Küçük bir işletmenin uygulayabileceği yapay zeka yönetişim çerçevesi

Yapay zeka yönetişim çerçevesi nedir?

Yapay zeka yönetişim çerçevesi, yapay zeka politikanızın arkasındaki yönetim sistemidir: Bir yapay zeka aracını veya kullanımını kimin onaylayabileceğini, nelerin kaydedilmesi gerektiğini, risklerin nasıl kontrol edileceğini ve kararların ne zaman yeniden değerlendirileceğini belirtir. Kabul edilebilir kullanım politikası çalışanlara ne yapmaları gerektiğini söyler; yönetişim ise bu politikaya nelerin gireceğine karar verir ve politikanın doğruluğunu korur.

Yayımlanmış çerçevelerin çoğu, yapay zeka sistemleri geliştiren büyük kuruluşlar için yazılmıştır. Hazır asistanlar kullanan, 5 ila 200 kişilik bir şirket aynı mantığa çok daha küçük ölçekte ihtiyaç duyar. Amaç, onaylanan her kullanımın bir sorumlusu, gerekçesi ve gözden geçirme tarihi olması ve kimsenin kararı kimin verdiğini tahmin etmek zorunda kalmamasıdır.

Bu sayfa genel bilgi içerir, hukuki tavsiye niteliğinde değildir. Ürünlerinize yapay zeka entegre ediyorsanız, insanlarla ilgili kararları otomatikleştiriyorsanız veya düzenlemeye tabi bir sektörde çalışıyorsanız, burada açıklananların ötesinde uzman incelemesine ihtiyacınız vardır.

NIST Yapay Zeka Risk Yönetimi Çerçevesi küçük bir şirkette nasıl uygulanır?

NIST Yapay Zeka Risk Yönetimi Çerçevesi, 26 Ocak 2023 tarihinde yayımlanan, yapay zeka risk çalışmalarını dört işlev altında düzenleyen, gönüllü kullanıma yönelik bir çerçevedir: Yönetişim, Haritalama, Ölçme ve Yönetme. NIST, çerçevenin gönüllü kullanıma yönelik olduğunu, belirli bir sektöre veya kullanım senaryosuna bağlı olmadığını ve her büyüklükte kuruluşa esneklik sağladığını belirtiyor. Ayrıca kullanıcıların kaynaklarına ve kapasitelerine göre kategoriler arasından seçim yapabileceğini söylüyor; küçük bir ekibin yapması gereken de tam olarak budur.

Yönet, tüm alanları kapsar: kültür, politikalar, roller ve hesap verebilirlik. Haritala, bir sistemin kullanıldığı bağlamı ve bu bağlamdaki riskleri belirler. Ölç, bu riskleri nitel veya nicel yöntemlerle analiz eder ve izler. Riskleri yönet, belirlenen riskler için kaynak ayırır; olaylara müdahale ve olay sonrası toparlanma planlarını kapsar. NIST'in sayfası, çerçevenin gözden geçirilmekte olduğunu belirtiyor; bu nedenle alıntı yapmadan önce güncel sürümü kontrol edin.

Aşağıdaki tablo, küçük ekipler için yaptığımız uyarlamadır. Resmî bir NIST profili değildir ve kullanılması bir şirketin herhangi bir düzenlemeye uyumlu olduğu anlamına gelmez.

Küçük bir işletmede yapay zeka yönetişiminden kim sorumlu olmalı?

Yapay zeka yönetişiminin sorumluluğu, adı belli tek bir kişide olmalı ve bu kişinin tek başına alamayacağı kararlar için net bir onay süreci bulunmalıdır. Uygulamada bu kişi, 50 kişiden küçük şirketlerde genellikle kurucu veya operasyondan sorumlu üst düzey yönetici; daha büyük şirketlerde ise üst yönetime bağlı bir operasyon ya da bilgi teknolojileri yöneticisidir. NIST'in Yönetişim rehberliği, üst yönetimin yapay zeka riskleriyle ilgili kararların sorumluluğunu üstlenmesini ve rollerle iletişim kanallarının tanımlanmasını içerir.

60 kişilik kurgusal yazılım şirketi Kestrel Systems için uygulanabilir bir görev dağılımı: Operasyon direktörü kayıt listesinden sorumludur ve yeni araçları onaylar; veri korumadan sorumlu kişi, kişisel veri içeren her kullanıma onay verir; her bölüm yöneticisi kendi alanındaki iş akışlarını onaylar ve çıktıları kontrol eder; genel müdür yıllık gözden geçirmeyi onaylar. Dört kişi her şeyi kapsar ve herkes hangi sorunun kendisine ait olduğunu bilir.

