Kodun Ötesinde: AI Agent'larıyla Üreten İş Analistleri ve Mimari Sonuçları

Son 12 ayda analist ve iş birimi üretimi deney olmaktan çıktı, yönetişim gündemine girdi. Gartner Nisan 2026'da CIO'lara her iş biriminin kendi platformunu seçmesine izin vermemelerini ve AI citizen developer'lar için tek, yönetilen bir ortak zemin kurmalarını önerdi. Haziran 2026 tarihli 'Govern Vibe Coding for Citizen Developers With Self-Service Platforms' raporu daha keskin: vibe-coded uygulamaların yüzde 60'ı 2028'e kadar emekliye ayrılacak, yazılım ekiplerinin yüzde 30'u bunların bakımı yüzünden kapasite baskısı yaşayacak. Önerilen model iki katmanlı yönetişim: geliştirme kontrolleri ve dağıtım öncesi doğrulama.

Araç tarafında da tablo netleşti. Stack Overflow 2026 anketinde coding Agent'ları arasında Claude Code yüzde 66, GitHub Copilot yüzde 59 ile öne çıkıyor; otomasyon tarafında Make ve n8n yaygın. Aynı ankette katılımcıların yalnızca yüzde 24'ü kurumlarının onaylı araç listesi ya da AI politikası yayımladığını söylüyor. Yani çoğu şirkette zemin hâlâ kurulmamış. Avrupa'da ise AI Act takvimi kaydı: Mayıs 2026'daki uzlaşma Temmuz 2026'da 2026/1744 sayılı Digital Omnibus tüzüğüyle yürürlüğe girdi; yüksek riskli sistem yükümlülükleri 2 Aralık 2027'ye ertelendi.

Klasik akışta iş analisti gereksinimi yazar, geliştirici yorumlar, birkaç hafta sonra ortaya çıkan ekran beklentiden farklıdır ve döngü baştan başlar. AI ajanlarıyla analist aynı gereksinimi bir öğleden sonra içinde tıklanabilir bir prototipe çevirebiliyor. Bu, gereksinim belgesinin yerini çalışan bir örneğin aldığı anlamına geliyor.

Kazanç, yanlış anlamanın erken yakalanması. Paydaş bir PDF'teki kutucuklara değil, gerçek veriye benzeyen bir ekrana tepki verir. 'Bu filtreyi böyle düşünmemiştim' cümlesi geliştirme bittikten sonra değil, ilk gün duyulur.

Risk, prototipin ürün sanılması. Analistin ürettiği uygulama çalışıyor görünür, ama yetkilendirme, hata yönetimi, performans ve bakım düşünülmeden yazılmıştır. Ekiplerin baştan karar vermesi gereken soru şu: analistin çıktısı bir keşif aracı mı, yoksa prod'a giden bir ürünün ilk sürümü mü? İkisi farklı kurallar ister.

Analist üretimini tek bir kategori olarak yönetmek işe yaramaz. Pratikte üç seviye ayırmak gerekir. Birinci seviye keşif prototipi: sahte veya anonimleştirilmiş veriyle çalışır, prod sistemlere bağlanmaz, ömrü birkaç haftadır ve işi bitince atılır. İkinci seviye iç araç: az sayıda kullanıcısı olan, gerçek veriye salt okuma erişimi olan, onaylı bir platformda çalışan uygulama. Üçüncü seviye prod ürünü: müşteriye açık, SLA'lı, güvenlik incelemesinden geçmiş yazılım.

Her seviyenin kuralları farklı olmalı. Prototipte hız önceliklidir ve review neredeyse yoktur. İç araçta veri erişimi, kimlik doğrulama ve bir teknik sahip zorunludur. Prod'a geçişte ise kod bir mühendislik ekibine devredilir ya da onların standartlarına göre yeniden yazılır.

Anti-pattern: bir prototipin, kimse karar vermeden kullanıcı sayısı 5'ten 500'e çıkarak sessizce prod ürününe dönüşmesi.

Guardrail (koruma bariyeri), kullanıcının yanlış şey yapmasını yasaklamak yerine doğru şeyi yapmayı en kolay yol haline getiren sınırdır. Analist üretiminde guardrail'ler kurallardan çok platform kararlarıdır.

Somut örnekler: ajanın kullanabileceği hazır bir tasarım sistemi ve bileşen kütüphanesi, onaylı bir veri katmanı (analist doğrudan veritabanına değil, yetkilendirilmiş bir API'ye bağlanır), merkezi kimlik doğrulama, gizli anahtarların koda değil bir secret manager'a yazılması ve her uygulamanın tek tıkla kaldırılabildiği izole bir çalışma ortamı.

Ajan tarafında da guardrail kurulabilir. Ajan talimat dosyasında izinli kütüphaneler, yasak kalıplar (örneğin istemci tarafında SQL sorgusu) ve dosya yapısı tanımlanır. Statik analiz ve bağımlılık taraması her değişiklikte otomatik çalışır. Bu yaklaşımda analist kural ezberlemez; platform onu güvenli yola yönlendirir. Bir guardrail'in işe yarayıp yaramadığını anlamanın yolu basit: güvenli yolu izlemek hiçbir ek adım gerektirmiyor, onu aşmak ise ek çaba istiyorsa doğru tasarlanmıştır.

