Y İNOVASYON
Kurumsal Yapay Zekâ Eğitimi, Yapay Zeka Mentörlük ve Danışmanlık Hizmetleri
Kurumsal Yapay Zekâ Eğitimi, Yapay Zeka Mentörlük ve Danışmanlık Hizmetleri
Yapay zekâ araçlarının şirketlerde kullanımı hızla yaygınlaşıyor. Çalışanlar metin oluşturmak, rapor hazırlamak, veri analiz etmek, toplantıları özetlemek, sunum hazırlamak, kod yazmak veya araştırma yapmak için farklı yapay zekâ araçlarından yararlanabiliyor. Ancak şirket içerisinde yapay zekâ kullanımının yaygınlaşması yeni bir soruyu da beraberinde getiriyor: Çalışanlar yapay zekâyı hangi kurallar çerçevesinde kullanmalı?
Bu sorunun cevabı yalnızca hangi yapay zekâ aracının kullanılabileceğini belirlemekten ibaret değil. Şirketlerin aynı zamanda hangi verilerin AI sistemleriyle paylaşılabileceğini, hangi kullanım alanlarının riskli olduğunu, çalışanların oluşturulan içerikleri nasıl kontrol edeceğini, hangi kararların insan onayı gerektirdiğini ve yeni bir AI aracının kuruma alınmadan önce nasıl değerlendirileceğini belirlemesi gerekiyor.
İşte bu noktada AI Governance, yani yapay zekâ yönetişimi devreye giriyor.
AI Governance, şirketlerin yapay zekâ sistemlerini sorumlu, güvenli, kontrollü ve iş hedefleriyle uyumlu biçimde kullanabilmesi için oluşturduğu politika, süreç, sorumluluk ve kontrol mekanizmalarının bütünüdür. NIST’in AI Risk Management Framework’ü de yapay zekâ risklerinin yönetilmesini ve güvenilir AI kullanımının geliştirilmesini hedefleyen gönüllü bir çerçeve sunarken; ISO/IEC 42001, kuruluşların yapay zekâ yönetim sistemlerini oluşturması, uygulaması, sürdürmesi ve sürekli iyileştirmesi için uluslararası bir standart ortaya koyuyor.
Dolayısıyla şirketlerde yapay zekâ kullanım politikası hazırlamak, yalnızca birkaç maddelik bir “AI kullanım talimatı” yazmaktan çok daha kapsamlı bir organizasyonel hazırlık gerektiriyor.
AI Governance, bir şirketin yapay zekâ teknolojilerini nasıl kullanacağını ve bu teknolojilerin oluşturabileceği riskleri nasıl yöneteceğini belirleyen kurumsal yapıdır.
Bu yapı içerisinde yapay zekâ kullanımına ilişkin kurallar, görev ve sorumluluklar, veri güvenliği gereksinimleri, risk değerlendirme süreçleri, çalışanların uyması gereken ilkeler, AI sistemlerinin izlenmesi ve gerektiğinde müdahale edilmesi gibi konular bulunabilir.
NIST AI Risk Management Framework bu yaklaşımı Govern, Map, Measure ve Manage olmak üzere dört temel fonksiyon üzerinden ele alıyor. NIST’e göre yönetişim, diğer risk yönetimi faaliyetlerinin tamamına yayılan ve AI yaşam döngüsü boyunca devam etmesi gereken bir fonksiyon olarak konumlandırılıyor.
Bu nedenle AI Governance yalnızca hukuk veya IT departmanının sorumluluğu olarak görülmemelidir. Yapay zekâ kullanan bir organizasyonda yönetim, IT, bilgi güvenliği, hukuk, insan kaynakları ve iş birimleri farklı seviyelerde bu yapının parçası olabilir.
Çalışanların yapay zekâ araçlarını kullanmaya başlaması için şirket yönetiminin mutlaka resmi bir politika yayınlaması gerekmeyebilir. Ancak kullanım yaygınlaştıkça kontrolsüz AI kullanımı çeşitli riskleri beraberinde getirebilir.
Örneğin bir çalışan müşteriye ait hassas bir dokümanı analiz amacıyla herkese açık bir AI aracına yükleyebilir. Başka bir çalışan yapay zekânın oluşturduğu hatalı bir bilgiyi kontrol etmeden müşteriye gönderebilir. Bir başka ekip ise şirket tarafından onaylanmamış bir AI aracını iş süreçlerinin merkezine yerleştirebilir.
Bu örneklerin ortak noktası teknolojinin kendisinden çok kontrolsüz kullanım problemidir.
