AI Ajan Yönetişimi: AB Kuralları, Google'ın Agent ID'si ile Buluşuyor

Giriş

Ağustos 2026’nın ilk haftasından iki duyuru, aynı değişime zıt yönlerden işaret ediyor. 2 Ağustos’ta, AB Yapay Zeka Yasası’nın şeffaflık kuralları uygulanabilir yasa haline geldi ve bir sohbet robotu, içerik üreticisi veya duygu okuyan sistem dağıtan herkesin bunu açıkça belirtmesini ya da 15 milyon Euro’ya kadar para cezasıyla karşılaşmasını gerektiriyor. Günler sonra, Google Cloud, Agent Identity sistemini genel kullanıma sundu — bir AI ajanının tam olarak neye erişebileceğini izleyen ve yaptığı her şeyi kaydeden yerel bir izin katmanı. Biri, ifşayı zorunlu kılan bir düzenleyici. Diğeri, hesap verebilirliği bir özellik olarak satan bir bulut platformu. Her ikisi de aynı sonuçta buluşuyor: kimsenin tanımlayamadığı, denetleyemediği veya hesap soramadığı bir AI ajanı, bir mahkeme öyle dese de demese de, üretime hazır değildir.

2 Ağustos’ta Ne Değişti

AB Yapay Zeka Yasası’nın 50. Maddesi şeffaflık yükümlülükleri, 2 Ağustos 2026’da AB genelinde ulusal yetkililer tarafından genel olarak uygulanabilir ve icra edilebilir hale geldi. Pratikte bu dört şeyi kapsar. Sağlayıcılar, kişilerin “bir AI sistemiyle karşı karşıya oldukları konusunda açıkça bilgilendirilmelerini sağlamalıdır, bağlamdan açıkça anlaşılmadığı sürece” — sohbet robotu ifşa kuralı. Sentetik ses, görüntü, video veya metin üreten sistemlerin sağlayıcıları, bu çıktıyı makine tarafından okunabilir, tespit edilebilir bir formatta işaretlemelidir. Gerçek kişilerin, yerlerin veya olayların deepfake’lerini üreten bir sistemi dağıtan herkes bunu ifşa etmelidir. Duygu tanıma veya biyometrik kategorizasyon sistemlerini dağıtanlar, bu sistemlere maruz kalan kişileri bilgilendirmeli ve AB veri koruma yasasına uygun hareket etmelidir.

Bunların hiçbiri konsept olarak yeni değil — Yapay Zeka Yasası yıllar önce imzalanmıştı. 2 Ağustos’ta değişen şey, bu belirli yükümlülüklerin bir uyumluluk yol haritasındaki gelecek bir tarih olmaktan çıkıp, ulusal düzenleyicilerin bugün fiilen uygulayabileceği bir şey haline gelmesidir.

İşinizi büyütmeye hazır mısınız?

Bugün ücretsiz denemenizi başlatın ve günler içinde sonuçları görün.

Demo talep et Giriş yap

2027 ve 2028’e Ertelenenler

Yasa’daki her şey planlandığı gibi gelmedi. 8 Temmuz 2026’da imzalanan Yapay Zeka Dijital Omnibus aracılığıyla AB, yüksek riskli sistem gereksinimlerini erteledi. Ek III kapsamındaki bağımsız sistemler — işe alım, eğitim, kolluk kuvvetleri, kritik altyapı gibi — artık 2 Aralık 2027’ye kadar süreye sahip. Tıbbi cihazlar veya asansörler gibi, Ek I kapsamında halihazırda düzenlenmiş ürünlere gömülü AI, 2 Ağustos 2028’e kadar süreye sahip.

Bu uzatma, “Yapay Zeka Yasası ertelendi” şeklinde yanlış okunması kolay olduğu için hassas olmayı hak ediyor. Öyle olmadı. Yasaklı uygulamalar listesi ve genel amaçlı AI model yükümlülükleri dokunulmamıştır. Ertelenen şey, özellikle yüksek riskli sınıflandırma gereksinimleridir — en ağır uyumluluk yükü, en dar sistem dilimi için. Ajanınız kullanıcılarla konuşuyor veya içerik üretiyorsa, halihazırda aktif olan yasanın kısmının içindesiniz.

