Genel Kullanıma Açık Yapay Zekâ ve Kuruma Özel Yapay Zekâ
“Kurumsal yapay zekâ” bir pazarı tanımlar. Verinin nerede ve hangi koşullarda işlendiğini bütünüyle açıklamaz. “Özel” ifadesi; kısıtlı erişim, kuruma ayrılmış bir ortam, sözleşmeye dayalı bir taahhüt veya çeşitli kontrollerin birleşimi anlamına gelebilir. Alıcıların, önerilen hizmette hangi anlamın geçerli olduğunu belirlemesi gerekir.
Temel soru, kullanılacak bilginin kurumun anladığı ve onayladığı koşullarda işlenip işlenemeyeceğidir. Genel amaçlı bir hizmet, sözleşmeye dayalı kurumsal kontroller sunabilir. Kurumun kontrolündeki bir kurulum da harici entegrasyonlar üzerinden bilgi aktarabilir. Bu etiketlerin hiçbiri değerlendirmeyi tek başına sonuçlandırmaz.
Veri akışının tamamını izleyin
Kullanıcının cihazından başlayarak kimlik doğrulama, uygulama içi işleme, bilgi getirme, modelin yanıt üretmesi ve yanıtın iletilmesi adımlarını haritalayın. İzleme, destek erişimi, yedekleme ve silme süreçlerini de ekleyin. İstemler ve yüklenen belgeler, işlenen bilgilerin yalnızca bir bölümüdür. Getirilen metin parçaları, üretilen çıktılar ve tanılama günlükleri de hassas bilgiler içerebilir.
Yararlı bir mimari şema; bileşenleri, bunları işleten tarafları ve sistemler arasındaki geçiş noktalarını gösterir. Bir bileşen kurumun kontrolü dışındaysa ilgili sözleşmeyi ve yapılandırmayı doğrulayan kanıtları ekleyin. Şemanın model uç noktasının yanı sıra vektör temsilleri oluşturma, indeksleme ve sistemin işleyişini izleme hizmetlerini de kapsayıp kapsamadığını sorun. Modelin nerede barındırıldığına ilişkin bir açıklama, uygulamanın tamamını anlatıyormuş gibi kullanılmamalıdır.
Doğrulanmış koşulları karşılaştırın
| Boyut | Her aday hizmet için sorulacak soru | İstenecek kanıt |
|---|---|---|
| İşleme | Her veri türünü hangi kuruluşlar, hangi konumlarda işler? | Kuruluma özgü veri akış şeması ve alt veri işleyenler |
| Saklama | Uygulamada, model hizmetinde, günlüklerde ve yedeklerde neler saklanır? | Saklama ayarları, istisnalar ve silme süreci |
| Eğitimde kullanım | Girdiler veya çıktılar yeniden kullanılabilir mi? Hangi koşullar geçerlidir? | İlgili sözleşme ve hesap yapılandırması |
| Erişim | Hangi kullanıcılar, yöneticiler ve destek personeli içeriğe erişebilir? | Rol tanımları ve erişim testi sonuçları |
| Yalıtım | Kurumlar ve departmanlar birbirinden nasıl ayrılır? | Ayrımın nasıl tasarlandığı ve yetkisiz erişimin engellendiğini sınayan temsili testler |
| Hizmetten çıkış | Neler dışa aktarılabilir, hangi erişimler iptal edilebilir ve neler silinebilir? | Çıkış prosedürü ve tamamlandığını gösteren kanıt |
Sağ sütuna tüm “genel kullanıma açık yapay zekâ” hizmetleri için geçerli tek bir yanıt yazılamaz. Bu sütunu satın alınacak hizmet, hesap ve kurulum için doldurun. Sağlayıcının farklı bir aboneliğe ilişkin belgeleri, bu abonelik için kanıt değildir.
Örnek bir denetim iş akışı
Bir denetçi, gizli bir denetim bulgusunu yapay zekâyla özetlemek istiyor. Belgeyi yüklemeden önce, kurumun bu bilginin söz konusu hizmetle paylaşılmasına izin verip vermediğini kontrol etmelidir. Kişisel bir hesap ile kurum tarafından yönetilen bir hesap aynı yapay zekâ modelini kullanabilir. Ancak verilerin saklanması, belgelere erişim ve bilgilerin model eğitiminde kullanılması konusunda farklı kurallara tabi olabilirler. Kurum tarafından yönetilen hesap daha güçlü korumalar sunabilir. Yine de denetim ekibi, gizli bulgu için uygun olup olmadığına karar vermeden önce hesabın ayarlarını ve sözleşmesini doğrulamalıdır.
Ekip; kaynak belgenin, getirilen metin parçalarının ve yanıtın nereye aktarılacağını kaydeder. Günlüklerin içeriği saklayıp saklamadığını, hangi yöneticilerin içeriği görebildiğini ve denetçi ayrıldığında ne olduğunu doğrular. Ardından yetkisiz bir kullanıcının bulguya ulaşmaya çalıştığı bir test gerçekleştirir. Başarılı bir özet, kullanımın yararlı olduğunu gösterir. Yetkisiz bir erişim isteğinin reddedilmesi ise erişim sınırına ilişkin farklı bir kanıt sunar. İkisi de önemlidir.
Saklama koşulları netleşmemişse yönetim hassas bilgi kullanımını erteleyebilir veya kurgusal belgelerle daha dar kapsamlı bir denemeyi onaylayabilir. Denetçi, yükleme düğmesine tıklayarak riski kabul etmiş olmaz. Belirlenmiş iş sorumlusu ve risk konusunda karar vermeye yetkili kişi; teknik, gizlilik ve hukuk incelemelerinin ardından izin verilen kapsamı belirler.
Karşılaştırmayı uygulamaya bağlayın
Bir yapılandırma seçmeden önce izin verilen amacı, veri sınıflarını, kullanıcıları, sorumluyu ve insan incelemesi gerekliliklerini kaydedin. Hangi değişikliklerin yeniden değerlendirme gerektirdiğini belirtin: yeni bir entegrasyon, kullanıcı grubunun genişlemesi, model hizmetinin değişmesi veya sağlayıcı koşullarının yenilenmesi. Sınırları belirli bir onay, gelecekteki her iş akışı için örtülü izne dönüşmemelidir.
NIST Yapay Zekâ Risk Yönetimi Çerçevesi, yapay zekâ riskini değerlendirmek için gönüllü bir yapı sunar. Bu yazıdaki karşılaştırma tablosu, uygulamada karar vermeye yardımcı olmak amacıyla hazırlanmıştır. NIST tarafından öngörülmüş bir kontrol listesi değildir.
Doğrulanmış sınırları iş akışının ihtiyaçlarını karşılayan hizmeti seçin. Nihai onayı ve mesleki değerlendirmeyi, bilgi ve karar konusunda hesap verme sorumluluğu taşıyan kişilerde tutun.
Kaynaklar
- SONO’nun güncel platform adlandırması: Yalnızca adlandırma ve kamuya açık konumlandırma için.
- NIST AI RMF: Gönüllü risk yönetimi çerçevesi.
İngilizce kaynak yazıdaki notlara göre kaynak bağlantıları 13 Ekim 2026’da başarıyla açılmıştır. Harici çerçeveler değerlendirmeye katkı sağlar; SONO’yu sertifikalandırmaz ve her okuyucu için hukuki yükümlülük oluşturmaz.
