Bu hafta gündemin ortak teması tek bir kelimeydi: uygulama. AB Yapay Zeka Yasası'nın şeffaflık yükümlülükleri artık fiilen denetleniyor ve odak "sistemi geliştiren" taraftan "sistemi kullanan" tarafa (deployer) kayıyor. AI kaynaklı sorumluluk vakaları dokuz-on haneli finansal büyüklüklere ulaştı. Yönetim kurullarının yapay zeka gözetimi resmîleşiyor ama direktörlerin AI yetkinliği hâlâ çok gerude. Siber tarafta saldırıların ezici çoğunluğu artık zararlı yazılımla değil, çalınmış kimlik bilgileriyle geliyor. Ve Türkiye'de Yapay Zeka Eylem Planı bir genelgeyle resmen yürürlüğe girdi. Hepsinin altında tek bir gerçek var: kurumların kağıt üzerinde gösterebildiği uyum ile kriz anında gerçekten ayakta kalabildiği dayanıklılık arasındaki makas açılıyor.
S&P 500 yönetim kurullarında AI deneyimine sahip direktör oranı bu yıl yalnızca %5 : 2022'de %1'di. Şirketlerin %37'si en az bir direktörü için AI deneyimini vurguluyor, ama gerçek yetkinlik hâlâ istisna. Sizin kurulunuzda AI kararlarını kim, hangi bilgiyle sorguluyor?
→ 2026 Proxy Sezonu · Kurul AI Gözetimi Analizi2026 proxy sezonunun tanımlayıcı teması yapay zeka gözetimi oldu. Büyük şirketlerde kurul düzeyinde AI gözetiminin resmîleşmesi hızla yaygınlaşıyor: Avrupa'da büyük ölçekli şirketlerin yaklaşık yüzde yetmişinde tanımlı bir AI gözetimi var ve yarısından fazlasında yazılı bir AI politikası bulunuyor. Ama bir çelişki de aynı hızda büyüyor: gözetim resmîleşirken, o gözetimi yapacak yetkinlik kurulda yok. S&P 500 direktörlerinin yalnızca yüzde beşi proxy belgelerinde AI deneyimiyle anılıyor.
Tablo net bir açık gösteriyor. Siber güvenlik gözetimi büyük şirketlerde neredeyse evrensel hale geldi; AI gözetimi ise hızla yaygınlaşsa da hâlâ gerisinde. Yatırımcılar artık "AI kullanıyor musunuz" sorusunun ötesine geçti; kurulun bu gözetimi hangi bilgiyle, hangi komiteyle ve hangi direktör deneyimiyle yürüttüğünü görmek istiyor. Yani mesele bir AI politikası yazmak değil; o politikayı gerçekten sorgulayabilecek birinin kurulda olması.
Kaynak: 2026 Proxy Sezonu Küresel Trendleri · Kurul Gözetimi AnalizleriBir kurul, anlamadığı bir riski gözetemez; sadece gözetiyormuş gibi yapar. AI gözetimini "teknoloji komitesine havale ettik" demek çözüm değil, sorumluluğu görünür kılıp yetkinliği görünmez bırakmaktır. Türkiye'de de kurullar yakında aynı soruyla karşılaşacak: AI kararlarımızı sorgulayacak yetkinlik bu masada var mı, yoksa sadece tutanakta mı?
AB Yapay Zeka Yasası'nın şeffaflık yükümlülükleri 2 Ağustos'tan bu yana fiilen yürürlükte ve denetim mimarisi hızla olgunlaşıyor. Kritik kayma şu: düzenleyici odak, sistemi geliştiren sağlayıcıdan (provider), sistemi hayata geçiren kullanıcıya (deployer) doğru genişliyor. Yani bir AI sistemini kendisi üretmeyip yalnızca kullanan kurumlar da artık doğrudan yükümlülük ve sorgu kapsamında. Bir tedarikçinin AI'ında yaşanan olay karşısında, kullanan kurumun "yeterli tedarikçi-olay kanıtına" sahip olup olmadığı denetlenmeye başlıyor.
Bu, yükümlülüğün coğrafyayla sınırlı olmadığını gösteriyor. AI kararının sorumluluğu teknik ekipten yönetim kurulunun gözetimine taşınırken, aynı anda geliştiriciden kullanıcıya da yayılıyor. "Biz o modeli biz yapmadık, sadece kullanıyoruz" cümlesi artık bir savunma değil; tam da sorgulanan noktanın kendisi.
