Bankalar AI ajanlarını operasyon, siber güvenlik ve iş akışlarında kullanmaya başladı. Fed ve Avrupa’daki düzenleyiciler neden daha sıkı denetim istiyor?
Bankalar yapay zekayı müşteri hizmetlerinde kullanmaya alışmıştı. Şimdi teknoloji bankanın içine, operasyonun ve karar süreçlerinin daha derinine giriyor. ABD ve Avrupa’daki düzenleyiciler de tam bu nedenle bankalara kullandıkları AI ajanlarını, bu ajanların hangi sistemlere eriştiğini, nasıl kontrol edildiğini ve bir hata durumunda kimin müdahale edeceğini daha sık sormaya başladı. Aynı gün ING Türkiye’nin ajan tabanlı yapay zekayı temel operasyonel süreçlerine taşıdığını açıklaması, tartışmanın Türkiye açısından da uzak bir gelecek meselesi olmadığını gösteriyor.
Bankacılıkta yapay zekanın ilk dönemi daha kolay anlaşılırdı. Müşteri sorusunu cevaplayan chatbot, belgeyi sınıflandıran model veya çalışana metin hazırlayan yardımcı yazılım belirli bir işi yapıyor ve sonucu insana bırakıyordu.
AI ajanlarında sınır genişliyor.
Bir ajan görevi parçalara ayırabiliyor, farklı sistemlerden bilgi toplayabiliyor, başka yazılımlarla etkileşime geçebiliyor ve belirli yetkiler çerçevesinde süreci uçtan uca ilerletebiliyor.
Bankalar açısından verimlilik potansiyeli yüksek. Düzenleyici açısından aynı özellik çok daha farklı bir soruyu beraberinde getiriyor.
Bir banka kendi adına hareket edebilen yazılıma ne kadar yetki verebilir?
Düzenleyiciler Artık Bankalara Ajanlarını Soruyor
Reuters’ın 13 Ekim tarihli haberine göre ABD’de Fed dahil bankacılık denetçileri kurumlara agentic AI kullanımlarını daha ayrıntılı biçimde sormaya başladı. Denetçilerin ilgilendiği konular arasında hangi ajanların devrede olduğu, hangi sistemlere eriştikleri, nasıl kontrol edildikleri ve işlemlerin sonradan denetlenip denetlenemediği bulunuyor. Avrupa’da ise ECB ve İngiltere Merkez Bankası tarafında siber dayanıklılık ve sistemlerin bozulması halinde bankaların nasıl toparlanacağı daha fazla önem kazanıyor.
Henüz bankalara tek tip yeni bir agentic AI kural seti dayatılmış durumda değil. Düzenleyiciler önce kullanımın nerelere ulaştığını ve mevcut kontrol mekanizmalarının ne kadar yeterli olduğunu anlamaya çalışıyor.
Bunu bankacılık açısından doğal buluyorum.
Çünkü bir AI modelinin çalışan için rapor taslağı hazırlamasıyla, aynı sistemin müşteri dosyasını inceleyip başka sistemlere bağlanması ve işlem akışını ilerletmesi arasında ciddi bir yetki farkı var.
Yetki büyüdükçe model hatası da teknoloji departmanının kendi içinde çözebileceği küçük bir sorun olmaktan çıkıyor.
ING Türkiye Ajanları Operasyonun İçine Aldı
Türkiye’de aynı tartışmayı somutlaştıran örnek ING Türkiye’den geldi.
ING Türkiye 13 Ekim’de ajan tabanlı yapay zekayı temel operasyonel süreçlerinin merkezine taşıdığını ve AI destekli otonom iş akışlarında yüzde 90’ın üzerinde başarı oranına ulaştığını açıkladı. Banka, ajanların çok adımlı görevleri planlayabildiğini, farklı sistemlerle etkileşim kurabildiğini ve süreçleri uçtan uca yürütebildiğini söylüyor.
