AI Yönetişim Çerçevesi: Roller, Onay, Denetim ve Olay Müdahalesi

Kazanimlar:

• Yönetişim rollerini bir RACI matrisiyle tanımlama
• Dengeli bir onay süreci ve düzenli denetim programı kurma
• AI ve veri ihlali olay müdahale planını 72 saat kuralıyla uygulama

İlk üniteden buraya kadar politikayı yazdık, mevzuatı öğrendik, riskleri değerlendirdik. Şimdi tüm bunları işleyen bir sisteme bağlamanın zamanı. Bir politika ne kadar iyi yazılırsa yazılsın, arkasında roller, onay akışları, denetim ve olay müdahalesi yoksa bir belge olarak rafta kalır. Bu kapanış ünitesinde AI yönetişimini canlı tutan dört mekanizmayı — roller (RACI), onay süreci, düzenli denetim ve olay müdahalesi — birleştirip çerçeveyi tamamlıyoruz.

Rolleri netleştirmek: RACI matrisi

Yönetişimin ilk kuralı: her görevin bir sahibi olmalı. Bunu netleştirmenin klasik aracı RACI matrisidir. RACI dört rolün baş harflerinden gelir:

• R (Responsible / Yapan): İşi fiilen yürüten.
• A (Accountable / Hesap veren): Nihai sorumlu, tek kişi olmalı.
• C (Consulted / Danışılan): Görüşü alınan.
• I (Informed / Bilgilendirilen): Haberdar edilen.

Görev

Yapan (R)

Hesap veren (A)

Danışılan (C)

Bilgilendirilen (I)

Politikayı yazma

AI sorumlusu

Uyum yöneticisi

Hukuk, IT, İK

Üst yönetim

Yeni araç onayı

IT/güvenlik

Uyum yöneticisi

Hukuk

İş birimi

DPIA yürütme

Veri koruma sorumlusu

Uyum yöneticisi

İlgili ekip

Üst yönetim

İhlal müdahalesi

Güvenlik ekibi

Üst yönetim

Hukuk, iletişim

Tüm kurum

Denetim

İç denetim

Uyum yöneticisi

Birimler

Üst yönetim

İpucu: Her satırda yalnızca bir "A" (Accountable) olsun. İki nihai sorumlu, sıfır sorumludur; kriz anında "ben senin baktığını sanıyordum" cümlesi buradan doğar. Sorumluluğu tek bir role sabitlemek yönetişimin en pratik kuralıdır.

Dengeli onay süreci

Yeni bir AI aracı veya kullanımı için bir onay süreci gerekir. İki tuzaktan kaçınılır: çok gevşek (her şey serbest, gölge AI) ve çok katı (her şey aylarca onay bekler, kimse uğraşmaz). Denge, riske göre kademeli onaydır:

Risk seviyesi

Örnek

Onay yolu

Düşük

Açık veriyle metin taslağı

Onaya gerek yok, politika içinde serbest

Orta

Kurum içi veriyle analiz

Birim yöneticisi + onaylı araç şartı

Yüksek

Kişisel/özel veri, otomatik karar

Uyum + hukuk onayı + DPIA

Düşük riskli kullanımları serbest bırakmak, ekiplerin süreci sahiplenmesini sağlar; yüksek riskli olanları sıkı denetime almak, gerçek riski yönetir. Böylece süreç hem hızlı hem güvenli olur.

Düzenli denetim

Yönetişim canlı bir sistemdir; düzenli denetim olmadan ölür. Denetim şunları kontrol eder: kullanılan araçlar hâlâ onaylı listede mi, gölge AI belirtileri var mı, saklama süreleri uygulanıyor mu, DPIA'lar güncel mi, olaylar kaydedildi mi. Denetim sıklığı riske göre belirlenir (örneğin yüksek riskli sistemler için üç ayda bir, genel için altı ayda bir).

Dikkat: Denetim "birini suçlama" aracı değil, "sistemi iyileştirme" aracıdır. Ceza odaklı bir denetim kültürü, çalışanları sorunları gizlemeye iter ve gölge AI'ı büyütür. Amaç, sorunları erken görüp düzeltmektir.

