Yapay Zeka Ajansının Açıklaması Gereken 8 Şey

Bir yapay zeka ajansı, proje başlamadan önce en az sekiz konuyu yazılı olarak açıklamalıdır: iş problemi, kapsam, veri akışı, kullanılan araçlar, güvenlik sınırları, insan onayı, maliyet yapısı ve hesap sahipliği. Model adı, demo arayüzü veya “agent” sözcüğü bunların yerini tutmaz.

Tekliflerin çoğu GPT, Claude, RAG ve otomasyon araçlarıyla başlar. Oysa asıl sorular şunlardır: Sisteminiz hangi verilere erişecek, hangi işlemleri kendi başına yapacak ve hata verdiğinde kim durduracak? Bu cevaplar yoksa satın aldığınız şey otomasyon değil, teknik terimlerle paketlenmiş belirsizliktir.

Müşteri destek asistanı kurmak isteyen bir e-ticaret markasını düşünün. Teklifte asistanın sipariş sorularını yanıtlayacağı yazıyor; ama sipariş bilgisine nasıl doğrulamayla erişeceği, iade sözü verip veremeyeceği ya da yanlış yanıtın nasıl düzeltileceği yazmıyorsa, asistanın birkaç hafta içinde eski bir kampanya kuralına dayanıp indirim sözü vermesi şaşırtıcı olmaz. Sorun modelin “kötü” olması değildir. Sistemin sınırları hiç tasarlanmamıştır.

Yapay zeka projeleri, sıradan bir web sitesi veya reklam hesabı gibi ele alınamaz. Bir AI sistemi müşteri verilerine, şirket içi dokümanlara, CRM kayıtlarına ve iletişim kanallarına bağlanabilir. Bu nedenle iyi bir ajans, ne kuracağını anlatmadan önce hangi kaynaklara erişeceğini, ne yapamayacağını ve sorumluluğun nerede başlayıp bittiğini netleştirir.

Öne Çıkanlar

• Yapay zeka ajansı teklifinde model adı değil; kapsam, veri akışı ve yetki sınırları belirleyicidir.
• KVKK açısından kritik konu, verinin hangi araca gittiği, ne kadar saklandığı ve kimlerin eriştiğidir.
• E-posta gönderme, CRM kaydı açma ve ödeme değiştirme gibi işlemler için farklı insan onayı seviyeleri gerekir.
• Kurulum bedeli tek maliyet değildir; model kullanımı, entegrasyon, barındırma, izleme ve bakım ayrı yazılmalıdır.
• Hesaplar, API anahtarları, workflow’lar, kod ve dokümantasyon işletmenin kontrolünde kalmalıdır.

Yapay zeka ajansı ne sattığını önce ayırmalı

“Yapay zeka ajansı” tek bir hizmeti anlatmaz. Müşteri sorularını yanıtlayan bir chatbot, satış taleplerini CRM’ye aktaran otomasyon ve şirket içi dokümanlarda arama yapan bilgi asistanı aynı iş değildir.

Her birinin ihtiyaç duyduğu veri, entegrasyon ve güvenlik önlemi farklıdır. Yapay zeka yanıtlarında görünürlük için yapılan GEO çalışması da operasyon sistemlerine bağlanan bir AI otomasyonundan tamamen ayrıdır.

Nitelikli bir yapay zeka ajansı, ilk görüşmede şu ayrımı yapar:

• Müşteri iletişimini destekleyen chatbot veya destek asistanı
• CRM, e-posta, sipariş veya form sistemini tetikleyen otomasyon
• Şirket içi dokümanlarla çalışan RAG veya bilgi asistanı
• İçerik ve görsel üretim operasyonu
• Özel bir arayüz veya iş uygulamasına gömülü AI özelliği
• Yapay zeka aramalarındaki görünürlüğe odaklanan GEO çalışması

Bu ayrım önemlidir. Çünkü “AI ile otomasyon” bir kapsam tanımı değildir. Bir asistanın yalnızca ürün kataloğundan yanıt vermesiyle müşteriye kendi başına teklif göndermesi arasında hem ticari hem hukuki fark vardır.