İyi hazırlanmış bir yapay zekâ kullanım politikası çalışanlara “AI kullanmayın” demek yerine, “AI’ı şu sınırlar içerisinde, şu amaçlarla ve şu kontrollerle kullanabilirsiniz” yaklaşımını benimser.
Bu yaklaşım inovasyonu engellemeden riskleri azaltmaya yardımcı olur.
Tam olarak değil.
Yapay zekâ kullanım politikası, AI Governance yapısının bir parçası olarak düşünülebilir. Politika çalışanlara ve kurum içerisindeki diğer paydaşlara hangi kurallara uyulması gerektiğini açıklar.
AI Governance ise daha geniş bir yapıdır. Politikanın yanı sıra risk değerlendirmesi, AI sistemlerinin envanteri, sorumlulukların belirlenmesi, tedarikçi değerlendirmeleri, performans takibi, olay yönetimi ve sürekli iyileştirme gibi süreçleri de kapsayabilir.
Başka bir ifadeyle politika kuralları tanımlar; governance ise bu kuralların nasıl uygulanacağını ve sürdürüleceğini yönetir.
Başarılı bir politika hazırlamak için öncelikle şirketin mevcut AI kullanım durumunun anlaşılması gerekir.
Çalışanların hangi yapay zekâ araçlarını kullandığı, hangi departmanların AI’dan yararlandığı, hangi verilerin işlendiği ve hangi iş süreçlerinde AI kullanıldığı bilinmeden hazırlanan politika gerçek çalışma biçimiyle örtüşmeyebilir.
Bu nedenle politika hazırlığının ilk aşamasında bir AI kullanım envanteri oluşturulması faydalı olur.
Bu envanter içerisinde aşağıdaki bilgiler değerlendirilebilir:
| Değerlendirilecek Alan | Örnek |
|---|---|
| Kullanılan AI aracı | ChatGPT, Copilot, Gemini vb. |
| Kullanıcı departman | Pazarlama, İK, Satış, IT |
| Kullanım amacı | İçerik, analiz, araştırma, otomasyon |
| Kullanılan veri | Genel bilgi, şirket verisi, müşteri verisi |
| Risk seviyesi | Düşük, orta, yüksek |
| İnsan kontrolü | Var / Yok |
| Şirket tarafından onay | Var / Yok |
| Entegrasyon | CRM, ERP, e-posta vb. |
Bu çalışma sonucunda şirketin yalnızca hangi araçları kullandığı değil, AI’ı nasıl kullandığı da ortaya çıkar.
Kapsamlı bir AI kullanım politikası farklı şirketlerde farklı şekilde tasarlanabilir. Ancak temel olarak aşağıdaki başlıkların ele alınması güçlü bir başlangıç sağlar.
İlk bölümde şirketin neden AI kullanım politikası oluşturduğu açıklanmalıdır.
Amaç yalnızca riskleri azaltmak olmamalıdır. Politikanın inovasyonu desteklemek, çalışanların yapay zekâdan güvenli şekilde yararlanmasını sağlamak, şirket verilerini korumak ve AI kullanımını iş hedefleriyle uyumlu hale getirmek gibi amaçları da bulunabilir.
Bu bölüm, politikanın çalışanlar tarafından bir “yasaklar listesi” olarak algılanmasını önlemek açısından önemlidir.
Politikanın kimleri ve hangi sistemleri kapsadığı belirtilmelidir.
Çalışanlar, yöneticiler, stajyerler, danışmanlar, yükleniciler ve şirket adına çalışan üçüncü taraflar bu kapsama dahil edilebilir. Aynı şekilde üretken yapay zekâ araçları, AI destekli yazılımlar, kurum içerisinde geliştirilen AI sistemleri ve dış hizmet sağlayıcılar da kapsam içerisinde değerlendirilebilir.
Çalışanların hangi amaçlarla yapay zekâ kullanabileceği mümkün olduğunca açık ifade edilmelidir.
Örneğin genel araştırma, fikir geliştirme, metin taslağı hazırlama, toplantı notlarını özetleme, dil desteği ve belirli veri güvenliği koşulları altında analiz gibi kullanım alanları düşük riskli kategorilerde değerlendirilebilir.
Ancak her şirketin risk profili farklı olduğundan, izin verilen kullanım alanları kurumun kendi faaliyetlerine göre belirlenmelidir.
Politikanın en kritik bölümlerinden biri de hangi AI kullanımlarının yasaklandığı veya önceden onay gerektirdiğinin açıkça belirtilmesidir.
Örneğin şirketin gizli ticari bilgilerinin onaylanmamış bir AI hizmetine aktarılması, AI çıktılarının insan kontrolü olmadan yüksek etkili kararlar için kullanılması veya şirket tarafından onaylanmayan AI sistemlerinin kritik iş süreçlerine entegre edilmesi kısıtlanabilir.
