NIST AI RMF: Yapay Zeka Risk Yönetimi Çerçevesinin Dört İşlevi

NIST AI RMF nedir?

NIST AI RMF (AI Risk Management Framework, Yapay Zeka Risk Yönetimi Çerçevesi), ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) tarafından yayımlanan bir çerçevedir. NIST'e göre yapay zekanın tasarımına, geliştirilmesine, kullanımına ve değerlendirilmesine güvenilirlik katmayı kolaylaştırmak için hazırlanmıştır.

Çerçeve gönüllü kullanım için tasarlanmıştır. Sektöre, kurum büyüklüğüne ya da kullanım durumuna bağlı değildir; her kurum kendi bağlamına göre uyarlar.

Dört işlev

Çerçevenin çekirdeği dört işlevden oluşur: • GOVERN (yönetişim): Risk yönetimi kültürünü, politikaları, hesap verebilirliği ve gözetimi kurar. • MAP (haritalama): Sistemin amacını, kullanım ortamını, paydaşlarını ve olası etkilerini ortaya koyar; geliştirmeye ya da yayına geçip geçmeme kararını besler. • MEASURE (ölçme): Nicel, nitel ya da karma yöntemlerle riskleri ve güvenilirliği test, ölçüt ve izlemeyle değerlendirir. • MANAGE (yönetme): Haritalanan ve ölçülen risklere kaynak ayırır, müdahale planlarını ve olay yönetimini yürütür.

Türkçede "yönet" sözcüğü iki işlevde de geçtiği için karışıklık olabilir: GOVERN kurumsal yönetişimi, MANAGE ise riske verilen operasyonel yanıtı anlatır.

İşlevler nasıl birlikte çalışır?

GOVERN, ayrı bir aşama değil tüm sürece yayılan bir işlevdir; diğer üçünün içine uyum ve değerlendirme boyutlarını yerleştirir. İşlevler sabit sıraya bağlı değildir ve yinelenir. NIST'e göre çoğu kullanıcı GOVERN'ü kurduktan sonra MAP ile başlar, ardından MEASURE ya da MANAGE'e geçer ve gerektikçe önceki işleve döner.

Çerçevedeki eylemler bir kontrol listesi değildir; kurum hangisini ne kadar uygulayacağına kendi bağlamına göre karar verir.

Küçük bir örnek

Bir hastane, hasta başvurularını önceliklendiren bir yapay zeka sistemi kullanmak istesin. GOVERN ile sistemden kimin sorumlu olduğu, hangi verinin kullanılacağı ve kimin denetleyeceği belirlenir. MAP ile sistemin amacı, kimleri etkileyeceği ve yanlış öncelik verilirse ne olacağı yazılır.

MEASURE ile sistem farklı hasta gruplarında test edilir ve doğruluğu izlenir. MANAGE ile ciddi bir sorun çıkarsa sistemin devreye alınmaması ya da insan kontrolüne bağlanması gibi kararlar alınır, yayın sonrası olaylar kayda geçer.

Üretken yapay zeka profili ve sınırları

NIST, çerçeveyi üretken yapay zekaya uyarlayan ayrı bir profil de yayımlamıştır (NIST-AI-600-1). Profil, üretken yapay zekanın kendine özgü risklerini belirlemeye ve kurumun hedeflerine uygun yönetim eylemleri önermeye yardım eder. NIST ayrıca çerçevenin Beyaz Saray Yapay Zeka Eylem Planı kapsamında revize edildiğini belirtir; güncel sürüm için NIST'in sayfası izlenmelidir.

Çerçeve belgelendirme sunmaz ve yasal uyumu tek başına kanıtlamaz. Ne yapılacağını sayan bir standart gibi değil, risk düşünmeyi yapılandıran bir rehber gibi kullanılır.

ISO/IEC 42001 ile ilişkisi

ISO/IEC 42001 yapay zeka yönetim sistemi için gereklilikler içeren, belgelendirilebilir bir standarttır. NIST AI RMF ise sistem riskleri üzerine odaklanan gönüllü bir çerçevedir. İkisi birlikte kullanılabilir: standart yönetim düzenini, çerçeve ise riskin nasıl bulunacağını ve ele alınacağını yönlendirir.

NIST AI RMF Mindset programlarında nerede geçer?

Yapay Zeka Uyum ve Etik Uzmanlığı Sertifika Programı'nın "Standartlar ve Çerçeveler: NIST AI RMF ve ISO 42001" modülü ile Yapay Zeka Risk Yönetimi ve Yönetişim programının "Yapay Zeka Risk Manzarası ve Çerçeveler" modülü bu çerçeveyi işler. Risk, uyum ve ürün sorumluları için çerçeveyi kuruma uyarlama yönünden ilgilidir.