Otomasyonun Meşruiyeti: RPA’nın Hukuki Statüsü ve Yapay Zekâdan Ayrışan Sorumluluk Çerçevesi

Bir muhasebe departmanında her ay aynı faturaları aynı sırayla giren, bir bankada müşteri talimatını sistemden sisteme kopyalayan ya da bir sigorta şirketinde poliçe verilerini eşleştiren yazılım robotları artık sıradan bir iş gerçekliği haline gelmiştir. Bu robotlara verilen isim çoğunlukla “Robotic Process Automation” (RPA); Türkçesiyle robotik süreç otomasyonu. Ne var ki son yıllarda yapay zekâ regülasyonu etrafında şekillenen tartışma ortamı, RPA’yı da aynı kategoriye yerleştirme eğilimindedir. Bir şirket “otomasyon kullanıyoruz” ifadesini kullandığı anda, sanki bir algoritmik karar verici ya da opak bir “kara kutu” işletiyormuş gibi bir hukuki şüpheyle karşılaşabilmektedir. Oysa RPA, kural tabanlı ve deterministik biçimde çalışır; insan tarafından önceden tanımlanmış adımları, insan denetiminde ve insan tarafından her an değiştirilebilir şekilde yürütür. Bu yapısal fark, yapay zekânın tetiklediği hesap verebilirlik, şeffaflık ve öngörülemezlik tartışmalarının büyük kısmının RPA için geçerli olmadığını göstermektedir. Bu çalışma, öncelikle RPA’nın akademik ve teknik tanımını netleştirecek, ardından bu teknolojinin yapay zekâdan ayrışan hukuki statüsünü ve sorumluluk çerçevesini ortaya koyacaktır.

Robotik süreç otomasyonu, akademik yazında ilk olarak işletme bilişim sistemleri alanında sistematik biçimde tanımlanmıştır. van der Aalst, Bichler ve Heinzl, RPA’yı kullanıcı arayüzü üzerinden, bir insanın yapacağı şekilde diğer bilgisayar sistemleriyle etkileşime giren yazılım araçları için kullanılan şemsiye bir terim olarak tanımlamakta ve bu teknolojinin klasik iş akışı yönetiminden temel bir farkını vurgulamaktadır: RPA, altyapıdaki bilgi sistemini değiştirmeden, “dıştan içe” bir yaklaşımla çalışır. Aynı çalışmada aktarılan Gartner tanımına göre RPA araçları, yapılandırılmış veriler üzerinde “eğer… ise… değilse” mantığıyla çalışan işlemleri, kullanıcı arayüzü etkileşimleri veya API bağlantıları yoluyla yürütmektedir. Bu tanımın merkezinde yatan unsur açıktır: RPA, önceden insan tarafından kodlanmış kurallara bağlıdır ve girdi verisinden kendi başına çıkarım yapmaz. Nitekim sistematik bir literatür taramasında da RPA’nın rutin görevleri, yapılandırılmış verileri ve deterministik sonuçları içeren uzun kuyruklu süreçleri otomatikleştirmeyi hedefleyen destekleyici bir çerçeve olduğu belirtilmiş, bu sistemlerin açık kural ve konfigürasyon kodlamasına dayandığı, kendi kendine öğrenme yeteneğine sahip olmadığı ve hangi eylemin hangi sürece ait olduğunu ya da hangi süreçlerin otomasyona uygun olduğunu kendiliğinden anlayamadığı özellikle belirtilmiştir. Bu teknik çerçeve, ilerleyen bölümlerde ele alınacak hukuki analizin temelini oluşturmaktadır: bir sistemin “ne yaptığı” değil “nasıl çalıştığı” hukuki nitelendirmeyi belirler.

