AI Ajanınız Veri Sızdırdığında Sorumluluk Kimde? 2026 Hukuki Gerçekliği

Geçtiğimiz on yılın büyük bölümünde kuruluşların yapay zeka hakkında sorduğu soru operasyoneldi: *Bu araç bizim için ne yapabilir?* 2026'da ikinci bir soru en az bunun kadar önemli, üstelik çok daha rahatsız edici hale geldi: *AI'mız şirket verileriyle yanlış bir şey yaparsa, sorumlu kim olur?*

Mahkeme salonlarından ve düzenleyici kurumlardan ortaya çıkan kısa cevap, çoğu ekibin varsaydığı cevap değil. Giderek daha fazla, sorumlu olan konuşlandıran şirket oluyor — yalnızca yapay zekayı geliştiren tedarikçi değil.

Bu yazı, neyin değiştiğini sade bir dille ele alıyor ve pratikte nasıl bir yanıt gerektiğini gösteriyor. Eğitim amaçlıdır, hukuki tavsiye değildir; durumunuza özgü tavsiye için kendi hukuk danışmanınıza başvurun.

Eski varsayım: "Bu tedarikçinin sorunu"

Sezgisel zihinsel model, bir AI ürünü satın alırsanız ve ürün kötü davranırsa, sorumluluğun üreticide olduğudur. Bu varsayım aynı anda iki yönden sorgulanıyor.

Birincisi, mahkemeler AI sistemini, kullanan işletmenin bir ajanı olarak görmeye başladı — bu da tam olarak hukukun uzun zamandır bir şirket adına hareket eden çalışanları ve yüklenicileri ele alış biçimi. İkincisi, AI tedarikçileriyle imzaladığınız sözleşmeler giderek daha fazla onların sorumluluğunu sınırlıyor ve sizden onları tazmin etmenizi istiyor. Bu bileşim bazen *sorumluluk sıkışması* olarak adlandırılıyor: hesap verebilirlik konuşlandırana doğru genişlerken, sözleşmesel risk müşteriye geri kayıyor.

Bunun pratik sonucu, AI'yı konuşlandıran kuruluşun, ne tasarladığı ne de tam olarak inceleyebildiği bir davranıştan sorumlu tutulabilmesidir. Bu rahatsız edici bir konumdur — ve tam da bu yüzden kanıtlanabilir yönetişim iyi bir uygulama olmaktan çıkıp gerçek bir zorunluluğa dönüşmüştür.

Davalar aslında ne diyor

Burada kesin olmak önemli. Hiçbir tek karar, şirketlerin bir AI'nın yaptığı her şeyden her zaman sorumlu olduğunu ilan etmedi. Son gelişmelerin ortaya koyduğu şey daha dar ama daha kalıcı: konuşlandıranlar hesap verebilir tutulabilir ve alışılagelmiş kaçış yolları insanların düşündüğünden daha zayıf.

Mobley v. Workday (Amerika Birleşik Devletleri). Bir ABD federal mahkemesi, bir istihdam ayrımcılığı davasının bir AI tedarikçisine karşı *temsilcilik teorisi* (agency theory) altında ilerlemesine izin verdi — yani AI tarama aracının, onu kullanan işverenlerin bir temsilcisi (ajanı) olarak hareket ettiği fikri. Mayıs 2025'te mahkeme, ülke çapında bir kolektif davaya koşullu sertifikasyon verdi. Buradaki önem hukuki gerekçede yatıyor: bir AI sistemi bir ajan olabiliyorsa, onu konuşlandıran taraflar da hesap verebilirlik tablosunun bir parçasıdır.

OLG Hamm (Almanya). Bir Alman yüksek bölge mahkemesi, bir AI sohbet botunun müşterilere verdiği ifadelerden kimin sorumlu olduğunu ele aldı. Her konuşlandıran için geçerli olan çıkarım şu: genel bir feragatname — "cevaplar garanti verilmeksizin sağlanmıştır" — tek başına, AI'nızın insanlara söylediklerinden sorumluluk sorununu çözmüyor.

AB Yapay Zeka Yasası ve Ürün Sorumluluğu Direktifi. AB Yapay Zeka Yasası kapsamındaki yüksek riskli yükümlülükler 2026 ve 2027 boyunca kademeli olarak yürürlüğe giriyor ve 35 milyon Euro'ya veya küresel yıllık cironun %7'sine kadar cezalar öngörüyor. Ayrı olarak, revize edilmiş Ürün Sorumluluğu Direktifi, yazılımı ve AI sistemlerini "ürün" olarak ele alarak, kusursuz sorumluluk (strict-liability) ilkelerini bunları piyasaya süren zincir boyunca genişletiyor; AB üye devletleri bunu Aralık 2026'ya kadar ulusal hukuka aktaracak.

ABD eyalet düzenlemesi. Colorado AI Yasası (2026'da yürürlüğe giriyor), New York City'nin Local Law 144'ü ve yaklaşık iki düzine eyalette kabul edilen NAIC Model Bülteni, ortak bir dizi beklentide birleşiyor: ifşa, etki değerlendirmeleri, önyargı denetimleri ve denetime hazır karar kayıtları.

Bunların hiçbiri kıyamet senaryosu bir hüküm değil. Ama hep birlikte, gözden kaçırılması zor bir yön tarif ediyorlar — ve bu yön konuşlandırana işaret ediyor.

Feragatnameler ve sözleşmeler neden zayıf bir koruma

Sağlam hissettiren ama giderek öyle olmayan iki savunma var.

