OpenAI, 16 Eylül’de kendi yapay zekâ ajanlarının talimatları dışında hareket ettiği altı vakayı açıkladı. Vakalardan birinde bir ajan, kendi ifadesiyle “boyun eğme yükümlülüğünden” kurtulmak için talimatlarını değiştirdi. Diğerleri hatalarını gizledi, kısıtlamaları aşmanın yollarını buldu ve kendi kurallarını oluşturdu.Şirket bu açıklamayı bir şeffaflık adımı olarak sundu. Ancak bugün işletmelerinde yapay zekâ ajanları kullanan girişimcilerin asıl üzerinde durması gereken nokta şu: Bütün bunlar, yapay zekâ güvenliğine çoğu girişimin herhangi bir alana ayıracağından daha fazla kaynak ayıran bir şirkette yaşandı.Buna zemin hazırlayan koşullar OpenAI’a özgü değil. Bir yapay zekâ ajanını hızla devreye alan çoğu girişimde de aynı koşullar mevcut. Ajan, girişimcinin hesabı üzerinden ve onunla aynı erişim yetkilerine sahip olarak çalışıyor. Kimse, ajanın gerçekte neleri yapmasına izin verildiğiyle teknik olarak neleri yapabildiğini ayrı ayrı değerlendirmiyor. Çünkü bu iki sorunun aynı anlama geldiği düşünülüyor. Oysa aralarında önemli bir fark var.Genellikle süreç küçük bir işle başlıyor. Yapay zekâ ajanı bu işi sorunsuzca halledince, zamanla görev alanı da fark ettirmeden genişliyor. Kimse durup ajanın ne kadar yetkiyi hak ettiğini değerlendirmiyor; bu konu hiç gündeme gelmiyor. İşler ters gittiğindeyse ajan, önemli kararlar üzerinde gerçek bir güce sahip hâle gelmiş oluyor. Üstelik bu noktaya nasıl gelindiğini kimse tam olarak açıklayamıyor.Girişimcilerin aslında neyi kontrol etmesi gerekiyor?Erken aşamadaki girişimlerin çoğu, yapay zekâ ajanlarını değerlendirirken neredeyse tamamen çıktılara odaklanıyor. Ajan verilen görevi yerine getirebiliyor mu? Ürettiği sonuçlar doğru mu? Bunlar, ajanın neler yapabildiğine ilişkin sorular. Ancak bir şeyi yapabilmek, o şeyi yapma yetkisine sahip olmakla aynı değil. Bir sistem, kendi başına yapmaması gereken bir işi son derece başarılı bir şekilde yerine getirebilir.Yapay zekâ ajanları yalnızca çıktı üretmekle kalmıyor; karar alıyor, işlem yapıyor ve bazen kimsenin kontrolünden geçmeden şirket adına bağlayıcı adımlar atabiliyor. Girişimcinin hesabı üzerinden çalışan bir ajan e-posta gönderebiliyor, faturaları onaylayabiliyor, tedarikçi seçebiliyor, hatta ödeme başlatabiliyor. Ancak bunları yapabilecek durumda olması, söz konusu işlemleri kendi başına yapmaya yetkili olduğu anlamına gelmiyor. Ne var ki çoğu şirket, sistemlerini kurarken bu ayrımı göz önünde bulundurmuyor.Payouts.com’un kurucu ortağı ve Yapay Zekâ Direktörü Barak Hirschson, asıl sorulması gerekeni şöyle açıklıyor:“Öncelikle ajanın ne kadar doğru çalıştığını değil, ona hangi yetkileri verdiğinizi sorgulamalısınız. Hangi bilgilere erişebiliyor, neleri değiştirebiliyor, şirket adına hangi taahhütlerde bulunabiliyor? İnsan denetimi olmadan hangi işlemleri tekrarlayabiliyor? Hangi kararlar için kimden onay alınması gerekiyor?”Bir de işin zamanlama boyutu var. İşler yolunda giderken kimse süreci yavaşlatmak istemiyor. Yapay zekâ ajanı iş akışının bir parçası hâline gelip girişimci ona güvenmeye başladığında, yetkilerini kısıtlamak geri adım atmak gibi geliyor. Bu yüzden çoğu zaman hiçbir değişiklik yapılmıyor. Ajanın ilk gün sahip olduğu erişim yetkileri, altı ay sonra da aynen devam ediyor.