Yapay zeka artık kurumsal karar süreçlerinin neredeyse her katmanına sızmış durumda, ama bunu kimin yönettiği sorusuna çoğu şirkette net bir cevap yok. Bu konuda uzun süredir çalışan biri olarak söyleyebilirim ki asıl sorun teknoloji değil, sahiplenme boşluğu. Envanter eksik, sorumluluk belirsiz, denetim izi neredeyse yok denecek kadar zayıf kalıyor. Üstüne bir de düzenleyici baskı binince tablo daha da karmaşık bir hal alıyor. Bence bu noktada ilkeler üzerinden konuşmak artık yetmiyor, somut ve maddeler halinde bir kontrol listesine ihtiyaç var. Aşağıdaki bölümler bu listeyi adım adım kuruyor, en başa dönerek, envanterden başlayarak.
Yapay Zeka Envanteri Neden İlk Madde Olmalı
Envanteri olmayan bir kurum, aslında neyi denetleyeceğini de bilmiyor demektir. Kulağa basit geliyor ama pratikte en çok atlanan adım burası. Model listesi, tedarikçi araçları, departman bazlı kullanım, veri erişim düzeyi, bunların hepsi tek bir yerde toplanmadan geri kalan hiçbir madde anlamlı çalışmıyor. Dikkat çekmek istediğim bir konu daha var: envanter bir kere çıkarılıp rafa kaldırılan bir belge değil, sürekli güncellenmesi gereken canlı bir kayıt.
Sistem Kaydı ve Sahiplik
İlk somut adım, her sistemin bir sahibinin olması.
Sahiplik atanmayan bir sistem sorumluluk boşluğuna düşüyor ve bu boşluk genelde en kötü zamanda fark ediliyor. Benim gördüğüm kadarıyla işe yarayan yapılarda üç farklı sahiplik katmanı var: iş sahibi, teknik sahip ve risk sahibi. Bunlardan biri eksik kaldığında onay süreci de tıkanıyor, çünkü kimin karar vereceği net değil. Sahiplik netleşmeden risk sınıflandırmasına geçmek bence zaman kaybı, çünkü sınıflandırmayı uygulayacak kişi belli olmadan liste kağıt üzerinde kalıyor.
Gölge Yapay Zeka Riski
Onaylanmamış araçlar da bu envanterin parçası sayılmalı.
Çoğu yönetici en büyük riskin gelişmiş, karmaşık modellerde olduğunu düşünüyor, ben bu konuda farklı düşünüyorum. Asıl tehlike genelde çok daha sıradan bir yerde birikiyor: bir çalışanın kişisel hesabıyla açtığı ücretsiz bir araca yapıştırdığı müşteri verisinde, kimsenin haberi olmadan. Onaysız kullanım, departman inisiyatifi, kişisel hesap üzerinden erişim, denetim dışı kalan veri akışı, hepsi merkezi sistemden çok daha zor görülüyor. Dikkat çekmek istediğim bir konu daha var: bu riski azaltmanın yolu yasaklamak değil, kullanımı görünür kılmak. Yasaklanan araç yer altına iniyor, görünür kılınan araç yönetilebilir hale geliyor.
Risk Sınıflandırması ve Sorumluluk Atama
Her sistem aynı denetim yükünü taşımıyor, risk seviyesi bunu belirliyor. Düşük risk, orta risk, yüksek risk ve kritik karar etkisi olan sistemler arasında net bir ayrım kurulmadan hiçbir kontrol listesi maddesi doğru yere oturmuyor. Ben bu ayrımı yaparken genelde şu soruyu soruyorum: bu sistem yanlış karar verirse geri dönüşü mümkün mü, değil mi? Cevap hayırsa, o sistem otomatik olarak üst kategoriye taşınıyor. Eisenberg, Gamboa ve Sherman’ın 2025 tarihli çalışması da bu noktada dikkat çekici bir şey söylüyor: kurumsal yapay zeka yönetişimini tek parça bir kontrol çerçevesinde ele almadığınız sürece, risk sınıflandırması ile regülasyon uyumu birbirinden kopuk iki ayrı süreç olarak kalıyor. Bence bu tam olarak sahada gördüğüm şeyle örtüşüyor, sınıflandırma tek başına bir liste maddesi değil, uyum çalışmasının omurgası aslında. Sınıflandırma yapılmadan geri kalan her adım gevşek bir zemine oturuyor.
Onay Zinciri
Her risk seviyesinin kendine ait bir onay makamı olması gerekiyor.
Yüksek riskli bir sistemi, düşük riskli bir sistemle aynı hızda onaylamak bence en yaygın hatalardan biri. İşe yarayan yapılarda düşük risk tek imzayla ilerlerken, orta risk bir komite değerlendirmesinden geçiyor, yüksek risk ise üst yönetim onayı ve düzenli gözden geçirme gerektiriyor. Onay zinciri bu şekilde katmanlanmadığında, gerçekte hiçbir seviye farkı fiiliyata yansımıyor. Sonraki bölüm de tam bu noktadan devam ediyor: onay alındıktan sonra fiili gözetim nasıl işliyor.
