Kurumsal yapay zeka riskleri: tanımlama, değerlendirme ve kontrol yöntemi

Yapay zeka riskini farklı kılan nedir?

Kurumsal risk yönetimi yeni bir alan değildir; ancak yapay zeka sistemleri klasik yazılımdan farklı davranır. Çıktılar olasılıksaldır, aynı girdi farklı sonuç verebilir, modelin hatası sessiz ve ikna edici olabilir ve model zaman içinde, veri dağılımı değiştikçe bozulabilir. Bu özellikler, geleneksel kontrollerin tek başına yetersiz kalmasına yol açar.

Üretken yapay zeka bu tabloya yeni riskler ekler: yanlış ama kendinden emin cevaplar, hassas verinin dış servislere sızması, telif ve içerik kaynağı belirsizlikleri, komut enjeksiyonu gibi saldırı türleri. Aynı zamanda yapay zeka çoğu zaman kurumun dışından tedarik edilir; bu da üçüncü taraf riskini gündeme getirir.

Bu nedenle yapay zeka risk yönetimi, mevcut kurumsal risk çerçevesine eklenen, yapay zekaya özgü tanım, değerlendirme ve kontrol katmanıdır.

Risk kategorilerini tanımlamak

Risk yönetiminin ilk adımı, hangi risklerle karşı karşıya olunduğunu sınıflandırmaktır. Kurumsal ortamda yaygın kategoriler şunlardır:

• Doğruluk ve güvenilirlik: Yanlış, eski ya da uydurma çıktılar; model bozulması
• Adalet ve ayrımcılık: Eğitim verisindeki önyargının kararlara yansıması
• Gizlilik ve veri koruma: Kişisel ve gizli verilerin yanlış kullanımı ya da sızması
• Güvenlik: Komut enjeksiyonu, model ve veri hırsızlığı, yetkisiz erişim
• Hukuki ve uyum: Düzenleyici yükümlülükler, telif ve sözleşme riskleri
• Operasyonel: Sistem kesintisi, çıktıya aşırı güven, insan gözetiminin zayıflaması
• İtibar: Kamuya yansıyan hatalı ya da uygunsuz çıktılar
• Üçüncü taraf: Tedarikçinin güvenlik ve veri uygulamaları, tedarikçi bağımlılığı

Her yapay zeka kullanımı için hangi kategorilerin geçerli olduğunu işaretlemek, değerlendirme kapsamını daraltır ve tartışmayı somutlaştırır.

Risk değerlendirmesi: olasılık, etki ve bağlam

Her risk, gerçekleşme olasılığı ve etkisi açısından değerlendirilir. Yapay zekada bunlara eklenen boyut, kullanım bağlamıdır: aynı model, bir iç toplantı özeti üretirken düşük riskli, kredi kararına girdi sağlarken yüksek risklidir. Bu yüzden değerlendirme model üzerinden değil, kullanım senaryosu üzerinden yapılır.

Örneğin bir şirket müşteri destek ekibine yapay zeka asistanı kuruyor olsun. Değerlendirme şu soruları sorar: Asistan yanlış bilgi verirse müşteriye zarar verir mi? Konuşma geçmişi hangi verileri içeriyor? Asistan kendi başına işlem yapabiliyor mu, yoksa yalnızca öneri mi sunuyor? İnsan müdahalesi nerede devreye giriyor?

Değerlendirme sonunda senaryoyu düşük, orta ya da yüksek riskli olarak sınıflandırın ve sınıfa göre gereken kontrolleri belirleyin. Yüksek riskli senaryolar için ek inceleme, daha sıkı izleme ve üst yönetim onayı gerekir. NIST AI RMF gibi çerçeveler yönetişim, haritalama, ölçme ve yönetme işlevleri üzerinden bu mantığı sistematikleştirmek için referans alınabilir.

Kontroller ve hafifletme stratejileri

Riskler tanımlanıp sınıflandırıldıktan sonra, her risk için kontrol seçilir. Kontroller çalışma biçimine göre düşünülebilir: önleyici (riski doğmadan engeller), tespit edici (gerçekleşen riski fark eder) ve düzeltici (zararı azaltır ve geri dönüşü sağlar).

