KVKK e-posta denetimine sınır çizdi, ajanlara kendi guardrail’ınız geldi

Bu haftanın ortak sorusu şu: bir sistem kimin adına, neye bakarak ve kimin izniyle iş yapıyor? KVKK bunu çalışanların yazışmaları için cevapladı, UiPath ve Google ise ajanlar için kendi cevaplarını ürüne koydu. Pencere kısa, beş gün; ama otomasyon tasarımına doğrudan dokunan bir Resmî Gazete kararı var.

KVKK: kurumsal e-posta ve iletişim kanallarının denetimine ilke kararı

Resmî Gazete · 8 Ekim 2026 (Kurul kararı 16 Eylül 2026, No. 2026/2035)

Kişisel Verileri Koruma Kurulu, işverenin çalışana tahsis ettiği kurumsal e-posta başta olmak üzere iş için kullanılan iletişim kanallarının denetimine 16 maddelik bir ilke kararı yayımladı. Kapsam yalnızca e-posta değil; kurum içi mesajlaşma, müşteri ilişkileri ve talep yönetim sistemleri, toplantı platformlarındaki sohbet ve kayıt alanları da sayılıyor. İçeriğe dokunmadan yalnızca trafik ve log kaydı işlemek de kişisel veri işleme sayılıyor. Genel bir “e-postanız denetlenebilir” bildirimi aydınlatma yükümlülüğünü karşılamıyor; aydınlatmanın amacı, log mu içerik mi inceleneceğini, içeriğe hangi hallerde erişileceğini ve saklama süresini somut olarak anlatması gerekiyor. Çalışanın tüm işlemlerini ayrım gözetmeden kaydeden araçlarla yapılan denetim ise hukuka aykırı sayılıyor. Verilere erişim yetkili ve sınırlı personelle kısıtlanmalı, erişimler kayıt altına alınmalı.

Neden önemli. Karar bir denetim politikası metni gibi okunuyor, ama otomasyon ekiplerini de doğrudan ilgilendiriyor. Paylaşılan posta kutusunu okuyan bir robot, Teams kanallarını izleyen bir ajan ya da masaüstünde her tıklamayı kaydeden bir görev madenciliği (task mining) aracı tam bu kanallarda çalışıyor. Benim okumam: “her şeyi kaydet, sonra filtreleriz” yaklaşımı artık savunulamaz. Bu hafta iki şeyi kontrol ederdim. Robotların ve ajanların okuduğu posta kutularının ve kanalların listesi, bir de bu araçların ürettiği log ve kayıtları kimin gördüğü. Liste yoksa, aydınlatma metni de büyük ihtimalle eksiktir. Bu bir hukuki görüş değil; metni hukuk ekibinizle birlikte okuyun.

UiPath Agents: Autopilot ile ajan incelemesi ve kendi guardrail aboneliğiniz

UiPath Documentation · 1 ve 8 Ekim 2026

8 Ekim’de önizlemeye giren ajan incelemesi, eski Agent score’un yerini alıyor. Autopilot ajanı inceleyip kritik sorunları, uyarıları ve iyileştirme önerilerini listeliyor, sorunların sayısına ve ağırlığına göre A’dan F’ye bir not veriyor ve aynı konuşmada düzeltmeleri uygulayabiliyor. 1 Ekim’de ise yine önizlemede, kurumun kendi güvenlik sağlayıcısı aboneliğini AI Trust Layer’a ekleyip ajan guardrail’i olarak kullanması mümkün oldu. Önizlemede desteklenen sağlayıcılar Azure AI Language, Azure Content Safety ve Noma. Her tespit, onu üreten sağlayıcıyla birlikte ajan izinde (trace) görünüyor; sağlayıcıya ulaşılamazsa guardrail UiPath’in yönettiği karşılığına düşebiliyor.

Neden önemli. Kendi guardrail aboneliğinizi kullanabilmek, güvenlik ekibinin zaten onayladığı içerik filtrelerini ajanlara taşımak demek. Bu, onay sürecini kısaltabilir. Yalnız düşüş (fallback) davranışına dikkat: sağlayıcı erişilemezken hangi kuralın devrede olduğu, denetimde sorulacak ilk sorulardan biri olur ve bunu politika olarak yazılı kararlaştırmak gerekir. A–F notunu ise bence bir kalite kapısı değil, kod incelemesine hazırlık listesi olarak kullanmak doğru. Not iyiyse inceleme kısalır, ama yerine geçmez.

Orchestrator: kiracı düzeyinde zorunlu şifreleme ve Maestro Flow kimliği

UiPath Documentation · 7 ve 12 Ekim 2026

7 Ekim’den itibaren Orchestrator kiracılarında zorunlu şifreleme açılabiliyor: iş, iş olayı, robot logu, kuyruk öğesi ve depolama kovası verileri bir KMS anahtarıyla şifreleniyor. Etkinleştirmek için teknik hesap yöneticisine ya da destek ekibine başvurmak gerekiyor ve şifreli alanlarda arama yapılamıyor. 12 Ekim notlarında ise robot kimlik bilgisini alamadığında iz kimliğinin (trace ID) iş hata ayrıntılarına yazılması ve robot belirtilmemiş Maestro Flow düğüm işlerinin çağıranın kimliğiyle çalışması var. Ayrıca Automation Cloud notlarına göre 6 Ekim itibarıyla Cloudflare’in 104.16.0.0/13 aralığının allowlist’e alınması yalnızca Document Understanding için değil, herhangi bir UiPath servisi için gerekebilir; UiPath mümkünse DNS tabanlı izin listesini öneriyor.

