Yapay zekâyı devreye almadan önce

Bu listeyi neden yazdık

Uyum konuşmaları çoğu zaman yanlış yerden, mevzuatın kendisinden başlıyor. Oysa bir şirket devreye aldığı sistemi ancak dört şey yazılıysa savunabilir: sistem ne yapıyor, hangi veriye dokunuyor, kim sorumlu ve ters giden bir şey olduğunda ne oluyor. Bu dördü kâğıda dökülmemişse tartışmanın geri kalanı teorik kalır.

Bu bir hukuki görüş değil. Gerçekten yüksek riskli bir alandaysanız avukatla çalışmanız gerekir; kestirme yolu yok. Ama listeyi önceden doldurmak o görüşmeyi yarım günden yarım saate indiriyor: avukatın soracağı soruların cevabı zaten önünüzde oluyor.

Süreyi de baştan doğru tahmin edin: küçük bir iç asistan için bir öğleden sonra, işe alım ya da kredi kararına dokunan bir sistem için birkaç hafta. Hangisiyle uğraştığınızı belirlemek listenin ilk işi.

Önce sistemi doğru risk sınıfına koyun

AB Yapay Zekâ Tüzüğü (AI Act) sistemleri riskine göre ayırıyor ve yükümlülüğün tamamı bu ayrıma bağlı. Sınıfı yanlış belirlediyseniz sonrasında yaptığınız hazırlık sizi korumuyor.

En pahalı hata, kendini en alt sınıfta sanmak. Özgeçmişleri sıralayan basit bir puanlama, çıktısı işe alım kararına girdiği anda yüksek riskli sınıfa geçer. Modelin küçük olması, kuralların elle yazılması ya da nihai kararı bir insanın vermesi bunu değiştirmiyor. Sınıfı belirleyen model değil, kararın kimi etkilediğidir.

İkinci bir ayrım daha var: sistemi siz mi geliştirdiniz, yoksa hazır bir aracı mı kullanıyorsunuz? Hazır bir asistanı kendi verisiyle çalıştıran şirket geliştirici sayılmıyor; ama kullanım tarafındaki yükümlülükler sizde kalıyor: aracı yapıldığı amaçla kullanmak, personeli bilgilendirmek, çıktıyı denetlemek ve sağlayıcının koşulları içinde kalmak. En sık gördüğümüz yanılgı, sorumluluğun tümüyle satıcıya geçtiğini sanmak.

Hangi sistemlerin çalıştığını yazın

Uyum çalışmalarının çoğu ilk adımda tıkanıyor: şirketler kaç tane yapay zekâ sistemi çalıştırdıklarını bilmiyor. Pazarlamanın aldığı bir metin aracı, finansın kurduğu bir tablo eklentisi, destek ekibinin denediği bir sohbet botu: üçü de envantere girer. Her satır için beş bilgi yeterli.

• Sistemin adı ve iş sahibi. Departman adı değil, bir kişinin adı yazılmalı.
• Hangi model, hangi sağlayıcı, hangi bölgede çalışıyor.
• Girdi olarak ne veriliyor; çıktı hangi ekrana, hangi dosyaya, hangi müşteriye gidiyor.
• Karar mı veriyor, yoksa taslak mı hazırlıyor? Bu ayrım sonraki bütün maddeleri belirliyor.
• Bugün kapatılsa iş nasıl yürür? Cevabı olmayan sistem, sandığınızdan büyük bir bağımlılıktır.

Bunu bir tabloda tutun, sunumda değil. Satır sayısı on beşi geçtiğinde kimse kimin neyi çalıştırdığını hatırlamıyor; hatırlanmayan sistem denetlenemiyor.

Envanteri çıkarmanın en hızlı yolu anket değil, faturalar. Son altı ayın yazılım aboneliklerine ve kurumsal kart harcamalarına bakın; ekiplerin kendi aldığı araçların çoğu orada görünür. Kalanı tek soruyla çıkıyor: geçen hafta işinizi kolaylaştıran hangi aracı kullandınız? Yasak konmadığı sürece insanlar dürüst cevap veriyor.

Tam boyutta aç

Veri nereden geldi, nereye gidiyor

İki soru var ve ikisi de basit: bu veriyi işlemek için dayanağınız ne, bu veri sizden çıkıp nereye gidiyor?

Birincisi KVKK ve GDPR tarafı: müşteri kaydını sözleşmenin ifası için işliyorsanız, aynı kaydı model eğitimi ya da kalite değerlendirmesi için kullanmak ayrı bir hukuki dayanak ister. İkincisi sağlayıcı tarafı: gönderdiğiniz istemler (prompt) saklanıyor mu, ne kadar süreyle, sağlayıcının modellerini eğitmekte kullanılıyor mu, veri fiziksel olarak hangi ülkede duruyor? Bu dört sorunun cevabı sözleşmede yazmıyorsa, cevap yok demektir.

Pratik bir kural: kişisel veriyi modele göndermeden önce ayıklayın. Bir sözleşmedeki riskli maddeyi bulmak için karşı tarafın kimlik numarasına ihtiyacınız yok. Alanları maskelemek, sonradan yazılacak yirmi sayfalık bir politikadan daha çok koruma sağlıyor ve yarım gün sürüyor.

