Uygulama yapmanın eşiği çöktü, kullanıcı verisine dokunmanın eşiği çökmedi

E-ticaret sektöründeki orta katman (middle office) yöneticileri son zamanlarda bana hep aynı soruyu soruyor: İş birimleri bir hafta içinde AI ile kendi iç araçlarından üç tanesini kendileri geliştirebiliyor, ama BT’nin geliştirme takvimi hâlâ gelecek çeyreği gösteriyor. Aradaki fark tam olarak nerede?

Bizim yanıtımız tek bir tespitten ibaret: Geliştirme eşiği çöktü, kullanıcı verisine dokunmanın eşiği çökmedi.

Bu cümlenin arkasında aynı anda yaşanan iki ayrı gerçeklik var.

Bolt.new, StackBlitz’in ürünü, Ekim 2024’te tek bir tweet ile sessizce piyasaya sürüldü ve beş ayda 40 milyon dolar ARR’ye ulaştı. Sacra ve Growth Unhinged, onu tarihteki en hızlı büyüyen ikinci ürün olarak takip ediyor (yalnızca ChatGPT’nin ardından). 2026 mali yılını kapatırken StackBlitz CEO’su Eric Simons LinkedIn’de şunu paylaştı: Bolt.new artık Fortune 500 şirketlerinin dörtte üçü tarafından kullanılıyor ve kurumsal ARR yıllık bazda 10 kat arttı (Eric Simons’ın resmi gönderisi, 2026 mali yılı kapanışı). Lovable, Stockholm merkezli bir ekip (kurucu Anton Osika); Kasım 2025’te 200 milyon dolarlık A Serisi turla 1,8 milyar dolar değerleme aldı, Aralık 2025 sonunda B Serisi ile değerlemesi 6,6 milyar dolara çıktı; altı ayda değerleme neredeyse 4 kat arttı (Forbes/CNBC/Bloomberg/TechCrunch karşılıklı doğrulama). Haziran 2026’da Lovable’ın ARR’si 500 milyon doları aştı (Forbes haberi, TechCrunch 2026-06-09 eş zamanlı). Forbes aynı gün dört kaynağa dayandırdığı haberinde şirketin 12 milyar dolar değerleme üzerinden yeni bir tur görüşmesi yaptığını yazdı (yaklaşık iki katı). Bu tür araçlar “bir uygulama yapmayı” birkaç kişilik aylık bir projeden, tek kişilik bir öğleden sonraya indiriyor.

Geliştirme eşiği çökmüş olsa da, şirketinizin gerçekten pahalıya mal olan ve süreci gerçekten tıkayan birkaç aşama milim bile kıpırdamadı: KVKK Madde 9 kapsamında veri yurt dışı çıkış değerlendirmesi, BDDK bilgi sistemleri denetimi, BTK kritik altyapı yükümlülükleri, SPK / MASAK denetim izi ve mutabakat / uzlaştırma. Bu aşamaların kodla neredeyse hiçbir ilgisi yok, ama her biri haftalarca süre yiyor. App üreticileri ilk kapıyı tekmeleyip açtı; iş tarafı artık kendi uygulamalarını yapabiliyor. Ama ikinci kapı – üretim verisine kimin erişmeye yetkili olduğu, çekirdek işlemleri kimin değiştirebileceği – milim bile yerinden oynamadı.

Buradan, çoğu karar vericinin henüz farkına varmadığı bir risk açığı doğuyor: Uygulama yapabilen kişi, o uygulamanın veriye yasal olarak erişmesini sağlayacak yetkiye sahip olmayabilir.

Karşılaştığımız Gerçek Bir Senaryo (E-ticaret, anonimleştirilmiş): Bir ev dekorasyonu e-ticaret şirketinin influencer operasyon ekibi, Lovable kullanarak iki ay içinde kendi başına 7 dahili araç geliştirdi: influencer eşleştirme, komisyon hesaplama, viral ürün takibi, iade neden analizi. Teknoloji ekibine kimse haber vermedi. Yıl ortasında yapılan gölge BT envanter sayımında, bu araçlardan 4’ünün telefon numarası ve teslimat adresi içeren geniş sipariş tablolarını okuduğu, 2’sinin ise verileri kişisel bulut depolama alanlarına dışa aktardığı tespit edildi. Bu, 2025’in ikinci yarısından itibaren e-ticaret teknoloji ekiplerinin varlık envanteri çıkarırken sıkça karşılaştığı bir durum — münferit bir örnek değil.

Karşılaştığımız Gerçek Bir Senaryo (Telekom operatörü, anonimleştirilmiş): Bir bölgesel operatörün il düzeyindeki şubesinde yapılan iç eğitim değerlendirmesinde, pazarlama merkezi proje yöneticisi, Bolt ile “hızlı müşteri profili sorgulama aracı” geliştirdiklerini itiraf etti. Bu araç, telefon numarası girildiğinde son 90 günün tarife değişikliklerini, şikayet geçmişini ve önerilen kampanya tablosunu getirebiliyordu — teknik departmanın hiçbir bilgisi yoktu. Bu durum, kişisel bilgi sorgulama yetkileri konusunda KVKK 6698 sayılı Kişisel Verilerin Korunması Kanunu Madde 11 ve BTK’nın elektronik haberleşme düzenlemeleri ile BDDK bilgi sistemleri denetim rehberi kapsamındaki kırmızı çizgilere doğrudan temas ediyordu.

Önce bir şekle bakalım, bu açığın neye benzediğini netleştirelim.

Şimdi detaylıca inceleyelim: bu araçlar kimin hangi sorununu çözüyor, mühendislerin rolü nasıl değişiyor, e-ticarette patlayan gölge uygulamalar neye benziyor, sıkı regülasyona tabi sektörlerde asıl takılan noktalar neler ve iş tarafına nasıl uyumlu bir yol açılabilir.

1. Önce Bu Beş Aracı Kendi Bağlamlarına Yerleştirelim

Birçok kişi bu araçların tamamını “AI kodlama” diye aynı kefeye koyuyor. Oysa bunlar iki farklı kitleye hitap ediyor; bu ayrımı netleştirdiğinizde gerisi kendiliğinden oturuyor.

Birinci grup: “Kod yazmayı bilenler.” Bunların ihtiyacı daha hızlı bir kod editörü: kod tabanınızın bağlamını anlayan, dosyalar arası geçiş yapıp değişiklik yapan, testleri otomatik çalıştıran, hata mesajlarını açıklayan bir araç. Bu kategorinin temsilcileri Cursor, ByteDance’ın Trae’si, Microsoft Copilot ve GitHub Copilot. Ortak varsayımları şu: siz zaten mühendissiniz; araç tekrarlayan işleri sizin yerinize yapıyor. Bu konuyu serinin dördüncü yazısında ele almıştık, burada tekrar açmayacağım.

İkinci grup: “Kod yazmayı bilmeyenler.” İşte bu yazının asıl kahramanı bunlar: App üreticileri (App generators). Türkçe tek bir cümleyle ne istediğinizi tarif ediyorsunuz, size doğrudan çalışan bir uygulama veriyor: ön yüz, arka yüz, veritabanı, dağıtım — hepsi dahil. Sizin programlama bildiğinizi varsaymıyor.

Bu yazıda dört App üreticisini ele alacağım; AI IDE’ler arasından ise yalnızca Trae’yi ayrıca masaya yatıracağım, çünkü sıkı regülasyona tabi sektörler için can alıcı bir noktaya dokunuyor.

Bolt.new (StackBlitz ürünü). Ekim 2024’te sessiz sedasız bir tweet ile duyuruldu; Sacra ve Growth Unhinged’in takibine göre tarihte en hızlı büyüyen ikinci ürün oldu (sadece ChatGPT’nin ardından): ilk hafta $1M ARR, dört haftada $4M, yaklaşık iki ayda $20M, beş ayda $40M ve yaklaşık 5 milyon kayıtlı kullanıcı (StackBlitz CEO’sunun kamuya açık beyanı). Altta yatan teknolojisi WebContainers; tarayıcıda tam bir Node.js ortamı çalıştırabiliyor, böylece AI doğrudan dosyaları düzenleyebiliyor, paket kurabiliyor ve sunucu başlatabiliyor — yerel bir ortam kurmanıza gerek kalmıyor. 2026 mali yılı kapanışında Bolt.new, Fortune 500 şirketlerinin dörtte üçü tarafından kullanılıyordu ve kurumsal ARR yıllık bazda 10 kat arttı (Eric Simons’ın LinkedIn’deki resmi gönderisi, 2026 mali yılı kapanışı). StackBlitz, Ocak 2025’te $105.5M Series B turu aldı ve değerlemesi yaklaşık $700M oldu (Business Insider ve diğer kaynaklar). Tipik kullanım senaryosu: anında açılıp görülebilen küçük bir uygulama veya landing page oluşturmak.

