Yapay Zekanın Ürettiği Kod Nasıl Denetlenir? Çevik Ekipler İçin Denetim ve Yönetişim Çerçevesi

Aycan Altınöz · 2026-10-21 · Güncellendi: 2026-10-21

Kısa cevap: Yapay zekanın ürettiği kod, insanın yazdığı koddan daha az değil, farklı biçimde denetlenmelidir. Otomatik kontroller (statik analiz, güvenlik taraması, bağımlılık ve lisans kontrolü, testler) her değişikliği CI/CD hattında yakalar. İnsan incelemesi ise riske göre derinleşir. Bu denetim ayrı bir aşama olarak değil, sprint'in Definition of Done'ı ve kalite metrikleri içinde yönetildiğinde hem hız hem güven korunur.

Yapay zeka kodu neden ayrı bir denetim yaklaşımı gerektirir?

Kod asistanları ekiplerin daha kısa sürede çok daha fazla kod üretmesini sağlıyor. Sorun, üretim hızının inceleme kapasitesinden hızlı artmasıdır. Pull request'ler büyür, inceleme yüzeyselleşir ve "testler geçti" ifadesi kalite kanıtı yerine geçmeye başlar.

Yapay zeka kodunda tekrar eden risk tipleri şunlardır:

• Sözdizimi doğru, ancak iş kuralını yanlış uygulayan mantık
• Var olmayan veya güvenilmeyen paketlere yapılan referanslar
• Eski veya güvensiz kütüphane sürümleri ve kalıplar
• Girdi doğrulaması, yetkilendirme ve hata yönetiminin atlanması
• Lisansı belirsiz kod parçaları
• Mevcut mimari kurallarla çelişen, kopyalanmış çözümler
• Kodu yazan kişinin kendisinin de tam açıklayamadığı yapılar

Bu nedenle soru "yapay zeka kodu güvenilir mi?" değil, "hangi kontrolün hangi riski hangi aşamada yakaladığı tanımlı mı?" olmalıdır.

Yapay zeka çıktılarında teknik denetim katmanları

Denetim tek bir kontrol noktası değil, birbirini tamamlayan katmanlardan oluşur. Her katman farklı bir risk tipini yakalar.

İlk dört katman otomatik olmalıdır. İnsan incelemesinin değeri, makinenin yakalayamadığı alanlara odaklanmasıyla artar: iş mantığı, mimari ve bakım maliyeti.

Geleneksel code review ile AI destekli code review arasındaki fark

Temel ilke değişmez: kodu commit eden kişi, kodun her satırını açıklayabilmeli ve sorumluluğunu üstlenmelidir.

Çevik süreçlerde AI denetimi: Definition of Done güncellemesi

Yapay zeka kodunu ayrı bir onay kuyruğuyla yönetmek, çevik ekipte yeni bir darboğaz yaratır. Daha sağlıklı yol, denetimi mevcut çalışma sisteminin içine almaktır. Bunun merkezinde Definition of Done (DoD) vardır.

AI destekli geliştirme yapan bir ekip için DoD'ye eklenebilecek maddeler:

• Statik analiz, güvenlik taraması ve bağımlılık kontrolü kalite kapısından geçti.
• Yeni eklenen her paket onaylı listede veya onay sürecinden geçti.
• Değişikliğin kritik akışları otomatik testlerle kapsanıyor.
• Pull request belirlenen boyut sınırını aşmıyor; aşıyorsa parçalara bölündü.
• Yüksek riskli alanlarda (kimlik doğrulama, ödeme, kişisel veri, yetkilendirme) ikinci bir kıdemli inceleme yapıldı.
• Geliştirici, değişikliğin mantığını pull request açıklamasında kendi cümleleriyle anlattı.
• Gerekli durumlarda geri alma yöntemi tanımlandı.

Seremonilerde de karşılığı olmalıdır:

• Sprint Planning: AI ile hızlanması beklenen işler için inceleme kapasitesi de planlanır. Yazma süresi kısalırken inceleme süresi uzayabilir.
• Backlog Refinement: Yüksek riskli işler önceden etiketlenir ve hangi inceleme derinliğinin uygulanacağı belirlenir.
• Sprint Review: Yalnızca özellikler değil, kalite kapısı sonuçları ve kaçan hatalar da gösterilir.
• Retrospective: AI destekli değişikliklerde hangi hata tiplerinin tekrar ettiği konuşulur ve DoD güncellenir.