Buradaki amaç çalışanları korkutmak değil, hangi durumlarda ekstra dikkat gerektiğini netleştirmektir.
AI kullanım politikalarının en önemli bölümlerinden biri veri güvenliğidir.
Çalışanlar bir yapay zekâ aracına veri girdiğinde aslında şirket bilgisinin yeni bir teknoloji ortamına taşınması söz konusu olabilir. Bu nedenle “Bu bilgiyi ChatGPT’ye yazabilir miyim?” sorusunun cevabı şirketin veri sınıflandırma ve AI kullanım politikasıyla ilişkilendirilmelidir.
Şirket içerisinde verilerin en azından genel, şirket içi, gizli ve kritik gibi kategorilere ayrılması ve her kategori için AI kullanım kurallarının belirlenmesi faydalı olabilir.
Örneğin genel ve kamuya açık bilgilerle çalışırken daha esnek bir yaklaşım uygulanabilirken, müşteri bilgileri, kişisel veriler, finansal bilgiler, ticari sırlar veya stratejik dokümanlar için daha sıkı kurallar getirilebilir.
Bir AI kullanım politikasında çalışanlara yalnızca “gizli verileri paylaşmayın” demek yeterli olmayabilir.
Hangi verinin gizli olduğu, hangi AI servislerinin kurum tarafından onaylandığı, hangi durumlarda veri anonimleştirme yapılması gerektiği ve hangi sistemlerin kullanılmasının yasak olduğu mümkün olduğunca açıklaştırılmalıdır.
Çünkü çalışanların teknoloji konusunda uzman olması beklenemez. Politika, günlük iş akışında karar vermeyi kolaylaştıracak kadar pratik olmalıdır.
Yapay zekâ tarafından oluşturulan bir metnin doğru görünmesi, doğru olduğu anlamına gelmez.
Üretken AI sistemleri yanlış bilgi, eksik bilgi veya bağlamdan kopuk sonuçlar üretebilir. Bu nedenle şirket politikası, AI tarafından oluşturulan çıktıların hangi durumlarda insan tarafından kontrol edilmesi gerektiğini açıklamalıdır.
Özellikle müşteriye gönderilecek bilgiler, finansal raporlar, hukuki içerikler, teknik dokümanlar, insan kaynakları kararları veya yönetim kararlarını etkileyebilecek çıktılarda insan kontrolü daha kritik hale gelebilir.
NIST’in güvenilir ve sorumlu AI yaklaşımı da doğruluk ve güvenilirlik, güvenlik, dayanıklılık, hesap verebilirlik, şeffaflık, açıklanabilirlik, gizlilik ve zararlı önyargının yönetilmesi gibi özellikleri risk yönetimi açısından dikkate alıyor.
Dolayısıyla şirket politikasında “AI tarafından üretildi” bilgisinin, içeriğin otomatik olarak doğru kabul edilmesi anlamına gelmediği açıkça belirtilmelidir.
AI sisteminin bir iş sürecinde kullanılması, ortaya çıkan sonuçtan insan sorumluluğunu tamamen kaldırmaz.
Örneğin bir çalışan AI kullanarak bir müşteri e-postası hazırlıyorsa, gönderilmeden önce içeriğin kontrol edilmesi çalışanın sorumluluğunda olabilir. Daha karmaşık bir AI sistemi karar destek amacıyla kullanılıyorsa ilgili iş biriminin onay mekanizması ayrıca tanımlanabilir.
Bu nedenle kullanım politikasında şu soru cevaplanmalıdır:
“AI tarafından oluşturulan bir sonuç hatalı olduğunda kim kontrol edecek ve kim müdahale edecek?”
Bu sorunun cevabı belirsiz bırakıldığında AI kullanımı arttıkça sorumluluk boşlukları ortaya çıkabilir.
Evet. Her AI kullanımının aynı risk seviyesinde olmadığını kabul etmek, yönetilebilir bir governance yapısı oluşturmayı kolaylaştırır.
Örneğin basit bir fikir geliştirme kullanımı ile çalışan değerlendirmesini etkileyen bir AI sisteminin aynı kurallara tabi tutulması gerekmeyebilir.
