Agent Payments Protocol (AP2): Yapay Zeka Ajanları Sizin Adınıza Nasıl Güvenli Öder

TL;DR — Yapay zeka ajanları artık sizin adınıza alışveriş yapmaya başladı; ama bir ajan sizin yerinize nasıl güvenli ödeme yapar? İşte bu sorunun cevabı, 2025 sonunda duyurulan ve 2026'da hızla olgunlaşan Agent Payments Protocol (AP2). Bu protokol, bir ajanın gerçek bir kullanıcının belirli bir alışverişi onayladığını satıcıya ve ödeme ağına kanıtlamasını sağlıyor — hem de ajanın banka bilgilerinize hiç dokunmadan. Bu yazıda AP2'nin nasıl çalıştığını (imzalı mandalar, Checkout ve Payment Mandate), ACP gibi tamamlayıcı protokollerle ilişkisini, Türkiye'de e-ticaret ve ödeme regülasyonu (BDDK, KVKK) açısından ne anlama geldiğini ve işletmelerin bugünden ne yapması gerektiğini sahadan anlatıyorum.

Bir senaryo hayal edin. Yapay zeka asistanınıza "önümüzdeki hafta İstanbul'a gidiyorum, bütçem şu, uygun bir otel bul ve rezervasyon yap" diyorsunuz. Asistan araştırıyor, seçenekleri buluyor, birini seçiyor ve... ödemeyi yapıyor. Kulağa harika geliyor. Ama durun: o asistan sizin kredi kartınızı mı kullandı? Satıcı, bu ödemeyi gerçekten sizin onayladığınızı nereden bilecek? Bir dolandırıcılık olursa sorumluluk kimde — sizde mi, ajanı yapan şirkette mi, satıcıda mı, bankada mı?

İşte agentic ticaretin (yapay zeka ajanlarının alışveriş yapması) can alıcı sorunu bu. Geleneksel ödeme sistemi, ekranın başında oturan, kartını giren, "onayla" düğmesine basan bir insan varsayımı üzerine kurulu. Ajan araya girdiğinde bu varsayım çöküyor. Ajan ne insan, ne de klasik anlamda bir "tüccar". Ne kartı doğrudan tutması güvenli, ne de her seferinde kullanıcının müdahalesini beklemesi pratik.

Sahada bu soruyu son bir yıldır çok konuşuyoruz çünkü e-ticaret tarafındaki müşterilerim "biz de agentic alışverişe hazırlanmalı mıyız" diye soruyor. Cevabım net: hazırlanmalısınız, ama önce ödemenin nasıl güvenli hale geleceğini anlamalısınız. AP2 tam da bu boşluğu doldurmak için doğdu. Ve şunu vurgulayayım: bu konu bir moda ya da geçici bir hype değil; ödeme dünyasının en büyük kurumları masaya oturduysa, bu dönüşümün er ya da geç geleceğinin işaretidir. Soru "olacak mı" değil, "ne zaman ve kimin hazır olduğu" sorusudur.

Agent Payments Protocol (AP2), satıcıdan bağımsız (vendor-neutral) bir protokol. Temel işlevi tek cümlede özetlenebilir: bir yapay zeka ajanının, gerçek bir kullanıcının belirli bir alışverişi yetkilendirdiğini satıcıya ya da ödeme ağına kanıtlamasını sağlamak.

Eylül 2025'te 60'tan fazla kurucu ortakla — Mastercard, PayPal, Coinbase, American Express, Salesforce dahil — duyuruldu. Yani bu, küçük bir girişimin deneysel bir fikri değil; ödeme dünyasının ağır topların masaya oturduğu bir standartlaşma çabası. 2026'da bu ivme büyüdü: Mayıs 2026'da FIDO Alliance, hem Google'ın AP2'sini hem de Mastercard'ın "Verifiable Intent" yaklaşımını bünyesine kattığını duyurdu. Bu, protokolün tek bir şirketin kontrolünden çıkıp sektörel bir standart olma yolunda ilerlediğinin işareti.

