Giriş
Ajanik AI, durum tespiti kapsamını değiştirir çünkü yazılım bilgi üretmekten eylem başlatmaya geçebilir. Bir ajan ödeme taslağı hazırlayabilir, kullanıcı oluşturabilir, bulut altyapısını değiştirebilir, müşteriyle iletişim kurabilir, stok taahhüdünde bulunabilir, iadeyi onaylayabilir, bir başvuru sunabilir veya düzenlemeye tabi bir sonuç hazırlayabilir. Aynı model, salt okunur bir araştırma iş akışında düşük riskli olabilirken kimlik bilgilerine ve üretim araçlarına bağlandığında işlem açısından kritik hale gelebilir. Bu nedenle edinim ekibinin yetkiyi ve sonucu iş akışı düzeyinde durum tespitine tabi tutması gerekir.
Mevcut standartlar ortamı gelişmektedir. NIST, Şubat 2026'da AI Ajan Standartları Girişimi'ni başlatmış ve ayrıca yazılım ile AI ajan kimliği ve yetkilendirmesi üzerine çalışma önermiştir [7-10]. Yayımladığı materyaller; kimliklendirme, yetkilendirme, denetim, inkâr edilemezlik ve istem enjeksiyonu kontrollerini pratik meseleler olarak tanımlar. OWASP, aşırı ajanlığı aşırı işlevsellik, izin veya özerkliğin bir bileşimi olarak tanımlar ve en az ayrıcalık, alt akış yetkilendirmesi ve yüksek etkili eylemler için insan onayı önerir [17-19]. Bu kaynaklar faydalı kontrol soruları tanımlar. Bir hedefin kontrolleri uyguladığını veya herhangi bir belirli sorumluluk dağılımının hukuken etkili olduğunu ortaya koymazlar.
İnsan gözetimi de fiilen işlemelidir. Avrupa Birliği AI Tüzüğü'nün 14. maddesi, belirli yüksek riskli sistemlerin etkili gözetim için tasarlanmasını; uygun olduğunda çıktıları dikkate almama, geçersiz kılma, geri alma veya kesme yeteneğini içermesini şart koşar [23-24]. Görüntülenen bir onay düğmesi, bir gözden geçirenin eylemi anladığını, yeterli bilgiye sahip olduğunu, uygun yetkiye sahip olduğunu veya yürütmeyi engelleyebildiğini göstermez. İşlem durum tespiti, talepten sonuca ve hukuki çareye giden tüm yolu test etmelidir.
Bu makale bu yolu sunar. Sorumluluğu hukuki danışmanlık gerektiren ekonomik bir riske maruziyet, izinleri ise güvenlik kanıtı gerektiren teknik ve örgütsel bir sistem olarak ele alır. Ardından her ikisini de fiyat, anlaşma koruması ve entegrasyonla ilişkilendirir. Çerçeve; AI ajanı işletmesini veya AI destekli bir hedefi değerlendiren stratejik alıcılar, özel sermaye sponsorları, yönetim kurulları, işlem ekipleri ve borç verenler için tasarlanmıştır.
1 Satın alma kararını ve sorumluluk kapsamını tanımlayın
İlk belge, alıcının işletmeyi neden satın aldığını ve değere hangi ajan tabanlı yeteneğin dahil edildiğini belirtmelidir. Tez; müşteri dağıtımına, tescilli iş akışı verilerine, daha düşük hizmet maliyetine, uzman bir ekibe, alıcının operasyonlarının otomasyonuna veya bir kontrol katmanının sahipliğine bağlı olabilir. Her tez farklı sorumluluk ve entegrasyon soruları yaratır. İç kullanıma yönelik satın alınan bir ürün, alıcıyı doğrudan çalışan, müşteri ve düzenleyici sonuçlarına maruz bırakabilir; bunlar hedef bir satıcı olarak faaliyet gösterirken sınırlıydı.
Kapsam; her tüzel kişiliği, ürünü, ajanı, iş akışını, ortamı, müşteri yapılandırmasını, modeli, bağlayıcıyı, aracı, kimlik bilgisini, hizmet hesabını, politika motorunu, onay hizmetini, veri deposunu ve olay sürecini tanımlamalıdır. Hedefin sahip olduğu bileşenleri; müşteri kontrollü kimliklerden, açık kaynak yazılımdan, üçüncü taraf modellerden ve iş ortağı platformlarından ayırmalıdır. Bir gösterim, hangi yetkinin kullanıldığını veya bu yetkinin kapanışta devredilip devredilmediğini göstermeden bir eylemi gösterebilir.
Alıcı, genel mimariyi incelemeden önce sonuç doğuran eylemleri listelemelidir. Sonuç; para hareketini, hakların tesisini veya sona erdirilmesini, bilgi ifşasını, üretim sistemlerinde değişiklikleri, müşterilere veya düzenleyicilere yönelik beyanları, istihdam kararlarını, güvenlik etkilerini ve geri alınamaz yayını içerir. Liste; hukuki, güvenlik, finansal, operasyonel ve sigorta durum tespiti için düzenleme kaydı haline gelir.
Yükümlülük; gözlemlenen yükümlülükler, ileri sürülen talepler, olası yükümlülükler ve ileriye dönük işletme riski olarak ayrılmalıdır. IAS 37, karşılıklar ve koşullu yükümlülükler için ilkeleri tanımlarken IFRS 3, bir işletme birleşmesinde devralınan yükümlülükleri ele alır [1-3]. Muhasebe sonucu işleme özgüdür. Durum tespiti kaydı, hukuki veya muhasebe analizinin yerine teknik bir puan koymak yerine olguları, aralıkları, belirsizliği ve sorumlu danışmanları korumalıdır.
2 Asil-ajan-yetki zincirini haritalandırın
Her üretim eylemi, asil-ajan-yetki zinciri üzerinden izlenebilir olmalıdır. Asil, amacı takip edilen kişi veya kuruluştur. Ajan, tanımlı bir iş akışı içinde faaliyet gösteren yazılım örneğidir. Yetki, asilin veya başka bir yetkili tarafın devrettiği sınırlandırılmış eylemler kümesidir. Zincir ayrıca kullanılan kimliği, uygulanan politikayı, seçilen aracı, sağlanan parametreleri, alınan onayı, yürütme yanıtını ve saklanan kanıtları içerir.
Hedef şirket, bir kullanıcının yetkisinin nasıl temsil edildiğini göstermelidir. Bir çalışan adına o çalışanın OAuth kapsamı üzerinden hareket eden bir ajan, paylaşılan ayrıcalıklı bir hizmet hesabını kullanan ajandan farklıdır. Paylaşılan hesap operasyonel açıdan elverişli olabilirken atıf, ayrıştırma ve iptal yeteneğini zayıflatabilir. Alıcı, devredilen yetkinin kullanıcı, amaç, kaynak, zaman, değer ve eylem türüyle sınırlı kalıp kalmadığını test etmelidir.
Yetki, orkestrasyon içinde kaybolabilir. Bir koordine edici ajan, araçları başka bir platform üzerinden çağıran uzman ajanlara devredebilir. Nihai sistem yalnızca son araç çağrısını kaydedebilir. Durum tespiti, tam devir zincirini yeniden oluşturmalı ve alt bileşenin kaynak asilden daha büyük bir yetki elde edemeyeceğini doğrulamalıdır. Kontrol, yalnızca bir model tarafından yorumlanan talimatlarla değil, güvenilir bir sistem tarafından uygulanmalıdır.
Eylem bir anlaşmazlık yarattığında inkâr edilemezlik önem kazanır. Kayıt; işi hangi kimliği doğrulanmış kimliğin talep ettiğini, hangi ajanın ve sürümün çalıştığını, hangi kanıtın sunulduğunu, hangi insanın onayladığını, tam olarak hangi eylemin yürütüldüğünü ve kaydın değiştirilip değiştirilemeyeceğini göstermelidir. NIST'in mevcut ajan kimliği çalışması, denetim ve inkâr edilemezliği uygulamada dikkat edilmesi gereken alanlar olarak vurgulamaktadır [8-10]. Alıcı, hedefin uygulamasını incelemeli ve temsili kayıtları test etmelidir.
3 Üretim izin grafiğini oluşturun
Bir izin envanteri, hesapları eylemlere bağlamadan listelediğinde yetersizdir. Üretim izin grafiği; asilleri, ajanları, araçları, kaynakları, işlevleri, ortamları ve onay kurallarını birbirine bağlamalıdır. Hem açık izinleri hem de gruplar, roller, token'lar, platformlar ve müşteri entegrasyonları aracılığıyla devralınan etkin erişimi göstermelidir. Geçici ayrıcalıklar, acil durum rolleri ve atıl bağlayıcılar aynı grafikte yer almalıdır.
İzinler işleme göre sınıflandırılmalıdır: keşfetme, okuma, oluşturma, değiştirme, silme, onaylama, yürütme, dışa aktarma, kimliğe bürünme, yetki devretme ve yönetme. Grafik üretimi testten, dahili ortamları da müşteri ortamlarından ayırmalıdır. Ayrıca bir kimlik bilgisinin amaçlanan ajan yolunun dışında kullanılıp kullanılamayacağını belirlemelidir. Dar tanımlanmış bir araç, geniş veritabanı, bulut veya mesajlaşma izinlerine sahip bir hesap altında yine de çalışabilir.
