Kurumsal AI Adoption Deneyimi: Mimari ve Yönetişim

Kurumsal AI'ın en yaygın tablosu, her biri bir sunumla başlayıp üretime hiç geçmeyen on beş pilot. Sebep çoğunlukla teknik değil: pilotun başarı ölçütü baştan yazılmamış, veri sahibi belli değil, işletme maliyeti hesaplanmamış. Çıkış yolu, senaryoları bir portföy gibi yönetmek. Her senaryo için tek sayfalık bir kart: hangi süreç, hangi metrik (ör. çağrı merkezinde ortalama işlem süresi), hedef eşik, veri sınıfı, risk seviyesi, aylık token bütçesi.

Pratik bir eşik: 8-12 hafta içinde üretim verisinde ölçülebilir etki göstermeyen pilot ya kapatılır ya da yeniden kapsamlanır. Portföyü değer ve risk eksenli bir matrise yerleştirmek, yüksek değerli ve düşük riskli işleri (iç dokümantasyon araması, kod inceleme özeti) öne alır; müşteriye karar veren sistemleri (kredi ön değerlendirmesi gibi) ise yönetişim altyapısı hazır olana kadar bekletir. Anti-pattern: her departmana 'kendi AI'ını bul' demek ve sonuçları toplamaya çalışmak.

Son 12 ayda üç şey netleşti. Birincisi regülasyon takvimi: AB'nin 2026/1744 sayılı Digital Omnibus tüzüğü 24 Temmuz 2026'da yayımlandı ve 27 Temmuz'da yürürlüğe girdi. Ek III kapsamındaki yüksek riskli sistemler için tarih 2 Aralık 2027, ürünlere gömülü sistemler için 2 Ağustos 2028 oldu; Madde 50 şeffaflık yükümlülükleri ise 2 Ağustos 2026'dan beri uygulanıyor.

İkincisi protokol katmanı: MCP'nin 2026-07-28 sürümü protokol düzeyindeki session'ı kaldırdı, her isteği kendi kendine yeterli hale getirdi, OAuth tarafında issuer doğrulamasını zorunlu kıldı ve Dynamic Client Registration'ı deprecated ilan etti. Bu, MCP trafiğini sıradan bir gateway arkasında yük dengelemeyi kolaylaştırıyor. Üçüncüsü ölçüm: OpenTelemetry'nin GenAI semantik kuralları Haziran 2026'da ayrı bir repoya taşındı ama hâlâ Development statüsünde, yani öznitelik adları değişebilir.

Kurum içindeki tabloya gelince, Stack Overflow 2026 anketinde katılımcıların yalnızca yüzde 24'ü kurumunun onaylı araç listesi ya da AI politikası yayımladığını söylüyor; yüzde 38'i kullanım limiti, yüzde 27'si farklı işler için farklı modeller kullanıldığını belirtiyor. Gartner da Ekim 2025'te AI gateway'ler için ayrı bir Market Guide yayımladı.

Ekipler doğrudan sağlayıcı API'lerine bağlandığında üç şey kaybolur: kimin ne harcadığı, hangi verinin dışarı çıktığı ve modeli değiştirme esnekliği. Bunu çözen yapı, uygulamalarla modeller arasına konan bir AI gateway (yapay zekâ ağ geçidi). Tüm istekler buradan geçer; kimlik doğrulama kurumsal SSO ile yapılır, istek ve cevaplar loglanır, kişisel veri maskeleme ve prompt injection filtreleri burada çalışır, ekip bazında kota uygulanır.

Katmanları şöyle düşünmek işe yarar: altta model katmanı (bulut sağlayıcıları ve kurum içi açık ağırlıklı modeller), ortada gateway ve politika motoru, üstte bilgi katmanı (RAG indeksleri, MCP sunucuları) ve en üstte uygulamalar ile ajanlar. Somut fayda: bir sağlayıcının fiyatı ya da sözleşmesi değiştiğinde 40 uygulamayı tek tek değil, gateway'deki yönlendirme kuralını değiştirerek taşırsınız. Agent'lar yaygınlaştıkça gateway'in kapsamı da genişliyor: model çağrılarının yanında MCP tool çağrılarını da aynı politika katmanından geçirmek gerekiyor. MCP'nin 2026-07-28 sürümüyle protokol stateless hale geldiği için bu trafik artık yapışkan session (sticky session) gerektirmeden yük dengelenebiliyor. Anti-pattern: API anahtarlarının ekip Slack kanallarında dolaşması.

