Son dönemin gündemini bir arada okuduğunuzda ortak tema net: hesap verebilirlik. Kurumlar, kendi başına karar verip aksiyon alan etken (agentic) yapay zeka sistemlerini hızla devreye alıyor; ama bu sistemlerin yarattığı riski izleyecek, durduracak ve sorumluluğunu üstlenecek yönetişim aynı hızda gelişmiyor. EY'nin yeni araştırması, etken AI kullanan kurumların dörtte birinin yetkisiz çalışan bir AI ajanını tespit bile edemediğini gösteriyor. Türkiye'de ise TÜİK verisi, hukuki sorumluluk belirsizliğinin de önemli bir benimseme engeli olduğunu gösteriyor: AI kullanmayı düşünen girişimlerin en büyük ikinci engeli, zarar halinde sorumluluğun kimde olacağına dair hukuki belirsizlik. Tek bir cümlede: AI envanteri size ne kullandığınızı söyler; AI yönetişimi ise bir şey ters gittiğinde kimin hesap vereceğini söyler.
EY'nin yeni AI Risk ve Yönetişim Araştırması'na göre, etken (agentic) AI kullanan kurumların yüzde 26'sı içeride yetkisiz çalışan bir AI ajanını tespit edemediğini kabul ediyor. Göremediğiniz bir aktörü durduramaz, denetleyemez ve hesabını veremezsiniz.
→ EY · AI Risk ve Yönetişim Araştırması 2026Kurumlar etken (agentic) yapay zekayı hızla devreye alıyor; ama kontrol kapasitesi geride kalıyor. EY'nin yeni AI Risk ve Yönetişim Araştırması'na göre, etken AI kullanan kurumların yüzde 26'sı içeride yetkisiz çalışan bir AI ajanını tespit edemiyor, yaklaşık yarısı (yüzde 49) ise yönetişim çerçevesini bu sistemlerin risklerini kapsayacak şekilde henüz güncellemedi. Kurumlar, dünün yönetişim kurallarını bugünün özerk sistemlerine uyguluyor.
Buradaki mesele bir teknoloji değil, bir hesap verebilirlik meselesi. Bir AI ajanı gerçek iş kararları verdiğinde (bir ödeme onaylamak, bir erişim açmak, bir veriyi dışarı taşımak) ve bir şey ters gittiğinde, sorumluluğun kime ait olduğu çoğu kurumda yazılı değil. Hız ile kontrol birbirinin alternatifi değil; etken AI gerçek kararlar verirken ikisi de aynı anda gerekiyor.
Kaynak: EY · AI Risk ve Yönetişim Araştırması, 15 Eylül 2026 (ABD'de en az 1 milyar dolar cirolu halka açık şirketlerde 202 üst düzey AI yöneticisi)İç denetim yıllardır "insanların fazla yetkisi var mı" diye sorardı. 2026'nın sorusu daha zor: "AI ajanlarınızın fazla yetkisi var mı, ve içeride yetkisiz çalışan bir ajanı fark edebiliyor musunuz?" Tespit edemediğiniz bir aktör, kontrol edebildiğiniz bir aktör değildir. Ajanın yetkisini, kimliğini ve durdurulabilirliğini tasarım aşamasında kurmayan kurum, kriz anında bunu kuramaz.
Avrupa Komisyonu, 31 Ağustos 2026'da ChatGPT'yi Dijital Hizmetler Yasası (DSA) kapsamında "Çok Büyük Çevrimiçi Arama Motoru" (VLOSE) olarak belirledi: bir yapay zeka sohbet robotunun DSA'nın en yüksek uyum kademesine alındığı ilk vaka. Komisyon, ek DSA yükümlülüklerine uyum için bildirimden sonra dört aylık bir geçiş süresi tanıdı: tam uyum takvimi Ocak 2027'ye işaret ediyor. Ocak 2027 uyum takvimi, bu belirlemeyi kurumların bugünkü hazırlık gündemine taşıyor.
Kurumsal anlamı, düzenleyici katmanların üst üste binmeye devam ettiği. Bir yapay zeka hizmeti artık aynı anda AI Act (ürün güvenliği), GDPR (kişisel veri) ve DSA (sistemik platform riski) kapsamında değerlendirilebiliyor. Önemli bir sınır: bu belirleme, DSA kapsamındaki büyük hizmetlerde gözetimin AI temelli hizmetleri de kapsadığını gösteriyor; her AI hizmeti için otomatik olarak aynı yükümlülükler doğmuyor, kapsam her hizmet için ayrıca değerlendirilmeli. Yine de yön net: denetlenebilirlik giderek bir tercih değil, bir yükümlülük.
