Tek kişilik projede AI'ın onay yetkisi olmaz

Bir projenin governance dokümanlarında dürüst bir itiraf gördüm: kurucu, hem “Decision Authority” (karar otoritesi) hem “Approval Authority” (onay otoritesi) rollerini tek kişide topladığını saklamadan yazmış. Bunun bağımsız bir inceleme olmadığını da ayrıca belirtmiş.

Tek kişilik bir projede bu zaten kaçınılmaz bir durum, saklanacak bir şey değil. İlginç olan, bunu itiraf ettikten sonra attıkları ek adım: AI destekli incelemenin (Claude Code dahil) bu boşluğu doldurmasına izin vermemişler.

AI sistemleri şu rollerde sunulmamalı, ele alınmamalı veya güvenilmemeli: Decision Authority… Approval Authority.

Yüksek etkili, AI’a yetki verme kararları için henüz atanmamış ama gerçek, isimli bir dış güvenlik incelemecisi şart koşulmuş — o kişi bulunana kadar o kategori kararlar resmi olarak onaylanmamış sayılıyor.

Bunu neden önemsiyorum: AI’ın kod incelemesi, hatta mimari eleştirisi gerçekten faydalı, ben de bu siteyi kurarken sürekli kullanıyorum. Ama “AI baktı, sorun yok dedi” cümlesi bir onay değil, bir girdi. Tek kişilik bir projede bile bu ayrımı yazılı tutmak, “AI onayladı” ile “ben onayladım, AI’ın söylediklerini de dikkate alarak” arasındaki farkı unutmamayı sağlıyor. İkincisi hesap verebilir, birincisi değil.