Lovable (Stockholm merkezli, kurucusu Anton Osika; açık kaynaklı GPT Engineer projesinin devamı niteliğinde). Yaklaşımı “tek bir cümleden tam dağıtılabilir bir uygulamaya” şeklinde ve konumlandırması Bolt’tan daha çok uçtan uca iş uygulamalarına odaklı. Kasım 2025’te 200 milyon dolarlık A Serisi turla 1,8 milyar dolar değerleme aldı; Aralık 2025 sonunda ise 330 milyon dolarlık B Serisi turla değerlemesi 6,6 milyar dolara çıktı. Altı ayda değerlemesi neredeyse 4 kat arttı. Haziran 2026 itibarıyla yıllık tekrarlayan geliri (ARR) 500 milyon doları aştı (Forbes 2026-06-05 haberi, TechCrunch eş zamanlı duyurdu). Aynı gün Forbes, dört kaynağa dayandırdığı haberinde şirketin yaklaşık 12 milyar dolar değerleme üzerinden yeni bir tur görüşmesi yaptığını bildirdi (yaklaşık iki kat artış; Forbes/Rashi Shrivastava). Lovable’ın kurumsal müşteri listesinde Workday, Asana ve NVIDIA yer alıyor (ARR.club 2026 derlemesi).

Vercel v0. Ekim 2023’te piyasaya sürüldü; 3 Şubat 2026’da resmi olarak v0.dev’den v0.app’e geçerek yalnızca bir UI bileşen iskeleti üreticisi olmaktan çıkıp tam kapsamlı bir uygulama üretecine dönüştü (sandbox runtime + GitHub entegrasyonu + Snowflake/AWS veritabanı entegrasyonu). Mart 2026 itibarıyla Vercel’in resmi açıklamasına göre 6 milyondan fazla geliştirici kullanıcıya ve aylık yaklaşık 80 bin aktif ekibe ulaşıldı (rakip firma analistleri ARR’yi yaklaşık 42 milyon dolar olarak tahmin ediyor; Taskade Mart 2026 özeti).

Replit Agent 4. 13 Mart 2026’da yayınlanan bu sürüm, Replit tarihindeki en önemli güncelleme. Üç şey aynı anda değişti: ① Design Mode, Infinite Design Canvas’a yükseltildi; artık tasarım yaparken kodu da düzenleyebiliyorsunuz. ② İş birliği, fork-and-merge modelinden “aynı proje, çoklu görev” modeline geçti — birden fazla sub-agent paralel çalışıyor ve sonunda bir çakışma çözme sub-agent’ı otomatik olarak birleştiriyor. Resmî verilere göre Agent 4, birleştirme çakışmalarının %90’ını otomatik çözüyor (AlphaSignal 2026 haberi; Replit resmî 2026-03 changelog’u ile doğrulandı). ③ Planlama ve yürütme artık sıralı değil; planlama yaparken aynı anda icra edebiliyorsunuz. Aynı dönemde Replit, D Serisi yatırım turunu tamamladı ve değerlemesi yaklaşık 9 milyar dolara ulaştı (Atal Upadhyay 2026 haberi; TechCrunch/Bloomberg gibi birden fazla kaynak doğruluyor). Replit, çevrimiçi kodlama ortamı olarak yola çıktı ve doğal olarak iş birliği ile barındırma özelliklerini beraberinde getirdi. Agent 4, “birkaç kişinin bir araya gelip bir ürün geliştirmesi” sürecini neredeyse kişisel çağın hızına indirdi.

Bu dördünün ortak noktası: “uygulama geliştirme” maliyetini ekip·ay seviyesinden kişi·saat seviyesine düşürmeleri.

Trae’yı ayrıca ele alıyoruz çünkü telekom, finans ve e-ticaret kurumsal kullanıcıları için somut bir tedarikçi riski oluşturuyor. Trae biçimsel olarak bir IDE (editör) olsa da, özünde ByteDance sunucularına sıkı sıkıya bağlı bir geliştirme ortamıdır; kurumsal kullanıcılar bunu “sıradan bir IDE” gibi değil, “yurt dışına veri çıkışı sağlayan bir araç” olarak değerlendirme ve erişim onayı sürecinden geçirmelidir. ByteDance, Ocak 2025’te Cursor’ı hedef alarak bu aracı piyasaya sürdü ve strateji olarak Claude, GPT-4o gibi üst düzey modellere ücretsiz erişim sundu. 12 ayda kayıtlı kullanıcı sayısı 6 milyona, aylık aktif kullanıcı sayısı 1,6 milyona ulaştı ve toplamda yaklaşık 100 milyar satır kod üretildi (OpenAI Tools Hub 2026-05 araştırma özeti). Ancak Temmuz 2025’te güvenlik araştırmacısı segmentationf4u1t, telemetry_research projesini yayınlayarak şunu kanıtladı: Ayarlardan telemetriyi kapatsanız bile, Trae arka planda ByteDance’ın mon-va.byteoversea.com gibi sunucularına veri aktarmaya devam ediyor — donanım bilgileri, işletim sistemi sürümü, kalıcı cihaz ve makine kimlikleri, proje etkinlik verileri dahil; tek bir telemetri paketi en fazla 53.606 bayt olabiliyor ve yaklaşık 7 dakikalık normal kullanımda 500’den fazla çağrı ve yaklaşık 26 MB veri oluşuyor (GitHub segmentationf4u1t/trae_telemetry_research birincil verileri, The Register/Cybernews 2025-07-28 haberi).

ByteDance’ın sonraki yanıtı kayda değer. Cybernews’in 2026-08-01 tarihli güncellemesinde şu ifade yer alıyor: ByteDance resmi açıklamasında, IDE ayarlarındaki telemetry anahtarının yalnızca VS Code çerçevesine ait telemetriyi kontrol ettiğini, diğer Trae araçlarının veri toplama işlemlerinin bu anahtardan etkilenmediğini kabul etti — yani açıkçası, kapattığınızı sandığınız şey aslında hâlâ açık. Araştırmacılar Trae ekibiyle doğrudan iletişime geçtikten sonra, bağımsız bir Privacy Mode’un 2026 yılı Ağustos ayı civarında yayınlanmasının planlandığı doğrulandı. Bu arada, Trae’nin 2026 Şubat ayında devreye aldığı “token tabanlı ödeme duvarı”, “sonsuza dek ücretsiz” vaadini bozdu ve üretim ortamlarında Trae kullanan birçok geliştiriciyi yeniden değerlendirmeye itti (OpenAI Tools Hub 2026-05 araştırma özeti).

Bireysel geliştiriciler için ücretsiz Claude oldukça cazip. Sizin gibi bir karar verici içinse bu, tipik bir veri yurt dışına çıkışı uyumluluk meselesi: mühendisleriniz, şirketinizin kodunu, muhtemelen yapılandırma dosyalarını ve arayüzlerini, verileri ByteDance sunucularına aktaran bir araca besliyor. Telekom ve finans gibi KVKK 6698 sayılı Kişisel Verilerin Korunması Kanunu, BDDK bilgi sistemleri denetimi ve BTK elektronik haberleşme düzenlemeleri kapsamındaki sektörlerde, bu adım tek başına bir uyumluluk olayını tetiklemeye yeter. Dördüncü bölümde bu konuya ayrıntılı olarak değineceğiz.

2. Geliştirme Yeniden Yazılıyor: “Kod Yazmak”tan “İnceleme, Orkestrasyon ve Güvence”ye

App üreticilerinin en yaygın şekilde yanlış yorumlanması, “artık mühendislere ihtiyaç kalmayacak” şeklindedir. Bu yanlış bir yöndür.

Doğru ifade şudur: Bu, mühendislerin işinin odak noktasını değiştirir, işlerini ortadan kaldırmaz. Yapay zeka ve iş birimleri kod ve uygulama üretebildiğinde, mühendisin değeri “kendisinin yazması”ndan üç şeye kayar: üretilenlerin doğru olup olmadığını incelemek, bunları güvenilir sistemlere dönüştürmek ve güvenlik ile kalitenin bekçiliğini yapmak.

Bu üç şey “kod yazmaktan” daha nadir ve daha değerlidir. Bir React bileşeni yazabilen her yerde bulunur; ancak yapay zekanın ürettiği bir promosyon uygulamasının sipariş verilerine dokunup dokunamayacağını, kimlik doğrulamasının sahte olup olmadığını ve logları yurt dışındaki bir servise gönderip göndermediğini değerlendirebilenler çok daha nadirdir.

Burada net bir katmanlı değerlendirme yapmak gerekiyor, çünkü çok fazla şirket bu konuda uç noktalara gidiyor: ya her şeyi üreticiye teslim ediyorlar ya da tamamen yasaklıyorlar. Her iki uç da kaybettirir.

Bu görselin iletmek istediği tek bir cümle var: Yatay eksen uygulamanın mantıksal karmaşıklığını, dikey eksen ise para ve kişisel verilerle ne kadar etkileşime girdiğini gösterir. Sağ alttaki hücre (yüksek karmaşıklık artı yüksek hassasiyet), App üreticisi ne kadar akıllı olursa olsun devreye giremez. Bir promosyon açılış sayfasını Lovable’a emanet etmek sorun değil; ödeme ağ geçidinizi ona emanet etmek ise sadece bir zaman meselesi.

Bu kırmızı çizgiyi içselleştirin ve e-ticarette olup bitenlere bakın.

