AI Tedarikçisi İçin Sözleşme Öncesi Kanıt Dosyası

İyi demo, iyi tedarikçi anlamına gelmez

Bir AI aracı örnek faturayı doğru okuyabilir, akıcı rapor yazabilir veya müşteri sorusuna hızlı cevap verebilir. Ancak bu kısa gösterim; verinin nerede tutulduğunu, modelin ne zaman değişeceğini, olay halinde kimin haber vereceğini ya da sözleşme bittiğinde kayıtların nasıl alınacağını göstermez. Tedarikçi incelemesi, yalnız çıktı kalitesini değil bütün hizmet zincirini ele almalıdır.

NIST’in 2026 tarihli tedarikçi durum tespiti rehberi, araştırmayı yeni alım veya mevcut sistem hakkında bilinçli karar vermek için ilgili bilgilerin toplanması olarak tanımlar. NCSC’nin güvenli AI geliştirme rehberi ise model, veri, yazılım kitaplığı ve dış API gibi bileşenlerin yaşam döngüsü boyunca değerlendirilmesini önerir. Bu çerçeveler bir ürün onayı veya garanti vermez; KOBİ’nin kendi kullanım bağlamına uyarlanacak soru alanları sunar.

Dosyanın ilk sayfası: amaç ve risk

İnceleme araca değil, kullanım senaryosuna bağlanmalıdır. Tedarikçiye geçmeden önce işletme şu bilgileri yazar: hangi iş sorunu çözülüyor, hangi veri kullanılacak, çıktı kimi etkileyecek, hata neye yol açabilir, insan nerede devreye girecek ve sistem hangi başka araçlarla bağlantı kuracak? Aynı sağlayıcı, pazarlama metni için düşük etkili; ödeme onayına bağlandığında çok daha yüksek etkili olabilir.

Risk sahibi ile teknik sahibin adı da belirlenmelidir. “BT bakıyor” ifadesi karar yetkisini belirsiz bırakır. Veriyi kimin onayladığı, sözleşmeyi kimin izlediği ve hizmeti kimin durdurabileceği açık olmalıdır.

Tedarikçiden istenecek on iki kanıt alanı

Kurumsal kimlik ve zincir: Sözleşme tarafı, barındırma sağlayıcısı, alt işlemciler ve destek veren üçüncü kişiler kimdir?
Veri amacı: Gönderilen girdiler hizmet sunumu dışında model eğitimi, değerlendirme veya insan incelemesi için kullanılıyor mu?
Konum ve aktarım: Veri hangi ülkelerde işleniyor; yurt dışı aktarım için hangi hukuki ve teknik mekanizmalar var?
Saklama ve silme: Girdi, çıktı, günlük ve yedekler ne kadar tutuluyor; silme talebi yedeklere nasıl yansıyor?
Erişim: Tedarikçi personeli hangi şartlarda müşteri içeriğini görebiliyor; erişim nasıl onaylanıp kaydediliyor?
Model şeffaflığı: Model ailesi, sürüm politikası, bilinen sınırlamalar ve desteklenen kullanım amacı belgelenmiş mi?
Değişiklik yönetimi: Model, fiyat, alt işlemci veya güvenlik kontrolü değişmeden önce bildirim süresi var mı?
Güvenlik: Kimlik doğrulama, şifreleme, zafiyet yönetimi, sızma testi ve olay müdahale kanıtları neler?
Kalite: Başarı iddiaları hangi veri kümesinde, hangi metrikle ve hangi hata dağılımıyla ölçülmüş?
İnsan kontrolü: Çıktıyı durdurma, reddetme, düzeltme ve itiraz iş akışları destekleniyor mu?
Denetim izi: İstek, sürüm, kaynak ve sonuç kayıtları dışarı alınabiliyor mu; bütünlükleri nasıl korunuyor?
Çıkış ve süreklilik: Veri hangi makinece okunabilir biçimde alınabilir; hizmet kesilirse alternatif süreç nedir?