Önce iş problemi, sonra teknoloji

Ajansın önce anlatması gereken şey kullandığı model değil, çözmek istediği iş problemidir.

Örneğin müşteri destek ekibi aynı kargo sorularına günde 150 kez yanıt veriyorsa amaç, ilk yanıt süresini kısaltmak ve temsilcilerin tekrarlayan iş yükünü azaltmaktır. Satış ekibi gelen taleplere geç dönüyorsa hedef, lead’leri doğru kişiye daha kısa sürede yönlendirmek olabilir.

Bu aşamada aşağıdaki soruların cevaplarını yazılı olarak isteyin:

1. Bugün hangi süreç yavaş, hatalı veya maliyetli?
2. Sorun hangi başlangıç verisiyle ölçülüyor?
3. Sistem insanı destekleyecek mi, belirli bir işi devralacak mı?
4. İlk sürümde hangi işler bilinçli olarak kapsam dışı kalacak?
5. Başarılı sayılmak için hangi metrikte ne değişmesi bekleniyor?

Stanford AI Index 2026’ya göre ankete katılan kuruluşların %88’i AI kullanıyor. Araç kurmak yaygınlaştı; araçtan düzenli iş sonucu almak hâlâ ayrı bir mesele.

Yapay zeka ajansının açıklaması gereken 8 şey

Bir yapay zeka ajansı seçerken, teklif içinde aşağıdaki sekiz başlık yazılı olarak bulunmalıdır:

1. Kapsam ve hariç tutulan işler
2. Veri akışı, saklama ve silme süreci
3. Sistemin tek başına yapabileceği işlemler
4. Güvenlik ve erişim sınırları
5. Başarı metrikleri ve kabul kriterleri
6. Toplam maliyet ile değişken giderler
7. Hesap, kod ve workflow sahipliği
8. Bakım, hata yönetimi ve çıkış planı

Bu liste, iki ajansın satış dilini değil, çalışma biçimini karşılaştırmanıza yardımcı olur.

1. Kapsam ve hariç tutulan işler

Ajans; kurulacak sistemi, kullanıcı rollerini, bağlı sistemleri ve bakım sorumluluğunu belirtmelidir. “AI agent kuracağız” ifadesi teslimat tanımı değildir.

Buna karşılık şu ifade kapsamı tanımlar: “Yalnızca ürün kataloğu ve kargo politikasından yanıt veren müşteri destek asistanı kurulacak. Sistem fiyat değiştirmeyecek, iade onayı vermeyecek ve insan onayı olmadan e-posta göndermeyecek.”

Yazılı kapsamda aşağıdaki maddeler yer almalıdır:

• Kullanıcı senaryoları ve hedef kullanıcılar
• Bağlanacak CRM, e-ticaret, e-posta veya doküman sistemleri
• Kullanılacak veri kaynakları
• Teslimat fazları ve takvim varsayımları
• Kabul kriterleri
• Müşterinin sağlayacağı erişimler, içerikler ve sorumluluklar
• Bilinçli olarak kapsam dışı bırakılan işler

Bir örnek düşünün: Satış taleplerini otomatik sınıflandırmak isteyen bir B2B firma, WhatsApp, e-posta ve form verilerini baştan aynı sisteme bağlamak istiyor. Ancak CRM alanları standart değilse ve e-posta talepleri dağınıksa, bu kapsam riski büyütür. İlk sürüm yalnızca web formuyla başlarsa yönlendirme doğruluğu ölçülebilir, risk de sınırlı kalır. Geniş kapsam her zaman daha iyi proje anlamına gelmez. Bazen sadece daha geç görülen hata demektir.

2. Veri nereye gider, ne kadar kalır?

Bir yapay zeka projesinde en önemli konulardan biri veri yaşam döngüsüdür. “KVKK’ya uyumluyuz” ifadesi tek başına yeterli değildir.

Ajans, hangi verinin hangi sisteme aktarıldığını, nerede işlendiğini, ne kadar süre saklandığını ve kimlerin erişebildiğini açıklamalıdır. Chatbot, CRM otomasyonu ve şirket içi bilgi asistanı çalışmalarında bu konu doğrudan müşteri, çalışan ve ticari verilerle ilgilidir.