Alıcı, gerekli ve etkin izinleri karşılaştırmalıdır. Gerekli izin, tanımlanmış göreve ve müşteri taahhüdüne bağlıdır. Etkin izin, kimliğin ve alttaki sistemin gerçekte izin verdiği şeydir. Fark, izin fazlasıdır. Fazlalık, erişilebilir kaynaklar, eylem türleri ve olası sonuçlara göre ölçülmelidir. Bir hedef, arayüz seçeneklerini azaltırken alt sistemlerdeki geniş yetkiyi koruyabilir ve etki yarıçapını değiştirmeden bırakabilir.
Kanıtlar; güncel kimlik sağlayıcı dışa aktarımlarını, bulut ve uygulama rollerini, araç tanımlarını, bağlayıcı yapılandırmalarını, kod olarak politikayı, token ömürlerini, gizli anahtar depolarını, onay kurallarını ve iptal testlerini içermelidir. Ekran görüntüleri ve politika belgeleri bağlam sağlar. Makinece okunabilir dışa aktarımlar ve gözlemlenen yürütme, üretim durumuna dair daha güçlü kanıt sağlar.
4 Eylemleri sonuç ve geri alınabilirliğe göre sınıflandırın
Eylem sınıflandırması, hangi kontrollerin ve anlaşma müdahalelerinin orantılı olduğunu belirler. Kullanışlı bir matris; finansal sonucu, hukuki etkiyi, bilgi hassasiyetini, operasyonel kesintiyi, dış görünürlüğü, etkilenen kitleyi ve geri alınabilirliği puanlar. Puan, araç çağrısının görünen basitliğine değil, zincirlenmiş eylemler dahil olmak üzere eylemin makul sonucuna dayanmalıdır.
Geri alınabilirlik, ters bir komuttan daha fazlasını gerektirir. Silinen bir kayıt geri getirilebilirken dış bir açıklama geri çağrılamaz. Bir ödeme, gecikme ve kurtarma riskine tabi olarak, para hareket ettikten sonra bazen tersine çevrilebilir. Bir müşteri mesajı düzeltilebilirken sözleşmeye dayalı güven veya itibar zararı kalabilir. Bu nedenle sınıflandırma; teknik olarak geri alınabilir, operasyonel olarak kurtarılabilir, finansal olarak kurtarılabilir ve fiilen geri döndürülemez eylemleri ayırmalıdır.
Eylem hızı maruziyeti etkiler. İnceleme altında bir kez yürütülen zayıf bir karar, aynı zayıflığın tespitten önce binlerce hesapta yürütülmesinden farklıdır. Değer, hacim, sıklık ve müşteri kitlesi üzerindeki sınırlar kaybı sınırlayabilir. Alıcı, sınırların politika uygulama noktasında geçerli olup olmadığını ve bir ajanın bunlardan kaçınmak için etkinliği birden çok çağrıya bölüp bölemeyeceğini test etmelidir.
Sınıflandırma; onay, günlükleme, izleme, kurtarma ve sigorta analizini yönlendirmelidir. Salt okunur kanıt toplama otomatik kontroller altında çalışabilir. Sonuç doğuran bir eylemin hazırlanması doğrulama gerektirebilir. Geri döndürülemez veya dışarıdan görülebilir bir eylemin yürütülmesi bağımsız yetkili bir kişi gerektirebilir. Gerçek hukuki gereklilikler iş akışına ve yargı bölgesine bağlıdır.
5 Politika uygulamasını modelin dışında test edin
Doğal dil talimatları bir ajanı yönlendirebilir. Sonuç doğuran bir eylemi yetkilendiren tek mekanizma bunlar olmamalıdır. Alıcı, her araç isteğini kimlik, kaynak, eylem, bağlam ve sınırlara göre doğrulayan politika uygulama noktasını belirlemelidir. Tam aracılık, yeniden denemeler ve ikincil ajanlar veya önbelleğe alınmış kimlik bilgileri aracılığıyla yapılan çağrılar dahil her ilgili isteğin kontrol edilmesi anlamına gelir.
OWASP'nin aşırı ajanlık rehberi; işlevselliği, izinleri ve özerkliği sınırlamayı ve yetkilendirmeyi alt sistemlerde uygulamayı önerir [17]. Satın alma ekibi bu kontrolleri düşmanca ve olağan senaryolar aracılığıyla test etmelidir. İzin verilmeyen kaynakları, değiştirilmiş parametreleri, dolaylı istem enjeksiyonunu, süresi dolmuş yetkiyi, çelişkili talimatları, tekrarlanan çağrıları ve değer veya hacim sınırlarını aşan istekleri denemelidir.
Politika değişikliği de sonuç doğurur. Hedef; araç şemalarını, izin verilen eylemleri, onay eşiklerini, sistem istemlerini, model yönlendirmesini ve hizmet hesabı rollerini kimin değiştirebileceğini göstermelidir. Değişiklikler ayrıştırma, inceleme, test, yayınlama ve geri alma süreçlerini izlemelidir. Hem ajan mantığını hem de üretim politikasını değiştirebilen bir geliştirici, nominal bir onay kontrolünü atlayabilir.
Alıcı, politika sürümünü üretim sürümüne bağlayan test kanıtlarını saklamalıdır. Laboratuvar kontrolü, yalnızca aynı uygulama yolu müşteri işleri için de çalışıyorsa yararlıdır. İstisnalar, acil durum erişimi ve manuel geçersiz kılmalar tanımlı yetkiye, sınırlı süreye, güçlendirilmiş günlüklemeye ve geriye dönük incelemeye sahip olmalıdır.
6 Öneri, hazırlık, onay ve yürütmeyi birbirinden ayırın
İşlem ekipleri, insan veya otonom şeklinde ikili bir sınıflandırmadan kaçınmalıdır. Bir iş akışı kanıt gözlemleyebilir, bir eylem önerebilir, bir işlemi hazırlayabilir, onay talep edebilir, onaylanmış bir işlemi yürütebilir ve sonucu doğrulayabilir. Her aşamanın sahibi farklı bileşenler olabilir. Durum tespiti haritası, bilginin nerede karara dönüştüğünü ve kararın nerede dünyada bir değişikliğe dönüştüğünü belirlemelidir.
Bir öneri kesinmiş gibi sunulduğunda, sistematik biçimde güvenildiğinde veya yetkisiz verilerden üretildiğinde yine de sorumluluk doğurabilir. Hazırlık, gözden geçirenlerin rutin olarak onayladığı bir ödeme, sözleşme veya yapılandırmayı doldurduğunda risk yaratabilir. Onay, gözden geçiren yalnızca bir özet gördüğünde zayıf kalabilir. Yürütme, onaydan sonra parametreler veya durum değişirse onaylanan eylemden sapabilir.
Alıcı, onay ile yürütme arasındaki bağlayıcılığı test etmelidir. Onay kaydı; eylemin tam olarak ne olduğunu, kaynağı, tutarı, karşı tarafı, politikayı ve son kullanma tarihini belirtmelidir. Önemli değişiklikler onayı geçersiz kılmalıdır. Yürütme; eskimiş, değiştirilmiş veya yeniden oynatılmış onayları reddetmelidir. Sistem hem önerilen hem de yürütülen durumları saklamalı ve farkları mutabakat etmelidir.
Bu ayrım değerlemeye de ışık tutar. İnsan yetkisi altında işi güvenilir biçimde hazırlayan bir ürün, otonom yürütme olmadan da önemli değer sağlayabilir. Yönetim tahminleri, müşteriler, düzenleyiciler veya sigortacılar hesap verebilirlik gerektirdiğinde onayın kaldırılmasının değeri artırdığını varsaymamalıdır. Ekonomik model, müşterilerin fiilen kabul ettiği kontrol tasarımının maliyetini ve işlem kapasitesini içermelidir.
7 İnsan müdahalesinin etkili olup olmadığını değerlendirin
İnsanın döngüde olduğu yönündeki etiket; yetkinlik, bilgi, yetki, zamanlama, bağımsızlık ve iş yükü bileşenlerine ayrıştırılmalıdır. Gözden geçirenin, eylemi ve sonuçlarını anlamak için yeterli bilgiye ihtiyacı vardır. Gözden geçirenin bunu reddetme, değiştirme veya durdurma konusunda gerçek yetkisi olmalıdır. Müdahale, geri döndürülemez yürütmeden önce veya zararı sınırlayacak kadar erken gerçekleşmelidir.
Arayüz tasarımı önemlidir. Onay ekranı, model tarafından üretilen açıklamayı kaynak kanıttan ayırmalı, temel parametreleri göstermeli ve politika istisnalarını vurgulamalıdır. Manipülatif varsayılanlardan ve belirsiz gruplamalardan kaçınmalıdır. Onay yorgunluğu, nominal bir kontrolü rutin teyide dönüştürebilir. Hedef; inceleme hacmini, süresini, reddetmeyi, değişikliği, eskalasyonu ve sonraki aşama sonuçlarını ölçmelidir.