Şeffaflık Kuralları Neden Önemli

Şeffaflık gereksinimi, “yüksek riskli sistem"in yanında mütevazı görünüyor, ancak çoğu AI ajan geliştiricisinin ilk karşılaşacağı kural budur. Müşteriye dönük bir destek ajanı, bir içerik üretim iş akışı, bir sesli asistan — bunların tümü insanlarla konuşan sistemlerdir, yani Madde 50, yüksek riskli olarak sınıflandırılıp sınıflandırılmayacaklarına bakılmaksızın geçerlidir. Bunu doğru yapmak karmaşık değil: kullanıcıya bir AI ile konuştuğunu açıkça söylemek, üretilen içeriği etiketlemek ve bunu yaptığınızı gösteren kayıtlar tutmak. Yanlış yapmak ise uyumluluk raporlamasının evrak işi olmaktan çıkıp, gerçek bir rakamı olan yasal bir risk haline geldiği yerdir.

Bültenimize katılın

En son ipuçlarını, trendleri ve teklifleri ücretsiz alın.

E-posta adresi

Abone ol

Google, Agent Identity’i Yayınlıyor

Google Cloud’un aynı temel soruna yanıtı tamamen farklı bir yönden geldi: hukuktan değil, altyapıdan. Şirket, Gemini Enterprise Agent Platform’unu bir dizi yeni ajan yönetişim temel bileşeniyle — Agent Memory Bank, Agent Runtime, Agent Gateway, Agent Registry, Agent Evaluation ve en dikkat çekici olarak Agent Identity — genel kullanıma sundu.

Agent Identity, açık standartlar üzerine inşa edilmiş, insan kullanıcı hesaplarından uyarlanmaktan ziyade özellikle otonom sistemler için tasarlanmış yerel bir IAM kimlik bilgisi türüdür. İzinleri doğrudan ajanın çalışma zamanına bağlayarak en az ayrıcalıklı erişimi zorunlu kılar, bu da çalınmış bir ajan tokeninin başka bir yerde tekrar kullanılabileceği yaygın bir saldırı yolunu kapatır. Bir ajanın yaptığı her eylemin inkâr edilemez günlüklerini üretir. Ve kimlik bilgisi yaşam döngüsünü otomatik olarak yönetir, böylece emekli edilmiş bir ajan, kötüye kullanılmayı bekleyen atıl, unutulmuş bir izin seti bırakmaz.

Agent Identity Gerçekte Ne Yapıyor

Pratik etkisi, “bunu hangi ajan yaptı ve yapmaya yetkili miydi?” sorusunun, olaydan sonra uygulama günlüklerinden yeniden oluşturulan bir tahmin yerine kesin bir cevabı olan bir soru haline gelmesidir. Bu, ajanlar soruları yanıtlamaktan eylemler gerçekleştirmeye — rezervasyon yapmak, kayıtları düzenlemek, para taşımak, dosyaları silmek — geçtikçe daha da önem kazanır. Yalnızca modelin kendisine prompt injection konusunda endişelenen bir LLM güvenliği duruşu, bu yüzeyin tamamını kaçırır: ajanın gerçek izinleri ve onlarla ne yaptığı.

İki duyurunun ilk bakışta göründüğünden daha fazla bağlantılı olduğu nokta da burasıdır. Madde 50, “bunun AI olduğunu ifşa ettiniz mi?” diye sorar. Agent Identity, ilgili ancak farklı bir soruyu yanıtlar: “bu belirli ajanın hangi izinlerle, kimin yetkisiyle tam olarak ne yaptığını kanıtlayabilir misiniz?” İkinci soruyu temiz bir şekilde yanıtlayabilen bir sistem, birinci soruyu çok daha kolay bulur.

