AI Kod Asistanı: Kurumsal Ekipte Verimlilik ve Güvenlik

AI kod asistanları (GitHub Copilot, Claude Code, Cursor ve benzerleri) iki yıl önce "otomatik tamamlama"ydı; bugün dosyalar arası refactor yapan, test yazan, komut çalıştıran ve pull request açan araçlar. Kurumsal ekiplerde soru artık "kullanalım mı" değil: kullanılıyor — resmi bir karar olsun ya da olmasın. Asıl soru, ekibin %20 hızlanması ile %20 daha fazla teknik borç üretmesi arasındaki farkı neyin belirlediğidir. Cevap araç değil, kurallardır.

Bu yazıda AI kod asistanlarının hangi işlerde gerçekten kazandırdığını, verimliliğin nasıl ölçüleceğini, veri, gizli bilgi ve lisans risklerini, kod inceleme ve depo kural dosyası pratiğini, agentic araçların güvenli kullanımını, ekip üzerindeki etkisini ve adım adım kurumsal devreye alma planını anlatıyoruz.

Nerede kazandırır, nerede kazandırmaz?

İş türü	Kazanç	Not
Tekrarlı kod: DTO, mapper, CRUD, yapılandırma, migration şablonu	Yüksek	En güvenli ve en ölçülebilir kazanç
Birim ve entegrasyon testi yazımı	Yüksek	Test kapsamı artar; "neyi test ettiğini" yine insan belirler
Legacy kodu anlama, açıklama, belgeleme	Yüksek	Modernizasyon projelerinde karakterizasyon için değerli
Çerçeve/kütüphane sürüm geçişleri (Spring Boot 2→3, JUnit 4→5)	Orta–yüksek	Mekanik dönüşümde iyi; davranış değişikliklerini gözden kaçırabilir
SQL, regex, bash, bilinmeyen API kullanımı	Yüksek	Doğrulama şart: yanlış ama çalışır görünen sorgu üretir
Mimari kararlar, sınır tasarımı, veri modeli	Düşük	Bağlamı bilmez; "makul görünen" ama yanlış varsayımlı tasarım önerir
Güvenlik kritik kod (kimlik doğrulama, şifreleme, yetki)	Düşük / riskli	Eğitim verisindeki yaygın hataları tekrar üretir
Domain iş kuralları (fiyatlandırma, mevzuat)	Düşük	Kural sizde; asistan yalnızca kodlar, doğruluğu bilmez
Performans ayarı, eşzamanlılık hataları	Düşük–orta	Ölçüm olmadan öneri; doğrulama insan işi

Kural: asistan, doğruluğunu kolayca doğrulayabileceğiniz işlerde kazandırır. Doğrulaması zor işlerde (mimari, güvenlik, iş kuralı) ürettiği hız, incelemede geri ödenir.

Verimlilik nasıl ölçülür?

"Üretilen satır sayısı" ve "kabul edilen öneri yüzdesi" satıcı metrikleridir; kurumsal değeri ölçmez. Ölçülmesi gerekenler: değişiklik teslim süresi (fikirden üretime), PR açılıştan birleşmeye geçen süre, üretim hata oranı ve değişiklik başarısızlık yüzdesi (DORA), test kapsamı eğilimi ve kod inceleme yükü (inceleme süresi artıyor mu?). Pilot tasarımı: 6–8 hafta, benzer iki ekip ya da aynı ekibin öncesi-sonrası, aynı metrikler. Sahada gördüğümüz tipik sonuç: tekrarlı işlerde belirgin hızlanma, toplam teslim süresinde %10–25 iyileşme, inceleme yükünde artış — inceleme sürecine yatırım yapılmazsa kazancın bir kısmı burada erir.