Neden önemli. Şifreleme bankacılık ve sigorta tarafında bulut Orchestrator’a itirazların en sık dile getirilenlerinden birine somut bir cevap. Bedeli de net: şifreli alanlarda arama gidiyor. Kuyruk öğesi referansıyla arama yapan operasyon ekipleriniz varsa açmadan önce o alışkanlığı konuşun. Maestro Flow’daki kimlik değişikliği ise küçük görünse de yetki modelini değiştiriyor; işi kimin kimliğiyle yaptığı denetim izinde artık farklı görünecek. Giden trafiği kısıtlı bir ağdaysanız, Cloudflare notu bu haftanın en pratik maddesi olabilir.

Google Cloud: Gemini agent, “iş için tek ajan”

Google Cloud Blog · 8 Ekim 2026

Google Cloud, Gemini at Work 2026’da soru yanıtlayan, bilgi işi yapan, görsel üreten ve kod yazıp çalıştıran tek bir ajan tanıttı. Ajan bulutta kalıcı çalışıyor, uzun işleri kullanıcı bilgisayarını kapattıktan sonra da sürdürüyor ve Gemini ile Anthropic’in Claude modellerini yönetebiliyor. Her ajana kriptografik olarak doğrulanan bir kimlik ve en az yetki ilkesine göre izinler veriliyor; eylemler kişiye değil ajana yazılan bir denetim izine düşüyor, trafik Agent Gateway üzerinden geçiyor ve proje bazında harcama tavanı konulabiliyor. Kurum içindeki ya da dışındaki MCP sunucularına bağlanabiliyor. Finans ve hukuk sektör sürümleri önizlemede; ajanın genelinin kullanılabilirlik tarihi, sürümü ve fiyatı yazıda yer almıyor.

Neden önemli. Kendi kimliği, e-postası ve harcama tavanı olan bir “ajan çalışan” fikri, RPA’daki robot hesabı tartışmasının yeni hali. Kimlik ve denetim izi tarafı doğru yönde. Benim sorum başka: aynı süreçte bir UiPath robotu, bir Copilot akışı ve bir Gemini ajanı çalışıyorsa uçtan uca izi kim tutacak? Kullanılabilirlik tarihi ve veri yerleşimi bilgisi gelmeden bütçe kalemi açmazdım. MCP desteğini ise iyi haber sayarım; araçlarınızı bir kez MCP sunucusu olarak yayımlamak, platform değiştirme maliyetini düşürür.

Automation Anywhere, Boost.ai’yi satın alıyor

Automation Anywhere · 7 Ekim 2026

Automation Anywhere, Norveçli sohbet ve sesli yapay zekâ şirketi Boost.ai’yi Nordic Capital’den almak için kesin anlaşma imzaladığını duyurdu. Satın almanın, olağan düzenleyici onaylara bağlı olarak 2026’nın son çeyreğinde tamamlanması bekleniyor; bedel açıklanmadı. Duyuruya göre Boost.ai platformu 36’dan fazla dili destekliyor ve en güçlü olduğu alanlar finansal hizmetler, telekom ve sigorta gibi düzenlemeye tabi sektörler. Şirket bunu, müşteriyle yapılan konuşmayı arka ofisteki işe bağlama hamlesi olarak anlatıyor.

Neden önemli. Platform satıcıları ön yüzü (sohbet, ses) ve arka ofisi (robot, ajan) tek pakette satmaya yöneliyor. Automation Anywhere kullanan ve ayrı bir sohbet botu sözleşmesi olan kurumlar için yenileme konuşması değişecek. Duyuru desteklenen dilleri tek tek saymıyor; Türkçenin üretimde ne kadar iyi çalıştığını ve verinin nerede işlendiğini sormadan bir konsolidasyon planı yapmazdım. Tek satıcı entegrasyonu kolaylaştırır, ama çıkış maliyetini de yükseltir.

Gartner: satın alma liderleri yapay zekâ için rolleri yeniden tasarlamakta geç kalıyor

Gartner · 8 Ekim 2026

Gartner’ın 8 Ekim tarihli anket duyurusunun başlığına göre satın alma liderleri (CPO), yapay zekânın gerektirdiği rol ve iş tanımı yeniden tasarımında duraksıyor. Gartner’ın sayfası otomatik erişime kapalı olduğu için bu madde yalnızca duyurunun başlığına dayanıyor; anketteki oranları birincil kaynakta doğrulayamadığım için buraya almadım.

Neden önemli. Satın almadan ödemeye (procure-to-pay) süreci, otomasyonun en olgun olduğu alanlardan biri. Robot ve ajan işi aldıkça geriye kalan insan rolünün tanımı genellikle güncellenmiyor ve istisna kuyrukları sahipsiz kalıyor. İş vakasına kapasite kazanımı yazıyorsanız, aynı sayfaya o kapasitenin hangi yeni role ya da işe gideceğini de yazın. Yazamıyorsanız kazanım kâğıtta kalır.

Önümüzdeki hafta iki şeye bakacağım: KVKK kararından sonra hukuk bürolarının ve kurumların aydınlatma metinlerini nasıl güncellediği ve UiPath’in önizlemedeki guardrail ile ajan inceleme özellikleri için bir genel kullanım tarihi verip vermediği.