Yapay Zekâ Yönetişimi: Kurumlar İçin Pratik Bir Çerçeve (NIST AI RMF, ISO/IEC 42001 ve KVKK Işığında)

Yapay zekâ araçları kurumlara iki yoldan girer: planlı projelerle ve çalışanların kendi başlarına kullandığı araçlarla. İkincisi çoğu zaman görünmezdir ve yönetişim ihtiyacını doğuran da budur: müşteri verisinin bir sohbet aracına yapıştırılması, kaynağı belirsiz bir özetin rapora girmesi ya da bir modelin kararı için kimsenin sorumluluk almaması. Bu yazıda, büyük kurumsal çerçevelerden sadeleştirilmiş, küçük ve orta ölçekli kurumların uygulayabileceği bir yönetişim modeli öneriyoruz.

Dayandığımız çerçeveler

• NIST AI Risk Management Framework (AI RMF 1.0): Yönetme, haritalama, ölçme ve yönetim (govern, map, measure, manage) işlevleriyle risk odaklı bir yaklaşım sunar.
• ISO/IEC 42001:2023: Yapay zekâ yönetim sistemi standardı; ISO 27001'e benzer bir yönetim sistemi mantığını yapay zekâya uygular.
• Avrupa Birliği Yapay Zekâ Tüzüğü (AI Act): Kullanım alanlarını risk sınıflarına ayırır; AB ile iş yapan kurumlar için yükümlülükler doğurabilir.
• Kişisel veri mevzuatı: Türkiye'de KVKK, KKTC'de Kişisel Verilerin Korunması Yasası, AB'de GDPR; yapay zekâya özel değildir ama her yapay zekâ kullanımı bu kurallara tabidir.

Bu çerçeveler büyük görünür; ancak özü dört soruya indirgenebilir: Ne kullanıyoruz? Hangi veriyle? Kim sorumlu? Hata olursa ne olur?

1. Envanter: ne kullanıyoruz?

İlk adım, kurumdaki tüm yapay zekâ kullanımlarını listelemektir: resmi projeler, yazılımlara gömülü özellikler ve çalışanların bireysel kullandığı araçlar. Her kayıtta kullanım amacı, girdi verisinin türü, çıktının nerede kullanıldığı ve sorumlu kişi yer alır. Bu envanter, ISO 27001'deki varlık envanterinin yapay zekâ karşılığıdır.

2. Veri sınıflandırması: hangi veri hangi araca gidebilir?

Basit bir üç seviyeli sınıflandırma çoğu kurum için yeterlidir: herkese açık, kurum içi ve gizli (kişisel veri, finansal veri, sözleşmeler). Kural örneği: gizli sınıftaki veri yalnızca kurum içinde çalışan (yerel) modellere verilebilir; kurum içi veri sözleşmeli ve veri işleme şartları net olan servislere gidebilir; herkese açık veri için kısıt yoktur. Bu kuralın çalışanlara tek sayfalık bir rehberle anlatılması, uzun politikalardan daha etkilidir.

3. Kullanım sınıfları ve insan onayı

Her kullanımı etkisine göre sınıflandırın:

1. Destekleyici: Taslak metin, özet, kod önerisi. İnsan son kararı verir; onay zaten yapısal olarak vardır.
2. Karar destek: Finansal analiz, risk puanı, aday ön eleme. Çıktı bir insan tarafından incelenmeden işleme alınmaz; kaynak gösterimi zorunludur.
3. Otomatik işlem: Modelin çıktısı doğrudan bir işlem tetikler. Kurumların çoğu için bu sınıf, açık bir risk değerlendirmesi ve geri alma mekanizması olmadan kullanılmamalıdır.

Yönetişimin amacı yapay zekâyı yavaşlatmak değil; hangi kullanımın hızlı, hangisinin dikkatli olması gerektiğini önceden belirlemektir.

4. Sorumluluk ve kayıt

Her yapay zekâ kullanımının bir iş sahibi olmalıdır; teknik ekip değil, çıktının kullanıldığı sürecin sahibi. Sistemler, kimin hangi veriyle hangi çıktıyı aldığını kayıt altına almalıdır. Kayıt olmadan ne hata analizi ne de mevzuat karşısında hesap verebilirlik mümkündür.

5. Hata ve olay yönetimi

Modeller yanlış, yanlı veya uydurma çıktı üretebilir. Yönetişim modeli bunun "olmayacağını" değil, "olduğunda ne yapılacağını" tanımlar: kullanıcıların hatayı bildirme yolu, etkilenen kararların gözden geçirilmesi, gerekiyorsa kullanımın geçici olarak durdurulması. Bu, bilgi güvenliği olay yönetiminin yapay zekâ uzantısıdır.