Şirketler kullanım senaryolarını kendi ihtiyaçlarına göre örneğin düşük, orta ve yüksek risk seviyelerinde sınıflandırabilir.
| Risk Seviyesi | Örnek Kullanım | Kontrol Yaklaşımı |
|---|---|---|
| Düşük | Fikir geliştirme, genel araştırma | Temel kullanım kuralları |
| Orta | İç doküman özeti, rapor taslağı | Onaylı araç + insan kontrolü |
| Yüksek | Kritik karar destek, hassas veri işleme | Ön değerlendirme + yetkili onay + izleme |
Bu tür bir sınıflandırma şirketin bütün AI kullanımını tek bir kuralla yönetmek yerine risk bazlı bir yaklaşım geliştirmesine yardımcı olur.
NIST’in AI RMF yaklaşımı da AI risklerinin yaşam döngüsü boyunca sürekli şekilde ele alınmasını ve yönetişimin diğer risk yönetimi faaliyetlerine yayılmasını öngörüyor.
Bir yapay zekâ kullanım politikasının çalışanlar tarafından gerçekten uygulanabilmesi için kuralların açık, anlaşılır ve günlük iş akışına uyarlanabilir olması gerekir. Çok genel ifadeler içeren veya yalnızca hukuki terminolojiyle hazırlanan politikalar, çalışanların karşılaştıkları gerçek durumlarda ne yapmaları gerektiğini anlamasını zorlaştırabilir.
Örneğin “Şirket verileri yapay zekâ sistemleriyle paylaşılmamalıdır” ifadesi ilk bakışta net görünse de çalışan açısından bazı soruları beraberinde getirir. Şirket içi bir rapor paylaşılabilir mi? Müşteri adı silinmiş bir belge kullanılabilir mi? Microsoft Copilot ile şirket hesabı üzerinden yapılan işlemler hangi kurallara tabidir? Bir AI aracının ücretli kurumsal sürümü ile ücretsiz sürümü arasında veri güvenliği açısından fark var mıdır?
Bu nedenle iyi bir politika, yalnızca yasakları sıralamak yerine çalışanlara hangi durumda ne yapmaları gerektiğini göstermelidir.
Örneğin şirket politikasında aşağıdaki gibi bir yaklaşım kullanılabilir:
Genel ve kamuya açık bilgiler AI araçlarında kullanılabilir. Şirket içi bilgiler yalnızca kurum tarafından onaylanmış AI araçlarında işlenebilir. Gizli, kişisel veya ticari açıdan kritik bilgiler ise özel olarak yetkilendirilmedikçe harici AI sistemlerine aktarılmamalıdır.
Bu tür kurallar çalışanların karar vermesini kolaylaştırır.
Kurumsal AI politikasında bulunması gereken en önemli prensiplerden biri human-in-the-loop, yani insanın sürece dahil olmasıdır.
Yapay zekânın bir iş sürecinde kullanılması, nihai kararın mutlaka AI tarafından verilmesi gerektiği anlamına gelmez. Özellikle yüksek etkili sonuçlar doğurabilecek işlemlerde AI çıktısının yetkili bir çalışan tarafından değerlendirilmesi gerekebilir.
Örneğin bir AI sistemi satış ekibine müşteri önceliklendirmesi konusunda öneri sunabilir. Ancak müşteriyle ilgili nihai ticari kararın yalnızca AI çıktısına göre verilmesi yerine ilgili çalışan tarafından değerlendirilmesi daha kontrollü bir yaklaşım sağlayabilir.
Benzer şekilde insan kaynaklarında AI kullanılırken aday CV’lerinin özetlenmesi ile işe alım kararının tamamen otomatikleştirilmesi aynı risk seviyesinde değerlendirilmemelidir.
Bu nedenle şirket politikası şu sorulara cevap vermelidir:
Hangi AI çıktıları insan tarafından kontrol edilmelidir?
Hangi kararlar AI tarafından tek başına verilemez?
Hangi durumlarda ikinci bir onay gerekir?
AI çıktısındaki hatadan kim sorumludur?
Şüpheli veya hatalı bir sonuçla karşılaşıldığında süreç nasıl durdurulur?
Bu soruların cevapları, AI kullanımını günlük operasyonlarda daha güvenli hale getirir.
Çalışanların kullanabileceği AI araçlarını belirlemek de AI Governance yapısının önemli bir parçasıdır.
Bugün çalışanların farklı departmanlarda farklı AI servislerini kendi ihtiyaçları doğrultusunda kullanması oldukça kolaydır. Ancak şirket açısından bakıldığında her yeni AI aracı potansiyel olarak yeni bir veri, güvenlik, entegrasyon ve tedarikçi riski anlamına gelebilir.
Bu nedenle şirket içerisinde onaylı AI araçları listesi oluşturulabilir.