Kaynak: AB AI Act · Şeffaflık Denetimi Analizleri, Ağustos 2026Bir AI'ı kendiniz üretmemeniz, ondan doğan riski taşımadığınız anlamına gelmiyor. Deployer sorumluluğu, Türk kurumları için de yakın bir gerçek: bir yurt dışı AI aracını kurumsal karara bağlayan her şirket, o aracın davranışından kendi sorumlu. Tedarikçinin AI'ı sizin denetim izinizin bir parçasıdır, dışında değil.
2026 küresel tehdit verilerine göre tespit edilen izinsiz erişimlerin yüzde 82'si zararlı yazılım içermiyor: saldırganlar çalınmış kimlik bilgileri, meşru erişim yolları ve güvenilen bağlantılar üzerinden giriyor. Antivirüs mantığına dayalı savunma, artık göremediği bir tehdide karşı duruyor.
→ EY · Küresel Siber Güvenlik Liderlik Çalışması 2026Siber tehdit tablosunda sessiz ama köklü bir kayma var. 2026 küresel tehdit verilerine göre tespit edilen izinsiz erişimlerin yüzde 82'si zararlı yazılım içermiyor. Saldırganlar kapıyı kırmıyor; çalınmış kimlik bilgileri, meşru hesaplar ve güvenilen erişim yollarıyla içeri "giriş yapıyor". EY'nin araştırması bu tabloyu tamamlıyor: kurumların varlıklarının yaklaşık yüzde 36'sı, AI destekli saldırılara karşı yetersiz görünürlük ve kontrol taşıyor. Yani saldırgan hızlanırken, savunma tarafında görmediğimiz geniş bir alan duruyor.
Bunun kurumsal anlamı, perimetre (çevre güvenliği) mantığının sonu. "Duvarı yükseltmek" artık işe yaramıyor, çünkü saldırgan duvarı aşmıyor; içeriden birinin kimliğiyle kapıdan giriyor. EY'nin çerçevesi de aynı yöne işaret ediyor: savunma "kontrolümüz var mı" sorusundan, "kontrollerimiz pratikte gerçekten çalışıyor mu" sorusuna, sürekli üretilen kanıta dayalı bir modele geçiyor.
Kaynak: EY · Küresel Siber Güvenlik Liderlik Çalışması 2026En tehlikeli saldırı, alarmı hiç çaldırmayan saldırıdır. Kimlik bilgisiyle giren saldırgan, sistem için "meşru kullanıcı" görünür: onu durduran şey duvar değil, davranışı sorgulayan bir kontroldür. Sıfır güven (Zero Trust) artık bir slogan değil, "içeridekine de güvenme" ilkesinin operasyonel karşılığı.
EY'nin 2026 operasyonel dayanıklılık analizi çarpıcı bir tespitle başlıyor: kurallar yürürlükte, ama dayanıklılık aynı hızda ilerlemedi. Uyum yükseldi, dayanabilme yükselmedi. Sonuç, kurumların kağıt üzerinde gösterebildiği ile pratikte dayanabildiği arasında genişleyen bir boşluk. Denetim ve sektör göstergeleri tek bir mesaj veriyor: operasyonel dayanıklılık riski azalmıyor, hızlanıyor.
İki eğilim bu boşluğu büyütüyor. Birincisi yoğunlaşma riski: kritik hizmetler buluta ve yazılım-servis (SaaS) sağlayıcılara taşındıkça, tek bir sağlayıcıya bağımlılık teorik bir kaygı olmaktan çıkıp sistemik bir soruna dönüştü. Bir analizde İsviçre finans sektöründeki operasyonel olayların yaklaşık üçte biri bir tedarikçiden kaynaklanıyor. İkincisi paylaşılan altyapı: saldırılar giderek ortak altyapıyı istismar ediyor, tek bir olay birden fazla kurumu aynı anda vurabiliyor. Öne çıkan reçete net: standartlara bağlı, yaşayan bir çerçeve ve düzenli, ciddi senaryo testleri.
Kaynak: EY · Operational Resilience 2026 : Progress vs. PressureBir BCP dokümanının "var" olması, kurumun ayakta kalacağı anlamına gelmez : tıpkı yangın tatbikatı yapmamış bir binanın yönetmeliğe "uyumlu" görünmesi gibi. Kağıt uyum ile gerçek dayanıklılık arasındaki makas, çoğu kurumda kimsenin ölçmediği sessiz bir açıktır. Ve bu açık, ancak kriz gerçekten geldiğinde faturasını keser.
