Visa ve Mastercard, ödeme yapan AI ajanlarını tanıyacak yeni sistemler geliştiriyor. Ajan kimliği, harcama yetkisi ve ödeme güveni nasıl kurulacak?
Bir şirketin finans ekibi faturayı onaylıyor, ardından tedarikçinin portalında kalan ödeme adımını AI ajanı tamamlıyor. Visa, BILL ve Billtrust’ın canlı pilotunda bugün tam olarak bu gerçekleşiyor. Aynı hafta Mastercard’ın gösterdiği başka bir AI ajanı da kendisine verilen bütçe içinde iki ayrı sağlayıcıdan hizmet satın alırken dokuz ödeme yaptı. Ödeme dünyasında artık yalnız paranın hareket etmesi konuşulmuyor. Karşıdaki sistemin ajanın kim olduğunu, kimin adına hareket ettiğini ve ne kadar harcama yetkisi bulunduğunu anlayabilmesi yeni altyapının merkezine yerleşiyor.
Eylül ayında Yapay Zeka Bizim Adımıza Ödeme Yapmaya Hazır Peki Biz Hazır mıyız? yazısını hazırlarken daha çok tüketicinin AI’a ne kadar ödeme yetkisi vermeye hazır olduğunu konuşmuştuk.
Aradan geçen birkaç haftada tartışma biraz daha somutlaştı.
Visa tarafında AI ajanı önceden onaylanmış bir faturanın ödemesini tamamlıyor. Mastercard örneğinde ise işletme ajana görev ve bütçe veriyor, ajan ihtiyacı olan dijital hizmetleri bu sınırlar içinde satın alıyor.
İki örnekte de insanın para üzerindeki kontrolü kaybolmuyor. Kontrol, her işlemi tek tek onaylamaktan çıkıp ajanın hangi koşullarda harcama yapabileceğini önceden belirlemeye doğru kayıyor.
Visa’nın canlı pilotunda ajan ne yapıyor?
Visa, BILL ve Billtrust 20 Ekim’de gerçek işlemlerin yürütüldüğü bir B2B ödeme pilotunu duyurdu.
BILL kullanan bir işletmede fatura önce normal şirket süreci içinde onaylanıyor. Ödeme aşamasına gelindiğinde BILL Payment Agent devreye giriyor ve tedarikçinin Billtrust üzerinden çalışan portalında işlemi tamamlıyor.
Ajan hangi faturanın ödeneceğine kendi başına karar vermiyor. Ödeme kararı işletme tarafında zaten alınmış durumda.
AI’ın görevi, bugün hâlâ insan eliyle yürütülen son adımlardan birini tamamlamak.
B2B ödemelerde fatura muhasebe sisteminde onaylanmış olsa bile bir çalışan tedarikçi portalına girip gerekli bilgileri doldurabiliyor ve ödeme işlemini manuel olarak tamamlayabiliyor.
Visa pilotu bu sürtünmeyi azaltmayı hedefliyor.
Tam bu noktada tedarikçinin çözmesi gereken başka bir konu ortaya çıkıyor.
Karşısındaki otomatik yazılım gerçekten yetkili bir ödeme ajanı mı?
Visa’nın geliştirdiği yeni kimlik ve güven katmanı bu soruya cevap vermeye çalışıyor.
İnternet botları engellerken şimdi bazılarını tanımak zorunda
Web siteleri uzun yıllardır botları dışarıda tutmak için sistemler geliştiriyor.
CAPTCHA’lar, davranış analizleri ve bot koruma servisleri otomatik trafiği gerçek kullanıcıdan ayırmak için kullanılıyor.
AI ajanları ticaretin içine girdiğinde bu yaklaşımın tek başına yeterli olması zor.
Çünkü otomatik trafik artık yalnız saldırı, spam veya veri toplama amacıyla gelmiyor.
Kullanıcı adına rezervasyon yapan, ürün araştıran veya ödeme tamamlayan yazılımlar da aynı kapıya geliyor.
Bir iş yerinin bundan sonra otomatik trafiğin yalnız varlığını tespit etmesi yetmeyebilir.
Ajanın kim olduğu, hangi platformdan geldiği, kimin adına hareket ettiği ve hangi işlemi yapmaya yetkili olduğu da anlaşılmak zorunda.
Visa’nın Trusted Agent Protocol yaklaşımı tam bu ayrımı oluşturmayı amaçlıyor.
Ajan kimliği ödeme zincirine ekleniyor
Visa Trusted Agent Protocol ilk kez 2025’te duyuruldu.