Bu liste yalnızca “ChatGPT kullanılabilir, diğerleri kullanılamaz” şeklinde hazırlanmamalıdır. Araçların hangi amaçlarla kullanılabileceği de belirtilmelidir.
| AI Aracı / Sistem | Kullanım Alanı | Veri Seviyesi | Onay Durumu |
|---|---|---|---|
| Kurumsal AI platformu | Genel iş süreçleri | İç veri | Onaylı |
| AI destekli doküman aracı | Doküman analizi | Belirli şirket verileri | Koşullu |
| AI kodlama aracı | Yazılım geliştirme | Teknik veri | Onaylı / Kontrollü |
| Genel amaçlı AI servisi | Araştırma ve fikir geliştirme | Kamuya açık veri | Onaylı |
| Onaylanmamış AI aracı | Belirsiz | Belirsiz | Kullanılamaz |
Bu yapı zaman içerisinde güncellenmelidir. Çünkü AI servislerinin özellikleri, veri işleme yöntemleri, entegrasyon seçenekleri ve kullanım koşulları değişebilir.
Şirket içerisinde yeni bir yapay zekâ aracı kullanılmaya başlanmadan önce yalnızca “Bu araç ne kadar iyi?” sorusunun sorulması yeterli değildir.
Aracın şirket ihtiyaçlarına uygunluğu kadar veri güvenliği, erişim yetkileri, entegrasyonlar, kullanıcı yönetimi, veri saklama politikaları, üçüncü taraf hizmetleri ve oluşturduğu çıktılar da değerlendirilmelidir.
Örneğin bir AI aracı çok başarılı sonuçlar üretiyor olabilir. Ancak şirketin hassas verileriyle kullanılmasına ilişkin yeterli kontrol bulunmuyorsa kurumsal ortamda kullanılması doğru olmayabilir.
Bu nedenle satın alma veya entegrasyon sürecine bir AI değerlendirme formu eklenebilir.
Bu değerlendirmede şu başlıklar ele alınabilir:
Araç hangi iş problemini çözüyor?
Hangi veriler sisteme aktarılacak?
Veriler nerede ve nasıl işleniyor?
Kullanıcı erişimleri nasıl yönetiliyor?
AI sağlayıcısının güvenlik ve gizlilik kontrolleri neler?
Üçüncü taraf entegrasyonları bulunuyor mu?
AI çıktılarının doğruluğu nasıl test edilecek?
İnsan kontrolü gerekiyor mu?
Araç kritik bir iş sürecine bağlanacak mı?
Sistem kullanılmadığında veriler ve entegrasyonlar nasıl kaldırılacak?
Bu yaklaşım, şirketin “önce aracı satın alıp sonra risklerini düşünme” problemini azaltır.
Kurumsal yapay zekâ kullanımında şirketin kontrol ettiği sistemler kadar üçüncü taraf hizmetleri de önemlidir.
Bir şirket kendi AI modelini geliştirmese bile dışarıdan aldığı bir yazılımın içerisinde AI özellikleri bulunabilir. CRM, müşteri hizmetleri, insan kaynakları, pazarlama, doküman yönetimi veya üretkenlik araçları zaman içerisinde AI özellikleri ekleyebilir.
Bu nedenle AI Governance yalnızca IT departmanının satın aldığı AI araçlarını değil, şirket içerisinde kullanılan diğer yazılımlardaki AI özelliklerini de kapsamalıdır.
NIST AI RMF yaklaşımında da üçüncü taraflardan kaynaklanan AI risklerinin yönetilmesine yönelik kontroller bulunuyor. AI sistemleri ve hizmetleri farklı tedarikçilerden geldiğinde bu ilişkilerin risk açısından izlenmesi önem kazanıyor.
Bu nedenle satın alma süreçlerinde AI kullanımına ilişkin özel soruların yer alması faydalı olabilir.
Şirketlerde AI kullanım politikası hazırlanırken genellikle “normal kullanım” senaryolarına odaklanılır. Oysa bir AI sistemi hata verdiğinde veya yanlış sonuç ürettiğinde ne yapılacağı da önceden belirlenmelidir.
Örneğin çalışan yanlışlıkla hassas bir belgeyi onaylanmamış bir AI aracına yüklerse ne yapmalıdır?
Bir AI agent yanlış müşteriye e-posta gönderirse kim müdahale edecektir?
Bir AI sistemi sürekli olarak hatalı sonuç üretmeye başlarsa kullanımını kim durduracaktır?
Bu gibi durumlar için AI olay yönetimi süreci oluşturulabilir.
Basit bir model şu şekilde kurgulanabilir:
Tespit → Bildirim → Risk değerlendirmesi → Müdahale → Kayıt → Analiz → Politika güncellemesi
Burada amaç yalnızca hatayı düzeltmek değildir. Aynı problemin tekrar yaşanmasını engelleyecek sistemsel önlemlerin geliştirilmesi de gerekir.
