ВАЖНО: нельзя добавлять к знакам вопроса кавычки — вы добавляете плейсхолдеры, а не строки.
$sql = "INSERT INTO t (col1,col2,col3) VALUES ";
$values = "(?".str_repeat(",?",count($data[0])-1).")"; // (?,?,?)
$sql .= $values.str_repeat(",$values",count($data)-1); // (?,?,?),(?,?,?)
$stmt = $mysqli->prepare($sql);
$types = str_repeat("s", count($data) * count($data[0])); // sss
$params = array_merge(...$data);
$stmt->bind_param($types, ...$params);
$stmt->execute();
Никогда не следует спорить с идиотами, потому что это всё равно бесполезно.
На вашем месте я бы просто согласился с ним, добавил эту бессмысленную проверку, и по возможности свалил как можно быстрее из этого места, от коллеги-идиота и размазни тимлида, на мнение которого коллеги кладут с прибором.