Kaynak: Avrupa Komisyonu · Basın Açıklaması IP/26/1772, 31 Ağustos 2026Bir AI sistemini tek bir yasayla düşünmek artık yanıltıcı. Aynı sistem, farklı amaçlarla üç ayrı düzenleyici rejime tabi olabiliyor: ürün güvenliği, veri koruma ve platform riski. Bu gözetimin AI hizmetlerine ulaşması, Türk teknoloji şirketleri için de erken bir sinyal: AB pazarına sunulan AI hizmetlerinde, uygulanabilir düzenlemeler ve bunların gerektirdiği kayıt, şeffaflık ve denetim yükümlülükleri hizmet bazında değerlendirilmelidir.
TÜİK'in 2026 Yapay Zeka İstatistikleri'ne göre, AI kullanmayı düşünen ancak henüz kullanmayan girişimlerin yüzde 66,4'ü, olası zararlarda sorumluluğun kimde olacağına ilişkin hukuki belirsizliği bir engel olarak gösteriyor. Türkiye'de AI benimsemesinin önündeki mesele yalnızca teknoloji değil: hesap verebilirlik.
→ TÜİK · 2026 Yapay Zeka İstatistikleriYapay zeka bir kararı otomatikleştirebilir; ama o kararın sorumluluğunu otomatikleştiremez. EY'nin kurullara yönelik analizi bu ilkeyi merkeze alıyor: AI tabanlı sonuçlar yanlış gittiğinde hesap verebilirliğin kime ait olacağı önceden tanımlanmalı. Dikkatsiz AI kullanımı nedeniyle kurumların hem para hem itibar kaybettiği örnekler çoğalıyor. Yönetim kurulu, AI çıktısının kalitesini güvenceye alan yönetim süreçlerini gözetmek ve bir sorun çıktığında sorumluluğun nasıl atanacağını açıkça belirlemek zorunda.
Düzenleyici tablo da bu yönde sıkışıyor. ABD'de federal bütüncül bir AI çerçevesi hâlâ yok; bu belirsizlik, eyalet başsavcılarından oluşan iki partili bir koalisyonun AI düzenlemesinde eyalet yetkisinin korunması için Kongre'ye yaptığı ortak çağrıda da görünür hale geldi. Federal boşluk sürerken eyalet yasaları (Colorado, Teksas, New York) çoğalıyor; ancak bu düzenlemeler kapsam, muhatap ve yükümlülük bakımından birbirinden farklılaşıyor. Parçalı tablo, hesap verebilirlik sorumluluğunu giderek kurumun kendi yönetişimine yüklüyor.
Kaynak: EY · Kurul ve AI Gözetimi Kaynak: NAAG · Eyalet Başsavcıları, AI Düzenlemesinde Yerel Yetkinin Korunması İçin Kongre'ye Çağrı (bağlayıcı olmayan politika çağrısı)"AI karar verdi" bir savunma değil. Bir kurum bir AI'a karar yetkisi verdiğinde, o kararın sonucunu da üstlenir. Hesap verebilirliği otomatikleştirmek imkansız: AI kullanımı kurumun ve ilgili aktörlerin hukuki sorumluluğunu ortadan kaldırmaz, kurum içinde açık bir hesap verebilirlik sahibi gerektirir. Kurulun görevi, "bir şey ters giderse kim, neye göre hesap verecek" sorusunu olay çıkmadan önce yanıtlamak.
Etken AI yönetişimi dağınık bir alandı. The Governance'ın önerdiği on kontrol alanı, bir AI ajanının "iyi yönetildiğini" söyleyebilmek için hangi kontrollerin var olması gerektiğini somutlaştırıyor: en düşük yetki, izlenebilir kimlik, denetlenebilirlik, doğrulanmış devreye alma, saldırıya dayanıklılık, çok-ajanlı istikrar, çalışma anında güvence, durdurulabilirlik, okunabilirlik ve insan gözetimi. Bu liste, soyut bir "AI politikası" tartışmasını test edilebilir kontrollere çeviriyor.
