Bu makalede
- SDAIA'nın tanımıyla vibe coding nedir?
- Temel kural: yapay zekâ çıktısı bir taslaktır
- Rehberin adlandırdığı 4 risk ve projenizde nasıl ortaya çıktıkları
- Yapay zekânın garanti etmediği 6 şey
- Kod müşterilerinize ulaşmadan önce 5 insan kontrol noktası
- Bu hafta geliştiricinize ya da tedarikçinize soracağınız sorular
- Origami'nin görüşü
- Kaynaklar
Uygulamanız, web siteniz ya da iç sisteminiz yapay zekâ araçlarıyla geliştirildiyse veya geliştiriciniz bu araçları kullanıyorsa, Suudi Veri ve Yapay Zekâ Otoritesi'nin (SDAIA) Nisan 2026'da yayımladığı «Vibe Coding» rehberi net bir kural koyuyor: yapay zekânın ürettiği her şey, bir insan onu inceleyip doğrulayana ve resmi olarak onaylayana kadar onaylanmamış bir taslaktır. Rehber 57 sayfadan oluşuyor, hem kamu hem özel sektördeki teknik ekiplere hitap ediyor, 4 ana risk ile 6 temel sınırlamayı adlandırıyor ve kod müşterilerinize ulaşmadan önce bir insanın devreye girmesi gereken 5 noktayı belirliyor. Bu yazıda rehberi, bu hafta ekibinize ya da tedarikçinize soracağınız pratik sorulara dönüştürüyoruz.
SDAIA'nın tanımıyla vibe coding nedir?
Rehber vibe coding'i (Arapçada «al-barmaja al-tawlidiya», üretken programlama) kullanıcıların ne istediklerini gündelik dille anlattığı ve kodu yapay zekâ araçlarının yazdığı bir yaklaşım olarak tanımlıyor. Yazmanın ötesine geçerek ajan tabanlı yapay zekâ dediği şeye uzanıyor: kodu kendi başına oluşturan, testleri çalıştıran ve dağıtımı yöneten araçlar; önemli kararları ise bir insan yönlendiriyor.
Rehber kullanımı 3 alana ayırıyor: tasarım ve kullanıcı deneyimi (fikirler ve prototipler), programlama (kod yazma ve iyileştirme) ve test (test planları, test verileri ve hata analizi). Microsoft'un bu araçların şirket içinde üretilen kodun yaklaşık 30%'unu oluşturduğunu, Google'ın ise yeni kodunun yaklaşık 25%'inin yapay zekâ tarafından üretilip birleştirilmeden önce insanlarca incelendiğini söylediğini aktarıyor. Mesaj açık: en büyük şirketler bu araçları her gün kullanıyor, ama bir inceleme sisteminin içinde.
Temel kural: yapay zekâ çıktısı bir taslaktır
Rehberdeki ilk tanım «yapay zekâ tarafından üretilmiş taslak»tır: sistemin ürettiği her çıktı, insan incelemesinden, doğrulamadan ve onaydan geçene kadar onaylanmamış bir ilk taslak olarak kalır. «Human-in-the-loop» (döngüdeki insan) ilkesini kendi yöntemi içinde zorunlu bir yönetişim ilkesi olarak tanımlıyor. Ayrıca yapay zekâ araçlarına önemli operasyonel, hukuki ya da ticari etkisi olabilecek yürütme yetkileri verildiğinde insan müdahalesinin zorunlu hâle geldiğini ekliyor.
İşletme sahibinin diliyle: bir yapay zekâ aracı kimse onay vermeden uygulamanıza güncelleme yayımlayabiliyor ya da müşteri veritabanınızı değiştirebiliyorsa, rehberin uyardığı şey tam olarak budur. Açık olmak gerekirse rehber yol göstericidir, yaptırımı olan bir düzenleme değildir; ancak bu araçların «sorumlu kullanımı» sayılan şeye dair bugüne kadarki en net resmi Suudi referanstır ve Ulusal Yapay Zekâ Risk Yönetimi Çerçevesini tamamlar.
Rehberin adlandırdığı 4 risk ve projenizde nasıl ortaya çıktıkları
- Halüsinasyon: sağlam görünen ama var olmayan API'leri çağıran ya da hayali veya desteklenmeyen paket ve kütüphaneler öneren kod. Sonuç, diğer sistemlerinizle entegrasyon hataları ve birisi önerilen bir paketi kontrol etmeden adıyla kurarsa olası bir güvenlik açığıdır.
- Aşırı güven: üretilen kodu güvenlik ya da işlev incelemesi yapmadan kabul etmek veya doğrudan müşterilerinizin kullandığı canlı ortama taşımak.
- Yüzeysel kapsam: açıkları kaçıran genel bir güvenlik analizi ve eksik testler; size her şeyin yolunda olduğuna dair yanlış bir his verir.
- Deterministik olmayan çıktı: aynı komut her seferinde farklı kod üretir; bu da sonuçları tekrarlamayı ve denetlemeyi zorlaştırır.
