Ajanını Tanı (Know Your Agent-KYA)

Bankacılıkta Yapay Zekâ Ajanları Dönemi

Banka için sıradan başlayan bir günün sabahında, operasyon ekibiniz kritik bir süreç (limit artırımı, kart iptali, itiraz yönetimi vb.) için oluşturulan bir talep görüyor. Ama bu sefer küçük gibi görünen büyük bir fark var. Talebi başlatan bir insan değil, başka bir uygulamanın arkasında çalışan otonom bir yapay zekâ ajanı. Ve bu ajan sizin sistemlerinize doğrudan bir aksiyon talebi gönderiyor.

Bu aşamada, klasik “Müşterini Tanı” (Know Your Customer - KYC) yaklaşımına artık “Ajanını Tanı” (Know Your Agent - KYA) kavramı da ekleniyor. Yeni kavram ile birlikte de akıllara “bu ajan kim ve hangi yetkilere sahip?” sorusu geliyor. Bu yazının temelini özellikle bu soru oluşturuyor. Çünkü mevcut araştırmalar, bankacılıkta önümüzdeki dönemde asıl dönüşümün ve kırılmanın bu noktada yaşanacağını gösteriyor.

Neden Şimdi KYA?

Son birkaç yılda üretken yapay zekânın, soruları yanıtlayan bir asistan olma rolünden çıkarak planlayan ve aksiyon alan yapılara evrildiği görünmektedir. Gartner, ajan tabanlı yapay zekâ (agentic AI) sistemlerini, kullanıcı tarafından belirlenen hedeflere ulaşmak için kendi başına plan yapabilen ve bu planları hayata geçirmek üzere aksiyon alabilen yapılar olarak tanımlıyor *[1]*.

Trend sadece teorikle de sınırlı değil. Yine Gartner’a göre, kurumsal uygulamaların görev odaklı yapay zekâ ajanlarını barındırma oranı 2025 yılında %5’in altında iken bu oranın 2026 sonuna kadar %40 olması bekleniyor *[2]. Bu durum, bankacılıkta yapının artık sadece insan kullanıcıları değil, makine kullanıcıları da daha fazla barındırmaya başladığı anlamına gelmektedir. Ayrıca Gartner, müşteri hizmetlerinde bu dönüşümün daha da hızlanacağını ve 2029’a kadar yaygın müşteri hizmeti sorunlarının %80’inin insan müdahalesi olmadan ajan tabanlı yapay zekâ ile çözülebileceğini öngörüyor [[3]](https://www.gartner.com/en/newsroom/press-releases/2025-03-05-gartner-predicts-agentic-ai-will-autonomously-resolve-80-percent-of-common-customer-service-issues-without-human-intervention-by-20290)*.

Gelişmeler ile birlikte rekabetin de hızla arttığı bir ortam oluşmaktadır. Boston Consulting Group (BCG)’un bankacılık odaklı raporu, ajan tabanlı yapay zekânın “analizden aksiyona” geçişi hızlandırdığını vurguluyor *[4]*. Yani meselenin artık ajan tabanlı yapay zekâya geçişin olup olmayacağı değil de bu geçişin beraberinde getirdiği risklerin nasıl yönetileceği, güvenlik endişelerinin nasıl ele alınacağı ve sistemleri kimlerin kullanacağı olacak gibi görünüyor.

KYA (Know Your Agent) Nedir?

Know Your Agent (KYA)’ı, Know Your Customer (KYC)’nin yapay zekâ ajanları versiyonu olarak özetlemek kolay görünebilir ama bu tanımı; “bir ajanın kimliğini, yetkisini ve davranış sınırlarını; yaşam döngüsü boyunca doğrulanabilir ve denetlenebilir hale getiren kontroller seti” şeklinde ifade etmek bankacılık mimarisi açısından daha anlamlı olacaktır.