Sistem, AI ajanlarının yaptığı talepleri kriptografik imzalarla doğrulanabilir hale getirmeye çalışıyor. İş yeri böylece karşısındaki otomatik isteğin Visa’nın tanıdığı bir ajan programından gelip gelmediğini kontrol edebiliyor.
Protokol ajanın kimliğinin yanında işlemin amacı ve gerektiğinde kullanıcıyla bağlantısı hakkında da sinyaller taşıyabiliyor.
Visa daha sonra Agentic Directory ile doğrulanmış ajanları ve iş yerlerini bir araya getiren başka bir katman ekledi.
BILL pilotunda ödeme ajanı bu yapılardan yararlanarak tanınıyor. Billtrust tarafı ajanın kimliğini doğruladıktan sonra yetkili işlemin devam etmesine izin veriyor.
Burada ortaya çıkan şey hukuki anlamda yeni bir kişilik değil.
Ödeme sisteminin tanıyabildiği teknik bir ekonomik kimlik.
Ajanın hangi kişi veya işletme adına hareket ettiği ve o anda hangi yetkiye sahip olduğu ödeme zincirinde görünür hale geliyor.
Ödeme bilgisi yerine programlanmış yetki
Visa pilotunun önemli taraflarından biri de ödeme bilgisinin nasıl kullanıldığı.
Ajan tedarikçi portalının kullanıcı adı ve şifresini alıp insan davranışını taklit etmiyor. Kart numarasının serbestçe kullanılabildiği açık bir yapı da kurulmuyor.
Tokenlaştırılmış ödeme bilgileri ve müşterinin önceden onayladığı ödeme talimatları kullanılıyor.
Böylece ödeme aracının kendisi ile ajanın sahip olduğu harcama yetkisi birbirinden ayrılabiliyor.
Bu ayrım gelecekte çok daha önemli hale gelebilir.
Bir ajana açık uçlu biçimde kart bilgisi vermek geniş bir risk yaratır. Programlanmış yetki ise ajanın yalnız belirli bir amaç için, belirli tutar içinde ve belirli koşullarda ödeme yapmasına izin verebilir.
Yetki görev tamamlandığında sona erebilir.
Bu yaklaşım AI ajanlarının ödeme dünyasına nasıl gireceğine dair daha kontrollü bir model sunuyor.
Mastercard ajanı görev sırasında alışveriş yapıyor
Mastercard aynı gün farklı bir kullanım senaryosu gösterdi.
Agent Pay for Machines adı verilen sistemde AI ajanları görevlerini tamamlamak için dijital hizmet satın alabiliyor.
Cloudflare Connect etkinliğinde gösterilen örnekte pazarlama ajansı Hype, bir AI ajanına protein bar lansmanı için örnek kampanya hazırlama görevi veriyor.
İşletme ajanın kullanabileceği bütçeyi baştan belirliyor.
Ajan çalışırken AIsa üzerinden sosyal medya araştırması satın alıyor ve Cloudflare AI Gateway üzerinden sekiz kampanya görseli hazırlatıyor.
Sonuçta iki farklı sağlayıcıya dokuz ödeme yapılıyor.
Ajan her hizmet için ayrı hesap oluşturmak veya yeni ödeme süreci başlatmak zorunda kalmıyor. Belirlenen bütçeyi görev boyunca ihtiyacı olan dijital hizmetlerde kullanıyor.
Mastercard örneği, AI ajanının yalnız kullanıcı için araştırma yapan bir yardımcı olarak kalmayabileceğini gösteriyor.
Ajan kendi görevini tamamlamak için ekonomik kararlar da vermeye başlıyor.
Mastercard ödeme kuponu kullanıyor
Agent Pay for Machines klasik checkout mantığından biraz farklı çalışıyor.
Sistem x402 adlı açık protokol üzerine kurulmuş.
Bir dijital hizmet ödeme istediğinde uzun süredir internet standartlarında bulunan “402 Payment Required” yanıtını kullanabiliyor.
AI ajanı bunun üzerine dijital olarak imzalanmış bir ödeme kuponu oluşturuyor.
Kupon, ajanın önceden tanımlanan bütçe içinde ödeme yapma yetkisi bulunduğunu gösteriyor. Hizmet sağlayıcı bu bilgiyi doğruladıktan sonra hizmeti sunuyor ve ajan görevine devam ediyor.
Bu işlemler makine hızında ilerleyebiliyor.
Mutabakat ise daha sonra toplu biçimde yapılabiliyor.
Mastercard demosunda Coinbase Developer Platform, Base ve BVNK gibi farklı şirketlerin altyapıları da yer alıyor.
