Yapay Zekâ Yönetişimi Artık İsteğe Bağlı Değil

Bölüm 1

Neler değişti

Atlantik'in her iki yakasında da birbirinden bağımsız birkaç gelişme aynı yönü işaret ediyor: bir yapay zekâ sisteminin dağıtıcısı, o sistemin davranışından gerçek ve doğrudan sorumluluk taşır.

• Mobley v. Workday (Amerika Birleşik Devletleri, 2024–2025)

  Bir ABD federal mahkemesi, bir istihdam ayrımcılığı davasının bir AI satıcısına karşı vekâlet teorisi temelinde ilerlemesine izin verdi — AI sistemini, onu kullanan işletmelerin bir temsilcisi olarak hareket ediyor gibi ele aldı. Mayıs 2025'te mahkeme, ülke çapında bir toplu davanın koşullu onayını verdi. Bu dava, otomatik karar sistemleri devreye alan şirketlerin bunun sonucunda ortaya çıkan sorumluluğu paylaşabileceğine işaret ediyor.

• OLG Hamm (Almanya, 2026)

  Bir Alman bölge yüksek mahkemesi, bir AI sohbet botunun müşterilere yaptığı beyanların sorumluluğunu ele aldı ve genel bir sorumluluk reddi beyanının — “yanıtlar garanti olmaksızın sağlanmıştır” — tek başına bir şirketi AI'sının insanlara söylediklerinden dolayı sorumluluktan korumadığını belirtti.

• EU AI Act & Ürün Sorumluluğu Direktifi

  EU AI Act kapsamındaki yüksek riskli yükümlülükler, küresel yıllık cironun 35 Mio € veya %7'sine kadar cezalarla birlikte 2026–2027 boyunca aşamalı olarak yürürlüğe giriyor. Revize edilen Ürün Sorumluluğu Direktifi, yazılım ve AI sistemlerini “ürün” olarak ele alıyor ve kusursuz sorumluluk ilkelerini dağıtım zinciri boyunca genişletiyor; üye devletler bunu Aralık 2026'ya kadar ulusal hukuka aktarıyor.

• ABD eyalet düzenlemeleri

  Colorado AI Act (2026'da yürürlükte), New York City’nin Local Law 144'ü ve yaklaşık iki düzine eyalette benimsenen NAIC Model Bulletin, aynı beklentiler üzerinde birleşiyor: bildirim, etki değerlendirmeleri, önyargı denetimleri ve denetime hazır karar günlükleri.

• AI ile oluşturulan uygulamalar (Lovable, Base44, Bolt.new ve benzerleri)

  “Vibe coding” platformları artık geliştirici olmayanların doğal dil komutlarından üretim düzeyinde web uygulamaları yayınlamasına olanak tanıyor ve bu uygulamalar sıklıkla şirket verilerine bağlanıyor — Google Workspace, Salesforce, veritabanları. Aynı devreye alan sorumluluğu ilkesi geçerlidir: AI ile oluşturulan bir uygulamayı devreye alan kuruluş, onun veri sorumlusudur ve kişisel verileri nasıl işlediğinden geliştirici platformu değil, kendisi sorumludur. Çoğu şirketin, AI ile oluşturulan uygulamalarının neye erişebildiğine dair bir envanteri yok — tam da bir denetçinin araştırdığı kör nokta.

Sizin için ne anlama geliyor: kuruluşunuz şirket verilerine dokunabilen AI araçları, asistanları veya ajanları kullanıyorsa, bu erişimi sorumlu bir şekilde yönettiğinizi göstermesi giderek daha fazla beklenen taraf sizsiniz.

Bölüm 2

Sorumluluk reddi beyanları sizi neden kurtarmaz

Birçok kuruluş, AI riskinin satıcının sorunu olduğunu veya bir hizmet şartları sorumluluk reddi beyanının konuyu çözdüğünü varsayar. İki eğilim, bu boşluğu her iki taraftan da kapatıyor — riski devreye alan tarafta bırakan bir sıkıştırma.

• Mahkemeler devreye alan tarafın hesap verebilirliğini genişletiyor

  Mobley ve OLG Hamm gibi kararlar, AI kullanan şirketi sonuçlardan hesap verebilir olarak ele alıyor ve genel sorumluluk reddi beyanlarını eksiksiz bir savunma olarak görmüyor.