AP2'nin çözdüğü temel problem şu: ajanın ödeme yapabilmesini sağlamak, ama bunu yaparken hem kullanıcının her seferinde manuel onay vermesine gerek kalmadan hem de ajanın hassas banka verilerine erişmesine izin vermeden. İki uç arasındaki dengeyi kuruyor — bir yanda "ajan hiçbir şey yapamasın, her adımda dur ve sor" aşırı güvenlikçiliği, diğer yanda "ajana kartı ver, gerisini halletsin" tehlikeli rahatlığı. AP2 ortada, kanıtlanabilir yetki temelli bir yol açıyor.

AP2'nin teknik kalbinde "mandate" (manda/yetki belgesi) kavramı var. Bunu, kullanıcının niyetini kriptografik olarak imzalanmış, doğrulanabilir bir belgeye dönüştürmek olarak düşünün. İki tür manda var ve ayrımı anlamak protokolü anlamanın anahtarı.

Checkout Mandate (Alışveriş Mandası). Kullanıcının ne satın almak istediğini ve hangi koşullar altında istediğini tanımlar. Örneğin "şu ürünü, şu fiyata kadar, şu tarihe kadar al." Bu manda, kullanıcının niyetinin sınırlarını çizer. Ajan bu sınırların dışına çıkamaz.

Payment Mandate (Ödeme Mandası). Ödemenin kendisine dair detayları taşır: tutar, ödeme aracı (instrument), zamanlama. Bu manda, "şu karttan, şu tutarı, şu zamanda öde" gibi ödeme yetkisini kanıtlar.

Her manda, alışverişin durumuna göre "Açık" (Open) ve "Kapalı" (Closed) durumları arasında hareket eder. Sepet hâlâ oluşuyorsa manda açıktır — yani niyet tanımlı ama alışveriş henüz kesinleşmemiştir. Alışveriş kesinleştiğinde manda kapanır ve artık değiştirilemez bir yetki kaydına dönüşür. Bu durum modeli, "kullanıcı gerçekten ne zaman, neyi onayladı" sorusuna net bir cevap verir.

"

Bu mimarinin güzelliği şu: satıcı ya da banka, bir uyuşmazlık durumunda "bu alışverişi kullanıcı gerçekten onayladı mı" sorusuna kriptografik kanıtla cevap verebilir. Geleneksel dünyada bu, "kart bilgisi doğruydu, demek ki kullanıcı yaptı" varsayımına dayanır — ki ajan çağında bu varsayım artık yeterli değil. AP2, niyeti kanıta bağlıyor.

Burada sık karışan bir nokta var: AP2 tek başına bir "agentic alışveriş" protokolü değil. Aslında bir ödeme-onay katmanı. Ticaretin diğer parçalarını başka protokoller yönetiyor ve bunların nasıl birbirini tamamladığını görmek önemli.

ACP (Agentic Commerce Protocol) ticaret/checkout katmanıdır: ajanın bir satıcıyla nasıl konuşacağı, ürünü sepete nasıl ekleyeceği, checkout sürecini nasıl yürüteceği. AP2 ise ödeme-onay katmanıdır: alışverişin gerçekten kullanıcı tarafından yetkilendirildiğini kanıtlama. Bu ikisi rakip değil, farklı katmanlar. Tam bir agentic alışveriş genellikle ikisini birlikte kullanır — ajan ACP ile checkout yapar, AP2 ile yetkiyi kanıtlar.

Bir de x402 gibi, özellikle makineler arası ve mikro ödemeler için tasarlanmış protokoller var. Bunlar HTTP tabanlı ödeme akışlarına odaklanır ve özellikle API çağrısı başına ödeme gibi senaryolarda işe yarar. Ekosistem henüz oturmadı; birden fazla protokol bir arada yaşıyor ve zamanla hangilerinin baskın olacağı netleşecek.

Benim işletmelere önerim, tek bir protokole kilitlenmemek. Ekosistem hareketli; bugün bir standardı tümüyle benimseyip rakiplerini görmezden gelmek riskli. Bunun yerine, ödeme altyapınızı katmanlı ve protokol-agnostik tasarlayın ki hangi standart baskın çıkarsa çıksın adapte olabilesiniz.