Yanıt kutucuğu kadar kanıt bağlantısı, belge tarihi ve doğrulayan kişi de tutulmalıdır.

Sözleşmeye dönüşmeyen soru değersizdir

Satış görüşmesinde verilen söz, sözleşme ve teknik eklerle desteklenmiyorsa kalıcı kontrol sayılmaz. Özellikle veri kullanım amacı, olay bildirimi, alt işlemci değişikliği, model güncellemesi, denetim hakkı, hizmet seviyesi ve güvenli çıkış hükümleri yazılı hale getirilmelidir. Tedarikçinin “endüstri standardı” demesi hangi standardın, hangi kapsamda ve hangi tarihte doğrulandığını açıklamaz.

Sertifika da tek başına yeterli değildir. Sertifikanın kapsamı, hizmetin hangi bölümünü kapsadığı, geçerlilik tarihi ve istisnaları incelenmelidir. Bir altyapı sertifikası model çıktısının doğruluğunu kanıtlamaz; iyi model metriği de kişisel veri uyumunu kanıtlamaz.

Kontrollü deneme nasıl yapılır?

Gerçek müşteri verisiyle başlamadan önce temsili veya uygun biçimde anonimleştirilmiş örneklerle sınama yapılabilir. Test seti yalnız kolay örneklerden oluşmamalı; eksik belge, çelişkili alan, farklı dil, düşük kaliteli tarama ve kasıtlı yönlendirme gibi hata durumlarını içermelidir. Sonuçlar model cevabının akıcılığına göre değil, önceden tanımlanmış ölçütlere göre değerlendirilir.

Finans bağlamında AI önerisi hiçbir denemede doğrudan deftere, ödemeye veya yasal bildirime dönüşmemelidir. İnsan onayı, deterministik alan doğrulaması ve geri alınabilirlik tasarımın parçası olmalıdır. Pilot başarısı üretim garantisi değildir; gerçek kullanımda veri dağılımı ve sağlayıcı sürümü değişebilir.

Sürekli inceleme ve çıkış provası

Durum tespiti imza günü bitmez. Olaylar, model sürümleri, alt işlemci listesi, kalite sapmaları ve sözleşme değişiklikleri belirli aralıklarla gözden geçirilmelidir. Kritik hizmette tedarikçinin kapanması, API’yi değiştirmesi veya kabul edilemez risk üretmesi halinde geçiş planı önceden denenmelidir. Örnek veri ihracı açılabiliyor mu, kayıtlar anlamlı mı ve alternatif süreç çalışıyor mu soruları masa başında değil provayla yanıtlanır.

Karar kaydı

Son dosyada yalnız “onaylandı” yazmamalıdır. Kabul edilen riskler, reddedilen riskler, telafi kontrolleri, sorumlu kişiler, yeniden inceleme tarihi ve çıkış tetikleyicileri bulunmalıdır. AI tedarikçisi seçimi teknik satın alma kadar veri, güvenlik, hukuk ve operasyon kararıdır. Bu içerik belirli bir sağlayıcıyı önermez; mali ve hukuki sonuç doğurabilecek kullanımlarda uzman değerlendirmesi ile kayıtlı insan kararı gereklidir.

Veri sorumluluğu devredilmiş sayılmaz

Hizmet dışarıdan alındığında KOBİ’nin kendi veri, kayıt ve yetki sorumlulukları ortadan kalkmaz. Tedarikçinin standart ayarı, işletmenin somut kullanım amacı için gerekli ve ölçülü olmayabilir. Gönderilecek alanlar, hukuki dayanak, saklama süresi ve yurt dışı aktarım koşulları ayrıca incelenmelidir. Aynı şekilde tedarikçinin ürettiği sınıflandırma muhasebe gerçeğine dönüşmez; kaynak belge, iş kuralı ve yetkili insan kararıyla doğrulanmadan finansal kayda geçirilmemelidir.