Bankalar için ajan tabanlı mühendislik: üst düzey yöneticiler ve onu inşa edecek mühendisler için 2026 planı

TL;DR. Ajan tabanlı yapay zeka, küresel bankacılıkta pilot aşamadan üretime geçti. Kurumların %70'i bir ölçüde bunu kullanıyor; yalnızca beşte biri olgun bir yönetişim modeline sahip. Bu arada otonom saldırganlar makine hızında çalışıyor, yeni sistemlerin birlikte çalışması gereken eski COBOL varlığı 1960'ların toplu işleme varsayımlarına göre yazılmıştı ve AB Yapay Zeka Yasası'nın Ağustos 2026 yüksek risk son tarihi on iki hafta uzakta. Bir bankanın tutması gereken mühendislik ve yönetişim duruşu budur.

Önemli Çıkarımlar

Ajan Tabanlı Mühendisliğin Kaçınılmaz Hâle Geldiği Yıl. Finansal hizmetlerde yapay zeka üzerine konuşma, çok yakın zamana kadar iki bitişik ama farklı şeyin egemenliğindeydi: üretken sohbet arayüzleri (yararlı ama sınırlı) ve kurumsal verinin üzerine katmanlanan…
Bankacılıkta Benimsemenin Durumu. Toplu tablo nettir.
Bankaların İçselleştirmesi Gereken Üç Risk Vektörü. Herhangi bir mimari konuşmadan önce, yönetim kurulunun dikkati ajan tabanlı sistemlere özgü ve çoğu bankanın planladığından daha erken gelen üç riske yönelmelidir.
Bankacılıkta Vibe Coding Neden Varsayılan Olamaz. Vibe coding'in, yani kısa istem, çıktıyı gözlemle, yinele döngüsünün, düzenlemeye tabi bir varlıkta neden varsayılan iş akışı olarak başarısız olduğu konusunda net olmakta fayda var.

Ajan tabanlı yapay zeka, küresel bankacılıkta pilot aşamadan üretime geçti. Kurumların yüzde yetmişi bir ölçüde bunu kullanıyor; yalnızca beşte biri olgun bir yönetişim modeline sahip. Bu arada otonom saldırganlar makine hızında çalışıyor, yeni sistemlerin birlikte çalışması gereken eski COBOL varlığı 1960'ların toplu işleme varsayımlarına göre yazılmıştı ve AB Yapay Zeka Yasası'nın yüksek riskli sistemlere ilişkin son tarihi on iki hafta uzakta. Bir bankanın tutması gereken mühendislik ve yönetişim duruşu budur.

Önemli Çıkarımlar

Vibe coding'den şartname odaklı geliştirmeye geçiş artık bir özlem değil. "Vibe coding" terimini Şubat 2025'te ortaya atan Andrej Karpathy, bir yıl sonra ⧉ bu dönemin sona erdiğini ve profesyoneller için yeni varsayılanın ajan tabanlı mühendislik olduğunu kabul etti: insan gözetimi altında ajanları ayrıntılı şartnamelere göre yönlendirmek.

Bankacılıkta benimseme gerçek ve hızlanıyor. Bankacılık firmalarının %70'i ⧉ bir ölçüde ajan tabanlı yapay zeka kullandığını bildiriyor (%16 üretimde, %52 pilotta, EY 2026); finans ekiplerinin %44'ü bu yıl bunu kullanacak; Wolters Kluwer'e göre bu, yıldan yıla %600'ü aşan bir artış.

Yönetişim aynı hızda ilerlemedi. Deloitte'un State of AI 2026 çalışması, şirketlerin yalnızca beşte birinin otonom yapay zeka ajanları için olgun bir yönetişim modeline sahip olduğunu ortaya koyuyor. Deloitte'un MIT AI Risk Database analizi, otonom veya ajan tabanlı davranıştan doğabilecek 350'den fazla risk ⧉ tanımlıyor.

Tehdit ortamı sanayileşti. Anthropic, Kasım 2025'te Çin devleti destekli GTG-1002 grubunun, yaklaşık 30 hedefe karşı otonom casusluk yürütmek için Claude Code'u ele geçirdiğini ve yapay zekanın taktiksel operasyonların %80-90'ını bağımsız olarak yürüttüğünü açıkladı. Flashpoint, yalnızca Kasım ve Aralık 2025 arasında yapay zeka ile ilgili yasa dışı tartışmalarda %1.500'lük bir artış ⧉ gözlemledi.

Eski varlık, sessiz kısıttır. Finansal hizmetlerin BT bütçelerinin %70-75'i eski sistem bakımına gidiyor, bankaların %63'ü hâlâ 2000 öncesinde yazılmış koda dayanıyor ve çoğu banka, çekirdek platformlarını çalıştıran COBOL'ü sürdürebilecek yalnızca bir veya iki kişinin şirket içinde bulunduğunu bildiriyor. Ajan tabanlı yapay zeka, bu açığı kapatmanın artık baskın yaklaşımıdır.

Düzenleyici yığın yakınsıyor. AB Yapay Zeka Yasası kapsamında 2 Ağustos 2026, yüksek riskli yapay zeka sistemleri için tam uygulanabilirliği tetikliyor (Ek III, kredi puanlaması ve kredi değerliliği değerlendirmesini açıkça kapsıyor). DORA hâlihazırda yürürlükte. SR 11-7, düzenleyici uygulamada LLM'leri ve ajan tabanlı sistemleri kapsayacak biçimde genişletildi. İhlal cezaları 35 milyon euro ya da küresel yıllık cironun %7'sine ulaşıyor.

İnsan gözetimi tek bir kavram değildir. HITL (Human-in-the-Loop; ajanın açık insan onayı olmadan yürütme yapamadığı model) ile HOTL (Human-on-the-Loop; ajanın insan gözetimi altında otonom biçimde yürütme yaptığı model) arasındaki ayrım, artık AB Yapay Zeka Yasası Madde 14 uyumu için işleyen çerçevedir ve her yüksek riskli ajanın hangi modelin geçerli olduğuna dair açık bir duruşa ihtiyacı vardır.

Çoğu ajan inşa edilmeyecek, satın alınacak. DORA kapsamında üçüncü taraf risk yönetimi, 2026'nın en yüksek sesli ama en az fark edilen zorluğudur. Bankaların devreye aldığı ajan tabanlı yeteneğin çoğunu tedarikçiler sağlayacak; düzenleyici yükümlülük bankada kalır ve mevcut tedarikçi sözleşmelerinin çoğu Madde 13 dokümantasyon gerekliliklerini karşılayamaz.

Ajan tabanlı mühendislik "ChatGPT artı MCP sunucuları" değildir. Kurumun uçtan uca akışları üzerinde yapısal bir sahiplik duruşudur: müşteri yolculukları, işlem yaşam döngüleri, kontrol düzlemi, denetim altyapısı, kuantuma dayanıklı kriptografik temel. Bunlar bir sohbet botuna devredilmez; kurumun kendi mühendislik işlevi tarafından inşa edilir ve işletilir.

Ajan Tabanlı Mühendisliğin Kaçınılmaz Hâle Geldiği Yıl

Finansal hizmetlerde yapay zeka üzerine konuşma, çok yakın zamana kadar iki bitişik ama farklı şeyin egemenliğindeydi: üretken sohbet arayüzleri (yararlı ama sınırlı) ve kurumsal verinin üzerine katmanlanan Retrieval-Augmented Generation kalıpları (yine yararlı, yine sınırlı). 2025 sonu ile 2026 başı arasında değişen şey, üçüncü kategorinin, yani sınırlı insan gözetimiyle çok adımlı iş akışlarını planlayan, yürüten ve tamamlayan otonom ajanların, teknik gösterimden operasyonel gerçekliğe geçmesi ve aynı anda hem kuruma hem de tehdit aktörüne ulaşmasıdır.

Şubat 2025'te "vibe coding" terimini ortaya atan ⧉ Andrej Karpathy, izleyen yılı profesyonel mühendislerin bunun ötesine geçişini izleyerek geçirdi. Onun revizyonu, yani "ajan tabanlı mühendislik", artık sektör genelinde işleyen terimdir. Bu değişimin özü açıktır: 2026'da ciddi yazılım işinde mühendisler zamanın %99'unda kodu doğrudan yazmıyor. Kodu yazan ajanları yönlendiriyor ve gözetim işlevini üstleniyorlar. İş artık bir düzenleyiciye karakter yazmak değil; ajanların üretebileceklerini kısıtlayan şartnameler üretmek, çıktının geçmesi gereken doğrulama kapılarını tasarlamak ve ajanların uyguladığı mimari kararları düzenlemektir.

