AI Ajanlarına Politikayı Nasıl Öğretirsiniz?

Gölge AI’den kurtulmanın en garantili yolu, ajanları bir sekme olarak değil, kurumsal bir sözleşmeye bağlı bir varlık olarak yönetmektir. Şirketinizde Kaç AI Ajanı Çalışıyor, Kimse Bilmiyor? yazısında gördüğümüz gibi, kurumsal altyapı dışında kalan chatbotlar iz bırakmaz, sorumluluk dağıtmaz ve politikadan çıkar. Organizasyon Şemasına Neden Ajanları da Kapsamalısınız? yazısında ajanların org ağacına nasıl yerleştirildiğini gördük. Ama bir ajanı şemaya yerleştirmek yetmez; o ajanın içinde ne yaşadığını, ne yapmasına izin verildiğini ve nasıl kontrol edildiğimizi de tanımlamalıyız. İşte bu noktada politika devreye girer.

Politika: Ajanla Kurum Arasındaki Sözleşme

Bir insan çalışanı işe alırken iş tanımı yazarsınız. O iş tanımı, çalışanın ne yapacağını, ne yapmayacağını, nasıl raporlayacağını ve hangi sınırlar içinde kalacağını belirler. AI ajanları için de aynı belgenin dijital bir karşılığı var: policy.md.

Politika dosyası salt bir kural listesi değildir. Ajan ile kurum arasındaki bir sözleşmedir. Ajan bu sözleşmeyi kabul ederse çalışır, edemezse çalışmaz. Politikada şunlar tanımlanır:

• Davranış kuralları: Ajan ne yapabilir, ne yapamaz? Hangi konularda öneri verebilir, hangi kararları tek başına alabilir?
• Veri sınırları: Hangi dosyaları okuyabilir, hangi veritabanına sorgu atabilir, müşteri verisini nereye taşıyabilir?
• Onay gereksinimleri: Hangi eylemler insan onayına tabi? Örneğin bir faturayı onaylamak, bir siparişi iptal etmek, yeni bir kullanıcı hesabı açmak.
• İletişim kuralları: Hangi kanaldan ne mesajı gönderebilir? Müşteriye ne tür bir dilde yanıt verir?

Politika olmadan ajan, kurumun denetim dışında bir bot olur. Politika ile ajan, kurumun kurallarını otomatik olarak uygulayan bir uzantı haline gelir.

Durum Yönetimi: Taslak, Aktif, Pasif

İnsan çalışanlar için deneme süreci, aktif çalışma ve sonlandırma süreci vardır. Ajanlar için de aynı yaşam döngüsü otomatik olarak tanımlanır.

Taslak: Ajan tanımlanmış ama henüz aktif değil. Politikası test ediliyor, becerileri doğrulanıyor, üretim ortamına hazırlanıyor. Bu aşamada insan onayı olmadan hiçbir eylem yapamaz. Yeni bir ajanı ilk kez üretime almadan önce burada test edersiniz.

Aktif: Ajan tam olarak çalışıyor. Politikası uygulanıyor, her eylem loglanıyor, üst düğüm tarafından denetleniyor. Tanımlı görevleri yapıyor, sınırların dışına çıkmıyor.

Pasif: Ajan daha önce aktifken devre dışı bırakılmış. Tüm becerileri askıda, verileri korunuyor. Tekrar aktif hale getirilebilir ya da tamamen silinebilir. Bu durum, geçici bir ihtiyaç için kullanılan ajanları kaybetmeden saklamak için idealdir.

Bu durum yönetimi, Ajan Nedir: AI Aracı ile AI Ajanı Arasındaki Fark yazısında vurguladığımız aracı-ajan ayrımını destekler. Bir tarayıcı sekmesindeki chatbotun ne deneme süreci ne de pasif durumu vardır; her zaman aynı şekilde çalışır, denetlenmez ve devredilemez.

Beceri Tipleri ve Politikaların Birlikteliği

Ajanın politikası ne yapamayacağını belirliyor. Becerileri ise ne yapabileceğini. Politikasız beceri kontrolsüzlüktür, becerisiz politika isteğe bağlı bir boşluktur.

Bir ajanın yetenek havuzu üç ana tip üzerinden tanımlanır:

Builtin (Dahili): Modelin kendi çekirdeğinde var olan beceriler. Doğal dil anlama, matematik, kod yazma — bunlar ek kurulum gerektirmez, politika sınırına tabidir.

MCP (Model Context Protocol): Ajanın dış dünyaya bağlantı kurabildiği standart protokoller. Veritabanına sorgu atmak, dosya sistemi okumak, harici API’ye istek atmak — bunlar MCP üzerinden eklenir. Her MCP bağlantısı politika tarafından onaylanmalıdır.

HTTP / Function: Özel fonksiyon çağırma ya da HTTP isteği yapma yeteneği. Bir siparişi ERP’ye kaydetmek, bir alarmı tetiklemek, bir e-postayı göndermek — bunlar ya özel fonksiyon ya da HTTP endpoint olarak tanımlanır.

Politika, her beceri kullanımından önce bir kapı gibi davranır. “Bu ajan e-posta gönderebilir” derse ilgili beceri aktifleşir; “hayır” derse ajan o beceriyi hiç çağıramaz.

Ajani İşe Almak, İnsani İşe Almaktan Farklı Olmamalı

İnsan çalışanı işe alırken şunları yaparsınız: iş tanımı, yetki belirleme, kuralları öğretme, izleme ve değerlendirme. AI ajanları için de aynı süreç geçerli.

Tanım: Ajanın rolü, yetkisi ve raporlama hattı net olmalı. Ajan Nedir: AI Aracı ile AI Ajanı Arasındaki Fark yazısında gördüğümüz gibi, aracın aksine ajanın tanımlı bir kimliği, bir responsible_id’si ve bir üst düğümü olmalı.

Onay: Ajan politikadan geçmeli, becerileri onaylanmalı, üst düğüm tarafından denetlenmeli. İnsan çalışanın referans kontrolünden geçmesi gibi, ajanın da test sürecinden geçmesi gerekir. Taslak durumunda üretime alınmaz.

Aktivasyon: Ajan sadece onaylandıktan sonra Aktif duruma geçer. Bu aktivasyon, Organizasyon Şemasına Neden Ajanları da Kapsamalısınız? yazısında gördüğümüz responsible_id ilişkisiyle desteklenir.

Tek fark, insanın eğitilmesi haftalar sürerken, ajanın politikasının yazılması saatler sürer. Ama kalıcı fark yok; her iki durumda da organizasyon, çalışana ne yapması gerektiğini, nasıl yapacağını ve kimden onay alacağını bilir.

Bir Sonraki Durak: Ajanların Birbirine İş Devretmesi

Politika ve durum yönetimi, ajanın tek başına çalışmasını sağlar. Ama gerçek kurumsal ortamda ajanlar tek başlarına kalmaz. Müşteri talebi geldiğinde ilk ajan sınıflandırır, ikinci ajan teklifi hazırlar, üçüncü ajan onay sürecini tetikler.

Sonraki yazımızda bu konuyu ele alacağız: ajanların birbirine nasıl görev devrettiği, onay akışlarının nasıl çalıştığı ve sonuçların nasıl kontrol edildiği. Politika, durum yönetimi ve organizasyon şeması tam olarak bu noktada birleşiyor.