Tek bir çeyrekte, yapay zeka riskini ölçekte yönetmek için gerekli yeteneklere ve yönetişime sahip olduğunu söyleyen ABD'li üst düzey yöneticilerin oranı %57'den %73'e çıktı (KPMG, 2026). Kabaca aynı dönemde, kontrolleri doğrudan ajanlarının içine yerleştiren — izleme ve değerlendirme prosedürleriyle birlikte — kuruluşların oranı, iki çeyrek önceki %43'ten %30'a geriledi. KPMG nedeni tek bir cümlede veriyor: birçoğu "hâlihazırda mevcut olan koruma bariyerlerine" güveniyor.
Aynı araştırma. Aynı şirketler. Ajana en yakın duran kontroller sökülürken güven yükseldi.
Üçüncü sayı, bu çeyrekte bir kararı değiştirmesi gereken sayı. Çok ajanlı sistemleri aktif olarak geliştiren veya devreye alan kuruluşların oranı, önceki iki çeyreğin her birinde %6 iken %25'e tırmandı. Karmaşıklık tam da gömülü kontrolün inceldiği anda birikiyor ve yapay zeka ajan yönetişiminden, başka bir problem için kurulmuş bir altyapı üzerinde çalışması bekleniyor.
KPMG gerçekte neyi ölçtü
Araştırma 24 Temmuz – 25 Ağustos 2026 arasında yürütüldü ve yıllık geliri 1 milyar dolar ve üzeri olan kuruluşlardan 314 ABD'li üst düzey yönetici ile iş birimi liderinin görüşlerini topladı; bunların üçte birinden fazlası 10 milyar doların üzerindeydi (KPMG, 2026). Bu örneklem önemli ve buna geri döneceğim.
İki hareket zıt yönlere gidiyor:
| Gösterge | 2026 3. çeyrek | Önceki ölçüm |
|---|---|---|
| Yapay zeka riskini ölçekte yönetecek yetenek ve yönetişime duyulan güven | %73 | %57 (önceki çeyrek) |
| Kontrolleri kendi ajanlarına gömme, izleme ve değerlendirmeyle birlikte | %30 | %43 (iki çeyrek önce) |
| Çok ajanlı sistemleri aktif geliştirme veya devreye alma | %25 | %6 (önceki iki çeyreğin her birinde) |
| Yapay zeka ajanı kurma, devreye alma veya geliştirme | %62 | %53 (önceki çeyrek) |
| Ajanların özerk karar vermesine izin verilmeyen tanımlı yüksek riskli kullanım senaryoları | %49 | %28 (2025 3. çeyrek) |
| Uygulanmış kullanım veya token bütçeleri | %43 | — |
Finansal disiplin gerçekten iyileşiyor: %74'ü artık yapay zeka onay süreçlerine maliyet incelemesi dahil ediyor — önceki çeyrekte bu oran %61'di — ve %70'i yapay zeka izleme panoları kullanıyor. Bu, savruk kuruluşların hikâyesi değil. Bu, yönetişimin bir boyutta olgunlaşırken — harcama, görünürlük, onay süreci — başka bir boyutun sessizce serbestleştiği bir hikâye.
Yapay zeka ajan yönetişimine duyulan güven kontrolü neden geçti
"Hâlihazırda mevcut koruma bariyerleri" ifadesi hayli ağır bir yük taşıyor; dolayısıyla bu bariyerlerin ne olduğunu sormaya değer.
KPMG'nin kendisi, kuruluşların kontrol katmanına neleri dahil ettiğini sıralıyor: veri erişim kontrolleri (%59), güvenlik ve kimlik kontrolleri (%53), yapay zeka çıktılarının izlenmesi (%47), politika ve koruma bariyeri uygulaması (%42) ve model erişim yönetimi (%40) (KPMG, 2026).
Bu listeyi bir operasyon yöneticisi gözüyle yeniden okuyun. Her madde erişimi yönetiyor: bir modelin hangi sistemlere ulaşabileceğini, hangi kimliği taşıdığını, hangi modelin çağrılabileceğini ve çıktıların sonradan kabul edilebilir görünüp görünmediğini. Hiçbiri bir ajanın ortaya çıkardığı soruyu yanıtlamıyor: bu ajan, dışarıdan görünür olan şu belirli eylemi yapabilir mi; kimin adına, hangi bütçenin içinde ve onu iş sürerken kim geri alabilir?
Çevre güvenliği kontrolleri gereklidir ve ajanla birlikte yolculuk etmezler. Meşru biçimde kimlik doğrulaması yapmış, yalnızca onaylı sistemlere ulaşan ve onaylı bir model çağıran bir ajan, yine de bir müşteriye yanlış e-postayı gönderebilir, politika dışı bir iade düzenleyebilir ya da şirketi bir tedarikçiye karşı yükümlü kılabilir. Bunların hiçbiri erişim ihlali değildir. Her biri bir eylem yetkisi sorusudur ve eylem yetkisi tam olarak o %30'un inşa ettiği, 13 puan değerinde şirketin ise inşa etmeyi bıraktığı şeydir.
