Agentic AI Çağında GRC’nin Evrimi: Excel Tablolarının Sonu

Yapay zeka dünyası, “metin üreten” modellerden (Generative AI), “eylem gerçekleştiren” ve otonom kararlar alan sistemlere (Agentic AI) hızla geçiş yapıyor. Bu devrim, hukuk ve teknoloji dünyasının en köklü disiplinlerinden biri olan GRC (Yönetişim, Risk ve Uyum) süreçlerini temelinden sarsıyor. Taimur Ijlal’in de belirttiği gibi, artık Excel tabanlı statik kontrol listeleriyle bu yeni nesil otonom sistemleri yönetmek mümkün değil.

Bir dijital dönüşüm mimarı ve bilişim hukukçusu olarak, “Aracı Yapay Zeka” çağında GRC’nin neden ve nasıl evrilmesi gerektiğini analiz ediyorum:

1. Statik Denetimden Dinamik İzlemeye

Geleneksel GRC, genellikle yılda bir veya belirli aralıklarla yapılan statik denetimlere dayanır. Ancak Agentic AI, saniyeler içinde binlerce karar alabilen dinamik bir yapıdadır. Bu sistemleri denetlemek için GRC süreçlerinin de “gerçek zamanlı” ve “otomatik” hale gelmesi gerekir. Artık denetim, geçmişe bakmak değil, anlık akışı izlemek demektir.

2. “Kara Kutu” (Black Box) Riskini Yönetmek

Agentic AI sistemleri karmaşık algoritmalarla karar verir. Eğer bir yapay zeka ajanı, hukuka aykırı bir finansal işlem yapar veya veri sızıntısına yol açarsa, sorumluluğu kime yükleyeceğiz? GRC stratejileri artık sadece “çıktıları” değil, yapay zekanın “muhakeme süreçlerini” de şeffaf ve açıklanabilir (Explainable AI – XAI) kılacak protokoller içermelidir.

3. Politika Olarak Kod (Compliance as Code)

Excel tabanlı kontrol listelerinin ölümü, yerini “kod olarak uyum” yaklaşımına bırakıyor. Hukuki kısıtlamalar ve etik kurallar, artık dokümanlarda pasif birer madde olarak değil, yapay zeka ajanlarının çalışma mantığına gömülü aktif kısıtlamalar (guardrails) olarak var olmalıdır. Sistem, kural ihlali yapamayacak şekilde tasarlanmalıdır.

4. Otonom Risk Değerlendirmesi

Yapay zeka ajanı sadece risk yaratmaz, aynı zamanda riskleri tespit de edebilir. Yeni nesil GRC sistemleri, potansiyel uyum ihlallerini insan fark etmeden önce sezen ve engelleyen “otonom uyum ajanları” içermelidir. Bu, savunmadan saldırıya (proaktif uyum) geçiş demektir.

Oyun Değiştirici Perspektifi: Mimari Dönüşüm Şart

Bilişim hukuku ve ISO 27001 tetkikçisi vizyonumla şunu net bir şekilde ifade edebilirim: Agentic AI bir “araç” değil, bir “çalışandır”. Bir çalışanı nasıl yönetiyor, yetkilendiriyor ve denetliyorsanız; yapay zeka ajanlarını da aynı ciddiyetle, ancak dijital hızda yönetmelisiniz. 2026’da kazananlar, Excel dosyalarını kapatıp “Yönetişim Mimarisini” kod düzeyinde kuranlar olacaktır.

---

Soru – Cevap (SSS)

Soru: Agentic AI (Aracı Yapay Zeka) nedir?

CEVAP: Sadece kendisine sorulan sorulara yanıt veren değil, belirli hedeflere ulaşmak için bağımsız plan yapabilen, araçları kullanabilen ve otonom kararlar alabilen yapay zeka sistemleridir.

Soru: Excel tabanlı GRC neden artık yetersiz kalıyor?

CEVAP: Excel statiktir, manuel giriş gerektirir ve yapay zekanın milisaniyeler içinde gerçekleştirdiği binlerce işlemi takip etme kapasitesine sahip değildir. Yapay zeka hızındaki bir dünyada, manuel kontrol listeleri her zaman geç kalacaktır.

Soru: “Compliance as Code” (Kod Olarak Uyum) nasıl uygulanır?

CEVAP: Hukuki metinlerin mantıksal algoritmalara dönüştürülerek, yazılımın içine “eğer şu kural ihlal edilirse işlemi durdur” şeklinde gömülmesiyle uygulanır.

Soru: Yapay zeka ajanı bir suç işlerse hukukçuların yaklaşımı ne olur?

CEVAP: Hukukta “sorumluluğun devredilemezliği” esastır. Bu durumda sistemi işleten kurumun ve mimariyi kuran yöneticilerin “gözetim yükümlülüğünü” (duty of care) yerine getirip getirmediğine bakılır.

Soru: GRC süreçlerinde yapay zekaya ne kadar güvenebiliriz?

CEVAP: Yapay zeka, GRC süreçlerini hızlandırabilir ancak son etik ve hukuki takdir her zaman bir “insan denetçide” (Human-in-the-loop) kalmalıdır. Güven, doğrulanabilir denetim izleriyle (Audit Trails) desteklenmelidir.

---

Kaynaklar

• Taimur Ijlal – How GRC Must Evolve in the Age of Agentic AI
• NIST AI Risk Management Framework (AI RMF)
• ISO/IEC 42001 – Information technology — Artificial intelligence — Management system
• Özgür Eralp – Yapay Zeka Yönetişimi ve Hukuki Risk Analizleri
• EU AI Act – Risk-based Approach for Autonomous Systems

---

Etiketler

GRC, Agentic AI, Generative AI, Bilişim Hukuku, Dijital Dönüşüm, Uyum Yönetimi, ISO 27001, Yapay Zeka Etikleri, Özgür Eralp, Oyun Değiştirici, Kurumsal Risk Yönetimi, Compliance as Code