Mastercard burada bütün sistemi tek başına kurmaya çalışmıyor. Farklı ajanların, cüzdanların ve hizmet sağlayıcıların birbirine güvenebileceği ortak bir ödeme katmanı geliştirmeye çalışıyor.
Harcama yetkisi sınırlarla birlikte geliyor
Mastercard’ın yaklaşımında ajana verilen ödeme yetkisi açık uçlu tasarlanmıyor.
İşletme görevi ve bütçeyi önceden tanımlıyor.
Mastercard’ın daha geniş Agent Pay mimarisinde kullanılan agentic token’lar belirli tutarlar, iş yeri kategorileri, kullanım amaçları veya zaman aralıklarıyla sınırlandırılabiliyor.
Gelecekte bir seyahat ajanına yalnız uçuş ve otel için harcama yetkisi verilebilir. Bir şirket ajanı yalnız bulut hizmetleri veya veri satın almak için kullanılabilir. Bütçe tükendiğinde veya görev tamamlandığında yetki sona erebilir.
Kart bugüne kadar büyük ölçüde ödeme kaynağını temsil ediyordu.
Agentic ödeme dünyasında ödeme kaynağının yanına programlanabilir yetki ekleniyor.
Kimlik, amaç, tutar ve süre aynı işlem içinde birlikte değerlendirilebilir hale geliyor.
Tanınan ajan kadar işlemin amacı da önemli
Bir AI ajanını teknik olarak tanımak güven zincirinin yalnız ilk adımı.
Ödeme ağı ve iş yeri daha sonra ajanın yaptığı işlemin verilen görevle uyumlu olup olmadığına da bakmak zorunda.
Mastercard bu nedenle Agent Pay Trust Framework içinde kimlik, niyet, kontroller, güvenli yürütme ve risk istihbaratını birlikte ele alıyor.
Bugünkü fraud sistemlerinde kullanıcının davranışı, cihazı, kartı ve işlem geçmişi üzerinden çok sayıda sinyal değerlendiriliyor.
AI ajanı ödeme akışına girdiğinde yeni sinyaller de sisteme eklenebilir.
Ajana hangi görev verildiği, ne kadar harcama yetkisi bulunduğu, işlemin bu sınırlar içinde kalıp kalmadığı ve satıcının güvenilirliği aynı risk değerlendirmesinin parçasına dönüşebilir.
Ödeme ağlarının bugün yaptığı hazırlık biraz da mevcut fraud ve yetkilendirme sistemlerini yeni bir aktöre uyarlamakla ilgili.
Visa ve Mastercard farklı senaryolarda aynı noktaya yaklaşıyor
Visa ile Mastercard’ın pilotları aynı kullanım biçimini hedeflemiyor.
Visa tarafında işletme tarafından zaten onaylanmış bir faturanın ödeme süreci tamamlanıyor.
Mastercard örneğinde ajan, kendisine verilen görevi yerine getirirken hangi dijital hizmetleri kullanacağına karar veriyor ve bütçesini bu hizmetler arasında harcıyor.
İlk örnekte hareket alanı çok daha dar.
İkinci örnekte ajan daha fazla ekonomik karar veriyor.
Buna rağmen iki sistemde ortak bir ihtiyaç var.
Ajanın kimliğinin doğrulanması, kimin adına hareket ettiğinin anlaşılması ve hangi sınırlar içinde ödeme yapabileceğinin kontrol edilmesi gerekiyor.
Agentic payments altyapısının merkezinde giderek bu yetki katmanı oluşuyor.
İnsan onayı işlemin daha başına taşınıyor
Bugünkü örneklerde tamamen kontrolsüz çalışan otonom bir finans sistemi görmüyoruz.
Visa pilotunda fatura önceden onaylanıyor.
Mastercard demosunda işletme ajanın görevini ve bütçesini baştan belirliyor.
İnsan her ödeme adımında yeniden ekrana gelip onay vermiyor ancak ekonomik sınırlar önceden çizilmiş oluyor.
Bu yaklaşım daha önceki Fundalina yazısında ele aldığımız tüketici davranışıyla da uyumlu.
İnsanlar AI’dan alışveriş ve araştırma desteği almaya sıcak bakarken para harcama tarafında daha güçlü kontrol istiyor.
Ödeme şirketlerinin kurduğu mimari de yetkiyi görünür ve sınırlandırılabilir parçalar halinde tasarlamaya çalışıyor.