Sık kullanılan kontroller:

• Veri kuralları: hangi verinin hangi sisteme girebileceği, anonimleştirme ve erişim kısıtları
• İnsan gözetimi: yüksek riskli kararlarda insan onayı ve itiraz yolu
• Test ve doğrulama: kullanıma almadan önce ve düzenli aralıklarla kalite, adalet ve güvenlik testleri
• İçerik filtreleri ve sınırlandırmalar: üretken sistemlerde istenmeyen çıktıyı sınırlayan korumalar
• İzleme: çıktı kalitesi, kullanım örüntüleri ve sapmaların takibi
• Olay yönetimi: hatalı çıktı ya da ihlal durumunda bildirim ve müdahale planı

Her kontrolün bir sahibi, sıklığı ve kanıtı olmalıdır. Kanıtı olmayan kontrol, denetimde yok sayılır.

Risk kaydı, raporlama ve izleme

Risk kaydı (risk register), kurumun yapay zeka risklerini tek yerde toplar. Her kayıtta genellikle risk tanımı, ilgili sistem ya da senaryo, olasılık ve etki değerlendirmesi, mevcut kontroller, kalan risk, sahibi ve gözden geçirme tarihi bulunur.

Kayıt bir kere doldurulup rafa kaldırılan bir belge olmamalıdır. Yeni bir kullanım senaryosu eklendiğinde, tedarikçi değiştiğinde ya da bir olay yaşandığında güncellenmelidir. Üst yönetime ve yönetişim komitesine düzenli bir risk özeti raporlanmalı; raporda yüksek riskler, yeni çıkanlar ve gecikmiş aksiyonlar öne çıkarılmalıdır.

İzleme verisi, risk yönetiminin geri bildirim döngüsüdür. Beklenmeyen çıktılar, kullanıcı şikayetleri ve model davranışındaki sapmalar kayıtlara dönüştürülür. Böylece risk değerlendirmesi varsayım olmaktan çıkıp gözlemlere dayanır.

Üçüncü taraf yapay zeka riski

Kurumların kullandığı yapay zeka sistemlerinin önemli bir bölümü dışarıdan alınır: hazır büyük dil modelleri, yapay zeka destekli yazılımlar, tedarikçilerin kendi ürünlerine gömdüğü özellikler. Bu durumda kurumun kontrolü sınırlıdır; ancak sorumluluk büyük ölçüde kurumda kalır.

Tedarikçi değerlendirmesinde şu sorular sorulur: Veriler nerede ve nasıl işleniyor? Verilerim modelin eğitiminde kullanılıyor mu? Güvenlik ve gizlilik güvenceleri nelerdir? Model değiştiğinde bildirim alıyor muyum? Hizmet sona erdiğinde verim nasıl iade ya da imha edilir? Sözleşmede yapay zeka kullanımına ilişkin hükümler yer almalıdır.

Tedarikçi bağımlılığı da bir risktir. Tek bir modele ya da servise dayanan kritik süreçler için yedek plan, alternatif sağlayıcı ya da insan eliyle yürütme seçeneği düşünülmelidir.

Sık yapılan hatalar ve Mindset bağlamı

Sık hatalar: Riski modele bakarak değil, bağlama bakarak değerlendirmemek. Kayıtları yalnızca teknik ekibin tutması, iş biriminin dışarıda kalması. Tek seferlik değerlendirme yapıp izlemeyi bırakmak. Üçüncü taraf araçları envantere almamak. Gölge yapay zeka kullanımını görmezden gelmek.

Mindset'in Kurumsal Yapay Zeka Risk Yönetimi programı; Kontrol ve Hafifletme Stratejileri, Risk Kayıt Defteri ve Raporlama, Yapay Zeka Risk Kategorileri ve Sınıflandırma, Risk Değerlendirme Metodolojileri ile Yapay Zeka Tedarik Zinciri ve Üçüncü Taraf Riski modüllerini içerir. Yapay Zeka Risk Yönetimi ve Yönetişim programı ise yönetişim yapısı, üretken yapay zekaya özgü risk yönetimi, mevzuat uyumu ve risk iletişimi başlıklarını kapsar. Programlar risk, uyum, bilgi güvenliği, iç denetim ve bilgi teknolojileri ekipleri için uygundur.