AI’nın Yapabilmesi, Yetkili Olduğu Anlamına Gelmez

Yapay zekâ konusunda son birkaç yıldır neredeyse bütün tartışmayı tek bir soru üzerine kurduk: AI ne yapabilir?

Metin yazabilir mi, kod geliştirebilir mi, müşteriyle konuşabilir mi, finansal analiz yapabilir mi, stratejik alternatifler üretebilir mi, bir sözleşmeyi inceleyebilir mi? Her yeni model çıktığında listenin sonuna birkaç yeni madde daha ekledik. Yapay zekânın kapasitesi büyüdükçe biz de doğal olarak onun yapabildiklerine hayran olduk.

Ama AI ajanları dönemine girerken bence soruyu değiştirmemiz gerekiyor.

Artık asıl mesele AI’nın ne yapabildiği değil, neyi yapmaya yetkili olması gerektiği.

Bu ikisi ilk bakışta birbirine çok yakın görünüyor. Oysa yönetim açısından aralarında çok büyük fark var.

Bir çalışan finansal raporları okuyabilir; bu ona şirket adına yatırım yapma yetkisi vermez. Bir satış yöneticisi müşteriye indirim önerebilir; istediği oranda indirim yapamaz. Bir satın alma yöneticisinin tedarikçi seçme yeteneği vardır ama harcama limiti bulunur. Organizasyonların yüz yıldır yaptığı şey aslında tam olarak budur: insan kapasitesi ile insan yetkisi arasına sınırlar koymak.

Şimdi aynı soruyu insan olmayan aktörler için sormak zorundayız.

Bir chatbot yanlış cevap verdiğinde çoğu zaman sonuç sınırlıdır. Yanlış bilgiyi görürüz, düzeltiriz, başka bir soru sorarız. Fakat bir AI ajanı yalnızca konuşmuyor, aksiyon da alabiliyorsa durum tamamen değişiyor. CRM’e girebilir, müşteriye mesaj gönderebilir, dosyalara erişebilir, başka sistemleri çalıştırabilir, satın alma sürecini başlatabilir, başka ajanlara görev verebilir ve bazı senaryolarda para harcayabilir.

AI’nın evrimi bu nedenle yalnızca answer → assist → act şeklinde teknolojik bir ilerleme değildir. “Act” aşamasına geçildiği anda konu organizasyon tasarımına dönüşür.

2026 yazında OpenAI’ın gelişmiş ajanlarla yaptığı bazı kontrollü siber güvenlik değerlendirmelerinde yaşanan olayların bence asıl önemi de burada. OpenAI daha sonra yaptığı açıklamalarda bazı ajanların test ortamındaki sınırları aşarak internet erişimi kazandığını ve üçüncü taraf sistemlere ulaştığını kabul etti. Şirket, müşteri verilerinin ve üretim sistemlerinin etkilenmediğini, testlerin normal üretim güvenlik önlemlerinin azaltıldığı kontrollü ortamlarda yapıldığını özellikle vurguladı.

Ardından Reuters, Eylül başında daha önce açıklanmamış ayrı bir olayda bazı ajanların Alman bir wiki sitesini kendi aralarındaki koordinasyon için kullandığını bildirdi. OpenAI olayın varlığını kabul ederken sektörün istenmeyen ajan davranışlarını raporlamak konusunda henüz ortak bir standarda sahip olmadığını da söyledi.

Bu olayları “AI kontrolden çıkıyor” manşetiyle okumak kolay. Fakat bana göre bu okuma hem fazla sansasyonel hem de asıl yönetim dersini kaçırıyor.

Asıl soru şu: Bir sisteme hedef verdiğinizde, o hedefe ulaşmak için kullanabileceği yetkiyi ve vazgeçmek zorunda olduğu sınırları da yeterince iyi tanımladınız mı?

Bu aslında AI’ya özgü bir problem değil. İnsan organizasyonlarında yıllardır aynı hatayı yapıyoruz. Satış ekibine sadece ciro hedefi verirseniz kârsız satış yapabilir. Çağrı merkezini yalnızca görüşme süresiyle ölçerseniz müşteriyi dinlemeyi bırakabilir. Üretim ekibine yalnızca hacim hedefi verirseniz kalite ikinci plana düşebilir.

