MCP (Model Context Protocol) Nedir? Şirketler İçin Sade Anlatım, Güvenlik ve İzin Yönetimi (2026)

Yöneticilerden son dönemde sık duyduğum soru şu: "Claude'u ya da ChatGPT'yi Drive'ımıza, CRM'imize, veritabanımıza bağlayabilir miyiz?" Cevap çoğu zaman evet. Bu bağlantının arkasındaki standardın adı MCP. Toplantılarda adı geçiyor, ama ne olduğunu açıklayan kişi azdır ve açıklayanlar da genellikle teknik jargona gömülüyor. Bu yazıda MCP'yi teknik bilgisi olmayan bir yönetici için anlatıyorum: ne işe yarar, şirket araçlarına nasıl bağlanır, hangi riskleri taşır, izinler nasıl yönetilir ve hangi durumlarda hiç gerekmez.

MCP nedir?

MCP (Model Context Protocol), yapay zeka asistanlarının dış araçlara ve verilere standart bir yolla bağlanması için tasarlanmış açık bir protokoldür. Anthropic tarafından ortaya konan bu standart, bir asistanın Google Drive'daki bir dosyaya, CRM'deki bir müşteri kaydına ya da veritabanındaki bir tabloya erişmesini, her araç için sıfırdan entegrasyon yazmadan mümkün kılar. Sık kullanılan benzetme, farklı cihazların aynı şarj ucuyla çalışmasıdır: standart bir kez kurulunca her araç aynı kapıdan konuşur. Yönetici olarak bilmeniz gereken özet şu: MCP asistana şirketin bilgisi ve araçları üzerinden çalışma imkânı verir, ama aynı zamanda asistanın nelere dokunabileceğini belirleyen izin kapısıdır.

Claude ve ChatGPT gibi asistanlar MCP bağlantısını farklı düzeylerde destekliyor. Hangi planda, hangi bağlantı türüyle çalıştığı zamanla değiştiği için güncel durumu sağlayıcının belgelerinden kontrol edin.

MCP ne işe yarar?

MCP, sizin dosya yapıştırma, ekran görüntüsü alma ya da rapor kopyalama gibi aracı adımlarınızı ortadan kaldırır ve asistanın doğrudan güncel veriyle çalışmasını sağlar. Elinizde bir sohbet kutusu varken bilgiyi onun içine taşımanız gerekir, MCP bağlıyken asistan bilgiye kendisi gider. Bu iki farklı çalışma biçimidir. Eğitimlerde gördüğüm en faydalı üç örnek, hepsi bir soruyla başlar ve cevabı araçtan çeker. Dikkat edilmesi gereken nokta, asistanın bu işleri yalnız kendisine verilen izinler kadar yapabilmesidir. Yani MCP bir yetenek eklemekten çok, mevcut yetkilerinizin bir asistan üzerinden kullanılmasıdır.

• Drive ve doküman arşivi: "Geçen çeyrekte hazırladığımız teklif dosyalarından ortak itirazları çıkar."
• CRM: "Bu müşterinin son üç görüşmesini özetle ve açık kalan konuları listele."
• Veritabanı: "Geçen ay iade oranı en yüksek ürün grubu hangisi?" sorusunu analist beklemeden sormak.

MCP nasıl çalışır?

MCP'de iki taraf vardır: istemci ve sunucu. İstemci, sizin konuştuğunuz yapay zeka uygulamasıdır. Sunucu ise bir aracın kapısını açan küçük bir bağlayıcı programdır ve o aracın hangi işleri yapabileceğini asistana tanıtır. Asistan bir soru aldığında hangi sunucudan ne isteyeceğine karar verir, sunucu da aracın kendi izinleri çerçevesinde cevabı geri getirir. Sunucu kendi bilgisayarınızda yerel olarak ya da internet üzerinden uzak olarak çalışabilir. Teknik detaya girmeden yönetici düzeyinde parçalar şöyle özetlenebilir:

Tablodaki son satır yöneticiyi en çok ilgilendiren satırdır. Çünkü bir bağlantının güvenliği, çoğu zaman protokolden çok sunucuya hangi izinlerin verildiğine bağlıdır.

MCP, API, otomasyon ve yapay zeka ajanı arasındaki fark nedir?

API iki yazılımın birbiriyle konuşma kapısıdır. MCP, bu kapıların üstüne asistanların anlayabileceği ortak bir dil koyar. Otomasyon ise önceden çizilmiş bir akıştır: şu olursa şunu yap. Ajan, bir hedefi adım adım yerine getiren sistemdir ve araçları kullanması gerekir, MCP bu araçlara ulaşmanın yollarından biridir. Dolayısıyla bunlar rakip değil, birbirini tamamlayan katmanlardır. Hangisini seçeceğiniz işin ne kadar sabit olduğuna bağlıdır. Sabit ve tekrarlı işte otomasyon, her seferinde ne yapılacağına asistanın karar vermesi gereken işte MCP daha uygundur.

Otomasyon tarafı için n8n otomasyon rehberime, ajanların pilot kurulumu için şirketler için yapay zeka ajanları yazıma bakabilirsiniz. Google Docs, Sheets ve Slides içinde hazır çalışan bir eklenti arıyorsanız Claude for Google Workspace rehberi ayrı bir yoldur ve çoğu ekip için daha az emek ister. Geliştirici tarafında ise Claude Code gibi araçlar da MCP sunucularına bağlanarak çalışabilir.

MCP'nin güvenlik riskleri nelerdir?