6. Tedarikçi değerlendirmesi

Dış servis kullanılıyorsa sözleşmede şu soruların yanıtı olmalıdır: Girdiler model eğitiminde kullanılıyor mu? Veri hangi ülkede işleniyor? Saklama süresi ne? Alt işleyiciler kimler? Bu sorular GDPR ve KVKK kapsamındaki veri işleyen sözleşmeleriyle aynı mantıktadır.

Küçük ekipler için başlangıç paketi

• Bir sayfalık kullanım rehberi (izin verilen araçlar, veri sınıfları, yasaklar).
• Envanter tablosu (araç, amaç, veri, sahip).
• Karar destek kullanımları için "kaynak göster ve onayla" kuralı.
• Üç ayda bir gözden geçirme toplantısı.

Örnek kullanım rehberi (tek sayfa)

Aşağıdaki metin, bir kurumun çalışanlarına dağıtabileceği rehberin kurgusal bir örneğidir; kurumun kendi araç ve veri sınıflarına göre uyarlanmalıdır.

İzin verilen araçlar: Kurum içi asistan (tüm veri sınıfları); sözleşmeli dış servis X (yalnızca herkese açık ve kurum içi veri).

Asla paylaşılmayacaklar: Müşteri kişisel verileri, maaş bilgileri, sözleşmeler, erişim bilgileri; hiçbir dış araca.

Çıktı kullanımı: Yapay zekâ taslağı, bir insan tarafından okunup düzeltilmeden müşteriye, resmi belgeye veya karara girmez.

Kaynak: Yapay zekâdan gelen her olgusal iddia, kaynakla doğrulanır.

Bildirim: Hatalı, yanlı veya şüpheli bir çıktı fark ettiğinizde ... adresine bildirin; bildirim, cezalandırma sebebi değildir.

Envanter tablosu örneği

KullanımAraçVeri sınıfıKullanım sınıfıİş sahibi Toplantı notu özetlemeKurum içi asistanKurum içiDestekleyiciOperasyon Sözleşme maddesi aramaKurum içi RAGGizliKarar destekHukuk Sosyal medya taslağıDış servis XHerkese açıkDestekleyiciPazarlama Nakit akışı tahminiKurum içi modelGizliKarar destekFinans

Teknik kontroller: politikayı koda bağlamak

Yönetişim yalnızca belgeyle yürümez; sistemler politikayı uygulamalıdır:

• Yetki filtreli erişim: Asistan, kullanıcının göremediği veriyi göremez (veritabanı seviyesinde).
• Kayıt: Her sorgu ve yanıt, kullanıcı ve zaman bilgisiyle saklanır; erişim yetkisi ve saklama süresi tanımlıdır.
• Onay kapısı: Karar destek sınıfındaki çıktılar, bir insan "onayladı" işareti olmadan iş akışında ilerlemez.
• Dış servis geçidi: Dış servislere giden istekler tek bir geçitten geçer; gizli sınıf veri bu geçitte engellenir ve kayıt altına alınır.

Ölçme: neyi takip etmeli?

NIST AI RMF'nin "ölç" işlevi, kurum için üç basit göstergeye indirgenebilir: bildirilen hata sayısı ve türü, insan onayında reddedilen çıktı oranı (sayısal hedef değil, eğilim), ve envanter dışı kullanım tespiti. Bu göstergeler çeyreklik gözden geçirmede ele alınır; amaç ceza değil, kuralların ve araçların iyileştirilmesidir.

Sık sorulan: "Bu bizi yavaşlatmaz mı?"

İyi tasarlanmış bir yönetişim modeli, destekleyici kullanımları neredeyse hiç kısıtlamaz; dikkat gerektiren kullanımları ise önceden belirler. Yavaşlatan şey yönetişim değil, kuralların belirsizliğidir: hangi aracın kullanılabileceğini bilmeyen çalışan ya hiç kullanmaz ya da yanlış kullanır. Netlik, hızın ön koşuludur.

Cy Logic olarak geliştirdiğimiz yapay zekâ sistemlerinde doğrulama, yetkilendirme ve denetim kaydını zorunlu bileşen olarak ele alıyoruz; yönetişim modeli bunların kurumsal tarafıdır ve teknik mimariyle birlikte tasarlanmalıdır.