Bağımsızlık eyleme bağlıdır. Bir kullanıcı sıradan bir iş akışını onaylayabilirken finansal, güvenlik veya düzenlemeye tabi bir eylem farklı bir rol gerektirir. Görevler ayrılığı yalnızca belgelenmemeli, kimlik ve politikada uygulanmalıdır. Ajan kendi inceleyicisini seçememeli, elverişsiz kanıtları bastıramamalı veya bir insan kararından sonra onay talebini yeniden yazamamalıdır.
Geçersiz kılma ve durdurma mekanizmaları yük ve arıza altında test edilmelidir. Alıcı, bir ajanın kimlik bilgisinin iptal edilmesini, kuyruktaki eylemlerin kesilmesini, devam eden işlerin kontrol altına alınmasını ve güvenli kurtarmayı gözlemlemelidir. AB AI Yasası'nın 14. maddesi, belirli yüksek riskli sistemler için izleme, yorumlama, geçersiz kılma, geri alma ve kesintiyi ilgili gözetim yetenekleri olarak tanımlar [23]. Uygulanabilirlik hukuki analiz gerektirir; operasyonel testler işlemler genelinde faydalı olmaya devam eder.
8 Olayları, ramak kala durumlarını ve gizli müdahaleyi yeniden oluşturun
Olay durum tespiti yetkisiz eylemi, aşırı izni, istem enjeksiyonunu, veri ifşasını, hatalı kararı, başarısız onayı, yeniden oynatmayı, araç kötüye kullanımını, kontrolden çıkan maliyeti, müşteri şikayetini ve kontrol atlatmayı içermelidir. Ramak kala durumları ve manuel kurtarmalar değerlidir çünkü sistemin neredeyse bir sonuç yarattığını veya belgelenmemiş bir müdahaleye bağlı kaldığını gösterirler.
Alıcı birkaç kaydın mutabakatını yapmalıdır: güvenlik talepleri, müşteri desteği, hizmet kredileri, mühendislik sorunları, model değerlendirme başarısızlıkları, bulut günlükleri, sigorta bildirimleri, hukuki talepler, geri ödemeler ve yönetim kurulu raporlaması. Tek bir kayıt defteri, ürün kalitesi, müşteri başarısı veya operasyonel hata olarak sınıflandırılan olayları atlayabilir. Ortak tanımlayıcılar ve zaman çizelgesi analizi ilgili olayları ortaya çıkarabilir.
Her olay için durum tespiti tetikleyici koşulu, kullanılan izinleri, tespit zamanını, etkilenen kapsamı, kontrol altına almayı, kurtarmayı, müşteri iletişimini, maliyeti, hukuki değerlendirmeyi ve iyileştirme doğrulamasını belirlemelidir. Kök neden etiketleri model davranışını, veriyi, orkestrasyonu, aracı, kimliği, politikayı, arayüzü, insan incelemesini ve organizasyonel süreci birbirinden ayırmalıdır.
Gizli müdahale hem riski hem de ekonomiyi etkiler. Uzmanlar, ürün metriklerinde görünmeden ajanları sürekli izleyebilir, eylemleri onarabilir ve müşterileri sakinleştirebilir. Alıcı, talepten nihai sonuca kadar iş akışlarını örneklemeli ve insan zamanını bordro ile destek sistemleriyle mutabakat etmelidir. Kontroller yeniden tasarlanmadan önce bu emeği ortadan kaldıran bir satın alma modeli, sinerjiyi olduğundan fazla gösterirken yükümlülüğü artırabilir.
9 Maruziyeti eylem kohortları aracılığıyla nicelleştirin
Beklenen maruziyet, şirket genelinde tek bir olasılık yerine eylem kohortu bazında tahmin edilmelidir. Kohortlar iş akışı, eylem sınıfı, müşteri, yargı yetkisi, izin düzeyi, onay tasarımı, model sürümü ve ortam ile tanımlanabilir. Her kohort için gözlenen hacim, istisna, yetkisiz deneme, geçersiz kılma, geri alma, olay ve kurtarma ölçütleri bulunmalıdır.
Basitleştirilmiş bir beklenen kayıp modeli, eylem hacmini olay olasılığı ve sonucuyla çarpar; ardından tespit, yanıt, müşteri, hukuki, düzenleyici ve iyileştirme maliyetlerini ekler. Kuyruk senaryoları ayrı ele alınmalıdır çünkü tarihsel sıklık düşük ve etki yoğunlaşmış olabilir. Ortak bir politika, kimlik bilgisi, model veya bağlayıcı aynı anda birçok müşteriyi etkilediğinde korelasyon önemlidir.
Yönetim varsayımları açık olmalı ve gözlenen kanıtlardan ayrı tutulmalıdır. Dağıtım geçmişi kısa olduğunda, izinler yakın zamanda genişletildiğinde veya olaylar kaydedilmediğinde hasar talebi olmaması düşük olasılığı kanıtlamaz. Dış kıyaslamalar senaryo tasarımına bilgi verebilir ancak hedefin iş akışı, kontrolleri ve sözleşmesel tahsisiyle nadiren örtüşür.
Model, brüt maruziyeti, sigorta varsayımlarını, sözleşmesel üst sınırları, tazminat haklarını, geri kazanılabilirliği ve kalan maruziyeti göstermelidir. Geri kazanılabilirlik; istisnalar, limitler, bildirim, retansiyon, karşı taraf kredisi ve zamanlama açısından test edilmelidir. Geri kazanım gecikirse veya ihtilaf konusu olursa satın alma kararı sağlam kalmalıdır.
10 Müşteri sözleşmelerini ve sorumluluk dağılımını gözden geçirin
Müşteri sözleşmeleri gerçek iş akışıyla eşleştirilmelidir. İlgili hükümler arasında hizmet tanımı, izin verilen kullanım, müşteri talimatları, onay, veri rolleri, model ve alt işlemci değişiklikleri, güvenlik, denetim, olay bildirimi, garantiler, sorumluluk reddi beyanları, hizmet seviyeleri, tazminatlar, sorumluluk üst sınırları, sigorta, fesih ve geçiş yer alır. Alıcı, müşteriler arasında müzakere edilmiş istisnaları karşılaştırmalıdır.
Sorumluluk sağlayıcı, müşteri, model tedarikçisi, bulut platformu, entegrasyon ortağı ve son kullanıcı arasında bölünebilir. Müşterinin kararlardan sorumlu kalmaya devam ettiğini belirten bir hüküm, ürün anlamlı bir müşteri kontrolü olmaksızın eylemler gerçekleştiriyorsa veya satış süreci yönetilen bir sonucu temsil ediyorsa sınırlı pratik değere sahip olabilir. Hukuk müşaviri her yargı alanında uygulanabilirliği ve davranışı değerlendirmelidir.
Durum tespiti ekibi sözleşmesel izinleri teknik izinlerle mutabık kılmalıdır. Sözleşme salt okunur erişime izin verirken üretim kimlik bilgileri değişikliğe izin veriyorsa bu fark işlem açısından kritiktir. Müşteriler model değişikliklerinden önce onay gerektiriyorsa hedef şirket sürümlerin ve bildirimlerin nasıl yönetildiğini göstermelidir. Belgelendirilmemiş müşteriye özgü kontroller entegrasyonu geciktirebilir.
Gelir kalitesi sorumluluk dağılımıyla bağlantılıdır. Sonuca dayalı fiyatlandırma, operasyonel riski sağlayıcıya aktarırken ödeme istekliliğini artırabilir. Asgari taahhütler nakit akışını destekleyebilir; ancak müşteriler geniş fesih veya hizmet kredisi hakları saklı tutar. Model, fiili taahhüdün gerektirdiği teslimat ve kontrol maliyetini içermelidir.
11 Düzenleyici ve yargı alanına ilişkin yolları değerlendirin
Ajan tabanlı AI, sektörel, tüketici, istihdam, finansal, gizlilik, siber güvenlik, ürün, rekabet ve mesleki kurallarla kesişebilir. İşlem ekibi her önemli iş akışını, onu sağlayan tüzel kişilik, müşteri lokasyonu, etkilenen kişi, veri lokasyonu ve karar türüyle eşleştirmelidir. Küresel bir ürün, farklı dağıtımlarda farklı yükümlülüklere ve risk dağılımlarına sahip olabilir.
AB AI Yasası riske dayalı bir çerçeve oluşturur ve yüksek riskli sistemler için insan gözetimi gerekliliklerini içerir [23-24]. Veri koruma otoriteleri otomatik karar alma, hesap verebilirlik ve veri yönetişimi konusunda rehberlik yayımlar [25-26]. ABD federal ve eyalet gereklilikleri gelişmeye devam ederken sektör düzenleyicileri, AI ile etkinleştirilen davranışlara mevcut yasaları uygulayabilir. Makale, uygulanabilirliğe ilişkin hukuki bir sonuç sunmamaktadır.
Alıcı, hedef şirketin hukuki envanterini, sınıflandırma analizlerini, etki değerlendirmelerini, düzenleyici yazışmalarını, müşteri beyanlarını ve değişiklik izleme sürecini talep etmelidir. Envanterin mevcut ürüne ve yargı alanlarına bağlı olup olmadığını test etmelidir. İş akışları, izinler veya müşteri kitleleri değiştiğinde genel bir politika güncelliğini yitirebilir.
