504 Girişim, 21 Tasfiye ve "Wrapper" Çağının Sonu: TRAI Ekim 2026 Haritası, Agentic AI Patlaması ve Shadow AI Yönetişim Mimarisi

Bir ekosistemin olgunluğunu ölçmek istiyorsanız, sahneye yeni çıkan girişimlerin sayısına değil, sahneden sessizce indirilenlerin otopsi raporuna bakmalısınız.

Türkiye Yapay Zeka İnisiyatifi (TRAI), 2017 yılından bu yana düzenli olarak tuttuğu Türkiye Yapay Zeka Girişim Haritası’nın Ekim 2026 güncellemesini yayımladı. Manşetlerdeki rakam psikolojik bir eşiği simgeliyor: Türkiye’deki yapay zeka girişimlerinin sayısı 504’e ulaşarak ilk kez 500 barajını aştı. Ancak bir sistem mimarı ve yapay zeka analisti gözüyle tabloya yaklaştığımızda, asıl sarsıcı verinin "net artış" denkleminde gizli olduğunu görüyoruz. Nisan 2026'da 482 olan girişim sayısı; son 6 ayda 43 yeni girişimin eklenmesi ve faaliyetini ya da web varlığını sonlandıran 21 girişimin haritadan çıkarılmasıyla net 22 adet büyüdü.

Başka bir ifadeyle, her iki yeni girişimin doğuşuna karşılık bir eski girişim ekosistemden tasfiye edildi. 2023-2024 döneminin rüzgarıyla OpenAI veya Anthropic API’lerinin üzerine ince bir kullanıcı arayüzü (thin wrapper) geçirip bunu "yapay zeka ürünü" olarak pazarlayan zombi girişimler doğal seçilimle elenirken; kuruluş yılı bilinen 41 yeni girişimin 25’inin doğrudan 2025 ve 2026 yıllarında kurulmuş olması Türkiye'de bambaşka bir mimari neslin doğduğunu kanıtlıyor.

Bu makalede, TRAI Ekim 2026 raporunun ve eş zamanlı açıklanan TÜİK 2026 Bilişim Teknolojileri Kullanım Araştırması verilerinin satır aralarını okuyacak; yükselen Agentic AI (Ajanik Yapay Zeka), Dikey Uzmanlaşma (LegalTech / HR Tech) ve kurumların yeni kabusu olan Shadow AI (Kayıt Dışı Yapay Zeka) Yönetişimi kavramlarını mimari şemalar ve gerçekçi kod bloklarıyla inceleyeceğiz.

1. Rakamların Otopsisi: 43 Yeni Oyuncu, 21 Tasfiye ve Dağılım Matematiği

TRAI Genel Müdürü Can Sinemli’nin de vurguladığı üzere, bir ekosistem haritasının gerçek değeri yalnızca kümülatif toplamı göstermesinde değil, faaliyetini yitirenleri ayıklayarak yatırımcı ve kurumlar için "canlı" bir referans sunmasında yatar. Ekim 2026 güncellemesinde haritaya dahil olan 43 yeni girişim, toplam 14 farklı uzmanlık kategorisine dağıldı.

Dağılımın kırılımını incelediğimizde Türkiye'deki mühendislik eforunun nereye aktığını net biçimde görebiliyoruz:

Coğrafi dağılım ise ekosistemin sadece İstanbul'daki teknoparklara sıkışmadığını gösteriyor. İstanbul merkezli girişimler ağırlığını korurken; Ankara, İzmir, Bursa, Antalya, Samsun, Bolu ve Gebze çıkışlı girişimler haritaya dahil oldu. Daha da önemlisi, kurucuları Türk mühendisler olan ancak küresel ölçeklenme stratejisi gereği merkezlerini New York, Dubai ve Amsterdam’da konumlandıran girişimler de bu dönemde TRAI haritasındaki yerini aldı.

"Mimari Not: Nisan ayında 0 yeni girişim çıkaran HR Tech'in 4 girişimle dönmesi, LegalTech'in 2'den 5'e, Agentic AI'ın ise 5'ten 10'a sıçraması tesadüf değildir. Yatırımcılar ve kurumsal müşteriler artık 'Bana bir sohbet arayüzü ver' demiyor; 'Bana inşaat sözleşmesindeki cezai şart riskini bulup ERP sistemine işleyen otonom bir iş akışı ver' diyor."