Bir yapay zeka envanterinde neler kaydedilmeli?

Yapay zeka kayıt listesi, onaylanan her aracı ve kullanımını; abonelik planı, izin verilen görev, kullanılabilecek bilgiler, sorumlu kişi, inceleyen kişi ve inceleme tarihiyle birlikte kaydetmelidir. NIST'in Yönetişim rehberi, risk önceliklerine göre kaynak ayrılan yapay zeka sistemi envanter mekanizmalarını içerir; küçük bir şirket için paylaşılan bir hesap tablosu yeterlidir.

Üçüncü taraf bilgilerini de kaydedin; çünkü küçük bir şirketin kullandığı neredeyse her yapay zeka sistemi bir tedarikçiye aittir. NIST'in yönetişim materyalleri, üçüncü taraf yapay zeka risklerine yönelik politikaları ve üçüncü taraf sistemler çalışmadığında uygulanacak acil durum süreçlerini kapsar. Kayıtta yer alması gerekenler şunlardır: tedarikçinin koşullarında model eğitimi, saklama ve silme hakkında neler yazdığı, bunları en son ne zaman kontrol ettiğiniz ve araç kullanılamaz hale gelirse veya koşullarını değiştirirse ne yapacağınız.

Kestrel için örnek satır: "Araç: [asistan] kurumsal çalışma alanı. Kullanım: kurum içi belge taslakları hazırlama ve kamuya açık araştırmaları özetleme. Bilgi: yalnızca kamuya açık ve kurum içi bilgiler. Sorumlu: operasyon direktörü. İnceleyen: dışarıya gönderilecek her içerik için yazarın doğrudan bağlı olduğu yönetici. Sağlayıcının koşullarının kontrol edildiği tarih: [tarih]. Yedek yöntem: yapay zeka kullanmadan taslak hazırlama. Sonraki inceleme: [tarih]."

Yeni bir yapay zeka kullanımı nasıl onaylanmalı?

Yeni bir yapay zeka kullanımı, beş soruyu yanıtlayan kısa bir yazılı taleple onaylanmalıdır. Böylece sorumlu kişi hızla karar verebilir ve karar kayıt altına alınır. Küçük bir şirkette taleplerin çoğu düşük risklidir; bunlar bir komite toplantısı gerektirmeden bir gün içinde sonuçlandırılmalıdır. Yavaş işleyen bir süreç, insanları bu adımı atlamaya iter.

Kestrel'in talep formu beş satırdan oluşur. Herhangi bir yanıt kişisel veri veya bir kişi hakkında karar içeriyorsa talep, onaydan önce veri onayı sürecine gönderilir.

Bir yapay zeka yönetişim politikası hangi ilkelere dayanmalı?

Üzerinde uzlaşılmış tek bir yapay zeka yönetişimi ilkeleri listesi yoktur; farklı çerçeveler farklı ilkeler kullanır. Bu nedenle ekibinizin uygulayabileceği kısa bir liste seçin. NIST, güvenilir yapay zekanın özelliklerini şöyle sıralar: geçerli ve güvenilir, güvenli, saldırılara karşı korunaklı ve dayanıklı, hesap verebilir ve şeffaf, açıklanabilir ve yorumlanabilir, gizliliği güçlendirilmiş ve zararlı yanlılıkları yönetilen adil sistemler. Birleşik Krallık hükümetinin kamu görevlileri için Şubat 2025'te yayımladığı yapay zeka uygulama rehberi, yapay zekanın ne olduğunu ve sınırlarını bilmekle başlayan ve doğru aşamalarda anlamlı insan kontrolünü de içeren on ilke ortaya koyar.

Küçük bir işletme için genellikle üç çalışma ilkesi yeterlidir: her kullanımın belirlenmiş bir sorumlusu olmalı; bilgiler yalnızca izin verilen ortamlara aktarılmalı; kullanılan her çıktı bir kişi tarafından kontrol edilmeli ve sorumluluğu üstlenilmelidir. Önerilen bir kullanım bu üçünü birden karşılayamıyorsa onaylanmaya hazır değildir.