Katman	Ne yapar	Örnek protokol
Keşif ve ticaret	Ajan-satıcı iletişimi, ürün, checkout	ACP
Ödeme onayı	Kullanıcı yetkisinin kanıtı	AP2, Verifiable Intent
Makineler arası ödeme	API/mikro ödeme akışları	x402

Şimdi asıl kritik kısma gelelim, çünkü küresel protokoller Türkiye'ye geldiğinde yerel regülasyon duvarına çarpar ve bunu önceden görmek çok değerli.

Türkiye'de ödeme hizmetleri sıkı düzenlenir. Ödeme ve elektronik para kuruluşları BDDK ve ilgili mevzuat çerçevesinde faaliyet gösterir; ödeme akışına giren her yeni aktör, yetki ve sorumluluk açısından mevzuata tabidir. Agentic ödeme, "ajan" adında yeni bir aktörü bu zincire sokuyor ve buradaki soru şu: ajan bir ödeme hizmeti sağlayıcısı mı, kullanıcının bir aracı mı, yoksa satıcının bir uzantısı mı? Bu sınıflandırma, hangi yükümlülüklere tabi olacağınızı belirler ve henüz tam netleşmiş değil. Bu yüzden agentic ödeme kurgusuna girmeden önce hukuki danışmanınızla ajanın rolünü netleştirmek şart.

Güçlü müşteri kimlik doğrulama açısından da bir gerilim var. Avrupa'da PSD2, Türkiye'de ilgili mevzuat, ödemede güçlü kimlik doğrulama (iki faktör gibi) ister. Ajan araya girdiğinde, "kullanıcı gerçekten oradaydı ve onayladı" ilkesi ile "ajan otonom çalışsın" arzusu çatışır. AP2'nin imzalı manda yaklaşımı tam da bu çatışmayı çözmeye çalışıyor: kullanıcı bir kez, sınırları belirli bir yetki verir (imzalı manda), ajan da bu sınırlar içinde otonom hareket eder. Ama bu yetkinin regülasyon açısından "güçlü kimlik doğrulama" sayılıp sayılmayacağı, yerel düzenleyicinin yorumuna bağlı.

KVKK tarafında ise ajan, kullanıcının satın alma tercihlerini, ödeme davranışını, belki konum ve zaman bilgisini işler. Bu, kişisel verinin yeni ve yoğun bir işleme biçimi. Ajanın hangi veriyi topladığı, ne kadar sakladığı, kiminle paylaştığı baştan aydınlatılmalı ve gerektiğinde açık rızaya bağlanmalı. Özellikle "ajan benim adıma karar veriyor" senaryosunda, otomatik karar verme ile ilgili şeffaflık ilkeleri devreye girer.

Eğer bir e-ticaret işletmesiyseniz, agentic ticaret sizin için hem fırsat hem tehdit. Fırsat: ajanların keşfettiği ve satın aldığı bir dünyada, ajanlar tarafından "bulunabilir" ve "satın alınabilir" olmak yeni bir kanal. Tehdit: eğer altyapınız ajanlarla konuşamıyorsa, rakipleriniz o kanaldan satarken siz görünmez kalırsınız.

Pratik olarak birkaç adım öneriyorum. Birincisi, ürün verinizi yapıya kavuşturun. Ajanların ürününüzü doğru anlaması için temiz, yapılandırılmış ürün verisi (fiyat, stok, özellikler, koşullar) şart. İkincisi, checkout akışınızın programatik erişime açık olup olmadığını değerlendirin — ACP gibi protokolleri destekleyip desteklemeyeceğinizi düşünün. Üçüncüsü, ödeme tarafında AP2 gibi yetki-kanıt mekanizmalarını takip edin; ödeme sağlayıcınızla "agentic ödeme desteği" konusunda konuşun.

Ama en önemli tavsiyem şu: acele edip olgunlaşmamış bir standarda tüm altyapınızı bağlamayın. Bu alan çok hızlı hareket ediyor. Bunun yerine, küçük bir pilot ile öğrenin, protokol-agnostik kalın ve ekosistem oturdukça yatırımınızı ölçekleyin. Erken hareket eden ama esnek kalan kazanır; erken hareket edip tek bir ata oynayan riske girer.