2. "Sohbet Eden" Asistandan "İcra Eden" Ajana: Agentic AI ve LegalTech Mimarisi

Nisan 2026 güncellemesinde 5 girişimle dikkat çeken Agentic AI kategorisinin Ekim 2026’da 10 yeni girişimle açık ara birinci sıraya yerleşmesi, yazılım mühendisliğinde Stateless Prompt-Response (Durumsuz İstem-Yanıt) mimarisinden Stateful Multi-Agent Orchestration (Durum Koruyan Çoklu Ajan Orkestrasyonu) mimarisine geçişin Türkiye'deki izdüşümüdür.

Neden "Thin Wrapper" Girişimler Battı?

Haritadan silinen 21 girişimin büyük çoğunluğunun ortak kaderi, temel model (Foundation Model) sağlayıcılarının kendi ürünlerine eklediği özellikler altında ezilmeleriydi. Eğer ürününüzün tüm mimarisi bir PDF dosyasını parçalayıp (chunking) standart bir vektör veritabanına atmak ve üzerine basit bir RAG (Retrieval-Augmented Generation) sorgusu çalıştırmaksa, sınır modellerin (frontier models) milyon tokenlık bağlam pencereleri (context window) ve yerleşik dosya arama API'leri ürününüzü bir gecede işlevsiz bırakır.

Dikey Uzmanlaşma: Türk Hukuk Pratiğinde Ajanik Mimari

Ekim 2026 haritasında parlayan LegalTech (5 yeni girişim) alanı, bu mimari farkı anlamak için mükemmel bir laboratuvardır. Genel amaçlı bir LLM'e bir Türk inşaat sözleşmesini (örneğin Kat Karşılığı İnşaat Sözleşmesi veya FIDIC uyarlaması) verip "Riskleri bul" dediğinizde, model Amerikan (Common Law) veya genel Avrupa hukuku varsayımlarıyla halüsinasyon görmeye meyillidir.

Yeni nesil yerli LegalTech ve Agentic AI girişimleri ise problemi tek bir LLM çağrısıyla çözmek yerine, Ayrıştırılmış Ajan Grafikleri (Directed Acyclic/Cyclic Agent Graphs) kurguluyor:

1. Ayrıştırıcı Ajan (Parser & Clause Extractor): Sözleşmedeki maddeleri Borçlar Kanunu ve İmar Kanunu ontolojisine göre yapılandırılmış JSON nesnelerine böler.
2. İçtihat Araştırma Ajanı (Precedent Retriever): Çıkarılan maddeleri Yargıtay Hukuk Dairelerinin güncel içtihatlarıyla hibrit arama (BM25 + Dense Embedding + Cross-Encoder Reranking) üzerinden eşleştirir.
3. Risk Denetçisi ve Karşı-Argüman Ajanı (Risk & Redline Agent): Müvekkil lehine revize metin (redline) önerisi üretir ve finansal maruziyet (exposure) skoru hesaplar.

Aşağıdaki Python kodu, Türkiye'deki yeni nesil dikey Agentic AI girişimlerinin (örneğin bir LegalTech sözleşme denetim ajanının) standart bir sohbet botundan nasıl ayrıldığını gösteren üretim seviyesi (production-grade) bir durum makinesi kurgusudur:

from dataclasses import dataclass, field
from typing import List, Dict, Optional
from enum import Enum
import asyncio

class RiskLevel(Enum):
    LOW = "DÜŞÜK"
    MEDIUM = "ORTA"
    CRITICAL = "KRİTİK_İÇTİHAT_İHLALİ"

@dataclass
class ContractClause:
    clause_id: str
    raw_text: str
    legal_category: str  # örn: "Cezai Şart", "Mücbir Sebep", "Ayıplı İfa"

@dataclass
class PrecedentMatch:
    yargitay_daire: str
    esas_karar_no: str
    summary: str
    similarity_score: float