Güvenlik ve uyum riskleri

Kodun kurum dışına çıkması: Yalnızca kurumsal planlar (verinin modeli eğitmede kullanılmaması, sıfır/kısa saklama, SSO, denetim kaydı); bireysel hesaplar kurum deposunda yasak. Sözleşmede veri işleme ekini okuyun.
Gizli bilgi sızıntısı: Prompt'a yapıştırılan yapılandırma dosyasındaki şifre, API anahtarı; depoda gizli bilgi taraması (pre-commit + CI) ve .env, secrets/ gibi yolların asistan bağlamından dışlanması.
Kişisel veri: Gerçek müşteri verisi içeren log ve tablolar prompt'a girmez; KVKK kapsamında sentetik veri kullanılır.
Lisans ve fikri mülkiyet: Kamuya açık kodun büyük parçalarını birebir üreten öneriler lisans riski taşır; araçların "referans kod filtresi" açık, şüpheli bloklar için köken kontrolü.
Güvenlik açığı üretimi: Üretilen kod SAST/DAST ve bağımlılık taramasından geçer; privacy by design kuralları kural dosyasına yazılır.
Halüsinasyon bağımlılıkları: Asistan var olmayan bir paket adı önerir; saldırganlar bu adları kayıt ederek zararlı paket yayınlar (slopsquatting). Bağımlılık ekleme yalnızca doğrulanmış kaynaklardan, lockfile ve iç registry ile.
Prompt enjeksiyonu: Agentic araçlar depodaki dosyaları, issue'ları ve web sayfalarını okur; bunların içine gizlenmiş "şu komutu çalıştır" talimatları araç tarafından uygulanabilir. Araç izinleri dar, dış içerik güvensiz kabul edilir.

Kalite kuralları: üretilen ≠ doğrulanmış

İnceleme pazarlık dışı: Asistanın ürettiği kod, yazarın kendi yazdığı kod gibi incelenir; "AI yazdı" gerekçesi yoktur, sorumluluk PR'ı açandadır.
Anlamadan kabul yok: Geliştirici üretilen kodu açıklayabilmelidir; açıklayamıyorsa PR'a girmez.
Test önce ya da birlikte: Asistandan önce testi, sonra kodu istemek; test de üretiliyorsa testin neyi doğruladığı insan tarafından okunur.
Küçük diff: 800 satırlık üretilmiş PR incelenemez; görev parçalanır.
Otomatik kapılar: Lint, format, SAST, bağımlılık taraması, test kapsamı eşiği CI'da; kural dosyası bu kapıları asistana da anlatır.
Mimari kuralları depoya yazın: Asistanlar depodaki kural dosyasını okur (AGENTS.md, CLAUDE.md, .github/copilot-instructions.md gibi). Ekip sözleşmesi orada durursa üretilen kod ona uyar.

# AGENTS.md — siparis-servisi

## Mimari
- Hexagonal: domain/ paketi Spring ve JPA'ya bağımlı olamaz. Port arayüzleri domain/port altında, adaptörler adapter/ altında.
- Yeni dış sistem çağrısı yalnızca bir adaptör üzerinden; RestClient doğrudan servislerde kullanılmaz.
- Veritabanı değişikliği yalnızca Flyway migration ile (db/migration/V*__*.sql); ddl-auto asla.

## Kod kuralları
- Java 21, record ve sealed tercih edilir; Lombok kullanılmaz.
- Para tutarları BigDecimal ve para birimiyle (Money value object); double yasak.
- Her public servis metodu için birim testi, her adaptör için Testcontainers entegrasyon testi.
- Log'da kişisel veri yok; MDC'de yalnızca correlationId ve tenantId.

## Güvenlik
- Girdi doğrulama sınırda (Bean Validation); SQL yalnızca parametreli.
- Yeni bağımlılık eklemeden önce sor; yalnızca iç registry'deki sürümler.
- .env, secrets/, *.pem dosyalarını okuma.

## Çalışma biçimi
- Değişiklik öncesi planı kısa yaz ve onay bekle; 300 satırdan büyük diff üretme.
- Testleri çalıştırmadan "tamamlandı" deme; komut: ./mvnw -q verify

Agentic kullanım: komut çalıştıran asistanlar

Terminalde komut çalıştıran, dosya değiştiren ve PR açan araçlar için ek kurallar: her görev ayrı bir dalda ve tercihen izole bir ortamda (konteyner/sandbox) çalışır; asistanın üretim kimlik bilgilerine, üretim veritabanına ve dağıtım araçlarına erişimi yoktur; yıkıcı komutlar (silme, force push, migration çalıştırma) onay ister; plan önce insan tarafından okunur, sonra uygulanır; CI kapıları asistanın PR'ı için de aynen geçerlidir. Asistanın ürettiği PR'ı yine asistanın incelemesi bir kontrol değildir; ikinci bir insan gözü şarttır.

