CANBEK

yonetisim-ve-kontrol · teknik-not

Bir AI politikası yönetişim değildir

Politika niyeti tanımlar. Yönetişim, niyetin gerçek kullanımda nasıl çalışacağını belirler.

Bir kuruluş AI kullanımına ilişkin ilke ve kurallarını yayımladı.

Hassas veri girmeyin. İnsan kontrolü uygulayın. Yüksek riskli kullanım alanlarını yönetime bildirin. Onaysız araç kullanmayın.

Bunlar yararlı olabilir. Fakat bir ay sonra şu soruların cevapları hâlâ bilinmiyorsa yönetişim problemi çözülmemiştir:

Politika gerekli olabilir. Fakat politika çalıştırılabilir bir kontrol mekanizması değildir. Kuralı tarif eder; kuralın hangi olayda, hangi sistemde, kim tarafından ve hangi kayıtla işletileceğini tek başına göstermez.

Bu nedenle yönetişim çalışmasına yalnız belge gözden geçirmesiyle başlamak, gerçek kullanımın en riskli kısmını görünmez bırakabilir.

Bir AI politikası yönetişim değildir.

Politika niyeti tanımlar. Yönetişim ise niyetin roller, kararlar, kontroller, işletim ve kanıt üzerinden nasıl çalışacağını belirler.

Yönetişimin ilk sorunu çoğu zaman görünürlüktür

AI envanteri denildiğinde yalnızca “kullandığımız modeller” listesi çıkarmak kolaydır. GPT, Claude, Gemini, şirket içi model, üçüncü taraf özellik.

Fakat risk model isminden tek başına çıkmaz.

Aynı model bir ekipte toplantı notunu özetleyebilir, başka bir ekipte müşteri kararını etkileyen öneri üretebilir, başka bir sistemde otomatik eylem başlatabilir.

Bu nedenle envanter kaydı kullanım bağlamını taşımalıdır.

En azından kullanım amacı, kullanıcı grubu, girdi veri türü, çıktı veya eylem, iş etkisi, insan karar noktası, tedarikçi veya model bağı ve ilgili kontrol sahibi birlikte görülebilmelidir. Her alan her kullanım için aynı ayrıntıda olmak zorunda değildir; fakat risk sorusunu cevaplayacak bağlam kaybolmamalıdır.

Temsilî AI kullanım kaydı. Gerçek müşteri veya proje verisi değildir. Model adından daha fazla yönetişim bağlamı gerektiğini göstermek için oluşturulmuştur.

Önce görünürlük. Sonra sahiplik. Sonra kontrollü ölçekleme.

Envanter yalnız kurumun kendi geliştirdiği modellerle de sınırlı olmamalıdır. Mevcut SaaS ürününe sessizce eklenen AI özelliği, çalışanların kişisel hesapla kullandığı üretken AI aracı veya tedarikçinin hizmet içinde kullandığı model de karar etkisi yaratabilir.

Model listesinin kolay, kullanım envanterinin zor olmasının nedeni budur. Model teknik nesnedir. Yönetişim ise kullanım bağlamını yönetir.

“AI sahibi” tek rol olmak zorunda değildir

Teknik sistemi geliştiren ekip, model sağlayıcısı, verinin sahibi, iş sürecinin sahibi ve riski kabul eden kişi aynı olmayabilir.

Bu nedenle “sahip” alanını doldurmak yönetişim sorununu bitirmez.

Tek bir “AI sahibi” yazmak organizasyon şemasını sade gösterir, fakat karar sorumluluğunu bulanıklaştırabilir. Verinin kalitesini kim düzeltecek? Model sağlayıcısı değiştiğinde kim inceleyecek? İş etkisini kim kabul edecek? Kontrol başarısız olursa kim durdurma yetkisine sahip?

Bu soruların cevapları aynı kişide toplanabilir. Fakat bunun varsayım değil, açık karar olması gerekir.

En azından şu sorumlulukları ayırmak faydalı olabilir:

Bu roller küçük bir kuruluşta aynı kişide birleşebilir. Sorun değil. Önemli olan karar sorumluluğunun görünür olmasıdır.

“Süreçte insan var” demek insan gözetiminin nasıl çalıştığını göstermez

İnsan gözetimi, AI yönetişimi metinlerinde kolayca güven veren bir ifadeye dönüşebilir.

Fakat insan neyi görüyor? Hangi durumda müdahale ediyor? Model sonucunu reddetme yetkisi var mı? Zaman baskısı altında gerçekten inceleyebiliyor mu? İtiraz kaydı tutuluyor mu? İnsan kararı sonraki değerlendirmeye geri dönüyor mu?

Bu sorular cevaplanmadan “süreçte insan var” etiketi bir kontrol adı olabilir; çalışan kontrol olduğunu göstermez.

İnsan gözetiminin çalışması için en az dört şey gerekir: gerekli bilgiye erişim, yeterli zaman, kararı değiştirme veya durdurma yetkisi ve hangi durumda müdahale edeceğini anlayacak yetkinlik. İnsan yalnız son ekranda “onayla” düğmesine basıyorsa süreçte insan vardır; etkili gözetim olmayabilir.

POLİTİKA → ↓ → SORUMLULUK → ↓ → KONTROL → ↓ → İŞLETİM → ↓ → KANIT

Kontrolün adı ile sistemde nasıl çalıştığı aynı şey değildir.

Kanıt da bu yüzden yönetişimin sonunda eklenen denetim dosyası olmamalıdır. Kontrol çalışıyorsa bir iz bırakmalıdır: onay, inceleme, sapma, reddetme, eskalasyon veya değişiklik kaydı gibi.

Kontrol türleri de ayrılabilir. Önleyici kontrol belirli veri türünün modele gitmesini engelleyebilir. Tespit edici kontrol kaynak dışı iddia örüntüsünü izleyebilir. Düzeltici kontrol hatalı sonucu geri çekme veya kullanım alanını geçici durdurma mekanizması olabilir.

Yönetişim kaydı, bu kontrollerin yalnız adını değil hangi kullanım alanında neden gerekli olduğunu ve çalıştığını neyin göstereceğini ilişkilendirmelidir.

AI sistemi değiştiğinde yönetişim kaydı da değişmeli

Bir kullanım alanı ilk envantere alındığında düşük riskli görünebilir. Sonra veri kaynağı değişir. Sistem müşteriyle doğrudan konuşmaya başlar. Yeni bir araç çağrısı eklenir. Öneri otomatik eyleme dönüşür.

Model aynı kalsa bile kullanım bağlamı değişmiştir.

Bu nedenle yönetişim yalnız yıllık belge gözden geçirme döngüsü değildir. Değişiklik tetikleyicileri tanımlanmalıdır.

Örneğin:

Politika yazmak başlangıç olabilir. Yönetişim, kullanım büyürken kontrolün ve sorumluluğun kaybolmamasıdır.

Başlangıç için ağır bir yönetim sistemi kurmak zorunlu değildir. Küçük bir kurumda asgari uygulanabilir sıra şu olabilir: gerçek AI kullanımlarını görünür hâle getir, kullanım bağlamına göre risk sorularını ayır, sorumlulukları belirle, kritik kontrolleri işletime bağla ve değişiklik tetikleyicilerini kaydet.

Ölçek büyüdükçe politika, risk yöntemi, komite yapısı veya yönetim sistemi bu temelin üzerine oturabilir. Tersi sırada ise iyi yazılmış politika, görünmeyen kullanımın üzerinde asılı kalır.

İLGİLİ ÇALIŞMA ALANI

AI yönetişim hazırlığı

AI envanteri, kullanım bağlamı, risk, sahiplik, kontrol ve kanıt zincirini gerçek işletim üzerinden görünür hâle getirin.

Hizmeti inceleyin →

6 DK OKUMA