HUKUK
sel Verilerin Korunması Kanunu(“ KVKK”) kapsamındaki yükümlülükler ayrıca değerlendirilmelidir. Yapay zekâ araçlarına girilebilecek veri kategorileri teknik kontrollerle sınırlanmalı, veri aktarımı yapılan taraflardan gerekli güvenceler alınmalıdır.
Tedarikçi yönetişimi: Tedarikçi ilişkisinin her aşamasında gerekli kontroller kurgulanmalıdır. Seçim aşamasında tedarikçinin teknik yetkinliği, yönetişim yapısı ve uyum geçmişi değerlendirilir. İlişkinin esasları sözleşmeyle belirlenirken; veri kullanımı ve model eğitimi, alt işleyenler, olay bildirimi, denetim ve bilgi alma hakkı, fikrî mülkiyet ile çıkış ve silme koşulları gibi esaslı konular sözleşmede düzenlenmelidir. Kullanım süresince ise modelde yapılan değişiklikler ve performans sapmaları dahil olmak üzere tedarikçi üzerinde düzenli bir gözetim kurgulanmalıdır.
Kullanım Süresince: Düzenin İşletilmesi
52
İzleme, değişiklik ve sonlandırma: Performans risk profiline uygun sayıda gösterge ve önceden belirlenmiş uyarı eşikleriyle izlenmeli; model, veri kaynağı veya kullanım amacı değiştiğinde risk yeniden değerlendirilmelidir. Sistem kullanımdan kaldırılırken erişimler kapatılmalı ve veri silme yükümlülükleri yerine getirilmelidir.
Olay yönetimi: Yapay zekâ olayı geniş tanımlanmalıdır; teknik aksaklıklar kadar hatalı içerik, ayrımcı sonuç, yetkisiz işlem veya zararlı çıktı da olay kapsamında değerlendirilmelidir. İzlenecek yol olay müdahale planında önceden belirli olmalı ve bu plan tespit, eskalasyon, gerekirse güvenli durdurma, inceleme, bildirim, düzeltici faaliyet ile telafi adımlarını içermelidir. Çalışanların karşılaştıkları olayları iletebilecekleri bildirim kanalları oluşturulmalı, mevcut etik bildirim hatları yapay zekâ olaylarını kapsayacak şekilde kurgulanmalıdır. İtibar ve iletişim yönetimi de bu sürecin bir katmanı olduğundan, bu kapsamda bildirim eşikleri, hatalı içeriğin düzeltilmesi ve kurum adına açıklama yapacak kişiler önceden belirlenmelidir.
Denetim ve eğitim: Kurulan düzenin fiilen işlediği denetimle doğrulanır. Sorumlulukların fiilen yürütüldüğü, onayların alındığı ve müdahale kayıtlarının tutulduğu iç denetimle teyit edilmelidir. Bulgular üst yönetime raporlanmalı ve tespit edilen eksiklikler takip edilmelidir. Yapay zekâ okuryazarlığı, kullanıcıların sistemin sınırlarını bilmesi ve sorunları fark edebilmesi bakımından belirleyicidir; eğitim role göre kademelendirilerek düzenli aralıklarla tekrarlanmalı, sistemler ve kullanım biçimleri değiştikçe içeriği güncellenmelidir.
Her kurum için gerekli düzenin kapsamı, yürüttüğü faaliyetin niteliğine, kullandığı sistemlerin etkisine ve kurumun ölçeğine göre değişir. Yapay zekâ kullanımı sınırlı olan bir kurumda güncel bir envanter, tanımlanmış sistem sahipliği ile veri giriş kuralları asgari başlangıcı oluşturabilir. Yüksek riskli kullanımları bulunan kurumlarda ise etki değerlendirmesi, test, izleme ve üst yönetim gözetimi zorunlu hâle gelir. Kurumlar, kendi faaliyetine uygun bir başlangıç noktası belirlemeli; yapay zekâ kullanımı yaygınlaştıkça düzeni de buna göre genişletmelidir. Atılan adımların salt dokümantasyon düzeyinde kalmaması ve düzenin işlediğini gösteren kanıtlar üretilmesi, kurumun gerekli özeni gösterdiğini ortaya koyabilmesi açısından önemlidir.