RPA ile yapay zekâyı birbirinden ayıran nokta, çoğu zaman düşünüldüğü gibi “otomasyon seviyesi” değil, sistemin çıktı üretme biçimidir. Yapay zekâ ve özellikle makine öğrenmesi temelli sistemler, girdi verisinden istatistiksel çıkarım yaparak sonuç üretir; bu çıkarım süreci, sistemi tasarlayan mühendisler için bile tam olarak izlenebilir değildir. Burrell, bu durumu opaklığın üç farklı türüyle açıklamaktadır: kasıtlı kurumsal ya da devlet sırrı olarak opaklık, teknik bilgisizlikten kaynaklanan opaklık ve makine öğrenmesi algoritmalarının karakteristik özelliklerinden ve bu algoritmaların işe yarar biçimde uygulanabilmesi için gereken ölçekten kaynaklanan opaklık. Bu üçüncü tür opaklık, RPA için söz konusu değildir; çünkü RPA bir “if-then-else” mantığını yürütür ve bu mantığın her adımı, onu yapılandıran kişi tarafından önceden yazılmıştır. Bu fark yalnızca teknik değil, doğrudan hukuki sonuç doğuran bir farktır: bir sistemin davranışı önceden öngörülebiliyor ve denetlenebiliyorsa, o sistemin ürettiği sonuçtan kimin sorumlu olduğu sorusu da klasik hukuki araçlarla cevaplanabilir hale gelir. Yapay zekâda bu sorumluluk zincirini kurmak zorlaşır, çünkü sistemin “neden” o kararı verdiği bazen geliştiricisi tarafından da tam olarak açıklanamaz.

RPA’nın deterministik yapısı, hukuki avantajını yalnızca şeffaflıkla sınırlı bırakmaz; veri güvenliği ve veri yerelliği bakımından da köklü bir fark yaratır. Bir yapay zekâ sistemi, özellikle büyük dil modeli tabanlı bir sistem, çoğunlukla bulut üzerinden çalışan bir sağlayıcıya veri göndererek çıkarım yapar; bu veri akışı, KVKK’nın 2024’te değişen 9. maddesi ve buna dayalı Yönetmelik kapsamında “yurt dışına veri aktarımı” sayılabilir ve yeterlilik kararı, uygun güvence ya da açık rıza gibi ek şartların yerine getirilmesini gerektirir. Bankacılık sektöründe bu tablo daha da katılaşır: BDDK’nın İç Sistemler Yönetmeliği, bankaların birincil ve ikincil bilgi sistemlerinin, bu sistemlere dış hizmet ya da bulut bilişim yoluyla erişilse dahi, yurt içinde bulundurulmasını zorunlu kılmakta, ayrıca 5411 sayılı Bankacılık Kanunu’nun 73. maddesi müşteri sırrı niteliğindeki bilgilerin üçüncü kişilerle paylaşılmasını sıkı şekilde sınırlamaktadır. Bu çerçevede, bir bulut tabanlı yapay zekâ servisinin banka çekirdek sistemine veri okutması pratikte mümkün değildir; RPA ise zaten insan çalışanın görüntüleme yetkisine sahip olduğu ekranı, kod düzeyinde ve sistem dışına veri göndermeden okuyup taşıdığı için bu sınırlamaların dışında kalır. Ayrıca RPA’nın kural tabanlı doğası, yapay zekâ dil modellerinde belgelenmiş olan “halüsinasyon” riskini de taşımaz: Ji ve arkadaşlarının kapsamlı taramasında tanımlandığı üzere halüsinasyon, üretilen içeriğin akıcı ve tutarlı görünmesine karşın kaynakla desteklenmeyen ya da gerçeklikle çelişen bilgi üretmesi olarak tanımlanır; RPA ise bir şey “üretmez”, sadece önceden tanımlı bir eşleştirmeyi yürütür.

RPA’nın hukuki güvenilirliğinin arkasındaki en pratik unsur, belki de en az konuşulanıdır: her işlemin adım adım kayıt altına alınması. Bir RPA robotu bir fatura okuduğunda, bir alanı bir sisteme kopyaladığında ya da bir onay ekranına tıkladığında, bu eylemlerin her biri zaman damgalı bir log olarak tutulur; hangi adımda hangi veri işlendi, hangi kural tetiklendi, sonuç ne oldu. Huang ve Vasarhelyi, RPA’nın denetim alanındaki potansiyelini tam olarak bu özelliğe bağlar: robotların yürüttüğü süreçler, insan denetçiler için doğrudan izlenebilir bir kayıt zinciri üretir ve bu da hataların kaynağının hızlıca tespit edilmesini sağlar. Bu, yapay zekâ sistemleriyle karşılaştırıldığında kritik bir farktır. Bir model bir tahminde bulunduğunda, o tahminin “neden” o şekilde çıktığını geriye dönük olarak tam netlikte açıklamak çoğu zaman mümkün değildir; bu yüzden açıklanabilir yapay zekâ ayrı bir araştırma alanı olarak gelişmiştir. RPA’da böyle bir araştırma alanına ihtiyaç yoktur, çünkü açıklama zaten koddadır: kural yazılırken oradadır, çalışırken oradadır, hata olduğunda da oradadır. Bir şirket “otomasyonumuz bu işlemi neden bu şekilde yaptı” sorusuna saniyeler içinde, loglara bakarak cevap verebilir; bu da hem iç denetim hem dış denetim süreçlerini büyük ölçüde kolaylaştırır. Otomasyonun “kara kutu” olmaktan bu kadar uzak olması, ona yöneltilen hukuki şüphenin de büyük ölçüde yersiz olduğunu gösterir.

