AI Act ve Yapay Zeka Ajanları (AI Agents): Sorumluluk, Kimlik ve Ödeme Yetkilendirmesi

AI Act, yapay zeka ajanlarını ayrı bir kategori olarak tanımlamaz; ajanın yaptığı işe göre mevcut risk çerçevesi uygulanır. Bir ajan finansal karar verir, kredi değerlendirir veya ödeme başlatırsa yüksek riskli kullanım alanına girebilir ve insan denetimi, açıklanabilirlik ile izlenebilirlik yükümlülüklerine tabi olur. Asıl çözülmemiş alanlar ise ajan kimliği, yetkilendirme ve hukuki sorumluluktur.

Yapay zeka ajanı (AI agent) nedir?

Yapay zeka ajanı, bir hedefi yorumlayıp çok adımlı eylem planlayabilen ve dijital hizmetlerle kendi başına etkileşime girebilen yazılım sistemidir. Klasik bir yapay zeka modeli yanıt üretirken durur; bir ajan ise o yanıta dayanarak işlem başlatır. Örneğin bir ürün satın alır, bir aboneliği iptal eder veya bir ödemeyi tetikler. Finansta bu, yapay zekanın "karar desteği"nden "kullanıcı adına eyleme geçen aktör"e dönüşmesi anlamına geliyor. Özellikle ödeme kuruluşları, elektronik para kuruluşları, bankalar, açık bankacılık sağlayıcıları ve fintech şirketleri açısından bu dönüşüm, hem AI Act hem de ödeme regülasyonları kapsamında yeni uyum yükümlülükleri doğuruyor.

Uluslararası Para Fonu (IMF), 2026 tarihli notunda bu dönüşümü şöyle tanımlıyor: yapay zeka, finansal kararlara yardımcı olan bir araçtan, ekonomik aktörler adına hareket edebilen bir teknolojiye hızla evriliyor.

AI Act yapay zeka ajanlarını kapsıyor mu?

AI Act, "yapay zeka ajanı" diye ayrı bir kategori tanımlamaz. Bunun yerine ajanın hangi işlevi gördüğüne bakar. Bir ajan Annex III'te listelenen yüksek riskli bir alanda çalışıyorsa kredi değerliliği değerlendirme, sigorta fiyatlama, işe alım, kritik altyapı arkasındaki sistem yüksek riskli sayılır ve ilgili yükümlülükler devreye girer.

Ayrıca ajanların büyük çoğunluğu, az sayıda sağlayıcının (Anthropic, OpenAI, Meta, Mistral, xAI gibi) genel amaçlı yapay zeka (GPAI) modelleri üzerine kuruludur. AI Act'in Chapter V'i (Madde 51–56) bu GPAI sağlayıcılarına ayrı yükümlülükler getirir. AB AI Office'in yayımladığı ilk rehberler ve teknik değerlendirmeler, araç kullanımı ve artan özerklik seviyesinin gelecekteki risk değerlendirmelerinde önemli faktörler arasında yer alabileceğine işaret ediyor. Yani ajansı davranış, doğrudan düzenleyici dikkatin konusu.

Aşağıdaki tablo, yapay zeka ajanlarının yaygın finansal kullanım alanlarını AI Act risk düzeyine göre özetliyor:

Tablo yönlendirici niteliktedir; nihai sınıflandırma, ajanın çalıştığı somut bağlama ve verdiği kararın sonuç doğurma derecesine göre belirlenir.

Agentic AI'da sorumluluk: çözülmemiş soru

En zorlu hukuki başlık sorumluluk. Mevcut sorumluluk rejimleri insan niyeti ve doğrudan nedensellik varsayar; oysa otonom bir ajan bağımsız karar verdiğinde bu varsayımlar belirsizleşir. IMF notu bunu açıkça işaret ediyor: bir ajan, bir asıl (principal) adına işlem yaptığında, uyuşmazlık halinde sorumluluğun kime ait olduğu, ajanın yetkisi içinde hareket edip etmediğine ve zararın ajanın kendi davranışından mı kaynaklandığına bağlı hale geliyor.

Düzenleyici tarafta yön belli: Singapur, Ocak 2026'da dünyanın ilk ulusal agentic yapay zeka yönetişim çerçevesini yayımladı ve kuruluşların gönüllü uyumdan bağımsız olarak ajanlarının davranışından yasal olarak sorumlu kalmaya devam ettiğini netleştirdi. AB tarafında ise AI Act'in yüksek riskli sistem yükümlülükleri ile şeffaflık kuralları, açıklanabilirlik, izlenebilirlik ve insan denetimini yasal gereklilik haline getiriyor.

Ajan kimliği ve yetkilendirme: yeni altyapı katmanı

Bir ajan kullanıcı adına işlem yaparken cevaplanması gereken soru nettir: kim, kimin adına, hangi yetkiyle? Klasik kimlik ve erişim yönetimi (statik politikalar, insan kimlik doğrulaması üzerine kurulu) otonom ajanların dinamik, bağlama bağlı yetki ihtiyaçlarını karşılayamıyor.

