AI ajan sayısı bir şirketin dijital olgunluğunun ölçütü değildir. Bunu 2026 başında Ankara merkezli, 312 çalışanlı bir sigorta aracılık şirketinde bizzat gördüm. Şirket, müşteri poliçe yenileme sürecini otomatize etmek amacıyla iki farklı SaaS AI ajan platformuna aynı anda yatırım yapmıştı. Altı hafta sonra ajan sistemi müşterilere hatalı prim teklifleri gönderiyordu; kimse hangi sistemin hangi kararı ürettiğini söyleyemiyordu. Sorun teknolojinin kendisinde değildi. Sorun, ‘bu ajan neye karar verebilir, neye veremez?’ sorusunun hiç sorulmamış olmasıydı. Bu makale tek bir tezi savunuyor: şirketler AI ajanlarını araç olarak değil, organizasyonel sorumluluk birimi olarak konumlandırmak zorunda. Bunu yapmadan gerçekleşen her ajan dağıtımı yalnızca hatayı hızlandırır.Kurumların büyük bölümü ajanı bir otomasyon katmanı olarak görüyor: görev tanımla, bağla, çalıştır. Bu yaklaşım kısmen doğru — ama yalnızca ajanın etki alanı dar ve geri dönüşü kolay işlemlerde. Sorun, ajan sistemlerinin 2025-2026 döneminde olgunlaşmasıyla birlikte etki alanlarının genişlemesinde. Artık bir müşteri hizmetleri ajanı yalnızca bilgi vermekle kalmıyor; başvuru başlatıyor, öncelik sıralaması yapıyor, zaman zaman iade kararı üretiyor. Eskişehir’deki orta ölçekli bir makine imalatçısında gördüğüm örnek şu: ihracat teklifleri için devreye alınan ajan, 11 ay boyunca yanlış döviz kuru parametresiyle fiyatlama yapmış. Hata denetim dışı kalmış çünkü ‘ajan zaten çalışıyor’ kabulü bir gözetim boşluğu yaratmış. Hesap verebilirlik hattı belirsiz olan sistemlerde otomasyon, denetimi yok etmenin zarif bir yoluna dönüşür.EU AI Act 2025’te aşamalı yürürlüğe girdi ve Türk şirketleri için AB pazarındaki ticari ilişkiler açısından somut bir uyum sorusu doğurdu. Act’in ‘yüksek riskli AI sistemi’ tanımına giren ajan uygulamaları — istihdam, kredi kararı, sağlık triajı gibi alanlarda çalışanlar — artık teknik dokümantasyon, insan gözetimi ve kayıt tutma yükümlülüğü taşıyor. Türkiye’nin iç hukuku bu çerçeveyle tam uyumlu değil; ama Avrupa’ya ihracat yapan veya AB müşterisi olan her şirket uyum yüküyle karşı karşıya. Bursa’daki bir otomotiv yan sanayi firmasıyla geçen ay yaptığım görüşmede yönetim, kalite kontrol sürecine entegre ettikleri görüntü işleme ajanının hangi risk kategorisinde değerlendirileceğini bilmiyordu. ‘Nasıl ölçersiniz?’ sorusu yanıtsız kalmıştı. Risk kategorisi belirsiz kalan ajan sistemleri için uyum maliyeti her geçen ay büyür — baştan tanımlamak her zaman sonradan düzeltmekten ucuzdur.Türkiye’nin veri egemenliği tartışması 2026 itibarıyla kurumsal karar masasına taşınmış durumda. Bulut tabanlı ajan platformları cazip: hızlı kurulum, düşük başlangıç maliyeti, genişleyen özellik seti. Ama bu platformlardaki ajan aktivitesi şirket verisini yurt dışı sunuculara taşıyabilir. KVKK’nın 9. maddesi yurt dışına veri aktarımını yeterli güvence olmaksızın yasaklıyor; ancak ajan sistemlerinin hangi veriyi işlediği ve nerede sakladığı çoğu zaman teknik ekip tarafından bile tam bilinmiyor. Sağlık sektöründe çalışan bir medikal cihaz distribütörüyle yaptığım değerlendirmede, CRM ajanlarının hasta randevu verilerini işlediği ve bu verinin ajan platformunun eğitim altyapısına dahil edilip edilmediğinin sözleşmede netleştirilmediği ortaya çıktı. Bu bir hukuki risk; ama daha önce bir güven sorunudur. Şirketin müşterisine açıklayamayacağı bir veri akışını sisteme dahil etmesi kabul edilemez. Ajan konumlandırmasının veri egemenliği denetimi olmadan başlaması bu yüzden strateji değil ihmaldir.Peki ‘Pazartesi sabahı ne yapmalı?’ sorusunun yanıtı somut olarak ne? Üç adım öneriyorum — sırası önemli. Birincisi: mevcut ve planlanan tüm ajan sistemleri için bir karar sınırı haritası çıkarın. Her ajan için ‘bu karar ajanın yetkisinde mi, yoksa insan onayı gerekli mi?’ sorusunu yazılı hale getirin. Ajanın yapabileceği ve yapamayacağı işlemler liste olarak belgede görünmeli; bu liste teknik ekip değil iş birimi tarafından onaylanmalı. İkincisi: her ajan için bir ölçüm protokolü tanımlayın. ‘Çalışıyor mu?’ sorusu yeterli değil. ‘Doğru kararı ne sıklıkla veriyor, hata yaptığında ne kadar sürede fark ediliyor, kim düzeltiyor?’ soruları yanıtlanmadan ajan sistemi kör bir noktada çalışıyor demektir. Ankara’daki sigorta şirketine dönerek söylersem: bu üç soruyu sorsalardı, hatalı poliçe teklifleri 48 saatten kısa sürede tespit edilirdi, altı haftada değil. Üçüncüsü: AB pazarında iş yapıyorsanız ajan sisteminizin EU AI Act risk sınıfını hukuk ekibiyle birlikte belirlemenizi şiddetle öneririm — gerekirse harici danışman desteğiyle. Bu bir uyum egzersizi değil, rekabet riskini yönetme kararıdır.Sigorta şirketindeki yönetim kurulu toplantısına geri dönelim: platformları kapattılar mı? Hayır. İki platformdan birini seçip karar sınırı haritasını çıkardılar, insan onayı gerektiren işlemler için bir iş akışı tasarladılar ve ajan aktivite loglarını haftalık gözden geçirmeye başladılar. Dört ayda sistem istikrar kazandı. Şunu söylediler: ‘Başlarken sistemi değil, sınırları kurmuş olsaydık altı hafta kaybetmezdik.’ AI ajanlarını doğru konumlandırmak teknoloji seçimi değil, yönetim disiplini sorusudur. Hangi kararı ajana bırakacağınızı bilmiyorsanız, ajan sizin adınıza her kararı verir — çoğu zaman yanlış.