Soyut kavramları somuta indirmek için, tipik bir agentic alışverişin AP2 ile nasıl aktığını adım adım anlatayım; çünkü akışı görmeden protokolün neden bu şekilde tasarlandığını anlamak zor. Diyelim ki kullanıcı, asistanına "her ay bittiğinde kahve kapsüllerimi otomatik sipariş et, ama aylık 500 lirayı geçme" dedi.

İlk adımda kullanıcı bir yetki verir ve bu yetki bir Checkout Mandate'e dönüşür: "bu ürün kategorisi, bu limit, bu tekrar sıklığı." Kullanıcı bunu bir kez, açıkça imzalar. Bu, protokolün en kritik anı; çünkü kullanıcının gerçek niyeti burada kriptografik olarak sabitlenir. İkinci adımda, koşul gerçekleştiğinde (kapsüller bitti), ajan alışverişi başlatır ama kendi başına yetki uydurmaz; elindeki mandanın sınırlarını kontrol eder. Fiyat limitin altında mı, kategori doğru mu, sıklık uygun mu? Üçüncü adımda ajan, satıcıyla checkout sürecini yürütür (bu kısım ACP katmanının işi) ve ödeme aşamasına gelince bir Payment Mandate üretilir: "şu karttan, şu tutarı öde." Dördüncü adımda satıcı ve ödeme ağı, bu mandaları doğrular — kullanıcının gerçekten bu yetkiyi verdiğini kriptografik olarak teyit eder. Beşinci adımda ödeme tamamlanır, manda "kapalı" duruma geçer ve değiştirilemez bir kayıt olur.

Bu akışın güzelliği, her adımda "kullanıcı bunu onayladı mı" sorusunun cevabının kanıta bağlı olması. Kullanıcı ekranın başında olmasa bile, önceden verdiği imzalı yetki, o alışverişin meşruiyetini taşır. Ve limit aşılırsa — diyelim kapsüllerin fiyatı 500 lirayı geçti — manda bunu reddeder, ajan alışverişi yapamaz ve kullanıcıya döner. İşte "otonom ama sınırlı" dengesi tam da böyle kurulur.

Agentic ödemede az konuşulan ama temel bir mesele, ajanın kimliği. Bir insanın kimliği net: kartı, kimlik belgesi, kimlik doğrulama yöntemleri var. Peki bir ajanın kimliği nedir? Hangi ajan, hangi kullanıcı adına, hangi yetkiyle hareket ediyor? Bu soru cevaplanmadan güvenli agentic ödeme mümkün değil.

2026'da bu tarafta çözüm, ajanlara doğrulanabilir kimlikler ve "ajan cüzdanı" kavramı üzerinden ilerliyor. Fikir şu: ajan, kullanıcının banka bilgilerini doğrudan tutmaz; bunun yerine, kullanıcının verdiği yetkileri (mandaları) taşıyan bir cüzdan mantığıyla çalışır. Ödeme aracının hassas detayları ödeme ağında kalır; ajan sadece "bu kullanıcı, bu koşullarla, bu yetkiyi verdi" kanıtını taşır. Böylece ajan ele geçirilse bile, saldırgan kartın kendisine değil, sadece sınırlı ve iptal edilebilir bir yetkiye ulaşır.

Bu, güvenlik açısından çok önemli bir tasarım kararı. Geleneksel yaklaşımda "ajana kartı ver" dediğinizde, o ajanı ele geçiren herkes karta erişir. Manda-temelli yaklaşımda ise yetki dar, süreli ve iptal edilebilir. Kullanıcı istediği an "bu ajanın yetkisini iptal et" diyebilir ve tüm mandalar geçersiz olur. FIDO Alliance'ın bu alana girmesi tesadüf değil; kimlik doğrulama ve doğrulanabilir kimlik, agentic ödemenin temel taşı.

Bu teknolojinin nerede ilk işe yarayacağını görmek, hazırlık önceliğinizi belirlemenize yardım eder. Birkaç somut senaryoya bakalım.

