Bankaların yapay zeka ajanlarını gerçek operasyonlara taşıması, finansal düzenleyicilerin denetim gündemini de değiştiriyor.
ABD’de Federal Reserve, Office of the Comptroller of the Currency ve Federal Deposit Insurance Corporation, bankalara agentic AI kullanımları hakkında giderek daha ayrıntılı sorular yöneltiyor.
Düzenleyiciler AI ajanlarının hangi yetki sınırları içinde çalıştığını, hangi işlemleri gerçekleştirebildiğini, kararların izlenip denetlenebilir olup olmadığını ve kritik noktalarda insan onayının devam edip etmediğini sorguluyor.
En dikkat çekici başlıklardan biri ise bankaların gerektiğinde otonom AI sistemlerini güvenli biçimde kapatıp kapatamayacağı.
Denetimin odağında AI ajanlarının yetkisi var
ABD’deki düzenleyici incelemeler özellikle agentic AI sistemlerinin bankalarda hangi görevlerde kullanıldığına odaklanıyor.
Bankalar AI ajanlarını siber güvenlikte tehdit tespiti, önceliklendirme ve müdahale süreçlerinde kullanmaya başlarken düzenleyiciler bu sistemlerin ne kadar bağımsız hareket ettiğini anlamaya çalışıyor.
Fed, OCC ve FDIC’nin yönelttiği sorular arasında ajanlara hangi limitlerin tanımlandığı, işlemlerinin nasıl izlendiği, kararlarının sonradan denetlenip denetlenemediği ve sistemlerin kendi yetkilerini aşmasını engelleyen kontroller bulunuyor.
Ayrıca insanın kritik kararlarda hangi aşamada devreye girdiği ve bankanın gerektiğinde otonom sistemi durdurabilecek teknik altyapıya sahip olup olmadığı da inceleniyor.
Bu yaklaşım, bankalarda AI yönetişiminin klasik model risk yönetiminin ötesine geçtiğini gösteriyor.
Artık düzenleyicinin sorusu yalnız modelin doğru tahmin yapıp yapmadığıyla sınırlı kalmıyor.
Ajan ne yapabilir, ne kadar bağımsız hareket edebilir ve banka kontrolü nasıl geri alabilir?
Bu sorular doğrudan denetim pratiğinin parçası haline geliyor.
ABD henüz yeni kural koymadı
Reuters’ın aktardığı bilgilere göre ABD düzenleyicileri şu aşamada bilgi topluyor.
Fed, OCC ve FDIC bankalara agentic AI kullanımlarıyla ilgili yazılı ve sözlü sorular yöneltiyor ancak henüz bankaların nasıl hareket etmesi gerektiğine ilişkin yeni bağlayıcı kurallar yayımlanmış değil.
Bu ayrım önemli.
Bugünkü gelişme yeni bir AI düzenlemesinin yürürlüğe girmesinden çok mevcut denetimin kapsamının agentic AI risklerini doğrudan içerecek şekilde genişlemesi.
Düzenleyicilerin ilgisi ayrıca yabancı ülkelerde geliştirilen modeller, üçüncü taraf teknoloji sağlayıcılarına bağımlılık ve yeni siber güvenlik risklerini de kapsıyor.
Bankaların kullandığı AI sistemleri giderek daha fazla karar ve operasyon yetkisi kazandıkça, dış sağlayıcılara bağımlılığın finansal istikrar açısından taşıdığı risk de denetim gündemine giriyor.
ECB bankalara ekim sonuna kadar süre verdi
Avrupa tarafında süreç daha somut bir aşamaya geçmiş durumda.
Avrupa Merkez Bankası, temmuz ayında Euro Bölgesi bankalarına AI destekli siber tehditlere karşı plan hazırlamaları için ekim sonuna kadar süre verdi.
Bankalardan kurum içinde ve üçüncü taraf sağlayıcılarda yapay zekanın nerelerde kullanıldığını haritalamaları isteniyor.
Amaç, hangi kritik süreçlerin AI sistemlerine veya dış teknoloji sağlayıcılarına bağımlı olduğunu belirlemek.
ECB aynı zamanda bankaların sistemlerini gerektiğinde kontrollü biçimde kapatabilmesini ve güvenli biçimde yeniden başlatabilmesini bekliyor.
Reuters’ın kaynaklarına göre bazı bankalarda bu konuda hâlâ önemli eksikler bulunuyor.
Bu yaklaşım agentic AI riskini yalnız model davranışı üzerinden ele almıyor.
Operasyonel dayanıklılık, veri kurtarma, sistem bağımlılıkları ve kesinti sonrası yeniden çalışma kapasitesi de aynı denetim çerçevesine giriyor.
İngiltere “bare metal” recovery hazırlığını gündeme aldı
İngiltere’de denetleyicilerin odağında ise bankaların ana teknoloji altyapısından tamamen bağımsız kurtarma sistemleri bulunuyor.