3. E-Ticaretin Gerçek Acısı: Gölge Uygulamalar Sipariş Verilerine Dokunuyor

Biraz geri çekilip bakalım. Gartner’ın 2025’in ikinci yarısında ortaya attığı bir rakam var: 2026 sonuna kadar kurumsal uygulamaların %40’ına göreve özel AI agent’ları entegre edilmiş olacak; 2025’te bu oran %5’in altında (Gartner resmi tahmini, Process Excellence Network 2025-08-27’de de yayınlandı). Bununla birlikte gelen daha çarpıcı bir veri daha var: Gartner, 2024 Q1’den 2025 Q2’ye kadar geçen sürede multi-agent sistemlere yönelik danışmanlık taleplerinde %1445 artış bildirdi — bu, Gartner’ın AI danışmanlık biriminde en hızlı büyüyen konu, açık ara birinci (RAPIDCLAW/Hendricks.ai/Arion Research çoklu kaynak derlemesi).

Bu iki rakamı e-ticaret diline çevirelim: kurumsal uygulamaların %40’ında AI agent çalışıyor olacak; bunun yanına bir rakam daha koyalım — kurumsal multi-agent sistem danışmanlık talebi +%1445 (Gartner AI advisory iş danışmanlığı büyüme ölçütü, dağıtım ölçütü değil; ama yön sinyali net): AI agent artık “insanlara kod yazdırmak”tan “birkaç agent’ın birlikte çalışıp tüm iş akışını tamamlaması”na geçti. AI agent’lar kurumsal uygulamalarda yer bulmaya başladığında — veriye dokunuyor, süreçleri yürütüyor, log yazıyor — App generator’ın doğası “araç” olmaktan çıkıp “sistem”e dönüşüyor.

UpGuard’ın 2025 tarihli raporunda (Cybersecurity Dive’ın aktardığı State of Shadow AI) Gartner’ın %40’ından çok daha çarpıcı iki rakam var: Çalışanların %80’inden fazlası iş yerinde onaylanmamış AI araçları kullanıyor; güvenlik ekiplerinde bile bu oran %90’a yakın. Bir de şu var: Çalışanların yaklaşık yarısı, şirketin gizli verilerini doğrudan bu onaylanmamış araçlara yapıştırdığını itiraf ediyor. Mimecast %51, Teramind %49 diyor — rakamlar birbirine yakın. Gartner’ın diğer bulgusu ise şu: Kuruluşların %69’u çalışanların yasaklı AI araçlarını kullandığından şüpheleniyor veya bunu doğruluyor; ancak yalnızca %37’sinin bir AI kullanım politikası var (The Hacker News’ten aktarıldı).

Bu rakamları e-ticaret diline çevirelim: Operasyon ekibiniz, pazarlama ekibiniz, kampanya planlama ekibiniz Bolt, Lovable, v0 gibi araçlarla kendi uygulamalarını geliştiriyor. Promosyon kuralı yapılandırıcı, influencer ürün seçim panosu, stok sorgulama mini uygulaması, destek talebi akış aracı… Hızlılar, kullanışlılar, gerçek sorunları çözüyorlar. Ve neredeyse tamamı BT ve veri yönetişimini tamamen baypas ediyor.

Yaşadığımız Gerçek Bir Senaryo (E-ticaret, anonimleştirilmiş): 2025’in ikinci yarısından itibaren temas ettiğimiz 4 orta-ölçekli e-ticaret şirketinde (50-200 kişilik orta katman ekipleri) gölge BT envanteri çıkarırken hiçbirinin boş olmadığını gördük. En tipik örnek ev dekorasyonu e-ticareti yapan bir şirketti: içerik üretici (creator) operasyon ekibi 2 ay içinde kendi başına 7 tane Lovable tabanlı iç araç geliştirmişti. Bunların 4’ü canlı sipariş veritabanına (telefon numarası ve teslimat adresi dahil) erişiyor, 2’si verileri dışa aktarıp kişisel bulut depolama alanlarına kaydediyordu. Envanter günü güvenlik sorumlusunun söylediği şey şuydu: “O an envanteri yarıda kesmeyi bile düşündük — çünkü ortaya çıkanları raporlarsak kimsenin sahiplenmeyeceğinden korktuk.”

Bu olguya “verinin gölge BT’si” de diyebiliriz. Son on yıldır başımızı ağrıtan gölge BT, iş birimlerinin kendi başına satın aldığı SaaS ürünleriydi (satış ekibi bir CRM almıştı, pazarlama bir e-posta gönderim aracı almıştı). Şimdiki gölge BT ise iş birimlerinin kendi başına geliştirdiği uygulamalar. Bu uygulamalar onaylanmamış bir araç kullanıyor — daha da kötüsü, hassas verilere dokunan ve BT’nin varlık envanterinde olmayan yepyeni bir sistem üretiyor.

Fark ölçekte: Bir SaaS satın almak harici bir sisteme bağlanmak demek; bir üretkenlik aracıyla uygulama geliştirmek ise şirketinizin içinde yoktan bir sürü yeni sistemin türemesi anlamına geliyor. Her biri veri arayüzüne sahip, her biri dış ağdan erişilebilir durumda. Bir yıl içinde bir e-ticaret şirketinde bu türden yüzlerce uygulama ortaya çıkabilir ve hiçbiri BT’nin varlık envanterinde yer almaz.

Bu işi engellemek mümkün değil. UpGuard’ın o %80’lik oranı zaten gösteriyor ki “yasaklamak”la bu iş çözülmez. İnsanlar işini bitirecek en pratik aracı bulur; bu insan doğasıdır, aynı zamanda KPI’dır. O yüzden “iş tarafının üretici araçları kullanmasını nasıl engelleriz” diye sormayın, “onları nasıl güvenli kullanmalarını sağlarız” diye sorun. Dördüncü bölüm uyumluluk eşiklerini, beşinci bölüm ise kanalları nasıl açacağımızı ele alıyor.

4. Uyumluluk Eşikleri Neler: Bunu Bir Test Sanmayın

Bu yazının en net anlatılması gereken bölümü bu, aynı zamanda en kolay yanlış yazılabilecek olanı da bu.

İnternet şirketi kökenli birçok kişi “denetim” deyince aklına doğrudan CI/CD’deki otomatik testleri getirir: birim test, entegrasyon testi, regresyon testi; yeşil ışık yandıysa geç. E-ticarette yoğun dönem kampanyaları yürüten teknik ekipler bu işe çok aşinadır.

Ama telekomda, finansta, regülasyona tabi imalatta ve e-ticarette “doğrulama” testten çok daha fazlasıdır. Asıl darboğaz, kodla neredeyse hiç ilgisi olmayan ama her biri haftalarca süren birkaç aşamadır. Bunları “test” diye yazmak, internet sektörü önyargısıdır ve karar vericileri teslimat süresi konusunda yanlış yönlendirir.

Tek tek geçelim.

Veri Çıkış Değerlendirmesi.[^1] Uygulamanız yurt dışındaki bir yapay zekâ hizmetini kullanıyorsa (birçok üretici modelin arka ucu OpenAI veya Anthropic’tir) ya da mühendisleriniz Trae gibi verileri yurt dışına aktaran bir IDE kullanıyorsa, verilerde kişisel bilgi veya önemli veri bulunması hâlinde KVKK 6698 sayılı Kişisel Verilerin Korunması Kanunu Madde 9 (yurt dışına veri aktarımı) ve KVKK Kurulu’nun 2024 yılı yurt dışına veri aktarımına ilişkin yönetmeliği kapsamındaki çıkış gereklilikleri devreye girer. KVKK Kurulu’nun taslak “yeterlilik listesi” (adequacy listesi) 2024 itibarıyla henüz kesinleşmemiştir; pratikte açık rıza, bağlayıcı şirket kuralları (BCR) veya standart sözleşme ile ilerlemek gerekir. Resmî bir veri çıkış güvenlik değerlendirmesini veya standart sözleşme kaydını tamamlamak; hızlı senaryoda bir iki ay, yavaş senaryoda altı aydan uzun sürebilir. Trae’de “telemetri kapalıyken bile veri aktarımının sürdüğü” tespiti, siz veri aktarılmadığını düşünseniz bile aktarımın gerçekleştiğini gösteriyor. Bu tür araçlar, sıkı düzenlemeye tabi sektörlerde geliştirme ortamına hiç girmemeli.

Eşit Koruma Değerlendirmesi.[^2] Türkiye’de Çin’in MLPS / Dengbao (Kademeli Koruma 2.0) sisteminin doğrudan bir karşılığı yoktur. Bunun yerine ISO 27001 Bilgi Güvenliği Yönetim Sistemi ve BTK (Bilgi Teknolojileri ve İletişim Kurumu) Ulusal Siber Güvenlik Stratejisi çerçevesinde yürür; bankacılık için BDDK Bilgi Sistemleri Denetim Rehberi zorunlu tutar. Kritik altyapı sektörlerindeki kuruluşlar, 5809 sayılı Elektronik Haberleşme Kanunu ve USOM (Ulusal Siber Olaylara Müdahale Merkezi) bildirim yükümlülüklerine tabidir. Sertifikalandırma, risk değerlendirmesi ve denetim sürecinin tamamı genellikle üç ila altı ay sürer. Bu yasal bir zorunluluktur, isteğe bağlı değildir. Yapay zekâ ile üretilmiş bir uygulama, hızlı geliştirildiği için siber güvenlik denetiminden muaf tutulmaz.