Düzenleyici değişiklik değerlemeye ve entegrasyona dahil edilmelidir. Uyum çalışmaları yeni onay rolleri, veri kontrolleri, dokümantasyon, test, müşteri bildirimleri veya ürün sınırlamaları gerektirebilir. İşlem modeli maliyet, zamanlama ve gelir etkilerini içermelidir. Yasal faaliyet veya devir, önemli bir onaya ya da düzeltici eyleme bağlı olduğunda kapanış koşulları uygun olabilir.
12 Test verisi gizliliği, fikri mülkiyet ve gizlilik
Hareket etme izinleri çoğu zaman veriye erişim izinlerini de beraberinde getirir. Alıcı, her iş akışı için veri kaynaklarını, amacı, hukuki dayanağı, müşteri talimatını, saklamayı, aktarımı, model kullanımını ve silmeyi haritalandırmalıdır. Ajan belleği, izler ve gözlemlenebilirlik, hassas bilgileri birincil sistemin ötesine çoğaltabilir. Araç sonuçları, kullanıcının erişim yetkisi olmayan bir kaynaktan veri getirebilir.
Haklar sicili; kod, istemler, politikalar, araç şemaları, iş akışı tasarımları, değerlendirme setleri, müşteri yapılandırmaları, eğitim ve geri bildirim verileri, dokümantasyon, patentler, ticari markalar ve ticari sırları kapsamalıdır. Yaratıcıyı, devri, lisansı, kısıtlamayı, alt lisanslamayı, kontrol değişikliğini ve feshi belirlemelidir. Bir hizmeti sunmak için gereken müşteri verisi erişimi, otomatik olarak devredilebilir bir varlık oluşturmaz.
Gizlilik riski eylemlere de uzanır. Bir ajan bilgi gönderebilir, harici bir sistemi doldurabilir veya bir onay arayüzü aracılığıyla akıl yürütmeyi açıklayabilir. Alıcı; hedef izin listelerini, veri kaybını önlemeyi, redaksiyonu, müşteri ayrımını ve günlük kaydını test etmelidir. Kontrollerin yeniden denemelere, ikincil ajanlara ve destek araçlarına uygulandığını doğrulamalıdır.
IFRS 3 ve IAS 38, bir işletme birleşmesindeki tanımlanabilir maddi olmayan duran varlıklarla ilgili muhasebe gereklilikleri sunar [1,4]. Satın alma bedeli dağıtımı, alıcının müşteri verilerini veya üçüncü taraf teknolojisini kullanma konusunda operasyonel yetkiye sahip olup olmadığını çözmez. Hukuki ve teknik devir analizi, değerleme varsayımlarından önce gelmelidir.
13 Üçüncü taraf modelleri, araçları ve ajan protokollerini değerlendirin
Ajan tabanlı ürünler yaygın olarak model sağlayıcılarına, bulutlara, kimlik sistemlerine, kurumsal uygulamalara, veri hizmetlerine ve bağlayıcılara bağlıdır. Alıcı; her bağımlılığı, anlaşmayı, izin kapsamını, hizmet seviyesini, fiyatı, veri işlemeyi, denetim hakkını, değişiklik kontrolünü, sürekliliği, tazminatı ve feshi envanterlemelidir. Önemli bir bağımlılık, hedefin birincil mimarisinde görünmek yerine bir aracın veya protokolün arkasında yer alabilir.
Protokol birlikte çalışabilirliği dağıtımı artırabilir ve aynı zamanda izin yüzeyini genişletebilir. Alıcı, sunucuların ve araçların nasıl keşfedildiğini, kimlik doğrulamasının yapıldığını, tanımlandığını ve güvenildiğini belirlemelidir. Araç meta verileri model seçimini etkileyebilir. Bir bağlayıcıda veya şemada yapılan güncellemeler, model değişikliği olmadan etkin davranışı değiştirebilir. Kayıt defterleri, imzalama, izin listeleri, sürüm sabitleme ve testler incelenmelidir.
Sağlayıcı şartları, arıza üçüncü taraf bir hizmetten kaynaklansa bile sorumluluğu hedefe yükleyebilir. Hedef bu durumda müşteriye, geri kazanabileceğinden daha fazlasını borçlu olabilir. İşlem modeli; üst sınırlar, hariç tutmalar ve sigorta zincirini göstermelidir. Yoğunlaşma, müşteriler genelinde ortak model, bulut, kimlik ve bağlayıcı bağımlılıklarını içermelidir.
Taşınabilirlik iddiaları üretim benzeri bir test gerektirir. Bir modelin veya aracın değiştirilmesi davranışı, gecikmeyi, maliyeti, değerlendirmeyi ve müşteri onayını değiştirebilir. Alıcı, geçişi ve kısıtlı işlevsellik dönemlerini ölçmelidir. Test edilmiş ikame olmadan çoklu sağlayıcı diyagramı, dayanıklılığın zayıf kanıtıdır.
14 Güvenlik istem enjeksiyonu ve confused deputy riskini inceleyin
Bir ajan, yetkisiz bir amacı izlemek için meşru yetkiyi kullandığında confused deputy haline gelebilir. Dolaylı istem enjeksiyonu, manipüle edilmiş araç çıktısı, ele geçirilmiş bellek veya kötü niyetli bir eş ajan eylemleri etkileyebilir. Sonuç, etkin izinlere ve politika uygulamasına bağlıdır. Bu nedenle güvenlik incelemesi, saldırı yolunu iş eylemine ve kurtarmaya bağlamalıdır.
Alıcı; tehdit modellerini, red-team sonuçlarını, güvenlik testlerini, bağımlılık taramasını, gizli bilgi yönetimini, yalıtımı, izlemeyi ve olay müdahalesini incelemelidir. Müşteri belgelerinden, mesajlardan, web sitelerinden ve araç çıktılarından gelen girdileri test etmelidir. Ayrıca onay içeriğinin, bir gözden geçirenin yürütülen eylemden farklı bir eylemi yetkilendirmesine yol açacak şekilde manipüle edilip edilemeyeceğini test etmelidir.
En az ayrıcalık ilkesi potansiyel zararı azaltır. Ajan, kullanıcı ve hizmet için ayrı kimlikler doğru tasarlandığında atfedilebilirliği iyileştirebilir. Kısa ömürlü kimlik bilgileri, kaynak kısıtlamaları, işlem limitleri, hedef kontrolleri ve bağımsız doğrulama maruziyeti sınırlayabilir. Günlükleme, kontrolsüz bir gizli veri deposu oluşturmadan olayı yeniden oluşturmaya yetecek bağlamı korumalıdır.
MITRE ATLAS ve OWASP, testleri yapılandırabilecek tehdit ve kontrol taksonomileri sunar [17-21]. Hedefin riski; kendi iş akışı, mimarisi ve müşteri taahhütleri üzerinden değerlendirilmelidir. Genel bir kontrol listesini geçmek, üretim eylemlerinin yetkilendirildiğini ve kurtarılabilir olduğunu kanıtlayamaz.
15 Sorumluluğu değerlemeye ve satın alma fiyatına bağlayın
Geleneksel değerleme yöntemleri, indirgenmiş nakit akışı, piyasa yaklaşımları, emsal işlemler ve maliyet yaklaşımları [5-6] dahil olmak üzere geçerliliğini korur. Ajanlı yapay zekâ sorumluluğu girdileri; gelir kalıcılığı, katkı, kontrol maliyeti, sigorta, işletme sermayesi, iyileştirme, müşteriyi elde tutma, entegrasyon zamanlaması ve kuyruk maruziyeti yoluyla etkiler. Alıcı, bu kalemleri yeniden yapılandırmadan yüksek büyüme çarpanı uygulamaktan kaçınmalıdır.
Bağımsız tahmin, müşterilerin ve düzenleyicilerin kabul edeceği operasyonel kontrol modelini içermelidir. İnsan incelemesi, güvenlik operasyonları, değerlendirme, hukuki destek ve olay hazırlığı teslimat maliyetleridir. Bunları acil sinerji olarak çıkarmak değeri olduğundan yüksek gösterebilir. Ek kontroller dönüşümü ve elde tutmayı iyileştirebilir, ancak bu fayda kanıtla desteklenmeli ve ayrıca modellenmelidir.
Sorumluluk çizelgesi bilinen yükümlülükleri, belirli koşullu hususları, kontrol iyileştirmesini ve gelecekteki operasyonel riski ayırmalıdır. Bilinen kalemler, anlaşmaya ve muhasebeye bağlı olarak net borcu veya işletme sermayesini etkileyebilir. Belirsiz hususlar fiyatı, emaneti, tazminatı veya sigortayı etkileyebilir. İleriye dönük risk, satın alma tarihli bir yükümlülük yaratmak yerine iş planını ve entegrasyonu etkileyebilir.
Değer kanıt durumuna göre serbest bırakılmalıdır. Sınırlandırılmış izinleri, test edilmiş insan kontrolleri, eksiksiz eylem kayıtları, istikrarlı olay performansı ve uyumlu sözleşmeleri olan bir hedef, politika beyanlarına dayanan bir hedeften daha güçlü bir tahmini destekler. Olasılık ağırlıklı model, çözülmemiş her kontrolün nakdi, zamanlamayı ve aşağı yönü nasıl değiştirdiğini göstermelidir.