@dataclass
class ClauseAuditResult:
    clause_id: str
    risk_level: RiskLevel
    matched_precedents: List[PrecedentMatch]
    redline_suggestion: Optional[str] = None
    autonomous_action_taken: str = "NONE"

class TurkishLegalAgentOrchestrator:
    """
    TRAI Ekim 2026 Haritasındaki yeni nesil LegalTech & Agentic AI girişimlerinin
    kullandığı çok adımlı, içtihat doğrulamalı otonom denetim mimarisi.
    """
    def __init__(self, vector_db_client, llm_router, erp_webhook):
        self.vdb = vector_db_client
        self.llm = llm_router
        self.erp = erp_webhook

    async def retrieve_yargitay_precedents(self, clause: ContractClause) -> List[PrecedentMatch]:
        # Sadece semantik benzerlik değil, kanun maddesi ve daire bazlı hibrit filtreleme
        raw_hits = await self.vdb.hybrid_search(
            query=clause.raw_text,
            filter_metadata={"category": clause.legal_category, "jurisdiction": "TR_YARGITAY"},
            top_k=5
        )
        # Cross-encoder eşiği altındaki zayıf içtihatları ele (Halüsinasyon bariyeri)
        return [hit for hit in raw_hits if hit.similarity_score >= 0.82]

    async def evaluate_and_act(self, clause: ContractClause) -> ClauseAuditResult:
        precedents = await self.retrieve_yargitay_precedents(clause)
        
        # Deterministik kural + Ajanik muhakeme birleşimi
        prompt = {
            "role": "system",
            "content": (
                "Sen Türk İnşaat ve Sözleşmeler Hukuku uzmanı otonom bir denetim ajanısın. "
                "Yalnızca sağlanan Yargıtay kararlarına dayanarak sözleşme maddesindeki riski belirle."
            ),
            "clause": clause.raw_text,
            "precedents": [p.__dict__ for p in precedents]
        }
        
        analysis = await self.llm.generate_structured_output(prompt)
        risk = RiskLevel(analysis["risk_level"])
        
        action_status = "LOGGED_ONLY"
        # Ajanik fark: Sadece yanıt dönmez, kurumsal onay akışını (workflow) tetikler
        if risk == RiskLevel.CRITICAL:
            await self.erp.trigger_approval_lock(
                contract_clause_id=clause.clause_id,
                reason=f"Yargıtay {precedents[0].yargitay_daire} içtihadına aykırı cezai şart tespit edildi."
            )
            action_status = "ERP_APPROVAL_BLOCKED_AND_LEGAL_NOTIFIED"

        return ClauseAuditResult(
            clause_id=clause.clause_id,
            risk_level=risk,
            matched_precedents=precedents,
            redline_suggestion=analysis.get("redline_text"),
            autonomous_action_taken=action_status
        )

Yukarıdaki mimaride gördüğünüz erp.trigger_approval_lock çağrısı, bir yazılımı "Diyalogsal Asistan" olmaktan çıkarıp "Agentic AI" kategorisine sokan kritik çizgidir. Eğitim içeriği üretiminden siber güvenlik operasyonlarına (SecOps) ve İK mülakat süreçlerine kadar haritaya yeni giren 10 Agentic AI girişiminin tamamı, kurumsal sistemlerde uçtan uca aksiyon alabilen bu tip durum makineleri üzerine inşa ediliyor.

3. TÜİK 2026 Paradoksu (%37,6 vs. %14) ve "Shadow AI" Yönetişim Mimarisi

TRAI Ekim 2026 haritasıyla aynı günlerde yayımlanan Türkiye İstatistik Kurumu (TÜİK) 2026 Bilişim Teknolojileri Kullanım Araştırması, ekosistemdeki en büyük mimari krizi ve aynı zamanda en büyük girişimcilik fırsatını gözler önüne serdi:

• Türkiye’de üretken yapay zeka kullandığını beyan eden bireylerin oranı 2025'teki %19,2 seviyesinden 2026'da %37,6'ya fırladı. (16-24 yaş grubunda bu oran %64,9, 25-34 yaş grubunda ise %55,7).
• Buna karşın, reel sektörde ve kurumsal işletmelerde herhangi bir yapay zeka teknolojisini resmi olarak kullanan girişimlerin oranı 2025'teki %7,5'ten yalnızca %14'e yükselebildi.

Bu İki Rakam Arasındaki 23,6 Puanlık Fark Nereye Gidiyor?

Cevap çok net: Shadow AI (Kayıt Dışı Yapay Zeka).

Şirketlerin %86'sı henüz resmi bir kurumsal yapay zeka altyapısı kurmamış olsa da, o şirketlerde çalışan beyaz yakalıların ve mühendislerin %37,6'sı (genç çalışanlarda %55'ten fazlası) günlük işlerini hızlandırmak için kendi kişisel hesaplarıyla dışarıdaki LLM servislerini kullanıyor. Şirketin müşteri verileri, kaynak kodları, finansal tabloları ve hukuki taslakları; BT ve siber güvenlik departmanlarının (CISO) haberi olmadan üçüncü parti model sağlayıcılarına akıyor.