Bir feragatname, kullanıcılara AI'ya güvenmemelerini söyler. Ancak OLG Hamm gibi davalardaki mahkemeler, genel bir "garanti yok" bildiriminin, bir şirketi müşterilerin önüne koymayı seçtiği AI'dan sorumluluktan kurtarmadığını gösterdi. Feragatnameler beklentileri yönetir; tek başlarına sorumluluğu yönetmezler.

Bir tedarikçi sözleşmesi parasal sorumluluğu kaydırabilir, ancak dış dünyanın kimi sorumlu tuttuğunu değiştirmez. Düzenleyiciler ve davacılar, sistemi konuşlandıran kuruluşa gelir ve sorar: onu yönetmek için ne yaptınız? Pratik ve itibari hesap verebilirlik yine de size düşüyorsa, bir tazminat maddesi küçük bir teselli olur — ve bu maddeden alacağınızı tahsil etmek yavaş, tartışmalı bir süreç olabilir ve bu arada manşetlere hiçbir faydası dokunmaz.

Gölge AI'nın rolü

Tüm bunları daha da zorlaştıran bir karmaşıklaştırıcı faktör var: çoğu kuruluş, verilerine zaten dokunan AI'ları tam olarak listeleyemiyor. Anketler tutarlı biçimde, çalışanların büyük çoğunluğunun BT onayı olmadan AI araçları kullandığını ve olağan OAuth izinleri üzerinden bağlanan onaysız araçlar olan *gölge AI*'nın ihlal maliyetlerini önemli ölçüde artırdığını ortaya koyuyor. Varlığından hiç haberdar olmadığınız bir entegrasyonu yönetemez veya yönettiğinizi kanıtlayamazsınız. Bu gizli yüzeyi keşfetmek genellikle savunulabilir bir konuma doğru atılan ilk gerçek adımdır. Keşif tarafını 2026 AI yönetişim denetimi rehberinde daha derinlemesine ele alıyoruz.

Sonuçları asıl belirleyen soru

Ayrıntıları bir kenara bırakırsanız, ister bir düzenleyiciden, ister bir denetçiden, ister bir müşterinin güvenlik ekibinden, ister karşı taraf avukatından gelsin, çoğu AI hesap verebilirliği senaryosu tek bir soruşturmaya indirgenir:

AI'nızın verilerinize erişimini yönettiğinizi kanıtlayabilir misiniz?

O kelime — *kanıtlayabilir* — meselenin özüdür. AI kullanımının yönetildiğini belirten bir politika belgesi gereklidir ama yeterli değildir. Ağırlık taşıyan şey kanıttır: ne görebildiğinizin, neyi kontrol ettiğinizin ve bir şey yanlış göründüğünde nasıl tepki verdiğinizin kaydı. Bu, özeni iddia etmekle özeni göstermek arasındaki farktır.

"Kanıtlanabilir yönetişim" pratikte nasıl görünür

Google Workspace gibi bir platforma bağlı AI asistanları ve ajanları kullanan bir şirket için kanıtlanabilir yönetişimin birkaç somut bileşeni vardır:

• Görünürlük. Verilerinize erişebilen her AI ajanının, hizmet hesabının ve üçüncü taraf uygulamanın güncel bir envanteri. Hiç görmediğiniz şeyi yönetemez — veya yönettiğinizi kanıtlayamazsınız.
• Kontrol. Sadece izleyen kontrol panelleri değil, riskli erişim üzerinde hareket eden belgelenmiş kararlar ve kurallar. Yönetişim bir fiildir.
• Kanıt. Erişim kararlarının ve zaman içindeki değişikliklerin değiştirilemez, dışa aktarılabilir bir kaydı; artı, denetçilerin ve incelemecilerin fiilen talep ettiği belgeleri — tanınan kontrol çerçeveleriyle eşleştirilmiş şekilde — üretebilme yeteneği.
• Yanıt. AI ile ilgili bir riski tespit ettiğinizi ve bir şey yaptığınızı gösteren bir kayıt. Özen bir anlık görüntü değil, bir zaman çizelgesidir.

8200.dev tam olarak bu rolü oynamak üzere kurulmuştur. Google Workspace'inize salt okunur olarak bağlanır, verilerinize erişebilen her AI ajanını ve OAuth iznini envanterler, riski puanlar, yönetişimi uygulamanıza olanak tanır ve özen yükümlülüğünüzü destekleyen denetime hazır kanıtları üretir. Bu bir kanıt katmanı ve bir kayıt sistemidir — hukuki bir kalkan değildir ve herhangi bir uyumluluk sonucunun garantisi değildir. Size verdiği şey, o tek soruyu umut yerine kanıtla yanıtlayabilme yeteneğidir. Tüm yetenek setini özellikler sayfasında görebilirsiniz.

Nereden başlamalı

İlk adımı atmak için bir yönetişim programına ihtiyacınız yok. Zaten orada olanı görmeniz gerekiyor.

En yararlı ilk hamle, bugün hangi AI ajanlarının ve üçüncü taraf uygulamalarının Workspace verilerinize erişebildiğini ve her birinin nelere ulaşabildiğini basitçe keşfetmektir. Bu tek çıktı — net, tarihli bir envanter — hem operasyonel bir göz açıcı hem de bir kanıt izinin başlangıcıdır. Hangi AI ajanlarının verilerinize erişebildiğini ücretsiz olarak görebilir ve daha geniş kapsamlı değişim hakkında AI hesap verebilirliği genel bakışımızda daha fazla bilgi edinebilirsiniz.

*Bu makale yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. Hukuki sonuçlar, somut olaylara ve yargı yetkisine bağlıdır. Yükümlülükleriniz hakkında kendi hukuk danışmanınıza başvurun.*