Ajansa aşağıdaki soruları sorun:

• Sisteme hangi kişisel veriler girecek?
• Veriler hangi model sağlayıcısına veya üçüncü taraf araca aktarılacak?
• Veri Türkiye’de, Avrupa Birliği’nde veya başka bir bölgede mi işlenecek?
• Girdi ve çıktı kayıtları ne kadar tutulacak?
• Veriler model eğitimi için kullanılacak mı?
• Loglara kimler erişebilecek?
• Bir silme talebi geldiğinde hangi kayıtlar nasıl silinecek?

KVKK’nın üretken yapay zeka rehberi, kişisel veri işleme faaliyetlerinin AI sisteminin tüm yaşam döngüsü boyunca değerlendirilmesi gerektiğini vurgular.

Kullanılan ürün tipi de sonucu değiştirir. Örneğin OpenAI, API ve belirli kurumsal ürünlerde iş verilerinin varsayılan olarak model eğitimi için kullanılmadığını belirtir. Ancak API girdi ve çıktılarının kötüye kullanım tespiti için belirli koşullarda 30 güne kadar tutulabildiğini de açıklar. API veri kullanımı dokümantasyonu bu nedenle okunmalıdır. “OpenAI kullanıyoruz” yanıtı yeterli değildir; sizin kurulumunuzdaki veri politikasının ne olduğu açıklanmalıdır.

3. Sistem hangi işlemleri tek başına yapabilir?

Bir sistemin bilgi vermesi ile işlem yapması aynı riski taşımaz. Sık sorulan bir soruya cevap veren chatbot, müşteriye teklif gönderen veya sipariş bilgisini değiştiren bir agent’a göre daha dar bir etki alanına sahiptir.

Ajansın bir yetki matrisi hazırlaması gerekir:

İşlem	AI yapabilir mi?	İnsan onayı gerekir mi?	Kayıt tutulur mu?	Geri alma yöntemi
Sık sorulan soruyu yanıtlamak	Evet	Hayır	Evet	İnsan desteğine aktarma
CRM’de taslak kayıt açmak	Evet	Gerektiğinde	Evet	Kaydı silme veya düzeltme
Müşteriye teklif göndermek	Sınırlı	Evet	Evet	Gönderim öncesi onay
Sipariş veya ödeme bilgisi değiştirmek	Hayır / çok sınırlı	Evet	Evet	Yetkili işlem ve denetim kaydı

İnsan onayı, sistem hata verdiğinde kullanılan acil bir fren değildir. Tasarımın başında belirlenmelidir. Fiyat, ödeme, sözleşme, müşteri verisi ve çalışan kararları gibi sonuç doğuran işlemlerde bu sınır daha da önem kazanır.

IBM’in 2025 veri ihlali raporuna göre kuruluşların %13’ü, AI modeli veya uygulamasını etkileyen bir ihlal yaşadığını bildirdi. Bu ihlali yaşayanların %97’sinde uygun AI erişim kontrolü yoktu. Sorun çoğu zaman modelin kendisi değil, modele ve bağlı sistemlere verilen yetkinin sınırıydı.

Güvenlik, prompt değil mimari meselesidir

“Prompt’a kural yazarız” demek güvenlik planı değildir. Sistem prompt’u parola, gizli anahtar veya yetki denetimi yerine kullanılamaz.

Bir kullanıcı, sistem kurallarını aşmak için yönergeler verebilir. Bağlı bir doküman, web sayfası veya e-posta da kötü niyetli komutlar içerebilir. Sistem doğrulanmamış bir çıktıyı CRM’ye, web sitesine veya e-postaya aktarırsa hata doğrudan operasyonunuza girer.

OWASP’ın 2025 LLM güvenlik listesi prompt injection, hassas bilgi ifşası, yanlış çıktı işleme, aşırı yetki ve sınırsız tüketim gibi riskleri temel başlıklar arasında sayar. Ajansın bu riskleri isim olarak bilmesi değil, projenizde nasıl ele aldığını anlatması gerekir.

