AB Yapay Zekâ Tüzüğü İçin KOBİ AI Envanteri Nasıl Kurulur?

Risk sınıfı model adıyla başlamaz

Bir KOBİ aynı üretken yapay zekâ modelini müşteri e-postası taslağı hazırlamak, özgeçmiş sıralamak veya kredi değerliliğine ilişkin bir süreci desteklemek için kullanabilir. Teknik bileşen benzer olsa da hukuki ve operasyonel risk aynı değildir. AB Yapay Zekâ Tüzüğü, sınıflandırmayı yalnızca model markasına bağlamaz; sistemin amacı, kullanıldığı bağlam, etkilediği kişiler ve doğurabileceği sonuçlar önemlidir. Bu nedenle ilk kontrol sorusu “Hangi modeli kullanıyoruz?” değil, “Bu sistem hangi kararı, kim hakkında ve ne ölçüde etkiliyor?” olmalıdır.

Türkiye’de kurulu her KOBİ otomatik olarak AB kurallarının tümüne tabi sayılmaz. AB pazarına sistem sunma, sistemi AB’de kullanma veya çıktının AB’de kullanılması gibi bağlantılar kapsam değerlendirmesini değiştirebilir. Ayrıca sektör mevzuatı, kişisel veri kuralları ve sözleşmeler ayrı yükümlülükler doğurabilir. Bu yazı hukuki sınıflandırma sunmaz; ekiplerin uzman incelemesine hazırlanmasını sağlayacak bir envanter yöntemini anlatır.

Envanterde uygulama değil kullanım senaryosu tutulmalı

Tek satırlık “kurumsal AI aboneliği” kaydı yeterli değildir. Aynı hizmet içinde farklı risk profilleri taşıyan birden çok senaryo bulunabilir. Her senaryo için en az şu alanlar kaydedilebilir:

İş amacı ve beklenen çıktı
Etkilenen kişi veya süreç
Girdi verisinin türü ve kaynağı
Kişisel veya özel nitelikli veri bulunup bulunmadığı
Modelin öneri mi, sınıflandırma mı, içerik mi ürettiği
Çıktının bir insan tarafından ne zaman incelendiği
Çıktının otomatik olarak başka bir sisteme işlem gönderip göndermediği
Sağlayıcı, model ailesi, sürüm ve barındırma bilgisi
Hata halinde oluşabilecek mali, hukuki veya operasyonel etki
Sistem sahibinin, risk sahibinin ve onay makamının kim olduğu
Başlangıç tarihi, son gözden geçirme ve kapatma tarihi

Bu yapı, “AI var mı?” sorusunu “AI nerede, ne yapıyor ve kim sorumlu?” sorusuna dönüştürür.

Dört kapılı ön inceleme

İlk kapı kapsamdır. Senaryonun AB ile coğrafi veya ticari bağlantısı, veri akışının yeri ve sağlayıcının rolü belirlenir. İkinci kapı yasaklı uygulama kontrolüdür. Manipülasyon, savunmasız grupların sömürülmesi veya belirli biyometrik uygulamalar gibi başlıklar uzman tarafından incelenir. Üçüncü kapı yüksek risk ihtimalidir. Özellikle istihdam, temel hizmetlere erişim veya kredi değerliliği gibi alanlarda sistemin gerçek işlevi dikkatle değerlendirilmelidir. Dördüncü kapı şeffaflık ve genel yönetişimdir. Kullanıcı bir makineyle etkileştiğini bilmeli mi, sentetik içerik işaretlenmeli mi, kişisel veri ve güvenlik kontrolleri yeterli mi soruları burada ele alınır.

Bir kullanım senaryosu yüksek riskli görünmüyorsa kontrolsüz değildir. Yanlış fatura sınıflandırması, hatalı müşteri mesajı veya gizli verinin dışarı çıkması yine iş riski yaratabilir. “Düşük risk” etiketi, finansal doğruluk veya veri güvenliği garantisi değildir.

Envanteri yaşayan kayıt haline getirmek

Envanter yılda bir kez açılan elektronik tablo olarak kalırsa hızla eskir. Satın alma süreci yeni bir AI aracı edinirken kayıt açmalı; bilgi güvenliği veri ve erişim sınırlarını incelemeli; süreç sahibi kullanım amacını doğrulamalıdır. Sağlayıcı modelini, saklama koşullarını veya alt işlemcilerini değiştirdiğinde kayıt yeniden değerlendirilmelidir. Aynı tetikleme, modelin yeni bir API’ye bağlanması, insan onayının kaldırılması ya da kullanımın yeni bir ülkeye açılması halinde de çalışmalıdır.

Değişiklik geçmişi silinmemelidir. Önceki amaç, önceki sağlayıcı, karar tarihi, kararı veren kişi ve dayanak belge korunursa denetim sırasında yalnız son durum değil, dönüşüm de görülebilir. Bu iz, hatalı sınıflandırmanın ne zaman ve hangi bilgiyle yapıldığını anlamaya yardım eder.

Finans süreçlerinde ayrı gerçeklik katmanı

AI çıktısı, muhasebe kaydı veya ödeme talimatı değildir. Örneğin bir model faturayı gider kategorisine önerebilir; fakat belgenin geçerliliği, vergi etkisi, hesap kodu ve kayıt zamanı yetkili kişi ile deterministik kontroller tarafından doğrulanmalıdır. Envanterde “çıktının bağlayıcılığı” alanı bulunması bu ayrımı görünür kılar. Öneri, taslak, uyarı ve kesin işlem birbirinden ayrılmalıdır.

Yüksek etkili adımlarda insan gözetimi yalnız ekranda bir onay düğmesi olmamalıdır. İnceleyen kişinin gerekli bilgiye, yetkiye, kaynak belgelere ve reddetme imkanına sahip olup olmadığı da kaydedilmelidir. Yoğunluk nedeniyle her önerinin refleksle kabul edilmesi, kağıt üzerinde insan onayı olsa bile gerçek kontrolü zayıflatır.

Küçük bir örnek

Bir şirket, gecikmiş alacaklar için müşteriye gönderilecek hatırlatma metnini AI ile taslaklaştırıyor olsun. Envanter kaydı; girdide müşteri adı ve fatura vadesi bulunduğunu, çıktının yalnız taslak olduğunu, gönderimden önce satış operasyonunun kontrol ettiğini ve modelin e-posta gönderme yetkisi olmadığını göstermelidir. Aynı sistem müşterinin ödeme gücünü puanlamaya başlarsa amaç, veri ve etki değişir; eski kayıt genişletilmek yerine yeni senaryo açılması daha izlenebilirdir.

Son kontrol

İyi bir AI envanteri mevzuat etiketleri koleksiyonu değildir. İş amacı, veri, model, insan ve sonuç arasındaki ilişkiyi gösteren bir kontrol haritasıdır. AB takvimi ve rehberleri değişebileceği için tarihli kaynak kullanılmalı, hukuki değerlendirme uzmanla yapılmalı ve her maddi değişiklikte sınıflandırma yenilenmelidir. En önemlisi, AI önerisi ile finansal gerçeği aynı kayıt olarak tutmamak; belirsizliği, insan kararını ve dayanakları ayrı ayrı korumaktır.

Envanterin sahibi belli olmalı ve iş birimi, bilgi güvenliği, hukuk ile finansın inceleme notları aynı kayıt altında tutulmalıdır. Çelişen görüşler silinmemeli; kararın hangi varsayımla alındığı açıkça belirtilmelidir.