İnsan döngüde (human-in-the-loop) denetim stratejileri

Her değişikliğe aynı derinlikte inceleme uygulamak ya kapasiteyi tüketir ya da incelemeyi yüzeyselleştirir. Riske göre kademeli bir model daha sürdürülebilirdir.

İnsan onayının da tasarlanması gerekir: hangi rol, hangi eşikte, hangi bilgiye bakarak ve ne kadar sürede onay verecek? Bu tanımlanmazsa "human in the loop" sunumda kalan bir ifadeye, sahada ise darboğaza dönüşür.

Yapay zeka kod üretiminde risk ve yönetişim matrisi

Proje yöneticileri ve teknik liderler için riskleri sahipleri ve kontrolleriyle birlikte görünür kılan bir matris:

Yapay zekaya özgü uygulama riskleri için OWASP'ın LLM uygulamaları için yayımladığı Top 10 listesi, güvenli yazılım geliştirme pratikleri için NIST'in Secure Software Development Framework'ü (SP 800-218) referans alınabilir.

AI denetimini CI/CD hattına entegre etmek

Denetimin sürdürülebilir olması için kontrollerin geliştiricinin hatırlamasına değil, teslimat hattına bağlı olması gerekir. Örnek bir akış:

1. Geliştirici, AI asistanıyla ürettiği değişikliği küçük ve anlamlı bir pull request olarak açar.
2. Otomatik kalite kapısı çalışır: statik analiz, güvenlik taraması, bağımlılık ve lisans kontrolü, testler.
3. Kapıdan geçemeyen değişiklik incelemeye gitmeden geliştiriciye geri döner.
4. Değişiklik, dokunduğu alana göre düşük, orta veya yüksek risk olarak etiketlenir.
5. Risk seviyesine göre bir veya iki inceleyen atanır; yüksek riskte güvenlik incelemesi eklenir.
6. Onaylanan değişiklik kontrollü olarak yayına alınır (feature flag, kademeli yayın).
7. Üretimde izleme ve alarm devrededir; sorun halinde geri alma planı uygulanır.
8. Kaçan hatalar retrospektifte analiz edilir ve kalite kapısı veya DoD güncellenir.

Ölçülebilir başarı: AI destekli geliştirmede kalite metrikleri

AI kod asistanlarının etkisi, üretilen kod satırı veya kabul edilen öneri sayısıyla ölçülmemelidir. Bunlar faaliyet göstergesidir, sonuç göstergesi değildir. Aşağıdaki metrikler, AI kullanımı öncesindeki baz dönemle karşılaştırılarak izlenmelidir.

İlk iki metrik DORA'nın teslimat performansı göstergeleri arasındadır. Bu metriklerin birlikte okunması önemlidir: teslimat hızı artarken hata ve geri alma oranı da artıyorsa, kazanılan hız sonraki sprintlerde yeniden iş olarak geri ödenir.

Proje yöneticileri için AI ile üretilen kod hazırlık kontrol listesi

• ☐ Ekipte hangi AI kod araçlarının onaylı olduğu ve hangi verilerin bu araçlarla paylaşılamayacağı yazılı olarak tanımlı mı?
• ☐ CI/CD hattında statik analiz, güvenlik taraması, bağımlılık ve lisans kontrolü otomatik çalışıyor mu?
• ☐ Definition of Done, AI destekli geliştirmeye özgü maddeleri içeriyor mu?
• ☐ Riske göre inceleme derinliği (düşük, orta, yüksek) tanımlı mı?
• ☐ Pull request boyutu için bir sınır var mı?
• ☐ Yüksek riskli alanlar listelenmiş ve bu alanlar için ek inceleme zorunlu mu?
• ☐ AI kullanımı öncesine ait baz metrikler (hata oranı, lead time, yeniden iş) ölçülmüş mü?
• ☐ Sprint planlamasında inceleme kapasitesi ayrıca hesaba katılıyor mu?
• ☐ Kaçan hatalar retrospektifte düzenli olarak analiz ediliyor mu?
• ☐ Ekip, AI çıktısını sorgulama ve doğrulama konusunda eğitim aldı mı?