Bu değişim bir mühendislik ekibi konuşması gibi görünür. Bankacılıkta değildir. Bir yönetim kurulu konuşmasıdır, çünkü iç kodun nasıl üretildiğini yeniden yazan aynı ajan tabanlı yetenek, dış saldırganların nasıl çalıştığını, düzenleyicilerin gözetimin nasıl uygulanmasını beklediğini ve kurumsal çevrenin nasıl tanımlandığını da yeniden yazıyor. 2026 sonuna kadar ajan tabanlı mühendislik konusundaki duruşuna sahip çıkmayan bir banka, soruyu savuşturmuş bir banka değildir. Tedarikçilerinin, saldırganlarının ve düzenleyicilerinin soruyu onun yerine yanıtladığı bir bankadır.

Bankacılıkta Benimsemenin Durumu

Toplu tablo nettir. 2026'daki birden çok ankette derlenen araştırmalara göre, banka yöneticilerinin %70'i ⧉ firmalarının halihazırda bir ölçüde ajan tabanlı yapay zeka kullandığını bildiriyor. Gartner ⧉, 2026 sonuna kadar tüm finansal hizmet firmalarının yaklaşık %40'ının bir biçimde yapay zeka ajanları çalıştıracağını öngörüyor. Finansal hizmetlerde yapay zeka harcaması 2028'e kadar 67 milyar dolara ulaşma yolunda (IDC). McKinsey, ajan tabanlı yapay zekanın bankacılıktaki ilişki yöneticilerine haftada 10-12 saat geri kazandırabileceğini tahmin ediyor.

Uygulama tablosu daha az cesaret verici. KPMG ⧉, şirketlerin %99'unun otonom ajanları üretime almayı planladığını, ancak yalnızca %11'inin bunu yaptığını bildiriyor. EY, yöneticilerin %34'ünün yapay zeka ajanlarını kullanmaya başladığını ve yalnızca %14'ünün bunları tam olarak uyguladığını buluyor. Forrester ise kuruluşların %57'sinin ajan tabanlı yapay zekadan yararlanmak için iç yeteneklerinin bulunmadığına inandığını ortaya koyuyor. Niyet ile uygulama arasındaki fark bir pazarlama ürünü değildir. Henüz yapılmamış mühendislik, yönetişim ve kültür işinin gerçek bir yansımasıdır.

Birleşik Krallık'ın Financial Conduct Authority'si, dağıtım hızının yönetişim olgunluğunu geçmesine ilişkin kamuoyu önünde kaygılarını dile getirdi ⧉; FCA Baş Veri Sorumlusu Jessica Rasu bu gerilimi kısa vadeli bir perakende tüketici riski olarak çerçeveledi. McKinsey ise ayrı olarak, iş modellerini uyarlayamayan bankaların 2030'a kadar küresel kârlarda 170 milyar dolara varan erozyon riski taşıdığı ⧉ konusunda uyardı. Her iki gözlem de aynı anda doğrudur. Soru harekete geçilip geçilmeyeceği değil; finansal hizmet düzenlemesinin her zaman talep ettiği ve ajan tabanlı sistemlerin daha da keskinleştirdiği operasyonel ve yönetişim bütünlüğüyle nasıl harekete geçileceğidir.

Bankaların İçselleştirmesi Gereken Üç Risk Vektörü

Herhangi bir mimari konuşmadan önce, yönetim kurulunun dikkati ajan tabanlı sistemlere özgü ve çoğu bankanın planladığından daha erken gelen üç riske yönelmelidir.

1. Otonom Saldırgan

2026'nın en sarsıcı gelişmesi, ajan tabanlı yapay zekanın saldırı tarafında işlevselleştirilmesidir. Ağustos 2025'te Anthropic, vibe hacking ⧉ adını verdiği bir etkinlik kategorisini açıkladı: siber suçlular, keşif, kimlik bilgisi toplama, ağ sızması ve çalınan veri analizi genelinde gömülü yapay zekayla, ölçekli ve sofistike saldırılar gerçekleştirmek için ajan tabanlı yapay zekayı kullanıyor. Kasım 2025'te ⧉ Anthropic, Çin devleti destekli bir grubun (GTG-1002 olarak adlandırılan) Claude Code örneklerini ele geçirerek yaklaşık otuz savunma, enerji ve teknoloji hedefine karşı otonom casusluk yürüttüğü bir kampanyayı engellediğini açıkladı; yapay zeka taktiksel operasyonların %80-90'ını yürütüyor ve saniyede binlerce istek hızında çalışıyordu; bu, insan operatörler için olanaksız hızlardır.

Ocak 2026'da, Solana tabanlı bir DeFi portföy yöneticisi olan Step Finance, bir cihaz sızmasını 27-30 milyon dolarlık bir kayba dönüştüren bir biçimde ele geçirildi; çünkü firmanın yapay zeka işlem ajanları, insan onayı olmadan büyük transferleri yürütme yetkilerine sahipti. Saldırgan, yetkili bir hata ödül programı yürüttüğünü öne sürerek yapay zekanın kendisini sosyal mühendislikle kandırdı. Alınan ders ⧉ yapay zekanın doğası gereği güvensiz olduğu değildi; iddia edilen bir yetkilendirmeyi doğrulamadan kabul eden bir yapay zeka ajanının bir çevre zayıflığı olduğuydu.

Bankaların içselleştirmesi gereken şey toplu eğilimdir. Flashpoint'in 2026 Global Threat Intelligence Report'u, Kasım ile Aralık 2025 arasında yapay zeka ile ilgili yasa dışı tartışmalarda %1.500'lük bir artış ⧉ saptadı; saldırganlar veri kazıyan, altyapıyı döndüren, mesajlaşmayı ayarlayan ve başarısız denemelerden sürekli insan gözetimi olmadan öğrenen otonom sistemleri etkin biçimde geliştiriyor. JPMorgan'dan Jamie Dimon, bu teknolojideki ilk avantajın savunmaya değil saldırıya gittiği konusunda kamuoyu önünde açık ⧉ oldu. Sonuç rahatsız edicidir: ajan tabanlı saldırganlara karşı klasik güvenlik operasyonları yürüten bir banka, yapısal olarak, rakibine bilgisayar verilmiş bir satranç oyuncusu konumundadır.

2. Kod Kalitesi Gerilemesi

İkinci vektör iç ve daha sessizdir. Şartname disiplini ve titiz doğrulama olmadan üretilen LLM kodu, insan tarafından yazılan koda göre belirgin biçimde daha yüksek bir oranda kusurla teslim edilir. Java kodu üreten beş öncü LLM üzerine yapılan bir SonarQube analizi ⧉, Llama 3.2 90B çıktısında saptanan güvenlik açıklarının %70'inden fazlasının BLOCKER önem derecesinde değerlendirildiğini, GPT-4o ve OpenCoder-8B güvenlik açıklarının yaklaşık üçte ikisinin ise BLOCKER veya CRITICAL olarak değerlendirildiğini buldu. Pearce ve ark. (IEEE S&P), güvenlik açısından hassas bağlamlarda LLM tarafından üretilen programların yaklaşık %40'ının güvenlik açıkları içerdiğini buldu. Yan ve ark. (2025), aralığı kendi ölçütlerinde %9,8-42,1 olarak belirledi. Fu ve ark.'nın ayrı bir kataloğu, üç yapay zeka kod üretim aracında 43 CWE saptadı.

Düzenlemeye tabi olmayan bir sektör için bu bir üretkenlik vergisidir. Bir banka için ise, katlanan bir düzenleyici ve operasyonel risktir. Ödemeleri, mutabakatı veya müşteri verilerini işleyen bir sisteme yüksek bir güvenlik açığı oranıyla giren kod, soyut anlamda bir kod kalitesi meselesi değildir; GTG-1002 sınıfı saldırganların, kodu üreten aynı ajan tabanlı araçlarla 2027'de yoklayacağı yüzeydir. Savunma, LLM tarafından üretilen kodu yasaklamak (ticari olarak olanaksız) değil, kusurların dağıtımdan önce yüzeye çıkmasını sağlayan doğrulama ve şartname altyapısıyla onu kuşatmaktır. Doğası gereği teknoloji firması olmayan kurumsal mühendislik kuruluşlarının şartname odaklı geliştirmeyi hızla benimsemesinin pratik nedeni budur.

3. Eski Sistem Çıpası

Üçüncü vektör, bankaların halihazırda en iyi anladığı ve ajan tabanlı geçişin aynı anda hem daha acil hem de daha ele alınabilir kıldığı vektördür. Computer Weekly analizinin belirttiği gibi ⧉, Fortune 500 şirketlerinin %70'inden fazlası hâlâ ana bilgisayarlara dayanıyor ve bunlar sıklıkla, özel iş mantığıyla iç içe geçmiş onlarca yıllık COBOL ve RPG üzerine kurulmuş. Özellikle finansal hizmetlerde eski teknolojiler yıllık BT harcamasının %70-75'ini ⧉ tüketiyor. 2026 sektör analizinde alıntılanan bir CIO çalışması, bankaların %63'ünün hâlâ 2000 öncesinde yazılmış koda dayandığını ve %75'inden fazlasının bunu sürdürebilecek yalnızca bir veya iki kişiye şirket içinde sahip olduğunu bildirdi.

