|
Yol Haritası: Sorumluluk, Kontrol ve Kanıt
Temel ilkeler yönetişimin yönünü gösterir
; ilkeden uygulamaya geçmek için
ise bunların kurum içinde bir role, bir
sürece ve bir kontrole bağlanması gerekir
. Her sistemin bir sahibi, her kararın
bir mercii, her kontrolün bir kaydı
olmalıdır. Aşağıdaki adımlar, bu düze-
|
Her kurum için gerekli düzenin kapsamı, yürüttüğü faaliyetin niteliğine, kullandığı sistemlerin etkisine ve kurumun ölçeğine göre değişir. |
gözden geçirecek bir denetim işlevi
tanımlanması önemlidir. Hukuk, uyum,
bilgi güvenliği ve iş birimlerinin katıldığı
bir komite yapılanmasının onay ve
gözden geçirmeyi yürütmesi, düzenin
tamamından sorumlu bir üst düzey yöneticinin
ise yönetim kuruluna raporlaması
, yönetim kurulu ile uygulama
arasındaki bağı güçlendirir.
|
|
|
nin nasıl kurgulanması gerektiğini aşamalı
olarak özetlemektedir.
Hazırlık: Yönetişimin Kurulması
Yönetim Kurulu dahiliyeti: Yönetişim
, üst yönetim seviyesinde belirlenip
iş birimlerine inen bir yapı olarak
kurgulanmalıdır. Yapay zekâ kullanımı
kurumun risk profilini doğrudan etkilemesi
sebebiyle yönetim kurulu seviyesinde
sahiplenilmesi gereken bir
süreçtir. Üst yönetim, bu alanda hangi
riskin üstlenileceğine karar verir, düzenin
kurulması için gereken kaynağı
tahsis eder ve raporlama çerçevesini
oluşturur.
Politika: Kurumun yapay zekâ kullanımına
ilişkin temel esaslar, üst yönetim
tarafından onaylanan bir politika ile
belirlenmelidir. Politika; yapay zekanın
hangi amaçlarla kullanılabileceği
, hangi kullanımlara izin verildiği,
hangilerinin yasak olduğu, kuralların
kimleri ve hangi sistemleri kapsadığı
ve onay süreçleri gibi temel esasları
ortaya koyar. Kapsam belirlenirken
kurumun kendi geliştirdiği sistemler
kadar dışarıdan temin ettiği araçlar da
göz önünde tutulmalıdır.
Envanter: Tüm sistemlerin envanter
kaydının oluşturulması gerekir. Envanter
kapsamında; amaç, sorumlu, etkilenen
gruplar, veri kaynağı, tedarikçi
ve risk sınıfı kaydedilmeli, kapsam
|
değiştikçe envanter güncellenmelidir. Envanter kurum içinde geliştirilen modellerin yanı sıra satın alınan ürünlere gömülü yapay zekâ özellikleri ile uygulama programlama arayüzü üzerinden çağrılan modelleri de kapsamalıdır. Çalışanların kurumun bilgisi dışında kullandığı araçlar( gölge yapay zekâ kullanımı) kurum açısından ayrı bir risk alanı oluşturur ve yakından takip edilmelidir.
Risk sınıflandırması: Sistemler, doğurabilecekleri etkiye göre risk açısından kademelendirilir. Sınıflandırma sistemin kullanım senaryosuna göre yapılır. Değerlendirmede etkilenen kişiler, kararın geri alınabilirliği, olası zararın ağırlığı, insan müdahalesi imkânı ve veri hassasiyeti dikkate alınır. Kontrol yoğunluğu da bu sınıflandırmaya göre belirlenir.
Rol tanımlamaları: Sorumluluk matrisi kurulmalı ve hiçbir sistem sahipsiz kalmayacak şekilde rol tanımlamaları yapılmalıdır. Her sistemin, amacını ve sınırlarını bilen, işleyişini gözeten ve herhangi bir sorun halinde durdurma yetkisini taşıyan ve çıktıdan sorumlu olan bir sahibi olmalıdır. Riskli kullanımların devreye alınmadan önce değerlendirileceği bir onay mercii ile kurallara uyumu bağımsız biçimde
|
Sistem Devreye Alınırken: Kontrollerin Sağlanması
İnsan gözetimi: Kişiler hakkında sonuç
doğuran kararlar( işe alım, terfi,
fesih, kredi, fiyatlama) yalnızca sistem
çıktısıyla kesinleşmemeli, bu kararlar
önceden belirlenmiş yetkili kişi tarafından
değerlendirilmeli ve karardan
etkilenen kişiye itiraz yolu sağlanmalıdır
. Gözetimin sağlıklı bir şekilde gerçekleştirilebilmesi
için üç unsurun bir
arada bulunması gerekmektedir: çıktıyı
geçersiz kılma ve durdurma yetkisi,
sistemin sınırları ve otomasyona aşırı
güven riski konusunda yetkinlik ve her
müdahalenin kaydının oluşturulması.
Etki değerlendirmesi ve test: Kişiler
üzerinde önemli etki doğurabilecek
sistemlerde temel haklara etki, devreye
alma öncesinde değerlendirilmelidir
. Sistemler devreye alınmadan önce
test edilmeli, geçiş kademeli yapılmalıdır
. Sistem onay kararları, hangi tarihte
hangi bilgi ve hangi değerlendirme sonucu
verildiği gösterilebilecek şekilde
arşivlenmelidir.
Veri yönetişimi: Sistem, işlevini yerine
getirirken yalnızca ihtiyaç duyduğu
veriye erişmelidir. Bu kapsamda veri
minimizasyonu ilkesi esas alınmalı
ve veri işlemenin hukuki dayanağı
önceden belgelenmelidir. Kişisel veri
işlenen sistemlerde 6698 sayılı Kişi-
|
51 |