Açık, dağıtımın en hızlı olduğu yerde en geniş
İyi sınırlanmış bir aracı çağıran tek bir ajan, çevre kontrolleri altında yönetilebilir bir durumdur. Bir ajanın çıktısının başka bir ajanın talimatı hâline geldiği çok ajanlı bir sistem ise değildir; çünkü ikisinin arasında hiçbir çevre yoktur. Bu yapılandırma iki çeyrekte %6'dan %25'e çıktı. Kontrol modeli tam da yönettiği mimarinin akıl yürütmesi zorlaştığı anda inceliyordu.
Kimsenin yüksek sesle söylemediği maliyet açıklaması
Ajanlara gömülü kontrollerin kesilmesinin gösterişsiz bir nedeni var ve bu neden rehavet değil.
McKinsey'in QuantumBlack ekibi, üretimde çalışan bir ajanın değişken işletme maliyetini fiyatlandırdı ve bankacılıkta bir müşteri hizmetleri görevi için token maliyetlerinin sıklıkla değişken işletme maliyetlerinin yalnızca yüzde 20 ila 25'ini oluşturduğunu, insan gözetiminin ise yüzde 70 ila 75'ini oluşturduğunu buldu (McKinsey QuantumBlack, 2026). Müşteri kazanımında, ajan çalıştırmalarının yüzde 10 ila 20'sinin risk ve fonksiyon uzmanları tarafından incelenmesini bekliyorlar.
Gözetim, bir ajanın iş gerekçesinde yuvarlama hatası değildir. İş gerekçesinin kendisidir. Bu da şu anlama gelir: bir eylemin yoluna insan koyan her kontrol, görünür, yinelenen ve ölçülebilir bir marj maliyetidir — ve bir pano her şeyin yolunda olduğunu söylediği anda, bu satır kesinti sırasında savunması en kolay satır hâline gelir.
KPMG'nin iki eğrisinin arkasındaki mekanizma budur. Artan güven kontrollerin düşmesine neden olmadı. Artan güven, henüz gürültülü biçimde başarısız olmamış pahalı bir kontrolü sürdürme gerekçesini ortadan kaldırdı.
Tasarımla kontrolün karşı kanıtı
Ajanlara gömülü kontrolleri inceltmek yalnızca akılcı bir verimlilik olsaydı, bunu yapan şirketlerin daha iyi performans göstermesi gerekirdi. Mevcut kanıtlar tersini işaret ediyor.
IBM'in Institute for Business Value kuruluşu, C seviyesinde 2.000 teknoloji yöneticisiyle anket yaptı ve kontrolü doğrudan yapay zeka sistemlerine gömen kuruluşları, manuel yönetişime dayananlarla karşılaştırdı. Tasarımla kontrol grubu %25 daha az olay, 16 kat daha fazla devreye alınmış yapay zeka ajanı, %18 daha yüksek faaliyet marjı ve 4 kat daha az yapay zeka bütçesi tüketimi bildirdi (IBM Institute for Business Value, 2026).
Gömülü kontrol, dağıtımın freni olmadı. Dağıtımı ölçeklenebilecek kadar sürdürülebilir kılan şey oldu: fiilen çalışan ajan sayısında 16 kat fark.
Aynı çalışma güven rakamını rahatsız edici bir ışığa taşıyor: bu teknoloji yöneticilerinin %77'si yapay zeka benimsemesinin yönetişim kapasitelerini zaten aştığını söyledi, üçte ikisi tam olarak kontrol etmedikleri yapay zeka sistemlerinden sorumlu tutulduğunu bildirdi ve örneklemdeki ortalama kuruluş bir yılda 54 ajan olayı kaydetti; bunların %17'si kontrol altına alınması için dört saatten fazla sürdü. KPMG'nin katılımcıları ağırlıklı olarak üst düzey yöneticiler ve iş birimi liderleri. IBM'inkiler ise olay anında çağrılacak CIO'lar ve CTO'lar. %73 ile %77 zorunlu olarak çelişmiyor; yalnızca güveni olaya farklı uzaklıklardan ölçüyor olabilirler.
Dürüst itiraz
Üç sınır, açıkça söyleniyor.
Bu, 1 milyar dolar ve üzeri gelirli bir örneklem ve bu durum apaçık okumanın aleyhine işliyor. Bu şirketlerin üçte birinden fazlasının geliri 10 milyar doların üzerinde. 200 çalışanlı bir şirket, bu yöneticilerin geri çekildiği kimlik yönetimi, erişim araçları ve güvenlik incelemesine sahip değil. Dolayısıyla bulgu "büyük şirketler gevşiyor, bizde sorun yok" biçiminde taşınmaz. Daha zorlu hâliyle taşınır: burada güvenilen mevcut koruma bariyerleri orta ölçekli pazarda büyük ölçüde yoktur; bu da ajana gömülü kontrolü daha az isteğe bağlı kılar, daha fazla değil.
