AI governance
sözlüğü.

AI governance (yapay zeka yönetişimi), bir organizasyonun yapay zeka sistemlerini etik, şeffaf, hesap verebilir ve yasal uyumlu biçimde geliştirmesi ve kullanması için oluşturduğu politikalar, süreçler ve kontroller bütünüdür. KVKK, EU AI Act ve ISO 42001 gibi düzenlemelere uyum AI governance kapsamında değerlendirilir.

KVKK (Kişisel Verilerin Korunması Kanunu), Türkiye'de 2016 yılında yürürlüğe giren ve kişisel verilerin işlenmesini düzenleyen temel yasal düzenlemedir. AB GDPR'ı ile büyük ölçüde uyumludur. Veri sorumluları ve işleyenler için aydınlatma yükümlülüğü, açık rıza, yurt dışı aktarım kısıtlamaları ve veri güvenliği yükümlülükleri getirir.

EU AI Act (AB Yapay Zeka Yönetmeliği), 2024'te yürürlüğe giren dünyanın ilk kapsamlı yapay zeka yasal düzenlemesidir. AI sistemlerini risk düzeyine göre 4 kategoriye ayırır: kabul edilemez risk (yasaklı), yüksek risk (sıkı denetim), sınırlı risk (şeffaflık zorunluluğu) ve minimal risk. AB pazarına hizmet veren Türk şirketler de bu yönetmeliğe tabi olabilir.

EU AI Act kapsamında, insanların sağlığı, güvenliği veya temel hakları üzerinde önemli etkisi olabilecek AI sistemleridir. Annex III; kredi değerlendirmesi, işe alım ve personel yönetimi, eğitim, kritik altyapı ve biyometrik tanımlama gibi alanları sayar. Bu sistemler için risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıt tutma ve insan gözetimi zorunludur.

ISO/IEC 42001, yapay zeka sistemlerinin sorumlu bir şekilde geliştirilmesi ve kullanılması için uluslararası yönetim sistemi standardıdır. 2023 yılında yayımlanan standart, 38 kontrol maddesi içerir; risk yönetimi, şeffaflık, insan gözetimi ve sürekli iyileştirme gerekliliklerini kapsar.

Shadow AI, bir organizasyonda IT departmanının bilgisi ve onayı olmadan çalışanlar tarafından kullanılan yapay zeka araç ve sistemleridir. ChatGPT, Copilot gibi uygulamalara şirket verisi girilmesi shadow AI riskine örnek gösterilebilir. KVKK ve EU AI Act açısından ciddi uyum riski oluşturur.

PII (Personally Identifiable Information) maskeleme, bir metindeki TC kimlik numarası, telefon, e-posta, IBAN gibi kişiyi tanımlayan verilerin tespit edilip, bir AI modeline veya üçüncü tarafa gönderilmeden önce gizlenmesi ya da anonimleştirilmesidir. KVKK’daki veri minimizasyonu ve veri güvenliği ilkelerini karşılamanın temel tekniklerinden biridir.

AI denetim kaydı, bir AI sistemine gönderilen her isteğin ve alınan her yanıtın; zaman, kullanıcı, model ve risk bilgisiyle birlikte değiştirilemez biçimde saklanmasıdır. Denetçilere ve düzenleyicilere bir AI kararının nasıl verildiğini kanıtlamak için kullanılır; EU AI Act yüksek riskli sistemler için kayıt tutmayı zorunlu kılar.

BDDK, Türkiye'de bankaları ve finansal kuruluşları düzenleyen ve denetleyen kamu kurumudur. Bankaların bilgi sistemleri, dış hizmet alımı ve model riski yönetimi BDDK düzenlemeleri kapsamında denetlenir; kredi skorlama gibi AI kullanımları bu denetimlerde açıklanabilirlik ve kayıt gerektirir.

AI hizmeti alınan tedarikçilerle (OpenAI, Microsoft, Google vb.) yapılan sözleşmelerin; veri işleme amacı, saklama süresi, yurt dışı veri aktarımı, alt işleyiciler ve veri güvenliği hükümleri açısından KVKK ve GDPR karşısında incelenmesidir.