Bu gelişmenin arkasında daha uzun bir hazırlık var. ING Türkiye 2025’te yapay zeka ve üretken yapay zeka tabanlı operasyonel dönüşüm programında yüzde 85 başarı oranına ulaştığını açıklamıştı. Bir yıl sonra söylem, üretken yapay zekadan otonom iş akışlarına doğru ilerliyor.
Bankanın açıklaması insan uzmanlığını sistemin dışında bırakmıyor. Ajanların operasyonel yükü azaltması ve çalışanların daha karmaşık görevlere zaman ayırması hedefleniyor.
Benim burada takip ettiğim konu başarı oranının kendisinden çok ajanlara hangi görevlerin verildiği ve yetkinin zaman içinde nereye kadar genişleyeceği.
Çünkü bankacılıkta yüzde 90 başarı bazı işlerde oldukça yüksek bir seviye olabilir. Para hareketi, kredi kararı, dolandırıcılık veya uyum gibi alanlarda ise kalan yüzde 10’un ne anlama geldiği çok daha hassas hale gelir.
Bankacılıkta Hata Her Süreçte Aynı Sonucu Yaratmıyor
AI ajanlarının bankacılığa girmesinde bütün görevleri aynı risk seviyesinde düşünmek yanıltıcı olur.
Bir ajan kurum içi dokümanları bulup çalışana özet hazırladığında oluşabilecek hata ile müşterinin kredi dosyasına ilişkin veri toplarken oluşabilecek hata aynı sonucu yaratmaz. Siber güvenlik olayına müdahale eden, şüpheli işlemi işaretleyen veya ödeme sürecine dokunan bir ajan ise daha da yüksek bir risk alanına girer.
Bu nedenle bankaların ajanlara verdiği yetki kadar görevin türü de önem taşıyor.
Örneğin AML süreçlerinde bir ajan yüzlerce belgeyi, işlem kaydını ve müşteri bilgisini bir araya getirerek analistin işini ciddi biçimde hızlandırabilir. Ancak şüpheli işlemle ilgili nihai değerlendirme, yanlış pozitifler ve müşteriye uygulanacak kısıtlamalar hukuki sonuçlar doğurabiliyor.
Kredi tarafında da benzer bir durum var. Ajan dosya hazırlayabilir, verileri karşılaştırabilir veya eksik belgeyi tespit edebilir. Kredi kararına yaklaştıkça açıklanabilirlik, ayrımcılık riski ve müşterinin karara itiraz edebilmesi daha fazla ağırlık kazanır.
Bankacılıkta asıl mesele AI ajanının ne kadar akıllı olduğu kadar hangi noktada durması gerektiğinin önceden tanımlanması.
İnsan Onayı Gerçekten İnsan Onayı mı?
Bankalar agentic AI projelerini anlatırken sık sık “human in the loop” yaklaşımını kullanıyor.
Kağıt üzerinde oldukça güvenli görünüyor. Ajan işi yapıyor, insan sonucu kontrol ediyor ve gerekiyorsa onaylıyor.
Fakat operasyon ölçeği büyüdükçe başka bir sorun ortaya çıkabilir.
Bir çalışanın günde birkaç AI çıktısını incelemesi ile yüzlerce otomatik karara onay vermesi aynı denetim kalitesini sağlamaz.
İnsan ekranda sürekli “onayla” butonuna basmaya başlarsa insan kontrolü yalnız prosedür üzerinde kalabilir.
Düzenleyicilerin denetim izi konusuna bu kadar fazla önem vermesinin nedenlerinden biri de burada. Bir hata meydana geldiğinde bankanın yalnız “AI yaptı” demesi yetmez. Hangi modelin hangi veriye eriştiği, hangi aracı kullandığı, hangi kararı hangi gerekçeyle verdiği ve insanın hangi aşamada müdahale ettiği geriye dönük olarak görülebilmeli.