Yapay zekânın garanti etmediği 6 şey
Rehber 6 temel sınırlama sıralıyor: yapay zekâ işinizin amacını yalnızca sizin açıkça yazdığınız kadar anlar; kurumunuza özgü riskleri ya da öncelikleri değerlendiremez; mimari düşüncenin ve tasarım kararlarının yerini tutmaz; kodun doğru ya da gerçek kullanıma uygun olduğunu garanti etmez; her zaman aynı sonuçları üretmez; ve çıktısı ne resmi bir test kanıtıdır ne de gerçek testlerin yerine geçer. Rehber bunu açıkça söylüyor: doğrulama, test ve onay sorumluluğu «tamamen insana aittir».
Kod müşterilerinize ulaşmadan önce 5 insan kontrol noktası
- Her kod değişikliğini ana dala birleştirmeden önce incelemek.
- Her sürümün yayına hazır olup olmadığını dağıtımdan önce değerlendirmek.
- Yayına alma ya da geri alma kararını denetlemek.
- Canlı ortamdaki her beklenmedik davranışı açıklamak.
- Geliştirme planlarını ve uzun vadeli teknik yol haritasını onaylamak.
Bu hafta geliştiricinize ya da tedarikçinize soracağınız sorular
- Yapay zekânın yazdığı kodu birleştirmeden önce kim inceliyor ve her değişiklik için kayıtlı bir inceleme var mı?
- Testler gerçekten sistem üzerinde çalıştırılıyor mu, yoksa araç yalnızca kodun çalıştığını mı «söyledi»?
- Yapay zekâ araçlarının hangi yetkileri var? Yayına alabiliyor ya da gerçek veritabanına erişebiliyorlar mı? (Saldırganın komutunu çalıştıran kodlama ajanlarına ne olduğuna bakın.)
- Test verileri sentetik mi? Rehber, gizlilik kurallarına uyan ve gerçek ya da hassas verilerin kullanılmasını engelleyen test verileri istiyor; bu, müşterilerinizin kişisel verileri için önemlidir.
- Bir sürümü yayına girmeden önce kim onaylıyor ve bir şey bozulursa geri alma kararını kim veriyor?
Bu beş sorudan üçüne net bir yanıt alamıyorsanız sorun yapay zekâ aracında değil, çalışma biçimindedir. Yeni bir geliştirme ortağı seçiyorsanız bu soruları yazılım şirketi seçme kriterlerinize ekleyin.
Origami'nin görüşü
Tasarımda, programlamada ve testte yapay zekâ araçlarını kullanıyoruz, çünkü müşterilerimize gerçek zaman kazandırıyorlar. Ama yazdıklarını tam olarak SDAIA rehberinin tarif ettiği gibi ele alıyoruz: bir taslak olarak. Her değişiklik bir geliştiricinin incelemesinden geçiyor, testler gerçekten çalıştırılıyor, gerçek müşteri verileri test ortamına hiç girmiyor ve yayına alma kararını bir insan veriyor. İncelemesiz hızın bedeli sonradan kesintiler ve güvenlik açıklarıyla ödenir. Yapay zekâyla bir prototip yaptıysanız ve onu müşterilerinizin güvenebileceği bir sisteme dönüştürmek istiyorsanız bizimle konuşun.
Kaynaklar
Sık sorulan sorular
SDAIA'nın vibe coding rehberi şirketim için bağlayıcı mı?
Rehber yol gösterici niteliktedir, yaptırımı olan bir düzenleme değildir ve kamu ile özel sektördeki teknik ekiplere yöneliktir. Yine de yapay zekâ ile kodlama araçlarının sorumlu kullanımına dair en net resmi Suudi referanstır ve insan incelemesini kendi yöntemi içinde zorunlu bir yönetişim ilkesi olarak tanımlar.
Geliştirici olmadan yapay zekâyla eksiksiz bir uygulama yapabilir miyim?
Bir fikri denemek için hızlı bir prototip yapabilirsiniz. Müşterilerinizin bağlı olduğu bir sistem için ise rehber, yapay zekânın kodun doğru ya da kullanıma uygun olduğunu garanti etmediğini ve doğrulama, test ve onay sorumluluğunun tamamen insana ait olduğunu söyler; bu yüzden yayından önce inceleyecek bir geliştiriciye ihtiyacınız var.
Yapay zekânın yazdığı koddaki en büyük risk nedir?
Rehber 4 risk sayar: var olmayan kütüphaneler ya da API'ler önermek gibi halüsinasyon; kodu güvenlik incelemesi olmadan canlıya almak gibi aşırı güven; analiz ve testlerde yüzeysel kapsam; ve her seferinde değişen çıktılar.
Geliştiricimin yapay zekânın ürettiği kodu incelediğinden nasıl emin olurum?
Rehberdeki 5 kontrol noktasını sorun: her değişikliği birleştirmeden önce incelemek, sürümün hazır olup olmadığını değerlendirmek, yayına almayı ya da geri almayı onaylamak, beklenmedik davranışı açıklamak ve geliştirme planını onaylamak. İnceleme ve test kayıtlarının yalnızca söz olarak kalmamasını, kayıt altına alınmasını isteyin.