Ajansın cevaplaması gereken güvenlik soruları

• Prompt injection denemelerinde sistem ne yapacak?
• Kullanıcılar yönlendirme yoluyla erişmemesi gereken bilgiye ulaşabilir mi?
• Çıktılar CRM, e-posta veya web sitesine yazılmadan önce doğrulanacak mı?
• API anahtarları, bağlantı bilgileri ve parolalar nerede tutulacak?
• Kullanıcı bazlı erişim sınırları nasıl uygulanacak?
• Hatalı veya maliyetli işlem üretmeye başlayan sistemi kim durduracak?
• Model kullanımında aylık harcama limiti ve alarm var mı?

NIST’in AI Risk Management Framework yaklaşımı; yönetişim, bağlamı anlama, ölçme ve yönetme adımlarını birlikte ele alır. Bu yaklaşımın işletme tarafındaki karşılığı basittir: Sisteminizin ne yapabildiğini, neye eriştiğini ve hata verdiğinde ne olacağını dokümante edin.

Şirket içi bilgi asistanı buna iyi bir örnektir. Asistan eski bir fiyat listesini güncelmiş gibi sunabilir veya yetkisi olmayan bir çalışana hassas bir sözleşme gösterebilir. Böyle bir sistemde yalnızca cevap kalitesini değil, kaynakların güncellenmesini, rol bazlı erişimi, kaynak gösterme zorunluluğunu ve cevap güven eşiğini de tasarlamak gerekir.

AI destekli bir müşteri arayüzü veya özel araç kuruyorsanız, arayüzün de sistem kadar kontrollü olması gerekir. Hafif ve özel bir ön yüz gerektiğinde Astro web geliştirme yaklaşımı, gereksiz çalışma zamanı yükü olmadan bu tür arayüzleri kurmak için uygun olabilir.

Başarı ölçümü ve toplam maliyet baştan yazılmalı

“Ekibin zamanını kurtarır” ölçülebilir bir hedef değildir. Ne kadar zaman kazandıracağı, hangi süreçte kazanım sağlayacağı ve hangi başlangıç değerine göre ölçüleceği yazılmadan başarı değerlendirilemez.

Bir müşteri destek sistemi için ilk yanıt süresi, insan temsilciye devredilen konuşmaların oranı ve çözüme ulaşan talep oranı ölçülebilir. Satış otomasyonunda doğru kişiye yönlendirilen lead oranı, teklif hazırlama süresi ve randevuya dönüşen başvurular daha anlamlı metriklerdir.

İçerik üretim sistemlerinde taslak sayısı tek başına iyi bir metrik değildir. Redaksiyon sonrası kabul oranı, doğrulanmamış iddia sayısı ve yayımlanabilir içerik oranı daha gerçekçi sonuç verir.

Pilot projenin kabul kriteri olmalı

Agentic AI sistemlerini gerçekten ölçekleyen kuruluşlar hâlâ azınlıkta; pek çoğu deneme aşamasında. Bu yüzden pilot, yalnızca “bir şey çalışıyor” demek için yapılmamalıdır. Üretime geçilip geçilmeyeceğini belirleyen, ölçülebilir bir deneme olmalıdır.

Pilot teklifinde şu dört bileşen bulunmalıdır:

• Başlangıç metriği
• Pilot süresi
• Başarı eşiği
• Başarısızlık halinde kapatma veya yeniden tasarım kararı

Maliyet de aynı açıklıkla yazılmalıdır. Kurulum ücreti, AI projesinin toplam maliyeti değildir.

Ajans teklifinde aşağıdaki kalemler ayrı ayrı görünmelidir:

• Keşif, süreç analizi ve teknik tasarım
• Kurulum veya özel geliştirme
• Model ve API kullanımı
• Otomasyon platformu veya entegrasyon ücretleri
• Barındırma, veritabanı ve loglama
• İzleme, bakım ve hata düzeltme
• Yeni özellik geliştirme
• Eğitim ve dokümantasyon
• Üçüncü taraf lisansları

Varsayalım ki bir hizmet işletmesi içerik operasyonunu otomatikleştiriyor ve ilk ay maliyet düşük çıkıyor. İkinci ay ekip aynı taslağı defalarca yeniden üretmeye, daha büyük dosyalar yüklemeye ve araçları eş zamanlı çağırmaya başlarsa model kullanımı artar; loglama ve otomasyon platformunun ayrı kullanım kademeleri de devreye girer. Bu durumda kurulum bütçesi doğru olsa bile toplam maliyet varsayımı eksik kalır.