Gartner, ajan tabanlı yapay zekâ evriminde 2025’te asistanların yaygınlaşmasını, 2026’da ise görev odaklı ajanların uygulamalara girmesini ayrı aşamalar olarak tarif etmekte ve yanlış isimlendirmeyi de ajan gibi gösterme (agentwashing) olarak adlandırmaktadır *[2]*. Bu kapsamda “Şekil 1 — Ajan Seviyeleri”, yapay zekâ ajanlarının basit yanıt üretiminden başlayarak nasıl otonom ve çoklu sistemlere evrildiğini göstermektedir.

Şekil 1 — Ajan Seviyeleri

Bankacılıkta Ajan Tabanlı Yapay Zekâ (Agentic AI) Riskleri

World Economic Forum (WEF)’un “2026 Global Cybersecurity Outlook” bulguları bankalar için alarm niteliği taşıyor. Katılımcıların %87’si 2025 boyunca en hızlı büyüyen siber riskin, yapay zekâ kaynaklı zafiyetler olduğunu söylüyor *[5]. Yine WEF verisine göre kuruluşların yapay zekâ araçlarının güvenliğini devreye almadan önce değerlendirme süreci 2025’te %37 iken 2026’da %64’e yükselmiş [[5]](https://reports.weforum.org/docs/WEF_Global_Cybersecurity_Outlook_2026.pdf)*.

Benzer bir açığı Accenture, “State of Cybersecurity Resilience 2025” çalışması ile ortaya koyuyor. Çalışmaya göre kuruluşların %77’si temel veri ve yapay zekâ güvenliği pratiklerinden yoksun. Yalnızca %13’ü modern yapay zekâ kaynaklı tehditlere karşı ileri düzey siber yetkinliklere sahip *[6]. Ayrıca kuruluşların sadece %20’si üretken yapay zekâ (generative AI) modellerini siber risklere karşı koruyabildiğine güveniyor [[6]](https://www.accenture.com/content/dam/accenture/final/accenture-com/document-3/State-of-Cybersecurity-report.pdf)*.

Bankacılık özelinde ise en kritik teknik risklerden biri, ajanın dış içerikle (e-posta, web sayfası, PDF, çağrı merkezi transkripti vb.) temas ettiği yerde ortaya çıkıyor. Bu durum literatürde “dolaylı komut enjeksiyonu” olarak yer alıyor. Association for Computational Linguistics (ACL) tarafından 2024’te yayımlanan InjecAgent çalışması, araç entegreli büyük dil modeli (Large Language Model — LLM) ajanlarının bu tür saldırılara açık olduğunu ve bazı ajan kurulumlarında saldırıların %24 oranında başarılı olabildiğini rapor ediyor *[7]*.

Araştırma ve gelişmeler göz önünde bulundurulduğunda, ajanların bankacılık sektörüne girmesiyle hem siber saldırılarındaki hem de operasyonel hata sayılarındaki artışın kaçınılmaz riskler doğuracağı ve gerekli önlemler alınmadığı durumda artarak devam edeceği görünmektedir.

Kurumsal Mimari Gözünden KYA Kontrol Katmanları ve Referans Mimari

KYA tanımı, Kurumsal Mimari perspektifinden aşağıdaki gibi üç temel madde ile pratikleştirilebilir ve bu maddeler yine ajan için sorulacak aşağıdaki sorulara alınacak cevaplar ile doğrulanabilir:

1. Kimlik ve sahiplik: Kim tarafından geliştirildi, kim tarafından devreye alındı, sahibi kim?

2. Kabiliyet ve kapsam: Hangi araçları kullanabilir, hangi verilere dokunabilir, hangi işlemleri başlatabilir?

3. Hesap verebilirlik ve izlenebilirlik: Yaptığı aksiyonlar geriye dönük denetlenebilir mi ve “bunu neden yaptı” sorusu karşılık buluyor mu?

“Şekil 2 — KYA Referans Mimari: 7 Katmanlı Kontrol Modeli”, yapay zekâ ajanlarının kimlik yönetiminden güvenlik operasyonlarına kadar uzanan yedi katmanlı kontrol yapısını tanımlayarak güvenli, izlenebilir, uyumlu ve hesap verebilir bir ajan yönetim mimarisini göstermektedir.

