beyanlar ucuzdur; güvence (assurance) değildir.

Bu yazı, doğrulamanın pratikte tam olarak nerede kırıldığını haritalamayı, bu kırılma noktalarını kategorilere ayırmayı (çünkü farklı biçimlerde zordurlar ve kategori kimin ödevi olduğunu belirler) ve düzenleyicilerin bugüne dek ne denediğine — ayrıca bir ajan denetiminin bugün gerçekte neye benzediğine — dürüstçe bakmayı amaçlıyor.

1. Yönetişim pratikte nerede kırılıyor?

Kanıt problemi

Her denetim geleneği iki varsayıma dayanır: kanıt vardır ve kanıt sadıktır. Mali denetim deftere, güvenlik denetimi sistem loguna güvenir; kayıt, olanı yansıtır. Agentic yapay zeka her iki varsayımı aynı anda çürütür.

Kaydın kendisiyle başlayın. Çerçeveler ajanın planlama ve gerekçesini loglamayı önerir; satıcılar da uyar. Ama ajanın “gerekçesi”, bir modelin ürettiği metindir — kararı üreten aynı mekanizmanın, karar hakkında ürettiği bir anlatı. Gerekçe sadakati (reasoning faithfulness) üzerine araştırmalar, bir modelin açıklamasının çıktısını gerçekte yönlendiren etkenlerden sapabildiğini defalarca gösterdi; üstelik sapma modelin yeteneğiyle birlikte büyüyebiliyor: sistem güçlendikçe beyan ettiği gerekçeye daha az güvenilebiliyor. Gerekçe izini okuyan denetçi, makul bir hikâye okur; onun gerçek hikâye olduğunu bağımsız olarak teyit edecek bir yolu yoktur.

Sonra tekrarlanabilirlik gelir. Klasik olay incelemesi yeniden kurmaya dayanır: koşulları yarat, süreci tekrar çalıştır, sistem aynı davranıyor mu bak. Ajanlarda aynı istem, aynı ortamda farklı bir eylem üretebilir. Sıcaklığı (temperature) sıfıra çekmek varyansı daraltır ama bitirmez; çünkü model sürümleri döner, bağlam pencereleri farklı dolar, dış araçların durumu değişir. “14 Mart'ta sistem neden X yaptı?” sorusunun çoğu zaman yeniden-kurulabilir bir cevabı yoktur; yalnızca “tekrar denediğimizde şunu yaptı” vardır.

Ve ihtiyacınız olan kanıt hukukla çarpışır. Bir ajanın tam denetlenebilirliği, tüm bağlamların saklanmasını gerektirir: istemler, getirilen belgeler, ara gerekçeler, araç girdileri ve çıktıları. Bu bağlamlar kişisel veri ve ticari sır içerir. Veri minimizasyonu bir yöne çeker, kanıt bütünlüğü diğerine. Piyasa pratiği — model sağlayıcılarla sıfır-veri-tutma düzenlemeleri dahil — gerilimi çoğu zaman mahremiyet lehine çözer. Bu savunulabilir bir tercihtir; ama aynı zamanda kanıtın hiç tutulmadığı anlamına gelir.

Sınır problemi

Bir denetçiye neyi denetlediğini sorun; kenarları olan bir sistem tarif eder. Bir uygulama, bir altyapı, tanımlı bir bileşen kümesi. Kapsam, her sözleşmenin ilk sayfasıdır. Bir ajanın ise sabit kenarları yoktur: model + araçlar + protokoller + dış sunucular + hafıza ve giderek diğer ajanlar. Ajanın eylem uzayı — dünyada gerçekten yapabildiği şeyler kümesi — dağıtan kuruluşun tek satır kodu değişmeden değişebilir. Bir araç sağlayıcı yeni bir fonksiyon yayımlar; bir MCP sunucusu bir araç tanımını günceller; bağlı bir servis bir API'yi genişletir. Mart'ta kapsadığınız sistemin Haziran'da başka bir çevresi vardır — ve hiçbir değişiklik yönetimi süreci bunu yakalamaz, çünkü denetlenen kuruluş içinde kimse bir değişiklik yapmadı.

Model de aynı şekilde kayar (drift). Kuruluş, sağlayıcının modeli üzerinde bir ajan çalıştırır; sağlayıcı modeli günceller; davranış değişir; eski sürüm sonunda kapatılır ve tekrarlanabilirliği de yanında götürür. ISO 27001 ve SOC 2'nin direği olan değişiklik yönetimi, değişikliklerin kuruluşun kendi kapısından geçtiğini varsayar. Burada değişiklik dışarıdan, bazen habersiz gelir ve geri alınamaz.

Kimlik tabloyu tamamlar. Her çerçevenin en çok atıf alan kontrolü olan en az yetki, tanımlı rollere sahip sabit bir kimlik varsayar. Ajanlar ödünç kimlik bilgileriyle çalışır: bir kullanıcının oturumu, bir servis hesabı, dinamik olarak devredilen bir token. Oturumları kısa, izinleri geçici; ve kendi izinleri ajanınkini aşan araçlar üzerinden kaynaklara dolaylı ulaşabilirler — yeni kılıktaki klasik “şaşkın vekil” (confused deputy) örüntüsü. Standart bir erişim incelemesi hesapları görür; etkin erişimi görmez.

Nedensellik problemi

İki hata yüzeyi, geleneksel güvenliğin bizi hazırlamadığı biçimde teste direnir. Birincisi istem enjeksiyonu. E-posta, web sayfası ya da belge okuyan bir ajan, talimat olabilecek veriyi işler. Saldırı yüzeyi anlamsaldır (semantic), sözdizimsel değil. Eşleştirilecek bir imza, doğrulanacak bir girdi biçimi, test edilecek sonlu bir yük listesi yoktur. Denetçi, azaltıcıların (girdi filtreleme, ayrıcalık ayrımı, hassas eylemler için insan onayı) var olduğunu doğrulayabilir; ama dirence şahitlik edemez, çünkü olası enjeksiyon uzayı sınırsız ve savunma olasılıksaldır. Bu, güvence için gerçekten yeni bir durumdur: ya tutan ya çöken kontrollere alışkınız; burada kontrol çoğu zaman tutar ve “çoğu zaman”ı kimse sorumlulukla ölçemez.

İkincisi çok-ajanlı zincirleme. Ajan A, ajan B'ye devreder; B, araç C'yi çağırır; C, sistem D'ye yazar. D'de bir şey ters gittiğinde atıf, farklı taraflara ait, çoğu zaman farklı satıcıların, farklı sözleşmeler altındaki loglarının birbirine bağlanmasını gerektirir. Ajan eylemleri için kurumlar arası dağıtık bir izleme (distributed tracing) standardı henüz yok. Kanıt zinciri tam da sözleşme sınırının olduğu yerde kopar — ki bu tam da sorumluluk sorularının karara bağlanacağı yerdir.

Gözetim problemi

İnsan gözetimi, yazılmış her çerçevenin taşıyıcı duvarıdır — ve etkinliğini en az ölçebildiğimiz kontroldür. Denetçi bir kontrol noktasının var olduğunu ve bir insanın “onayla”ya tıkladığını teyit edebilir. Ama onayın refleks değil, esaslı olduğunu teyit edemez. Otomasyon önyargısı — bir sistemin, tam da şimdiye dek iyi çalıştığı için ona güvenme eğilimi — güvenilirlik arttıkça uyanıklığın azalacağını garanti eder. Ajan ne kadar iyiyse, gözetim o kadar kötüdür; ve vekil olarak kullanabileceğimiz metrikler (karar süresi, ret oranı) kolayca oyunlanır ve tek başına hiçbir şey kanıtlamaz. Kontrol biçimsel olarak vardır; etkinliğinin kanıtı hiç yoktur.

Testte de paralel bir boşluk vardır. Her çerçeve “dağıtımdan önce test edin” der; hiçbiri geçmenin ne demek olduğunu söylemez. Ödeme erişimi olan bir ajan için hangi görev doğruluğu yeterlidir — %99 mu, dört dokuz mu? Klasik denetim sonuçları bir standartla karşılaştırır. Eşikler olmadan denetçi test sürecini değerlendirir ve sonucun güvenli olup olmadığında susar. Bu sessizlik dürüsttür; ama güvencenin tam ortasında bir deliktir.

2. Üç tür zorluk

Bu problemleri yan yana koyunca bir yapı belirir. Eşit derecede zor değiller ve farklı biçimlerde zorlar.