RPA’nın deterministik ve denetlenebilir olması, onu otomatik olarak hatasız kılmaz; asıl kritik değişken, robotu tasarlayan kişinin iş sürecini ne kadar iyi anladığıdır. Denagama Vitharanage ve arkadaşlarının Computers in Industry’de yayımlanan çalışması, 19 uzmanla yapılan görüşmeler ve sistematik literatür taraması sonucunda RPA’ya özgü 32 kritik başarı faktörü belirlemiş ve bunların arasında “iş birimi ile BT uzmanlarının sürece erken dahil edilmesi”ni RPA’ya özgü, teknolojiye bağlı bir başarı koşulu olarak öne çıkarmıştır. Benzer şekilde, Business Process Management Journal’da yayımlanan bir başka çalışma da RPA’nın dezavantajları arasında “süreç bilgisinin kaybı” riskine dikkat çekmekte ve başarılı bir RPA uygulamasının insani, organizasyonel ve teknik faktörlerin bir bütünü olarak ele alınması gerektiğini savunmaktadır. Bunun hukuki tarafı da göz ardı edilmemelidir: bir RPA robotu, kendisini kodlayan kişinin süreci nasıl anladığından fazlasını bilemez. Süreci yanlış anlayan bir geliştirici, teknik olarak “çalışan” ama hukuken hatalı bir otomasyon üretebilir. Bu, yapay zekâ tartışmalarında sık vurgulanan “algoritmik önyargı” riskinden farklıdır; burada sorun, sistemin doğasında değil, süreç tasarımının kalitesindedir. Bu da RPA’yı savunan tezi bir adım daha güçlendirir, çünkü RPA’da hukuki risk teknolojinin kendisinden değil, onu kuran insanın iş bilgisinden kaynaklanır; bu da klasik, bilinen ve yönetilebilir bir insan kaynağı meselesidir, yapay zekâda tartışılan türden yapısal bir belirsizlik değildir.

RPA’nın neden farklı bir hukuki muameleye tabi olması gerektiğini anlamak için, önce yapay zekâ hukukunun asıl kaygısının nereden geldiğine bakmak gerekir. Citron, kamu idaresinin otomatik karar sistemlerine geçişini incelediği çalışmasında, bu sistemlerin geleneksel usul güvencelerini nasıl aşındırdığını ortaya koymuştur; ona göre otomatik sistemler bireysel uyuşmazlık çözümü ile genel kural koyma işlevlerini birleştirirken, ikisinin de usul güvencelerinden yoksun kalmaktadır, çünkü kararı artık kod belirlemekte ve programcılar bu kuralları, kamuoyunun, seçilmiş yetkililerin ve mahkemelerin denetleyemeyeceği şekilde değiştirebilmektedir. Citron ve Pasquale, bu tartışmayı kredi skorlama gibi özel sektör uygulamalarına taşıdığı çalışmasında, opak skorlama sistemlerinin damgaladığı bireyler için usuli düzenliliğin esas olduğunu ve düzenleyicilerin bu sistemlerin adilliğini ve doğruluğunu test edebilmesi gerektiğini savunmuştur. Bu iki çalışmanın ortak paydası, sorunun kaynağının “otomasyon” değil, otomasyonun opaklığı olduğudur: sistemin nasıl bir sonuca ulaştığının ne düzenleyici ne de etkilenen kişi tarafından izlenebilmesidir. Bu, tam olarak RPA’nın yapısal olarak sahip olmadığı bir özelliktir: RPA’da karar, kod yazılırken zaten görünür ve tartışılabilir haldedir; robot, kuralı “öğrenmez”, sadece uygular. Dolayısıyla Citron’un ve Citron-Pasquale’in tespit ettiği hesap verebilirlik krizi, tanım gereği kural tabanlı sistemlere değil, çıkarım yapan sistemlere işaret etmektedir.