Ödeme uygulamalarına yeni ayarlar gelebilir
Bugün mobil bankacılıkta veya kart ayarlarında internet alışverişini açıp kapatabiliyor, kart limitini yönetebiliyor ve bazı işlem türlerini sınırlandırabiliyoruz.
AI ajanları yaygınlaştığında benzer kontroller çok daha ayrıntılı hale gelebilir.
Kullanıcı hangi ajanın ödeme yapabileceğini, hangi amaçla kullanabileceğini, işlem başına veya günlük ne kadar harcayabileceğini belirleyebilir.
Bazı satıcılar izinli listeye alınabilir. Bazı işlemler için yeniden insan onayı istenebilir. Yetki yalnız birkaç saat veya belirli bir görev boyunca geçerli olabilir.
Kart veya dijital cüzdan böylece yalnız ödeme aracını saklayan yer olmaktan çıkıp insan ile onun adına hareket eden dijital ajanlar arasındaki ekonomik izinleri yöneten bir kontrol merkezine dönüşebilir.
Bankalar ve ödeme uygulamaları açısından yeni ürün alanlarından biri de burada oluşabilir.
İş yerlerinin bot anlayışı değişecek
Agentic commerce’ın satıcı tarafında da önemli bir sonucu var.
Bir e-ticaret sitesi bugün otomatik trafiği engellemek için kullandığı bot korumasıyla güvenilir bir alışveriş ajanını yanlışlıkla dışarıda bırakabilir.
Visa’nın Trusted Agent Protocol yaklaşımı bu sorunu çözmeye çalışıyor.
İş yeri karşısındaki ajanın kimliğini doğrulayabildiğinde saldırgan bot ile müşteri adına hareket eden yetkili ajanı ayırabilir.
Visa ve Billtrust pilotunda geçmişte insan doğrulaması gerektiren portal korumalarının yetkili ajan tarafından güvenli biçimde geçilebilmesi bu mantıkla çalışıyor.
AI ajanları ticarette yaygınlaştıkça sitelerin yalnız insan kullanıcıları tanıması yeterli olmayabilir.
Makine müşteriler için de güvenli ve tanınabilir bir ticaret yolu gerekecek.
Aynı ajan farklı yetkiler taşıyabilir
AI ajanı ödeme sisteminde tanındığında aslında birkaç farklı ilişki üst üste geliyor.
Ajana ait teknik kimlik var. Onu çalıştıran platform var. Adına hareket ettiği kişi veya şirket var. Kullanılan ödeme hesabı ve o işlem için tanımlanmış yetki de aynı zincirin parçası.
Aynı ajan bir kişi adına 50 dolarlık yemek siparişi verebilir, başka bir şirkette ise daha yüksek bütçeli bulut hizmetleri satın alabilir.
Teknik kimliğin aynı olması ekonomik yetkinin de aynı olduğu anlamına gelmez.
Ödeme sisteminin bu yüzden yalnız “Bu ajan kim?” sorusuna cevap vermesi yeterli olmayacak.
Ajanın o anda hangi yetkiyle hareket ettiği de okunabilir olmalı.
Visa ve Mastercard’ın bugün kurmaya çalıştığı yeni katmanın önemli bölümü bu ilişkiyi görünür hale getirmekle ilgili.
Hata olduğunda sorumluluk konusu büyüyecek
Kimlik ve yetki altyapısı güçlendikçe başka sorular daha görünür hale gelecek.
Ajan doğru biçimde tanındı ama yanlış ürünü satın aldıysa ne olacak?
Kullanıcının talimatını hatalı yorumladıysa zarar nasıl ele alınacak?
Yetkili bir işlem dolandırıcılık yönlendirmesi sonucunda gerçekleştiyse sorumluluk kimde olacak?
Aynı hizmet iki kez satın alındığında klasik kart itiraz süreçleri nasıl işleyecek?
Visa ve Mastercard bugün işlemin izlenebilirliği, yetkinin sınırları ve doğrulama üzerinde yoğunlaşıyor.
Bu sayede kimin hangi yetkiyle işlem yaptığına ilişkin daha güçlü kayıtlar oluşabilir.
Ancak ticari uyuşmazlıkların ve hatalı ajan kararlarının nasıl yönetileceği önümüzdeki dönemin en önemli konularından biri olacak.
Yetkili bir ajan da yanlış karar verebilir.
B2B ödemeler iyi bir başlangıç alanı
Visa’nın canlı pilotunun B2B fatura ödemesinde başlaması mantıklı.
Kurumsal ödeme süreçlerinde roller ve onay sınırları zaten büyük ölçüde tanımlı.