Kurumsal asistanların çoğu RAG (retrieval-augmented generation, modele cevap üretmeden önce ilgili belgeleri getirip bağlama ekleme) ile çalışır. Buradaki en sık hata, indeksin belge erişim yetkilerini taşımaması. İK klasöründeki maaş tablosu indekse girer, satış stajyeri asistana sorduğunda cevap gelir. Kural basit: getirme adımı, soran kullanıcının kaynak sistemdeki yetkisiyle filtrelenmeli; indeks bir 'süper kullanıcı' gibi davranmamalı.

İkinci adım veri sınıflandırması. Dört seviyeli bir şema (genel, iç, gizli, çok gizli) çoğu kurum için yeterli. Politika örneği: 'gizli' veri yalnızca kurum içi barındırılan ya da veri işleme sözleşmesi imzalanmış ve verinin eğitimde kullanılmadığı teyit edilmiş modellere gider; 'çok gizli' veri hiçbir LLM bağlamına girmez. MCP (Model Context Protocol, modellerin araç ve veri kaynaklarına standart bir arayüzle bağlanmasını sağlayan protokol) sunucuları da aynı sınıflandırmaya tabi olmalı; her sunucu bir veri çıkış kapısıdır. MCP'nin 2026-07-28 sürümü, istemci kimlik bilgilerinin onları veren yetkilendirme sunucusuna bağlı kalmasını şart koşuyor; bu da her MCP sunucusunun yetki sahibini kurumun mevcut kimlik yönetimi içinde netleştirmeyi kolaylaştırıyor.

Yönetişim çoğu kurumda ya hiç yoktur ya da her talebi altı hafta bekleten bir komitedir. İkisi de AI kullanımını gölgeye iter: çalışanlar kişisel hesaplarla iş yapar. Dengeli model risk kademeli onaydır. Düşük risk (iç metin özetleme, kod tamamlama) için önceden onaylı araç listesi ve self-servis erişim; orta risk (müşteri verisine dokunan iç araç) için iki haftalık hafif inceleme; yüksek risk (insanlar hakkında karar veren ya da öneren sistemler) için hukuk, güvenlik ve iş biriminin ortak değerlendirmesi.

Bunu taşıyan çerçeveler mevcut: ISO/IEC 42001 (2023'te yayımlanan, AI yönetim sistemi kurmayı tarif eden standart) ve NIST AI RMF. NIST, AI RMF 1.0'ı revize ettiğini duyurdu ve Nisan 2026'da kritik altyapı için hazırlanacak bir profilin ön notunu (concept note) yayımladı. Sertifika almak şart değil, ama rol tanımı, risk değerlendirmesi ve sürekli iyileştirme döngüsünü bu yapılardan ödünç almak işi hızlandırır. Somut çıktı: her AI sisteminin sahibi, amacı, veri kaynağı ve son değerlendirme tarihi yazılı olan bir envanter.

Avrupa'ya ürün ya da hizmet satan Türk şirketleri için AB Yapay Zekâ Yasası doğrudan gündemde. 24 Temmuz 2026'da AB Resmî Gazetesi'nde yayımlanan ve 27 Temmuz'da yürürlüğe giren 2026/1744 sayılı Digital Omnibus tüzüğü takvimi değiştirdi: Ek III kapsamındaki yüksek riskli sistemler (işe alım, kredi skorlama, eğitimde değerlendirme gibi) için yükümlülükler 2 Aralık 2027'ye, ürünlere gömülü yüksek riskli sistemler (Ek I) için 2 Ağustos 2028'e kaydı. Madde 50'deki şeffaflık yükümlülüklerinin büyük kısmı ise 2 Ağustos 2026'dan beri uygulanıyor; bu tarihten önce piyasaya çıkmış üretken sistemlerin sentetik içerik işaretlemesi için 2 Aralık 2026'ya kadar süresi var. Madde 50 ihlallerinde ceza tavanı 15 milyon avro ya da yıllık küresel cironun yüzde 3'ü.