Şekil 2 — KYA Referans Mimari: 7 Katmanlı Kontrol Modeli

KYA’nın Operasyonel Zorlukları ve Maliyet Gerçeği

Peki KYA gerçekten her açıdan kusursuz bir çözüm mü, diye sorulacak olursa da cevabı “elbette hayır” olur. Çünkü KYA yaklaşımı, bankacılıkta güvenliği yeni bir seviyeye taşırken, uygulama tarafında göz ardı edilmemesi gereken ciddi operasyonel yükler de doğurur.

Özellikle kara para aklamayı önleme (AML) ve işlem izleme senaryolarında yanlış pozitif (false positive) alarm sayılarının daha da artması ile birlikte azımsanmayacak kadar sayıda gereksiz alarmın manuel olarak incelenmesi gerekliliği oluşarak operasyon ekiplerinin kapasitesini ciddi şekilde tüketecektir *[10]*. Bu durum yalnızca maliyet artışı değil, aynı zamanda gerçek risklerin gözden kaçma ihtimalini de beraberinde getirebilir.

Performans tarafında da benzer bir denge problemi ortaya çıkar. KYA kontrollerinin getireceği ek gecikme (latency) göz ardı edilmemelidir. Kimlik doğrulama, yetkilendirme ve politika değerlendirme gibi katmanlar işlem başına milisaniye seviyesinde ek yük oluştururken, insan onayı gerektiren senaryolarda bu gecikme saniyelerden dakikalara kadar uzayabilir. Bu durum özellikle gerçek zamanlı bankacılık işlemlerinde müşteri deneyimini doğrudan etkileyen bir faktör haline gelebilir. Bu nedenle KYA tasarımında güvenlik ile performans arasında da dengeli bir yaklaşım ile ilerlemek kritik hale gelir.

Bir diğer önemli konu ise yönetişim yüküdür (governance overhead). AI ajan kullanımının hızla arttığı bir ortamda, organizasyonların %91’inin halihazırda ajan kullandığı, ancak yalnızca %10’unun olgun bir yönetişim modeline sahip olduğu görülmektedir *[8]. Bu dengesizlik, kimlik yönetimi, yetkilendirme, denetim ve yaşam döngüsü yönetimi süreçlerinin hızla karmaşıklaşmasına neden olacaktır. Nitekim Gartner, artan regülasyon baskısıyla birlikte AI yönetişim platformu (governance platform) harcamalarının 2026 itibarıyla yüz milyonlarca dolara ulaşacağını öngörmektedir [[2]](https://www.gartner.com/en/newsroom/press-releases/2025-08-26-gartner-predicts-40-percent-of-enterprise-apps-will-feature-task-specific-ai-agents-by-2026-up-from-less-than-5-percent-in-2025)*.

Operasyonel yük olarak sadece süreçlerle sınırlı kalmayıp veri ve izleme maliyetleri de hızla artmaktadır. Yüksek hacimli ajan etkileşimleri, günlük yüksek hacimli denetim kayıtları (audit log) üretirken, bu verinin saklanması ve analiz edilmesi zorunludur. Bunun arkasındaki temel neden ise AI kaynaklı tehditlerin hızla büyümesidir: Kurumların %87’si AI zafiyetlerini en hızlı büyüyen siber risk olarak tanımlamaktadır *[5]*.

Ek olarak, teknik riskler de operasyonel karmaşıklığı artırır. Model sapması (model drift), öngörülemez davranışlar ve özellikle dolaylı prompt enjeksiyonu (indirect prompt injection) gibi yeni nesil saldırılar, ajan sistemlerinin sürekli olarak izlenmesini gerektirir. Akademik çalışmalar, bazı ajan mimarilerinde bu tür saldırıların %24’e varan başarı oranına ulaşabildiğini göstermektedir *[7]*. Bu da KYA’nın statik bir kontrol mekanizması değil, sürekli evrilen bir disiplin olması gerektiğini ortaya koymaktadır.

Tüm bu faktörler birlikte değerlendirildiğinde KYA, yalnızca bir güvenlik katmanı değil; maliyet, performans, operasyonel verimlilik, regülasyon uyumu vb. aralarında hassas denge gerektiren stratejik bir mimari problem olarak konumlanmaktadır.