Teklifinizde kullanım sınırı yoksa, maliyet kontrolünüz de yoktur. Ajans; aylık varsayımı, artan kullanımda fiyat değişimini, harcama alarmını ve acil müdahale kapsamını önceden yazmalıdır.

Hesaplar, workflow’lar ve kod sizin kontrolünüzde kalmalı

AI projelerinde bağımlılık yalnızca kod üzerinden oluşmaz. Model sağlayıcısı hesabı, otomasyon platformu, alan adı, e-posta bağlantısı, vektör veritabanı ve API anahtarları ajans adına açıldığında işletme sistem üzerindeki kontrolünü kaybeder.

Ajans bu hesapları açabilir ve yönetebilir. Ancak hesapların sahibi olmak zorunda değildir.

Mülkiyet kontrol listenizde aşağıdakiler bulunmalıdır:

• Model sağlayıcısı ve API hesapları
• Otomasyon platformu hesabı
• Bulut, hosting ve veritabanı hesapları
• Alan adı, e-posta ve telefon numarası erişimleri
• Kod deposu
• Vektör veritabanı
• Prompt’lar, workflow’lar ve entegrasyon dokümantasyonu
• Analitik, hata izleme ve loglama araçları

Bu, her unsurun işletmenin teknik ekibi tarafından yönetilmesi gerektiği anlamına gelmez. Erişim sahibi olmak ile günlük operasyonu yürütmek farklı şeylerdir. Ajans yönetimi üstlenebilir, fakat işletme erişimi, devri ve sürekliliği denetleyebilmelidir.

Bu konu, teklif değerlendirme biçiminin de parçasıdır. Kapsamı, teslimleri ve sahipliği baştan yazılı hale getiren çalışma modeli hakkında daha fazla bilgi için çalışma biçimimizi inceleyebilirsiniz.

Hata, bakım ve çıkış planı proje sonunda konuşulmaz

AI sisteminin ilk gün doğru sonuç vermesi işin bittiği anlamına gelmez. Bilgi kaynakları değişebilir. CRM alanları güncellenebilir. Model davranışı farklılaşabilir. Kullanıcılar sistemi beklenmedik biçimlerde kullanabilir.

Bu nedenle ajansın operasyon planında aşağıdaki unsurlar bulunmalıdır:

• Hata veya uygunsuz yanıt bildirme yöntemi
• İnsan desteğine aktarma akışı
• Loglama ve denetim kaydı
• Prompt, model ve bilgi kaynağı güncelleme süreci
• Performans kontrol sıklığı
• Güvenlik olayı müdahale planı
• Workflow durdurma ve işlem geri alma yöntemi
• Çalışma bittiğinde devir teslim süreci

Çıkış günü, sözleşme aşamasında konuşulmalıdır. Ajansa şu soruyu doğrudan sorun:

“Altı ay sonra çalışmayı bitirirsek, hangi erişimler, dosyalar, dokümantasyonlar ve sistemler bize teslim edilecek?”

Hesapların sizin adınıza açılması ve erişimin yazılı olarak devredilebilmesi, ileride tedarikçi değiştirme özgürlüğünüzü korur.

AB’deki kullanıcıları veya müşterileri hedefleyen bir sistem kuruyorsanız, şeffaflık yükümlülüklerini ayrıca değerlendirmelisiniz. Avrupa Komisyonu, AI Act Madde 50 kapsamındaki belirli şeffaflık kurallarının 2 Ağustos 2026 itibarıyla uygulanmaya başladığını belirtiyor. Bu, Türkiye’deki her proje için otomatik bir hukuk sonucu doğurmaz. Ancak sınır ötesi kullanımda tasarım kararlarını etkileyebilir.