İnsanlar bazen yapay zeka yönetişiminin üç temel unsurunu soruyor. Bunun standart bir listesi yok. Konuyu pratik olarak şöyle düşünebilirsiniz: insanlar (kim karar veriyor ve kim eğitim alıyor), süreç (kullanımlar nasıl onaylanıyor ve inceleniyor) ve kayıtlar (kayıt defteri ve içindeki kararlar).

Yapay zeka yönetişimi kararları ne sıklıkla gözden geçirilmeli?

Kaydın tamamını yılda en az bir kez gözden geçirin. Bir tedarikçi koşullarını değiştirdiğinde, bir plan değiştiğinde, müşteri sözleşmesine yapay zeka hükümleri eklendiğinde veya bildirilen bir sorun bir iş akışının işlemediğini gösterdiğinde ilgili kayıtları ayrıca inceleyin. NIST'in Yönetişim rehberi, risk yönetimi sürecinin sürekli izlenmesini ve düzenli aralıklarla gözden geçirilmesini kapsar.

Küçük bir şirket için üç ayda bir yarım saat çoğu zaman yeterlidir: sorumlu kişi sorun kaydını okur, iki veya üç tedarikçinin koşullarını kontrol eder, bölüm yöneticilerine herhangi bir kullanımın değişip değişmediğini sorar ve kimsenin kullanmadığı araçları devreden çıkarır. Kullanılmayan araçları devreden çıkarmak yönetişimin bir parçasıdır; NIST'in Yönetişim rehberi, yapay zeka sistemlerini güvenli biçimde kullanımdan kaldırmaya yönelik süreçler içerir.

Yapay zeka yönetişiminde eğitimin yeri nedir?

Eğitim, yönetişimin kuralları uygulanabilir hâle getiren parçasıdır. NIST'in yönetişim rehberi, personelin yapay zeka risk yönetimi eğitimi almasını içerir. Avrupa Birliği için Avrupa Komisyonunun Yapay Zeka Yasası'nın 4. maddesine ilişkin yapay zeka okuryazarlığı soru-cevap metni, herkese uyan tek bir yaklaşım olmadığını, sertifikanın zorunlu tutulmadığını ve kurum içinde tutulan bir eğitim kaydının yeterli olduğunu belirtir.

Kimin hangi konuda eğitim aldığını kaydedin ve eğitimi insanların gerçekten yaptığı görevlere odaklayın. Tosheo.ai, yöneticilerin beceri gelişimini ve tamamlama durumunu görebildiği, role dayalı uygulamalar sunmak üzere geliştiriliyor; bir yönetişim platformu değildir ve kayıtlarınızı tutmaz.

Küçük bir şirket ne zaman bundan daha fazlasına ihtiyaç duyar?

Yapay zeka sistemleri geliştiriyorsanız, bir ürüne yapay zeka ekliyorsanız, insanlar hakkında önemli kararlar almak veya bu kararları desteklemek için yapay zeka kullanıyorsanız, özel nitelikli kişisel verileri büyük ölçekte işliyorsanız ya da düzenlemeye tabi bir sektörde çalışıyorsanız, basit bir çerçeveden daha fazlasına ihtiyacınız vardır. Bu durumlarda resmî risk veya etki değerlendirmeleri, belgelendirilebilir yönetim sistemleri ve hukuki inceleme gerekebilir.

Yapay zeka yönetişimine özel yazılımlar vardır; bunlar çoğunlukla büyük kuruluşlara yöneliktir. Birkaç asistan kullanan bir ekip için elektronik tabloda tutulan bir kayıt listesi, kısa bir politika ve bir gözden geçirme tarihi genellikle yeterlidir; ayrıca bunları güncel tutmak daha kolaydır.

Kaynaklar ve kapsam

NIST, Yapay zeka risk yönetimi çerçevesi 1.0 (NIST AI 100-1), January 2023 ↗

NIST, Yapay zeka risk yönetimi çerçevesine genel bakış sayfası, kontrol tarihi: 16 October 2026 ↗

NIST yapay zeka risk yönetimi uygulama kılavuzu: Yönetişim, kontrol tarihi: 16 October 2026 ↗

GOV.UK, Birleşik Krallık Hükümeti için Yapay Zeka Uygulama Rehberi, 10 Şubat 2025 ↗

Avrupa Komisyonu, Yapay Zeka Okuryazarlığı - Sorular ve Yanıtlar, son güncelleme: 27 July 2026 ↗