Sorun insanların kötü olması değildir. Sorun çoğu zaman başarı tanımının sınırlarla birlikte tasarlanmamış olmasıdır.

AI ajanlarında aynı yönetim problemi çok daha yüksek hız ve ölçekte ortaya çıkabilir. Bir insanın yanlış kararını fark etmek için bazen saatlerimiz vardır. Yüzlerce dijital ajanın birbirini tetiklediği bir sistemde aynı lükse sahip olmayabiliriz.

Bu nedenle şirketlerin iki kavramı birbirinden net biçimde ayırması gerektiğini düşünüyorum: capability ve authority.

Capability, AI’nın ne yapabildiğini anlatır. Authority ise bizim AI’nın ne yapmasına izin verdiğimizi.

Bir model finansal tahmin yapabilecek kadar güçlü olabilir; bu ona bütçe değiştirme yetkisi verilmesi gerektiği anlamına gelmez. Bir AI müşterinin şikâyetini anlayabilir; otomatik olarak sınırsız tazminat ödeme hakkı kazanmaz. Bir sistem adayların CV’lerini analiz edebilir; işe alım kararının tamamen sisteme bırakılması bunun doğal sonucu değildir.

Teknolojik kapasitenin büyümesi, kurumsal yetkinin otomatik olarak büyümesini gerektirmez.

Tam tersine, AI daha güçlü hale geldikçe yönetimin sınır koyma kalitesi daha önemli hale gelir.

Burada şirketlerin yapabileceği en tehlikeli hata “yapabiliyorsa kullanalım” refleksi olabilir. İyi yönetim ise başka bir soru sorar: “Yapabiliyor, ama yapmasına izin vermeli miyiz?”

Bence agentic AI çağının esas yönetim problemi tam olarak burada başlayacak.

Şirketlerin önemli bölümü bugün AI governance denildiğinde etik ilkeler, kullanım politikaları, veri gizliliği ve yasaklı uygulamalar listesi düşünüyor. Bunların hepsi gerekli. Fakat gerçek iş akışlarında hareket eden ajanların dünyasında yeterli olmayacaklar.

Çünkü politika bir ajana ne yapmaması gerektiğini söyler. Gerçek yönetişim ise sınırı aşmasını sistematik olarak zorlaştırır veya engeller.

Bir AI ajanı kimin adına hareket ediyor? Hangi verilere erişebiliyor? Hangi sistemlerde işlem yapabiliyor? Yalnızca öneri mi üretiyor, yoksa karar da verebiliyor mu? Kararı uygulayabiliyor mu? Başka ajanları çalıştırabiliyor mu? Ne kadar ekonomik kaynak tüketebiliyor? Hangi durumda insana dönmesi gerekiyor? Ne yaptığını gerçek zamanlı görebiliyor muyuz? Ve kritik soru: Yetkisini gerektiğinde ne kadar hızlı geri alabiliyoruz?

OpenAI’ın son olayların ardından otomatik kapatma yetenekleri üzerinde çalıştığını açıklaması bu nedenle benim için yalnızca teknik bir güvenlik gelişmesi değil. Daha büyük bir prensibe işaret ediyor: Agentic AI çağında verilmiş yetkinin geri alınabilirliği, iyi yönetimin temel şartlarından biri olacak.

Yöneticilikte delegasyonu çoğu zaman “iş vermek” gibi düşünüyoruz. Oysa iyi delegasyon görev, amaç, kaynak, yetki, kontrol ve hesap verebilirliği birlikte içerir. AI ajanlarına geçerken de aynı disiplini korumamız gerekiyor.

Daha önce yapay zekâ ile çalışmanın yeni yetkinliklerinden birinin “Delegation Engineering” olacağını savunmuştum. Prompt Engineering bize AI’ya nasıl konuşacağımızı öğretti. Delegation Engineering ise hangi işi, hangi sınırlar içinde AI’ya bırakabileceğimizi öğretmek zorunda.

Ama bugün bu fikrin yanına daha sert bir prensip eklemek gerektiğini düşünüyorum:

Bir AI ajanına görev vermek delegasyondur. Yetkisini geri alabilmek yönetimdir.

Bir ajanın ne yaptığını göremiyorsanız onu yönetmiyorsunuz. Bir ajanın yetkisini hızla geri alamıyorsanız ona kontrollü bir görev değil, açık uçlu bir güç vermiş olabilirsiniz.