Şubat 2026'da değişen şey, eski sistem modernizasyonu için güvenilir ajan tabanlı araçların gelişiydi. Anthropic'in, Claude Code'un insan analistlerin yüzeye çıkarması aylar alacak biçimde COBOL bağımlılıklarını haritalayabildiği, iş akışlarını belgeleyebildiği ve riskleri saptayabildiği ⧉ duyurusu, Microsoft'un (COBOL için GitHub Copilot, Watsonx Code Assistant) ve AWS'nin (ajan tabanlı yapay zeka ile Mainframe Modernization) benzer yetenekleriyle birleşince, modernizasyon maliyet eğrisini belirgin biçimde sıkıştırdı. IBM hisse fiyatındaki tepki (duyuru gününde %13'lük düşüş) zarif olmayan ama isabetli bir piyasa sinyaliydi. Yapay zeka artık kurumsal modernizasyon yatırımının yaklaşık üçte birini oluşturuyor ve kuruluşların %75'inden fazlası modernizasyon stratejisinde yapay zeka kullanıyor. Eski sistem çıpası, ilk kez, kuşaklar arası değil ele alınabilir bir mühendislik sorunudur.

Bankacılıkta Vibe Coding Neden Varsayılan Olamaz

Vibe coding'in, yani kısa istem, çıktıyı gözlemle, yinele döngüsünün, düzenlemeye tabi bir varlıkta neden varsayılan iş akışı olarak başarısız olduğu konusunda net olmakta fayda var. Başarısızlık biçimi bariz olan değildir (LLM ara sıra halüsinasyon görür). Başarısızlık biçimi yapısaldır ve aynı anda dört yerde ortaya çıkar.

Birincisi paylaşılan uzlaşımların yokluğudur. Sohbet istemleri üzerinden çalışan birden çok mühendis, tek bir çeyrekte aynı kod tabanında aynı şeyi yapmanın beş farklı yolunu üretir. Düzenlemeye tabi olmayan bir bağlamda bu teknik borçtur. Düzenlemeye tabi bir bağlamda ise inceleme altında kırılan yüzeydir.

İkincisi bağlam çürümesidir. Yapay zeka ajanları durumsuzdur. Büyük bir projede konuşmalar bağlam pencerelerini aşar ve önceki mimari kararların ardındaki gerekçe buharlaşır. Aynı ajan, iki hafta sonra, yeni bir sohbette ters kararı verecektir çünkü hiçbir şey ilkinin gerekçesini kalıcı kılmaz. Düzenleyiciler için denetim izi gerektiren sistemler açısından bu yapısal olarak uyumsuzdur.

Üçüncüsü görünmez kusur birikimidir. Yukarıda alıntılanan Pearce, Yan ve SonarQube bulguları sınır durumları değildir. Şartname disiplini ve titiz test olmadığında LLM'lerin savunmasız kod ürettiği taban orandır. Üretimde vibe coding iş akışları çalıştıran bir banka, neyin gönderildiğini bilecek yüzey görünürlüğü olmadan bu kusurları aynı oranda biriktirir.

Dördüncüsü düzenleyici izlenebilirlik sorunudur. AB Yapay Zeka Yasası'nın 12. Maddesi, yüksek riskli yapay zeka sistemleri için girdilerin ve çıktıların otomatik olarak günlüğe kaydedilmesini gerektirir. SR 11-7, belgelenmiş model sahibi ve doğrulayıcı rollerini, model güncellemeleri için değişiklik yönetimini ve yapay zeka model riski üzerine yönetim kuruluna raporlamayı gerektirir. DORA, belgelenmiş kanıtlarla kapsamlı ICT risk yönetimini gerektirir. Bu yükümlülüklerin hiçbiri, birincil çıktısı kimsenin kalıcı kılmadığı bir sohbet geçmişi olan bir iş akışıyla karşılanamaz.

Sonuç, LLM'lerin bankacılığa uygun olmadığı değildir. Sonuç, onları kuşatan iş akışının şartnameleri, denetim izlerini ve doğrulama kapılarını sonradan akla gelen değil birinci sınıf çıktılar olarak üretmesi gerektiğidir. Şartname odaklı geliştirme, operasyonel olarak, tam da budur.

Düzenlemeye Tabi Bir Varlıkta Şartname Odaklı Geliştirme

Şartname odaklı geliştirme (SDD) işin sırasını tersine çevirir. Ekip, uygulamaya dalıp bir ajanla yinelemek yerine önce bir şartname üretir; mimari kararlar, gereksinimler, arayüz sözleşmeleri, başarı ölçütleri, güvenlik kısıtları. Ardından ajan, şartnameyi karşılayan kodu üretir. Doğrulama yapılandırılmıştır: şartname çıktının ne yapması gerektiğini tanımlar ve ayrı bir süreç (test üretimi, kod incelemesi, uygulanabilir olduğunda biçimsel doğrulama) bunun yapılıp yapılmadığını denetler.

Pratik araçlar 2025 sonu ile 2026 başında birleşti. (2025 sonunda yayımlanan) GitHub'ın Spec Kit'i ⧉, kod üretiminden önce niyeti biçimlendirir. AWS, şartname öncelikli iş akışlarını doğrudan Kiro IDE'sine gömüyor. JetBrains ve Cursor, yapay zeka etkileşimini yapılandıran planlama modları getirdi. BMAD (Breakthrough Method for Agile AI-Driven Development) gibi çerçeveler, SDLC boyunca analist, mimar, geliştirici ve QA rollerini yansıtan uzmanlaşmış yapay zeka ajanı ekipleriyle daha da ileri gidiyor. Şubat 2026'da bir arXiv makalesinde biçimlendirilen Constitutional SDD, CWE güvenlik açığı eşlemeleriyle açık güvenlik kısıtlarını şartnamenin kendisine gömüyor.

Bir banka için önemli olan varyant, Augment Code analizinin şartnameye sabitlenmiş geliştirme dediği yaklaşımdır: şartnameler önce gelir, yapay zeka onlarla kısıtlanmış kod üretir ve ek yönetişim katmanları (anayasal kısıtlar, gözetim kontrol noktaları, insan onay kapıları) üretim ile birleştirme arasında konumlanır. Bu, AB Yapay Zeka Yasası'nın 12. Maddesinin beklediği denetim izini, SR 11-7'nin gerektirdiği belgelenmiş doğrulayıcı rolünü ve DORA'nın talep ettiği değişiklik yönetimi disiplinini üreten tek varyanttır.

Gereken yatırım gerçektir, ancak ele alınabilir de. Bunu iyi yapan kurumlar, mühendislerin günlük çalışmasını karakter yazmaktan iki çıktı üretmeye kaydırdı: ajanın karşılayacağı bir şartname ve çıktının geçmesi gereken bir doğrulama koşumu. Mühendis üzerindeki bilişsel talep kimi açılardan daha yüksektir (niyet netliği her zamankinden daha çok önem taşır), kimi açılardan daha düşüktür (şablon kod yazmanın mekanik işi ortadan kalkmıştır). Bu değişimi henüz yapmamış kurumlar hâlâ LLM'nin daha hızlı bir daktilograf olduğu bir kipte çalışıyor. Bu konum, düzenlemeye tabi bir varlıkta önümüzdeki on iki ayın ötesinde sürdürülebilir değildir.

Artık Geçerli Olan Düzenleyici Yığın

Bankacılıkta yapay zeka etrafındaki 2026 düzenleyici çevresi artık bir kontrol listesi değil; birlikte muhakeme edilmesi gereken, örtüşen yükümlülüklerden oluşan bir yığındır. En sonuç doğuran tek tarih 2 Ağustos 2026'dır; AB Yapay Zeka Yasası'nın yüksek riskli sistem yükümlülüklerinin tam olarak uygulanabilir hâle geldiği ⧉ gündür. Ek III; kredi puanlamasını, kredi değerliliği değerlendirmesini, hayat ve sağlık sigortasında risk değerlendirmesini ve bireylerin finansal durumunun değerlendirilmesi veya sınıflandırılmasını açıkça yüksek riskli olarak sınıflandırır. Bu sınıflandırmadan doğan yükümlülükler; uygunluk değerlendirmelerini, kalite yönetim sistemlerini, risk yönetimi çerçevelerini, teknik dokümantasyonu, AB veritabanı kaydını, sağlam veri yönetişimini, insan gözetimini ve siber güvenlik korumalarını içerir. Yüksek riskli yükümlülüklerin ihlali için cezalar 35 milyon euro ya da küresel yıllık cironun %7'sine, hangisi daha yüksekse ona ulaşır.