Üst Yönetim Perspektifinden KYA’nın İş Değeri, ROI ve Risk Azaltım Etkisi

Kontrolsüz ajan kullanımı, maliyet avantajı sağlıyor gibi görünürken; uyum, güvenlik ve itibar riskleri nedeniyle bu kazancı hızla eritebilir. KYA ise bu dengeyi kurarak üst yönetim için “kontrollü inovasyon” imkânı sunar. Bu kapsamda KYA, yapay zekâ yatırımlarının sürdürülebilir ROI üretmesini sağlayan bir kontrol mekanizması olarak değerlendirilebilir.

“Tablo 1 — KYA Etkisi Karşılaştırma Tablosu”, KYA yaklaşımının farklı değer alanlarında sunduğu kullanım senaryolarını ve bu senaryoların araştırmalarla desteklenen ölçülebilir iş etkilerini karşılaştırmalı olarak göstermektedir.

KYA’nın Bankacılıktaki Geleceği

Önümüzdeki 18–36 ayda bankacılıkta iki eğilimin birleşeceği düşüncesi beliriyor:

1. Ajanların sayısı hızla artacak: Gartner’ın 2026’da uygulamaların %40’ında ajan öngörüsü bunun için güçlü sinyal olarak görünüyor *[2]*.

2. Ajanlara uygulanan güvenlik ve yönetişim talepleri insan seviyesine yaklaşacak: Accenture, ajanların “insan çalışan” gibi ele alınması gerektiğini ve yaygın ajan kullanımında Zero Trust yaklaşımının kritik olduğunu söylüyor *[13]*.

Bu birleşimin doğal sonucu olarak KYA, bankalarda Kimlik ve Erişim Yönetimi’nin (Identity & Access Management — IAM) bir alt başlığı olmaktan çıkıp; risk, uyum, siber güvenlik ve kurumsal mimarinin ortak standardı hâline gelecek.

KYC, finansal sistemde “kiminle iş yaptığını bilmek” için doğdu. KYA, agentic AI çağında “hangi yazılım aktörüyle iş yaptığını bilmek” için doğuyor. WEF’in işaret ettiği hızlanan AI zafiyetleri, Accenture’ın ölçtüğü güvenlik olgunluğu açığı ve Gartner’ın öngördüğü yaygın ajanlaşma bir araya geldiğinde KYA artık bir fikir değil, bankacılıkta yeni bir güven katmanı gereksinimi olduğu görünüyor *[5]*.

Kısaca söylemek gerekirse KYC, müşteriyi tanımak içindi; KYA, sistemde kimlerin hareket ettiğini anlamak için. Ve sistemdeki kim sorusunun cevabı artık sadece insan değil.

Kadir Velibeyoğlu

Kaynakça

1. Gartner, “Gartner Identifies the Top 10 Strategic Technology Trends for 2025,” Gartner Newsroom, Oct. 21, 2024. [Online]. Available: *https://www.gartner.com/en/newsroom/press-releases/2024-10-21-gartner-identifies-the-top-10-strategic-technology-trends-for-2025*. [Accessed: May 22, 2026].

2. Gartner, “Gartner Predicts 40% of Enterprise Apps Will Feature Task-Specific AI Agents by 2026, Up From Less Than 5% in 2025,” Gartner Newsroom, Aug. 26, 2025. [Online]. Available: *https://www.gartner.com/en/newsroom/press-releases/2025-08-26-gartner-predicts-40-percent-of-enterprise-apps-will-feature-task-specific-ai-agents-by-2026-up-from-less-than-5-percent-in-2025*. [Accessed: May 22, 2026].

3. Gartner, “Gartner Predicts Agentic AI Will Autonomously Resolve 80% of Common Customer Service Issues Without Human Intervention by 2029,” Gartner Newsroom, Mar. 5, 2025. [Online]. Available: *https://www.gartner.com/en/newsroom/press-releases/2025-03-05-gartner-predicts-agentic-ai-will-autonomously-resolve-80-percent-of-common-customer-service-issues-without-human-intervention-by-2029*. [Accessed: May 22, 2026].