Sektörde oluşmakta olan mutabakat, üç ilkeye dayanıyor:

• Sınıf değil örnek bazlı kimlik: Her ajanın kendi benzersiz kimliği olmalı; üstelik bir insan sponsora (named human sponsor) bağlı.
• Kısa ömürlü, eyleme özel yetki: Ajan, yapacağı tek bir işlem için ve o işleme özel kapsamda kimlik bilgisi almalı (just-in-time, per-action).
• Denetlenebilir kayıt: Hangi aracın çağrıldığı, hangi yetkinin verildiği, hangi veriye erişildiği ve ne sonuç üretildiği izlenebilir olmalı.

Bu alan henüz standartlaşmadı, ancak hızla kurumsallaşıyor. ABD'de NIST, Şubat 2026'da bir Yapay Zeka Ajan Standartları Girişimi başlattı ve bunun bir parçası olarak bir "Ajan Kimliği ve Yetkilendirme" kavram belgesi gündemine aldı. Bu, ajan kimliğinin artık akademik bir tartışma değil, somut bir düzenleyici ve standart başlığı haline geldiğini gösteriyor.

W3C DID ve Verifiable Credentials yaklaşımı

Ajan kimliğini ödeme yetkilendirmesine bağlayan öncü çalışmalar, merkezi bir güven otoritesine dayanmadan çalışan modeller öneriyor. Akademik literatürdeki bir örnek, ajan kimliklerini (W3C merkeziyetsiz kimlik, DID ve doğrulanabilir kimlik bilgileri, Verifiable Credentials) işlem yetkilendirmesine bağlayarak, ajan tarafından başlatılan her ödemenin hem meşru bir kimliğe hem de kullanıcı onaylı bir niyete (mandate) izlenebilmesini sağlıyor. Bu mimari, niyet doğrulamasını (intent verification) zincir üzerinde akıllı sözleşmelerle güvence altına alıyor.

Yapay zeka ajanları finansta nerelerde kullanılıyor?

Finansal kurumlar yapay zeka ajanlarını giderek daha geniş bir alanda deniyor. Öne çıkan kullanım alanları şunlar: kredi değerlendirme ve skorlama, dolandırıcılık tespiti, müşteri hizmetleri ve sohbet ajanları, yatırım ve portföy danışmanlığı, açık bankacılık veri toplama ve analizi, abonelik/fatura yönetimi ve kullanıcı adına ödeme başlatma. Bu alanların bir kısmı düşük riskliyken, kredi, sigorta ve ödeme gibi sonuç doğuran kararlar AI Act kapsamında daha ağır yükümlülükler doğuruyor.

Ajan tabanlı ödemeler: doğrulama ve niyet sorunu

Ödemeler, ajan otonomisinin en hassas olduğu alan. Geleneksel ödeme sistemleri işlemi açıkça onaylayan insan kullanıcılar varsayar. Ödemeler, devredilmiş yetkiyle hareket eden yazılım ajanları tarafından otonom olarak başlatıldığında, hem ajanın kimliğini hem de altta yatan kullanıcının niyetini doğrulamak belirgin biçimde karmaşıklaşıyor. Bu da insan aktörler için tasarlanmış sistemlerde kimlik doğrulama, hesap verebilirlik ve uyum açısından yeni sorular doğuruyor.

Sektördeki deneyler bu yönde ilerliyor: kart şemaları, ajanların önceden tanımlı limitler dahilinde satın alma niyeti oluşturduğu ajan-başlatımlı ödeme akışlarını test ediyor. Buradaki tasarım ilkesi, kararı veren katman (probabilistik, ajan) ile yetkilendirmeyi uygulayan katmanın (deterministik, politika kuralları) mimari olarak ayrılması: ajan ne önerirse önersin, nihai yetkilendirme kararı her zaman deterministik kurallar tarafından verilir.

Ödeme yetkilendirmesi ve AI Act'in kesişimi

Bir ajan kullanıcı adına ödeme başlatıyorsa, iki düzenleyici çerçeve aynı anda devreye girer: AI Act'in insan denetimi ve izlenebilirlik ilkesi ile ödeme regülasyonları (PSD2/PSD3, güçlü müşteri kimlik doğrulaması). Bu iki çerçevenin nasıl uzlaştırılacağı özellikle "güçlü müşteri kimlik doğrulaması" insan varlığını varsayarken ajanın otonom hareket etmesi  finansal ajan dağıtan şirketler için önümüzdeki dönemin en belirleyici uyum başlıklarından biri olacak.