Analistin ürettiği bir uygulamanın en tehlikeli tarafı arayüzü değil, veriye nasıl ulaştığıdır. Ajana 'müşteri listesini göster' dendiğinde en kısa yol, prod veritabanına doğrudan bağlanmak ve bağlantı bilgisini koda gömmektir. Bu tek karar, kişisel veri sızıntısı, KVKK ihlali ve denetlenemeyen sorgular demektir.

Doğru mimari, analistin uygulamasını veriden bir katman uzakta tutar. Okuma için yetkilendirilmiş, satır ve kolon seviyesinde filtrelenmiş API'ler ya da view'lar sunulur. Yazma işlemleri, doğrulama yapan bir servis üzerinden gider. Prototip seviyesinde ise yalnızca sentetik veya maskelenmiş veri kullanılır. OWASP'ın Aralık 2025'te yayımladığı Top 10 for Agentic Applications listesinde kimlik ve yetki kötüye kullanımının (Identity & Privilege Abuse) ilk üçte yer alması, bu riskin teorik olmadığını gösteriyor. Avrupa'da çalışan şirketler için ayrıca AB AI Act takvimi var: Mayıs 2026'da varılan ve 27 Temmuz 2026'da yürürlüğe giren Digital Omnibus (2026/1744) ile Annex III yüksek riskli sistem yükümlülükleri 2 Aralık 2027'ye ertelendi, ama şeffaflık yükümlülüklerinin büyük kısmı Ağustos 2026'dan beri geçerli.

Pratik eşik: kişisel veri içeren bir tabloya erişen her analist uygulaması, en az bir veri sahibi onayı ve erişim kaydı gerektirmeli. Bir uygulamanın hangi verilere eriştiğini 5 dakikada listeleyemiyorsanız, o uygulamanın envanteri yok demektir.

Analist üretiminin değerli olması için prototipin bir yere varması gerekir. En sık görülen iki başarısızlık var: prototip çekmecede kalır ve geliştirici aynı şeyi sıfırdan yazar, ya da prototip olduğu gibi prod'a itilir. İkisi de israftır.

Daha iyi bir teslim yolu, prototipin yanında makinece okunabilir bir paket teslim etmektir: kabul kriterleri, örnek veri ile beklenen sonuçlar, ekran akışları ve analistin ajana verdiği talimatlar. Mühendislik ekibi bu paketi kendi mimarisinde yeniden üretmek için kullanır. Prototip burada bir spesifikasyon işlevi görür, kodu değil davranışı devredilir.

Bu yaklaşım spec-driven development fikriyle örtüşüyor: analistin asıl çıktısı ekran değil, doğrulanabilir bir davranış tanımıdır. Ölçü olarak devir sonrası 'bu ne yapmalıydı' sorusunun kaç kez sorulduğunu sayın; sayı düşüyorsa teslim yolu çalışıyordur.

Analist üretim yapmaya başladığında roller bulanıklaşır. Bir iç araç gece yarısı hata verirse kim bakacak? Bağımlılıklardan birinde güvenlik açığı çıkarsa kim güncelleyecek? Bu sorular cevapsızsa, uygulama ilk sorunda terk edilir.

Çalışan bir model şu: her analist uygulamasının bir iş sahibi (analist veya birimi) ve bir teknik sahibi (platform ya da mühendislik ekibinden biri) olur. İş sahibi davranıştan, teknik sahip çalışma ortamından ve güvenlikten sorumludur. Platform ekibi ise bireysel uygulamaları değil, onların üzerinde çalıştığı zemini yönetir.

Mühendislerin rolü de değişir. Her ekranı yazmak yerine guardrail'leri, şablonları, onaylı bileşenleri ve otomatik kontrolleri kurarlar. Bir platform mühendisi, 30 analistin güvenle üretmesini sağlayan zemini inşa ederek, tek başına yazabileceğinden çok daha fazla ürün çıktısına katkıda bulunur.

Analist üretimi başladığında birkaç ay içinde onlarca küçük uygulama ortaya çıkabilir. Bir envanter yoksa, hangilerinin hâlâ kullanıldığını, hangisinin hangi veriye eriştiğini ve hangisinin sahipsiz kaldığını kimse bilmez. Gölge BT tam olarak budur.

Asgari envanter her uygulama için şunları içermeli: sahibi, seviyesi (prototip, iç araç, prod), eriştiği veri kaynakları, kullanıcı sayısı, son değişiklik tarihi ve son kullanım tarihi. Bu bilgilerin çoğu platformdan otomatik toplanabilir.

Yönetim için birkaç basit kural yeterli: 90 gün kullanılmayan prototipler otomatik arşivlenir, kullanıcı sayısı belirli bir eşiği, örneğin 25'i geçen uygulama seviye incelemesine girer, kişisel veriye erişen her uygulama çeyrekte bir gözden geçirilir. Başarı metriği olarak üretilen uygulama sayısı değil, prod'a geçen ya da bir kararı hızlandıran prototip sayısı izlenmeli. Gartner'ın 2028 için öngördüğü yüzde 60'lık emeklilik oranı, envanteri olmayan şirketlerde bu uygulamaların kendiliğinden değil, bir olayla fark edileceği anlamına geliyor.