Envanter Kanıt Değildir, Kanıt Kayıttır
Kurumsal yapay zekâ denetimi, çerçeve satan bir danışmanlık ile kanıt isteyen bir güvence hizmeti arasında bölünüyor: envanter tek başına riski azaltmaz, bağımsızlık sınırı çizilmezse aynı şirket hem sistemi kuran hem sistemi onaylayan taraf olur.
Defterde hangi satırlar var
Model envanteri, çoğu şirketin ilk ciddi yapay zekâ belgesidir. Her satırda amaçlanan kullanım, sahibi, veri kaynakları, erişim yetkisi, risk sınıfı, doğrulama sonucu, izleme eşiği ve sonlandırma planı durur. İyi envanter, “ne kadar modelimiz var” değil, “hangisi hangi kararı etkiliyor” sorusunu yanıtlar.
İkinci katman yönetim sistemi: politika, rol dağılımı, onay hattı, olay kaydı. ISO/IEC 42001 bu düzeni belgeleyen standart; NIST’in risk yönetimi çerçevesi ise aynı işi gönüllü bir dille tanımlıyor. İkisi de riski ölçmez, riskin nasıl yönetildiğini yazar.
Üçüncü satır, kanıt. Envanter bir iddiadır; kayıtsız iddia denetimde puan getirmez: karar günlüğü, test sonuçları, uyarı eşiği aşım raporu olmadan defter, renkli bir tablodan ibaret kalır.
Yeni gelir hattı
Dört büyük danışmanlık ağı, “yapay zekâ yönetişimi” başlığını ayrı bir hizmet kalemine dönüştürdü: envanter kurulumu, risk sınıflandırması, politika yazımı, regülasyon boşluk analizi ve yönetim kurulu eğitimi. Talebin takvimi, mevzuatın yürürlük tarihleriyle senkron.
Gelir tarafında iki model var. Biri proje: çerçeveyi yaz, eğit, sertifikaya hazırla. Diğeri tekrarlayan: izleme, gözden geçirme, raporlama. İkincisi, danışmanlığın klasik projesel yapısından farklı olarak, abonelik gibi davranır ve defterde daha uzun ömürlüdür.
Ancak aynı masada satılan iki hizmet, iki farklı meslek ister: biri inşa eder, diğeri onaylar. Pazar büyüdükçe ayrım, etik değil ekonomik bir sorun haline gelir.
Bağımsızlık nerede çatlar
Denetim mesleğinin yüz yıllık dersi tek cümlede: aynı müşteriye hem sistem kurup hem o sistemi onaylamak, tarafsızlığı zedeler. Muhasebe denetimindeki bağımsızlık kuralları bu yüzden yasayla yazıldı; yapay zekâ güvencesi ise çoğu yerde serbest hizmet statüsünde.
Sektörün hafızası taze örneklerle dolu: büyük denetim ağlarının kamu ihalelerinden uzaklaştırıldığı ülkeler oldu. Bu kararlar, teknik yetersizlikten değil, güvenin bölünemez olmasından doğdu.
Kurumsal tarafta pratik savunma, görev ayrımı: danışmanlığı bir firma, bağımsız değerlendirmeyi başka bir firma yapar; yönetim kurulu, kimin kime raporladığını yazar. Ayrım yoksa, raporun ağırlığı pazarlık konusudur.
Denetimin kanıt standardı
İyi bir güvence raporu, niyet beyanı değil örneklem sayar: hangi modeller, hangi dönem, hangi testler, hangi eşikler ve hangi bulgular. “Politika mevcut” cümlesi bir kontrol değil, bir belgedir; kontrol, o belgenin ihlal edildiği durumda ne olduğunu gösterir.
İkinci şart, kırılgan senaryoların denenmesi: zararlı istek, veri sızıntısı, ayrımcı çıktı, insan onayının atlanması. Bu testler yapılmadan verilen “uygun” görüşü, kutu işaretleme olur.
Üçüncüsü, zaman. Model sürümü değiştikçe kanıt eskir; rapor, bir fotoğraf değil bir dizi olmalı. İzleme planı ve gözden geçirme takvimi olmayan denetim, altı ay sonra geçersiz bir belgeye dönüşür.
Raporu okuma rehberi
Yönetim kurulu için ilk kontrol, kapsamdır: envanterin kaç modeli içerdiği ve karar etkisi olanların hangileri olduğu. Kapsam, organizasyonun kendisinden dar ise, risk değil eksik harita vardır.
İkinci kontrol, bulguların tonu. Hiç bulgu içermeyen güvence raporu, ya mükemmel bir sistemi ya da kimsenin bakmadığı bir dosyayı anlatır. Üçüncü kontrol, kapatma takvimi: hangi bulgu, kim tarafından, hangi tarihte giderilecek.
Son soru tek cümle: Bu raporu yazan, sistemi kuranla aynı mı? Cevap “evet” ise, raporu bir tavsiye gibi okuyun; “hayır” ise, bir denetim gibi.
Sık sorulan sorular
Model envanteri zorunlu mu?
Birçok kurumda fiilen öyle: yüksek risk sınıfına giren kullanımlar kayıt ve izleme ister. Envanter, yasal bir form olmaktan çok, tüm yükümlülüklerin dayandığı zemin.
ISO 42001 sertifikası riski azaltır mı?
Yönetim disiplinini belgeler, çıktı kalitesini garanti etmez. Sertifika, doğru uygulanmış kontrollerin ilanıdır; uygulanmamışsa risk aynı yerde durur.
Denetim ile danışmanlık aynı firmada olur mu?
Hukuken çoğu yerde olur, mesleki açıdan tartışmalıdır. Ayrım yoksa raporun ağırlığı pazarlık konusu olur; bağımsız değerlendirme ayrı bir tarafça yapılmalıdır.
İyi bir denetim raporu nasıl anlaşılır?
Kapsam, örneklem, bulgu ve kapatma takvimi sayısal olarak yazar; kırılgan senaryoların test edildiğini gösterir. Kutu işaretli çerçeve özeti, denetim değildir.