İşte TRAI Ekim 2026 güncellemesinde "Altyapı ve Operasyonlar / Servis" kategorisine eklenen 3 yeni girişimin doğrudan odaklandığı alan tam olarak burasıdır:

1. Kurum içindeki kayıt dışı yapay zeka kullanımını (Shadow AI) ağ ve istemci seviyesinde tespit etmek,
2. Hassas verilerin (KVKK / PII) dış API'lere sızmasını önleyen yönetişim katmanları kurmak,
3. Dağınık ajanların ve departmanların tükettiği GPU ve Token maliyetlerini merkezi olarak izlemek ve optimize etmek.

"Mimari Not: 2026'da bir kuruma doğrudan 'LLM satmak' zordur; ancak CISO ve CTO'ya 'Çalışanlarınızın %40'ı şu an verilerinizi kayıt dışı LLM'lere yapıştırıyor, gelin önüne şeffaf bir AI Yönetişim ve Maliyet Ağ Geçidi (AI Gateway) koyalım' demek en hızlı büyüyen B2B altyapı dikeyidir."

Mimari Çözüm: Kurumsal Shadow AI Denetimi ve Maliyet Telemetrisi (TypeScript)

Altyapı kategorisindeki yeni nesil yerli girişimlerin kurumsal ağlarda konumlandırdığı AI Governance & FinOps Gateway mimarisinin çalışma prensibini aşağıdaki TypeScript kod bloğunda inceleyebilirsiniz:

interface OutboundLLMRequest {
  employeeId: string;
  department: "FINANCE" | "ENGINEERING" | "LEGAL" | "HR";
  targetDomain: string;
  payloadText: string;
  estimatedTokens: number;
}

interface GovernanceDecision {
  allowed: boolean;
  isShadowAI: boolean;
  redactedPayload?: string;
  routedProvider: string;
  estimatedCostUSD: number;
  violationReason?: string;
}

export class EnterpriseAIGovernanceGateway {
  private approvedDomains = new Set(["api.internal-llm.company.tr", "azure-tr.openai.enterprise"]);
  
  // KVKK / Kurumsal Sır yakalayıcı deterministik desenler (TCKN, IBAN, Kaynak Kod Anahtarları)
  private sensitivePatterns: Record<string, RegExp> = {
    TR_IDENTITY_NO: /\b[1-9][0-9]{10}\b/g,
    TR_IBAN: /\bTR[0-9]{2}\s?([0-9]{4}\s?){5}[0-9]{2}\b/gi,
    PRIVATE_KEY_HEADER: /-----BEGIN (RSA|OPENSSH|EC) PRIVATE KEY-----/g
  };

  public inspectAndRoute(req: OutboundLLMRequest): GovernanceDecision {
    const isShadow = !this.approvedDomains.has(req.targetDomain);
    let sanitizedText = req.payloadText;
    const detectedLeaks: string[] = [];

    // 1. Adım: DLP (Veri Sızıntısı Önleme) ve KVKK Maskeleme
    for (const [leakType, regex] of Object.entries(this.sensitivePatterns)) {
      if (regex.test(sanitizedText)) {
        detectedLeaks.push(leakType);
        sanitizedText = sanitizedText.replace(regex, `[REDACTED_${leakType}]`);
      }
    }

    // 2. Adım: Shadow AI Tespiti ve Otonom Yönlendirme (Interception)
    if (isShadow) {
      if (detectedLeaks.includes("PRIVATE_KEY_HEADER")) {
        return {
          allowed: false,
          isShadowAI: true,
          routedProvider: "BLOCKED",
          estimatedCostUSD: 0,
          violationReason: `Kritik güvenlik ihlali: Kayıt dışı AI servisine (${req.targetDomain}) özel anahtar gönderimi engellendi.`
        };
      }