Yapay zeka ajansı teklifini bu kontrol listesiyle değerlendirin

Bir teklif, aşağıdaki soruların her birine yazılı cevap vermiyorsa tamamlanmış sayılmaz:

1. Çözülen iş problemi nedir ve başarı hangi metrikle ölçülecek?
2. İlk fazın kapsamı nedir; hangi işler kapsam dışıdır?
3. Hangi veriler hangi araçlara ve sağlayıcılara aktarılacak?
4. Veriler nerede saklanacak, kim erişecek ve ne zaman silinecek?
5. Sistem hangi işlemleri insan onayı olmadan yapabilecek?
6. Prompt injection, veri sızıntısı ve yanlış çıktı riskleri nasıl yönetilecek?
7. Kurulum, kullanım, bakım ve üçüncü taraf maliyetleri nasıl ayrılacak?
8. Hesaplar, kod, workflow’lar ve dokümantasyon kimin mülkiyetinde olacak?
9. Sistem hatalı çalışırsa kim müdahale edecek, nasıl durdurulacak ve nasıl geri alınacak?
10. Ajansla çalışma bittiğinde devir teslim nasıl yapılacak?

Sonuç

Yapay zeka ajansı seçerken en etkileyici demo veya en uzun araç listesi karar ölçütü olmamalıdır. İyi ajans, kuracağı sistemin sınırlarını siz sormadan açıkça söyler.

Kapsamı yazan, verinin nereye aktarıldığını açıklayan, güvenlik risklerini gizlemeyen, maliyetleri ayıran ve hesapları sizin kontrolünüzde bırakan ekip; yapay zekayı gösteri olarak değil, işletme sisteminin sorumluluk taşıyan bir parçası olarak ele alır.

Sık sorulan sorular

Yapay zeka ajansı ile yapay zeka danışmanı arasındaki fark nedir?

Danışman çoğunlukla problem analizi, yol haritası ve teknoloji seçimi sunar. Yapay zeka ajansı ise bunlara ek olarak sistemi tasarlayabilir, entegre edebilir, kurabilir ve bakımını üstlenebilir. Ancak unvan tek başına yeterli değildir. Fark, yazılı teslimatlarda ortaya çıkar.

Yapay zeka ajansı hangi verileri kullanabilir?

Bu, kurulan sistemin türüne bağlıdır. Müşteri destek asistanı sipariş ve iletişim verilerine, şirket içi bilgi asistanı dokümanlara, satış otomasyonu ise form ve CRM verilerine erişebilir. Hangi verinin gerektiği, nereye gönderildiği ve ne kadar süre saklandığı proje başlamadan önce yazılmalıdır.

AI chatbot kurarken KVKK açısından nelere dikkat edilir?

Kişisel verinin hangi amaçla işlendiği, hangi üçüncü taraf araçlara aktarıldığı, saklama süresi, erişim yetkileri ve silme prosedürü değerlendirilmelidir. “Chatbot kullanıyoruz” ifadesi tek başına bir uyum açıklaması değildir.

Yapay zeka projesinde hesaplar kimin adına açılmalı?

Model sağlayıcısı, otomasyon, hosting, veritabanı ve analitik hesapları mümkün olduğunda işletmenin denetimindeki hesaplardan açılmalıdır. Ajans gerekli yetkilerle sistemi yönetebilir. Ancak çalışma bittiğinde işletme erişimini kaybetmemelidir.

AI agent hangi işlemleri insan onayı olmadan yapmamalı?

Ödeme, iade, fiyat değişikliği, sözleşme, müşteri verisi paylaşımı ve çalışanlarla ilgili kararlar insan onayı gerektirir. İşlemin finansal, hukuki veya müşteri ilişkilerine dönük etkisi büyüdükçe otomatik yetki azaltılmalıdır.

Yapay zeka ajansıyla çalışmayı bitirdiğimde hangi teslimleri almalıyım?

Erişim listeleri, API anahtarları, kod deposu, workflow’lar, prompt’lar, veri kaynakları, entegrasyon dokümantasyonu, izleme araçları ve bakım notları teslim edilmelidir. Bunlar sözleşmede en baştan tanımlanmalıdır.