Algoritma Kaydı.[^3] Uygulamanız halka açıksa ve üretken yapay zekâ kullanıyorsa (örneğin otomatik ürün açıklaması oluşturma, otomatik müşteri hizmetleri yanıtları veya kişiselleştirilmiş önerilerde yapay zekâ tarafından üretilen içerikler), KVKK Madde 11 (otomatik işleme) ve ULAK / TÜBİTAK Yapay Zekâ Stratejisi ile uyumlu olarak yapay zekâ etiği ilkelerine uyum sağlamanız gerekir. Türkiye’de AB AI Act benzeri zorunlu bir algoritma kaydı henüz bulunmuyor; ancak KVKK Kurulu üretken yapay zekâ hizmetlerine ilişkin rehber ilkeler yayımlamakta, bankacılık tarafında BDDK algoritmik karar mekanizmalarına özel kayıt ve şeffaflık beklemektedir. Kayıt yapılmadan yayına alınması, uyum ihlali olarak değerlendirilir.

Değişiklik Onayı (CAB) ve Geri Alma Planı.[^4] Finans ve telekomünikasyon sektöründeki kritik sistemlerde, bir sürümün canlıya alınması Change Advisory Board (Değişiklik Danışma Kurulu) onayından geçmek zorundadır. Çerçeve olarak ITIL 4 Change Enablement uygulanır; finans tarafında BDDK Bilgi Sistemleri Denetim Rehberi, ISO 27001 A.8.32 (Değişiklik Yönetimi) ve SPK bilgi sistemleri bağımsız denetim rehberi zorunlu tutar; telekom tarafında BTK USOM olay yönetimi süreçlerinin parçasıdır. Etki analizi, geri alma planı, bakım penceresi onayı adımları uygulanır. Bu süreç takvim zamanını yer, makine zamanını değil; pencereyi kaçırdıysanız gelecek haftayı beklersiniz.

Mutabakat ve Denetim.[^5] E-ticarette kampanya dönemleri, finansta takas ve mutabakat işlemleri; canlıya alındıktan sonra fonlarla ve üst taraflarla mutabakat yapılması, her işlemin izlenebilir denetim kayıtlarının olması gerekir. Bankacılık için BDDK Bankacılık Kanunu Madde 73 (iç kontrol), SPK Seri:V No:67 (bilgi sistemleri bağımsız denetimi) ve MASAK (Mali Suçları Araştırma Kurulu) uyum gözetimi; elektronik para ve ödeme kuruluşları için BDDK Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Kanun (6493 sayılı) ile bağlantılı denetim kayıtları zorunludur. AI ile üretilen uygulamalar genellikle bu noktada savunmasızdır: çalışırlar ama mutabakat altyapısı tasarlanmamıştır; hesap farkı oluştuğunda kaynağı bulunamaz.

Bunları bir araya koyduğunuzda, sezgilerinize ters düşen bir sonuç görürsünüz: App üreteçleri “fikirden çalışan prototipe” geçişi on kat hızlandırır; ancak “çalışan prototipten uyumlu canlıya geçiş” süresinden bir saniye bile kazandırmaz. O engeller eskiden ne kadar sürüyorsa şimdi de o kadar sürer.

İşte Birinci Bölüm’deki grafikte hareket etmeyen o kırmızı çizgi. Geliştirme eşiği çöktü; kazanılan zaman mühendislerin kod yazma süresinden geldi. Uyumluluk eşiği ise yerinde duruyor; yapılması gereken değerlendirme, test ve onay süreçlerinden bir gün bile eksilmedi. Karar vericilerin en büyük yanılgısı, birincisindeki hızlanmanın otomatik olarak ikincisine de yansıyacağını sanmak. Yansımaz.

5. İş Tarafına Uyumlu Bir Kanal Açın, Başıboş Büyümesine İzin Vermeyin

Madem engelleyemiyorsunuz, o zaman bir kanal açın — Shadow IT’yi yönetmenin işe yarayan birkaç yolundan biri budur.

Bu kanalı kurmanın dört adımı var.

Birinci adım: Şirketin kendi güvenlik onaylı üreticisini sağlaması. Operasyon ekibinin dışarıda gelişigüzel bir Lovable kullanmasına izin vermek yerine, şirketin mevzuata uygun (ISO 27001 + BTK Ulusal Siber Güvenlik standartları + BDDK bilgi sistemleri denetim rehberi gerekliliklerini karşılayan) ve verilerin yurt dışına çıkışını engelleyen bir sürümü satın alması veya kendi bünyesinde geliştirmesi ve buna dahili bir erişim noktası sağlaması gerekiyor. KVKK 6698 sayılı Kanun Madde 12 (veri güvenliği) ve BTK’nın 5809 sayılı Elektronik Haberleşme Kanunu kapsamında verilerin Türkiye sınırları içinde işlenmesi esas alınmalıdır. İş tarafı bu aracı rahatça kullanabildiğinde, dışarıda alternatif aramayacaktır — bu, yasaklamanın ötesinde bir “yönlendirme” stratejisidir. Microsoft’un FY26 dönemi bu konuda referans alınabilecek bir örnek sunuyor: EY, Copilot’u 150.000 çalışanına dağıttı ve %15 verimlilik artışı elde etti; Atos ise Copilot’u 54 ülkede 56.000 çalışanına dağıttı ve 19.000 AI agent’ını birleşik kimlik, güvenlik, uyumluluk ve agent yönetimi kontrol düzlemi altında yönetti (Microsoft FY26 inceleme blog yazısı 2026-07-28 ve Atos 2026-06-09 resmi haberleri; her ikisi de satıcı + müşteri ortak açıklamalarıdır). Bu iki şirketin ortak noktası: AI araçlarını kurumsal düzeyde güvenlik ve uyumluluk kontrol düzlemine entegre etmeleri. Bu, onaylı kanalın (sanctioned channel) canlı bir örneğidir. Türkiye’de Ziraat Bankası ve İş Bankası gibi büyük bankalar Copilot benzeri yapay zekâ asistanlarını KVKK ve BDDK denetimlerinden geçirerek iç kullanıma açıyor; Turkcell ve Türk Telekom da çağrı merkezi özetleme gibi alanlarda kontrollü pilotlar yürütüyor. Yerelleştirilmiş yol haritası zaten işliyor; eksik olan, bunun şirketin zorunlu süreçlerine dahil edilmesidir.

İkinci adım: zorunlu kayıt. Uygulamayı kimin geliştirdiği, hangi verilere eriştiği ve hangi kullanıcı kitlesine hitap ettiği tek bir kayıt tablosuna işlenir. Kayıt süreci hafif tutulmalı — beş dakikalık bir form, iki ay süren bir prosedür değil. Aksi takdirde kimse doldurmaz ve işler yine gölgede kalır. Kaydın amacı her uygulamayı onaylamak değil, elinizde net bir envanter bulunmasını sağlamaktır.

Üçüncü adım: veri sınıfına göre yönlendirme. İkinci bölümdeki matrisi kullanın. Yalnızca anonimleştirilmiş veya test verilerine erişen uygulamalar otomatik olarak onaylanır. Gerçek sipariş veya kişisel veri erişimi talebi olduğunda ise otomatik olarak KVKK Madde 9 kapsamında veri transferi ön değerlendirmesi, BDDK bilgi sistemleri denetim eşikleri ve ISO 27001 + BTK güvenlik kontrol seti (Türkiye’de SOC 2 karşılığı) devreye girer. Süreç, tüm uygulamalara aynı kalıbı uygulamak yerine veri hassasiyetine göre şekillenir.

Dördüncü adım: otomatik güvenlik taraması. Yapay zekâ ile üretilen uygulamalarda güvenlik açığı oranı, insan eliyle yazılan koda kıyasla belirgin şekilde daha yüksek. CodeRabbit’in 2026 raporu bu rakamı netleştiriyor: Yapay zekâ destekli üretilen kodda ortaya çıkan sorun sayısı (mantık ve doğruluk hataları dahil), geleneksel insan yazımının 1,7 katı (CodeRabbit’in kendi metodolojisi; ticari bir bakış açısı içerir. DORA 2026-02 web semineri ve Kunal Ganglani’nin 2026 karşılaştırmalı değerlendirmesiyle uyumlu). Veracode’un 2025 GenAI kod güvenliği raporu daha da doğrudan: test ettiği örneklemde, AI ile üretilen kodun yaklaşık %45’i OWASP Top 10 seviyesinde güvenlik açığı barındırıyor (Java ile üretilen kodlarda başarısızlık oranı %70’in üzerinde; Veracode’un kendi metodolojisi, ticari bakış açısı içerir). Akademik tarafta, GitHub’daki açık kaynak depolar üzerinde yapılan geniş ölçekli bir ampirik çalışma (arXiv:2510.26103) aynı yönde bulgular sunuyor. Bu yüzden tarama adımı, AI ile üretilen uygulamalar için zorunlu; seçime bağlı değil. SAST, bağımlılık taraması ve gizli anahtar taramasını üretim hattına entegre edin; yeşil ışık yanmadan sürüm çıkışına izin vermeyin. CodeRabbit’in Haziran 2026’da yayınlanan bağımsız doğrulamalara göre GitHub/GitLab üzerinde en çok kurulan AI kod inceleme aracı olduğu, 15.000’den fazla ücretli müşterisi ve 6 milyon depoyu incelediği biliniyor. NVIDIA CEO’su Jensen Huang’ın “NVIDIA’nın tamamı CodeRabbit kullanıyor” şeklindeki açık desteği de cabası. Bu aracı kurumsal düzeyde bir AI kod kalite kapısı için makul bir referans noktası olarak görmek tutarlı bir yaklaşım.