Haziran ayında bir zirvede duyurulan Türkiye Yapay Zeka Eylem Planı, bu ay resmî bir uygulama çerçevesine kavuştu. 18 Ağustos 2026 tarihli Resmî Gazete'de yayımlanan 2026/9 sayılı Cumhurbaşkanlığı Genelgesi ile plan fiilen yürürlüğe girdi. Koordinasyonu Sanayi ve Teknoloji Bakanlığı yürütecek; tüm kamu kurum ve kuruluşları kendilerine verilen görev ve sorumlulukları yerine getirecek. Yeni dönem insan odaklılık, güvenilirlik, etik, dijitallik ve sürdürülebilir kalkınma ilkeleri üzerine kuruluyor.
Buradaki nüans kritik: bir stratejinin "açıklanması" ile bir genelgeyle "yürürlüğe girmesi" aynı şey değil. Duyuru bir niyet beyanıdır; genelge, kamu kurumlarına somut görev ve takvim yükleyen bir uygulama aracı. Kamu süreçlerinde veri analitiği, otomasyon ve AI tabanlı karar destek sistemlerinin kullanımının artması hedeflenirken, özel sektörde de yaygınlaşma bekleniyor. Ayrıca KVKK'nın gündemine etken yapay zeka (agentic AI) başlığını taşıması, düzenleyici ilginin otonom AI sistemlerine doğru genişlediğini gösteriyor.
Kaynak: 2026/9 sayılı Cumhurbaşkanlığı Genelgesi · 18.08.2026 Resmî GazeteDevlet bir alanı önce "eksen" ilan eder, sonra genelgeyle "görev" haline getirir : bir sonraki durak çoğu zaman denetim kriteridir. Kamuya AI karar destek sistemi zorunluluğu geldiğinde, o kamuyla çalışan özel sektör tedarikçileri de aynı beklentiyle karşılaşır. Genelgeyi "bizi ilgilendirmez" diye okuyan kurum, kendi müşterisinin yükümlülüğünü görmezden gelmiş olur.
Yazılı BCP/DR planı yok. Kritik süreç ve tedarikçi bağımlılıkları haritalanmamış.
Plan var ve denetimden geçiyor; ama hiç test edilmedi. "Uyumlu" görünür, dayanıklı değildir.
Masaüstü tatbikatlar başladı. Kritik hizmet-tedarikçi bağımlılıkları çıkarıldı. RTO/RPO tanımlı.
Dayanıklılık nicel göstergelerle kurul raporlamasında. Üçüncü taraf yoğunlaşma riski izleniyor.
Dayanıklılık risk iştahına entegre. Tedarikçinin tedarikçisi haritalı. Senaryolar canlı test ediliyor.
S&P 500 direktörlerinin AI deneyimiyle anılan oranı (2022'de %1). Şirketlerin %37'si en az bir direktör için AI deneyimi vurguluyor: gözetim resmîleşiyor, yetkinlik geride.
Kaynak · 2026 Proxy Sezonu AnalizleriTespit edilen izinsiz erişimlerin zararlı yazılım içermeyen oranı: saldırılar artık çalınmış kimlik bilgileri ve meşru erişim yollarıyla geliyor.
Kaynak · EY Küresel Siber Güvenlik Çalışması 2026EY'ye göre kurumların, AI destekli saldırılara karşı yetersiz görünürlük ve kontrol taşıyan varlık oranı. Görmediğiniz varlığı koruyamazsınız.
Kaynak · EY Küresel Siber Güvenlik Çalışması 2026Bir analize göre İsviçre finans sektöründeki operasyonel olayların yaklaşık üçte biri bir tedarikçiden kaynaklanıyor: yoğunlaşma riski artık teorik değil.
Kaynak · EY Operational Resilience 2026Nedir? AB AI Act denetiminin, sistemi geliştiren sağlayıcıdan sistemi kullanan kuruma (deployer) doğru genişlemesi. Bir AI aracını üretmeyip yalnızca kullanan kurum da artık o aracın davranışından ve olay kanıtından sorumlu tutuluyor.
Kurumsal etki: Yurt dışı bir AI aracını kredi, işe alım, fiyatlama gibi bir kurumsal karara bağlayan her Türk kurumu bu riski taşıyor. Tedarikçinin AI'ında yaşanan bir olay, kullanan kurumun da denetim gündemine giriyor.
