Şirketlerde Yapay Zeka Yönetişimi 30 Günde Nasıl Kurulur?

Şirketlerde yapay zeka yönetişimi 30 günde nasıl kurulur?

Şirketlerde yapay zeka yönetişimi, hangi aracın kullanılacağını seçmekten önce kullanımın sahibi, verisi, riski ve kontrolünü belirleyen çalışma düzenidir. İlk 30 günde tüm araçları yasaklamak ya da kalın bir politika yazmak yerine, kullanılan senaryoları görünür kılın, risk seviyelerini ayırın, insan kontrolünü tasarlayın ve düzenli gözden geçirme takvimi kurun.

Bu konu 2026 yazında daha somut hale geldi. Avrupa Birliği AI Act kapsamındaki belirli şeffaflık kuralları 2 Ağustos 2026 tarihinde uygulanmaya başladı. Etkileşimli sistemlerde kullanıcının yapay zeka ile konuştuğunu bilmesi, üretilmiş veya değiştirilmiş belirli içeriklerin işaretlenmesi gibi yükümlülükler öne çıktı. Türkiye'de faaliyet gösteren her şirket otomatik olarak bu kurallara tabi değildir. Ancak AB'deki müşterilere, kullanıcılara veya pazara dokunan ürünlerde kapsamı hukuk ve uyum ekipleri değerlendirmelidir. Bu yazı hukuki görüş yerine operasyonel başlangıç çerçevesi sunar.

Yapay zeka yönetişimi şirket içinde hangi sorunu çözer?

Ekipler yapay zekayı çoğu zaman küçük işlerle kullanmaya başlar: teklif taslağı, toplantı özeti, müşteri destek yanıtı, kod önerisi veya belge arama. Birkaç hafta sonra aynı veri farklı araçlara yüklenir, çıktının kim tarafından onaylandığı belirsizleşir ve kullanılan model değiştiğinde kimse etkisini takip etmez.

Yönetişim bu dağınıklığı azaltır. Her kullanım için dört soruya net yanıt verir:

• Bu sistemi hangi iş problemi için kullanıyoruz?
• Sisteme hangi veriler giriyor ve hangi veriler girmemeli?
• Çıktıyı kim kontrol edip kullanıma alıyor?
• Hata, şikâyet veya model değişikliğinde kim karar veriyor?

NIST'in AI Risk Management Framework yaklaşımı bu işi yönetişim, bağlamı haritalama, ölçme ve yönetme başlıklarıyla ele alır. Çerçeve bir kontrol listesi değildir. Kurumun risk seviyesine göre seçilen, yaşam döngüsü boyunca süren bir yönetim düzenidir. Üretken yapay zeka için NIST ayrıca yönetişim, kullanıma alma öncesi test, içerik kökeni ve olay bildirimi konularını özellikle vurgular.

İlk 30 günde hangi çalışma planı uygulanır?

Başlangıçta hedef, uzun bir politika belgesi üretmek değildir. Hedef, şirketin hangi yapay zeka kullanımını onayladığını ve hangisinin ek inceleme gerektirdiğini görebilmektir.

Hafta	İş	Somut çıktı	Sorumlu
1	Kullanımları topla	Yapay zeka envanteri	Birim yöneticileri
2	Riskleri ayır	Risk sınıflandırması	İş, hukuk, BT
3	Kontrol tasarla	Onay ve test kaydı	Süreç sahipleri
4	Pilotları gözden geçir	Karar kaydı ve takvim	Yönetim sponsorluğu

İlk hafta: Yapay zeka envanterini çıkarın

Envanteri araç listesi olarak tutmayın. Aynı araç, farklı işlerde farklı risk taşır. Müşteri temsilcisinin taslak yanıt üretmesiyle insan kaynaklarının aday değerlendirmesi için tahmin üretmesi aynı kategoriye girmez.

Her senaryo için şu alanları kaydedin:

• İş amacı ve beklenen karar
• Kullanıcılar ve süreç sahibi
• Girilen veri türleri
• Çıktının ulaştığı kişi veya sistem
• İnsan kontrolünün yapıldığı aşama
• Kullanılan sağlayıcı, model ve entegrasyon
• Bilinen hata türleri
• İş etkisi gerçekleşirse geri alma yolu

Örnek olarak satış ekibinin toplantı özetini düşünün. Envanterde "notları özetler" demek yeterli değildir. Notların müşteri gizliliği içerip içermediği, özetin CRM'e otomatik mi yoksa insan onayıyla mı geçtiği ve yanlış özetin nasıl düzeltileceği kaydedilmelidir.