Ekip üzerindeki etki

Kıdemli geliştiricinin işi kod yazmaktan çok yönlendirme ve doğrulamaya kayar: doğru görev tanımı, doğru kısıt, doğru inceleme. Kıdemsiz geliştirici için risk, kodu anlamadan hızlanmaktır; çözüm, asistanın "açıkla" modunun öğrenme aracı olarak kullanılması ve inceleme sohbetlerinde "neden böyle" sorusunun sorulmasıdır. Ekipte iki yeni beceri değer kazanır: iyi görev tanımı yazmak ve üretilen çıktıyı hızlı doğrulamak. Her ikisi de eğitimle gelişir; araç lisansı almak eğitimin yerine geçmez.

Kurumsal devreye alma: adım adım

Adım	Ne yapılır
1. Politika	Hangi araçlar, hangi planlar, hangi depolarda; gizli bilgi ve kişisel veri kuralları; sorumluluk ilkesi (kod yazarınındır) — bir sayfa, herkes okur
2. Araç seçimi	Kurumsal plan, SSO, veri işleme sözleşmesi, denetim kaydı, IDE ve dil desteği; 2–3 aday, 2 haftalık deneme
3. Pilot	Bir–iki ekip, 6–8 hafta, önceden belirlenmiş metrikler; haftalık geri bildirim
4. Kural dosyası ve CI kapıları	Depo başına AGENTS.md; gizli bilgi taraması, SAST, bağımlılık ve lisans taraması CI'da zorunlu
5. Eğitim	Görev tanımı yazma, doğrulama teknikleri, prompt enjeksiyonu farkındalığı; yarım günlük atölye + iç rehber
6. Ölçüm ve yaygınlaştırma	Pilot metrikleri karar verir; kazanç varsa ekip ekip yaygınlaştırma, kural dosyası şablonu ile

Sahada sık yapılan hatalar

Yasaklamak: Kullanım gizlenir, bireysel hesaplarla ve kuralsız devam eder; en kötü senaryo.
Lisans alıp bırakmak: Kural, eğitim ve ölçüm olmadan sonuç rastgeledir.
Kabul oranını başarı sanmak: Yüksek kabul, düşük inceleme demek olabilir.
İncelemeyi hafifletmek: "AI yazdı, hızlı geçelim" — teknik borcun kaynağı.
Güvenlik kritik kodu delege etmek: Kimlik doğrulama ve şifreleme insan tarafından yazılır ya da satır satır doğrulanır.
Agentic araca geniş yetki: Üretim erişimi olan asistan, bir prompt enjeksiyonu uzağında bir olaydır.

Sık sorulan sorular

Hangi araç en iyisi?

Araçlar hızla değişiyor ve ekibe göre farklılaşıyor; IDE uyumu, dil desteği, kurumsal veri koşulları ve agentic yetenekler karşılaştırma ölçütleridir. İki haftalık deneme, herhangi bir karşılaştırma yazısından daha iyi cevap verir. Politika ve kural dosyası araçtan bağımsızdır; araç değişse de kalır.

Üretilen kodun sahibi kim?

Kurumsal planların çoğu çıktıyı müşteriye bırakır; ama kamuya açık kodla birebir örtüşen bloklar için lisans riski kalır. Sözleşme ve filtre ayarları hukuk ekibiyle birlikte gözden geçirilmelidir; bu yazı hukuki görüş değildir.

Kıdemsiz geliştiriciye vermeli miyiz?

Evet, ama eşlik ederek: ilk aylarda üretilen kodun kıdemli tarafından açıklatılması, "anlamadan kabul yok" kuralının sıkı uygulanması. Doğru kullanıldığında öğrenmeyi hızlandırır; kuralsız kullanıldığında öğrenmeyi atlatır.

Sonuç

AI kod asistanı ekibe hız verir; ne kadarını koruyacağınız kurallara bağlıdır: kurumsal plan ve veri koşulları, depodaki kural dosyası, değişmeyen inceleme disiplini, CI kapıları, dar yetkili agentic kullanım ve gerçek metriklerle ölçüm. Bunları kuran ekip hızlanır; kurmayan ekip aynı hızla borçlanır.

Ekibinizde AI destekli geliştirme sürecini kurallar, CI kapıları ve eğitimle kurmak için yazılım tasarımı ve mimari ile kurumsal uygulama geliştirme hizmetlerimize göz atabilirsiniz.