16 Beyanları, tazminatları, emaneti ve sigortayı tasarlayın
İşlem belgeleri, tanımlar teknik gerçeği yansıttığında tanımlanmış riski tahsis edebilir. Beyanlar; yetki, müşteri talimatları, veri kullanımı, fikri mülkiyet, güvenlik, olaylar, düzenleyici uyum, önemli model veya araç değişiklikleri, değerlendirme kayıtları ve sigortayı ele alabilir. Açıklama çizelgeleri istisnaları iş akışı ve müşteri düzeyinde belirlemelidir.
Belirli tazminatlar bilinen talepleri veya tanımlanmış maruziyetleri ele alabilir. Emanet veya alıkoyma tahsil edilebilirliği destekleyebilir. Garanti ve tazminat sigortası; istisnalar, muafiyet ve underwriting koşullarına tabi olarak seçilmiş beyan riskini devredebilir. Siber, teknoloji hataları ve ihmalleri, profesyonel tazminat ve diğer poliçeler sigortalı kuruluş, dönem, tetikleyici, istisnalar, limitler, alt limitler ve bildirim açısından incelenmelidir.
Sigorta, görünen değeri üzerinden modellenmemelidir. Algoritmik hata, otonom eylem, düzenleyici ceza, sözleşmesel sorumluluk veya bilinen durum için teminat sınırlandırılabilir veya hariç tutulabilir. Alıcı, poliçe metnini, broker başvurularını, hasar geçmişini ve kontrol değişikliği muamelesini danışmanlarla birlikte incelemelidir. Limitler, muafiyet ve tahsilat gecikmesinden sonra kalan maruziyet devam eder.
Anlaşma ekibi hukuki korumayı eylem kohortlarıyla uyumlu hale getirmelidir. Geniş bir garanti kanıtlamak ve tahsil etmek zor olabilir. Üretim izni dışa aktarımları, olay kayıtları ve müşteri istisnalarına bağlanmış tanımlanmış bir beyan daha test edilebilir olabilir. Taslak hazırlama ve uygulanabilirlik, işlem hukuk danışmanı gerektirir.
17 Kontrol boşluklarını gidermek için kapanış koşullarını ve kovenantları kullanın
Kapanış koşulları, devralınan işletmenin devredilmesi ve işletilmesi için gerekli hususlara odaklanmalıdır. Örnekler arasında sahipsiz kimlik bilgilerinin iptal edilmesi, kritik izin fazlasının azaltılması, onay bağlayıcılığının uygulanması, günlüklerin korunması, fikri mülkiyetin devri, önemli müşteri veya tedarikçi onaylarının alınması ve ciddi bir olayın çözülmesi yer alır. Kanıt ve kabul testleri mümkünse imzadan önce tanımlanmalıdır.
Daha düşük ciddiyetli işler, kapanış öncesi kovenantlar, entegrasyon planları ve belirli bütçeler aracılığıyla yönetilebilir. Satıcı olağan faaliyet kontrollerini sürdürmeli ve modellerde, araçlarda, izinlerde, olaylarda ve müşteri yükümlülüklerinde önemli değişiklikleri bildirmelidir. Alıcı, kapanış öncesinde hukuki veya rekabet endişeleri yaratacak şekilde operasyonel kontrolü üstlenmekten kaçınmalıdır.
Ertelenmiş bedel kalıcı operasyonel kanıtlara bağlanabilir. Önlemler arasında kritik bulguların kapatılması, doğrulanmış müşteri elde tutma, kontrol maliyeti sonrası düzeltilmiş katkı, test edilmiş taşınabilirlik ve kararlaştırılmış entegrasyon kilometre taşlarının tamamlanması yer alabilir. Teşvikler, kabul, güvenlik ve nakit olmadan artan otonom hacmi ödüllendirmemelidir.
İşlem dosyası hangi boşluğun kararı, fiyatı, yapıyı, zamanlamayı veya entegrasyonu etkilediğini göstermelidir. Önemlilik içermeyen uzun bir liste, en yüksek sonuçlu yolları çözemeden anlaşmayı geciktirebilir. Yönetişim her koşula bir sahip, kanıt standardı ve son tarih atamalıdır.
18 Dört varsayımsal satın alma vakası oluşturun
Hazine-ödeme ajanı, tedarikçi ödemelerini hazırlar ve belirli limitler dahilinde yürütür. Temel maruziyetleri ödeme yetkisi, lehtar değişikliği, değer limitleri, ayrıştırma, yeniden oynatma ve kurtarmadır. Müşteri sözleşmesi ajanı, onaylı şablonlar içinde değişiklik taslakları hazırlar ve gönderir. Maruziyetleri arasında görünürde yetki, yetkisiz taahhütler, ifşa, sürüm kontrolü ve müşteri güveni yer alır.
Bulut yönetimi ajanı, olayları teşhis eder ve altyapıyı değiştirir. Maruziyetleri arasında ayrıcalık yükseltme, güvenlik yapılandırması, hizmet kesintisi, veri erişimi ve zincirleme değişiklikler yer alır. Düzenlemeye tabi talep ajanı, kanıtları bir araya getirir ve bir talep sürecinin bölümlerini önerir veya yürütür. Maruziyetleri arasında adil olmayan sonuç, hatalı ödeme, açıklama, itiraz, kayıt saklama ve sektör yükümlülükleri yer alır.
Her vaka, çerçevenin nasıl işlediğini göstermek için varsayımsal yönetim kabulleri kullanır. Kabuller adı belirtilmiş bir şirketi veya pazarı tanımlamaz. Gerçek bir satın alma; sözleşmeler, üretim izin dışa aktarımları, onay kayıtları, eylem izleri, olaylar, talepler, sigorta, finansal kayıtlar ve hukuki analiz gerektirir.
Vakalar ayrıca özerkliğin tek itici güç olmadığını gösterir. Sözleşme ajanı daha düşük eylem hacmine ve yüksek hukuki sonuca sahip olabilir. Bulut ajanı, geniş bir teknik etki alanını korurken güçlü değişiklik kontrolleri altında çalışabilir. Talep ajanı, kanıt hazırlığı büyük ölçüde otomatikleştirilmiş olsa bile insan kararı gerektirebilir. Fiyat, doğrulanmış risk ve ekonomik modeli izlemelidir.
19 Örnek maruziyet ve iyileştirme ekonomisi
Varsayımsal hazine vakası, yıllık 1,2 milyon eylem, düşük yetkisiz eylem olasılığı ve yüksek ortalama sonuç varsayarak USD 4.8 million beklenen yıllık kayıp ve yanıt maliyeti üretir. Sözleşme vakası 420.000 eylem ve USD 3.6 million varsayar. Bulut vakası 750.000 eylem ve USD 7.2 million varsayar. Talep vakası 2,4 milyon eylem ve USD 5.4 million varsayar. Bu tutarlar yönetim amaçlı örneklerdir.
Dört vaka ayrıca kimlik, politika uygulama, onay bağlama, günlükleme, test, müşteri çalışması ve işletim süreci değişikliği genelinde USD 22 million tek seferlik iyileştirme varsayar. Yinelenen artımlı kontrol maliyeti USD 9 million olarak varsayılır. İş planı, hangi tutarın mevcut geliri koruduğunu, büyümeyi sağladığını veya kaybı azalttığını belirlemelidir.
Ayrı bir olasılık ağırlıklı yükümlülük modeli, bir ödeme olayı, sözleşmesel taahhüt, bulut kesintisi, veri ifşası ve düzenlemeye tabi sonuç olayı genelinde USD 29.4 million beklenen brüt maruziyet atar. Sigorta ve tazminat geri kazanımını hariç tutar çünkü örnekte tahsil edilebilirlik belirsizdir. Bu sayı bir muhasebe tahmini değil, karar aracıdır.
Duyarlılık analizi; eylem hacmini, olay olasılığını, sonucu, tespit süresini, kurtarmayı, müşteri yoğunlaşmasını, sigortayı ve kontrol etkinliğini değiştirmelidir. Korelasyonlu arıza için özel bir durum ayrılmalıdır. Paylaşılan bir politika değişikliği, bireysel iş akışı geçmişi güçlü görünse bile birçok müşteriyi riske maruz bırakabilir.
20 İlk yüz günü yetki sürekliliği üzerine planlayın
İlk hedef, hesap verebilir yetkinin sürekliliğidir. Alıcı, sahipliği tesis ederken üretim kimliklerini, politikaları, onayları, günlükleri, müşteri taahhütlerini ve olay müdahalesini korumalıdır. Platformları değiştirmeden önce kritik kimlik bilgilerini, kişileri, tedarikçileri ve müşteriye özgü kontrolleri belirlemelidir.
Entegrasyon eylem grubu bazında ilerlemelidir. Salt okunur iş akışları genellikle daha erken taşınabilir. Yüksek sonuçlu yürütme, alıcı ortamında test edilmiş kimlik, politika, onay bağlama, izleme ve kurtarmayı beklemelidir. Her geçiş için bir başlangıç durumu, değişiklik planı, test, geri alma ve gerektiğinde müşteri veya düzenleyici kararı gerekir.