Yapay Zeka Yasası'nın yanında konumlananlar:

DORA (Digital Operational Resilience Act) Ocak 2025'ten beri yürürlükte ve kritik finansal işlevlerde kullanılan yapay zeka sistemlerini açıkça kapsayan 22 ICT risk yönetimi yükümlülüğü oluşturuyor. ICT risk yönetimi, üçüncü taraf gözetimi, olay bildirimi ve operasyonel dayanıklılık testi, yapay zeka bileşenlerine tıpkı diğer ICT varlıklarına olduğu kadar uygulanır.
SR 11-7 (Federal Reserve ve OCC'nin, ilk olarak 2011'de yazılan model risk yönetimi rehberi), LLM'leri ve ajan tabanlı sistemleri kapsayacak biçimde düzenleyici uygulamada genişletildi ⧉. FFIEC incelemeleri artık yapay zeka yönetişimini kapsamına açıkça dahil ediyor. Talep üzerine bir yapay zeka model envanteri ve risk değerlendirmeleri sunamayan kurumlar bugün bulgu alıyor.
NIST AI RMF (1.0, Ocak 2023) ABD'de gönüllüdür ancak federal düzenleyiciler tarafından bir taban olarak referans gösterilir. Dört işlevi (Govern, Map, Measure, Manage) AB Yapay Zeka Yasası'nın yapısal gerekliliklerine temiz biçimde eşlenir.
ISO/IEC 42001 (Aralık 2023'te yayımlanan), bilgi güvenliği için ISO/IEC 27001 gibi yapılandırılmış, sertifikalandırılabilir ilk Yapay Zeka Yönetim Sistemi standardıdır. Satın alma gereksinimleri onu atıfta bulunmaya başladıkça 42001 sertifikasyonuna talep 2026'nın ilk çeyreğinde keskin biçimde hızlandı.
Birleşik Krallık SM&CR ve Consumer Duty: Senior Managers and Certification Regime artık her yüksek riskli yapay zeka sistemi için adlandırılmış hesap verebilirlik gerektiriyor. Consumer Duty, yapay zekadan etkilenen perakende müşteri sonuçlarını kapsayacak biçimde yakın tarihli FCA rehberinde ⧉ genişletildi.
G7 post-kuantum yol haritası (Ocak 2026), NCSC üç aşamalı geçiş çerçevesi ve BIS Project Leap bulguları bu yığının yanında konumlanır. Kesişim noktası önemlidir: post-kuantum geçişte hayatta kalmayan bir kriptografik altyapı üzerinde eğitilen veya işletilen bir yapay zeka sistemi, denetim izi ve bütünlük iddialarının yarı ömrü on yıldan az olan bir yapay zeka sistemidir. Ajan tabanlı mühendislik konuşması ile post-kuantum kriptografi konuşması giderek aynı konuşmadır. (Kriptografik taraftaki daha derin görünüm için, kurumsal finansta post-kuantum geçişine ilişkin Mayıs 2026 yazısına bakınız.)

Yapay Zeka Destekli Üç Geliştirme Kipinin Karşılaştırması

Boyut	Vibe Coding	Şartname odaklı geliştirme	Ajan tabanlı mühendislik
Birincil girdi	Kısa istem	Biçimsel şartname	Şartname + ajan yönlendirme planı
Mühendisin rolü	İstem yineleyici	Şartname yazarı	Yönlendirici ve doğrulayıcı
Çıktı disiplini	Doğrudan kod üretimi	Şartnameyle kısıtlanmış kod	Kod, test ve dokümantasyon üreten çok ajanlı iş akışları
Denetim izi	Sohbet geçmişi (kalıcı değil)	Şartname + üretilen kod + testler	Şartname + ajan izleri + doğrulama çıktıları
Kusur oranı (yalnızca LLM)	%10-40 güvenlik açığı oranı (literatür temeli)	Şartname kısıtlarıyla belirgin biçimde azalır	Doğrulama kapılarıyla en düşük
Düzenleyici izlenebilirlik	Yüksek riskli yapay zeka için yetersiz	AB Yapay Zeka Yasası Madde 12 ile uyumlu	Madde 12 + SR 11-7 + DORA için tasarlanmış
Bankacılığa uygun mu?	Üretim için hayır	Evet, yönetişimle	Evet, olgun yönetişimle
Yetenek tavanı	Tek seferlik istemle sınırlı	Şartname kalitesiyle sınırlı	Yönlendirme kalitesiyle sınırlı

Kaynak: Karpathy yorumlarının (2026), Augment Code SDD analizinin ⧉, CGI Şartname Odaklı Geliştirme analizinin ⧉ ve LLM kod üretiminin güvenlik açığı oranlarına ilişkin akademik literatürün (Pearce ve ark., Yan ve ark., Fu ve ark., 2023-2025) sentezi.

Ajan Tabanlı Bankayı İnşa Etmek: Bir Mimari Görünüm

Bu iş akışlarının ardındaki stratejik konum, üst yönetimin açıkça sahiplenmesi gereken şeydir. Bankacılıkta ajan tabanlı mühendislik bir geliştirici üretkenliği girişimi değildir. Uçtan uca müşteri yolculuklarına, işlemin tüm yaşam döngüsüne ve her ikisinin altında yatan kriptografik ve denetim altyapısına dokunan kurumsal bir yetenektir. Bu yeteneğin dört katmanı, yukarıdan aşağıya, doğrudan yönetici dikkatini hak eder:

Katman 4: Ajan kontrol düzlemi Yönetişim, denetim, acil durdurma düğmeleri, davranışsal anomali tespiti, insan geçersiz kılma. Ajan sınıfı başına HITL ve HOTL gözetim yapılandırmaları.

Katman 3: Ajan tabanlı iş akışları Müşteri yolculukları, iç operasyonlar, geliştirme hattı. Yüksek riskli akışlar için varsayılan olarak şartname odaklı.

Katman 2: Veri ve model katmanı AIBOM (AI Bill of Materials, Yapay Zeka Malzeme Listesi), model kaydı, geri getirme altyapısı, istem şablonu sürüm kontrolü, ince ayar soyağacı.

Katman 1: Kuantuma dayanıklı temel ML-KEM, ML-DSA, hibrit PKI, kripto-çeviklik. Üstteki her katmanın bütünlük iddialarının dayandığı altyapı.

Katman 1: Kuantuma dayanıklı temel. Bunun üzerindeki her katman, kriptografik altyapının bütünlüğünü varsayar. G7 yol haritası, NCSC üç aşamalı planı ve BIS Project Leap kamuya açık kayıtta olduğuna göre, bu artık niş bir kaygı değildir. Denetim izleri klasik ECDSA altında imzalanan veya anahtar tesisi RSA ya da ECDH'ye dayanan ajan tabanlı sistemler, bütünlük iddialarının kriptografiyle birlikte sona erdiğini görecek. Bunu doğru yapan kurumlar, post-kuantum işini yukarı akışa çeker ve ML-KEM, ML-DSA ile hibrit PKI'yi, üstteki her katmanın denetim ve bütünlük güvencelerinin dayandığı altyapı olarak ele alır.

Katman 2: Veri ve model katmanı. Yapay Zeka Malzeme Listesi (AIBOM) burada yaşar. Post-kuantum geçiş planlamasında kullanılan Cryptographic Bill of Materials'a benzer biçimde AIBOM, kurumun işlettiği her modelin, veri kümesinin, istem şablonunun, geri getirme dizininin, ince ayarın ve üçüncü taraf yapay zeka bağımlılığının envanteridir. AB Yapay Zeka Yasası'nın 49. Maddesinin fiilen gerektirdiği çıktı, SR 11-7 incelemelerinin artık talep ettiği envanter ve inandırıcı herhangi bir yönetişim duruşunun temelidir. Kurumların çoğunda bu yoktur. Ağustos'a kadar ihtiyaç duyacaklar.

Katman 3: Ajan tabanlı iş akışları. Çoğu kurumun şu anda inşa ettiği katmandır ve sıklıkla 1, 2 ve 4. katmanlara yeterli dikkat gösterilmeden inşa edilir. İş akışlarının kendisi, iç olandan (kod üretimi, düzenleyici belge taslağı, müşteri hizmetleri triyajı), müşteriye dönük olana (ilişki yöneticisi yardımcıları, işe alım, KYC yönlendirmesi, işlem izleme, FX optimizasyonu) ve düzenleyici toleransın izin verdiği yerlerde tam otonom olana (hazine operasyonları, belirli işlem ve risk yönetimi işlevleri) uzanır. Bu katmandaki stratejik disiplin, onu uygulama geliştirme değil sistem mühendisliği olarak ele almaktır; yönlendirme kalıpları, yükseltme kuralları, döngü içinde insan kapıları ve denetim yayımı birinci sınıf tasarım kaygılarıdır.