İç denetim için bunun anlamı, denetim evreninin genişlemesi. Bir AI ajanının kimliği, yetki kapsamı, karar izi, durdurulabilirliği ve insan gözetim noktası artık test edilmesi gereken kontroller. İnsan aktörler etrafında tasarlanmış klasik denetim programları, kendi başına karar veren bir ajanı kapsamıyor. Sorumluluğun geliştirici, sistemi kullanıma alan kuruluş (deployer), bulut sağlayıcı ve açık kaynak ekosistemi arasında dağıldığı bu tabloda, "bizim ajanımız kimin sorumluluğunda" sorusu denetimin ilk sorusu olmak zorunda.
Kaynak: The Governance · önerilen on kontrol alanı (editoryal çerçeve)Bu on ilke, iç denetim için risk bazlı bir denetim programına uyarlanabilecek bir başlangıç kontrol seti. Bir AI ajanını denetlerken sorulacak sorular artık belli: yetkisi en düşük mü, kimliği izlenebilir mi, durdurulabilir mi, kararları okunabilir mi, insan gözetimi var mı? "Sertifikam var" demek yetmiyor; bu ilkelerin her birinin kanıtını üretebilmek gerekiyor. Ve denetim, ajanın kendisinden bağımsız olmalı.
Küresel hesap verebilirlik tartışması Türkiye verisiyle birebir örtüşüyor. TÜİK'in 2026 Yapay Zeka İstatistikleri'ne göre bireylerde üretken AI kullanımı bir yılda yüzde 19,2'den yüzde 37,6'ya çıktı; girişimlerde kullanım yüzde 14'e ulaştı. Ama asıl çarpıcı veri engellerde: AI kullanmayı düşünen girişimlerin önündeki en büyük engel yüzde 72,3 ile uzmanlık eksikliği, hemen ardından yüzde 66,4 ile olası zararlarda sorumluluğun kimde olacağına ilişkin hukuki belirsizlik geliyor. Yani Türkiye'de AI benimsemesinin önündeki ikinci en büyük engel bir teknoloji sorunu değil, bir hesap verebilirlik sorunu.
Türkiye'nin düzenleyici çerçevesi bu açığı mevcut araçlarla karşılıyor. KVKK'nın 11. maddesi, ilgili kişiye münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkını açıkça tanıyor (m.11/1-g). Bu, kanuni bir haktır. The Governance'ın yönetişim önerisi ise bu hakkın bir adım ötesi: itiraz anında devreye giren değil, kararın öncesinde tasarlanan bir kontrol. Bireyleri önemli ölçüde etkileyen AI destekli kararlarda açıklanabilirlik ve etkili insan incelemesini (kararı gerçekten gözden geçirip değiştirebilecek yetkili bir insan) sürecin baştan içine koymak.
Kaynak: TÜİK · 2026 Yapay Zeka İstatistikleri (2 Ekim 2026) · KVKK yükümlülükleriBaşkası bu TÜİK haberini "AI kullanımı yüzde 37,6 oldu" diye paylaşır. Oysa verinin içindeki gerçek sinyal engellerde: uzmanlık eksikliğinin hemen ardından hukuki sorumluluk belirsizliği geliyor. Yani AI benimsemesi Türkiye'de teknik kapasite kadar yönetişim tasarımı da gerektiriyor. "Anlamlı insan müdahalesi" bir kutucuk değil: bir kararı gerçekten gözden geçirip değiştirebilecek, yetkili ve bilgili bir insanın sürecin içinde olması demek.
AI ajanları kontrolsüz devrede. Yetkisiz ajan tespit edilemiyor, sorumluluk sahibi tanımsız.
Ajan envanteri var ama yönetişim güncellenmedi. "AI karar verdi" hâlâ bir savunma gibi kullanılıyor.
Her kritik AI kararının bir hesap verebilirlik sahibi var. Yetki, kimlik ve durdurulabilirlik tanımlı.
Karar izi, insan gözetim noktası ve durdurma mekanizması kanıtla gösteriliyor. On ilke test ediliyor.
Hesap verebilirlik kurul seviyesinde. Bir sorun çıktığında kim, neye göre hesap verecek, önceden yazılı.
The Governance tarafından geliştirilmiş editoryal bir öz değerlendirme çerçevesidir: doğrulanmış bir ölçüm standardı değildir.
