Henüz Kimsenin Sormadığı Durum Tespiti Sorusu

Banka hesapları açtığı sürece, uyum tek bir varsayıma dayanıyordu: her birinin arkasında gerçek, tanımlanabilir bir kişinin bulunması. Müşteriyi kayıtta doğrulamak ve sonrasında gerçekleşen tüm işlemlerin bu güvene dayanmasını sağlamak. Bu varsayım iki yönden aynı anda eriyormuş gibi. AI ajanları artık insanların adına işlem yapıyor ve sentetik kimlikler hiç var olmayan kişileri taklit ediyor. Bir hesabın arkasında gerçek bir insanın olduğunu ve hesabın yaptığı işlemleri niyet ettiğini teyit etmek, hiç olmadığı kadar zorlaştı.

Regülatörler bunu fark etti, ancak hareketleri tutarsız ve henüz ajanları kendi başına bir kategori olarak adlandırmadılar. İki yargı bölgesi bu çeşitliliği gösteriyor.

İki Düzenleyici, İki Yön

En net sinyal Avrupa’dan geliyor. Avrupa Birliği’nin AI Yasası en önemli uygulama aşamasına giriyor 2 Ağustos 2026’da, yüksek riskli sistem yükümlülüklerinin ve Madde 50 şeffaflık kurallarının tam seti yürürlüğe girdiğinde, Komisyonun kendi uygulama yetkileriyle birlikte, en gelişmiş genel amaçlı AI modelleri sağlayıcılarını küresel ciroların %3’ü ya da 15 milyon euro, hangisi daha yüksekse o kadar para cezası kesebilir. Yasa, bir AI ajanını ayrı bir yasal kategori olarak tanımlamaz. Tanımlamaya da gerek yok. Girdi alan, işleyen ve eyleme geçen her sistem mevcut metin kapsamında zaten bir AI sistemi olarak kabul edilir ve kredi, sigorta ya da kimlik doğrulama gibi yüksek riskli bir işlevi yerine getiren bir ajan, insan‑operasyonlu bir sistemin taşıyacağı aynı yükümlülükleri devralır.

Singapur ise tam ters bir yaklaşım benimsedi. 22 Ocak 2026’da Dünya Ekonomik Forumu’nda Dijital Gelişim ve Bilgi Bakanlığı, Özerk AI için Model AI Yönetişim Çerçevesi’ni tanıttı, bu çerçeve genel AI kurallarından uyarlanmak yerine tamamen otonom sistemler etrafında inşa edilmiş ilk yönetişim modelidir. Gönüllülük esasına dayanıyor, ancak resmi bir çerçevenin nasıl görünmesi gerektiğini ortaya koyuyor: bir ajanın özerklik seviyesi değerlendirilir, ona bir insan sorumluluk yapısı atanır ve riski, olay sonrası yakalamak yerine tasarım aşamasında sınırlandırılır—iki düzenleyici, aynı sorunu kural kitabının zıt uçlarından ele alıyor. Biri mevcut yasaları ajanları kapsayacak şekilde genişletiyor. Diğeri ise eski kurallar tasarlandığında var olmayan bir kategori için yeni kurallar yazıyor.

Ajan İçin Kim Sorumlu?

Her iki yaklaşımın altında, uyum ekiplerinin daha önce net bir şekilde yanıtlaması gereken bir soru yatıyor: bir ajan hareket ettiğinde sorumlu kimdir? Baker McKenzie’den yasal analiz, 1 Temmuz 2026’da yayımlanmış, mahkemeler ve düzenleyicilerin şu an için bir yanıt üzerinde birleştiğini belirtiyor. Sorumluluk, ajanın kendisinden ziyade ajanın arkasındaki insanlar ve kuruluşlar üzerindedir ve Haziran 2026’da ABD Adalet Bakanlığı’na AI destekli hackleme karşı uygulamayı önceliklendirmesi talimatını veren yürütme emri bu ilkeyi pekiştiriyor. Bu yanıt, hukuki bir varsayılan olarak uygulanabilir. Ancak tek başına operasyonel bir çözüm değildir.

Bir insanın nihai sorumluluğu olduğunu bilmek, bir uyum görevlisine hangi insanın, bir işlemin gerçekleştiği anda sorumlu olduğunu söylemez. Ayrıca, bir ajanın arkasındaki kuruluşun sadece kayıtta bir kez mi yoksa ajanın izinleri değiştikçe sürekli mi doğrulandığını da göstermez. Faydalı sahiplik kuralları, “bu kimin sahibi” sorusuna tek seferlik yanıt vermek üzere tasarlanmıştır. Özerk faaliyet ise sürekli bir soru sorar: şu anda bunu kim yönlendiriyor ve bu yanıt, kimseye bildirilmeden değişebilir mi?

Uyum Fonksiyonunun Gerçek Görevi

Çoğu uyum fonksiyonu henüz bu zinciri uçtan uca izleyemiyor ve bunu yapacak araçlar hâlâ rafadan alınmak yerine inşa aşamasında. Risk’e uyumlu AML program tasarımı için bir çerçeve, her müşteri ve yargı bölgesi için aynı şekilde uygulanan katı, tek tip tarama kurallarının, bu kadar hızlı şekil değiştiren riskle başa çıkamayacağını ve gerçek riskle eşleşen, sabit bir kural kitabı yerine yapılandırılabilir tarama profillerinin tek esnek yapıyı sağlayacağını savunuyor. Aynı mantık doğal olarak özerk faaliyetlere de uygulanır. Yeni bir ana taraf kategorisine uyum sağlayamayan bir tarama programı, bu tür bir varlığı yönetmeye uygun değildir.

Ajanların kendilerinin yönetimi de aynı mantığı takip eder. AI araçlarının risk‑sinyal verilerine erişimi konusunda son rehber, mevcut rol‑tabanlı erişim kontrollerini devralan, izinli ve kaydedilen bağlantıları öneriyor. Böylece bir ajanın eylemleri, bir insan analistininkine benzer bir denetim izi bırakır; izlenmeyen bir kısayol oluşturmaz. Bu, düzenleyicilerin şu anda tüm finansal sistem seviyesinde döndürdükleri sorunun daha küçük ölçekli bir versiyonudur: bir ajanın eylemleri gerçek zamanlı olarak sorumlu tarafa bağlanmalı, olay sonrası yeniden inşa edilmemelidir.

Zaten Mevcut Olanı Resmileştirmek

Endüstri ne adlandırırsa adlandırsın, “Know Your Agent” (Ajanını Tanı) ayrı bir disiplin olup, mevcut müşteri ve iş durum tespiti uyum ekiplerinin bir alt kümesi değildir. Gidişat neredeyse tartışmasızdır: AI Yasası’nın uygulama aşaması, Singapur’un yönetişim çerçevesi ve sorumluluk konusundaki ortaya çıkan hukuki mutabakat aynı hedefe işaret ediyor; kim ya da neyin hareket etmesine izin verileceği ve hangi otorite altında olacağına dair resmi kurallar.

Tek gerçek soru zamanlamadır; finansal kurumlar bu disiplini zorunluluk gelmeden önce mi inşa edecek yoksa sonradan mı toplamak için koşacak? Düzenleyiciler ikincisini nadiren ödüllendirir. Ve daha zor problem, kuralların her iki tarafında da aynı şekilde gizlidir: kurumun karşısındaki müşteri artık güvenilir bir kişi değildir ve hiçbir evrak akışının sadeleştirilmesi, bir hesabın arkasındaki insanın güvenilirliğini artırmaz.