Yapay Zekâya İş Değil, Yetki Devrediyoruz 

Şirketlerde yapay zekâ yönetişimi artık yalnızca veri güvenliği veya teknoloji yönetimi meselesi değil. Yapay zekâ sistemleri öneri üretmekten işlem yapmaya ve şirket adına sonuç yaratmaya ilerledikçe asıl yönetim sorusu değişiyor: Bir AI sistemine hangi yetkiyi, hangi sınırlar içinde devredebiliriz ve nihai sorumluluk kimde kalır? Özellikle agentic AI uygulamalarının yaygınlaşmasıyla birlikte şirketlerin erişim yetkisi, karar yetkisi, insan gözetimi ve hesap verebilirliği aynı yönetim sistemi içinde tasarlaması gerekiyor. 

Bir Yönetim Toplantısında Sessizlik

Bir yönetim toplantısı düşünün. Satış direktörü teklif hazırlama süresini yapay zekâyla yüzde 60 azalttıklarını söylüyor. İK yöneticisi başvuruların ilk değerlendirmesini artık sistemin yaptığını, finans ekibi tahsilat risklerini otomatik sınıflandırdığını, operasyon ise agent'ın siparişi kontrol edip gerektiğinde aksiyon başlattığını anlatıyor.

Masada memnuniyet var. Daha hızlıyız. Daha az manuel işlem yapıyoruz. Daha fazla veriyi işleyebiliyoruz. Sonra Genel Müdür tek bir soru soruyor: "Peki bu sistemlerden hangisi neye karar verebilir?"

Oda sessizleşiyor. Çünkü şirket yapay zekânın ne yapabildiğini biliyor olabilir; ama ne yapmasına izin verildiğini aynı açıklıkta tanımlamamış olabilir. Yeni yönetim problemi tam burada başlıyor.

AI Act Aslında Yönetim Kuruluna Ne Söylüyor?

AB Yapay Zekâ Tüzüğü'nün önemli hükümlerinin 2 Ağustos 2026 itibarıyla uygulanmaya başlamasıyla birlikte mesele teorik olmaktan çıktı. Avrupa Komisyonu, yapay zekâ için risk temelli bir yönetişim sistemi kuruyor; sağlayıcılar ve sistemi kullanan kuruluşlar bakımından farklı sorumluluklar tanımlıyor. Şeffaflık hükümleri de uygulama takviminin parçası.

Bunun hukuki ayrıntıları hukukçuların alanıdır. Yönetim masasındaki karşılığı ise daha yalındır: Yetki verdiğiniz her yerde hesap verebilirliği de tasarlamak zorundasınız.

Bir çalışana ödeme yetkisi verdiğinizde limit koyarsınız. Satın alma müdürüne imza yetkisi verdiğinizde kapsamını belirlersiniz. Satış yöneticisine iskonto yetkisi verirken eşik tanımlarsınız. Banka hesabına erişimi olan kişiye işlem limiti koyarsınız. Peki neden yapay zekâya geldiğimizde yalnızca 'sisteme erişimi var mı?' diye soruyoruz? Asıl soru şudur: Sistem erişebildiği yerde hangi sonucu yaratmaya yetkilidir?

Erişim Yetki Değildir

Bir AI agent'ın ERP'ye erişebilmesi, ERP üzerinde her işlemi yapmaya yetkili olduğu anlamına gelmemelidir. Müşteri verisini okuyabilmesi müşteriye taahhütte bulunabilmesi; fiyat hesaplayabilmesi fiyatı değiştirebilmesi; adayları analiz edebilmesi adayları eleme yetkisine sahip olması anlamına gelmemelidir.

Erişim teknik bir izin; yetki yönetsel bir karardır. Agentic AI geliştikçe bu ayrım daha önemli hale geliyor. Yapay zekâ ajanlarının araç çağırabildiği, sistemlerde değişiklik yapabildiği ve birbirlerine görev devredebildiği ortamlarda klasik erişim kontrolü tek başına yeterli olmayabilir.

Bu nedenle şirketlerin AI yönetişiminde yalnızca 'human in the loop' demesi yeterli değildir. Önemli olan insanın döngüde bulunması değil; hangi noktada durdurma, onaylama veya geri çevirme yetkisine sahip olduğudur.