Seyahat. En olgun agentic senaryolardan biri. Kullanıcı bütçe ve tercihlerini verir, ajan uçuş, otel, transfer paketini kurar ve tek seferde ödemeyi yapar. Burada manda sınırları kritik: "toplam bütçe şu, iade edilebilir olsun, şu tarihlerde." Seyahat sektörü, yüksek işlem değeri ve karmaşık paketleme nedeniyle agentic ödemenin erken kazananlarından olacak.

Yinelenen alışveriş ve abonelik. Market, sarf malzemesi, abonelik yenileme gibi tekrarlayan alışverişler agentic modele çok uygun. Kullanıcı bir kez yetki verir, ajan periyodik olarak, sınırlar içinde sipariş verir. Buradaki değer, kullanıcının her seferinde uğraşmaması ama kontrolü de kaybetmemesi.

B2B tedarik. İşletmeler arası tedarikte, belirli koşullar sağlandığında otomatik yeniden sipariş vermek büyük bir verimlilik kaynağı. Ajan, stok seviyesi düştüğünde onaylı tedarikçiden, onaylı fiyat aralığında sipariş verir. Türkiye'de B2B e-ticaret büyürken bu senaryo özellikle ilgi çekici.

Mikro ödemeler ve API ekonomisi. Ajanların başka servislerin API'lerini kullanıp çağrı başına ödeme yaptığı senaryo, x402 gibi protokollerin alanı. Bu, insanların pek göremediği ama makineler arası ekonomide hızla büyüyen bir katman.

Bu senaryoların ortak dersi: agentic ödeme her yerde aynı hızda gelmeyecek. Yüksek tekrarlı, düşük karmaşıklı ve net sınırlı alışverişlerden başlayacak, zamanla karmaşık ve yüksek değerli işlemlere yayılacak. Kendi sektörünüzün hangi senaryoya en yakın olduğunu belirleyip oraya odaklanın.

Agentic ödemeyi bir gün deneyeceğinizde, "işe yarıyor mu" sorusunu ölçebilmeniz gerekir. Sahada takip ettiğim birkaç gösterge var. Birincisi, yetki-dışı reddedilme oranı: ajanın manda sınırlarını aştığı için reddedilen işlem oranı. Bu düşükse, ya sınırlar iyi ayarlanmış ya da ajan iyi çalışıyordur; yüksekse, kullanıcı niyeti ile ajan davranışı arasında bir kopukluk vardır. İkincisi, kullanıcı müdahale oranı: ajanın ne sıklıkla kullanıcıya "bunu onaylıyor musun" diye döndüğü. Çok yüksekse otonomi vaadi boşa çıkar, çok düşükse güvenlik riski doğar; doğru denge ürününüze göre değişir. Üçüncüsü, uyuşmazlık ve geri ödeme oranı: agentic işlemlerin klasik işlemlere göre ne kadar daha fazla ya da az uyuşmazlık ürettiği. AP2'nin kanıt yapısı iyi çalışıyorsa, uyuşmazlıklar daha kolay çözülür ve oran zamanla düşer.

Bu göstergeleri baştan kurmazsanız, agentic ödemenin gerçekten değer mi kattığını yoksa sadece bir gösteri mi olduğunu ayırt edemezsiniz. Ölçmediğiniz şeyi yönetemezsiniz; agentic ödeme gibi yeni ve riskli bir alanda bu kural iki kat geçerli.

Agentic ödemenin en çok kaygı yaratan yanı sorumluluk. Bir ajan yanlış bir alışveriş yaparsa — mesela kullanıcının niyetini yanlış anlayıp fazla ürün alırsa ya da bir prompt injection saldırısıyla kandırılırsa — kim sorumlu?

AP2'nin imzalı manda yapısı burada bir savunma sağlıyor: eğer alışveriş, kullanıcının imzaladığı mandanın sınırları içindeyse, yetki kanıtlanabilir. Sınırların dışındaysa, manda bunu reddeder. Yani "kullanıcı şu koşulları onayladı, ajan bu koşulların dışına çıktı" gibi durumlar teknik olarak ayrıştırılabilir. Bu, geleneksel "kart bilgisi doğruydu" belirsizliğinden çok daha net bir sorumluluk zemini.