Katman 4: Ajan kontrol düzlemi. Deloitte'un "ajan kontrol odası" olarak nitelendirdiği ⧉ şeydir: üretimdeki her ajanı kuşatan, gerçek zamanlı denetim, eylem günlüğü, davranışsal anomali tespiti, acil durdurma düğmeleri ve insan geçersiz kılma altyapısı. Step Finance kaybı, teknik olarak, bir yapay zeka arızası değildi. Bir kontrol düzlemi arızasıydı: ajanların sahip olmaması gereken izinleri vardı ve bir durdurmayı tetiklemesi gereken davranışsal anomali tetiklemedi. Kontrol düzlemini önce inşa eden kurumlar, yani ajan dağıtımını ölçeklendirmeden önce, 2027'de Step Finance sınıfı olaylar görmeyecek olanlardır.

Üst yönetim için geçerli karşılaştırma "rakiplerimizden daha fazla yapay zeka mı yapıyoruz?" değildir. Kurumun dört katmanın tümüne sahip olup olmadığı, ya da bir veya daha fazla katmanın, AB Yapay Zeka Yasası'nın 13. Madde dokümantasyon gerekliliklerini karşılayacak sözleşmesel kabiliyeti olmayan bir tedarikçiye sessizce devredilip devredilmediğidir. İkincisi, bir düzenleyici soruyu açana kadar iyi görünen bir konumdur.

Uygulamada İnsan Gözetimi: HITL ve HOTL

Katman 4 içinde düzenleyicilerin 2026'da en çok odaklandığı tek ayrım, iki gözetim modeli arasındakidir. Her ikisi de insan gözetimi biçimidir; gecikme, ölçek ve düzenleyicinin ajan davranışı hakkında kabul etmeye razı olduğu varsayım açısından farklıdırlar.

Human-in-the-Loop (HITL), bir ajanın açık insan onayı olmadan sonuç doğuran bir eylemi yürütemediği modeldir. Ajan kararı hazırlar, sunar ve bekler. Bir hesabı kapatılmak üzere işaretleyen ancak bir uyum görevlisinin onayı olmadan kapatamayan bir KYC iyileştirme ajanı HITL'dir. Ödünleşme operasyoneldir: HITL daha güvenlidir ve net bir Madde 14 denetim izi üretir, ancak yüksek hacimli, düşük gecikmeli iş akışlarına ölçeklenmez.

Human-on-the-Loop (HOTL), bir ajanın sınırlı parametreler içinde otonom biçimde yürütme yaptığı, insanların telemetriyi gerçek zamanlı izlediği ve ajanı herhangi bir noktada durdurma yetkisini elinde tuttuğu modeldir. Belirli risk kalıplarıyla eşleşen işlemleri otomatik olarak engelleyen, bir insan operasyon ekibinin uyarı hacmini izlediği ve anomalilere müdahale ettiği gerçek zamanlı bir dolandırıcılık tarama ajanı HOTL'dir. Ödünleşme terstir: HOTL ölçeklenir, ancak ajanın parametrelerinin doğru ayarlanmasına ve sapmayı zarar birikmeden önce yakalayan davranışsal anomali tespitine bağlıdır.

AB Yapay Zeka Yasası'nın 14. Maddesi HITL veya HOTL'yi öngörmez; insan gözetiminin anlamlı olmasını gerektirir. Pratik sonuç, bankanın işlettiği her yüksek riskli ajanın, hangi modelin geçerli olduğuna, nedenine ve ajan sınırlı parametrelerinin dışındaki durumlarla karşılaştığında yükseltme yolunun ne olduğuna dair açık, belgelenmiş bir duruşa sahip olması gerektiğidir. 2025'te pilot çalıştıran çoğu bankada bu dokümantasyon yoktu. Ağustos 2026'da üretim ajanları çalıştıracak çoğu bankanın buna ihtiyacı olacak.

Karar kuralı karmaşık değildir. Sonuç doğuran, düşük hacimli, geri döndürülemez eylemler için (gerçek bir kişiye kredi reddi, hesap kapatma, yüksek tutarlı havale yetkilendirmesi, düzenleyici bildirim sunumu) HITL savunulabilir varsayılandır. Yüksek hacimli, geri döndürülebilir, parametreyle sınırlı eylemler için (işlem izleme uyarıları, belge sınıflandırması, rutin müşteri hizmetleri triyajı) ise, davranışsal anomali tespiti ve acil durdurma düğmesi altyapısı olgun olduğu sürece HOTL uygundur. Her iş akışını HITL olarak ele alan bankalar, ajan tabanlı sistemlerin operasyonel kaldıracını yakalayamayacaktır. Her iş akışını HOTL olarak ele alan bankalar ise er ya da geç bir Step Finance anı yaşayacaktır.

Satın Almak ve İnşa Etmek: Üçüncü Taraf Ajan Sorunu

Çoğu bankaya sinsice ulaşan 2026 gerçeği, ajan tabanlı yeteneği esas olarak inşa etmeyecekleri, satın alacaklarıdır. Tedarikçi tarafı (Şubat 2026'da tanıtılan Oracle'ın ajan tabanlı bankacılık platformu, IBM'in Watsonx'i, Microsoft'un Copilot paketi, AWS Bedrock Agents, Salesforce Agentforce, ServiceNow'un NowAssist'i ve fintech'e özel ajan tedarikçileri dalgası) iç banka mühendisliğinin çalışabildiğinden daha hızlı ilerliyor. Stratejik sonuç şudur: 2027'de bir bankanın içinde çalışan ajanların çoğu başkası tarafından yazılmış olacak ve yönetişim sorusu artık "kendi ajanlarımıza güvenebilir miyiz?" değil, "satın aldığımız ajanlara güvenebilir miyiz ve bir düzenleyiciye bunu kanıtlayabilir miyiz?" olacaktır.

Bu, DORA kapsamındaki en yüksek sesli ama en az fark edilen zorluktur. Düzenlemenin 28-30. Maddeleri, ICT üçüncü taraf risk yönetimini, sözleşme hükümlerini, sürekli izlemeyi, yoğunlaşma riski değerlendirmesini ve çıkış stratejilerini kapsayan açık gerekliliklerle, etkin bir denetim alanı hâline getirir. Avrupa Denetim Otoriteleri, kritik ICT üçüncü taraf sağlayıcılarının bir kaydını tutar ve bu şekilde belirlenenler üzerinde doğrudan denetim yetkilerine sahiptir. Yeni operasyonel gerçeklik şudur: 2026'nın yapay zeka tedarikçileri (öncü model sağlayıcıları, ajan platformu tedarikçileri, yapay zeka etkin SaaS), giderek DORA'nın kapsamak üzere yazıldığı ICT üçüncü tarafları hâline geliyor.

Satın alma konumundaki bir banka için üç pratik disiplin geçerlidir:

Tedarikçiden AIBOM'u talep edin. Yüksek riskli iş akışlarında kullanılmak üzere satın alınan her ajan ürünü; altta yatan modelleri, eğitim verisi kaynağını ve sınırlarını, uygulanan ince ayarları, erişilen geri getirme dizinlerini, istem şablonu sürümlerini ve aşağı akıştaki ajan bileşenlerine uzanan bağımlılık zincirini kapsayan belgelenmiş bir malzeme listesiyle gelmelidir. Bu, bankanın AB Yapay Zeka Yasası kapsamında 13. Madde dokümantasyon gerekliliklerini karşılamak için ihtiyaç duyacağı çıktıdır. Banka bunu, bunu sağlamayı sözleşmeyle taahhüt etmemiş bir tedarikçiden geriye dönük olarak üretemez.

Broşürü değil, kara kutuyu test edin. Tedarikçi satın alma değerlendirmeleri geleneksel olarak özellik karşılaştırmasına ve referans müşteri görüşmelerine odaklanır. Ajan tabanlı sistemler için bu yeterli değildir. Kurum, ajanın davranışsal testini, hedeflenen üretim dağıtımına benzer koşullar altında yürütmelidir; buna istem enjeksiyonu için düşmanca yoklama, sosyal mühendisliğe direnç (Step Finance vektörü), veri dağılımı kaymaları altında sapma ve acil durdurma düğmesi ile geçersiz kılma yollarının gecikme ve arıza biçimleri dahildir. Mevcut tedarikçi sözleşmelerinin çoğu, bu derinlikte testi belirli bir müzakere olmadan izin vermez; bu müzakerenin sözleşme imzalanmadan önce yapılması gerekir, sonra değil.

Sözleşmeleri Madde 13 koşullarında yeniden müzakere edin. Mevcut yapay zeka tedarikçi anlaşmalarının çoğu, AB Yapay Zeka Yasası ile DORA'nın birlikte talep ettiği dokümantasyon, denetim hakları, model değişikliği bildirimi, olay bildirimi veya alt işleyici açıklaması gerekliliklerinin hiçbirini içermez. Birleşik Krallık firmalarına ilişkin Regulativ analizi ⧉ bu noktada açıktı: tedarikçi anlaşmalarının hukuki incelemesi haftalar alır ve kurumların çoğu, tedarikçisinin iç işleyişini açıklamakla sözleşmesel olarak hiçbir zaman yükümlü olmadığı bir model için Madde 13'ü karşılayamaz. Düzenleyici yükümlülük tedarikçiye değil, dağıtan tarafa aittir. Satın alma ekiplerinin bunu bir sonraki yenileme döngüsünden önce bilmesi gerekir, bir düzenleyici sorgudan sonra değil.