Fatura geliyor, kontrol ediliyor, onaylanıyor ve ödeme sürecine giriyor. Şirket içinde kimin hangi tutara kadar yetkili olduğu da çoğu zaman önceden belirlenmiş durumda.
AI ajanına verilen görev bu yapı içinde oldukça net kurulabiliyor.
Onaylanmış faturayı belirtilen ödeme yöntemiyle tamamlamak açık ve ölçülebilir bir iş.
Tüketici tarafındaki görevler çok daha belirsiz olabilir.
“Bana güzel bir tatil bul” talimatı bütçe, konum, bagaj, iptal şartı, aktarma süresi ve kişisel tercihler gibi pek çok kararı aynı anda içeriyor.
B2B ödemelerde yetki sınırlarının daha net olması, burayı agentic payments için doğal bir test alanına dönüştürüyor.
Makineler birbirinden hizmet satın almaya başlayabilir
Mastercard Agent Pay for Machines daha farklı bir gelecek ihtimaline işaret ediyor.
AI ajanları zamanla yalnız insanlar adına mağazalardan ürün satın almayabilir.
Kendi görevlerini tamamlamak için başka yazılımlardan veri, işlem gücü, model erişimi, API kullanımı veya görsel üretimi gibi hizmetler satın alabilir.
Bugünkü internet altyapısında bu tür küçük satın almalar çoğu zaman ayrı hesaplar, abonelikler veya API anahtarları gerektiriyor.
Ajanın görev sırasında ihtiyacı kadar hizmet satın alabildiği bir yapı oluştuğunda makineden makineye ödemeler yeni bir hacim yaratabilir.
Mastercard demosundaki dokuz işlem bu açıdan küçük ama anlamlı bir örnek.
Ajan iki ayrı sağlayıcıyı kullanıyor, ihtiyacı kadar hizmet satın alıyor ve bütün harcamayı önceden tanımlanmış tek bütçe içinde tamamlıyor.
Yazılımların gelecekte birbirinden nasıl hizmet satın alabileceğine dair erken bir model görüyoruz.
Türkiye’de ödeme sektörü için yeni sinyaller geliyor
Visa ve Mastercard’ın bugünkü pilotları Türkiye’de kullanıma açılmış ürünler olarak değerlendirilmemeli.
Buna rağmen bankalar, ödeme kuruluşları ve fintekler açısından ödeme altyapısının hangi yöne hazırlandığını gösteriyor.
Bugün fraud ve ödeme güvenliği büyük ölçüde insan kullanıcının kimliği, cihazı, kartı ve davranışı üzerinden kuruluyor.
AI ajanları ödeme zincirine girdiğinde kullanılan sinyaller genişleyecek.
İşlemi başlatan ajanın kimliği, kimin adına çalıştığı, ne kadar yetki taşıdığı ve yaptığı işlemin bu yetkinin sınırları içinde kalıp kalmadığı da risk değerlendirmesine girebilir.
Türkiye’nin güçlü mobil bankacılık ve dijital ödeme kullanımı düşünüldüğünde bu gelişmeleri yalnız global teknoloji başlığı olarak izlemek eksik kalır.
Ajanlara verilen ekonomik yetkinin nasıl yönetileceği yerel finansal uygulamaların da yeni ürün alanlarından biri olabilir.
Ödeme yapabilen ajan artık çalışan bir teknoloji
Birkaç ay önce AI ajanlarının gerçekten ödeme yapıp yapamayacağını tartışıyorduk.
Bugün Visa’nın canlı pilotunda ajan önceden onaylanmış faturaları tamamlıyor. Mastercard demosunda başka bir ajan, tanımlanan bütçeyle dokuz ayrı ödeme yapıyor.
Teknolojinin çalışabildiğini gösteren örnekler artık elimizde.
Şimdi daha uzun soluklu bir güven altyapısı kurulması gerekiyor.
Ajanın kim olduğunu bilmek, kimin adına hareket ettiğini göstermek, harcama sınırlarını tanımlamak ve yaptığı işlemleri sonradan izleyebilmek bu altyapının temel parçaları olacak.
Ben Visa ve Mastercard’ın son hamlelerini bu nedenle yalnız yeni bir ödeme özelliği olarak görmüyorum.
Ödeme sistemleri, insanın yanında onun adına para harcayabilecek yazılımları da tanımaya hazırlanıyor.
Bundan sonraki asıl mücadele, AI ajanına ödeme yetkisi vermekten çok o yetkinin sınırlarını ne kadar iyi tasarlayabildiğimizde olacak.