Bu dört adımı uyguladığınızda, iş tarafının hızı neredeyse hiç düşmez; ancak her uygulama denetlenebilir bir listeye girer ve hassas verilere dokunanlar durdurulup resmi değerlendirmeye alınır. Bu yönetişimdir, yavaşlatma değil.

Burada sıkça yanlış aktarılan bir rakamı netleştirmek gerekiyor. Önceki taslakta geçen “%45’lik gölge yapay zekâ benimseme oranı” ifadesi yanlış bir atıftır. %45, Veracode raporundaki yapay zekâ tarafından üretilen kodlardaki kusur oranıdır; araç benimseme oranı değildir. Gölge yapay zekâ benimseme oranı için UpGuard’ın %80+ verisine bakılmalıdır. İki rakam tamamen farklı şeylerden bahsediyor; karıştırmayın.

6. Uygulama Üreticileri Ne Zaman Kullanılmamalı?

Bu bir gümüş kurşun değil. Dört tipik yanlış kullanım biçimi var ve her birini hizmet verdiğimiz müşterilerde gördük.

Çekirdek işlem veya risk yönetimi için kullanmak. Bu en tehlikeli olanı. Bazıları “Üretici bu kadar güçlüyse, ödeme ağ geçidini de deneyelim” diye düşünüyor. Önceki matrisin sağ alt köşesi kırmızı bölgedir; karmaşık mantık artı para işi, üreticiye teslim etmek, çekirdek sistemi hesap verme yükümlülüğü olmayan bir stajyere emanet etmek demektir. Fon kaybı yaşandığında mutabakat yok, denetim yok, geri alma planı yok.

AI tarafından üretilen kodun varsayılan olarak güvenli olduğunu düşünmek. CodeRabbit’in 1,7 katı ve Veracode’un %45’i bu konuda zaten yanıt vermiş durumda. AI tarafından üretilen bir uygulamanın “çalışıyor görünmesi” ile “güvenli çalışması” arasında koca bir güvenlik mühendisliği disiplini yatıyor. AI üretimi uygulamaları insan eliyle yazılanlardan farklı değerlendirip güvenlik standartlarını düşürmek, daha yüksek hızda daha fazla güvenlik açığı üretmek demektir.

Yurt dışı tabanlı üretici araçlarla kişisel veri işlerken yurt dışı veri transferi değerlendirmesi yapmamak. Bu durum özellikle e-ticarette sinsi bir şekilde ortaya çıkıyor: pazarlama ekibi müşteriye yönelik bir kampanya sayfası hazırlıyor, arka uçta OpenAI ile metin üretiyor ve kullanıcının girdiği telefon numarası farkında olmadan yurt dışındaki bir servise gidiyor. KVKK 6698 sayılı Kişisel Verilerin Korunması Kanunu Madde 9 ve KVKK Kurulu’nun 2024 yurt dışına veri aktarımı yönetmeliği kapsamında açık rıza, yeterlilik kararı veya standart sözleşme zorunludur; bu adım atlanmışsa KVKK ihlali sayılır. Trendyol, Hepsiburada veya Getir gibi platformlarda bu tür bir uygulama, hem KVKK Kurulu nezdinde hem de rekabet etiği açısından ciddi bir denetim tetikler. Bu bir veri güvenliği olayıdır, teknik bir yazılım hatası değil.

Trae gibi veriyi yurt dışına aktaran IDE’leri şirketteki tüm mühendislere varsayılan olarak kurmak. Ücretsiz ve üst düzey modellerin cazibesi büyük; mühendisler bu araçları kendileri kurmaya can atıyor. Çekirdek kodunuz, yapılandırma dosyalarınız ve API’leriniz bir kez ByteDance’in (veya herhangi bir yurt dışı kuruluşun) sunucularına gittiğinde, geri dönüşü çok zor olur. Bu tür araçların geliştirme ortamına alınması, güvenlik ve hukuk ekipleriyle birlikte yapılacak bir erişim ve risk değerlendirmesi gerektirir; tek başına teknik ekibin karar verebileceği bir konu değildir.

7. Dört Sektörden Bakış: Hangi Uygulamalar Onaylanır, Hangileri Asla

Bu bölüm, gerçek projelerde birlikte çalıştığımız ve sorunları bizzat deneyimlediğimiz 4 sektöre odaklanıyor: e-ticaret, finans, telekom ve üretim. Kamu ve sağlık gibi daha sıkı düzenlemelere tabi sektörlerdeki senaryoları başka bir yazıda ele alacağız; bu yazının kapsamı dışındadır.

Dört sektöre yakından bakalım; her biri için sahadan gördüğümüz gerçek bir senaryoyu not düşelim.

E-ticaret. En çok sorun çıkaran alanlar “promosyon kuralı yapılandırıcıları”, “influencer ürün seçim panoları” ve “stok sorgulama mini uygulamaları” — bunlar araç gibi görünür ama aslında telefon numarası ve adres içeren sipariş geniş tablolarını okurlar. Türkiye’de Trendyol, Hepsiburada, N11, Gittigidiyor ve Getir bu kategoriye giren tipik platformlardır; bu platformlar KVKK’ya uyumlu veri işleme yükümlülüğü altındadır ve kişisel veri içeren iç uygulamaların KVKK Madde 12 kapsamında veri güvenliği denetiminden geçmesi gerekir. Bu tür uygulamalar, Bölüm 3’teki sanctioned kanala kaydedilmek zorundadır; gerçek veriye dokundukları anda otomatik olarak ISO 27001 + BTK güvenlik değerlendirmesi ve KVKK Madde 9 kapsamında yurt dışına veri aktarımı değerlendirmesi tetiklenir. Bir e-ticaret şirketinde operasyon ekibinin 2 ay içinde 7 dahili araç geliştirdiğine ve bunların 4’ünün sipariş geniş tablolarını okuduğuna bizzat tanık olduk — bu münferit bir durum değil.

Finans. Kırmızı çizgiler şunlar: “işlem sistemi / ödeme / takas ve mutabakat / risk yönetimi / dolandırıcılık önleme / regülatif raporlama”. Üretici (AI kod üretim aracı) için uygun olan kullanım alanları; müşteri temsilcisi çalışma masası, pazarlama kampanyası yapılandırıcısı ve mutabakat raporu ön yüzüdür. Kesinlikle risk motoru veya dolandırıcılık önleme kuralı yazmak için kullanılmamalıdır — CodeRabbit’in ölçümüne göre mantık hatalarında 1,7 kat artış (CodeRabbit’in kendi metodolojisi, ticari çıkar içerir) finans senaryosunda doğrudan fon riskine dönüşür. Bahsi geçen şirketin adı gizlenmiştir: 2025 sonunda anonim bir Türk bankası, BDDK ve MASAK‘a sunulan regülatif raporların yardımcı üretiminde AI kodlamayı kullanmaya başladı. Sonuç: BDDK’nın raporlama formatına göre hazırlanan script’lerde 3 yerde alan eşleştirme hatası oluştu ve banka BDDK bilgi sistemleri denetim ekibi tarafından uyarıldı. Garanti BBVA ve Akbank gibi büyük bankaların dijital dönüşüm ekiplerinden duyduğumuz benzer pilot deneyimler, AI tarafından üretilen “kulağa hoş gelen ama hatalı” kodun kimse tarafından gözden geçirilmemesinin tek bir uyarıdan öte BDDK’nın yıllık bilgi sistemleri denetiminde kınama ile sonuçlanabileceğini gösteriyor.

Telekom / Operatör. Birlikte çalıştığımız bir bölgesel operatörün pazarlama merkezi, Bolt’u kullanarak bir “müşteri profili hızlı sorgulama” aracı geliştirmişti: telefon numarası girildiğinde son 90 günün tarife/şikayet/tavsiye kayıtlarına erişiliyordu; bu, doğrudan KVKK 6698 sayılı Kanun Madde 11 (otomatik işleme) ve BTK’nın 5809 sayılı Elektronik Haberleşme Kanunu kapsamında kişisel veri sorgulama yetkisi sınırını ihlal ediyordu. Turkcell, Türk Telekom ve Vodafone Turkey üçlüsü pazarın yaklaşık %90’ını kontrol ediyor; üçü de BTK denetimlerine tabi ve KVKK Kurulu’nun rehber ilkelerine uyum sağlamak zorunda. Operatör senaryosunda, bir üretici yapay zeka “müşteri temsilcisi çalışma masası” + “müşteri hizmetleri bilgi tabanı ön ucu” + “pazarlama kampanyası yapılandırması” olarak kullanılabilir; ancak faturalandırma, hesap çıkarma veya ayrıntılı kayıt sorgulama gibi işlemlere asla dokunmamalıdır — bunlar operatörün can damarıdır, tek bir hata BTK’nın gündemine taşınır ve USOM olay raporu olarak kayda geçer.