Güven kendi beyanına dayanıyor; kontrol rakamı da öyle. Bu kuruluşları kimse denetlemedi. Bir çeyrekte %57'den %73'e çıkmak, bir inanç için geniş bir hareket ve inançlar yeteneklerden daha hızlı yeniden fiyatlanabilir. %73'ü bir olgunluk değerlendirmesi değil, bir algı ölçümü olarak okuyun.
Daha fazla gözetim tekdüze biçimde daha iyi değildir ve bu yazı aksini iddia etmemeli. Gans ve Holden, eylemlerini gizleyebilen ajanların gözetimini modelliyor ve daha güçlü denetimin kötü davranışı caydırırken ihlale devam eden ajanlarda gizlemeyi artırdığını gösteriyor; böylece yakalama oranı — ihlal eden bir ajanı tespit etme olasılığı — denetim arttıkça düşebilir (Gans & Holden, NBER, 2026). Caydırıcılık koşulları belirli: bir ihlalin kanıtı gizlemeye dayanmalı, ajan harekete geçmeden önce denetim çekilişini öğrenememeli ve yaptırımlar görevin ödülünün kaybıyla sınırlı kalmak yerine ölçeklenebilmeli. Çıkarım "daha fazla inceleme ekleyin" değil. Çıkarım şu: kontrolün tasarımı kontrolün hacmini yener ve denetlenen şeyin değiştiremeyeceği denetim kayıtları, inceleme sıklığından daha fazla iş yapar.
Sıradaki ajan devreye girmeden önce neyin kurulması gerekir
Dört hamle. Hiçbiri platform programı gerektirmiyor ve KPMG'nin kendi verileri her birinin zaten sınır ötesi bir talep değil, olağan uygulama olduğunu gösteriyor.
- Önce "asla özerk değil" listesini yazın. Bu kuruluşların %49'u, ajanların özerk karar vermesine izin verilmeyen yüksek riskli kullanım senaryolarını tanımladı; bir yıl önce bu oran %28'di. Bu bir belgedir, bir satın alma değil. Herhangi bir şey bunlara karşı devreye alınmadan önce, her zaman insan kararı gerektiren eylem sınıflarını adlandırın.
- Her ajana bir üst sınır koyun. %43'ü zaten kullanım veya token bütçesi işletiyor. İşlem başına ve aylık bir limit belirleyin; böylece bir arıza açık uçlu değil sınırlı bir maliyete yol açar ve finansla konuşma bir sürpriz yerine bir üst sınır üzerinden yürür.
- Her ajana adı belli bir kişiyi bağlayın, programa değil. "Yapay zeka komitesi gözetimden sorumludur" bir sahip değildir. Otomatikleştirmediğiniz eylem sınıflarını onaylayan ve talep açmadan özerkliği geri alabilen belirli bir kişi sahiptir.
- Denetim kaydını ajanın yazamayacağı hâle getirin. Gizleme bulgusunun operasyonel okuması budur: eylemi, onaylayanı ve geri alma işlemini tam gerçekleştikleri anda, ajanın değiştiremeyeceği bir yerde kaydedin. İnceleme sıklığı sonradan ayarlanabilir; kanıt bütünlüğü sonradan eklenemez.
Bu dördü aynı zamanda EU AI Act'in insan gözetimi yükümlülükleri karşısında en savunulabilir tasarımdır; bu, yapma gerekçesi değil yararlı bir yan etkidir. Eylem başına onay ile kazanılmış özerkliğin nasıl yapılandırıldığına dair çalışan bir referans isterseniz — ad taşıyan onay talepleri, ajan başına değil eylem türüne göre verilen özerklik, yanıtlanmadığında sessizce geçmek yerine süresi dolan talepler ve her ajanın üzerinde zorunlu bir insan süpervizör — Scovai Digital Employee yönetişim modelini kamuya açık biçimde belgeliyor.
Daha derin nokta, bir güven rakamının yapay zeka ajan yönetişimi hakkında size ne söyleyebileceği ve ne söyleyemeyeceğiyle ilgili. %73 yanlış değil; o şirketler harcama, erişim ve görünürlük etrafında gerçek bir yönetişim kurdu. Bıraktıkları kontroller ise bir ajanla dünyadaki bir eylem arasında duran kontrollerdir ve bir izleme panosundaki hiçbir şey, bir şey çoktan olmadan önce bunların yokluğunu bildirmeyecektir.
Sıradaki ajanınız devreye girmeden önce, kimseye sormadan yapabileceği eylemlerin listesini bulun. Bu liste kâğıt üzerinde yoksa, boş değildir — yalnızca yazılmamıştır.