Bir şirketin AI kullanımı zaman içerisinde sabit kalmaz.
Bugün yalnızca pazarlama ekibinin kullandığı bir AI aracı birkaç ay sonra satış, müşteri hizmetleri veya insan kaynakları süreçlerine de dahil olabilir. Yeni AI araçları satın alınabilir, mevcut yazılımlara yeni AI özellikleri eklenebilir veya çalışanlar farklı kullanım senaryoları geliştirebilir.
Bu nedenle AI envanteri tek seferlik hazırlanıp arşivlenmemelidir.
Envanterde en azından şu bilgiler tutulabilir:
AI sistemi → Sahibi → Kullanım amacı → Departman → Veri türü → Risk seviyesi → Onay durumu → İnsan kontrolü → Tedarikçi → Son değerlendirme tarihi
Bu kayıt, şirketin zaman içerisinde büyüyen AI ekosistemini görünür hale getirir.
“AI’dan IT departmanı sorumludur” yaklaşımı çoğu kurum için yeterli olmayabilir.
Çünkü yapay zekâ yalnızca teknik bir konu değildir. Hukuki riskler, insan kaynakları süreçleri, müşteri ilişkileri, bilgi güvenliği, operasyonlar ve stratejik kararlar da AI kullanımından etkilenebilir.
Şirketin büyüklüğüne göre farklı modeller uygulanabilir.
Küçük bir şirkette AI Governance sorumluluğu birkaç kişinin görev tanımına eklenebilirken, büyük organizasyonlarda farklı departmanlardan temsilcilerin bulunduğu bir AI Governance Komitesi oluşturulabilir.
Örneğin komitede şu roller bulunabilir:
| Rol | Temel Sorumluluk |
|---|---|
| Üst Yönetim | Strateji ve risk iştahı |
| IT / Teknoloji | Teknik altyapı ve entegrasyon |
| Bilgi Güvenliği | Siber güvenlik ve erişim |
| Hukuk / KVKK | Hukuki ve veri koruma değerlendirmesi |
| İnsan Kaynakları | Çalışan kullanımı ve eğitim |
| İş Birimleri | Kullanım senaryoları ve iş sonuçları |
| AI / Veri Ekibi | Model, veri ve performans değerlendirmesi |
Her şirkette bu rollerin ayrı kişiler olması gerekmez. Önemli olan sorumlulukların belirsiz bırakılmamasıdır.
AI Governance komitesi oluşturulması tek başına yeterli değildir. Komitenin karar ve takip mekanizmalarının da belirlenmesi gerekir.
Komite yeni AI projelerini değerlendirebilir, yüksek riskli kullanım senaryolarını inceleyebilir, şirket politikalarını güncelleyebilir, AI araçlarının envanterini takip edebilir ve meydana gelen AI olaylarını değerlendirebilir.
Ayrıca şirketin AI yatırımlarının yalnızca teknoloji satın alma perspektifiyle değil, iş hedefleri açısından değerlendirilmesine yardımcı olabilir.
Burada önemli bir nokta vardır: AI Governance inovasyonun önüne geçmemelidir.
Her yeni AI fikrinin aylar süren onay süreçlerine takıldığı bir yapı çalışanların AI kullanmaktan kaçınmasına neden olabilir. Bu nedenle düşük riskli kullanım senaryoları için hızlı onay, yüksek riskli projeler için daha kapsamlı değerlendirme gibi kademeli bir model daha uygulanabilir olabilir.
Şirketler AI Governance yapılarını oluştururken farklı uluslararası çerçevelerden yararlanabilir. Bunlardan biri NIST AI Risk Management Framework’tür.
NIST AI RMF dört temel fonksiyon üzerinden yapılandırılmıştır: Govern, Map, Measure ve Manage. Bu fonksiyonlar sıralı bir kontrol listesi olmaktan ziyade AI risklerinin yaşam döngüsü boyunca ele alınması için bir çerçeve sunar.
Şirket açısından basitleştirilmiş bir karşılığı şöyle düşünülebilir:
Şirket AI kullanımı için politika, sorumluluk, süreç ve kuralları oluşturur.
AI sisteminin kullanım amacı, bağlamı, paydaşları, olası etkileri ve riskleri belirlenir.
AI sisteminin performansı, güvenilirliği ve belirlenen riskleri ölçülür.
Tespit edilen riskler önceliklendirilir ve gerekli önlemler alınır. Gerekirse sistemin kullanımı sınırlandırılır, değiştirilir veya durdurulur.