Bu adım sahadaki görünmeyen kullanımları ortaya çıkarır. Ekipler çoğu zaman onaylı platform dışında kişisel hesaplarla araç kullanır. Amaç çalışanı suçlamak değildir. Güvenli alternatif sağlanmadığında hangi ihtiyacın dışarıya taştığını anlamaktır.

İkinci hafta: Risk seviyelerini iş sonucuna göre belirleyin

Risk sınıflandırmasını model adından başlatmayın. Aynı büyük dil modeli bir blog taslağında düşük, kredi kararıyla ilgili bir süreçte yüksek etki yaratabilir. Sınıflandırmayı üç pratik seviye ile başlatabilirsiniz.

Seviye	Örnek kullanım	Minimum kontrol
Düşük	İç fikir üretimi	Onaylı araç, temel eğitim
Orta	Müşteriye giden taslak	İnsan onayı, kaynak kontrolü
Yüksek	Hak, fiyat, işe alım etkisi	Hukuk, test, kayıt, sorumlu

Yüksek etkiyi yalnız veri hassasiyetiyle tanımlamayın. Bir sistemin önerisi kişinin işe alınmasını, fiyatını, erişimini, sağlık veya finans kararını etkiliyorsa hata maliyeti artar. Bu tür senaryolarda otomatik karar verme yerine insanın karar yetkisi açıkça korunmalıdır.

Risk notuna iki ek soru ekleyin. İlk soru, sistem yanlış ürettiğinde kimin zarar görebileceğidir. İkinci soru, hatayı kullanımdan önce yakalayacak kontrolün gerçekten var olup olmadığıdır. "İnsan kontrol eder" ifadesi tek başına yeterli değildir. Kontrol eden kişinin zamanı, yetkisi ve hata tespit ölçütü tanımlanmalıdır.

Üçüncü hafta: Her pilot için kontrol kapıları kurun

Yapay zeka pilotu, araç açıldığı gün başlamaz. Pilotun başlaması için kabul edilen kullanım amacı, veri sınırı, test senaryoları ve sorumlu kişi yazılı olmalıdır. Bu dört unsur, iş birimleri ile BT arasında aynı beklentiyi kurar.

Binode'un projelerde kullanılabilecek basit kontrol kapısı örneği şöyledir:

1. İş sahibi, kullanım amacını ve başarı ölçütünü yazar.
2. Veri sahibi, sisteme girebilecek ve giremeyecek veriyi onaylar.
3. Teknik ekip, erişim, log ve geri alma yolunu doğrular.
4. Süreç sahibi, gerçek örneklerle hata senaryolarını test eder.
5. Yetkili kişi, canlı kullanım sınırını ve gözden geçirme tarihini kayda alır.

Bu yapı küçük şirketler için de uygulanabilir. İlk sürümde tek sayfalık karar kaydı yeterlidir. Kayıtta model sürümü, bağlantı kurulan sistemler ve son inceleme tarihi de bulunmalıdır. Sağlayıcı modeli değiştirdiğinde veya yeni veri kaynağı eklendiğinde ilgili kayıt yeniden açılmalıdır.

NIST, üçüncü taraf yapay zeka ve veri tedarik zinciri risklerini ayrıca ele alır. Satın alma aşamasında veri saklama, model eğitimi için kullanım, alt işleyiciler, denetim kayıtları ve olay bildirimi de sorulmalıdır.

Dördüncü hafta: Test sonuçlarını karara dönüştürün

Test, modelin güzel yazıp yazmadığından geniş bir konudur. Sistem hedef görevi doğru tamamlıyor mu, hassas veriyi yanlış yere taşıyor mu, kullanıcıyı yanıltıyor mu ve hata olduğunda süreç duruyor mu soruları da sorulmalıdır.

Her önemli pilotta küçük ama gerçekçi bir test seti hazırlayın. Set; doğru yanıt örnekleri, eksik bağlam, hatalı bilgi, hassas veri, kötü niyetli komut ve sınır durumlarını içermelidir. Modelin en iyi örneklerdeki performansına bakmak yanıltır. Süreçteki zayıf nokta çoğu zaman istisna vakalarda görünür.

Testten sonra üç karardan birini verin: sınırlı canlı kullanım, ek kontrolle tekrar test veya kullanımı durdurma. Kararı ve gerekçesini kayıt altına alın. Bu kayıt, sonraki projelerde aynı tartışmanın yeniden yaşanmasını önler.

İnsan kontrolü hangi noktada tasarlanmalıdır?

İnsan kontrolü, çıktı üretildikten sonra hızlıca "tamam" demek değildir. Kontrolü işin etkisine göre üç katmanda tasarlayın.