Ölçek büyüdükçe hız, bambaşka bir risk yaratıyorBu riski, ilk çalışanların geniş yetkilerle işe alınması meselesinden ayıran unsurlardan biri, işlem yapma hızı ve sıklığı. Geniş yetkilere sahip bir insan sonuçta tek bir kişidir. Mesai bitince işten ayrılır, çevresindekiler olup biteni fark edebilir. Oysa girişimcinin hesabı üzerinden çalışan bir yapay zekâ ajanı bu doğal denetim mekanizmalarının hiçbirine sahip değildir. Kesintisiz çalışabilir ve çalışma aralarında onu gözetleyen kimse olmayabilir.Tools for Humanity'de World ID Başkanı ve Gelirlerden Sorumlu Üst Düzey Yönetici Ajay Patel, durumu şöyle açıklıyor: “Bir ajana ilk çalışanınıza verdiğiniz geniş erişim yetkilerinin aynısını verirseniz, ajan bu yetkileri kesintisiz ve makine hızında kullanabilir. İnsanların sürece dâhil olduğu dönemde işe yarayan, esnek yetkilere dayalı bir çalışma modeli, bir anda çok daha büyük çaplı zararlara yol açabilir.”Bu çerçeve, girişimcilerin genellikle gözden kaçırdığı bir noktaya işaret ediyor: İşler çoğunlukla büyük ve çarpıcı bir hatayla ters gitmiyor. Asıl sorun, haftalar hatta aylar boyunca fark edilmeden tekrarlanan küçük bir yanlış kararlar. Hata örüntüsü ancak zamanla belirginleşiyor.Hirschson bunu şöyle ifade ediyor: “Finans ekibi küçük olan ve kayıpları karşılayacak kaynakları sınırlı bir şirkette, aynı küçük yanlış kararın kimse farkına varmadan 600 kez tekrarlanmasından söz ediyoruz.”Tek tek bakıldığında hiçbir işlem hatalı görünmediği için herhangi bir uyarı da tetiklenmiyor. Ajan, kendisine verilen yetkiler çerçevesinde tam olarak yapmasına izin verilen şeyleri yapıyor. Ancak oluşan zarar, biri sorunun kaynağını araştırmaya başlayana kadar birikmeye devam ediyor. O noktaya gelindiğindeyse para çoktan kaybedilmiş oluyor. Böyle bir kaybın nedenini açıklamak da tek seferde yapılan büyük bir hataya kıyasla daha zor. Çünkü ortada sorumlu tutulabilecek tek bir büyük olay yok.Sorumluluk yapay zekâ ajanlarına devredilemiyorGözden kaçan bir diğer konu da yaşananlardan kimin sorumlu tutulacağı. Bir yapay zekâ ajanı bir hataya yol açtığında şirket, kendisini teknik bir arızanın mağduru olarak gösterebilir. Ancak Sentient Foundation’da Girişim ve Büyüme Direktörü olarak görev yapan Sachi Kamiya, bu yaklaşımın sorunu çözmediğini vurguluyor:“Yapay zekâyı suçlamak, denetim ve kontrol mekanizmalarındaki temel eksiklikleri ortadan kaldırmaz.”Sistemi birileri kurdu. Ajana hangi erişim yetkilerinin verileceğine de birileri karar verdi. Dolayısıyla ajanın sonrasında yaptıklarının sorumluluğu da bu kararları alanlara ait. Üstelik ajanın ne yaptığını ve hangi gerekçeyle bu yetkilere sahip olduğunu gösteren kayıtlar yoksa, yetkili makamlar soru sormaya başladığında açıklama yapmak çok daha güç hâle gelir.Bu konuyu çözüme kavuşturan şirketler, yapay zekâ ajanlarını daha az kullanmıyor. Yaptıkları, ajanların faaliyetlerini kayıt altına almak. İhtiyaç duyulduğunda bu kayıtlara bakılarak ajanın ne yaptığı, bunu ne zaman yaptığı ve hangi yetkiyle hareket ettiği