Alıcı; model, istem, araç, kimlik ve onayda eşzamanlı değişikliklerden kaçınmalıdır. Kontrollü sıralama, performans veya kontrol değişikliğinin nedenini belirlemeye yardımcı olur. Hedefin kanıtları, sistemler birleştikten sonra earn-out, garanti, müşteri ve düzenleyici amaçlarla erişilebilir kalmalıdır.
Sinerji raporlaması; kabul edilen eylemleri, insan incelemesini, istisnaları, olayları, düzeltilmiş katkıyı ve nakdi içermelidir. İstisna maliyeti, müşteri kaybı veya kalan maruziyet artarsa daha düşük işgücü maliyeti gerçekleşmiş bir sinerji değildir. Yönetim kurulu, satın alma tezine bağlı kısa ve öz bir yetki ve yükümlülük panosu almalıdır.
21 Kapanış sonrasında ajan yetkisini yönetin
Kapanış sonrası yönetişim, her önemli iş akışı için bir iş sahibi, teknik sahip, güvenlik sahibi, hukuk veya uyum sahibi ve bağımsız güvence rolü atamalıdır. Operasyon komitesi eylem sınıflandırmasını, risk iştahını, yetki limitlerini, müşteri istisnalarını ve önemli değişiklikleri onaylamalıdır. Sonuç doğuran kararlar, kanun, politika veya müşterinin mandatı gerektirdiğinde hesap verebilir insan sahipliğini korumalıdır.
Metrikler etkin izinleri, izin fazlasını, onay hacmini, reddetme ve değişikliği, yetkisiz denemeleri, politika başarısızlıklarını, geri almaları, olayları, tespit ve kurtarmayı, müşteri şikayetlerini, hizmet kredilerini, kalan maruziyeti ve kontrol maliyetini içermelidir. Ölçümler iş akışı ve müşteriye göre segmentlere ayrılmalıdır. Düşük toplam olay oranı, yoğunlaşmış yüksek sonuçlu bir grubu gizleyebilir.
Değişiklik yönetişimi modelleri, araçları, istemleri, politikaları, kimlikleri, eşikleri, verileri ve müşteri yapılandırmasını kapsamalıdır. Sürüm kanıtı olağan, sınır ve saldırgan senaryolara karşı test edildiğini göstermelidir. Kritik değişiklikler, sözleşme veya kanunun gerektirdiği durumlarda müşteri, sigortacı veya düzenleyici incelemesini tetiklemelidir.
Bağımsız güvence yalnızca politikayı değil üretim sistemini test etmelidir. İç denetim, dış uzmanlar veya kontrol fonksiyonları yetki zincirlerinden örnekleme yapabilir, kararları yeniden oynatabilir ve düzeltmeyi doğrulayabilir. Bulgular sermaye tahsisine, ürün kapsamına ve müşteri taahhütlerine bağlanmalıdır.
22 Yatırım komitesi yetki kaydını oluşturun
Yatırım komitesi belgesi teknik bulguları değer, koruma ve operasyon sorumluluğuna ilişkin bir karara dönüştürmelidir. En büyük makul maruziyeti yönlendiren en fazla on sonuç doğuran eylem yolunu, her yol için incelenen üretim kanıtını, çözülmemiş boşlukları ve kalan riski kabul etmekten sorumlu kişiyi belirlemelidir. Küçük yapılandırma gözlemlerinden oluşan uzun bir katalog, fiyatı veya operasyon yeteneğini değiştiren satın alma sorunlarını gizleyebilir.
Her önemli yol için kayıt; asıl tarafı, devredilen amacı, etkin kimliği, izni, uygulama noktasını, insan kontrolünü, eylem hacmini, olası sonucu, tespit yöntemini, kurtarma yolunu ve müşteri tahsisini belirtmelidir. Gözlemlenen üretim kanıtını yönetim beyanından ve senaryo varsayımından ayırmalıdır. Komite böylece bir maruziyetin hâlihazırda mevcut mu, belirsiz bir olaya bağlı mı, kapanış sonrası entegrasyon tarafından mı yaratılmış yoksa planlanan bir kontrol iyileştirmesine mi bağlı olduğunu görebilir.
Belge, yükümlülük görünümünü finansal modelle mutabık kılmalıdır. Kontrol personeli, sigorta, müşteri telafisi, teknoloji çalışması ve entegrasyon gecikmesi, uygulanabilir olduğunda tahmini nakit akışında yer almalıdır. Belirli talepler, karşılıklar veya koşullu hususlar muhasebe ve hukuk danışmanlarıyla incelenmelidir. Fiyat düzeltmeleri, emanet, tazminat ve koşullu bedel, kapanış sonrasında müşterilere hizmet vermek için gereken operasyonel kontrollerin yerine geçen araçlar olarak görülmemelidir.
Karar alternatifleri açık olmalıdır. Alıcı doğrulamadan sonra önerilen fiyattan ilerleyebilir, değeri ayarlayabilir, bir iş akışını veya tüzel kişiliği hariç tutabilir, bir koşul yerine gelinceye kadar kapanışı geciktirebilir, devreye almayı aşamalandırabilir, ek satıcı koruması talep edebilir veya işlemi reddedebilir. Her alternatif, kararı değiştirecek kanıtı ve bu kanıtı elde etme son tarihini belirtmelidir. Bu yapı, çözülmemiş bir kırmızı bayrağın kayda geçmemiş bir varsayıma dönüşmesini önler.
Komite ayrıca kapanış sonrası yetki modelini onaylamalıdır. Ajan tabanlı işin sahibi olan yöneticiyi, sonuç doğuran karar yetkisini elinde tutan görevlileri, teknik ve güvenlik kontrol sahiplerini, güvence yolunu ve yönetim kuruluna yükseltme gerektiren durumları adlandırmalıdır. İlk yüz gün bütçesi ve sıralaması, onaylanmış risk iştahı ve müşteri taahhütleriyle uyumlu olmalıdır.
Son olarak, karar kaydı ayrışan görüşleri ve koşulları korumalıdır. Bir incelemeci ticari tezi kabul ederken daha fazla kanıt birikene kadar daha düşük bir yetki seviyesi talep edebilir. Bir diğeri müşteri onayını, üçüncü taraf model bağımlılığını veya sigorta istisnasını kapanış sorunu olarak görebilir. Bu pozisyonların kaydedilmesi hesap verebilirliği artırır ve entegrasyon ekibine otonom yeteneği serbest bırakmak için net bir sınır verir.
Bir kanıt serbest bırakma takvimi, koşulları ölçülebilir imza sonrası işlere dönüştürebilir. Her kalem; başlangıç kaydını, test popülasyonunu, geçme eşiğini, bağımsız incelemeyi, başarısızlık yanıtını ve fiyat, zamanlama veya devreye alma üzerindeki sonucu belirtmelidir. Kanıtlar, komitenin, işlem hukuk danışmanlarının, sigortacıların ve entegrasyon ekibinin aynı sonuca başvurması için sabit tanımlayıcılarla kontrollü bir depoda saklanmalıdır. Bir test başarısız olduğunda yanıt, yalnızca bir kaydı kapatmak yerine etkilenen eylem grubunu ve müşteri taahhütlerini ele almalıdır. Takvim, desteklenmeden kalan varsayımların süresini sona erdirmeli ve yetki genişlemeden önce yenilenmiş onay gerektirmelidir. Bu disiplin, yatırım kararını sahiplik değiştikten sonraki operasyonel davranışa bağlar.
Üç aylık inceleme, kalan maruziyeti onaylanmış satın alma vakasıyla karşılaştırmalı ve her önemli sapmayı, sahibini, çözümünü ve son tarihini belgelemelidir.
Sonuç
AI ajanı satın alımı yalnızca model yeteneği ve yazılım geliriyle anlaşılamaz. Alıcı; kimlikleri, izinleri, araçları, onayları ve eylemleri değer ve yükümlülük yaratabilen bir yetki sistemi satın almaktadır. Durum tespiti kaydı bu nedenle kimin, hangi yetki altında, hangi kanıt ve çözümle hangi sonuca yol açabileceğini kanıtlamalıdır.
Önerilen çerçeve bu soruyu işlem çalışmasına dönüştürür. Kapsam sınırını tanımlar, asil-vekil zincirini yeniden kurar, izin grafiğini oluşturur, sonuç doğuran eylemi sınıflandırır, uygulama ve insan geçersiz kılma testlerini yapar, eylem kohortu maruziyetini ölçer ve bulguları değerleme ile işlem korumasına bağlar. Mevcut standartları ve düzenlemeleri soru ve kontrol kaynakları olarak ele alırken hedefe özgü kanıt talep eder.
En güçlü satın alma gerekçesi; sınırlandırılmış yetki, alt süreçlerde uygulama, anlamlı insan kontrolü, eksiksiz eylem kayıtları, uyumlu müşteri sözleşmeleri, test edilmiş kurtarma ve maliyeti hesaplanmış kapanış sonrası işletme modeliyle desteklenir. Kanıtlar yeterince olgunlaşmadığında, alıcı varsayılan değeri azaltabilir, iyileştirme talep edebilir, entegrasyonu aşamalandırabilir veya riski işlem yapısı aracılığıyla dağıtabilir. Yatırım kararı, kalan maruziyeti ve bunu kabul etmekten sorumlu kişiyi kaydetmelidir.