İlk katman girdidir. Kullanıcı hangi müşteri verisini, sözleşme bilgisini veya kişisel veriyi paylaşabilir? İkinci katman çıktıdır. Çıktı doğrudan müşteriye, çalışana veya bir karar sistemine gidiyor mu? Üçüncü katman istisnadır. Hata, şikâyet ya da erişim sorunu oluştuğunda sistemi kim durdurur?

Müşteri destek asistanı için insan kontrolü, yüksek riskli talepleri temsilciye yönlendirme ve gönderim öncesi onay olabilir. Satış tahmininde insan kontrolü, tahminin kararın tek girdisi olmaması ve yanlış tahminin izlenmesi olabilir. İnsan kaynaklarında ise adayları otomatik elemek yerine değerlendirmeyi destekleyen, açıklanabilir ve denetlenebilir bir kullanım sınırı gerekebilir.

Şeffaflık ve içerik işaretleme neden gündemdedir?

AB Komisyonu, 2 Ağustos 2026 itibarıyla belirli sistemler için şeffaflık yükümlülüklerinin uygulanmaya başladığını duyurdu. Chatbot gibi etkileşimli sistemlerde kişilerin yapay zeka ile etkileştiğini anlaması gerekir. Belirli yapay zeka ile üretilmiş veya değiştirilmiş içeriklerde de işaretleme ve makine tarafından okunabilir tanımlama şartları bulunur.

Bu gelişme yalnız AB'de satış yapan şirketlerin hukuk ekiplerini ilgilendirmez. Türkiye'deki ürün ekipleri de müşteri deneyiminde yapay zekanın nerede devreye girdiğini ve hangi içeriğin otomatik üretildiğini envantere eklemelidir. Kapsam analizi hukuki değerlendirme gerektirir. Operasyonel olarak yapılacak iş ise basittir: kullanıcıya ne zaman bilgi verildiğini, hangi içerikte insan editör kontrolü olduğunu ve işaretlemenin nerede üretildiğini belgelemek.

Yönetişim belgesi hangi sayfalardan oluşmalıdır?

İlk sürüm için uzun bir politika dokümanı gerekmiyor. Aşağıdaki altı belge çoğu kurumda yeterli başlangıç sağlar:

• Yapay zeka kullanım envanteri
• Risk sınıflandırma ölçütleri
• Onaylı araçlar ve veri kullanım kuralları
• Pilot karar kaydı
• Test senaryosu ve sonuç özeti
• Olay, şikâyet ve geri alma prosedürü

Bu belgeler güncel kalmadığında değerini kaybeder. Her senaryoya sahip atayın. Aylık toplantıda yeni kullanımları, model değişikliklerini, olayları ve kapanan pilotları gözden geçirin. NIST çerçevesinde yönetişimin diğer faaliyetlerin üzerinde çalışan sürekli bir işlev olması bu nedenle anlamlıdır.

Sık sorulan sorular

Yapay zeka yönetişimi yalnız büyük şirketler için mi gerekir?

Küçük ekipler tek sayfalık envanter, risk etiketi ve pilot kaydıyla başlayabilir. Kullanım arttıkça kayıt ayrıntısı artmalıdır.

Her yapay zeka çıktısını insan mı onaylamalıdır?

Kontrol seviyesi iş etkisine göre seçilmelidir. Müşteriyi, çalışanı veya hakları etkileyen sonuçlarda insan sorumluluğu daha güçlü kurulmalıdır.

AI Act Türkiye'deki her şirket için geçerli midir?

Kapsam faaliyet, pazar ve kullanıcı ilişkisine göre değişir. AB ile ilişkili kullanım için hukuk ve uyum değerlendirmesi gerekir.

İlk başarı ölçütü ne olmalıdır?

İlk ölçüt, onaylı yapay zeka kullanımlarının görünür hale gelmesidir. İkinci ölçüt, her yüksek etkili kullanımda sahip ve kontrol kaydının bulunmasıdır.

Bir sonraki adım

Binode, yapay zeka yönetişimini yalnız politika yazımı olarak ele almaz. Kullanım envanteri, veri sınırları, pilot testleri ve iş süreçlerine uygun insan kontrolü birlikte tasarlanır. Şirketinizdeki ilk 30 günlük çerçeveyi kurmak için ekibinizin kullanım alanlarını birlikte değerlendirebiliriz.

Kaynaklar

• European Commission: AI Act enforcement framework
• European Commission: Transparency obligations
• NIST AI RMF Core
• NIST Generative AI Profile

İlgili yazılar: Şirketlerde yapay zeka okuryazarlığı programı nasıl kurulur? · Yapay zeka pilotu nasıl seçilir? · Kurum içi veriyle çalışan yapay zeka sistemi nasıl kurulur? · Yapay zeka danışmanı seçerken sorulması gereken 12 soru