Yönetim kurulu düzeyindeki özet şudur: tedarikçi ilişkisi satın almadan risk transferine geçti ve risk aslında transfer olmuyor. Banka dağıtan taraf olmaya devam eder. Banka sorumlu olmaya devam eder. Bankanın, sorumluluğunu yalnızca biçimsel değil ele alınabilir kılan sözleşmesel araçlara ve test disiplinine ihtiyacı vardır.

Bunun Banka Türüne Göre Anlamı

Doğru yanıt değişir. Aşağıdaki kalıp bir kaba bölümlemedir, bir reçete değil.

Birinci Kademe Evrensel Bankalar

1 trilyon dolar+ bilançoya ve küresel varlığa sahip kurumlar, aynı anda hem en fazla maruz kalan (en geniş düzenleyici çevre, en büyük eski varlık, otonom saldırganlar için en yüksek değerli hedef) hem de en iyi kaynaklara sahip olanlardır. Stratejik öncelik, önce kontrol düzlemini (yukarıdaki mimarinin 4. katmanı) inşa etmek ve ajan dağıtımını daha da ölçeklendirmeden önce şartname odaklı geliştirme disiplinini iç mühendislik işlevine getirmektir. Bunu doğru yapmanın rekabet sonucu anlamlıdır; yanlış yapmanın sonucu ise, AB Yapay Zeka Yasası kapsamındaki ceza maruziyeti ve GTG-1002 sınıfı tehdit kalıplarına operasyonel maruziyet göz önüne alındığında, varoluşseldir.

Orta Kademe ve Bölgesel Bankalar

İkinci kademe bankalar için rekabet sorusu, birinci kademeye göre daha keskindir. Aynı yönetişim bütçesi olmadan aynı düzenleyici çevreyle, aynı savunma kaynakları olmadan aynı tehdit yüzeyiyle ve kendisini giderek yapay zeka yerlisi fintech'lerle karşılaştıran bir müşteri tabanıyla karşı karşıyalar. Pratik yanıt; küçük bir denetlenmiş tedarikçi kümesinde sıkı biçimde standartlaşmak (Madde 13 dokümantasyon gerekliliklerini karşılayan sözleşmelerle), özel platform mühendisliği yerine şartname odaklı geliştirme disiplinine yatırım yapmak ve yirmi yıldır stratejik bir çıpa olan COBOL modernizasyon takvimini sıkıştırmak için ajan tabanlı araçları kullanmaktır. Burada erken hareket eden kurumlar, bir kuşakta ilk kez, birinci kademe bankalarla arasındaki teknoloji açığını belirgin biçimde kapatacaktır.

Fintech'ler, Ödeme Hizmeti Sağlayıcıları ve Kriptoya Yakın Kurumlar

Fintech ve ödeme kurumu segmenti ters soruna sahip: çeviklik yüksek, yönetişim çoğu zaman emsal bankalardan daha düşük ve AB Yapay Zeka Yasası'nın ceza maruziyeti orta ölçekli bir fintech için varoluşsel olabilir. Stratejik disiplin, yapay zeka yönetişimini bir uyum katmanı değil bir ürün hazırlık kapısı olarak ele almaktır: AIBOM'u, denetim altyapısını ve şartname odaklı iş akışlarını, düzenleyici baskı altında sonradan eklemek yerine mühendislik kültürüne baştan inşa etmektir. Ödeme altyapısı Kasım 2026 SWIFT CBPR+ yapılandırılmış adres son tarihiyle kesişen kurumlar için ajan tabanlı mühendislik yatırımı, yapılandırılmış adres iyileştirme işini sanayileştirmenin de doğal mekanizmasıdır; doğrulama kuralları, veri kalitesi uygulaması ve CI hattı entegrasyonu tam olarak şartname odaklı iş akışlarının ele alınabilir kıldığı kalıplardır.

İç Mühendislik İşlevleri

Bunu okuyan mühendisler ve araştırmacılar için önemli olan çalışma disiplini günlük olandır. Çalışmanın ağırlık merkezini karakter yazmaktan şartnameler ve doğrulama koşumları üretmeye kaydırın. Ajan izlerini, ara planları ve onay kapılarını sürüm kontrolünüzde birinci sınıf çıktılar olarak ele alın. Şartnameyi kalıcı çıktı, üretilen kodu ise atılabilir olan hâline getiren araçlara (Spec Kit, Kiro, Cursor'ın plan kipi, proje düzeyinde beceri dosyalarıyla Claude Code) yatırım yapın. Ergonomik değişim gerçektir. Mesleki getirisi ise, sınırda benimsenen disiplinin aynı zamanda düzenleyici incelemede hayatta kalan disiplin olmasıdır.

Ağustos 2026'ya 12 Haftalık Eylem Planı

Şimdi ile AB Yapay Zeka Yasası uygulama tarihi arasında bir ajan tabanlı mühendislik programı yürüten yönetici sponsoru için iş, on iki haftalık bir diziye sıkışır. Aşağıdaki plan kapsamlı değildir; inandırıcı bir programın 2 Ağustos 2026'ya kadar tamamlamış olmasını bir yönetim kurulunun bekleyeceği asgari şeydir.

Hafta 1-2: AIBOM'u üretin. Üretimde veya geliştirme aşamasında olan her yapay zeka sisteminin, modelin, veri kümesinin, istem şablonunun, geri getirme dizininin, ince ayarın ve üçüncü taraf yapay zeka bağımlılığının merkezi envanterini kurun. Her girişi AB Yapay Zeka Yasası Ek III sınıflandırmasıyla eşleyin. Çıktı, CRO, CCO, CISO ve CTO'nun her birinin sorgulayabileceği tek bir doğruluk kaynağıdır.

Hafta 3-4: Sistem başına gözetim modelini sınıflandırın. Her yüksek riskli ve sonuç doğuran ajan için, gözetim modelinin HITL mi HOTL mi olduğunu, gerekçesini, yükseltme yolunu ve SM&CR (Birleşik Krallık) ya da eşdeğer ulusal rejim kapsamında sorumlu tutulan adlandırılmış insanı açıkça belgeleyin. Yanıtın belirsiz olduğu yerlerde, analiz tamamlanana kadar varsayılan olarak HITL'yi seçin.

Hafta 5-6: Ajan kontrol düzlemini inşa edin veya sağlamlaştırın. Gerçek zamanlı eylem günlüğü, davranışsal anomali tespiti, acil durdurma düğmesi ve geçersiz kılma yolları her üretim ajanında işler olsun. Bir sistem için kontrol düzlemi henüz mevcut değilse, o sistem mevcut olana kadar kısıtlı dağıtım durumuna alınır.

Hafta 7-8: Tedarikçi sözleşmesi incelemesi. Hukuk ve satın alma, her etkin yapay zeka tedarikçi sözleşmesini Madde 13 dokümantasyon hakları, model değişikliği bildirimi, olay bildirimi, denetim hakları ve alt işleyici açıklaması açısından gözden geçirir. Çıktı kademeli bir listedir: uyumlu, iyileştirme gerekli, değiştirme gerekli. Değiştirme kararlarının bu yıl içinde tamamlanma şansına sahip olması için şimdi başlaması gerekir.

Hafta 9-10: Uygunluk değerlendirmesinin provası. Ek III kapsamındaki her yüksek riskli sistem için, sanki bir onaylanmış kuruluş ertesi hafta geliyormuş gibi uygunluk değerlendirmesi iş akışını tamamlayın. Bu, kâğıt üzerinde küçük görünen ama inceleme altında operasyonel olarak ağır olan boşlukları yüzeye çıkaracaktır. Düzeltilebileni düzeltin; kalanı belgeleyin.

Hafta 11-12: Geçiş öncesi doğrulama ve yönetim kurulu onayı. AIBOM'un, HITL/HOTL sınıflandırmalarının, kontrol düzlemi kanıtlarının, tedarikçi iyileştirme durumunun ve uygunluk değerlendirmesi çıktılarının son incelemesi. Adlandırılmış üst düzey yönetici hesap verebilirliği teyit edilir. Duruş yönetim kurulu tutanağına geçirilir. Çerçevenin ön bildirim beklediği yerlerde düzenleyiciyi bilgilendirin.

Bu on iki haftalık diziyi tamamlayan kurumlar ajan tabanlı mühendisliği çözmüş olmayacaktır. İnandırıcı bir programın gerektirdiği tabanı kurmuş olacaklardır. Bu makale yayımlandığında henüz başlamamış kurumlar, Regulativ analizinin SWIFT tarafında aynı noktayı ifade ettiği gibi, özellikle ihmalkâr değildir. Çoğunluğu oluşturuyorlar. Her CCO, CRO ve CTO'nun önümüzdeki iki hafta içinde yanıtlaması gereken soru, firmanın Mayıs'ta harekete mi geçtiği yoksa Temmuz'da telaşa mı kapıldığıdır.