Yetki ve izin kanıt odası
Üretim ortamındaki asil-vekil haritasını, kimlikleri, hizmet hesaplarını, grupları, rolleri, tokenları, sırları, araç tanımlarını, kod olarak politikayı, izin dışa aktarımlarını, müşteri kapsamlarını, geçici ayrıcalığı, break-glass erişimini, iptal testlerini ve değişiklik geçmişini sağlayın. Gerekli ve etkin izinleri mutabık kılın ve sonuç doğuran eyleme göre izin fazlasını belirleyin.
İnsan kontrolü ve eylem dosyası
Eylem taksonomisini, onay kurallarını, gözden geçiren rollerini, arayüz görüntülerini, onaydan yürütmeye bağlamayı, sona ermeyi, tekrar oynatmayı önlemeyi, geçersiz kılma ve durdurma testlerini, inceleme metriklerini, anlaşmazlığı, eskalasyonu, geri almayı ve kurtarma kanıtlarını sağlayın. Talepten nihai duruma kadar temsili imzalı izleri ekleyin.
Sorumluluk sözleşmesi ve sigorta dosyası
Müşteri ve sağlayıcı sözleşmelerini, müzakere edilmiş istisnaları, şikayetleri, hak taleplerini, hükümleri, koşullu hususları, sigorta poliçelerini, broker başvurularını, bildirimleri, tahsilatları ve hukuki analizleri sağlayın. Teknik izinleri ve işletme davranışını sözleşmesel yetki ve sorumluluk dağılımıyla eşleştirin.
İşlem ve entegrasyon kontrol dosyası
Değerleme düzeltmelerini, maruziyet senaryolarını, iyileştirme bütçelerini, beyanları, açıklamaları, tazminatları, emaneti, kapanış koşullarını, kovenantları, koşullu bedeli, ilk yüz gün planını, müşteri onaylarını, kontrol sahiplerini ve yönetim kurulu raporlamasını sağlayın. Her değer serbestleşmesini test etmek için gereken kanıtı koruyun.
Önerilen işlem durum tespiti zinciri; her önemli üretim eylemi atfedilebilir ve yeniden üretilebilir olmalıdır.
Önerilen sınıflandırma; daha koyu hücreler daha güçlü bağımsız onay, kurtarma ve işlem koruması gerektirir.
Yönetim varsayımları USD milyon cinsinden; değerler sigorta tazminatı tahsili, vergi ve satın alma fiyatı uygulamasını hariç tutar.
Yönetim varsayımları USD milyon cinsinden; tahsilatlardan önce toplam beklenen brüt risk USD 29.4 million seviyesindedir.
Önerilen sıra; zamanlama müşterinin hukuki, düzenleyici, güvenlik ve entegrasyon gerekliliklerine göre ayarlanmalıdır.
| Bileşen | Gerekli kanıt | İşlem sorusu | Asilin başarısızlığı |
|---|---|---|---|
| Yetki | asilin amacı, yetki devri ve sınırları | eylemi kimin yetkilendirdiği | kanıtsız zımni yetki |
| Kimlik ve izinler | üretim ortamı dışa aktarımları, roller, tokenlar ve politika | ajanın gerçekte neler yapabileceği | izin fazlası veya paylaşılan ayrıcalık |
| İnsan kontrolü | onay kaydı, arayüz, zamanlama ve bağımsızlık | Bir insan zararı önleyebilir veya tersine çevirebilir mi? | ritüel onay veya otomasyon yanlılığı |
| Sonuç | eylem grubunun hacmi, ciddiyeti ve geri döndürülebilirliği | hangi değer veya yükümlülük ortaya çıkabilir | teknik başarı hukuki veya finansal etkiyi gizler |
| Telafi | tespit, sınırlama, kurtarma, sözleşme ve sigorta | maliyeti kim üstlenir ve ne kadar hızlı | tahsil edilebilirlik olmaksızın geri kazanım varsayımı |
Önerilen durum tespiti yapısı; sonuçlar hedefe özgü hukuki, muhasebe, teknik ve ticari inceleme gerektirir.
| Seviye | Ajan kapasitesi | İnsan rolü | Asgari kanıt |
|---|---|---|---|
| Gözlemle | onaylanmış kanıtları keşfet ve oku | amaç ve erişimi tanımlar | kaynak kapsamı, kimlik ve denetim izi |
| Öner | analiz et ve öner | yorumlar ve karar verir | değerlendirme ölçütü, kaynaklar, alternatifler ve görüş ayrılıkları |
| Hazırla | bir işlem veya değişiklik kaydını doldur | tamamlanmış eylemi doğrular | kesin parametreler, ayrıştırma ve son kullanma |
| Sınırlı yürütme | uygulanabilir sınırlar içinde hareket et | politikayı onaylar ve izler | alt akışta uygulama, imzalı iz ve geri alma |
| Sonuç doğuran karar | hakları, parayı, güvenliği veya düzenlemeye tabi sonucu belirler | gerektiğinde hesap verebilir yetkiyi korur | karar kaydı, yetkinlik, itiraz ve güvence |
Önerilen kontrol hiyerarşisi; iş akışına özgü mevzuat, politika ve müşteri gereksinimleri fiili yetkiyi belirler.
| Boyut | Durum tespiti testi | Başarısızlık göstergesi | İşlem yanıtı |
|---|---|---|---|
| Bilgi | İnceleyici kanıtı, eylemi ve sonucu görür | Özet, parametreleri veya belirsizliği gizler | arayüzü yeniden tasarla ve sürüm çıkışını kapı denetimine bağla |
| Yetki | İnceleyici reddedebilir, değiştirebilir, durdurabilir ve üst makama iletebilir | İnceleyicinin rolü veya sistem izni yok | yetkiyi yeniden ata ve ayrıştırmayı zorunlu kıl |
| Zamanlama | karar, geri döndürülemez icradan önce alınır | onay geriye dönüktür | icrayı engelle veya sınırlı ön yetkilendirme ekle |
| Bağımsızlık | sonuç gerektirdiğinde inceleyici ayrıdır | ajan inceleyiciyi seçer veya etkiler | bağımsız yönlendirme ve çıkar çatışması kontrolleri |
| İş yükü | inceleme hacmi anlamlı düzeyde dikkat gösterilmesine imkân tanır | neredeyse evrensel onay veya aşırı gecikme | risk katmanlamasına göre kadrolama ve örnekleme yeniden tasarımı |
| Bağlayıcı | onaylanan eylem, icra edilen eylemle aynıdır | eskimiş, değiştirilmiş veya yeniden oynatılmış onay | kriptografik bağlama, sona erme ve mutabakat |
Görünür bir onay adımı, her boyut üretim ortamında çalışmadıkça yeterli değildir.
| İş akışı | Yıllık eylem sayısı (milyon) | Beklenen maruziyet ve müdahale maliyeti USD milyon | Birincil kontrol bağımlılığı |
|---|---|---|---|
| Hazine ödeme ajanı | 1.20 | 4.8 | lehdar doğrulaması, tutar limitleri ve ayrıştırma |
| Müşteri sözleşme ajanı | 0.42 | 3.6 | onaylı dil, zımni yetki ve sürüm kontrolü |
| Bulut yönetimi ajanı | 0.75 | 7.2 | en az ayrıcalık, değişiklik onayı ve geri alma |
| Düzenlemeye tabi hasar talepleri ajanı | 2.40 | 5.4 | insan kararı açıklaması, itiraz ve kayıt saklama |
Yönetim varsayımları; rakamlar gözlemler, tahminler, muhasebe tahminleri veya değerleme sonuçları değildir.
| İş Akışı | Tek seferlik maliyet | Tekrarlayan yıllık maliyet | Tamamlanma kanıtı |
|---|---|---|---|
| Kimlik ve yetki yeniden tasarımı | 5.0 | 1.5 | Üretim grafiği en az ayrıcalık ve iptal testi |
| Politika uygulaması ve onay bağlayıcılığı | 4.5 | 1.2 | Engellenen senaryolar, imzalı onay ve yeniden oynatma reddi |
| Günlükleme değerlendirmesi ve olay operasyonları | 4.0 | 2.0 | Tam izleme, tespit ve kurtarma tatbikatı |
| Müşteri sözleşmesi ve yapılandırma iyileştirmesi | 3.5 | 1.3 | Mutabık kalınan yetki ve teknik uyum |
| Güvenlik düzenlemeleri ve güvence programı | 3.0 | 2.0 | Test edilen kontroller, bulgular ve kapanış |
| Entegrasyon ve işletim modeli değişikliği | 2.0 | 1.0 | kohort geçişinin kabulü ve yönetişimi |
| Toplam | 22.0 | 9.0 | yönetim kurulu onaylı kanıt kaydı |
Yönetim varsayımları USD milyon cinsindendir; gerçek kapsam, doğrulanmış mimari, müşteri ve hukuki kanıt gerektirir.