Avrupa veri koruma hukukunun otomasyona yaklaşımı, aslında RPA’yı büyük ölçüde koruyan bir eşik içerir. GDPR’nin 22. maddesi, bir kişi hakkında hukuki sonuç doğuran ya da onu benzer şekilde önemli ölçüde etkileyen kararların, “münhasıran otomatik işlemeye dayalı olarak” alınmasını yasaklar; İngiltere Bilgi Komiserliği’nin (ICO) rehberliğine göre bir sürecin “münhasıran otomatik” sayılması için, karar alma sürecinde hiçbir insan müdahalesinin bulunmaması gerekir. Ayrıca bu insan müdahalesinin “anlamlı” olması şart koşulmuştur; yani kararı gözden geçiren kişinin, kararı geçersiz kılabilecek yetkiye ve ilgili tüm veriyi değerlendirebilecek bilgiye sahip olması gerekir, salt biçimsel bir onay bu eşiği karşılamaz. Veale ve arkadaşlarının HCI literatüründe vurguladığı gibi, düzenleyici rehberlik bu “anlamlı” müdahaleyi yetki ve yetkinliğe sahip birinin modelin çıktısını “rutin olarak” uygulamaması şeklinde tanımlamaktadır. RPA açısından bakıldığında bu eşik iki yönden avantajlıdır: birincisi, RPA çoğunlukla insan kararını destekleyen ya da önceden alınmış bir insan kararını uygulayan bir araç olarak konumlanır, kendisi yeni bir “karar” üretmez; ikincisi, tam otomatik bir sürece karar verildiğinde bile RPA’nın kural tabanlı yapısı, madde 22(3)’te güvence altına alınan “insan müdahalesi talep etme, görüşünü ifade etme ve kararı itiraz etme” haklarının uygulanmasını teknik olarak kolaylaştırır, çünkü hangi kuralın işletildiği zaten kayıtlıdır. Türk hukukunda KVKK m. 11/1-g’de düzenlenen “münhasıran otomatik sistemler ile analiz edilmesi suretiyle aleyhe bir sonucun ortaya çıkmasına itiraz etme hakkı” da aynı mantıkla işler ve RPA’nın şeffaf yapısı bu itiraz hakkının fiilen kullanılabilir olmasını güvence altına alır.

Avrupa Birliği’nin yapay zekâya ilişkin kapsamlı düzenlemesi olan (EU) 2024/1689 sayılı Tüzük, bu makalenin savunduğu ayrımı doğrudan pozitif hukuka taşıyan en açık örnektir. Tüzüğün 3(1) maddesi “yapay zekâ sistemi”ni, “değişen düzeylerde özerklikle çalışacak şekilde tasarlanmış, konuşlandırma sonrasında uyarlanabilirlik gösterebilen ve açık ya da örtük hedefler doğrultusunda, aldığı girdiden çıktı üretme yolunu çıkarsayan makine temelli bir sistem” olarak tanımlar. Tüzüğün 12. gerekçesi bu tanımı daha da netleştirir: yapay zekâ sistemi kavramının amacı, bu sistemleri “daha basit, geleneksel yazılım sistemlerinden veya programlama yaklaşımlarından” ayırmaktır ve bu kavram, “yalnızca gerçek kişiler tarafından tanımlanan kurallara dayanarak işlemleri otomatik olarak yürüten sistemleri” kapsamamaktadır. Avrupa Komisyonu’nun bu tanıma ilişkin resmî rehberinde de “çıkarsama” yeteneğinin, bir sistemi yapay zekâ sistemi sayılmaktan ayıran vazgeçilmez unsur olduğu vurgulanmıştır. Bu düzenleme, RPA’nın hukuki konumu için doğrudan bir kapsam dışı bırakma anlamına gelir: bir RPA robotu, tanım gereği “gerçek kişiler tarafından önceden tanımlanmış kurallara” dayanır ve girdiden çıktı üretme yolunu kendisi çıkarsamaz, bu yolu zaten bilir. Dolayısıyla RPA, AB’nin en kapsamlı yapay zekâ düzenlemesinin dahi öngördüğü risk kategorilerinin hiçbirine girmeden önce, tanım aşamasında sistem dışında kalmaktadır.