Sonuç

Son altı ayda sektör genelinde belirginleşen sert gözlem şudur: kurumsal ölçekte çalışmanın eski yolları, yeni bir teknoloji tarafından değil yeni bir çalışma kalıbı tarafından geride bırakılıyor. Ajan tabanlı araçlar, bazen üretimde bazen olay raporlarında, eski varlıklarda yıllardır sessizce katlanan kusurları ve boşlukları ortaya çıkardı. Aynı araçlar, kötü niyetli aktörlere daha önce devlet aktörü desteği gerektiren kaynakları sağladı. Aynı araçlar, içeride ve disiplinle kullanıldığında, kurumların eski sistem açığını kapatmak, Ağustos 2026 düzenleyici son tarihini karşılamak ve müşteri beklentileri ile rekabet gerçeklerinin artık gerektirdiği operasyonel tempoya ulaşmak için sahip olduğu en inandırıcı yoldur.

Bu konuma içeriden sahip çıkan kurumlar (ajan tabanlı mühendisliği bir tedarikçiden satın alınan bir üretkenlik katmanı değil, bankanın yapısal bir yeteneği olarak ele alanlar) önümüzdeki iki yılı avantajlarını katlayarak geçirecek. Sahip çıkmayan kurumlar ise önümüzdeki iki yılı, olay raporlarında ve düzenleyici bulgularında, inşa etmeleri gerekeni keşfederek geçirecek. Bu iki sonuç arasındaki seçim bir 2028 teknoloji kararı değil, bir 2026 yönetim kurulu kararıdır.

Bu sitedeki önceki bağlam için: kuantum eşiklerine ilişkin Nisan 2026 yazısı yukarıdaki mimarinin 1. katmanının altında yatan donanım yörüngesini ele aldı; kurumsal finansta post-kuantum geçişine ilişkin Mayıs 2026 yazısı kriptografik altyapıyı derinlemesine ele aldı; pacs.008 yapılandırılmış adres son tarihine ilişkin Mayıs 2026 analizi şartname odaklı doğrulamanın ele alınabilir kıldığı düzenleyici ve mühendislik disiplinini ele aldı; ve KyberLib, pain001 ve pacs008 üzerine açık kaynaklı Rust çalışması, üretim düzeyinde ilkelleri (kuantuma dayanıklı, ödeme uyumlu, denetime hazır) ajan tabanlı bankayı inşa edecek mühendislik ekiplerinin eline vermeye yönelik daha geniş çabanın içinde yer alır. Bu parçalar arasındaki bağlantı rastlantısal değildir. Önümüzdeki iki yılın gerektirdiği işin biçimidir.

Sıkça Sorulan Sorular

Üretken yapay zeka, ajan tabanlı yapay zeka ve ajan tabanlı mühendislik arasındaki fark nedir?

Üretken yapay zeka bir isteme yanıt olarak içerik üretir; tepkiseldir. Ajan tabanlı yapay zeka, tanımlanmış hedefleri otonom biçimde izler; her adımda bir insan istemi gerektirmeden verilere erişir, araçları kullanır ve çok adımlı iş akışlarında eylemlerde bulunur. Ajan tabanlı mühendislik (Karpathy'nin 2026'da benimsediği ⧉ terim), insan gözetimi altında ajanları ayrıntılı şartnamelere göre yönlendirmenin çalışma disiplinidir. Bankacılık için ayrım önemlidir çünkü düzenleyici çevre, tehdit modeli ve mühendislik disiplini her kategori için farklıdır. Bir sohbet arayüzü ile tam otonom bir işlem ajanı aynı düzenleyici sınıfta değildir ve onları öyleymiş gibi ele almak iki uçta da maruziyet yaratır.

AB Yapay Zeka Yasası'nın Ağustos 2026 son tarihi bankalar için neden bu kadar sonuç doğuruyor?

AB Yapay Zeka Yasası'nın Ek III'ü, birçok temel bankacılık yapay zeka kullanım durumunu açıkça yüksek riskli olarak sınıflandırır: gerçek kişilerin kredi değerliliği değerlendirmesi ve kredi puanlaması, hayat ve sağlık sigortasında risk değerlendirmesi ve fiyatlandırma ve bireylerin finansal durumunun değerlendirilmesi veya sınıflandırılması. 2 Ağustos 2026'dan itibaren, bu sistemleri dağıtanlar; kalite yönetim sistemleri, risk yönetimi çerçeveleri, teknik dokümantasyon, uygunluk değerlendirmeleri, AB veritabanı kayıtları, sağlam veri yönetişimi, insan gözetimi ve siber güvenlik korumaları ile uyumu göstermelidir. Madde 12, girdilerin ve çıktıların otomatik günlüğe kaydedilmesini gerektirir. Madde 14, anlamlı insan gözetimini (sisteme uygun olarak HITL veya HOTL) gerektirir. İhlal cezaları 35 milyon euro ya da küresel yıllık cironun %7'sine ulaşır. Bu yükümlülükleri karşılayacak iş, dokümantasyon işi değil mühendislik işidir ve şartname odaklı disiplinin 2026'nın ilk çeyreğinde hızlanmasının pratik nedenidir.

HITL ile HOTL arasındaki pratik fark nedir ve her biri ne zaman geçerli olmalı?

HITL (Human-in-the-Loop), ajanın açık insan onayı olmadan sonuç doğuran eylemleri yürütemediği anlamına gelir. HOTL (Human-on-the-Loop), ajanın sınırlı parametreler içinde otonom biçimde yürütme yaptığı, insanların telemetriyi izlediği ve herhangi bir anda durdurma yetkisini elinde tuttuğu anlamına gelir. AB Yapay Zeka Yasası'nın 14. Maddesi gözetimin anlamlı olmasını gerektirir ancak hangi modelin kullanılacağını öngörmez. Karar kuralı; eylemin sonuç doğuran, düşük hacimli ve geri döndürülemez olduğu yerlerde (kredi reddi, hesap kapatma, yüksek tutarlı havale yetkilendirmesi, düzenleyici bildirim sunumu) HITL'yi, eylemin yüksek hacimli, geri döndürülebilir ve parametreyle sınırlı olduğu yerlerde (işlem izleme uyarıları, belge sınıflandırması, rutin müşteri hizmetleri triyajı) HOTL'yi uygulamaktır. Her ikisi de acil durdurma düğmesi ve geçersiz kılma altyapısının işler ve test edilmiş olmasını gerektirir; fark, insanın yürütmenin yukarı akışında (HITL) mı yoksa yanında (HOTL) mı olduğudur.

Ajanlarımızın çoğu tedarikçilerden gelecek. İnşa etmediğimiz sistemler için DORA ve AB Yapay Zeka Yasası'nı nasıl karşılarız?

Düzenleyici yükümlülük tedarikçiye değil, dağıtan tarafa aittir. Pratik yanıt üç katmanlıdır. Birincisi, imzadan önce tedarikçiden belgelenmiş bir AIBOM talep edin: model soyağacı, eğitim verisi kaynağı, ince ayarlar, istem şablonları, geri getirme dizinleri, bağımlılık zinciri. İkincisi, ajanın davranışsal testini üretime benzer koşullar altında yürütün; buna istem enjeksiyonu için düşmanca yoklama ve sosyal mühendisliğe direnç dahildir. Üçüncüsü, Madde 13 dokümantasyon haklarını, model değişikliği bildirimini, olay bildirimini, denetim haklarını ve alt işleyici açıklamasını içermek üzere tedarikçi sözleşmelerini yeniden müzakere edin; mevcut sözleşmelerin çoğunda bunların hiçbiri yoktur. DORA'nın 28-30. Maddeleri ICT üçüncü taraf risk yönetimini kapsar ve Avrupa tarafındaki ilgili düzenleyici çıpadır; FFIEC rehberi ABD tarafındaki eşdeğerdir. İş anlamlıdır; ertelenemez.

Bankalar ajan tabanlı saldırganlar konusunda gerçekte ne kadar endişelenmeli?