Gerçek Risk Hatalı Cevap Değil, Yetkisiz Sonuçtur

Yapay zekâ tartışmalarında uzun süre doğruluk oranlarına odaklandık: model ne kadar doğru, halüsinasyon oranı nedir, veri güvenli mi? Bunların tamamı önemlidir. Fakat yapay zekâ sistemleri öneri üreten araçlardan eylem gerçekleştiren sistemlere dönüştükçe yeni bir risk ortaya çıkıyor.

Bir sistem yanlış düşünüp hiçbir şey yapmazsa problem sınırlıdır. Yanlış düşünüp işlem yapabiliyorsa problem yönetişim problemidir.

Bu nedenle geleceğin AI yönetişiminde kritik ölçüm yalnızca model doğruluğu olmayacaktır. Makinenin sonuç yaratma yetkisi de ölçülmek zorundadır.

Haydi Şapkadan Tavşan Çıkartalım

Şirketlerde bunun için basit ama disiplinli bir yönetim aracı öneriyorum: Makine Yetki Sınırı - MYS.

"Bu sistem insan müdahalesi olmadan şirket adına hangi sonucu yaratabilir?"

Seviye - Makinenin Yetkisi - Örnek

MYS-0 - Gözlem - Veri okur, sonuç yaratmaz

MYS-1 - Öneri - Analiz ve öneri üretir

MYS-2 - Hazırlık - İşlemi hazırlar, insan onaylar

MYS-3 - Sınırlı İcra - Tanımlı limitler içinde işlem yapar

MYS-4 - Otonom İcra - Tanımlı alanda insan ön onayı olmadan sonuç yaratır

MYS'nin Dört Zorunlu Sorusu

• Yetki sahibi kim? Sistemin yaptığı işin nihai yönetsel sahibi hangi yöneticidir?
• Yetki sınırı nedir? Tutar, müşteri, veri, işlem, süre veya risk bakımından sınır nerede biter?
• Durdurma noktası nerede? İnsan hangi koşulda işlemi durdurabilir veya devralabilir?
• Kanıt izi var mı? Kararın hangi veri, kural ve yetki çerçevesinde üretildiği sonradan yeniden kurulabilir mi?

Yönetim KPI'ı: Otonom Yetki Maruziyeti

OYM = MYS-3 ve MYS-4 kapsamındaki kritik AI süreçleri / Toplam kritik AI süreçleri × 100

OYM'nin yüksek olması tek başına kötü değildir; iyi yönetilen bir şirkette yüksek otomasyon olgunluğunu gösterebilir. Risk, Otonom Yetki Maruziyeti yükselirken yönetişim kapasitesinin aynı hızda yükselmemesidir.

GENEL MÜDÜR SORUSU
"Şirket adına sonuç yaratabilen kaç makinemiz var ve bunların yetkisini kim verdi?"

İlk 90 Gün Uygulaması

0-30 Gün | Gör

Şirkette kullanılan bütün AI uygulamalarını çıkarın. Resmî projelerle yetinmeyin; departmanların kullandığı agent'ları, otomasyonları ve dış servisleri de dahil edin. Her uygulamayı MYS-0-4 arasında sınıflandırın. Özellikle MYS-3 ve MYS-4 sistemlerini yönetim gündemine alın.

31-60 Gün | Oku ve Ölç

Her MYS-3/4 sistemi için yönetici sahibi, yetki sınırı, veri erişimi, işlem limiti, insan müdahale noktası ve kayıt mekanizmasını tanımlayın. OYM'yi hesaplayın. Yetkisi tanımlanmamış fakat işlem yapabilen sistemleri ayrıca raporlayın.

61-90 Gün | Yönet

AI Yetki Sicili oluşturun. Yeni AI projelerinde teknoloji onayından önce yetki tasarımını zorunlu hale getirin. MYS seviyesi yükseldikçe onay makamı da yükselsin. Kritik süreçlerde icra kuruluna veya yönetim kuruluna düzenli AI Yetki Maruziyeti raporu sunun.