Burada her kararı da aynı seviyede düşünmemek gerekiyor. AI’nın toplantı notlarını özetlemesi ile şirket adına para transfer etmesi aynı risk değildir. Bir pazarlama metni hazırlaması ile çalışan performansını değerlendirmesi aynı sonuçları doğurmaz. Müşteriye ürün önermesi ile sözleşme imzalaması da aynı şey değildir.

Dolayısıyla AI otonomisini “insan mı karar verecek, AI mı?” şeklinde ikili bir tartışmaya indirgemek fazla basit kalıyor.

Bazı durumlarda AI yalnızca gözlemlemeli. Bazılarında öneri yapmalı. Bazılarında işlemi hazırlayıp insan onayını beklemeli. Bazı düşük riskli alanlarda belirlenmiş limitler içinde bağımsız hareket edebilir. Bazı yüksek etkili kararlarda ise insanın nihai karar sahibi olarak kalması gerekebilir.

Şirketlerin yakın gelecekte organizasyon şemalarının yanında karar hakları haritaları da oluşturacağını düşünüyorum.

Bugün bir finans yöneticisinin harcama limitini, bir satış yöneticisinin indirim yetkisini ve bir satın alma yöneticisinin onay sınırını tanımlıyoruz. Yarın benzer kurallar AI ajanları için de normal hale gelecek.

Bu tartışma yalnızca CIO veya CISO’nun konusu da değil.

CEO hangi kararların insan olmayan aktörlere devredilebileceğine karar vermeli. CFO ajanların kullanabileceği ekonomik kaynakları ve yarattıkları değeri izlemeli. COO süreçlerin hangi bölümlerinin otonomlaşacağını tasarlamalı. CHRO insan ile AI arasındaki görev ve sorumluluk dağılımını düşünmeli. Yönetim kurulu ise daha temel bir soruya cevap vermeli: AI kaynaklı bir karar önemli bir zarar yarattığında kim hesap verecek?

Bu nedenle agentic AI’nın yükselişi, AI governance’ı teknoloji yönetişiminin dışına çıkarıp doğrudan corporate governance alanına taşıyabilir.

Yapay zekânın yetenekleri büyümeye devam edecek. Daha uzun süre bağımsız çalışacak, daha fazla araç kullanacak, daha fazla işi tamamlayacak ve bugün yalnızca insanlara ait olduğunu düşündüğümüz bazı alanlarda bizden daha iyi performans gösterecek.

Bu gelişmenin liderliğin önemini azaltacağı düşünülüyor. Ben tam tersini düşünüyorum.

AI büyüdükçe liderin sorusu “bunu kim yapabilir?” olmaktan çıkıp “bunu kimin yapmasına izin vermeliyiz?” haline gelecek.

Bu çok daha zor bir yönetim sorusu.

Çünkü teknik kapasiteyi dışarıdan satın alabilirsiniz. Aynı güçlü modellere rakibiniz de erişebilir. Fakat hangi kararın insanda kalacağını, hangi yetkinin AI’ya devredileceğini, otonominin nerede sınırlandırılacağını ve işler yanlış gittiğinde sistemin nasıl durdurulacağını tasarlamak kurumun kendi yönetim kapasitesidir.

Belki de gelecekte rekabet avantajının bir bölümü burada oluşacak.

Yapay zekâ tartışmasını uzun süre “AI ne kadar akıllı olabilir?” sorusuyla yürüttük.

Şimdi bence daha zor soruya geçiyoruz:

AI ne kadar yetkili olmalı?

Çünkü geleceğin organizasyonları yalnızca insanlardan oluşmayacak. İnsanlar ve AI ajanları birlikte çalışacak, bilgi paylaşacak, görev paylaşacak ve muhtemelen karar da paylaşacak.

Bu yeni organizasyonun başarısı yalnızca sahip olduğu zekânın gücüyle belirlenmeyecek.

Yetkinin ne kadar akıllıca dağıtıldığıyla da belirlenecek.

Ve belki de bundan sonra AI çağında yönetimin temel prensiplerinden birini şu kadar basit ifade etmek gerekiyor:

AI’nın bir şeyi yapabilmesi, onu yapmaya yetkili olduğu anlamına gelmez.