Bu model, şirketlerin AI Governance yaklaşımını yalnızca politika dokümanına dönüştürmek yerine sürekli işleyen bir yönetim döngüsü haline getirmesine yardımcı olabilir.
AI Governance konusunda dikkate alınabilecek bir diğer önemli standart ISO/IEC 42001‘dir.
ISO/IEC 42001:2023, kuruluşların yapay zekâ yönetim sistemlerini oluşturması, uygulaması, sürdürmesi ve sürekli iyileştirmesi için gereklilikler ve rehberlik sunan uluslararası bir standarttır. Standart, AI kullanan veya AI tabanlı ürün ve hizmetler sunan farklı büyüklükteki kuruluşlara uygulanabilecek şekilde tasarlanmıştır.
Burada önemli olan nokta, ISO/IEC 42001’in yalnızca teknik bir AI standardı olmamasıdır. Kurum içerisinde politika, hedef, süreç, risk yönetimi ve sürekli iyileştirme yaklaşımını bir yönetim sistemi içerisinde ele alır.
Dolayısıyla şirketler AI Governance yapılarını geliştirirken bu standardı referans çerçevelerden biri olarak değerlendirebilir.
Ancak bir şirketin yalnızca bir standarda atıfta bulunması, otomatik olarak uyumlu veya sertifikalı olduğu anlamına gelmez. Uygulanacak gerekliliklerin şirketin faaliyetlerine ve kapsamına göre ayrıca değerlendirilmesi gerekir.
Politika hazırlanıp PDF olarak çalışanlara gönderildiğinde süreç tamamlanmış olmaz.
Çalışanların AI kullanım kurallarını günlük işlerinde uygulayabilmesi için politika, eğitim ve uygulama birlikte ele alınmalıdır.
Örneğin şirket çalışanlarına yalnızca “gizli verileri AI’a yüklemeyin” demek yerine gerçek iş senaryoları üzerinden eğitim verilebilir.
Bir satış çalışanına müşteri e-postasının nasıl AI ile hazırlanabileceği, bir İK çalışanına aday bilgilerinin hangi koşullarda işlenebileceği, bir yöneticinin AI tarafından oluşturulan raporu nasıl doğrulayabileceği gösterilebilir.
Bu yaklaşım, yapay zekâ politikasını teorik bir belge olmaktan çıkarıp kurum kültürünün bir parçasına dönüştürür.
AI dünyasında teknoloji çok hızlı değiştiği için yıllarca değiştirilmeden kullanılan bir politika kısa sürede güncelliğini kaybedebilir.
Yeni bir AI aracı şirket içerisinde kullanılmaya başlandığında, mevcut sistemlere yeni AI özellikleri eklendiğinde, önemli bir güvenlik olayı yaşandığında veya mevzuat ve kurumsal gereksinimler değiştiğinde politika yeniden değerlendirilebilir.
Bunun yanında belirli periyotlarda planlı politika gözden geçirmeleri yapılması da faydalıdır.
Politikanın sonunda versiyon numarası, yürürlük tarihi, sorumlu birim, son gözden geçirme tarihi ve bir sonraki gözden geçirme tarihi gibi bilgiler bulunabilir.
Bu basit detaylar bile AI Governance yapısının daha sistematik hale gelmesine yardımcı olur.
Şirketinizde henüz resmi bir AI kullanım politikası bulunmuyorsa bütün sistemi bir anda kurmak zorunda değilsiniz.
Daha uygulanabilir yaklaşım, AI Governance yapısını aşamalı olarak geliştirmektir.
1. Mevcut durumu keşfedin.
Çalışanların ve departmanların hangi AI araçlarını kullandığını belirleyin.
2. AI envanteri oluşturun.
Kullanılan sistemleri, amaçlarını, verilerini ve risklerini kayıt altına alın.
3. Veri sınıflandırmasını netleştirin.
Hangi verilerin hangi AI sistemlerinde kullanılabileceğini belirleyin.
4. Kullanım politikasını hazırlayın.
İzin verilen, kısıtlanan ve yasaklanan kullanım senaryolarını açıklayın.
5. Sorumlulukları belirleyin.
AI projelerinde kim karar veriyor, kim kontrol ediyor ve kim müdahale ediyor sorularını yanıtlayın.
6. Onay mekanizması oluşturun.
Yeni AI araçları ve yüksek riskli kullanım senaryoları için değerlendirme süreci tasarlayın.
7. Çalışanları eğitin.
Politikanın günlük iş süreçlerinde nasıl uygulanacağını uygulamalı olarak gösterin.
8. Ölçün ve güncelleyin.