Olay müdahalesi ve 72 saat kuralı

Ne kadar iyi yönetilirse yönetilsin, bir gün bir olay olur: veri sızıntısı, yanlış AI kararı, gizli verinin yanlış araca girmesi. Bir olay müdahale planı, ne yapılacağını önceden belirler:

1. Tespit ve sınırlama: Olayı fark et, yayılmasını durdur (örn. erişimi kes).
2. Değerlendirme: Hangi veri, kaç kişi, ne kadar etkilendi?
3. Bildirim: Kişisel veri ihlali ise, ilgili otoriteye (KVKK Kurulu) ve gerektiğinde ilgili kişilere bildir. GDPR, ihlali öğrendikten sonra 72 saat içinde otoriteye bildirim ister; KVKK da "en kısa sürede" bildirim bekler.
4. Düzeltme ve öğrenme: Kök nedeni gider, benzerini önleyecek önlemi al, olayı belgele.

Dikkat: 72 saatlik bildirim süresi olayı öğrendiğin andan itibaren işler; "önce kendi içimizde çözelim, sonra bildiririz" yaklaşımı süreyi kaçırtır. Bir olay müdahale planı ve iletişim zincirini önceden hazır tutmak, kriz anında zaman kazandırır.

Üç mini vaka

Vaka 1 — Sahipsiz görev. Bir şirkette AI politikası vardır ama "onaylı araç listesini kim günceller" belli değildir. Liste 8 ay güncellenmez, ekipler listedeki olmayan araçları kullanmaya başlar. Bir RACI matrisi bu görevi bir role sabitlese, boşluk oluşmazdı.

Vaka 2 — Kaçan 72 saat. Bir çalışan, gizli müşteri listesini yanlış bir araca girer. Ekip bunu içeride çözmeye çalışır, üç gün sonra hukuku bilgilendirir. Bu arada bildirim süresi kaçmıştır. Hazır bir olay müdahale planı ve net bir iletişim zinciri, olayı ilk saatte doğru mecraya taşırdı.

Vaka 3 — Denetimle yakalanan gölge AI. Bir kurum, altı aylık rutin denetimde ağ trafiğinde onaysız üç AI aracı tespit eder. Ceza yerine ekiplerle konuşur, neden bu araçlara ihtiyaç duyduklarını anlar ve ikisini değerlendirip onaylı listeye ekler. Denetim, hem riski kapatır hem gerçek ihtiyacı görünür kılar.

Kopyalanabilir şablonlar

ŞABLON 1 — RACI matrisi taslağı:"Kurumumuzun AI yönetişimi için RACI matrisi taslağı çıkar. Görevler:politika yazma, araç onayı, DPIA, ihlal müdahalesi, denetim, eğitim.Roller: AI sorumlusu, uyum yöneticisi, hukuk, IT, İK, üst yönetim.Her görevde yalnızca bir 'A' olsun."

ŞABLON 2 — Kademeli onay akışı:"Riske göre kademeli AI onay süreci tasarla: düşük/orta/yüksek riskiçin ayrı onay yolları. Her seviye için örnek kullanım, onaylayan rolve gereken belge (DPIA vb.) yaz. Süreç hem hızlı hem güvenli olsun."

ŞABLON 3 — Denetim kontrol listesi:"Altı aylık AI yönetişim denetimi için kontrol listesi hazırla:onaylı araç uyumu, gölge AI belirtileri, saklama süreleri, DPIAgüncelliği, olay kayıtları, eğitim tamamlanma oranı. Her maddeye'nasıl kontrol edilir' yöntemi ekle."

ŞABLON 4 — Olay müdahale akış kartı:"Bir AI/veri ihlali için tek sayfalık olay müdahale akış kartı yaz:adım adım (tespit, sınırlama, değerlendirme, bildirim, düzeltme),her adımda sorumlu rol ve iletişim bilgisi, 72 saat bildirim uyarısı.Kriz anında masada duracak sadelikte olsun."

Zayıf prompt / Güçlü prompt

ZAYIF: "AI yönetişimi için ne yapmalıyız?"-> Model genel bir liste verir; roller, onay yolları ve olay planı kuruma özgü ve uygulanabilir olmaz.GÜÇLÜ: "60 kişilik bir kurumuz. AI yönetişimini işler kılmak için:(1) 5 görevlik bir RACI matrisi, (2) düşük/orta/yüksek risk içinkademeli onay akışı, (3) 72 saat kuralını içeren tek sayfalık olaymüdahale kartı üret. Her görevde tek 'A' olsun; sade ve uygulanabilir."-> Model kuruma özgü, hemen kullanılabilir yönetişim araçları çıkarır.