• Satıcı sözleşmeleri riski size geri kaydırıyor

  Aynı zamanda, AI satıcı sözleşmeleri genellikle sorumluluğu sınırlar ve müşteri tazminatı gerektirir — AI'nın davranışına ilişkin mali sorumluluğu onu devreye alan müşteriye kaydırır.

Sonuç: şirketler, çoğu zaman tam olarak göremedikleri veya denetleyemedikleri AI davranışlarından giderek daha fazla sorumlu tutuluyor. Savunulabilir konum daha güçlü bir sorumluluk reddi beyanı değildir — gösterilebilir yönetişimdir.

Bölüm 3

Her incelemenin geri döndüğü soru

İster bir düzenleyicinin soruşturması, ister bir denetçinin kontrol listesi, ister bir müşterinin güvenlik incelemesi veya dava olsun, sorgu genellikle tek bir soruya indirgenir:

“AI erişiminizi yönettiğinizi kanıtlayabilir misiniz?”

Buna iyi bir şekilde yanıt vermek, yalnızca niyet veya politika belgeleri meselesi değildir. Kanıt meselesidir — neyi bildiğinizi, neyi kontrol ettiğinizi ve nasıl yanıt verdiğinizi gösteren bir kayıt sistemi.

Bölüm 4

8200.dev kanıtınızı nasıl oluşturur

8200.dev, kanıt katmanıdır. Yasal koruma sağlamaz veya herhangi bir uyumluluk sonucunu garanti etmez; özen yükümlülüğünüzü destekleyen görünürlüğü, yönetişimi ve denetime hazır kanıtı sağlar — Google Workspace'e ve eklediğiniz diğer kaynaklara salt okunur olarak bağlanarak.

• Agent Guard

  Verilerinize ulaşabilen her AI ajanı ve hizmet hesabının eksiksiz, sürekli güncellenen bir envanteri — çünkü göremediğinizi yönetemezsiniz.

• AI Aracı Kaydı

  Denetçilerin gerektirdiği envanter kanıtı: hiçbir bağlayıcının ulaşamadığı bir platformdaki her ajanı kaydedin — WhatsApp, Telegram, özel ve sesli botlar — veri erişimini sınıflandırın ve ajan başına denetime hazır kanıt dışa aktarın. Keşfedilen artı kayıtlı, eksiksiz bir envanterdir.

• OAuth uygulama denetimi

  Workspace'inize halihazırda bağlı olan gölge yapay zekânın keşfi; böylece onaylanmamış bir araç, bir yükümlülüğe dönüşmeden önce tespit edilir.

• Yapay zekâyla oluşturulan uygulama tespiti

  Yapay zekâ uygulama oluşturucularıyla (Lovable, Base44, Bolt.new ve benzerleri) geliştirilen OAuth uygulamalarının tespiti, her birinin tam olarak hangi verilere erişebildiği ve satır satır yazmadığınız ancak dağıttığınız bir uygulamayı yönettiğinize dair kanıt.

• Önleme kuralları ve uygulama

  Riskli erişim üzerinde etkin, belgelenmiş kontrol — yalnızca izleme değil, yönetişimi ortaya koyar.

• Denetim günlüğü ve SIEM dışa aktarımı

  Erişim kararlarının değiştirilemez, dışa aktarılabilir bir kaydı — bir denetçinin veya mahkemenin görmeyi beklediği, denetime hazır kanıt.

• Uyumluluk kanıtı toplama

  Denetçilerin talep ettiği belgelerin tek tıkla oluşturulması; SOC 2, ISO 27001, GDPR ve NIST AI Risk Management Framework'ün ardındaki kontrollerle eşleştirilmiş.

• Risk zaman çizelgesi ve olaylar

  Yapay zekâ ile ilgili bir riski tespit ettiğinize ve buna müdahale ettiğinize dair belgelenmiş bir geçmiş — yalnızca niyetin değil, özenin kanıtı.

Bölüm 5

Hareketsiz kalmanın bedeli

Eğilim ölçülebilir ve hızla ilerliyor. Bu rakamlar, herhangi bir kuruluş için bir tahmin olarak değil, bağlam olarak sunulmaktadır.