Üretim. MES/ERP entegrasyonu, kalite kontrol ve raporlama çekirdek sistemlerdir; üretici araçlar yalnızca çevre birimlerinde kullanılabilir—atölye panoları, rota sorgulama, ekipman OEE demoları gibi. Kesinlikle dokunulmaması gerekenler: üretim çizelgeleme çekirdek algoritmaları, kalite karar kuralları ve üst katman ERP ile mutabakat arayüzleri. Örnek olay anonimleştirilmiştir: Bir otomotiv parça tedarikçisi (benzer geri çağırma olayları kamuya açık kaynaklarda da mevcuttur; vaka detayları, kamuya açık geri çağırma bildirimleri ile yazarın katıldığı projelerden derlenmiş olup karar mantığını açıklamak içindir, belirli bir şirketi işaret etmez) IT ekibine Bolt ile bir “kalite kontrol AI modeli ön paneli” kurdurdu—amaç yalnızca numune görsellerini ve karar sonuçlarını göstermekti. Ancak ön panel render işlemi sırasında AI modeli çıkarımının ham güven eşiğini istemci tarafına sabit kodladı; bir çalışan yanlışlıkla 0,85’i 0,6’ya değiştirdi ve 3 gün içinde “hatalı” olarak işaretlenmesi gereken 200’den fazla parça “hatasız” olarak işaretlenip alt üretim hattına aktı. Sonuç: 3 partinin geri çağrılması. Orta ölçekli üretim şirketlerinin en sık yaptığı hata, “kalite kontrol AI modeli ön panelini” de üretici araçlara teslim etmektir—kalite kontrol kurallarının altında ürün geri çağırma vardır; bir hata, bir geri çağırma duyurusu demektir.

8. Karar Vericiler İçin Çıkarımlar

İlke 1: Önce bir uygulama katmanı haritası çizin, sonra araç alımını konuşun. İkinci bölümdeki matrisi çıkarın; mevcut ve planladığınız uygulamaları karmaşıklık ve veri hassasiyetine göre yerleştirin. Anında göreceksiniz: hangileri yeşil bölgede, gönül rahatlığıyla üretici yapay zekâya emanet edilip hızlandırılabilir; hangileri kırmızı bölgede, dokunulmaz. Bu tek harita, “çekirdek sistemi üretici yapay zekâyla yeniden yazalım” önerilerinin önünü keser; hızlandırılması gereken kısımların da hak ettiği hızı almasını sağlar.

İlke 2: Veri çıkışı ve güvenlik denetimini (KVKK Madde 9 + ISO 27001 / BDDK bilgi sistemleri denetimi) bir geçit/ön koşul olarak ele alın; işletmeye aldıktan sonra değil. Kod veya veriye erişecek herhangi bir yapay zekâ aracını satın almadan önce bu iki süzgeçten geçirin. Trae gibi araçların sorunu “kullanılabilir olup olmadığı” değil; “Türkiye’nin KVKK / BDDK / BTK düzenleyici ortamında kullanılabilir olup olmadığıdır.” Bu karar önceden verilmeli; yanlış kararın bedeli sonradan düzeltme, idari yaptırım ve hatta sistemin devre dışı bırakılmasıdır. Somut adım: Yapay zekâ araç alımını, güvenlik ve hukuk ekiplerinin ortak onay sürecine dâhil edin; “geliştirme ortamına girebilir” ve “vaka bazında onay gerekir” şeklinde net iki liste oluşturun.

İlke 3: İş birimlerine meşru bir kanal açın; yoksa gölge uygulamalar (shadow IT) daha da artar. Üçüncü bölümdeki %80 gerçeği, bu akışı engelleyemeyeceğinizi gösteriyor. Bir sorun çıktığında envanter çıkarmayı beklemek yerine, beşinci bölümdeki kanalı şimdi kurun: onaylı üretici yapay zekâlar, hafif bir kayıt sistemi, veriye göre yönlendirme ve otomatik tarama. İş birimleri hızlı ilerlesin ama her adım kayıt altında olsun. Böylece gölge bilişimi kimsenin görmediği bir karanlık nokta olmaktan çıkarıp denetlenebilir bir varlığa dönüştürürsünüz.

İlke 4: Metriği değiştir, yoksa bütçenin tamamı araçlara gider, darboğaz yine çözülmez. Bu madde, işin sahibine yani üst yönetime. Bugün birçok yönetim kurulu, AI dönüşümünün başarısını “kaç adet AI lisansı alındı” veya “geliştirme hızı yüzde kaç arttı” ile ölçüyor. Bu metriğin bir sonucu var: bütçenin tamamı araç satın almaya akıyor, teslimatı gerçekten yavaşlatan kritik noktalar (veri çıkışı değerlendirme birimi, güvenlik uyumluluk birimi, güvenlik mühendisliği, mutabakat ve denetim) ise ne para ne de insan kaynağı bulabiliyor. Sonuç: bir yığın araç, teslimat hâlâ yavaş. “Biliyorum ama yapamıyorum” hastalığını tedavi etmek için bu metriği yukarıdan değiştirmek gerekiyor. Şu ölçütleri ekleyin: “uyumluluk sürecinden kaç uygulama geçti”, “gölge uygulamaların sayısı N’den M’ye düştü”, “çekirdek uygulamaların prototipten uyumlu canlıya geçiş süresi”. Metrik değişirse, bütçe de gerçekten darboğaz yaratan yerlere akar.

Tersine öz denetim (cevap verirken süslemeyin): Şu an şirketinizde iş birimlerinin kendi başına AI ile kurduğu kaç uygulama çalışıyor, sayısını söyleyebiliyor musunuz? Bu uygulamaların kaç tanesi sipariş, telefon numarası veya adres gibi verilere dokunuyor? Mühendislerinize varsayılan olarak kurduğunuz AI IDE’sinin verileri nereye gidiyor, hiç kontrol ettiniz mi? AI başarısını ölçtüğünüz o birkaç metrik, “araç satın almayı” mı yoksa “teslimatın hızlanmasını” mı ödüllendiriyor? Bu dört sorudan birinde içiniz rahat değilse, bu yazının anlattığı risk şirketinizde zaten yaşanıyor demektir.

Sonraki Adım

Bu, “AI Çağında Yazılım Mühendisliği Dönüşümü” serisinin 18 bölümlük serisinin 5. makalesi. App üreteçlerinin ve AI IDE’lerinin “bir uygulama yapma” eşiğini nasıl yerle bir ettiğini ve veriye dokunma eşiğinin neden aynı şekilde düşmediğini net biçimde gördük.

Bir sonraki makalede (6. makale), sektörde giderek konsensüs hâline gelen tam tersi bir yönelime bakacağız: Spec-Driven Development (Şartname Güdümlü Geliştirme). GitHub Spec Kit, Claude Code, AWS Kiro ve OpenAI’ın AGENTS.md dosyasının neden aynı anda “önce gereksinimleri dokümante edip sabitle, sonra AI’ı işe koş” yaklaşımına yöneldiğini inceleyeceğiz. Bir önceki bölümde AI’ın ürettiği kodun hata oranının insan elinden çıkana kıyasla daha yüksek olduğunu görmüştük; şartname güdümlü geliştirme tam da bu hastalığın ilaçlarından biri: muğlak sözlü talepleri denetlenebilir şartnamelere dönüştürmek, AI’ın denetlenebilir olmasının ön koşulu.

Seri Hakkında: Bu seri, AI programlama araçları, organizasyon yapıları ve yazılım mühendisliği paradigmalarındaki en güncel gelişmeleri izlemeye devam ediyor. Güncel içgörüler için seriyi takip edin.

Bu tespitleri şirketinize uyarlamak mı istiyorsunuz?

App üreteçleri kurumsal ortama girdiğinde asıl çözülmesi gerekenler genellikle birkaç somut sorudur: Hangi uygulama ve veriler iş birimlerinin kendi kendine üretmesine bırakılabilir, hangileri BT’nin kontrolünde kalmalı, mevcut doğrulama süreçleri ne kadar derinleştirilmeli ve pilot uygulama hangi metriklerle kabul edilmeli.

Şu anda üç tür iş birliği sunuyoruz:

Kurum içi eğitim: Şirketinizin gerçek projelerini temel alarak App generator seçimi, kullanım sınırları, uyumluluk kanalları ve yönetişim mekanizması tasarımını birlikte tamamlayın.
Özel danışmanlık: Tek bir net karara odaklanın; örneğin “iş birimlerine onaylı App generator kullanım izni verilmeli mi?” ya da gölge uygulama envanteri sonrası iyileştirme öncelikleri.
Yönetim paylaşımları ve sektör konuşmaları: AI kodlama araçları, gölge uygulama yönetişimi, kurumsal AI dönüşümü ve organizasyonel yönetişim etrafında şekillenir.

Makale genel bir çerçeve sunar. Somut uygulama; kuruluşun veri sınırları, düzenleyici gereklilikler, mühendislik olgunluğu ve mevcut teslimat süreçleri dikkate alınarak yeniden tasarlanmalıdır. İş birliği için coach@iaiuse.com adresinden iletişime geçebilirsiniz.