Sık yapılan hatalar

• Görevleri role sabitlememek; "herkesin işi kimsenin işi" boşluğu yaratmak.
• Bir görevde birden fazla "A" (nihai sorumlu) tanımlamak.
• Onay sürecini ya çok gevşek ya çok katı yapmak; riske göre kademelendirmemek.
• Denetimi hiç yapmamak veya ceza aracına çevirip sorunları gizletmek.
• Olay müdahale planını olay olduktan sonra düşünmek.
• 72 saatlik bildirim süresini "önce içeride çözelim" diye kaçırmak.
• Yönetişimi bir kez kurup bir daha gözden geçirmemek; oysa canlı bir sistemdir.

Özetle

• Yönetişimi işler kılan dört mekanizma: roller (RACI), kademeli onay, düzenli denetim ve olay müdahalesi.
• RACI matrisinde her görevin tek bir nihai sorumlusu (A) olmalıdır.
• Onay süreci riske göre kademeli olmalı; düşük risk serbest, yüksek risk sıkı denetim.
• Düzenli denetim yönetişimi canlı tutar; ceza değil, iyileştirme aracı olarak kullanılır.
• Olay müdahale planı önceden hazır olmalı; kişisel veri ihlalinde 72 saat bildirim kuralı unutulmamalıdır.

Uygulama görevi

Kurumun için tam bir yönetişim çerçevesini tek bir dokümanda topla. Önce en az beş görevlik bir RACI matrisi kur; her görevde tek bir "A" olduğundan emin ol. Ardından düşük, orta ve yüksek risk için kademeli bir onay akışı tasarla ve her seviyeye örnek kullanım, onaylayan rol ve gereken belge ekle. Sonra altı aylık bir denetim kontrol listesi hazırla. Son olarak, bir AI/veri ihlali için tek sayfalık olay müdahale kartı yaz; 72 saat bildirim uyarısını ve iletişim zincirini dahil et. Bu dört parça, modül boyunca öğrendiklerinin işleyen bir sisteme dönüştüğü belge olacak.

Kontrol listesi

• [ ] RACI matrisini kurdum; her görevde tek bir "A" var.
• [ ] Riske göre kademeli onay akışı tasarladım.
• [ ] Düşük riskli kullanımları makul ölçüde serbest bıraktım.
• [ ] Altı aylık denetim kontrol listesi hazırladım.
• [ ] Denetimi iyileştirme aracı olarak konumlandırdım.
• [ ] Tek sayfalık olay müdahale kartı yazdım.
• [ ] 72 saat bildirim kuralını ve iletişim zincirini dahil ettim.

Modul Sinavi

1. Kurumların yazılı bir AI politikası olmadığında ortaya çıkan, çalışanların onaysız AI kullanımını ifade eden kavram nedir?

• A) Gölge AI (shadow AI) ✔
• B) Açık ağırlık AI
• C) Çok kipli (multimodal) AI
• D) Denetimli AI

Aciklama: Kurumun bilgisi ve onayı dışında yapılan AI kullanımına 'gölge AI' (shadow AI) denir ve veri sızıntısı gibi ciddi riskler doğurur.

2. İyi bir kurumsal AI politikasının temel yaklaşımı ne olmalıdır?

• A) AI kullanımını mümkün olduğunca tamamen yasaklamak
• B) Sorumlu kullanımı mümkün kılan, netlik ve güven sağlayan bir çerçeve olmak ✔
• C) Yalnızca IT departmanının bildiği teknik bir belge olmak
• D) Olabildiğince uzun ve yalnızca hukuk diliyle yazılmış olmak

Aciklama: İyi bir politika yasak listesi değil, sorumlu kullanımı mümkün kılan bir çerçevedir. Tamamen yasaklamak kullanımı yok etmez; sadece görünmez ve kontrolsüz hale getirir.