AI kullanımını, ortaya çıkan riskleri ve iş sonuçlarını düzenli olarak değerlendirin.
Bu yaklaşım, NIST AI RMF’nin yönetişim, riskleri haritalama, ölçme ve yönetme mantığıyla da uyumludur. NIST ayrıca bu faaliyetlerin AI yaşam döngüsü boyunca sürekli yürütülmesini ve değişen koşullara göre güncellenmesini vurgular.
Şirketlerde yapay zekâ kullanımı arttıkça “AI kullanmalı mıyız?” sorusunun yerini giderek “AI’ı nasıl doğru yönetmeliyiz?” sorusu alıyor.
İyi hazırlanmış bir yapay zekâ kullanım politikası çalışanların önüne engeller koymak yerine onlara güvenli hareket alanı sağlayabilir. Hangi araçların kullanılabileceği, hangi verilerin paylaşılabileceği, AI çıktılarının ne zaman kontrol edilmesi gerektiği ve yüksek riskli kullanım senaryolarında kimlerin sorumlu olduğu netleştiğinde şirket içerisinde yapay zekâ kullanımı daha kontrollü hale gelir.
Ancak gerçek AI Governance, yalnızca bir politika dokümanından oluşmaz. Politika, sorumluluk, risk yönetimi, çalışan eğitimi, araç envanteri, performans takibi ve sürekli iyileştirme birlikte çalışmalıdır.
ISO/IEC 42001 bu yapıyı bir AI yönetim sistemi perspektifinden ele alırken, NIST AI RMF Govern, Map, Measure ve Manage fonksiyonlarıyla AI risklerinin sürekli yönetilmesine yönelik esnek bir çerçeve sunuyor.
Yapay zekâyı kurumuna dahil etmek isteyen şirketler için asıl rekabet avantajı yalnızca en yeni AI aracını kullanmak olmayacaktır. Bu araçları doğru veriyle, doğru süreçte, doğru yetkilerle ve ölçülebilir iş sonuçlarıyla yönetebilmek çok daha önemli hale gelecektir.
Y İnovasyon’un kurumsal yapay zekâ yaklaşımında da bu nedenle yalnızca araç kullanımına değil; eğitim, mentörlük ve çözüm mimarlığını kapsayan bütünsel bir dönüşüm yaklaşımına odaklanmak önem taşır. Kurumun mevcut AI olgunluğunun analiz edilmesi, çalışanların doğru şekilde eğitilmesi ve ortaya çıkan kullanım senaryolarının iş süreçlerine entegre edilmesi, sürdürülebilir bir yapay zekâ dönüşümünün temelini oluşturabilir.
Yapay zekâ kullanım politikası, çalışanların ve kurumun AI araçlarını hangi amaçlarla, hangi kurallar ve güvenlik koşulları altında kullanabileceğini belirleyen kurumsal politika dokümanıdır.
AI Governance, şirketlerin yapay zekâ sistemlerini güvenli, sorumlu, kontrollü ve iş hedefleriyle uyumlu şekilde yönetmesini sağlayan politika, süreç, sorumluluk ve kontrol mekanizmalarının bütünüdür.
Yapay zekâ kullanan şirketler için resmi ve kapsamı belirlenmiş bir kullanım politikası oluşturmak, özellikle çalışan sayısı ve AI kullanım alanları arttıkça önemli hale gelir. Politikanın kapsamı şirketin büyüklüğüne, sektörüne ve risk seviyesine göre değişebilir.
Bu karar şirketin kendi AI kullanım politikası ve veri güvenliği kurallarına göre verilmelidir. Özellikle gizli, kişisel veya ticari açıdan hassas bilgilerin onaylanmamış AI sistemlerine aktarılması konusunda açık kurallar bulunmalıdır.
ISO/IEC 42001, kuruluşların yapay zekâ yönetim sistemlerini oluşturması, uygulaması, sürdürmesi ve sürekli iyileştirmesi için gereklilikler ve rehberlik sağlayan uluslararası AI yönetim sistemi standardıdır.
NIST AI RMF, kuruluşların yapay zekâ kaynaklı riskleri yönetmesine ve güvenilir, sorumlu AI kullanımını geliştirmesine yardımcı olmak amacıyla oluşturulmuş gönüllü bir risk yönetimi çerçevesidir. Dört temel fonksiyonu Govern, Map, Measure ve Manage’dir.
Politika, AI teknolojileri, kullanılan araçlar, şirket süreçleri ve riskler değiştikçe gözden geçirilmelidir. Bunun yanında şirket içerisinde belirlenmiş periyodik değerlendirmelerle politikanın güncel tutulması faydalıdır.