4. Boston Consulting Group, “For Banks, the AI Reckoning Is Here,” BCG Financial Institutions AI Report 2025, May 2025. [Online]. Available: *https://web-assets.bcg.com/1a/b0/007d0359442eb77e5f3aaf07b5c1/for-banks-the-ai-reckoning-is-here-may-2025.pdf*. [Accessed: May 22, 2026].

5. World Economic Forum and Accenture, “Global Cybersecurity Outlook 2026,” 2026. [Online]. Available: *https://reports.weforum.org/docs/WEF_Global_Cybersecurity_Outlook_2026.pdf*. [Accessed: May 22, 2026].

6. Accenture, “State of Cybersecurity Resilience 2025,” 2025. [Online]. Available: *https://www.accenture.com/content/dam/accenture/final/accenture-com/document-3/State-of-Cybersecurity-report.pdf*. [Accessed: May 22, 2026].

7. Q. Zhan, Z. Liang, Z. Ying, and D. Kang, “InjecAgent: Benchmarking Indirect Prompt Injections in Tool-Integrated Large Language Model Agents,” in Findings of the Association for Computational Linguistics: ACL 2024, Bangkok, Thailand, Aug. 2024, pp. 10471–10506. [Online]. Available: *https://aclanthology.org/2024.findings-acl.624.pdf*. [Accessed: May 22, 2026].

8. Okta and Accenture, “Strengthening Identity Security in the Age of Agentic AI,” Solution Brief, Jan. 2026. [Online]. Available: https://www.okta.com/sites/default/files/2026-01/okta-accenture-identity-security-agentic-ai-brochure.pdf. [Accessed: May 22, 2026].

9. Bank for International Settlements and Financial Stability Institute, “Regulating AI in the Financial Sector: Recent Developments and Main Challenges,” FSI Insights on Policy Implementation, no. 63, Jul. 2024. [Online]. Available: *https://www.bis.org/fsi/publ/insights63.pdf*. [Accessed: May 22, 2026].

10. McKinsey & Company, “How Generative AI Can Help Banks Manage Risk and Compliance,” McKinsey Risk & Resilience Insights, 2024. [Online]. Available: *https://www.mckinsey.com/capabilities/risk-and-resilience/our-insights/how-generative-ai-can-help-banks-manage-risk-and-compliance*. [Accessed: May 22, 2026].

11. Deloitte, “Harnessing Gen AI in Financial Services: Why Pioneers Lead the Way,” Deloitte Insights, 2025. [Online]. Available: *https://www.deloitte.com/us/en/insights/industry/financial-services/generative-ai-financial-services-pioneers.html*. [Accessed: May 22, 2026].

12. Microsoft Security Response Center, “How Microsoft Defends Against Indirect Prompt Injection Attacks,” Microsoft Security Response Center Blog, Jul. 2025. [Online]. Available: *https://www.microsoft.com/en-us/msrc/blog/2025/07/how-microsoft-defends-against-indirect-prompt-injection-attacks*. [Accessed: May 22, 2026].

13. Accenture, “Strengthening AI Agent Security With Identity Management,” Accenture Security Blog, 2025. [Online]. Available: *https://www.accenture.com/us-en/blogs/security/strengthening-ai-agent-security-identity-management*. [Accessed: May 22, 2026].

14. Financial Stability Board, “The Financial Stability Implications of Artificial Intelligence,” Nov. 14, 2024. [Online]. Available: *https://www.fsb.org/uploads/P14112024.pdf*. [Accessed: May 22, 2026].

15. CB Insights, “State of AI 2025,” CB Insights Research Report, 2025. [Online]. Available: *https://www.cbinsights.com/research/report/ai-trends-2025/*. [Accessed: May 22, 2026].

16. Fiba Tech Lab, “Fiba Tech Lab,” Medium, 2026. [Online]. Available: *https://medium.com/fiba-tech-lab*. [Accessed: May 22, 2026].