İleri okuma: “Jian Zhao Metodolojisi v1.0” (Learn AI Slowly 187), kurumsal AI dönüşümü için 7 adımlı çerçeveyi sistematik olarak ele alır.

Bu Seri Hakkında

“AI Çağında Yazılım Mühendisliği Dönüşümü”, telekom, finans, üretim ve e-ticaret sektörlerindeki CIO, CDO, CTO ve dijital dönüşüm liderlerine yönelik 18 bölümlük bir araştırma serisidir. Seri; AI kodlama araçlarının, App generator’lerin ve gölge uygulama yönetişiminin yazılım teslimat süreçlerini, organizasyon yapılarını, yönetişim mekanizmalarını ve yönetim metriklerini nasıl etkilediğini ele alır.

Bu seri; akademik makaleleri, üretici dokümanlarını ve sektör raporlarını sürekli olarak takip eder. Araştırma veritabanında 200’ün üzerinde kaynak birikmiştir ve kritik değerlendirmelerde kanıt düzeyi belirtilir; doğrulanmış gerçekler, üretici iddiaları, sektör gözlemleri ve yazarın çıkarımları mümkün olduğunca ayrıştırılır.

Büyük ölçekli kurumsal danışmanlık ve iş analizi alanında yaklaşık 8 yıllık deneyime sahibim. IBM’de çalıştım; telekomünikasyon, finans, sigorta ve imalat sektörlerindeki projelerde yer aldım. Sonrasında operatör ürünleri, internet ürünleri ve yapay zekâ uygulama geliştirme sahasında; gereksinim analizi, ürün tasarımı ve ekipler arası uygulama konularında çalışmaya devam ettim.

Bu serideki araç seçimi, uygulama üreticilerinin kullanım sınırları, uyumluluk kanalı tasarımı ve organizasyonel yönetişim konusundaki değerlendirmeler; bu pratik deneyimlere dayanır ve açık araştırmalar ile sektör vakalarıyla çapraz doğrulanır. Belirli projelere ilişkin içeriklerin tamamı anonimleştirilmiştir; bazı sektör senaryoları tipik problem simülasyonlarıdır ve ilgili dayanaklar yazının sonundaki referans kaynaklarında belirtilmiştir.

Bu hesabın arkasında aslında küçük bir ekip var — ben ve uzun süredir birlikte çalıştığım 1-2 meslektaşım. Yapay zekâ programlama araçları araştırması, organizasyonel yönetişim vaka analizi ve koçluk diyalogları konularında ayrı ayrı sorumluluk alıyoruz. Yazıda “işletmelerle birlikte yürüdüğümüzü” belirttiğimiz projelerin çoğu, birlikte teslim ettiğimiz işlerdir. Müşterilerin uyumluluk sınırları ve isimleri yine de açıklanmamaktadır; anonimlik, gelecekte birlikte çalışacağımız meslektaşlara da alan bırakmak için korunmaktadır.

Referans Kaynakları (Tümü doğrulanmıştır; her biri için kanıt düzeyi + bakış açısı belirtilmiştir)

StackBlitz CEO Eric Simons (LinkedIn, 2026 mali yıl kapanışı). Bolt.new, Fortune 500 şirketlerinin dörtte üçü tarafından kullanılıyor; kurumsal ARR yıllık bazda 10 kat arttı. Doğrudan şirket açıklaması (satıcı perspektifi). https://www.linkedin.com/posts/eric-simons-a464a664_a-growth-update-as-we-close-out-our-fiscal-activity-7425263313049026560-5tdV
Sacra / Growth Unhinged (2025). Bolt.new’un ARR büyüme takibi (yaklaşık 5 ayda 40 milyon USD ARR, yaklaşık 5 milyon kullanıcı, ChatGPT’den sonra tarihin en hızlı büyüyen ikinci ürünü). Birincil araştırma/takip. https://sacra.com/c/bolt-new/ 、https://www.growthunhinged.com/p/boltnew-growth-journey
Taskade (2026-03) / Business Insider. StackBlitz 2025-01 B Serisi turunda 105,5 milyon dolar topladı, değerlemesi yaklaşık 700 milyon dolar; Bolt V2, Bolt Cloud ile birlikte yayında. Sektör raporlarının derlemesi.
Forbes / Rashi Shrivastava (2026-06-05). Lovable, 12 milyar dolar değerleme üzerinden yeni bir finansman turu için görüşmeler yürütüyor; ARR 500 milyon doları aştı (2026-06-09 TechCrunch ile eş zamanlı). Birincil sektör haberi. https://www.forbes.com/sites/rashishrivastava/2026/06/05/ai-coding-startup-lovable-in-talks-to-raise-funding-at-a-12-billion-valuation
CNBC / Bloomberg (2025-12) / TechCrunch (2025-11). Lovable B Serisi turunda 330 milyon dolar topladı, değerlemesi 6,6 milyar dolar; A Serisi turunda 200 milyon dolar topladı, değerlemesi 1,8 milyar dolar. Sektör haberi.
ARR.club (2026-07). Lovable ARR büyüme eğrisi: $17M (2025-02) → $100M (2025-07) → $200M (2025-11) → $400M (2026-02) → $500M (2026-06); kurumsal müşteriler arasında Workday, Asana, NVIDIA yer alıyor. Sektör takibi.
Vercel (2026-02-03 resmi blog “Introducing the new v0”). v0, v0.dev’den v0.app’e geçerek UI bileşeni üreticisinden tam kapsamlı full-stack uygulama üretecine dönüştü (sandbox runtime + GitHub + Snowflake/AWS entegrasyonu). Birinci elden satıcı açıklaması. https://vercel.com/blog/introducing-the-new-v0
Taskade (2026-03) / Vercel. v0, 2026-03 itibarıyla 6M+ kullanıcı, aylık yaklaşık 80 bin aktif ekip ve tahmini ~$42M ARR’ye ulaştı. Kapsamlı sektör tahmini.
Replit (2026-03-13 resmi güncelleme notları + resmi blog “Agent 3’ten Agent 4’e ne değişti”). Agent 4, 2026-03-11’de yayınlandı; Infinite Design Canvas; fork-and-merge işbirliği, aynı projede çoklu iş parçacıklı görevlere dönüştürüldü ve çakışmalar otomatik olarak birleştiriliyor (%90’ı otomatik çözülüyor). Birinci elden üretici açıklaması. https://docs.replit.com/updates/2026/03/13/changelog
AlphaSignal (2026). Replit Agent 4’ün birleştirme çakışmalarının %90’ını otomatik çözmesiyle ilgili detaylı haber. Sektör haberi. https://alphasignal.ai/news/replit-s-agent-4-resolves-90-of-team-merge-conflicts-automatically
Atal Upadhyay (2026-03-19). Replit aynı hafta 400 milyon dolarlık D Serisi yatırım turunu duyurdu ve şirket değerlemesi 9 milyar dolara ulaştı (altı ayda üç katına çıktı). Sektör raporlarının derlemesi. https://atalupadhyay.wordpress.com/2026/03/19/replit-agent-4-replit-just-changed-everything
Cybernews (2026-08-01 güncellemesi) / The Register (2025-07-28) / segmentationf4u1t (GitHub birincil araştırması). Trae, telemetri kapalı olsa bile donanım/cihaz kimliği ve proje etkinliği verilerini ByteDance sunucularına aktarmaya devam ediyor; tek bir veri grubu 53.606 bayta kadar çıkabiliyor; 7 dakikada 500’den fazla çağrı yaklaşık 26 MB veri anlamına geliyor; ByteDance resmi olarak bu anahtarın yalnızca VS Code çerçevesini kontrol ettiğini kabul etti; Gizlilik Modu’nun 2026 Ağustos civarında yayınlanması planlanıyor; Trae, Şubat 2026’da “sonsuza dek ücretsiz” modelini kaldırarak token tabanlı ödeme duvarına geçti. Birinci sınıf güvenlik araştırması + sektör haberciliği + üretici beyanı. https://cybernews.com/security/bytedance-ai-coding-tool-trae-data-collection 、https://www.theregister.com/software/2025/07/28/bytedance-ai-ide-trae-telemetry-continues-even-after-opt-out/ 、https://github.com/segmentationf4u1t/trae_telemetry_research
OpenAI Tools Hub / Jim Liu (2026-05-18). Trae, 12 ayda 6 milyon kayıt / 1,6 milyon aylık aktif kullanıcı / toplam 100 milyar satır kod üretimi; Şubat ayında token tabanlı ödeme duvarı, “sonsuza dek ücretsiz” vaadini sona erdirdi. Kapsamlı araştırma (analist perspektifi).
Gartner (Process Excellence Network, 2025-08-27 / DevOpsDigest / UC Today üzerinden aktarıldı). 2026 sonuna kadar kurumsal uygulamaların %40’ına göreve özel yapay zeka ajanları (AI agents) entegre edilmiş olacak (2025’te bu oran %5’in altındaydı); 2035’e kadar ajanik yapay zeka (agentic AI), kurumsal yazılım pazarının yaklaşık %30’unu (450 milyar dolar) oluşturacak. Resmi tahmin dokümanı. https://www.processexcellencenetwork.com/ai/news/gartner-40-percent-of-enterprise-apps-will-feature-task-specific-ai-agents-by-2026
Gartner (RapidClaw / Hendricks.ai / Arion Research’ten aktarılmıştır, 2025-2026). 2024 Q1’den 2025 Q2’ye kadar, işletmelerin multi-agent sistemlere yönelik danışmanlık talebi %1445 arttı; bu, Gartner’ın AI danışmanlık birimindeki en hızlı büyüyen konu oldu. Birincil araştırma/aktarım.
Microsoft (FY26 geriye dönük inceleme blog yazısı, 2026-07-28). EY, Copilot’u 150.000 çalışanına dağıttı ve %15 verimlilik artışı elde etti; şimdi bunu 400.000 küresel çalışana genişletiyor. Atos ise Copilot’u 54 ülkede 56.000 çalışanına dağıttı ve 19.000 AI agent’ı tek bir kontrol düzlemi altında yönetiyor. Birinci elden satıcı + müşteri beyanı (satıcı + entegratör perspektifi). https://blogs.microsoft.com/blog/2026/07/28/looking-back-on-microsofts-fy26-from-ai-experimentation-to-frontier-transformation
Atos Group (2026-06-09 resmi haber bülteni). Atos, Microsoft ile iş birliğini genişleterek Copilot E7’yi (Frontier Suite) 56.000 çalışanına dağıtıyor; Entra/Defender/Intune/Purview/Agent 365 yönetim yüzeyini birleştiriyor ve 19.000 ajanı işletiyor. Şirketin birinci ağızdan açıklaması. https://www.atosgroup.com/en/press/atos-group-and-microsoft-expand-strategic-corporation-scale-secure-agentic-ai-across-atos (Not: URL’nin sonundaki İngilizce başlıkta küçük bir yazım farkı görünüyor; ancak kaynakça formatı gereği URL’nin tamamı korunmuştur.)
UpGuard / Cybersecurity Dive (2025). Çalışanların %80’inden fazlası, güvenlik yöneticilerinin ise yaklaşık %90’ı onaylanmamış AI araçları kullanıyor; çalışanların yaklaşık yarısı gizli verileri bu araçlara yapıştırdığını kabul ediyor (Mimecast ve Teramind’in benzer raporları da aynı doğrultuda, birbirini doğruluyor). Birincil anket + sektör haberi. https://www.cybersecuritydive.com/news/shadow-ai-employee-trust-upguard/805280/
Gartner (The Hacker News’ten aktarıldı, 2026-5). Kuruluşların %69’u çalışanların yasaklanmış AI araçlarını kullandığından şüpheleniyor veya bunu doğruluyor; yalnızca %37’sinin AI kullanımına ilişkin bir politikası var. Sektör haberinden aktarma.
CodeRabbit (2026-02 DORA ortak web semineri + Kunal Ganglani 2026-06 yatay değerlendirmesi). AI destekli kod üretimindeki sorun sayısı (mantık ve doğruluk hataları dahil), geleneksel insan eliyle yazılan koda kıyasla yaklaşık 1,7 kat daha fazladır; CodeRabbit, GitHub/GitLab üzerinde en çok kurulan AI kod inceleme aracıdır ve 15.000’den fazla ücretli müşteriye sahiptir, 6 milyon depoyu incelemiştir; NVIDIA CEO’su Jensen Huang bu aracı açıkça desteklemektedir. Birincil araştırma / satıcı verileri / sektör karşılaştırması. https://www.coderabbit.ai/blog/state-of-ai-vs-human-code-generation-report
Veracode (2025 GenAI Code Security Report). Örneklemdeki AI tarafından üretilen kodların yaklaşık %45’i OWASP Top 10 açıkları içeriyor (Java ile üretilen kodlarda başarısızlık oranı %70’in üzerinde). Birincil araştırma. https://www.veracode.com/blog/genai-code-security-report/ (Not: Önceki taslakta bu “%45” oranı yanlışlıkla “gölge AI benimseme oranı” olarak yorumlanmıştı; bu hatalı yönlendirme düzeltilmiştir — %45, AI tarafından üretilen kodlardaki kusur oranını ifade eder, araç benimseme oranını değil; gölge AI benimseme oranı için UpGuard’ın %80+ verisine bakınız.)
arXiv:2510.26103. Security Vulnerabilities in AI-Generated Code: A Large-Scale Analysis of Public GitHub Repositories. (AI tarafından üretilen kodlardaki güvenlik açıklarına dair birincil ampirik çalışma)

