Veri güvenliği politikasını AI ile ilgilenmeden önce yazmayan şirket, ajan sistemlerine erişim verdiği anda denetimi kaybeder — bunu fark ettiğinde ise geri dönmek sandığından çok daha zor. Bu cümleyi 2024’te söyleseydiniz hype karşıtı bir uyarı gibi duyulurdu. 2026’da ise bu cümle, İstanbul’daki orta ölçekli bir sigorta şirketinin yaşadığı operasyonel krizin özeti. 312 çalışanıyla poliçe yönetimi ve hasar işlemlerini yürüten bu şirket, bir yıl içinde üç ayrı AI ajan pilot çalıştırdı. Üçünde de teknik başarı vardı. Üçünde de aynı sorunla karşılaşıldı: hangi kararın ajana, hangi kararın insana ait olduğu hiçbir zaman net yazılmamıştı. Hatalar keşfedildi — ama yanlış yerde, yanlış zamanda.Buradaki temel yanılgı şu: Çoğu kurum, AI ajanını bir otomasyon aracı gibi konumlandırıyor ve insan kontrolü sorusunu teknik mimariye bırakıyor. Oysa bu bir mimari karar değil, bir sorumluluk kararıdır. EU AI Act, 2025 yürürlük tarihiyle Türk şirketlerini de doğrudan etkiliyor — özellikle AB pazarına mal veya hizmet satan, AB merkezli şirketlere veri ileten her kurumu. Yüksek riskli AI sistemleri için insan denetimini zorunlu kılan maddeler; Türkiye’deki finans, sigorta ve sağlık sektörlerini birincil etkilenen grup olarak öne çıkarıyor. Ancak şirketlerin büyük çoğunluğunun bu düzenlemeye uyum planı henüz kâğıt üzerinde: ne risk sınıflandırması yapılmış, ne hesap verebilirlik hattı çizilmiş.Peki insan kontrolünü nerede tutmak zorundasınız, nerede bırakabilirsiniz? Bu soruya verilecek yanıt, ‘riske maruz kalma’ hesabıyla başlamalı. Bir hasar işleme ajanı, müşteriden gelen belgeleri okuyup kategori tayin edebilir — bu düşük riskli bir görevdir ve insan onayı gereksizdir. Aynı ajan, ödeme kararı veriyorsa veya müşteriyle doğrudan iletişime geçiyorsa o karar insan imzası ister. Buraya ‘onay adımı’ koymak yeterli değildir; o adımın kaydedilmesi, gerekçelendirilmesi ve ileride sorgulanabilmesi gerekir. İstanbul’daki sigorta şirketi bu ayrımı 6 haftalık bir iç denetim süreciyle yazılı hale getirdi. Sonuç: ajan sisteminin 47 iş akışından 29’u tam otomasyona geçerken 18’i insan imzalı olarak tanımlandı ve bu oran bir SLA (hizmet seviyesi sözleşmesi) maddesine dönüştürüldü.Veri mahremiyet tarafı ise farklı bir boyut taşıyor. Üretken AI sistemlerine kurumsal veri verirken asıl tehlike çoğunlukla veri sızıntısı değil, veri kalıcılığıdır. Bir LLM API’sine gönderilen müşteri verisi üçüncü taraf sunucusunda ne kadar tutulur, hangi koşullarda eğitim verisi olarak kullanılır, bu veri KVKK kapsamında ‘yurt dışı aktarım’ sayılır mı? Bu sorular 2023’te spekülatifti — şimdi Kişisel Verileri Koruma Kurulu’nun yerleşik denetim sorularıdır. Birçok Türk KOBİ’si hâlâ bulut tabanlı LLM hizmetlerini KVKK bağlamından ayrı değerlendiriyor. Bu ayrımı bugün yapmayanlar için tablo net: bir veri ihlali ihbarı veya KVKK soruşturması, seçilen AI aracının ‘en ucuz’ olduğunu unuttururyor hızla.Bu noktada SLM (küçük dil modelleri) tartışması pratik bir boyut kazanıyor. Yerel sunucuda çalışan, parametre sayısı sınırlı ama göreve odaklı bir model; veri çıkışını tamamen engeller. Dezavantajı gerçek: genel bilgi kapasitesi düşüktür, ince ayar (fine-tuning) ciddi teknik yatırım gerektirir. Ankara’da faaliyet gösteren 284 çalışanlı bir medikal cihaz distribütörü, hasta kayıt ve satış sonrası hizmet süreçlerini yönetmek için iki yaklaşımı karşılaştırdı: bulut LLM entegrasyonu (düşük kurulum maliyeti, yüksek veri riski) ve yerel SLM (11 ay geliştirme süreci, ancak KVKK uyumluluğu tam). Şirket ikinci yolu seçti. ROI hesabı 24 ay sonra pozitife döndü — ama o 11 ay boyunca ‘neden bu kadar uzun sürüyor’ sorusunu yönetim katmanına açıklamak, projenin teknik güçlüğünden daha zorlu bir çalışma oldu.Verimlilik kazanımlarını nasıl ölçeceksiniz sorusu ise en sık atlanandır. Çoğu şirket pilot döneminde işlem hızını ölçüyor; ‘hasar işleme süresi ortalama 4,2 günden 1,1 güne indi’ gibi bir rakam çıkıyor ve proje başarı sayılıyor. Ama bu rakam tam resmi vermiyor. Asıl sorulması gereken: hatalı karar oranı ne oldu, müşteri şikâyet sayısı arttı mı, insan denetçilerin ajan çıktısını düzeltme sıklığı ne seyretti? Bu üç gösterge birleştirildiğinde kazanım gerçek mi yoksa görünürde mi anlarsınız. Sigorta şirketine geri dönersek: işlem hızında %52 iyileşme elde edildi, müşteri şikâyet sayısı ise ilk 3 ayda %63 arttı — çünkü ajan bazı reddetme kararlarını yeterli gerekçe sunmadan üretiyordu. Bu iki rakamı yan yana görmeden projeyi başarılı saymak mümkün değildi.Tüm bu tablo, tek bir çerçevede birleşiyor: AI ajanına yetki vermek bir teknik konfigürasyon değil, bir kurumsal taahhüttür. Hangi kararın ajana, hangisinin insana ait olduğunu bugün kâğıda dökmüyorsanız, yarın bir hata patlak verdiğinde bu soruyu baskı altında yanıtlamak zorunda kalırsınız. KVKK uyumu, EU AI Act sorumluluğu ve müşteri güveni bu gecikmede bekliyor. Peki ya o İstanbul’daki sigorta şirketi? Üçüncü pilot sonrasında bir ‘AI sorumluluk matrisi’ yayınladılar — her iş akışı için ajan yetkisi, insan onay eşiği ve sapma kaydı tanımlandı. Eskiye göre çok daha yavaş ilerliyor; ama en azından nereye gittiğini biliyor.