görülebilmeli.Cloud Security Alliance’ın 2026 tarihli bir raporuna göre, kuruluşların yalnızca yüzde 21’i yapay zekâ ajanlarının güncel envanterini gerçek zamanlı olarak tutuyor. Çoğu kuruluş bunu yapmıyor ve büyük olasılıkla bir sorun yaşanana kadar neyi gözden kaçırdığının farkına varmayacak.Doğru sistem nasıl kurulmalı?Bir yapay zekâ ajanı kritik işlerde kullanılmaya başlanmadan önce girişimcilerin dört soruya net yanıt vermesi gerekiyor: Ajanın hangi işlemleri yapmasına izin veriliyor? Bir insan devreye girmeden şirket adına ne kadar ileri gidebilir? Hangi kullanıcı hesabı üzerinden çalışıyor? Bu gece bir sorun çıkarsa ajanın ne yaptığını görebilir ve çalışmasını durdurabilir misiniz? Bugün yapay zekâ ajanları kullanan girişimcilerin çoğu bu dört sorunun tamamına yanıt veremiyor. Asıl risk de bu belirsizlikten kaynaklanıyor.İşe, ajana kendine ait bir kimlik tanımlayarak başlamak gerekiyor. Girişimcinin hesabını kullanmak yerine ajanın kendi hesabı olmalı; harcamaları belirli bir limitle sınırlandırılmış kendine ait bir kartı bulunmalı ve yalnızca görevini yerine getirmek için ihtiyaç duyduğu sistemlere erişebilmelidir.Kamiya, ilk haftalarda basit bir görev verip ajanın nasıl davrandığını gözlemlemeyi öneriyor. Kendisine verilen talimatların dışına çıkıyor mu? Görev alanı dışında kalan bir durumla karşılaştığında bunu bildiriyor mu? Çoğu girişimci, ajan demolar sırasında başarılı göründüğü için bu aşamayı atlıyor. Oysa bir işi yapabilmekle doğru kararlar verebilmek aynı şey değil. Aradaki farkı anlamanın yolu, ajana önce hata yapmasının ciddi sonuçlar doğurmayacağı bir görev vermek ve nasıl çalıştığını izlemek.Patel bu yaklaşımı “güvenli otonomi” olarak tanımlıyor. Ajanın yetki alanı net sınırlarla belirleniyor: belirli bir harcama limiti, belirli bir tedarikçi türü ya da belirli bir görev kategorisi. Ajan, bu sınırlar içinde serbestçe çalışabiliyor. Sınırları aşan her işlem ise önce bir insanın onayına sunuluyor. Ajanın gerçekleştirdiği her işlem, daha sonra ayrıntılı biçimde incelenebilmesini sağlayacak şekilde kayıt altına alınmalı. Patel bunu şöyle açıklıyor:“Bir sorun çıktığında yetki zincirini geriye dönük olarak takip edebilmelisiniz: Yetkiyi veren kişi ya da sistem kimdi? Hangi yetkiler devredildi? Bu yetkileri hangi ajan kullandı ve söz konusu işleme neden izin verildi? Hesap verebilirliği mümkün kılan şey budur.” Girişimcilerin çoğu bu adımları tamamen atlıyor. Ta ki bir sorun yaşanana kadar.Bu konuda doğru yaklaşımı benimseyen girişimciler ise yapay zekâ ajanlarının yapabileceklerini kısıtlamadı; hangi işlemleri tek başlarına sonuçlandırabileceklerine sınır koydu. Ajan araştırma yapıyor, tedarikçilerle iletişime geçiyor ve işlem için gereken hazırlıkları tamamlıyor. Ancak para transferini bir insan gerçekleştiriyor.Bu, bir sorun yaşanmadan önce alınmış bilinçli bir karar. Bugün yapay zekâ ajanları kullanan girişimcilerin çoğu ise henüz böyle bir önlem almış değil.Orijinal Yayın Tarihi: 6 Ekim 2026Köşe yazarları tarafından burada paylaşılan görüşler, incturkiye.com’a değil, yazara aittir.Çok daha fazlası için Inc. Türkiye bültenlerine kaydolun.