| Olay | Brüt sonuç | Olasılık | Ağırlıklı maruziyet |
|---|---|---|---|
| Ödeme yönlendirmesi | 55 | 10% | 5.5 |
| Yetkisiz sözleşme taahhüdü | 32 | 15% | 4.8 |
| Bulut hizmeti kesintisi | 48 | 12% | 5.76 |
| Gizli veri ifşası | 70 | 12% | 8.4 |
| Hatalı düzenlemeye tabi sonuç | 38 | 13% | 4.94 |
| Toplam | 29.4 |
Yönetim varsayımları USD milyon cinsindendir; beklenen brüt maruziyet, sigorta tazminatı geri kazanımı, vergi veya satın alma bedeli uygulaması öncesinde USD 29.4 million'dir.
| Kanıt durumu | Bulgu | Potansiyel işlem yanıtı | Kapanış sonrası tedbir |
|---|---|---|---|
| Doğrulanmış yetki | Sınırlandırılmış kimlikler, izinler ve onaylar | Destek tabanı değeri ve planlanan entegrasyon | İzin fazlalığı ve politika istisnaları |
| Giderilebilir eksiklik | Düzeltmesi ve maliyeti tanımlanmış kontrol zayıflığı | Fiyat düzeltmesi, kovenant, bütçe veya kilometre taşı | Kapanış testi ve kalan maruziyet |
| Bilinen maruziyet | Tanımlanmış olay talebi veya müşteri istisnası | Açıklama, özel tazminat, emanet veya sigorta | Talep, nakit ve tahsilat |
| Belirsiz kuyruk riski | seyrek geçmiş veya korelasyonlu yüksek sonuçlu risk | senaryo iskontosu, geri tutma veya kısıtlı kullandırım | olay öncü göstergeleri ve güvence |
| Transfer engelleyici | yetki, hak, rıza veya kritik kontrol eksikliği | kapanış koşulu, gecikmeli kapsam veya devam etmeme | doğrulanmış transfer ve operasyonel kabul |
Önerilen çerçeve; fiili araçlar için güncel hukuki, vergi, muhasebe, düzenleyici, sigorta ve finansal danışmanlık gerektirir.
Kaynaklar
- IFRS Vakfı. IFRS 3 İşletme Birleşmeleri. Birincil kaynağı okuyun
- IFRS Vakfı. IAS 37 Karşılıklar, Koşullu Borçlar ve Koşullu Varlıklar. Birincil kaynağı okuyun
- IFRS Vakfı. Bir İşletme Birleşmesinde Koşullu Bedelin Muhasebeleştirilmesi. Birincil kaynağı okuyun
- IFRS Vakfı. IAS 38 Maddi Olmayan Duran Varlıklar. Birincil kaynağı okuyun
- IFRS Vakfı. IFRS 13 Gerçeğe Uygun Değer Ölçümü. Birincil kaynağı okuyun
- Uluslararası Değerleme Standartları Konseyi. Uluslararası Değerleme Standartları. Birincil kaynağı okuyun
- Ulusal Standartlar ve Teknoloji Enstitüsü. AI Ajan Standartları Girişimi. 14 Ağustos 2026 tarihinde güncellendi. Birincil kaynağı okuyun
- Ulusal Standartlar ve Teknoloji Enstitüsü. AI Ajan Standartları Girişimi Duyurusu. 17 Şubat 2026. Birincil kaynağı okuyun
- Ulusal Standartlar ve Teknoloji Enstitüsü. Yazılım ve AI Ajan Kimliği ve Yetkilendirmesinin Benimsenmesini Hızlandırma. 2026. Birincil kaynağı okuyun
- Ulusal Standartlar ve Teknoloji Enstitüsü. Yazılım Ajanlarının Kimliği ve Yetkisi Üzerine Yeni Kavram Belgesi. 5 Şubat 2026. Birincil kaynağı okuyun
- Ulusal Standartlar ve Teknoloji Enstitüsü. Yapay Zeka Risk Yönetimi Çerçevesi. Birincil kaynağı okuyun
- Ulusal Standartlar ve Teknoloji Enstitüsü. Üretken AI Profili NIST AI 600-1. Birincil kaynağı okuyun
- Ulusal Standartlar ve Teknoloji Enstitüsü. Siber Güvenlik Çerçevesi 2.0. Birincil kaynağı okuyun
- Ulusal Standartlar ve Teknoloji Enstitüsü. Dijital Kimlik Yönergeleri. Birincil kaynağı okuyun
- Ulusal Standartlar ve Teknoloji Enstitüsü. Sıfır Güven Mimarisi SP 800-207. Birincil kaynağı okuyun
- Siber Güvenlik ve Altyapı Güvenliği Ajansı. Tasarım Gereği Güvenli. Birincil kaynağı okuyun
- OWASP Vakfı. LLM06 2025 Aşırı Yetki. Birincil kaynağı okuyun
- OWASP Vakfı. AI Ajan Güvenliği Kısa Başvuru Kılavuzu. Birincil kaynağı okuyun
- OWASP Vakfı. Ajan Tabanlı AI Tehditleri ve Azaltma Yöntemleri. Birincil kaynağı okuyun
- OWASP Vakfı. Ajan Tabanlı AI Güvenlik Doğrulama Standardı. Birincil kaynağı okuyun
- MITRE. ATLAS AI Sistemleri için Düşmanca Tehdit Ortamı. Birincil kaynağı okuyun
- MITRE. Güvenli AI Çerçevesi. Birincil kaynağı okuyun
- Avrupa Birliği. AB 2024 1689 Yapay Zekâ Tüzüğü Madde 14. Birincil kaynağı okuyun
- Avrupa Komisyonu. AI Yasası düzenleyici çerçevesi ve uygulaması. Birincil kaynağı okuyun
- Birleşik Krallık Bilgi Komiserliği Ofisi. AI ve veri korumaya ilişkin rehber. Birincil kaynağı okuyun
- Avrupa Veri Koruma Kurulu. Otomatik karar verme ve profilleme rehberi. Birincil kaynağı okuyun
- Uluslararası Standardizasyon Örgütü. ISO IEC 42001 Yapay Zekâ Yönetim Sistemleri. Birincil kaynağı okuyun
- Uluslararası Standardizasyon Örgütü. ISO IEC 23894 Yapay Zekâ Risk Yönetimi. Birincil kaynağı okuyun
- Uluslararası Standardizasyon Örgütü. ISO IEC 27001 Bilgi Güvenliği Yönetim Sistemleri. Birincil kaynağı okuyun
- Uluslararası Standardizasyon Örgütü. ISO IEC 27005 Bilgi Güvenliği Risk Yönetimi. Birincil kaynağı okuyun
- OECD. OECD AI İlkeleri. Birincil kaynağı okuyun
- OECD. AI Sistemlerinin Sınıflandırılmasına Yönelik Çerçeve. Birincil kaynağı okuyun
- Dünya Fikrî Mülkiyet Örgütü. Yapay Zekâ ve Fikrî Mülkiyet. Birincil kaynağı okuyun
- ABD Federal Ticaret Komisyonu. AI iddialarınızı kontrol altında tutun. Birincil kaynağı okuyun
- ABD Menkul Kıymetler ve Borsa Komisyonu. Yapay zekâ ve yatırım dolandırıcılığına ilişkin yatırımcı uyarısı. Birincil kaynağı okuyun
- OpenAI. Agents SDK izleme. Birincil kaynağı okuyun
- OpenAI. Ajan iş akışlarını değerlendirin. Birincil kaynağı okuyun
- OpenAI. Ajanlar için iz derecelendirmesi. Birincil kaynağı okuyun
- Anthropic. Sorumlu Ölçeklendirme Politikası. Birincil kaynağı okuyun
- Google Cloud. Ajan tabanlı AI sistemleri için tasarım desenleri. Birincil kaynağı okuyun
- Microsoft. Ajan tabanlı AI mimarisi ve sorumlu AI. Birincil kaynağı okuyun
- Linux Vakfı. Ajan Tabanlı AI Vakfı. Birincil kaynağı okuyun
- Bulut Güvenliği İttifakı. AI Kontroller Matrisi. Birincil kaynağı okuyun
- İnternet Güvenliği Merkezi. CIS Kritik Güvenlik Kontrolleri. Birincil kaynağı okuyun
- İnternet Mühendisliği Görev Gücü. OAuth 2.0 Güvenliği için En İyi Güncel Uygulama. Birincil kaynağı okuyun
- İnternet Mühendisliği Görev Gücü. JSON Web Token En İyi Güncel Uygulamaları. Birincil kaynağı okuyun
- OpenID Vakfı. Finansal Düzey API Güvenlik Profili. Birincil kaynağı okuyun
- Ulusal Standartlar ve Teknoloji Enstitüsü. Geleceğe Dönüş: Ajan Tabanlı AI Neden Güçlü Bir Kimlik Temeline İhtiyaç Duyar. 27 Ağustos 2026. Birincil kaynağı okuyun
- Model Değerlendirme ve Tehdit Araştırması. Öncü AI Modellerinin Görev Tamamlama Zaman Ufukları. Birincil kaynağı okuyun
- MLCommons. AI Güvenlik Kıyaslaması. Birincil kaynağı okuyun