İki Farklı Yol, Aynı Hedef

Bu kalıbı doğrudan adlandırmakta fayda var, çünkü tekrarlanmaya devam edecek. Düzenleyiciler, yasal risk açısından ifşa ve hesap verebilirlikte buluşuyor. Bulut platformları, güvenlik ve güvenilirlik açısından kimlik ve izinlerde buluşuyor. AI ajan çerçeveleri eskiden kimliği sonradan akla gelen bir şey olarak ele alırdı — filodaki her ajan arasında paylaşılan, bir ortam değişkeninde bir API anahtarı. Bu model, ne düzenleyici incelemeyle ne de gerçek bir güvenlik olayıyla başa çıkabilir; bu yüzden her iki yön de şimdi aynı düzeltmeyi işaret ediyor: hangi ajanın hangi erişimle ne yaptığını bilmek ve bunu gösterebilmek.

Halihazırda gerçek dünya AI ajan örnekleriyle — müşteri hizmetleri botları, araştırma asistanları, kodlama ajanları — deneyler yapan ekipler, bu değişimi ilk hissedecek olanlardır, çünkü üretimde hesap verilmesi gereken daha fazla eylem üreten daha fazla ajanları vardır. Bu, Claude Cowork ve rakiplerinin ajanları tek oturumluk sohbetten kalıcı, çok günlü görevlere ittiğinde gördüğümüzle aynı kalıp: daha fazla otonomi, onu yönetecek araçlardan her zaman bir adım önde gelir.

İlk Günden Yönetilebilir Ajanlar Oluşturmak

Denetim izlerini, bunları üretecek şekilde tasarlanmamış bir ajan filosuna sonradan eklemek sefil bir projedir — her eylem, var olan günlüklerden yeniden oluşturulmak zorundadır ve çoğu zaman yokturlar. Daha ucuz yol, bir ajanın attığı her adımın baştan itibaren görünür ve izlenebilir olduğu araçlar üzerinde inşa etmektir; tıpkı veri yönetişiminin veri soyunu, bir ihlalden sonra sonradan eklenen bir şey yerine birinci sınıf bir konu olarak ele alması gibi.

Temel modellerin hızı da burada önemlidir. Microsoft’un Orchard çerçevesi gibi son sürümler ve her şeyi yapan tek bir devasa genel amaçlı model yerine uzmanlaşmış, denetlenebilir ajanlara doğru daha geniş eğilim, kapsamı — ve dolayısıyla izinleri — dar ve tasarım gereği iyi tanımlanmış ajanlar oluşturmayı daha pratik hale getiriyor. Dar kapsamlı bir ajan, teorik olarak her şeyi yapabilen bir ajandan doğası gereği yönetilmesi daha kolaydır.

FlowHunt’un yaklaşımı aynı mantığı izler: bir AI ajan platformu olarak, her otomasyon bir kara kutu değil, görünür bir akıştır; böylece bir uyumluluk sorusu geldiğinde — bu ajan ne yaptı, neden ve hangi yetkiyle — cevap, ekibinizin son teslim tarihi baskısı altında yeniden oluşturmak zorunda kalacağı bir şey değil, zaten iş akışında duruyordur.

Sonuç

AB Yapay Zeka Yasası’nın şeffaflık kuralları ve Google’ın Agent Identity sistemi birbirleriyle koordine olmadı ve görünüşte farklı sorunları çözüyorlar — biri yasal uyumluluk, diğeri bulut altyapısı. Ancak aynı haftada, aynı temel gerçeği işaret ederek geldiler: AI ajanları daha otonom ve sonuçları ağır işler üstlendikçe, “ne yaptığını gerçekten bilmiyoruz” kabul edilebilir bir cevap olmaktan çıkıyor — soruyu soran bir düzenleyici ya da kendi güvenlik ekibiniz olsa bile. Kimliği, ifşayı ve denetlenebilirliği şimdi temel gereksinimler olarak ele alan ekipler — sonradan eklenecek özellikler olarak değil — hem uyumluluk hem de üretim olayları ortaya çıktığında bunları çok daha az acı verici bulacak olanlardır.