İnsan Gözetimi ve Karar Denetimi
Risk seviyesi yükseldikçe insan müdahalesinin yeri de değişiyor. Bazı sistemlerde otomatik onay yeterli, bazılarında insan kontrollü onay şart, bazılarında ise tam manuel inceleme gerekiyor. Bence bu ayrımı yapmadan gözetimden bahsetmek biraz boş bir söylem olarak kalıyor, çünkü gözetim burada bir tercih değil, seviyeye bağlı bir zorunluluk haline geliyor.
Gözetim Eşiği
Her sistemin bir gözetim eşiği tanımlanmalı.
Bu eşik net değilse insan müdahalesi keyfi bir uygulamaya dönüşüyor, kimi zaman devreye giriyor kimi zaman unutuluyor. Otomatik karar sınırı nerede biter, insan onayı hangi noktada devreye girer, istisna durumları nasıl kayıt altına alınır, geri alma yetkisi kimde, bunların hepsi yazılı ve ölçülebilir olmalı. Batool, Zowghi ve Bano’nun 2025 tarihli sistematik derlemesi de aslında tam bu boşluğa parmak basıyor: yönetişim uygulamalarının büyük kısmı ilke düzeyinde kalıyor, ölçülebilir eşiklere hiç dönüşmüyor. Ben bunu sahada da sık görüyorum, kurumlar “insan onayı gereklidir” yazıyor ama hangi koşulda gerektiğini hiç tarif etmiyor. Dikkat çekmek istediğim bir konu daha var: eşiğin yazılı olması tek başına yetmiyor, tetikleyici koşulun somut ve test edilebilir olması gerekiyor. Yoksa eşik kağıt üzerinde kalıyor, denetim izi de belirsizleşiyor.
Müdahale Yetkisi
Müdahale yetkisi olan kişi, kararı fiilen durdurma gücüne de sahip olmalı.
Yetkisi olmayan bir gözetimci, sistemin önünde değil arkasında kalıyor bence, sadece izleyen bir gözlemciye dönüşüyor. Durdurma yetkisi, eskalasyon hattı, karar için tanımlı zaman sınırı, her müdahalenin kayıt altına alınması, bunlar tanımlanmadan gözetim göstermelik bir adım olarak kalıyor.
İstisna Durumları
Bazı durumlarda insan onayını beklemek de kendi başına bir risk taşıyor.
Şimdi ilginç bir noktaya geliyoruz. Çoğu kişi insan onayının her zaman en güvenli seçenek olduğunu düşünür, ben bu konuda biraz farklı düşünüyorum. Acil bir durumda onay beklemek, bazen onaysız hareket etmekten daha büyük bir zarara yol açabiliyor. Bunun için önceden tanımlı istisna protokolleri gerekiyor: acil müdahale senaryosu, geçici yetki devri, sonradan yapılan denetim. Yetki kimde olursa olsun, istisna mekanizması yoksa gözetim modeli pratikte devre dışı kalıyor, çünkü kimse gecikmenin sorumluluğunu üstlenmek istemiyor.
Veri Yönetişimi, Gizlilik ve Denetim İzi
Yapay zekanın işlediği veri, işlenme amacına göre çok farklı hassasiyet seviyeleri taşıyor. Genel veri, müşteri verisi, finansal veri, hukuki ayrıcalıklı bilgi, bunların her biri farklı bir koruma düzeyi gerektiriyor. Veri sınıflandırması yapılmadan hangi aracın hangi veriyi işleyebileceği belirsiz kalıyor, bu da bence kontrol listesindeki en görünmez ama en kritik boşluklardan biri.
Türkiye’de faaliyet gösteren bir kurum için gizlilik kontrolleri tek bir çerçeveyle de sınırlı kalmıyor. KVKK yükümlülüğü bir yanda, sınır ötesi veri aktarımı kuralları öte yanda, sözleşmesel garantiler ve tedarikçi denetimi de araya giriyor. İki çerçevenin kesiştiği nokta, benim gözlemlediğim kadarıyla, çoğu kurumun kontrol listesinde ya hiç yok ya da yüzeysel geçiştiriliyor. Dikkat çekmek istediğim bir konu daha var: bu kesişimi tek seferlik bir hukuki inceleme değil, sistem envanterine bağlı sürekli bir kontrol olarak kurmak gerekiyor.
Bir kararın nasıl alındığını sonradan gösteremeyen kurum, o kararı savunamaz. Karar gerekçesi, model sürümü, onay kaydı, zaman damgası, bunların hepsi bir arada tutulmalı. Denetim izi kontrol listesinin son maddesi gibi görünüyor ama aslında öyle değil, önceki her maddenin kanıtı bu izde saklı.
Sonuç
Kontrol listesi tek seferlik bir doküman değil, tekrar eden bir döngü. Periyodik gözden geçirme, sorumluluk güncellemesi, yeni sistemlerin envantere eklenmesi, eski kayıtların arşivlenmesi, bunların hepsi düzenli aralıklarla işlemeli. Ben bu döngüyü kurumların en çok atladığı adım olarak görüyorum, çünkü liste bir kere hazırlanınca iş bitti sanılıyor. Oysa bu döngü çalıştığı sürece kurum, aldığı her kararı sonradan savunabilir hale geliyor, işte kurumsal yapay zeka yönetişiminin gerçek karşılığı da tam olarak bu.