Veri Kapsamı Notu: Bu yazıdaki tüm nicel veriler kaynaklarıyla birlikte belirtilmiştir; bazı satıcıların birincil verileri kamuya açık değildir veya bağımsız olarak doğrulanmamıştır (ör. Lovable’ın $12B’lik yeni turu henüz görüşme aşamasında, Atos’un 19.000 agent’ının kesin envanter zamanlaması) ve bu nedenle düşük öncelikli olarak ele alınmıştır. Müşteri örnekleri anonimleştirilmiştir (e-ticaret operasyon ekibi, operatör bölge şubesi pazarlama merkezi vb.); bu örnekler, teslimat sürecinde bizzat gözlemlenen gerçek senaryolara dayanır ve belirli bir şirketi işaret etmez. Mevzuat gereklilikleri (KVKK 6698 sayılı Kanun, BDDK Bilgi Sistemleri Denetim Rehberi, BTK Ulusal Siber Güvenlik düzenlemeleri, SPK Seri:V No:67, MASAK uyum gözetimi) yürürlükteki düzenlemelere dayanır; spesifik uygulama iş modeline ve veri türüne göre değişir; uygulamaya geçmeden önce hukuk/uyum görüşü alınmalıdır.

[^1]: Kişisel verilerin yurt dışına çıkışı, KVKK 6698 sayılı Kişisel Verilerin Korunması Kanunu Madde 9 kapsamındadır (yurt dışına veri aktarımı); ilgili düzenleme, KVKK Kurulu’nun “Kişisel Verilerin Yurt Dışına Aktarımına İlişkin Usul ve Esaslar” yönetmeliğidir (10 Mart 2024 tarihli, yürürlüğe girişi ile birlikte açık rıza, yeterlilik kararı, bağlayıcı şirket kuralları veya standart sözleşme yollarından biriyle ilerleme zorunluluğu getirilmiştir). KVKK Kurulu’nun taslak “yeterlilik listesi” 2024 itibarıyla kesinleşmemiştir.

[^2]: Türkiye’de MLPS / Dengbao’nun doğrudan bir karşılığı yoktur. Çerçeve olarak ISO 27001 Bilgi Güvenliği Yönetim Sistemi (ISO/IEC 27001:2022) + BTK Ulusal Siber Güvenlik Stratejisi ve Eylem Planı + bankacılık için BDDK Bilgi Sistemleri Denetim Rehberi (yıllık zorunlu denetim); kritik altyapı kuruluşları için 5809 sayılı Elektronik Haberleşme Kanunu + USOM bildirim yükümlülükleri uygulanır. ISO 27001 sertifikasyonu genellikle 6-12 ay arasında tamamlanır; yıllık gözetim denetimleri zorunludur.

[^3]: Türkiye’de zorunlu bir “algoritma kaydı” mevcut değildir. Ancak yapay zekâ kullanan uygulamalar KVKK 6698 Madde 11 (otomatik işleme) kapsamında kişisel veri sahibine “otomatik işlemeye itiraz hakkı” tanımak zorundadır; KVKK Kurulu, üretken yapay zekâ hizmetlerine ilişkin rehber ilkeler yayımlamaktadır. Bankacılık sektöründe BDDK, algoritmik karar mekanizmaları için şeffaflık ve kayıt tutma beklemektedir; ULAK / TÜBİTAK Yapay Zekâ Stratejisi (2024-2025) ile uyumlu olarak TR AI Etiği İlkeleri benimsenmektedir. AB AI Act ile uyumlu bir düzenleme çalışmaları sürmektedir.

[^4]: Değişiklik yönetimi genel çerçevesi için ITIL 4 Change Enablement referans alınır; finans sektöründe güncel dayanak BDDK Bilgi Sistemleri Denetim Rehberi ile ISO 27001 A.8.32 Değişiklik Yönetimi kontrolüdür; sigorta sektöründe ayrıca Sigorta Bilgi ve Gözetim Merkezi (SBM) düzenlemeleri geçerlidir. Telekom tarafında BTK USOM olay yönetimi süreçlerinin parçası olarak değişiklik bildirimlerini takip eder.

[^5]: İşlem kayıtlarının saklanması: Bankacılık için BDDK Bilgi Sistemleri Denetim Rehberi kritik sistem kayıtlarının ≥ 5 yıl saklanmasını şart koşar; ödeme hizmetleri ve elektronik para kuruluşları için 6493 sayılı Kanun ve ilgili BDDK Ödeme Hizmetleri Tebliği de benzer süreler öngörür. MASAK uyum gözetimi kapsamında şüpheli işlem kayıtları ayrıca saklanır. Denetim günlükleri için ISO 27001 A.8.15 (loglama) kontrol seti referans alınır; kritik sistemler için ≥ 6 ay çevrimiçi erişilebilir, toplam saklama süresi ≥ 5 yıl olarak uygulanır.