AI Destekli Geliştirmede ROI Yaklaşımı

Basitleştirilmiş bir hesaplama şu şekilde yapılabilir:

ROI (%) = [(Ölçülebilir toplam fayda − Toplam yatırım maliyeti) / Toplam yatırım maliyeti] × 100

Toplam fayda; doğrulanmış iş gücü tasarrufu, yeniden çalışma maliyetindeki azalma, belirli operasyonel maliyetlerin düşmesi veya daha erken değer sunumundan elde edilen ekonomik katkıları içerebilir.

Toplam maliyet ise araç lisansları, entegrasyon, eğitim, güvenlik kontrolleri, model kullanımı ve bakım giderlerini kapsamalıdır.

Örneğin bir organizasyon yapay zeka araçları sayesinde geliştirme faaliyetlerinde zaman kazandığını belirleyebilir.

Ancak kod inceleme ve test süreleri aynı oranda artmışsa net kazanım beklenenden düşük olabilir.

Bu nedenle AI yatırımının gerçek etkisi, kod üretiminden üretim ortamına kadar uzanan bütün süreç üzerinden değerlendirilmelidir.

Otomatik kalite kontrolleri ROI'ye nasıl katkı sağlar?

Otomatik kalite kontrolleri, belirli hata türlerinin daha erken tespit edilmesine ve manuel inceleme yükünün daha doğru alanlara yönlendirilmesine yardımcı olabilir.

Bununla birlikte yanlış pozitif bulgular, uzun süren pipeline çalışmaları ve bakım gerektiren test altyapıları da maliyet oluşturabilir.

Dolayısıyla hedef mümkün olan en fazla kontrolü eklemek değil, riskleri anlamlı biçimde azaltan ve delivery akışını destekleyen kontrol mekanizmaları oluşturmaktır.

90 Günlük Uygulama Planı

Kurumsal organizasyonlarda AI destekli yazılım geliştirme yönetişimi tek seferde bütün ekiplere uygulanmak zorunda değildir.

Kontrollü bir geçiş planı daha uygun olabilir.

İlk 30 gün: Mevcut durum ve risk analizi

Kullanılan yapay zeka araçları, mevcut kalite kontrolleri, güvenlik politikaları ve geliştirme süreçleri değerlendirilir.

AI kullanım senaryoları risk düzeylerine göre sınıflandırılır.

31–60. gün: Pilot uygulama ve kontrol tasarımı

Seçilen ekiplerde güncellenmiş Definition of Done kriterleri, otomatik kalite kontrolleri ve insan denetimi mekanizmaları uygulanır.

Başlangıç performansı ile pilot dönem sonuçları karşılaştırılır.

61–90. gün: Ölçüm ve iyileştirme

Delivery, kalite ve geliştirici deneyimi göstergeleri değerlendirilir.

Gereksiz kontroller sadeleştirilir, eksik güvenlik mekanizmaları geliştirilir ve başarılı uygulamaların diğer ekiplere yaygınlaştırılması planlanır.

Bu süreler örnek bir uygulama çerçevesidir. Büyük ve düzenlemeye tabi organizasyonlarda kapsamlı değerlendirme ve uygulama daha uzun sürebilir.

Nex4Future yaklaşımı

Nex4Future olarak AI destekli yazılım geliştirmeyi bir araç kurulumu olarak değil, teslimat sisteminin yeniden tasarımı olarak ele alıyoruz. Çalışma modelimiz dört adımdan oluşur:

1. Keşfet: Mevcut SDLC, kalite kapıları ve baz metrikler çıkarılır.
2. Tasarla: Risk matrisi, Definition of Done ve CI/CD kontrolleri ekibe göre tasarlanır.
3. Uygula: Pilot ekiple eğitim, koçluk ve uygulama birlikte yürütülür.
4. Ölç ve geliştir: Kalite ve teslimat metrikleri baz döneme göre izlenir, çerçeve sprint'ler içinde iyileştirilir.

Ekibinizin AI ile ürettiği kodu güvenle teslim etmesi için AI destekli SDLC dönüşümü ve AI destekli proje ve program yönetimi hizmetlerimizi inceleyebilirsiniz.