Türkiye tarafında KVKK, Kasım 2025'te üretken yapay zekâ ve kişisel verilerin korunmasına dair bir rehber yayımladı; veri sorumlusu ve veri işleyen rollerinin belirlenmesi, halüsinasyon ve önyargı riskleri, çıktıların insan denetimiyle doğrulanması öne çıkan başlıklar. Mart 2026'da da gölge AI ve Agentic AI üzerine iki rehber daha yayımladığı aktarılıyor; bu rehberler bağlayıcı değil ama denetimde referans alınması bekleniyor. Temmuz 2026 tarihli bir hukuk değerlendirmesine göre TBMM'deki üç yapay zekâ teklifi hâlâ teklif aşamasında. Erteleme bir rahatlama fırsatı değil: yüksek riskli sistemin teknik dokümantasyonu ve kayıt tutma altyapısı 14 ayda sıfırdan kurulmaz.

Kurumsal AI faturası genellikle sessizce büyür. Tipik senaryo: bir iç asistan her soruda 30 sayfalık bağlam gönderiyor, kullanım ayda 50 bin soruya çıkıyor ve fatura bir çeyrekte beklentinin birkaç katına ulaşıyor. Bunu yönetmenin yolu, AI harcamasını bulut harcaması gibi ele almak: ekip ve senaryo bazında etiketleme, aylık bütçe, eşik aşıldığında uyarı.

DORA'nın 2026 ROI raporu, Stanford AI Index verisine dayanarak çıkarım (inference) maliyetinin Kasım 2022 ile Ekim 2024 arasında yaklaşık 280 kat düştüğünü ve asıl maliyet yükünün yönetişime kaydığını hatırlatıyor. Mimari kaldıraçlar da var. Model yönlendirme: basit sınıflandırma işini küçük modele, karmaşık akıl yürütmeyi büyük modele göndermek. Prompt önbellekleme: sabit sistem talimatlarını ve sık kullanılan belgeleri önbelleğe alarak tekrar eden bağlam maliyetini düşürmek. Toplu işleme: gerçek zaman gerektirmeyen işleri (gece raporu, belge etiketleme) batch API'lerle daha düşük birim fiyata çalıştırmak. Ölçülmesi gereken asıl metrik token sayısı değil, iş sonucu başına maliyet: çözülen destek talebi başına, incelenen sözleşme başına.

Geleneksel yazılımda bir fonksiyonun doğru çalıştığını testle gösterirsiniz. LLM tabanlı sistemlerde aynı girdi farklı çıktı verebilir, model sürümü değiştiğinde davranış kayar. Bu yüzden her üretim senaryosu için bir eval seti (değerlendirme seti, beklenen davranışı tanımlayan örnek girdi-çıktı koleksiyonu) gerekir. Başlangıç için 50-200 gerçek örnek yeterli; her model ya da prompt değişikliğinde bu set çalıştırılır ve skor eşiğin altına düşerse değişiklik yayına alınmaz.

Üretimde ise gözlemlenebilirlik: her isteğin izini (hangi belgeler getirildi, hangi araçlar çağrıldı, ne kadar sürdü, kaç token harcandı) tutmak. OpenTelemetry'nin üretken yapay zekâ semantik kuralları bu izleri standart bir formatta toplamaya yarıyor. Ekim 2026 itibarıyla bu kurallar hâlâ Development statüsünde ve Haziran 2026'da ayrı bir repoya taşındı; bu yüzden instrumentation kütüphanesinin sürümünü sabitlemek ve öznitelik adlarını kodda tek bir yerde tutmak gerekiyor. Claude Code, Codex ve VS Code Copilot gibi kodlama Agent'ları da bu formatta Trace üretmeye başladı. Somut alarm örnekleri: cevapların yüzde 5'inden fazlası 'bilmiyorum' ile dönüyorsa getirme katmanı bozulmuş olabilir; ortalama gecikme iki katına çıktıysa sağlayıcı tarafında sorun olabilir.