Temel gerçek: Bir AI'ı kendiniz üretmemeniz, ondan doğan riski taşımadığınız anlamına gelmez. Kullandığınız aracın kararı, sizin kararınızdır.
Kağıt uyum ile gerçek dayanıklılık arasındaki makası ölçmek için, en kritik iş hizmetinizi beş soruyla test edin: (1) Bu hizmet hangi tek tedarikçiye, buluta ya da sisteme bağımlı : ve o nokta çökerse ne olur? (2) Maksimum tolere edilebilir kesinti süresi (RTO) tanımlı mı, yoksa sadece belgede mi yazıyor? (3) Bu planı en son ne zaman gerçekten test ettiniz : masaüstü tatbikat, gerçek senaryo? (4) Tedarikçinizin tedarikçisini tanıyor musunuz : bağımlılık zinciri nerede bitiyor? (5) Bir kesinti anında kim, neyi, hangi sırayla yapacak : yazılı ve prova edilmiş mi? Bu beş yanıt, kurumunuzun dayanıklılık olgunluk seviyesini gösterir : ve kriz geldiğinde belgeye değil, bu cevaplara dayanırsınız.
Türkiye Yapay Zeka Eylem Planı'nın 2026/9 sayılı genelgeyle yürürlüğe girmesi, ilk bakışta yalnızca kamuyu ilgilendiren bir gelişme gibi görünebilir. Oysa kamu kurumlarının süreçlerine AI tabanlı karar destek sistemleri girdikçe, bu kurumlara hizmet ve ürün sağlayan özel sektör de aynı beklenti çerçevesine dahil olur. Kamunun tedarikçisiyseniz, kamunun AI yönetişim standardı yarın sizin sözleşme şartınız olabilir.
İkinci sinyal düzenleyici tarafta. KVKK'nın gündemine etken yapay zeka (agentic AI) başlığını alması, düzenleyici ilginin tek seferlik AI kullanımından, kendi başına karar verebilen otonom sistemlere doğru genişlediğini gösteriyor. Bu, bir sonraki dönemin denetim diline dair güçlü bir ipucu.
İç denetçiler ve risk ekipleri için pratik not: Kurumsal AI kullanımınızı planın beş ilkesiyle (insan odaklılık, güvenilirlik, etik, dijitallik, sürdürülebilirlik) eşleştiren kısa bir öz-değerlendirme yapın. Etken AI kullanıyorsanız, hangi sistemin hangi kararı insan onayı olmadan verdiğini bugün belgeleyin : düzenleyici sorduğunda hazır olun.
Yönetim kurullarında AI gözetiminin resmîleşmesi ile direktör yetkinliği arasındaki açığı ortaya koyan güncel veriler.
Kağıt uyum ile gerçek dayanıklılık arasındaki makası ve üçüncü taraf yoğunlaşma riskini ele alan analiz : ey.com
İzinsiz erişimlerin %82'sinin zararlı yazılımsız oluşu ve varlıkların %36'sının AI destekli saldırılara açık kalması : ey.com
Türkiye Yapay Zeka Eylem Planı'nı yürürlüğe koyan genelge. Koordinasyon Sanayi ve Teknoloji Bakanlığı'nda : resmigazete.gov.tr
Denetim odağının geliştiriciden kullanıcıya kayması. Üçüncü taraf AI kullanan her kurum için temel okuma : iapp.org
The Governance'ı ekibinizle paylaşın, LinkedIn'de kaydedin ve sayfamızı takip edin. Kurumsal risk ve teknoloji yönetişiminde Türkiye'nin en nitelikli bağımsız yayınını birlikte büyütelim.
Bu hafta beş ayrı gelişme aynı cümleyi kurdu: uyum belgesi ile gerçek dayanıklılık aynı şey değil. Kurullar AI'yı gözetmeye başladı ama yetkinlik masada yok; denetim odağı kullanan tarafa kaydı; saldırılar kimliğin içinden geliyor; ve Türkiye'de bir strateji genelgeyle göreve dönüştü. Hepsinde ortak ders: kağıt üzerinde "uyumlu" görünmek, kriz anında ayakta kalmayı garanti etmez. The Governance, bu gelişmeleri haber olarak değil, kararlarınızı etkileyen birer gündem maddesi olarak ele alır. Sorular için her zaman açığım.