      // Çalışanın isteğini tamamen kırmak yerine, maskelenmiş veriyi kurum içi güvenli vLLM kümesine yönlendir
      return {
        allowed: true,
        isShadowAI: true,
        redactedPayload: sanitizedText,
        routedProvider: "on-prem-vllm-cluster.company.tr (Auto-Rerouted)",
        estimatedCostUSD: this.calculateCost(req.estimatedTokens, "ON_PREM_GPU"),
        violationReason: detectedLeaks.length > 0 
          ? `Shadow AI yakalandı (${req.targetDomain}). KVKK verileri (${detectedLeaks.join(", ")}) maskelenerek yerel modele yönlendirildi.`
          : `Shadow AI trafiği kurumsal güvenli ağ geçidine yönlendirildi.`
      };
    }

    // 3. Adım: Onaylı trafik için FinOps Maliyet Telemetrisi
    return {
      allowed: true,
      isShadowAI: false,
      redactedPayload: sanitizedText,
      routedProvider: req.targetDomain,
      estimatedCostUSD: this.calculateCost(req.estimatedTokens, "ENTERPRISE_CLOUD")
    };
  }

  private calculateCost(tokens: number, tier: "ON_PREM_GPU" | "ENTERPRISE_CLOUD"): number {
    const ratePerMillion = tier === "ON_PREM_GPU" ? 0.45 : 3.50;
    return Number(((tokens / 1_000_000) * ratePerMillion).toFixed(6));
  }
}

Bu mimari yaklaşım, kurumdaki çalışanı cezalandırıp verimliliğini düşürmek yerine, kayıt dışı (isShadowAI: true) trafiği havada yakalayıp KVKK kapsamında hassas verileri maskeleyerek ([REDACTED]) kurumun kendi onaylı model kümesine yönlendirir. TRAI haritasındaki altyapı girişimlerinin yatırımcılardan yoğun ilgi görmesinin temel sebebi, kurumsal adaptasyonu %14'ten %50+ seviyesine çıkaracak tek güvenli köprünün bu yönetişim katmanı olmasıdır.

4. Yazılımcılar, Mimarlar ve Girişimciler İçin 2027 Çıkarımları

TRAI Ekim 2026 Girişim Haritası'nda 504 girişime ulaşılması ve aynı dönemde 21 girişimin sahneden çekilmesi, Türkiye'deki teknoloji üreticileri için çok net bir manifesto niteliği taşıyor:

1. Yatay "Genel Asistan" Dönemi Kapandı, Dikey Derinlik Kazandı: Artık kimsenin "PDF'lerinizle sohbet edin" veya "Toplantılarınızı özetleyin" diyen 505. girişime ihtiyacı yok. Ancak Türk inşaat hukukundaki taşeron sözleşmelerini Yargıtay kararlarıyla çapraz sorgulayan bir LegalTech ajanına veya Türkiye'deki üretim tesislerinin ERP verisiyle konuşup otonom satın alma emri oluşturan bir Agentic AI sistemine pazar sonuna kadar açık.
2. Ajanlar Arası Orkestrasyon ve Deterministik Korkuluklar (Guardrails): Haritaya eklenen 10 yeni Agentic AI girişiminin ortak özelliği, LLM'in olasılıksal (probabilistic) doğasını kurumsal yazılımın deterministik kurallarıyla sınırlandırmalarıdır. Bir sistem mimarı olarak göreviniz artık sadece iyi model seçmek değil; ajanların hata yaptığında geri dönebileceği (rollback), insan onayına (Human-in-the-Loop) başvurabileceği ve bütçe sınırlarını aşamayacağı durum makineleri tasarlamaktır.
3. Altyapı, FinOps ve Shadow AI En Sağlam Hendektir (Moat): Altına hücum çağında kürek satanlar her zaman kazanır. Türkiye'de kurumsal AI kullanımı %14'ten yukarı tırmandıkça, her orta ve büyük ölçekli şirket; GPU maliyeti optimizasyonuna, yerel model sunumuna (vLLM, TensorRT-LLM) ve Shadow AI denetimine ihtiyaç duyacak.
4. Coğrafya Kader Değildir, Mimari Ölçeklenebilirliktir: Samsun, Bolu, Gebze veya Antalya'daki bir mühendislik ekibinin geliştirdiği ajanik altyapının, New York, Amsterdam veya Dubai üzerinden küresel pazara satılabildiği bir dönemdeyiz.

500 barajının aşılması Türkiye yapay zeka ekosistemi için niceliksel bir zaferdir; ancak elenen 21 girişimin dersini alıp rotasını otonom ajanlara, dikey uzmanlığa ve kurumsal yönetişim mimarisine çevirenler, bir sonraki harita güncellemesinin gerçek kazananları olacaktır.