3. Bir kurumsal AI politikasının en kritik bölümü olan veri sınıflandırması neyi belirler?

• A) AI modelinin token fiyatını
• B) Şirketin yıllık AI bütçesini
• C) Hangi veri türünün hangi AI aracına girilebileceğini ✔
• D) Hangi çalışanın hangi maaşı alacağını

Aciklama: Veri sınıflandırması; açık, kurum içi, gizli ve özel nitelikli veri türlerinden hangisinin hangi AI aracına girilip girilemeyeceğini net kurallara bağlar.

4. KVKK'nın "veri minimizasyonu" (ilgili olma, sınırlı ve ölçülü olma) ilkesi AI kullanımında ne anlama gelir?

• A) AI'a yalnızca gerekli veriyi girmek, fazlasını girmemek ✔
• B) AI'a mümkün olduğunca çok veri girerek daha iyi sonuç almak
• C) Veriyi süresiz olarak saklamak
• D) Tüm veriyi mutlaka yurt dışına aktarmak

Aciklama: Veri minimizasyonu, AI'a yalnızca amaç için gerekli veriyi girmeyi, fazlasını girmemeyi ifade eder. Mümkünse veri anonimleştirilerek veya maskelenerek girilir.

5. Kişisel veri içeren bir metni, veriyi sağlayıcının sunucusunda işleyen bir AI aracına girmek KVKK açısından ne olarak değerlendirilir?

• A) Hiçbir yasal sonucu olmayan sıradan bir işlem
• B) Her koşulda kesinlikle yasak olan bir eylem
• C) Yalnızca veri açık nitelikliyse önemli olan bir işlem
• D) Bir işleme ve çoğu zaman bir aktarım; hukuki dayanak ve güvence gerektirir ✔

Aciklama: Veri sağlayıcının sunucusunda (çoğu zaman yurt dışında) işlendiği için bu bir 'işleme' ve çoğu zaman bir 'aktarım'dır; geçerli hukuki dayanak ve uygun sözleşme/güvence gerektirir.

6. AB AI Yasası'nın (EU AI Act) temel yaklaşımı nedir?

• A) Tüm AI sistemlerini aynı sıkı kurallara tabi tutmak
• B) AI sistemlerini potansiyel riskine göre sınıflandırıp buna göre kural uygulamak ✔
• C) AI kullanımını AB genelinde tamamen yasaklamak
• D) Yalnızca modelin token fiyatını denetlemek

Aciklama: AB AI Yasası tüm AI'ı aynı kefeye koymaz; sistemleri potansiyel zararlarına göre dört risk sınıfına (yasaklı, yüksek, sınırlı, minimal) ayırır ve risk arttıkça kuralları sıkılaştırır.

7. AB AI Yasası'na göre işe alım kararlarında aday eleyen bir AI sistemi büyük olasılıkla hangi risk sınıfına girer?

• A) Yüksek risk ✔
• B) Minimal risk
• C) Sınırlı risk
• D) Risksiz

Aciklama: İşe alım, kredi ve sağlık gibi insanların hayatını ciddi biçimde etkileyen alanlar genellikle 'yüksek risk' kategorisine girer ve sıkı yükümlülüklere (kayıt, insan denetimi, veri kalitesi) tabidir.

8. AB AI Yasası kapsamında, kişileri davranış veya özelliklerine göre puanlayıp toplumsal olarak dezavantaja uğratan devlet destekli "sosyal puanlama" sistemleri hangi kategoriye girer?

• A) Sınırlı risk
• B) Yüksek risk
• C) Yasaklı (kabul edilemez risk) uygulama ✔
• D) Minimal risk

Aciklama: Sosyal puanlama, bilinçaltı manipülasyon ve belirli biyometrik gözetim uygulamaları 'yasaklı uygulamalar' arasındadır; bunlar risk azaltılsa bile serbest bırakılamaz, tümden yasaktır.

9. GDPR Madde 22 kişileri neye karşı korur?

• A) AI araçlarının yüksek fiyatlarına karşı
• B) Yalnızca reklam e-postalarına karşı
• C) Açık ağırlıklı modellerin kullanımına karşı
• D) Kişiyi önemli ölçüde etkileyen ve yalnızca otomatik verilen kararlara karşı ✔

Aciklama: GDPR Madde 22, kişiyi hukuki veya benzer şekilde önemli ölçüde etkileyen ve yalnızca otomatik işlemeye (AI dahil) dayanan kararlara karşı korur; insan müdahalesi talep etme ve itiraz etme hakkı tanır.