Genellikle geç hatırlanan üçüncü bir soru daha var: silme. Bir müşteri, kaydının silinmesini istediğinde bu kayıt yalnızca veritabanından mı çıkıyor, yoksa istem kayıtlarında, önbellekte ve gömme vektörlerinin (embedding) durduğu indekste de kalıyor mu? Vektör indeksleri en sık unutulan yer. Silme akışını ilk haftada kurun; sonradan eklemek çoğu zaman veri modelini yeniden kurmak demek.

İnsan tam olarak nerede duruyor

İnsan denetimi bir cümle olarak yazıldığında herkes kabul ediyor: nihai kararı insan verir. Denetimin işe yaraması için üç şeyin somut olması gerekiyor.

• Hangi ekranda yapılıyor? Denetim, kişinin çıktıyı fiilen gördüğü bir yerde olmalı; arka planda dönen ve kimsenin bakmadığı bir kuyrukta değil.
• Hangi bilgiyle yapılıyor? Karar veren kişi modelin neye dayandığını görmeli: alıntılanan belge, güven skoru, eksik alan uyarısı.
• Hangi yetkiyle yapılıyor? Reddetmek gerçekten mümkün mü, yoksa onaylamaktan on kat mı uzun sürüyor? İkincisi geçerliyse denetim kâğıt üstünde kalır.

Bir de dürüst bir soru: kişi günde kaç çıktı onaylıyor? Sekiz saatte dört yüz kalem onaylayan kişi denetim yapmıyor, tıklıyor. Denetimi anlamlı tutmanın iki yolu var: hacmi düşürmek ya da yalnızca güven eşiğinin altındaki çıktıları insana göndermek. İkisi de modeli iyileştirmekten hızlı sonuç veriyor.

Denetimi yapan kişinin eğitimi de bu maddenin parçası. On dakikalık bir anlatım yetiyor: model neyi iyi yapıyor, nerede yanılıyor, hangi durumda durup sormak gerekiyor. Bu on dakikayı atlayan ekiplerde denetim ilk hafta içinde onaya dönüşüyor.

Karşıdaki kişiye ne söylüyorsunuz

Şeffaflık maddesi göründüğünden kolay: bir makineyle konuşan kişi bunu bilmeli, üretilmiş içerik etiketlenmeli. Zor olan kısım, bunu özür diler gibi değil, sade bir cümleyle söylemek.

İşe yarayan biçim şu: asistan ilk mesajında ne olduğunu söyler, neyi yapabildiğini bir cümleyle sınırlar ve insana nasıl geçileceğini gösterir. Üç satır yeter. Sayfanın altına küçük puntoyla düşülen notu kimse okumuyor; savunma değeri de yok.

Aynı disiplin iç kullanımda da geçerli. Bir raporun ilk taslağını model yazdıysa bu raporda belirtilsin. Aksi hâlde altı ay sonra kimse hangi sayının nereden geldiğini bilmiyor, düzeltmesi kat kat pahalı oluyor.

Bir de söylenmemesi gereken bir şey var: sistemin yapamadığını yapabiliyormuş gibi anlatmak. Hukuki risk bir yana, ilk yanlış cevaptan sonra kullanıcının güvenini geri kazanmak aylar alıyor. Sınırını baştan söyleyen asistanlar daha az şikâyet alıyor.

Sistemi devreye almadan bir hafta önce

Aşağıdaki listeyi devreye almadan önce baştan sona geçiyoruz. Tek bir madde açıkta kalıyorsa canlıya çıkış tarihi erteleniyor. Bu kuralı esnetmek kısa vadede rahatlatıyor, uzun vadede pahalıya çıkıyor.

On ikinci madde basit görünüyor ama en sık atlanan madde. Bir sistemi durdurma yetkisi üç ekip arasında paylaşılmışsa, o sistem durdurulamıyor demektir.

Asıl iş sistem devreye alındıktan sonra başlıyor

Uyum bir teslim değil, bakım işi. Modeller güncelleniyor, sağlayıcılar sessizce davranış değiştiriyor, veriniz zaman içinde değişiyor. Altı ay önce doğru çalışan bir sınıflandırıcı bugün yanlış çalışıyor olabilir ve bunu kendiliğinden haber vermez. Tehlikeli olan yanlış sonuç değil, fark edilmemesi.

Ayda yarım saat yetiyor. Kayıtlardan rastgele elli çıktı çekip okuyun. İnsan tarafından düzeltilen çıktı oranına bakın. Sağlayıcının sürüm notlarını gözden geçirin. Envanter tablosuna yeni satır eklenmiş mi kontrol edin. Bu dört adım, yılda bir yapılan büyük denetim hazırlığından daha çok koruyor.

Bir de bu dosyayı güncel tutun. Envanter, risk gerekçesi, sağlayıcı koşulları ve şeffaflık metni tek klasörde dursun; son güncelleme tarihi de görünsün. Sorulduğunda bu klasörü açabilen şirket denetimi bir günde geçiyor, açamayan üç hafta arşiv karıştırıyor.