Risk azaltma: mandat tabanlı yetkilendirme ve insan-döngüde modeli

IMF notu, ajan tabanlı ödemelerde öne çıkan riskleri yetkilendirme izlenebilirliği, opaklık, ilişkili ajan davranışı, siber güvenlik ve çözülmemiş hukuki sorumluluk sıralarken, bunları azaltmaya yönelik somut yaklaşımlar da öneriyor:

• Mandat tabanlı yetkilendirme: Ajan, kullanıcının önceden tanımladığı yetki çerçevesi dışına çıkamaz.
• Karar ile yürütmenin mimari ayrımı: Öneri üreten katman ile işlemi uygulayan katman ayrılır.
• Ajan kimlik çerçeveleri: Her ajan benzersiz ve izlenebilir kimliğe sahip olur.
• Programlanabilir ödeme kontrolleri ve denetim izleri.
• Kademeli insan-döngüde (human-in-the-loop) modelleri: İşlemin riskine göre insan onayı devreye girer.

Fintech'ler için pratik sonuç

Bir uzman gözlemin özetlediği gibi: mevcut çerçeveler modellerin ne söylediğini düzenliyor, ancak neredeyse hiçbiri ajanların ne yaptığını düzenlemiyor. Boşluk tam burada. AI Act'in yüksek riskli yükümlülükleri için son tarih Digital Omnibus ile 2 Aralık 2027'ye ertelenmiş olsa da, mimari yükümlülük ertelenmiyor: ajanın araç-sınırındaki (agent-to-tool) yetkilendirme kararlarını çalışma zamanında uygulayan katman, çoğu sistemde hâlâ mevcut değil.

Pratikte bu, finansal ajan kullanan veya geliştiren Türk fintech'leri için şu anlama geliyor: tarih ertelense bile, ajan kimliği, eyleme özel yetkilendirme, denetlenebilir kayıt ve insan denetimi mimarisini bugünden kurmak, hem AI Act'e hem de ödeme regülasyonlarına uyumun temelini oluşturuyor.

Çok ülkeli ve merkezi olmayan koordinasyon gerektiren ekosistemlerde Türk dünyası finansal birlikte çalışabilirlik çalışmaları buna bir örnek… DID ve Verifiable Credentials temelli ajan kimliği, hem AI Act'in izlenebilirlik beklentisini karşılayan hem de sınır ötesi güveni mümkün kılan pratik bir zemin sunabilir.

Sık Sorulan Sorular

AI Act yapay zeka ajanlarını (AI agents) kapsıyor mu?

AI Act yapay zeka ajanlarını ayrı bir kategori olarak tanımlamaz; ajanın yaptığı işe göre mevcut risk çerçevesi uygulanır. Bir ajan kredi değerliliği değerlendiriyor, kullanıcı adına finansal karar veriyor veya ödeme başlatıyorsa Annex III yüksek riskli kullanım alanlarına girebilir ve insan denetimi, açıklanabilirlik ile kayıt tutma yükümlülüklerine tabi olur.

Bir yapay zeka ajanı zarara yol açarsa kim sorumlu olur?

Mevcut sorumluluk rejimleri insan niyeti ve doğrudan nedensellik varsayar; otonom ajanlar bağımsız karar verdiğinde bu belirsizleşir. Uygulamada sorumluluk, ajanın yetkisi içinde hareket edip etmediğine ve zararın ajanın kendi davranışından mı kaynaklandığına bağlı olarak belirlenir. Singapur çerçevesi gibi yeni düzenlemeler, kuruluşların ajanlarının davranışından yasal olarak sorumlu kalmaya devam ettiğini teyit eder.

Ajan kimliği (agent identity) neden önemli?

Bir kuruluş ajanın eylemlerini izleyemiyor ve yetkisini kontrol edemiyorsa, sistemin güvenli veya yasal çalıştığını düzenleyiciye kanıtlayamaz. AI Act'in izlenebilirlik ve insan denetimi yükümlülükleri; her ajanın benzersiz kimliği, kısa ömürlü ve eyleme özel yetkilendirme, kapsamlı kayıt ve hızlı iptal mekanizması gerektirir.

AI Act ödeme yapan yapay zeka ajanlarını yasaklıyor mu?

Hayır. AI Act yapay zeka ajanlarını yasaklamaz. Ancak ödeme başlatan veya finansal karar veren ajanlar, kullanılan senaryoya bağlı olarak yüksek riskli kapsamda değerlendirilebilir ve insan denetimi, izlenebilirlik ile açıklanabilirlik gibi ek yükümlülüklere tabi olabilir.

İlgili rehber: AB Yapay Zeka Yasası (AI Act): Tam Rehber ve 2026 Güncellemeleri

Kaynaklar: IMF  "How Agentic AI Will Reshape Payments" (Note 2026/004); NIST AI Agent Standards Initiative (2026); Singapur Model AI Governance Framework for Agentic AI (2026); EUR-Lex  Regulation (EU) 2024/1689 (AI Act), Chapter V ve Annex III; akademik literatür (agent identity ve intent verification çalışmaları). Bu rehber düzenli olarak güncellenmektedir.