• Teknolojinin doğasından ve gözetim psikolojisinden gelenler: sadık olmayan gerekçe izleri, belirsizlik (non-determinism), gözetim kalitesinin ölçülemezliği. Daha iyi araçlar bunları çözmez; yalnızca telafi edilebilirler — gerekçe izlerinin doğru olmasına bağlı olmayan süreçler tasarlayarak, tekrarlanabilirliği yok sayıp güvenceyi davranış zarfları etrafında kurarak, uyanıklığın azalacağını varsayan onay akışları tasarlayarak.
• Standartlaşma boşlukları: kayan sistem sınırları, kopuk kurumlar-arası izleme, hiçbir IAM modeline sığmayan ajan kimliği, sessiz sağlayıcı kayması. Piyasa bunları muhtemelen kapatacak — ajan eylemi loglama standartları, makine kimlik çerçeveleri, model değişikliği bildirimi için sözleşmesel normlar üzerinde çalışılıyor; bu yıl başlayan NIST ajan standartları çabası erken bir kurumsal sinyal. Açık sorular “ne zaman” ve “kimin standardı kazanır”.
• Teknik kılığındaki düzenleyici kararlar: hangi eylem sınıfı için hangi hata oranı kabul edilebilir; enjekte bir talimat zarar verdiğinde sorumluluk kimde; kanıt saklama ile veri minimizasyonu nasıl uzlaştırılır. Bunlar değer yargılarıdır. Hiçbir mühendislik bunları veremez ve hiçbir satıcının varsayılan olarak vermesine izin verilmemeli — yalnızca bir düzenleyici ya da mahkeme verebilir.

Bu üç kategoriyi karıştırmak, güncel tartışmanın en yaygın hatasıdır. Biri ajan loglamayı düzeltmek için yeni bir yasa ister — oysa bu piyasanın çözmekte olduğu bir standart sorunudur. Bir başkası bir izleme aracı alıp kabul edilebilir risk sorusunu çözdüğünü sanır — oysa bu yalnızca bir düzenleyicinin verebileceği bir karardır. Kategori, ödevin kimde olduğunu söyler; sorunları doğru ayıklamak, politika işinin yarısıdır.

3. Bugüne kadarki düzenleyici harita

İlk girişimler var. Singapur Ocak'ta özel bir çerçeve yazıp Mayıs'ta güncelledi. Güney Kore'nin YZ Temel Kanunu aynı ay yürürlüğe girdi. NIST bir ajan standartları girişimi başlattı. Dağıtım ölçeğine karşı bunlar denizde bir damla.

Singapur en çoğunu görür, en azını bağlar. IMDA'nın Agentic YZ için Model Yönetişim Çerçevesi, ilk özel araçtır ve gerçekten iyi bilgilendirilmiştir: otomasyon önyargısını adlandırır, ajanlar için en az yetkiyi, sonuca ölçeklenen onay kontrol noktalarını, planlama ve gerekçenin loglanmasını, izlemeyle kademeli yaygınlaştırmayı önerir. Kurduğu şey iyi bir kıyas ölçütüdür; kurmadığı şey bir yaptırımdır — çerçeve gönüllüdür, gerçekleşmiş bir ödeme değil.

AB erken mevzuat çıkardı ve şimdi sonradan uyarlıyor. Ajanlar, AI Act'in risk kategorilerine girer; insan gözetimine ilişkin 14. madde ve loglama yükümlülükleri biçimsel olarak uygulanır. Ama mimari, davranışı uygunluk değerlendirmesinde karakterize edilip yerinde kalan bir sistem varsayar — ki bir ajan tam da bunu yapmaz. “Digital Omnibus” bu arada yüksek-riskli takvimin bir kısmını ileri itti. Dürüst özet: AB'de ajan-biçimli kurallar olmadan yaptırım makinesi var — Singapur'un probleminin ayna görüntüsü.

Birleşik Krallık'ın sessiz bir avantajı ve bariz bir boşluğu var. Sektörel yaklaşım sayesinde finansal hizmetlerde mevcut araçlar (SS1/23 model riski beklentileri, Consumer Duty sonuç ödevleri) doğrudan iş görür; düzenlenmiş bir banka bugün, çoğu AB dağıtıcısının gelecek yıl karşılaşacağından daha zor sorularla yüzleşir. Düzenlenmiş sektörlerin dışında ise aynı yaklaşım bir boşluk bırakır.