Dürüst yanıt, tehdidin gerçek ve önceki siber tehditlerden operasyonel olarak farklı olduğudur. Anthropic'in Kasım 2025'te GTG-1002'yi açıklaması kanonik örnektir: ajan tabanlı yapay zeka, yaklaşık otuz savunma, enerji ve teknoloji hedefine karşı devlet destekli bir casusluk kampanyasında taktiksel operasyonların %80-90'ını yürüterek saniyede binlerce istek hızında çalıştı. Ocak 2026'daki Step Finance olayı (aşırı yetkilendirilmiş yetkiye sahip yapay zeka işlem ajanlarının yol açtığı 27-30 milyon dolarlık kayıp), bir iç yapay zeka dağıtımının nasıl bir saldırı yüzeyine dönüşebileceğinin kanonik örneğidir. Flashpoint 2026 GTIR, tek bir ayda yapay zeka ile ilgili yasa dışı tartışmalarda %1.500'lük bir artış gözlemledi. Bunlar varsayımsal senaryolar değildir; 2025-2026 olay raporu malzemesidir. Ajan tabanlı saldırganlara karşı klasik savunma operasyonları yürüten bankalar yapısal olarak asimetrik biçimde maruz kalmıştır ve doğru yanıt, saldırı tarafında ajan tabanlı geçişi yavaşlatmak değil, yapay zekaya karşı yapay zeka savunma yeteneği inşa etmektir.

Ajan tabanlı yapay zeka yalnızca "ChatGPT artı MCP sunucuları" mı?

Hayır ve bu, mevcut pazardaki en sonuç doğuran yanlış kanılardan biridir. MCP sunucularıyla zenginleştirilmiş bir sohbet arayüzü, sınırlı bir oturum içinde veriyi geri getirmek ve üzerinde işlem yapmak için yararlı bir kalıptır. Ajan tabanlı mühendislik ise kurumun yapısal bir yeteneğidir: AIBOM, ajan kontrol düzlemi, şartname odaklı geliştirme hattı, denetim altyapısı, kuantuma dayanıklı kriptografik temel, uçtan uca müşteri yolculukları boyunca yönlendirme kalıpları. Bunlar bir tedarikçiden satın alınan özellikler değildir; kurumsal bir sahiplik duruşudur. Soruyu bir satın alma kararı olarak ele alan bankalar, inceleme altında başarısız olan yüzeysel dağıtımlarla sonuçlanır. Onu bir mühendislik ve yönetişim sahiplik sorusu olarak ele alan bankalar ise katlanarak büyüyen bir varlıkla sonuçlanır.

Bir bankanın önümüzdeki on iki hafta içinde yapması gereken en önemli tek şey nedir?

Sıralı üç şey. Birincisi, Yapay Zeka Malzeme Listesi'ni üretmek: üretimde veya geliştirme aşamasındaki her yapay zeka sisteminin, modelin, veri kümesinin, istem şablonunun, geri getirme dizininin ve üçüncü taraf yapay zeka bağımlılığının tam envanteri, her giriş AB Yapay Zeka Yasası Ek III'e göre sınıflandırılmış olarak. Bir düzenleyici bunu istediğinde üretemeyen kurum, bulgu alacak kurumdur. İkincisi, müşteriyi etkileyen kararları alan veya bunlara belirgin biçimde etki eden her yapay zeka sistemi için ajan kontrol düzlemini inşa etmek: denetim günlüğü, davranışsal anomali tespiti, insan geçersiz kılma ve acil durdurma düğmeleri, gelecekteki bir yol haritası kalemi değil varsayılan altyapı olarak. Üçüncüsü, iç mühendislik kültürünü, en önemli işlerde (yüksek riskli sistemler, düzenlemeye tabi iş akışları ve eski sistem modernizasyon hattı) vibe coding'den şartname odaklı geliştirmeye taşımak. İlk ikisi uyum işidir; üçüncüsü rekabet işidir. Üçünü de yapan kurumlar, yalnızca birini ya da hiçbirini yapanlara göre belirgin biçimde daha güçlü bir konumda olacaktır. Tam on iki haftalık dizi yukarıdaki eylem planı bölümünde ortaya konmuştur.

Kaynakça

Sebastien Rousseau, (2026). Defteri güvence altına almak: kurumsal finans için post-kuantum geçişine yönetim kurulu rehberi.
Sebastien Rousseau, (2026). Kasım 2026 pacs.008 yapılandırılmış adres son tarihi: altı aylık bir görünüm.
Sebastien Rousseau, (2026). Kuantum eşikleri yeniden hareket ediyor.
Sebastien Rousseau, (2023). CRYSTALS-Kyber: kuantum çağında koruma algoritması.
Mansurova, M. (2026). From Vibe Coding to Spec-Driven Development ⧉. Towards Data Science.
CGI, (2026). Spec-driven development: From vibe coding to intent engineering ⧉. CGI.
Augment Code, (2026). What Is Spec-Driven Development? A Complete Guide ⧉. Augment Code.
BCMS, (2026). Spec-Driven Development: The Definitive 2026 Guide ⧉. BCMS.
Deloitte, (2026). Managing the new wave of risks from AI agents in banking ⧉. Deloitte Center for Financial Services.
Anthropic, (2025). Detecting and countering misuse of AI: August 2025 ⧉. Anthropic.
Anthropic, (2025). Disrupting the first reported AI-orchestrated cyber espionage campaign ⧉. Anthropic.
Flashpoint, (2026). 2026 Global Threat Intelligence Report ⧉. HSToday / Flashpoint.
Beam AI, (2026). 5 Real AI Agent Security Breaches in 2026 and Their Lessons ⧉. Beam.
Congressional Research Service, (2026). Agentic Artificial Intelligence and Cyberattacks ⧉. Congress.gov.
European Commission, (2024). Yapay Zekaya İlişkin (AB) 2024/1689 sayılı Tüzük (AB Yapay Zeka Yasası).
Knowlee, (2026). EU AI Act for Financial Services: Annex III Obligations for Banks, Fintechs, and Insurers ⧉. Knowlee.
Regulativ, (2026). The EU AI Act's August 2026 Deadline: What Financial Services Firms Must Do Now ⧉. Finextra.
AegisAI Compliance, (2026). AI Governance for Banks: SR 11-7 & EU AI Act Compliance Guide ⧉. AegisAI.
The Financial Brand, (2026). How Autonomous AI Agents Will Really Redefine Banking Growth ⧉. The Financial Brand.
UXDA, (2026). Could Agentic AI Banking Threaten Global Financial Services? ⧉. UXDA.
Neurons Lab, (2026). Agentic AI in Financial Services: A Research Roundup for 2026 ⧉. Neurons Lab.
Computer Weekly, (2026). AI to help mainframes remain business critical in 2026 ⧉. Computer Weekly.
The Financial Revolutionist, (2026). Legacy systems are putting banks at risk ⧉. The Financial Revolutionist.
CIO Magazine, (2025). Using AI to modernize mainframes: Turning legacy tech into a strategic advantage ⧉. CIO Magazine.
Microsoft Azure, (2025). How We Use AI Agents for COBOL Migration and Mainframe Modernization ⧉. Microsoft DevBlogs.
VentureBeat, (2026). Agentic coding at enterprise scale demands spec-driven development ⧉. VentureBeat.
The News (Pakistan), (2026). Why British banks' push for agentic AI is worrying UK regulators ⧉. The News International.
CNBC, (2026). Anthropic's Mythos set off a cybersecurity 'hysteria' ⧉. CNBC.

Son inceleme 2026-08-08.

Bu makaleyi yeniden yayınla

Bankalar için ajan tabanlı mühendislik: üst düzey yöneticiler ve onu inşa edecek mühendisler için 2026 planı — Sebastien Rousseau

Ajan tabanlı yapay zeka, küresel bankacılıkta pilot aşamadan üretime geçti. Kurumların %70'i bir ölçüde bunu kullanıyor; yalnızca beşte biri olgun bir yönetişim modeline sahip. Bu arada otonom saldırganlar makine hızında çalışıyor, yeni sistemlerin birlikte çalışması gereken eski COBOL varlığı 1960'ların toplu işleme varsayımlarına göre yazılmıştı ve AB Yapay Zeka Yasası'nın Ağustos 2026 yüksek risk son tarihi on iki hafta uzakta. Bir bankanın tutması gereken mühendislik ve yönetişim duruşu budur.

Bu makale şu lisans altında yayınlanmıştır Creative Commons Attribution 4.0 International. Yeniden yayın, kanonik URL'ye atıfta bulunulmasını gerektirir.

Bankalar için ajan tabanlı mühendislik: üst düzey yöneticiler ve onu inşa edecek mühendisler için 2026 planı — Sebastien Rousseau

Ajan tabanlı yapay zeka, küresel bankacılıkta pilot aşamadan üretime geçti. Kurumların %70'i bir ölçüde bunu kullanıyor; yalnızca beşte biri olgun bir yönetişim modeline sahip. Bu arada otonom saldırganlar makine hızında çalışıyor, yeni sistemlerin birlikte çalışması gereken eski COBOL varlığı 1960'ların toplu işleme varsayımlarına göre yazılmıştı ve AB Yapay Zeka Yasası'nın Ağustos 2026 yüksek risk son tarihi on iki hafta uzakta. Bir bankanın tutması gereken mühendislik ve yönetişim duruşu budur.

Originally published at https://sebastienrousseau.com/tr/2026-05-17-ajan-tabanli-muhendislik-bankalar-icin-2026-plani/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER