Yapay Zekâ Yönetişimi Liderliğin Sorumluluğudur

Bir kabul edilebilir kullanım politikası, kurumun hangi yapay zekâ risklerini üstlenmeye hazır olduğuna karar veremez. Bu karar, sağlanacak fayda, yükümlülükler ve maruz kalınan risk arasında denge kurma yetkisine sahip liderlere aittir.

Teknoloji ekipleri mimariyi değerlendirebilir. Hukuk, gizlilik ve risk uzmanları önerilen kullanımı sorgulayabilir. Çalışanlar hangi işlerde desteğe ihtiyaç duyduklarını açıklayabilir. Yönetim ise bu girdileri bir karara dönüştürmelidir: Kullanıma devam edilmeli mi, hangi koşullar geçerli olmalı ve koşullar değiştiğinde kim hesap vermeye devam etmeli?

Bu nedenle temel soru açıktır: Çalışanlar yapay zekâ kullanmaya başlamadan önce liderler hangi kararları almalıdır?

İş kararından başlayın

“Yapay zekâyı devreye almak”, yönetişim açısından fazla geniş bir hedeftir. “Analistlerin üç aylık risk özetinin ilk taslağını hazırlamasına yardımcı olmak” ise amacı, kullanıcıları ve değerlendirilebilir bir çıktıyı tanımlar. Yararlı bir öneri; mevcut işi, beklenen faydayı ve yanlış bir sonucun doğurabileceği etkileri açıklar. Etkilenen kişileri ve bilgileri de belirler.

Liderler, yapay zekânın gerekli işletim kontrollerini haklı çıkaracak kadar değer katıp katmadığını sorgulamalıdır. Sınırlı bir taslak hazırlama yardımcısı ile bir hizmete erişimi etkileyen sistemin inceleme ihtiyaçları farklı olabilir. İkisinin de aynı sağlayıcıdan alınması, birine verilen yetkinin diğerine kendiliğinden aktarılmasını sağlamaz.

Araçlardan önce yetkileri belirleyin

Yönetim onayı şu beş soruyu yanıtlamalıdır:

1. İş kullanımının ve sonuçlarının sahibi kimdir?
2. Hizmeti ve kullanılmasına izin verilen bilgileri kim onaylar?
3. Kalan riski kim, hangi sınırlar içinde kabul edebilir?
4. Önemli sonuçlar doğurabilecek çıktıları kullanılmadan önce kim inceler?
5. Bir olay veya önemli değişiklik olduğunda kullanımı kim durdurabilir?

Bu roller farklı kişilere ait olabilir. İş birimi sponsoru, gizlilik kısıtlamasını sessizce geçersiz kılamaz. Teknik yönetici de bir hesabı yapılandırdığı için ticari kararın sahibi olmaz. Onay birden fazla birimin katılımını gerektiriyorsa işlem sırasını ve çözülemeyen görüş ayrılıklarının hangi yetkiliye iletileceğini kaydedin.

NIST AI RMF Core, GOVERN 2.3 kapsamında yapay zekâ risk kararlarını açıkça üst yönetimin sorumluluğuna verir. Çerçeve, gönüllü bir rehberdir; yürürlükteki mevzuatın veya kurumun yönetişim belgelerinin yerini almaz.

Örnek bir onay kararı

Yönetim için kontrol zayıflıklarını yapay zekâyla özetlemek isteyen kurgusal bir risk ekibini ele alalım. Öneri, hazırlık süresini kısaltmayı amaçlıyor; ancak girdiler arasında henüz çözümlenmemiş bulgular ve çalışanların adları da bulunuyor.

Sponsor önce kullanımın kapsamını daraltır: Onaylı bir hizmet ve kullanımına izin verilen kaynak kayıtlar aracılığıyla, kurum içi inceleme için özet taslakları hazırlanacaktır. Gizlilik ve güvenlik sorumluları veri akışını ve erişim koşullarını değerlendirir. Risk direktörü içeriğin esasına ilişkin sorumluluğu korur. Belirlenmiş bir incelemeci, önemli her ifadeyi kaynakla karşılaştırır.

Onay, otomatik risk kabulünü ve kurum dışına dağıtımı kapsamaz. Eksik kanıtlar, çelişkili kaynaklar veya bir kişiyi etkileyen çıktılar yetkili değerlendirmesine iletilir. Ekip; sağlayıcının, veri kategorilerinin veya hedef kitlenin değişmesi dâhil, onayın hangi durumlarda yeniden değerlendirileceğini kaydeder.

Bu karar, uygulanabilir bir sınır oluşturur. Gelecekteki her çıktının güvenilir olduğunu veya hizmetin tüm kurulumlarında aynı kontrollerin bulunduğunu kanıtlamaz.

Gözetimi uygulamada mümkün kılın

İncelemecinin kaynak belgelere, yeterli zamana, ilgili yetkinliğe ve itiraz etme yetkisine ihtiyacı vardır. Bu koşullar sağlanmadan zorunlu tutulan bir onay tıklaması çok az güvence sunar. Liderler, yapay zekânın kullanılamadığı veya uygun olmadığı durumlar için güvenli bir alternatif de dâhil olmak üzere, talep ettikleri iş için gerekli kaynakları sağlamalıdır.

İş kullanımından sorumlu kişi, onaylanan kullanımın gerçek uygulamayla örtüşmeye devam edip etmediğini izlemelidir. Taslak hazırlamadan önceliklendirmeye veya kurum içi belgelerden müşteri bilgilerine geçiş yeni bir değerlendirme gerektirir. İlk pilot kararı, benzer tüm işler için kalıcı izin değildir.

Bağımsız güvenceyi yönetim onayından ayrı tutun. İç denetim, yönetişim düzenlemelerini inceleyebilir; işletim ve risk kararlarının sorumluluğu yine yönetimdedir. IIA Üç Hat Modeli bu farklı sorumlulukları açıklamaya yardımcı olur.

Kararın kaydını isteyin

Bir sonraki yönetim değerlendirmesi için şu unsurları içeren tek sayfalık bir kayıt isteyin: amaç, hesap veren sorumlu, izin verilen veriler, onaylı hizmet, insan incelemesi, çözümlenmemiş sınırlamalar, konuyu yetkiliye iletme yolu ve yeniden değerlendirme koşulları. Güven veren bir etikete dayanmak yerine, onayı destekleyen kanıtları ekleyin.

Bir lider, yapay zekâ kullanımının neden değer yarattığını ve kalan riskin neden kabul edilebilir olduğunu açıklayabilmelidir. Bu değerlendirmeyi yapmaya yetkili kişinin kim olduğunu kimse söyleyemiyorsa kurumda bir karar boşluğu vardır. Yeni bir politika veya platform bu boşluğu tek başına gideremez.

Kaynaklar ve kanıt notları

NIST AI RMF Core, GOVERN 2.3 ve 3.2; IIA Üç Hat Modeli. İngilizce kaynak yazıdaki notlara göre birincil kaynak sayfaları 13 Ekim 2026’da kontrol edilmiştir. Aynı notlarda NIST RMF 1.0’ın güncellendiği belirtilmektedir. Bu yazı mevzuata uyum iddiası içermez.