Türkiye açısından tablo tanıdık: KVKK'nın üretken YZ rehberi yurt dışı barındırmalı YZ kullanımını bir aktarım sayar ve her aşamada hukuki sebep bekler; TBMM'deki YZ kanun teklifleri (2/2234 dahil) henüz komisyonda. İlk nesil, 1. bölümdeki problemleri adlandırır; üçüncü kategorideki kararların neredeyse hiçbirini çözmez.

4. Bir ajan denetimi bugün neye benziyor?

Teori bir yana, ajanlar çoktan denetim kapsamlarının içine giriyor. Dört senaryo rutinleşiyor.

Sertifikasyon senaryosu. Bir kuruluş, ajanlar sınırın içindeyken ISO 42001 ya da SOC 2 peşinde koşar. Denetçi; ajanların — araçları, izinleri ve eylem uzaylarıyla — envanterinin var olduğunu, sözleşmeleri (güvenlik şartları, veri işleme sözleşmeleri, model değişikliği bildirimi), geri alınamaz eylemler için onay kontrol noktalarının varlığını, izlemenin çalıştığını ve olayların bir sahibi ve süreci olduğunu doğrulayabilir. Bunların hepsi gerçek güvencedir. Yapamadığı şey ise istem enjeksiyonuna karşı dirence, insan onaylarının esaslı kalitesine ya da sistemin bir sonraki sessiz model güncellemesinden sonra nasıl davranacağına şahitlik etmektir. Olgun tavır, şahitlik sınırını açıkça adlandırmaktır: şu doğrulandı, şu şu anda kimse tarafından doğrulanamıyor, ve kuruluş ikinci listeyi şöyle telafi ediyor. İkinci listenin boş olduğunu ima eden bir denetim raporu güvence değil, antetli kâğıtta tiyatrodur.

Yatırım öncesi senaryosu. Giderek bu değerlendirmenin bir sürümü, bir sertifika için değil yatırımcı için, tur kapanmadan yapılıyor. Açığa çıkaran sorular tutarlıdır ve kurucuların hazırlandığı sorular değildir: Ajanların ve etkin izinlerinin bir envanteri var mı, yoksa CTO onu toplantıda canlı mı kuruyor? Hangi ajan eylemleri geri alınamaz ve ekipten biri bu ayrımı yapıyor mu? Tek bir model sağlayıcısına bağımlılık ne kadar yoğun? Veri işleme sözleşmeleri ajanların yarattığı akışları gerçekten kapsıyor mu? En keskin teşhis sorusu: bir ajan yanlış davrandığında, ismiyle sahiplenen bir insanın bulunduğu bir olay müdahale yolu var mı? Ciddi düşünmüş kuruluşlarda bir kişi anında yanıt verir; düşünmemişlerde soru bir duraksama üretir — ve duraksama, bulgunun kendisidir. Dağıtılmış hesap verebilirlik bir yönetişim felsefesi değil, onun yokluğudur; yatırımcılar bunu fiyatlamayı öğreniyor.

Olay sonrası senaryosu. Bu, yazının açılışındaki senaryodur ve kuruluşların en az hazırlandığını keşfettiğidir. Bir ajan yanlış bir şey yaptı: bir ödeme, bir silme, yanlış alıcılara giden bir mesaj. Şimdi biri ne olduğunu, neden olduğunu ve kimin cevap vereceğini belirlemek zorunda. Ve 1. bölümün her problemi aynı anda gelir: gerekçe izi teyit edilemeyen bir hikâye anlatır; ajanı tekrar çalıştırmak farklı bir sonuç verir, olay yeniden kurulamaz; sağlayıcının saklama penceresi kapandığı için kanıtın bir kısmı artık yok; zincirde başka ajanlar/satıcılar varsa iz sözleşme sınırında durur. Soruşturma bir cevapla değil, “eldeki en iyi anlatı”yla biter. Ajanlarını haritalayan, kendi loglarını tutan ve önceden bir sahip atayan kuruluşlar kullanılabilir bir anlatı alır; almayanlar ise zaman damgalı bir omuz silkme.

Tedarik senaryosu. Aynı değerlendirme ters yönde de işler. Bir agentic ürünü almadan önce müşteri, satıcıya bir güvenlik ve yönetişim anketi gönderir — düzenlenmiş sektörlerde bu incelemenin kendisi denetlenir. Sorular yatırım-öncesi listenin yakın akrabasıdır: ajan ne yapabilir, ne geri alınamaz, hangi modele bağımlı, veri nereye gidiyor, olayın sahibi kim. Fark, kaldıraçtır: yatırımcı zayıf bir cevabı fiyatlar; tedarik ekibi basitçe “hayır” diyebilir. Birçok satıcı için ajanlarıyla ilk karşılaştığı bağlayıcı düzenleme, herhangi bir yasa değil, işte bu ankettir.