Sonuç

Yapay zekâ çağında şirketlerin en büyük hatalarından biri, AI yönetişimini BT departmanının konusu sanmak olabilir. Siber güvenlik, hukuk ve veri yönetişimi bunun parçalarıdır; fakat merkezindeki soru klasik bir yönetim sorusudur: Kim, neye, hangi sınırlar içinde karar verebilir?

Yüzyıllardır insan organizasyonlarını bu soruyla yönetiyoruz. Şimdi masaya yeni bir aktör oturdu: makine. Ona görev, veri ve araç verebilir; belirli sınırlar içinde karar vermesine izin verebiliriz. Fakat bir şeyi unutmamalıyız:

Yetkiyi makineye devredebiliriz. Sorumluluğu devredemeyiz.

Editoryal ve Fikrî Haklar Notu

Bu çalışma güncel düzenleyici gelişmelerden hareketle hazırlanmış editoryal bir yönetim ve yönetişim değerlendirmesidir; hukuki görüş, mevzuata uyum denetimi, teknik güvenlik değerlendirmesi veya belirli bir şirket için danışmanlık niteliği taşımaz. EU AI Act kapsamındaki somut yükümlülükler kuruluşun rolüne, kullanım biçimine, sistem sınıflandırmasına ve yürürlükteki mevzuata göre ayrıca değerlendirilmelidir.

Makine Yetki Sınırı (MYS) ve Otonom Yetki Maruziyeti (OYM) bu çalışma kapsamında geliştirilen adlandırma, sınıflandırma ve uygulama kurgusudur. 10 Ağustos 2026 itibarıyla yapılan makul kapsamlı web ve literatür taramasında AI governance literatüründe authority boundary, delegation boundary ve benzeri yaklaşımların mevcut olduğu; dolayısıyla temel 'yetki sınırı' fikrinin özgünlük iddiasına konu edilemeyeceği görülmüştür. Buna karşılık burada sunulan MYS-0-4 sınıflandırması, OYM göstergesi ve bunların bütünleşik yönetim uygulamasıyla aynı ad ve yapıda önceden kullanıldığına ilişkin bir kayda rastlanmamıştır.

Özgün metin, adlandırma, sınıflandırma, gösterge formülü, uygulama kurgusu ve bütünsel sunum Orkun Akçasarı'ya aittir. Bu ifade soyut fikir veya yöntemler üzerinde mevzuatın tanımadığı bir tekel iddiası oluşturmaz. İzinsiz ticari çoğaltma, uyarlama, başka adla yayımlama, eğitim, danışmanlık, yazılım, AI sistemi, rapor veya sunum içinde kullanma hakları saklıdır. Kısa alıntılarda yazar, yazı başlığı, yayın tarihi ve aktif erişim adresinin belirtilmesi gerekir. Somut tescil, lisanslama veya hukuki uyuşmazlıklarda uzman hukuk görüşü alınmalıdır.

© 2026 Orkun Akçasarı. Tüm hakları saklıdır.

Kaynakça

• European Commission. AI Act - Shaping Europe's Digital Future. Erişim: 10 Ağustos 2026. https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
• European Commission. Guidelines for providers of general-purpose AI models. Erişim: 10 Ağustos 2026. https://digital-strategy.ec.europa.eu/en/policies/guidelines-gpai-providers
• European Commission. Guidelines on obligations for General-Purpose AI providers. Erişim: 10 Ağustos 2026. https://digital-strategy.ec.europa.eu/en/faqs/guidelines-obligations-general-purpose-ai-providers
• European Commission. Navigating the AI Act. Erişim: 10 Ağustos 2026. https://digital-strategy.ec.europa.eu/en/faqs/navigating-ai-act
• European Commission AI Act Service Desk. Timeline for the Implementation of the EU AI Act. Erişim: 10 Ağustos 2026. https://ai-act-service-desk.ec.europa.eu/en/ai-act/eu-ai-act-implementation-timeline
• Tallam, Krti. A Five-Plane Reference Architecture for Runtime Governance of Production AI Agents. Haziran 2026. https://arxiv.org/abs/2606.12320
• Solozobov, Oleg. Governed Auditable Decisioning Under Uncertainty: Synthesis and Agentic Extension. Nisan 2026. https://arxiv.org/abs/2604.19112
• Nannini et al.. AI Agents Under EU Law. Nisan 2026. https://arxiv.org/abs/2604.04604