Bankacılıkta sorumluluk yazılıma devredilemiyor.
Siber Güvenlik Tarafında Ajan İki Yüzlü Bir Araç
Reuters’ın haberinde düzenleyicilerin özellikle siber risk üzerinde durması tesadüf değil.
AI ajanları bankaların güvenlik ekipleri için çok değerli olabilir. Binlerce uyarıyı tarayabilir, olağan dışı davranışı belirleyebilir, olayları önceliklendirebilir ve bazı savunma adımlarını insanlardan çok daha hızlı başlatabilir.
Aynı özellik saldırı yüzeyini de büyütüyor.
Ajanın kurum içindeki çok sayıda sisteme erişmesi gerekiyorsa ele geçirilen bir ajan hesabı veya yanlış yönlendirilmiş bir model saldırgan için güçlü bir kapıya dönüşebilir. Bir sistemin verdiği hatalı talimatın ajan tarafından başka sistemlere taşınması da klasik yazılım hatalarından daha hızlı yayılabilir.
Avrupa’daki düzenleyicilerin sistem çökmesi halinde bağımsız toparlanma imkânları üzerinde durması bu yüzden anlamlı. Banka yalnız ajan düzgün çalışırken ne olacağını planlayamaz. Ajanın yanlış davrandığı veya ana sistemlerin erişilemez hale geldiği senaryo da tasarımın parçası olmak zorunda.
Bankalar Zaten AI’ın İki Tarafına Birden Giriyor
Daha önce Bankalar Neden ChatGPT’ye Taşınıyor? yazımda bankaların müşterinin bulunduğu yapay zeka ortamına kendi hizmetlerini taşımaya başlamasını ele almıştım.
Oradaki değişim müşterinin bankaya giriş ekranıyla ilgiliydi. Bankanın mobil uygulamasına gelmeden önce ürün keşfi ve ilk etkileşim ChatGPT gibi ortamlarda başlayabiliyor.
Şimdi bunun diğer tarafı büyüyor.
AI müşterinin karşısındaki kanala girerken aynı anda bankanın arka ofisine, operasyonuna ve karar süreçlerine de yerleşiyor.
Daha önce ChatGPT Finans Profesyonelinin Çalışma Masasına Yerleşiyor yazımda finans çalışanının araştırma, veri, kurum içi bilgi ve analiz araçlarının aynı yapay zeka çalışma katmanında buluşmaya başladığını anlatmıştım.
Agentic AI bu dönüşümün bir sonraki adımını getiriyor.
Çalışana yardımcı olan sistem, bazı görevleri artık kendi başına ilerletebiliyor.
Yetki Meselesini Ödemelerde de Görmeye Başladık
AI ajanlarına ne kadar yetki verileceği bankacılığın dışındaki finansal hizmetlerde de gündemde.
Yapay Zeka Bizim Adımıza Ödeme Yapmaya Hazır Peki Biz Hazır mıyız? yazımda tüketicilerin yapay zekadan tavsiye almaya oldukça açıkken ödeme yetkisinde çok daha temkinli davrandığını ele almıştım.
Sibos 2026’da da benzer tartışma finans kurumlarının gündemindeydi. Agent-assisted yapıda AI yardımcı olurken son karar insanda kalıyor. Agent-delegated modelde ise kullanıcı belirli sınırlar içinde işlem yetkisini ajana bırakıyor.
Bankaların kendi operasyonlarındaki agentic AI kullanımı farklı bir alan olsa da temel soru yine yetkiye geliyor.
Ajan ne yapabilir, hangi limite kadar ilerleyebilir, hangi sistemlere ulaşabilir ve hangi aşamada insanı çağırmak zorunda?
Önümüzdeki dönemde bankaların AI stratejisinde en değerli tasarım unsurlarından biri bu yetki haritası olabilir.
Aynı AI Ajanını Çok Sayıda Banka Kullanırsa Ne Olur?