Nedir? Kurum içinde yetkisiz ya da amacı dışında çalışan, ama kurumun tespit edemediği AI ajanları. Sisteme yazma yetkisi olan bir ajan ödeme onaylayabilir, erişim açabilir, veri taşıyabilir: tespit edilemediğinde yeni bir içeriden risk sınıfına dönüşüyor.
Kurumsal etki: Göremediğiniz bir aktörün verdiği kararın sorumluluğu yine kuruma ait. Bir ajan hatalı ya da kötüye kullanılan bir aksiyon aldığında, "fark etmedik" bir savunma değil, bir yönetişim açığı.
Temel gerçek: Tespit edemediğiniz bir ajanı durduramaz, denetleyemez, hesabını veremezsiniz. Görünürlük, hesap verebilirliğin ön şartı.
Devreye aldığınız her AI ajanı için hesap verebilirliği beş soruda test edin. Bu beş yanıt, bir ajanı "karar veren" durumdan "hesap verebilir" duruma taşır.
Küresel hesap verebilirlik açığı, Türkiye'de somut bir benimseme engeline dönüşmüş durumda: TÜİK verisindeki yüzde 66,4'lük hukuki belirsizlik kaygısı bunun kanıtı. Buradan çıkan pratik görev net: Türk kurumları için öncelik AI'yı daha hızlı devreye almak değil, bir şey ters gittiğinde sorumluluğun kimde olduğunu önceden tanımlayan bir yönetişim tasarlamak. Hesap verebilirliği kuran kurum, teknolojiye de güvenle geçer.
Düzenleyici cevap mevcut KVKK çerçevesi üzerinden şekilleniyor. KVKK'nın şeffaflık, hukuka uygunluk ve ilgili kişi haklarına ilişkin yükümlülükleri, bireyi önemli ölçüde etkileyen AI destekli kararlarda insan gözetimi ve açıklanabilirlik tasarımını giderek daha kritik hale getiriyor. Bu, AI'ya özel yeni bir yasa beklemeden, mevcut araçlarla hesap verebilirliği gündeme taşıyor.
İç denetçiler ve risk ekipleri için pratik not: İki şeyi bugün yapın: bireyi etkileyen AI kararlarında (işe alım, kredi, fiyatlama) insan gözetimini belgeli bir sürece bağlayın; ve kullandığınız algoritmaların kararını açıklayabilir olup olmadığını test edin. Hesap verebilirlik tasarımı, Türkiye'de AI benimsemesinin önündeki engeli kaldıran anahtar olabilir.
Etken AI kullanan kurumların %26'sı yetkisiz ajanı tespit edemiyor, %49'u yönetişimini güncellemedi : ey.com
AI kararı yanlış gittiğinde sorumluluğun kime ait olacağını kurulun önceden tanımlaması gerekiyor : ey.com
Bir AI sohbet robotunun ilk kez DSA'nın en yüksek uyum kademesine alınması; DSA kapsamında ChatGPT için ek gözetim ve denetim yükümlülükleri.
En düşük yetki, izlenebilir kimlik, durdurulabilirlik, insan gözetimi: iç denetim için somut bir kontrol listesi.
Üretken AI kullanımı %37,6'ya çıktı; AI'yı düşünen girişimlerin %66,4'ü hukuki sorumluluk belirsizliğini engel gösteriyor.
The Governance'ı haber olduktan sonra değil, karar anından önce okuyun. Türkiye'nin bağımsız GRC bültenine ücretsiz abone olun; her Pazartesi, yönetici masasında olması gereken gelişmeler.
Ya da güncellemeleri LinkedIn'de takip edin.
Tek bir soru son dönemde üç ayrı cephede yankılandı: AI karar veriyor, ama hesabı kim veriyor? EY etken AI kullanan kurumların dörtte birinin yetkisiz bir ajanı bile fark edemediğini gösterdi; AB ChatGPT'yi en yüksek denetim kademesine aldı; Türkiye'de ise uzmanlık eksikliğinin hemen ardından hukuki sorumluluk belirsizliği geliyor; AI benimsemesi teknik kapasiteyle birlikte yönetişim tasarımı da gerektiriyor. Ortak ders tek bir cümlede: AI envanteri size ne kullandığınızı söyler, AI yönetişimi ise bir şey ters gittiğinde kimin hesap vereceğini söyler. The Governance, bu gelişmeleri haber olarak değil, kararlarınızı etkileyen birer gündem maddesi olarak ele alır. Sorular için her zaman açığım.