10. Kişisel veriyi yurt dışındaki bir AI sağlayıcısının sunucusunda işletmek istediğinizde KVKK/GDPR açısından ne gerekir?

• A) Hiçbir ek koşul; veri serbestçe aktarılabilir
• B) Uygun güvence (taahhütname/standart sözleşme hükümleri) veya açık rıza gibi bir mekanizma ✔
• C) Yalnızca verinin şifrelenmesi yeterlidir
• D) Yalnızca çalışanın sözlü onayı yeterlidir

Aciklama: Sınır ötesi aktarım, kural olarak açık rıza ya da yeterli koruma taahhüdü içeren mekanizmalar (taahhütname, standart sözleşme hükümleri gibi uygun güvenceler) gerektirir; veri gelişigüzel aktarılamaz.

11. AI'ın ürettiği bir çıktının telif korumasına girip girmediği çoğu hukuk sisteminde neye bağlıdır?

• A) İçerikteki insan yaratıcılığının ve katkısının düzeyine ✔
• B) Kullanılan modelin token fiyatına
• C) Yalnızca çıktının uzunluğuna
• D) AI aracının menşe ülkesine

Aciklama: Birçok hukuk sisteminde telif koruması insan yaratıcılığı gerektirir. İnsanın yönlendirmesi, seçimi, düzenlemesi ve özgün katkısı arttıkça çıktının korunma olasılığı da artar.

12. AI yönetişim çerçevesinin en kritik ilkesi olan "insan denetimi" neyi ifade eder?

• A) AI'ın tüm kararları tek başına ve otomatik vermesidir
• B) İnsanların AI kullanımını tamamen bırakmasıdır
• C) AI bir araçtır; önemli kararlarda son söz ve sorumluluk her zaman insandadır ✔
• D) Yalnızca en pahalı modelin kullanılmasıdır

Aciklama: İnsan denetimi ilkesi, AI'ın bir araç olduğunu ve sorumluluğun her zaman insanda kaldığını vurgular. Önemli kararlarda son sözü yetkili bir insan söyler; 'AI öyle dedi' bir mazeret değildir.

13. Veri Koruma Etki Değerlendirmesi (DPIA) genellikle ne zaman yapılmalıdır?

• A) Bir veri ihlali yaşandıktan sonra
• B) Yüksek riskli işlemeye başlamadan önce, tasarım aşamasında ✔
• C) Yalnızca denetçi talep ederse
• D) Projeden yıllar sonra rutin olarak

Aciklama: DPIA, yeni bir teknoloji kullanan, geniş çaplı veya sistematik izleme içeren, ya da kişiler için yüksek risk taşıyan bir AI işleme faaliyetine başlamadan ÖNCE, tasarım aşamasında yapılmalıdır.

14. KVKK'nın "amaçla sınırlılık" ve saklama ilkeleri gereği, bir AI aracının sohbet geçmişindeki kişisel veriler için ne yapılmalıdır?

• A) Sonsuza dek saklanmalıdır
• B) Hiçbir kural gerektirmez, sağlayıcının sorunudur
• C) Yalnızca yöneticinin isteğiyle yılda bir gözden geçirilir
• D) Bir saklama ve imha politikasına bağlanmalı, amaç bitince silinmeli veya anonimleştirilmelidir ✔

Aciklama: Kişisel veri, işlendiği amaç için gerekli süreden fazla tutulamaz. AI sohbet geçmişleri de bir saklama ve imha politikasına bağlanmalı; amaç ortadan kalkınca silinmeli veya anonimleştirilmelidir.

15. Türkiye'de belirli eşikleri aşan veri sorumlularının kişisel veri işleme faaliyetlerini kaydettirmesi gereken sicil hangisidir?

• A) VERBIS (Veri Sorumluları Sicil Bilgi Sistemi) ✔
• B) MERSIS ticaret sicili
• C) AB AI Yasası veri tabanı
• D) VERGİ mükellef sicili

Aciklama: VERBIS (Veri Sorumluları Sicil Bilgi Sistemi), veri sorumlularının işleme envanterlerini kaydettiği resmi sicildir; yeni bir AI temelli işleme faaliyeti envantere ve gerekiyorsa VERBIS kaydına yansıtılmalıdır.