Singapur’un 116 Sayfalık Yapay Zekâ Rehberi: Sorumlu Yönetişim İçin 7 Kural

Singapur’da şirket yönetim kurulları için yayımlanan AI Guide for Boards in Singapore, yapay zekânın artık yalnızca teknoloji departmanlarının gündemi olmadığını ortaya koyuyor. Singapore Institute of Directors (SID) tarafından; Infocomm Media Development Authority (IMDA), Microsoft ve OpenAI iş birliğiyle hazırlanan 116 sayfalık rehber, yönetim kurullarının yapay zekâ yatırımlarını iş değeri, hesap verebilirlik ve risk kontrolleriyle birlikte değerlendirmesine yardımcı olmayı amaçlıyor.

Ana mesaj: Yapay zekâ yönetim kurulunun sorumluluğunda

Rehbere göre yönetim kurulları, yapay zekâyı tamamen teknoloji komitelerine, yönetime veya BT ekiplerine bırakmamalı. Direktörlerin; yapay zekânın şirket stratejisine, yatırımlara, operasyonel dayanıklılığa, çalışanlara ve uzun vadeli değer yaratımına etkisini anlayabilmesi gerekiyor. Aynı zamanda kullanılan sistemlerin, beraberinde getirdikleri riskleri haklı çıkaracak sonuçlar üretip üretmediği de sorgulanmalı.

Bu, her yöneticinin mühendis olması gerektiği anlamına gelmiyor. Ancak kurulun ortak bir temel bilgi seviyesine sahip olması; kullanım alanlarını anlayabilmesi, neyin ters gidebileceğini sorabilmesi ve yönetimin varsayımlarını, kontrollerini ya da ölçüm yöntemlerini gerektiğinde zorlayabilmesi bekleniyor.

1. Yapay zekâya hazır bir yönetim kurulu oluşturun

Rehber, her direktörün yapay zekânın temel kavramları, ticari etkileri ve yönetişim sorunları hakkında işlevsel bir anlayış geliştirmesini öneriyor. Kurul içinden bazı üyelerin; strateji, uygulama, veri yönetişimi ve risk-fayda dengesi gibi konularda yönetimi sorgulayabilecek seviyeye gelmesi gerekiyor. Teknik, düzenleyici veya operasyonel açıdan karmaşık başlıklarda ise kurulun daha derin yapay zekâ uzmanlığına erişimi bulunmalı.

Pratik ölçüt, direktörlerin en yeni modeli tartışıp tartışamadığı değil. Asıl soru şu: Kurul, şirketin hangi yapay zekâ kullanım alanlarına sahip olduğunu anlayabiliyor mu, olası sorunları görebiliyor mu ve yönetimin bunlara karşı hazırlıklı olup olmadığını değerlendirebiliyor mu?

2. Yapay zekâ faaliyetini değil, sonucu ölçün

Yapay zekâ yatırımlarının başarısı; pilot projelerin, satın alınan lisansların veya düzenlenen eğitimlerin sayısıyla ölçülmemeli. Rehber, yönetim kurullarının iş akışlarında iyileşme, tasarruf edilen zaman, müşteri deneyimi ve operasyonel etki gibi somut sonuçlara odaklanmasını istiyor.

Bu yaklaşım, kurul toplantılarında şu soruları öne çıkarıyor:

• Sistem hangi iş sorununu çözüyor?
• Hangi sonuç ne ölçüde iyileşmeli?
• Bu iyileşme nasıl ölçülecek?
• Projeyi deneme aşamasından daha geniş kullanıma taşımak için hangi kanıtlar mevcut?
• Denetim, güvenlik, entegrasyon ve olası başarısızlık maliyetleri neler?

Çok sayıda deney yapılması şirketin konuya ilgi duyduğunu gösterebilir; ancak tek başına yatırımın karşılığının alındığını kanıtlamaz.

3. Çalışanların denemelerini kontrollü bir kapasiteye dönüştürün

Çalışanlar, kurumun resmî yapay zekâ programları başlamadan önce verimlilik sağlayan kullanım alanlarını keşfedebiliyor. Rehber, yönetim kurullarını ve yöneticileri bu deneyimden yararlanmaya, ancak denemeleri şirketin kontrol ortamına dâhil etmeye çağırıyor.

Bunun için çalışanların geliştirdiği yapay zekâ araçlarının belgelenmesi, bu araçları kimlerin hangi amaçlarla kullanabileceğinin netleştirilmesi ve geçerli güvenlik ile yönetişim koşullarının karşılandığının denetlenmesi gerekiyor.

Amaç denemeyi ortadan kaldırmak değil. Amaç, müşterileri, çalışanları veya şirket verilerini etkileyen faydalı prototiplerin görünmez, desteksiz ve yeterli kontrol olmadan kullanılan sistemlere dönüşmesini önlemek.