Reuters’ın aktardığına göre büyük bankaların “bare metal recovery” olarak tanımlanan yapılara hazırlanması teşvik ediliyor.
Bu sistemler bankanın ana teknoloji altyapısından ayrı çalışıyor.
Ana sistemler siber saldırı veya teknik arıza nedeniyle kullanılamaz hale geldiğinde banka kritik hizmetlerini bağımsız altyapı üzerinden yeniden başlatabiliyor.
Bu yaklaşım maliyetli olsa da agentic AI ve gelişmiş siber tehditlerin yarattığı yeni risk ortamında daha fazla önem kazanıyor.
Bank of England yeni bir zorunluluk açıklamak yerine sektörle birlikte çalışmayı planlıyor.
Önleme kadar hızlı toparlanma da önem kazanıyor
Bankacılık sektörünün AI riskine yaklaşımında dikkat çekici değişimlerden biri de siber güvenliğin yalnız saldırıyı engelleme üzerine kurulmaması.
Yeni yaklaşım şu soruya da odaklanıyor:
Sistem ihlal edilirse banka ne kadar hızlı toparlanabilir?
Kritik verilerin temiz ve güvenli kopyalarının ayrı sistemlerde tutulması, ana altyapının devre dışı kalması halinde ödemelerin ve müşteri erişiminin tamamen durmasını engelleyebilir.
Bu nedenle düzenleyiciler bankaların AI kaynaklı saldırıları önlemesini isterken aynı zamanda saldırı sonrası kurtarma kapasitesini de daha yakından inceliyor.
Agentic AI yönetişimi bankacılığın yeni denetim alanına dönüşüyor
Bankalar son dönemde AI ajanlarını müşteri hizmetlerinden dolandırıcılık tespitine, operasyonlardan kredi süreçlerine kadar çok sayıda alana taşımaya başladı.
Backbase gibi bankacılık teknolojisi sağlayıcıları AI ajanlarını doğrudan bankacılık işlemlerine açarken, başka şirketler treasury, tahsilat veya underwriting süreçlerini agentic AI ile otomatikleştiriyor.
Bu yaygınlaşma şimdi denetim tarafında ikinci aşamayı başlatıyor.
Geçiş şöyle okunabilir:
Ajan hangi işlemi yapabiliyor?
→
Banka ajanın yetkisini nasıl sınırlıyor, denetliyor ve gerektiğinde geri alıyor?
Bu değişim agentic AI’ın bankalarda artık deneysel teknoloji olarak görülmediğini gösteriyor.
AI ajanları gerçek iş süreçlerine girdikçe yönetişim, denetim izi, insan kontrolü, üçüncü taraf bağımlılığı ve kill-switch benzeri mekanizmalar da temel bankacılık kontrollerinin parçası haline geliyor.
Bankacılıkta agentic AI tartışması çok kısa sürede yeni bir aşamaya geçti.
İlk soru AI ajanlarının bankacılık işlemlerini gerçekten yapıp yapamayacağıydı.
Bugün ise bankalar kart işlemlerinden siber güvenliğe, müşteri hizmetlerinden kredi süreçlerine kadar AI ajanlarını gerçek operasyonların içine yerleştiriyor.
Düzenleyicilerin soruları da buna paralel biçimde değişiyor.
Artık odak, AI ajanının hangi sınırlar içinde hareket ettiği, kararlarının izlenip izlenemediği ve banka kontrolü yeniden ele almak istediğinde sistemin güvenli biçimde durdurulup durdurulamayacağı.
Bu, agentic AI’ın bankacılıkta ayrı bir yönetişim ve operasyonel risk kategorisine dönüşmeye başladığını gösteriyor.
Özellikle ECB’nin bankalardan AI kullanımını ve üçüncü taraf bağımlılıklarını haritalamasını istemesi önemli. Çünkü bankalar yalnız kendi geliştirdikleri modelleri kullanmıyor. Cloud sağlayıcıları, temel modeller, agent platformları ve dış teknoloji şirketleri giderek daha fazla kritik sürece giriyor.
Bu nedenle geleceğin AI denetimi yalnız modelin performansını ölçmekle sınırlı kalmayacak.
Yetki sınırı, denetlenebilirlik, insan müdahalesi, kapatma mekanizması ve sistemin saldırı sonrası yeniden ayağa kaldırılabilmesi de bankacılık yönetişiminin standart parçaları haline geliyor.
Agentic banking’in ölçeklenmesindeki sonraki büyük eşik artık yalnız “ajanın ne kadar çok iş yapabildiği” olmayacak.
Bankanın o ajan üzerinde ne kadar kontrol sahibi olduğunu kanıtlayabilmesi de en az yetenek kadar önemli hale gelecek.