Ama teknik kanıt tek başına yeterli değil; güven de kurulmalı. Kullanıcılar ajanlarına ödeme yetkisi vermeden önce, o ajanın ne yapabileceğini ve ne yapamayacağını net görmek ister. Bu yüzden agentic ödeme sunan her ürünün, kullanıcıya net sınırlar (harcama limiti, kategori kısıtı, onay eşiği) ve tam şeffaflık sunması şart. "Ajan ne satın aldı, neden aldı, ne kadar harcadı" sorusunun cevabı her zaman bir tık uzağında olmalı.

"

Prompt injection burada özellikle tehlikeli. Bir ajan, kötü niyetli bir web sayfasındaki gizli talimatla kandırılıp beklenmedik bir alışveriş yapabilir. Bu yüzden ödeme yetkisi olan ajanlarda güvenlik, isteğe bağlı değil zorunlu bir katman. Manda sınırları, harcama limitleri ve anomali tespiti bir arada çalışmalı.

Agentic ödemeye hazırlanan işletmeler için en pratik ilk adım, mevcut ödeme sağlayıcınızla doğru soruları sormak. Çünkü bu dönüşümde çoğu zaman altyapıyı sıfırdan siz kurmayacaksınız; sağlayıcınızın yol haritası sizin hızınızı belirleyecek. Sağlayıcınıza sorun: AP2, ACP ya da benzeri agentic protokolleri destekliyor musunuz, ne zaman? Ajan-başlatmalı işlemleri klasik işlemlerden ayırt edebiliyor musunuz? Yetki-kanıt (manda) mekanizmalarını doğrulama tarafında işliyor musunuz? Uyuşmazlık durumunda agentic işlemler için nasıl bir kanıt zinciri sunuyorsunuz?

Bu soruların cevapları, sizin ne kadar hızlı hareket edebileceğinizi belirler. Eğer sağlayıcınız bu alanda hareketliyse, siz de pilotlarınızı ona göre planlayabilirsiniz; hareketsizse, ya beklersiniz ya da alternatif ararsınız. Ayrıca bu konuşma, sağlayıcınıza talebin geldiğini gösterir ve onların yol haritasını hızlandırır — piyasa talebi standartların olgunlaşmasını hızlandıran en güçlü kuvvettir.

Bir de iç tarafta hazırlık var. Ödeme, dolandırıcılık ve hukuk ekiplerinizi bir araya getirip "ajan bizim sistemimizde bir işlem başlattığında ne oluyor" sorusunu masaya yatırın. Çoğu kurumun sistemleri, işlemin arkasında bir insan olduğunu varsayar; ajan çağında bu varsayımı gözden geçirmek gerekir. Bu iç hazırlık, dışarıdaki standartlar oturmadan da bugün başlayabileceğiniz bir çalışma.

Teknoloji ne kadar sağlam olursa olsun, kullanıcı ajanına ödeme yetkisi vermezse hiçbir işe yaramaz. Bu yüzden agentic ödemenin en kritik tasarım problemi teknik değil, psikolojik: kullanıcıyı, sizin adınıza para harcayan bir yazılıma güvenmeye ikna etmek. Bunu sahada gördüğüm kadarıyla ancak radikal şeffaflık ve net kontrol ile başarabiliyorsunuz.

Radikal şeffaflık şu demek: kullanıcı her an "ajanım şu ana kadar ne yaptı, ne satın aldı, ne kadar harcadı, hangi yetkiye dayandı" sorusunun cevabını bir tık uzağında görebilmeli. Ajan bir alışveriş yaptığında bildirim gitmeli, karar gerekçesi anlaşılır biçimde açıklanmalı. Kullanıcı, "neden bu ürünü aldın" diye sorabilmeli ve tatmin edici bir cevap alabilmeli. Kara kutu bir ajan, ödeme söz konusu olduğunda güven kazanamaz.

Net kontrol ise sınırların kullanıcının elinde olması demek. Harcama limiti, kategori kısıtı, tek işlem tavanı, onay eşiği (şu tutarın üstünde bana sor), iptal düğmesi — bunların hepsi kullanıcının kolayca ayarlayabileceği, anlayabileceği kontroller olmalı. En önemlisi, "acil dur" mekanizması: kullanıcı tek hareketle ajanın tüm ödeme yetkisini dondurabilmeli. Bu güvenlik supabı, paradoksal biçimde, kullanıcının ajana daha fazla yetki vermesini sağlar; çünkü her an geri alabileceğini bilmek güven verir.