Düzenleyicilerin endişesi yalnız tek bankadaki operasyon hatasıyla sınırlı kalmıyor.
Finans sektörü aynı model sağlayıcılarına, benzer bulut altyapılarına veya aynı üçüncü taraf AI araçlarına yoğun biçimde bağımlı hale gelirse ortak hata riski oluşabilir.
Tek bir modeldeki sorun aynı anda birçok kurumun benzer karar vermesine yol açabilir. Siber güvenlik açığı tek bir bankayı etkilemek yerine aynı teknolojiyi kullanan kurumlara yayılabilir.
Bankacılık düzenlemesinde yıllardır üçüncü taraf teknoloji sağlayıcıları ve operasyonel dayanıklılık konuşuluyor. Agentic AI bu tartışmaya yeni bir bağımlılık katmanı ekliyor.
Bir bankanın kendi geliştirdiği ajan ile dışarıdan aldığı temel model arasında da sorumluluk zinciri kurulması gerekiyor. Model sağlayıcısı güncelleme yaptığında bankanın ajan davranışı değişebilir. Banka bunu ne kadar hızlı fark edecek ve yeniden test edecek?
Bunlar oldukça teknik görünüyor ama finansal istikrar tartışması tam olarak bu ayrıntılardan doğuyor.
Düzenleyiciler AI’ı Yavaşlatmaya mı Çalışıyor?
Reuters’ın aktardığı tablo bana doğrudan teknoloji frenine basılmaya çalışıldığını düşündürmüyor.
Denetçilerin bugünkü yaklaşımı daha çok bankaların ne yaptığını, riskleri nasıl sınırladığını ve bir sorun çıkarsa nasıl geri döneceğini anlamaya yönelik.
Bankalar açısından bu ayrım önemli.
Çünkü düzenleyici baskı her zaman inovasyonun durması anlamına gelmiyor. Finans sektöründe yeni teknolojinin ölçeklenebilmesi çoğu zaman denetlenebilir hale gelmesine bağlı.
Mobil bankacılıkta, bulut teknolojilerinde, açık bankacılıkta ve dijital kimlikte benzer süreçler yaşandı.
Agentic AI için de muhtemelen aynı sıra işleyecek.
Önce denemeler ve sınırlı kullanım alanları büyüyecek. Ardından hangi kontrollerin yeterli olduğu daha somut hale gelecek. Bankalar da ajanları teknoloji projesi gibi yönetmek yerine operasyonel risk, model riski, siber güvenlik ve uyum sistemlerinin parçasına dönüştürecek.
Türkiye’de Bundan Sonra Neye Bakacağım?
ING Türkiye’nin açıklaması bana agentic AI’ın Türkiye bankacılığında teorik tartışma aşamasını geçtiğini gösteriyor.
Bundan sonra yalnız hangi bankanın yeni bir AI ajanı duyurduğunu takip etmek yeterli olmayacak.
Ajanın hangi sürece girdiği, kendi başına hangi adımları atabildiği, insan onayının nerede devreye girdiği ve yapılan işlemin sonradan ne kadar ayrıntılı izlenebildiği çok daha fazla şey anlatacak.
Özellikle kredi, dolandırıcılık, AML, müşteri verisi ve siber güvenlik tarafındaki uygulamaları yakından izleyeceğim. Çünkü bankacılıkta agentic AI’ın gerçek sınırı modelin kabiliyetiyle değil, bankanın ona güvenle verebildiği yetkiyle belirlenecek.
Birkaç ay önce mesele bankaların ChatGPT’ye taşınmasıydı. Şimdi başka bir aşamadayız.
Yapay zeka bankanın kapısına gelmekle kalmadı. Bankanın içinde iş yapmaya başladı.
Düzenleyicilerin sorusu da giderek daha somut hale geliyor. Bir AI ajanı banka adına hareket ettiğinde, kontrol gerçekten kimde kalıyor?