4. Yapay zekâ riskini kurumsal risk olarak ele alın

Yapay zekâ yönetişimi yalnızca modelin doğru çalışıp çalışmadığını kontrol etmekten ibaret değil. Direktörlerin etik, siber güvenlik, veri, güvenlik, mahremiyet ve yetenek risklerinin yanı sıra yapay zekânın kurumsal dayanıklılık ve uzun vadeli değer yaratımı üzerindeki etkisini de incelemesi öneriliyor.

Bu nedenle yönetim kurulu şunları bilmek durumunda:

• Şirketin hangi bölümlerinde yapay zekâ kullanılıyor?
• Hangi veriler ve üçüncü taraflar sürece dâhil?
• Her sistemin sahibi kim?
• Olaylar nasıl bildiriliyor?
• Bir uygulama hangi durumda durdurulmalı veya yeniden incelenmeli?

Kontroller, başarısızlığın olası etkisine göre orantılı olmalı. Kurum içindeki düşük etkili bir verimlilik aracıyla çalışanları, müşterilere erişimi veya güvenliği etkileyen bir sistem aynı düzeyde denetime ihtiyaç duymaz.

5. İnsan denetimi ve otomasyon için net sınırlar belirleyin

Rehber, karar süreçlerinde açık sınırlar oluşturulmasını istiyor. Yönetim kurulları, hangi durumlarda insan incelemesinin zorunlu olduğunu belirlemeli ve özellikle müşterileri, çalışanları, güvenliği veya mahremiyeti etkileyen alanlarda otomatik kararların yasak olduğu “kırmızı çizgileri” tanımlamalı.

İnsan denetimi ancak incelemeyi yapan kişinin yeterli bilgiye, yetkiye ve zamanı sahip olması hâlinde anlamlıdır. Kâğıt üzerindeki onay adımı, yapay zekânın ürettiği sonucu sorgulamadan kabul eden bir formaliteye dönüşmemeli.

6. Çalışanlarla ilgili yapay zekâ kararlarına ek güvenlik önlemleri getirin

İşe alım, terfi veya performans değerlendirmesinde kullanılan yapay zekâ, insanların kariyerini ve geçim kaynaklarını doğrudan etkileyebilir. Rehber; bu tür uygulamalarda insan incelemesi, önyargı testleri ve veri kalitesi kontrollerinin yanı sıra, etkilenen kişilerin karara itiraz edebileceği veya yeniden değerlendirme talep edebileceği açık bir süreç öneriyor.

Böylece adalet ilkesi genel bir temenniden, yönetim kurulunun denetleyebileceği somut sorulara dönüşüyor: Sistem gerçekten amaçlandığı gibi çalışıyor mu? Hangi gruplar dezavantajlı duruma düşebilir? Bir kişi sonucu nasıl sorgulayabilir?

7. Siber dayanıklılık ve hesap verebilirliği yönetim kurulu seviyesinde tutun

Rehber, yapay zekâyı şirketin genel ve dijital dayanıklılığını koruma sorumluluğunun bir parçası olarak ele alıyor. Bu yaklaşım, yapay zekâ kaynaklı risklerin yalnızca teknik ekipler tarafından yönetilemeyeceği ve yönetim kurullarının daha aktif bir rol üstlenmesinin beklendiği fikrini güçlendiriyor.

Direktörler yönetimden şu konularda açıklama istemeli:

• Yapay zekâ, şirketin siber saldırı yüzeyini nasıl değiştiriyor?
• Hassas veriler nasıl korunuyor?
• Hizmet sağlayıcılar ve tedarikçiler nasıl değerlendiriliyor?
• Bir sistem ele geçirilir veya zararlı bir çıktı üretirse şirket nasıl karşılık verecek?

Kontrollerin ayrıntısı kurumdan kuruma değişebilir. Ancak bu soruları sormak ve yanıtların yeterliliğini değerlendirmek yönetim kurulunun sorumluluğunda kalıyor.

Yönetim kurulları ilk incelemeye nasıl başlayabilir?

Rehberin yaklaşımı, ilk değerlendirme için beş temel soruda özetlenebilir:

1. Çalışanların kendi geliştirdiği araçlar da dâhil olmak üzere yapay zekâ şirketin hangi alanlarında kullanılıyor?
2. Hangi uygulamalar stratejik açıdan kritik veya yüksek etkili?
3. Yönetim kurulu hangi değer ve risk göstergelerini düzenli olarak görüyor?
4. İnsan incelemesi hangi durumlarda zorunlu, otomatik kararlar hangi alanlarda yasak?
5. Etkilenen kişiler kararlara itiraz edebiliyor mu ve şirket bir sistemi güvenli biçimde durdurabilir mi?

Rehberin daha geniş mesajı açık: Sorumlu yapay zekâ yönetişimi, bir kez hazırlanıp rafa kaldırılacak bir politika değil. Yönetim kurullarının stratejiyi denetleyecek kadar bilgiye, değeri ölçebilecek kadar kanıta ve riskler faydaları aştığında sınır koyabilecek kadar yetkiye sahip olması gerekiyor.