RPA’nın hukuki savunulabilirliği bir yana, şirketler bu teknolojiyi büyük ölçüde somut operasyonel kazançlar için benimsemektedir. Londra Ekonomi Okulu’nun Outsourcing Unit araştırma grubunda Lacity, Willcocks ve Craig’in yürüttüğü saha çalışmaları (Telefónica O2, Xchanging, Royal DSM ve SEB Bank gibi kurumlardaki gerçek uygulamaları inceleyen vaka analizleri), RPA’nın sıkça tekrarlanan, kural tabanlı ve yüksek hacimli işlemlerde işlem süresini kısalttığını, hata oranını düşürdüğünü ve personel yükünü azalttığını göstermiştir. Akademik yazında RPA’nın vaat ettiği faydalar sistematik olarak süreç performansı, verimlilik, ölçeklenebilirlik, denetlenebilirlik, güvenlik ve uyum başlıkları altında toplanmakta, ayrıca bu faydaların klasik iş süreci otomasyon projelerine kıyasla düşük maliyetle ve hızlı biçimde elde edilebildiği vurgulanmaktadır. Lacity ve Willcocks’un MIT Sloan Management Review’da yayımlanan çalışması, bu kazancın yalnızca maliyet tasarrufuyla sınırlı olmadığını, robotların insan çalışanları sıkıcı ve tekrara dayalı görevlerden kurtararak onların daha yüksek katma değerli işlere yönelmesini sağladığını da öne sürmektedir. Bankacılık sektörüne özgü bir incelemede ise RPA’nın işlem sürelerini ve operasyonel maliyetleri azaltarak kaynakların daha etkin dağıtılmasına imkân verdiği, veri doğruluğunu ve tutarlılığını artırarak uyum ve raporlama süreçlerini güçlendirdiği ortaya konmuştur.

Akademik literatürün RPA’ya atfettiği güvenilirlik ve denetlenebilirlik avantajı, girişimcilik ve teknoloji yatırımı dünyasının kendi deneyimiyle de örtüşmektedir. Özellikle üretici yapay zekâ modellerinin bir API çağrısı etrafında ince bir arayüz olarak paketlendiği “wrapper” girişimlerin, temel modelin kendisi geliştikçe ya da rakipler aynı modele erişim sağladıkça hızla değer kaybettiği, buna karşılık bir işletmenin mevcut süreçlerine derinlemesine entegre olan, öngörülebilir ve güvenilir çalışan otomasyon çözümlerinin daha kalıcı bir rekabet avantajı sağladığı yönünde bir sektörel görüş oluşmuştur. Bu gözlem, makalenin savunduğu tezi bir teknoloji yatırımı perspektifinden de doğrular niteliktedir: piyasa, “ne kadar akıllı görünüyor” sorusundan çok, “ne kadar güvenilir ve tekrarlanabilir çalışıyor” sorusuna değer vermektedir.

Buraya kadar ortaya konan bulgular, tek bir noktada birleşmektedir: RPA’ya yöneltilen hukuki şüphe, teknolojinin kendisinden değil, “otomasyon” kelimesinin yapay zekâ ile karıştırılmasından kaynaklanmaktadır. Akademik tanım düzeyinde RPA, önceden insan tarafından kodlanmış, deterministik kurallarla çalışır ve çıkarım yapmaz; bu da onu, Citron ve Citron-Pasquale’in tarif ettiği opaklık ve hesap verilemezlik krizinin dışında tutar. Düzenleyici düzeyde AB’nin AI Act’i, RPA’yı tanım aşamasında “yapay zekâ sistemi” kapsamının dışına yerleştirir; GDPR m. 22 ve KVKK m. 11/1-g’nin “münhasıran otomatik karar” eşiği de RPA’nın şeffaf, denetlenebilir ve insan müdahalesine açık yapısıyla kolayca uyumlu hale gelir. Sorumluluk hukuku düzeyinde RPA’nın hatası, izlenebilir bir kural tasarımı sorununa indirgenir; bu da onu klasik, bilinen hukuki araçlarla yönetilebilir kılar. Operasyonel düzeyde ise akademik saha çalışmaları ve sektörün kendi deneyimi, RPA’nın somut, ölçülebilir ve kalıcı bir değer ürettiğini göstermektedir. Bütün bu katmanlar üst üste konduğunda ortaya çıkan tablo şudur: RPA, yapay zekâ regülasyonunun cevap aradığı sorunları zaten yapısal olarak taşımayan bir teknolojidir; ona yapay zekâ ile aynı hukuki çerçeveden bakmak, hem gereksiz bir düzenleyici yük yaratır hem de gerçek riskin (insanın süreci yanlış tasarlaması) üzerini gölgeler.

