Yapay Zeka Ajanlarında Denetlenebilirlik Gündemde: Otomatik Kararların İzlenmesi İçin Yeni Yaklaşımlar Neler?

Yapay zeka ajanlarında denetlenebilirlik, sistemin yalnızca hangi işlemi yaptığını değil, o işlemi hangi talimat, veri, araç ve yetki zinciriyle gerçekleştirdiğini sonradan gösterebilmesini ifade ediyor. Ajanlar artık tek bir yanıt üretmek yerine plan kuruyor, dış araçları çağırıyor ve bazı görevleri insan müdahalesi olmadan tamamlıyor. Bu çalışma biçimi, klasik uygulama günlüklerinin tek başına yeterli olmadığı yeni bir izleme ihtiyacı doğuruyor.

Gündemdeki araştırmalar ve şirket açıklamaları aynı noktaya işaret ediyor: Denetlenebilir bir ajan için kararın sonucu kadar karar sürecine ait kanıtların da saklanması gerekiyor. NIST, ajan kararlarının izlenebilmesi için akıl yürütme zinciri, araç kullanımı ve kararın arkasındaki diğer kanıtların yeniden kurulabilmesini hedefleyen ölçüm araçları üzerinde çalışıyor. nist.gov İlgili ayrıntılar için Yapay Zeka Araştırmaları kategorisindeki ilgili yazılar içeriği de değerlendirilebilir.

Yapay zeka ajanlarında denetlenebilirlik neden farklı bir sorun?

Geleneksel yazılımlarda denetim çoğunlukla “hangi kullanıcı, hangi kaydı, ne zaman değiştirdi?” sorusuyla başlar. Ajan sistemlerinde ise aynı işlem; model sürümü, sistem talimatı, kullanıcı isteği, alınan belgeler, çağrılan araçlar, izin sonucu ve ara plan adımlarıyla birlikte değerlendirilir.

Bir ajan müşteri kaydını güncellediğinde yalnızca API çağrısını kaydetmek yeterli değildir. Denetçi, ajanın bu işlemi hangi hedef için yaptığını, ilgili veriyi nereden aldığını, hangi yetkiyle hareket ettiğini ve işlemden önce insan onayı gerekip gerekmediğini de görebilmelidir. Aksi halde log, olayın gerçekleştiğini kanıtlar; fakat kararın nedenini ve sorumluluk zincirini açıklamaz.

18 Eylül 2026 tarihli bir araştırma değerlendirmesi de ajan sistemlerinde güvenilirlik, insan gözetimi, şeffaflık ve denetlenebilirliğin birlikte ele alınması gerektiğini savunuyor. Çalışma, araçlara erişim ve kalıcı hafıza gibi özelliklerin hatalı bir çıktıyı gerçek dünyada etkili bir eyleme dönüştürebileceğine dikkat çekiyor. arcxiv.org

Bir ajanın denetim kaydında hangi bilgiler bulunmalı?

Denetim kaydı, modelin bütün iç düşünce sürecini saklamak anlamına gelmez. Kurumlar açısından daha uygulanabilir yaklaşım, kararın yeniden incelenmesini sağlayan yapılandırılmış olay kayıtları oluşturmaktır. Bu kayıtlar en azından şu alanları kapsamalıdır:

• Kimlik: Ajanın, kullanıcının ve ilgili hizmet hesabının kimliği.
• Yetki: Ajanın hangi kaynaklara erişebildiği ve hangi işlemlerin onay gerektirdiği.
• Girdi: Kullanıcı talimatı, sisteme eklenen belgeler ve kullanılan veri kaynakları.
• Model bilgisi: Model sürümü, sistem talimatı ve çalışma zamanı ayarları.
• Araç çağrıları: Kullanılan API, veritabanı, tarayıcı veya dosya işlemleri.
• Karar noktaları: Plan değişiklikleri, reddedilen işlemler, güvenlik kontrolleri ve insan onayları.
• Sonuç: Üretilen çıktı, yapılan değişiklik ve işlemin etkilediği sistem.
• Hata durumu: Başarısız çağrılar, geri alma işlemleri ve beklenmeyen davranışlar.

OpenAI’nin Codex için yayımladığı güvenlik açıklamasında da kullanıcı istemleri, araç onayları, araç sonuçları, MCP kullanımı ve ağ erişim kararları gibi olayların OpenTelemetry üzerinden kaydedilebildiği belirtiliyor. Bu yaklaşım, sıradan sistem loglarını ajan davranışına özgü telemetriyle tamamlamayı amaçlıyor. OpenAI’nin Codex güvenlik yaklaşımı bu ayrımın pratik bir örneğini sunuyor. openai.com

Şirketler izleme ve denetimi aynı katmanda birleştirmeye çalışıyor

Anthropic ve Google Cloud tarafından 1 Eylül 2026’da duyurulan teknik oturum, ajanların izlenmesi için OpenTelemetry izleri ve denetim olaylarının Google Cloud Observability ortamına gönderilmesini ele aldı. Açıklamada, her araç çağrısında politika uygulanması, ajan ve kullanıcı bazında kimlik tanımlanması ve gerçekleşen işlemlerin sonradan denetlenmesi öne çıkarıldı. Anthropic’in ajan izleme ve güvenlik oturumu bu yaklaşımın şirketler için nasıl tasarlandığını gösteriyor. anthropic.com

Buradaki değişim, gözlemlenebilirliğin yalnızca performans ölçümü olmaktan çıkmasıdır. Gecikme, hata oranı ve maliyet gibi operasyonel göstergelere ek olarak ajanın niyeti, seçtiği araç, uygulanan politika ve ortaya çıkan etki de aynı iz üzerinde ilişkilendirilmeye çalışılıyor. Google Cloud’un Haziran 2026’da duyurduğu gözlemlenebilirlik analitiği özellikleri, log ve trace verilerini birlikte sorgulayarak ajan araçlarındaki hata ve gecikmelerin incelenmesini mümkün kılmayı hedefliyor. cloud.google.com

Denetlenebilirlik yalnızca kayıt tutmakla sağlanmıyor

İyi bir kayıt sistemi, geçmişte ne olduğunu açıklayabilir; fakat tek başına yanlış işlemi önlemez. Denetim mimarisinin yetki kontrolü, politika uygulama ve insan müdahalesiyle birlikte çalışması gerekiyor. NIST’in 27 Ağustos 2026 tarihli değerlendirmesi, uzun ömürlü ve geniş yetkili API anahtarlarının ajanlar için risk oluşturduğunu; daha dar kapsamlı kimlik ve yetkilendirme mekanizmalarına ihtiyaç bulunduğunu vurguluyor. nist.gov

Kurumsal bir ajan için şu üç katmanın ayrılması daha sağlıklı bir değerlendirme sağlar:

1. Önleyici katman: Ajanın hangi araçlara ve verilere erişebileceğini sınırlar.
2. İşlem katmanı: Her eylemi, kullanılan kaynağı ve politika kararını kaydeder.
3. İnceleme katmanı: Olay sonrası yeniden oynatma, hata analizi ve sorumluluk değerlendirmesi yapar.

Bu ayrım, “ajan loglandı” ifadesinin neden yeterli olmadığını gösterir. Bir sistem işlem kaydı tutabilir; ancak kaydı belirli bir kullanıcıya, ajana, model sürümüne veya onay kararına bağlayamıyorsa denetim değeri sınırlı kalır.

Türkiye’deki kurumlar için asıl soru ne olmalı?

Türkiye’de ajan tabanlı müşteri hizmetleri, yazılım geliştirme, finans ve belge işleme uygulamaları yaygınlaştıkça kurumların ilk sorusu “hangi modeli kullandık?” olmaktan çıkıp “ajanın verdiği kararı nasıl kanıtlayacağız?” olmalı. Özellikle kişisel veri, finansal kayıt veya kritik iş akışları söz konusuysa erişim kapsamı, saklama süresi ve insan onayı baştan belirlenmeli.

Uygulanabilir bir başlangıç kontrol listesi şunları içeriyor:

• Her ajana ve kullanıcıya ayrı kimlik tanımlamak.
• Yüksek etkili işlemler için açık onay eşiği koymak.
• Model, araç ve politika sürümlerini işlem kaydına eklemek.
• Başarısız ve geri alınan işlemleri de saklamak.
• Loglarda gereksiz kişisel veriyi maskelemek.
• Denetçinin teknik sisteme erişmeden inceleyebileceği okunabilir rapor üretmek.

NIST’in Şubat 2026’da başlattığı AI Agent Standards Initiative de güvenli kimlik, birlikte çalışabilirlik ve ajan güvenliği için standartlaşma ihtiyacını gündeme taşıdı. Bu girişim, denetlenebilirliğin yalnızca tek bir şirketin ürün özelliği değil, ajan ekosisteminin ortak altyapı sorunu haline geldiğini gösteriyor. nist.gov

Yeni yaklaşım: kararın kendisinden çok kanıt zinciri

Yapay zeka ajanlarında denetlenebilirlik tartışmasının merkezinde, modelin her iç adımını görünür kılma vaadi değil; önemli bir işlemi açıklayacak kadar güvenilir kanıt üretme hedefi bulunuyor. Kurumlar için değerli olan kayıt, ajanın ne düşündüğünü eksiksiz biçimde yazan uzun bir metin değil, kararın hangi girdilerle, hangi izinlerle ve hangi araçlar üzerinden oluştuğunu yeniden kurabilen bir izdir.

Bu yaklaşım olgunlaştıkça ajan değerlendirmeleri de yalnızca başarı oranına bakmayacak. Yetki sınırlarına uyum, insan onaylarının atlanıp atlanmadığı, araç seçimlerinin güvenliği, başarısız işlemlerin nasıl yönetildiği ve olay sonrası incelemenin ne kadar hızlı yapılabildiği de performansın parçası olacak. Ajanları üretime taşıyan kurumlar için rekabet avantajı, en fazla işi otomatikleştirmekten çok hangi işi neden yaptığını kanıtlayabilmekte şekillenebilir.