MCP'nin en büyük riski teknik bir açıktan çok yetkidir. Asistan, bağlandığı hesabın izinlerini kullanır. Bu hesap çok geniş yetkiliyse asistan da o kadar geniş yetkiyle çalışır ve tek bir yanlış anlaşılan komut, istenmeyen bir silme ya da paylaşım doğurabilir. İkinci risk, güvenilmeyen kaynaktan alınmış bir MCP sunucusudur, çünkü sunucu asistan ile verileriniz arasında durur. Üçüncüsü, okunan içeriğin içine gizlenmiş talimatlardır. Buna istem enjeksiyonu (prompt injection) denir. Örneğin bir müşteri e-postasına yerleştirilmiş bir cümle, asistanı başka bir şey yapmaya yönlendirmeye çalışabilir.

• Aşırı yetki: Okumak için bağlanan bir hesabın aynı zamanda yazma ve silme yetkisinin olması.
• Güvenilmeyen sunucu: Kaynağı belirsiz, kim tarafından bakımı yapıldığı bilinmeyen bağlayıcılar.
• İstem enjeksiyonu: Belge, e-posta ya da web sayfasındaki gizli talimatların asistanı yönlendirmesi.
• Zayıf kimlik doğrulama: MCP şartnamesinde yetkilendirme isteğe bağlıdır, yani kimlik doğrulaması olmayan bir sunucu kurmak protokol açısından mümkündür. Güvenlik araştırmacıları, internete açık ve kimlik doğrulaması olmayan MCP sunucuları bulunduğunu raporladı.
• Kayıt eksikliği: Asistanın hangi veriye ne zaman eriştiğinin izlenememesi.

Bu riskler verinin dışarı sızması boyutuyla da bağlantılıdır. Hangi verinin yapay zekaya girebileceği konusunda KVKK ve yapay zeka yazımdaki trafik ışığı tablosu burada da geçerlidir. Çalışanların onaysız bağlayıcı kurması ise gölge yapay zekanın yeni biçimidir.

MCP'de izinler nasıl yönetilir?

İzin yönetiminin temel kuralı en az yetkidir: asistana işini yapması için gereken en küçük izni verin, gerisini kapalı tutun. Pratikte bu, asistanın bağlandığı hesabı bir insanın tam yetkili hesabı yerine ayrı, kısıtlı bir hizmet hesabı olarak açmak demektir. Önce yalnız okuma izniyle başlayın. Asistanın veri değiştirebildiği her işlem, yani kayıt oluşturma, silme, e-posta gönderme ya da dosya paylaşma, bir insanın onayından geçmelidir. Sunucuları da rastgele eklemeyin, onaylı bir listeniz olsun. Aşağıdaki tablo benim danışmanlıkta kullandığım kısa kontrol listesidir.

Bu listenin sahibi tek bir kişi olmalı. Sahibi olmayan izin, zamanla herkesin eriştiği ama kimsenin bakmadığı bir kapıya dönüşür.

MCP ne zaman gerekli değildir?

MCP her şirket ve her iş için gerekli değildir. Bir asistana bir kez bir dosya yüklemek yeterliyse, bağlantı kurmak gereksiz yük getirir. Aracın kendi içinde hazır bir yapay zeka eklentisi varsa önce onu deneyin. İşiniz hep aynı adımlardan oluşuyorsa klasik bir otomasyon hem daha öngörülebilir hem de denetlemesi daha kolaydır. Veri çok hassassa ve izinleri yönetecek bir kişi yoksa bağlantı kurmayı ertelemek en doğrusudur. Teknolojinin yeni olması, onu hemen kullanmanız için bir sebep değildir.

• Tek seferlik ya da nadir bir işte dosya yüklemek yetiyorsa.
• Kullandığınız araçta hazır, yönetilebilir bir yapay zeka eklentisi varsa.
• İş akışı sabitse ve her seferinde aynı adımlar işliyorsa, bu durumda otomasyon yeterlidir.
• Bağlanacak veri kişisel ya da gizli ve izin sorumlusu belli değilse.
• Ekipte henüz temel yapay zeka kullanımı oturmamışsa. Önce okuryazarlık, sonra bağlantı gelir.

Şirketinizde MCP'ye nasıl başlanır?

Benim önerim tek bir araç ve tek bir sorunla başlamak:

1. Tek bir kullanım seçin. Örneğin satış ekibinin CRM kayıtlarını özetlemesi. Sonucu ölçebileceğiniz küçük bir iş olsun.
2. Veriyi sınıflandırın. Bağlanacak alanda kişisel ya da özel nitelikli veri varsa önce temizleyin ya da kapsam dışı bırakın.
3. Kısıtlı bir hizmet hesabı açın. Yalnız okuma izni verin, onaylı bir sunucu kullanın.
4. Beş kişilik bir pilot yürütün. Kayıtları izleyin, asistanın nelere eriştiğine bakın, yanlış anlaşılan komutları toplayın.
5. İzinleri ve sonucu gözden geçirin. Fayda net ve risk yönetilebilirse ikinci bir araca geçin, yazma izni ancak insan onayıyla eklensin.

Ekibinizin hangi işlerde asistan bağlantısından fayda göreceğini ve hangi izinlerin güvenli olacağını birlikte belirlemek isterseniz danışmanlık tarafında bunu kendi yapınıza göre çıkarabiliriz. Çalışanların bağlantılı araçları doğru ve güvenli kullanması için ekibinize özel teklifi kurumsal yapay zeka eğitimi sayfasından isteyebilirsiniz.