Türkiye’nin yapay zekâ düzenlemesine yaklaşımı, henüz oturmuş bir kanun metnine değil, birbirini tamamlayan birkaç düzenleyici hamleye dayanmaktadır ve bu hamlelerin hiçbiri şimdiye dek RPA türü kural tabanlı otomasyonu hedef almamıştır. Cumhurbaşkanlığı Dijital Dönüşüm Ofisi’nin koordinasyonunda hazırlanan Ulusal Yapay Zekâ Stratejisi 2024-2025 Eylem Planı, esas olarak üretken yapay zekâ teknolojilerinin geliştirilmesi, Türkçe büyük dil modelleri, yüksek başarımlı hesaplama altyapısı ve iş gücünün dönüşümü gibi başlıklara odaklanmakta; yani stratejik ilgi, çıkarım yapan ve üreten sistemler etrafında şekillenmektedir. Eylül 2025’te TBMM’ye sunulan Yapay Zekâ Kanun Teklifi de aynı eksende ilerlemektedir: teklif, yapay zekâ sistemlerinin eğitildiği verilerde ırk, cinsiyet, etnik köken gibi kişisel özelliklere dayalı ayrımcı veri kümelerinin kullanımını yasaklamayı, derin sahte içeriklerin etiketlenmesini zorunlu kılmayı ve BTK’ya kamu düzenini tehdit eden yapay zekâ içeriklerine karşı acil müdahale yetkisi vermeyi öngörmektedir; bunların hepsi, veriden çıkarım yapan ya da içerik üreten sistemlere işaret eder, kuralları önceden insan tarafından yazılmış ve içerik üretmeyen RPA robotları bu tanımların doğal kapsamına girmez. Kişisel Verileri Koruma Kurumu’nun Mart 2026’da yayımladığı “İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı” başlıklı bilgilendirme dokümanı da yine üçüncü taraf, kamuya açık üretken yapay zekâ araçlarının işyerinde kullanımına özgülenmiştir ve şirket içi, insan tarafından tanımlanmış kurallarla çalışan otomasyon araçlarını kapsam dışında bırakmaktadır. Bu tablo, AB’nin AI Act’inde görülen “çıkarım yapan sistem” eksenli tanımın Türk düzenleyici gündeminde de tekrarlandığını göstermektedir; dolayısıyla RPA’yı benimseyen Türkiye merkezli şirketler için düzenleyici risk, mevcut ve öngörülebilir gelecekte, KVKK’nın veri işleme ve yurt dışına aktarım hükümleriyle sınırlı kalmakta, yeni nesil yapay zekâ düzenlemelerinin kapsamına girmemektedir.

Bu makale boyunca savunulan tez, tek bir cümleye indirgenebilir: otomasyonu yapay zekâ ile aynı hukuki terazide tartmak, ikisinin de doğasını yanlış anlamaktan kaynaklanan bir hatadır. RPA, akademik tanımı itibarıyla kural tabanlı ve deterministiktir; bir şeyi öğrenmez, çıkarım yapmaz, sadece önceden insan tarafından yazılmış adımları yürütür. Bu yapısal özellik, yapay zekâ hukukunun merkezinde yer alan opaklık, hesap verilemezlik ve öngörülemezlik sorunlarını RPA için büyük ölçüde anlamsız kılar. Bu durum tesadüfi değildir: AB’nin AI Act’i RPA’yı tanım aşamasında kapsam dışında bırakır, GDPR m. 22 ve KVKK m. 11/1-g’nin “münhasıran otomatik karar” eşiği RPA’nın şeffaf yapısıyla kolayca uyumlu hale gelir, Türkiye’nin güncel düzenleyici gündemi de aynı eksende ilerlemektedir. Sorumluluk hukuku bakımından RPA’nın hatası, izlenebilir bir tasarım sorununa indirgenir ve klasik araçlarla yönetilebilir. Operasyonel düzeyde ise hem akademik saha çalışmaları hem sektörün kendi deneyimi, RPA’nın somut, ölçülebilir ve kalıcı bir değer ürettiğini teyit etmektedir. Bütün bunların ortak sonucu, şirketlerin ve düzenleyicilerin RPA’yı değerlendirirken sorması gereken doğru sorunun “bu bir otomasyon mu” değil, “bu sistem girdiden çıktı üretme yolunu kendisi mi belirliyor, yoksa önceden tanımlanmış bir kuralı mı uyguluyor” olduğudur. RPA’yı savunmak, yapay zekâyı küçümsemek değildir; iki farklı teknolojiye, iki farklı hukuki muamele gerektiğini teslim etmektir.