Sahada gözlemlediğim ilginç bir örüntü: kullanıcılar küçük, düşük-riskli alışverişlerle başlayıp ajana güven geliştikçe yetkiyi kademeli artırıyor. Bu yüzden ürününüzü "hep ya da hiç" değil, kademeli güven inşa edecek biçimde tasarlayın. İlk gün büyük yetki isterseniz kullanıcı ürker; küçük başlar, güven kazanır, sonra genişletirseniz kalıcı bir ilişki kurarsınız.

Dürüst olmak gerekirse, agentic ödeme ekosistemi 2026'da hâlâ oturmuş değil. AP2 güçlü bir konumda ve ağırlıklı ortak listesiyle öne çıkıyor; FIDO Alliance'a katılması standartlaşma açısından büyük bir işaret. Ama tek oyuncu değil. Farklı ödeme ağları, teknoloji şirketleri ve konsorsiyumlar kendi yaklaşımlarını öne sürüyor. Bir dönem birden fazla standart bir arada yaşayacak, sonra piyasa bir ya da birkaçında birleşecek — tıpkı geçmişte ödeme ve kimlik standartlarında yaşandığı gibi.

Bu belirsizlik sizin için bir mazeret değil, bir strateji sinyali. Belirsiz bir ortamda doğru hamle, tek bir standarda tüm servetinizi yatırmak değil; öğrenmek, esnek kalmak ve baskın standart belli olduğunda hızlı adapte olabilecek bir mimari kurmak. Ödeme altyapınızı, ticaret katmanınızdan ayrık ve protokol-agnostik tutun. Böylece yarın AP2 mi, başka bir standart mı kazanır — hangisi olursa olsun, temel altyapınızı yeniden yazmadan geçiş yapabilirsiniz.

Bir de zamanlama meselesi var. Çok erken hareket edenler, olgunlaşmamış standartların değişmesiyle boşa yatırım yapabilir. Çok geç kalanlar ise rakiplerin kurduğu kanaldan mahrum kalır. Doğru zamanlama, "izle, küçük dene, öğren, ölçekle" ritmidir. Şu an izleme ve küçük deneme aşamasındayız; büyük ölçekli benimseme, standartlar ve regülasyon biraz daha oturduğunda gelecek. Bu ritmi kaçırmayan, ne erken heyecanın ne de geç kalmanın kurbanı olur.

Geniş resme bakalım. Agentic ticaret, e-ticaretin bir sonraki büyük kaymalarından biri olabilir. İnsanların doğrudan tıklayıp satın aldığı bir dünyadan, ajanların keşfedip müzakere edip satın aldığı bir dünyaya geçiş, arama motoru optimizasyonundan ödeme altyapısına kadar her şeyi etkiler. Tıpkı mobil ticaretin ya da sosyal ticaretin yaptığı gibi.

Ama abartıya da kaçmayalım. Bu geçiş bir gecede olmayacak; standartlar hâlâ oturuyor, regülasyon hâlâ şekilleniyor, kullanıcı güveni hâlâ inşa ediliyor. Sizin işiniz, ne körü körüne atlamak ne de tümüyle görmezden gelmek. İşiniz, öğrenmek ve hazır olmak.

Pratik olarak yapılacaklar şunlar: AP2 ve ACP gibi protokolleri takip edin ama tek birine kilitlenmeyin, ürün ve ödeme altyapınızı programatik erişime hazır hale getirin, ajanın rolünü ve sorumluluğunu hukuki danışmanınızla netleştirin, KVKK ve ödeme regülasyonu açısından baştan uyumlu tasarlayın, ve küçük bir pilotla gerçek dünyada öğrenin. Bu adımları atarsanız, ajanlar müşterilerinizin adına alışverişe başladığında hazır olan taraf siz olursunuz — ve bu hazırlık, geç kalanların telaşla yakalamaya çalışacağı bir avantaja dönüşür.