5. Peki ne inşa edilmeli? Tasarım gereği yönetişim

Gartner ve McKinsey gibi kuruluşlar, 2027'ye kadar agentic YZ girişimlerinin %40'tan fazlasının — yüksek maliyet, belirsiz değer ve zayıf risk kontrolleri nedeniyle — başarısız olacağını öngörüyor. Başarısızlık genellikle pilottaki performansta değil, otonom sistemlerin gerçek iş kısıtları içinde işleyecek yapıların eksikliğinde. Çözüm daha çok ajan değil; otonomiyi tanımlı kontrol, görünürlük ve hesap verebilirlikle kuruma gömmektir. Bu da yönetişimin incelemeden çalışma zamanına (runtime) taşınması demek: kontrol, mimariye sonradan eklenen bir parça değil, tasarımın içine gömülü olmalı.

Ajanlar kontrolü almadan önce beş temel seçim yapılmalı: hız mı kontrol mü (nerede otonom yürütme, nerede onay noktası); yenilik mi öngörülebilirlik mi (deney serbestisi ile operasyonel güvenilirlik dengesi); ajan başarısız olduğunda kim hesap verir (geliştirici, operatör, ürün sahibi, yönetişim — ve eskalasyon matrisi); erişim genişledikçe hangi kontroller evrilmeli (izleme, politika, eskalasyon, denetim); ve daha fazla otomasyon güveni güçlendirir mi zayıflatır mı (kararlar şeffaf, açıklanabilir ve denetlenebilir kaldığı sürece güçlendirir).

Bunun operasyonel omurgası birkaç net soruya indirgenir: sonuçların sahibi kim (yaşam döngüsü boyunca); yetki sınırları teknik olarak nasıl dayatılıyor; hangi eşik aşılınca müdahale ediliyor; ajanın çalışacağı sınırlar neler; ve iş, teknoloji, risk arasında sorumluluk nasıl bölünüyor. NIST AI RMF, ISO/IEC 42001 ve EU AI Act bir taban kurar; ama ajanlar için tek bir kontrol noktası yetmez — kontrol sürekli ve tasarlanmış olmalıdır. Bu, yaşam döngüsünün her aşamasına yayılan bir katmanlı model gerektirir: planlama ve tasarımda amaç/kapsam/karar sınırlarını ve erişim limitlerini tanımlamak; veri katmanında doğrulama ve önyargı kontrolleri; model geliştirmede güvenlik korkulukları ve açıklanabilirlik; test aşamasında düşmanca (adversarial) koşullar ve hata modları; dağıtım ve izlemede sürekli gözlemlenebilirlik ve döngüde insan; ve nihayet emekliye ayırmada kontrollü kapatma, verinin güvenli imhası ve kurumsal öğrenmenin belgelenmesi.

6. Denetimin “güven” olan kısmı

Denetçiye ve onun kusursuz ama işe yaramaz loguna dönelim. Görevini bitirecek, bir rapor yazacak; kapsadığı her şey hakkında doğru olacak. Asıl soru, riskin ne kadarını kapsadığıdır — ve 2026'daki agentic sistemler için dürüst cevap: sertifikanın okurlarının sandığından azını.

Doğrulama, dağıtımı yakalayana dek, ajan çalıştıran her kuruluş fiilen kendi düzenleyicisidir; her ajan denetimi kısmen bir güven eylemidir. Olgunluk, bu güveni ortadan kaldırmak (şu an imkânsız) değil; doğrulanmış kısmın nerede bittiğini ve güvenilen kısmın nerede başladığını tam olarak bilmek, o sınırı yazıya dökmek ve hiç kimsenin — satıcı, denetçi ya da kurucu — bu sınırı bulanıklaştırmasına izin vermemektir.

Bu disiplinin somut adımlarını sahaya dökmek için başlangıç noktaları hazır: ajan envanteri ile görünürlüğü kurun, tedarikçi değerlendirmesiyle satın almadan önce doğru soruları sorun ve olay müdahale planıyla “zaman damgalı bir omuz silkme” yerine kullanılabilir bir anlatıya sahip olun.