Kaynakça

1. Aguirre, S., & Rodriguez, A. (2017). Automation of a Business Process Using Robotic Process Automation (RPA): A Case Study. İçinde Applied Computer Sciences in Engineering (WEA 2017). Springer.
2. Bankacılık Düzenleme ve Denetleme Kurumu. Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik, RG 15.3.2020/31069.
3. Burrell, J. (2016). How the machine ‘thinks’: Understanding opacity in machine learning algorithms. Big Data & Society, 3(1), 1-12.
4. Citron, D. K. (2008). Technological Due Process. Washington University Law Review, 85(6), 1249-1313.
5. Citron, D. K., & Pasquale, F. A. (2014). The Scored Society: Due Process for Automated Predictions. Washington Law Review, 89(1), 1-33.
6. Cumhurbaşkanlığı Dijital Dönüşüm Ofisi. (2024). Ulusal Yapay Zekâ Stratejisi 2024-2025 Eylem Planı.
7. Denagama Vitharanage, I., Bandara, W., Syed, R., & Toman, D. (2023). The Critical Success Factors for Robotic Process Automation. Computers in Industry, 145, 103646.
8. European Commission. (2025). Commission Guidelines on the definition of an artificial intelligence system established by Regulation (EU) 2024/1689 (AI Act).
9. Hofmann, P., Samp, C., & Urbach, N. (2020). Robotic process automation. Electronic Markets, 30, 99-106.
10. Huang, F., & Vasarhelyi, M. A. (2019). Applying robotic process automation (RPA) in auditing: A framework. International Journal of Accounting Information Systems, 35, 100433.
11. Information Commissioner’s Office (ICO). Rights related to automated decision making including profiling. UK GDPR Guidance.
12. Ji, Z., Lee, N., Frieske, R., Yu, T., Su, D., Xu, Y., Ishii, E., Bang, Y. J., Madotto, A., & Fung, P. (2023). Survey of Hallucination in Natural Language Generation. ACM Computing Surveys, 55(12), 1-38.
13. Kişisel Verileri Koruma Kurumu. (2025). Kişisel Verilerin Yurt Dışına Aktarılması Rehberi.
14. Kişisel Verileri Koruma Kurumu. (2026, 5 Mart). İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı (Bilgilendirme Dokümanı).
15. Lacity, M., & Willcocks, L. P. (2016). A New Approach to Automating Services. MIT Sloan Management Review, 58(1).
16. Lacity, M., Willcocks, L. P., & Craig, A. (2015). Robotic Process Automation at Telefónica O2. The Outsourcing Unit Working Research Paper Series, 15(2).
17. Regulation (EU) 2016/679 of the European Parliament and of the Council (General Data Protection Regulation), Article 22.
18. Regulation (EU) 2024/1689 of the European Parliament and of the Council (Artificial Intelligence Act), Article 3(1) and Recital 12.
19. Türkiye Büyük Millet Meclisi. (2025, 3 Eylül). Yapay Zekâ Kanun Teklifi, Esas No. 2/2234.
20. van der Aalst, W. M. P., Bichler, M., & Heinzl, A. (2018). Robotic Process Automation. Business & Information Systems Engineering, 60(4), 269-272.
21. Veale, M., Binns, R., & Van Kleek, M. (2018). Some HCI Priorities for GDPR-Compliant Machine Learning. arXiv:1803.06174.
22. 5411 sayılı Bankacılık Kanunu, m. 73.
23. 6698 sayılı Kişisel Verilerin Korunması Kanunu, m. 9, m. 11/1-g.