Singapur’un yapay zekâ rehberi yönetim kurullarından ne istiyor?

Bu yaklaşım, anlamlı performans göstergeleriyle yalnızca faaliyet ölçütlerini birbirinden ayırmayı gerektiriyor. Başlatılan pilotların, satın alınan yazılım lisanslarının veya yapay zekâ eğitimi alan çalışanların sayısı çabayı gösterebilir; ancak bunların hiçbiri programın değer yarattığını kanıtlamaz. Kurullar, yönetimden benimsenme rakamlarının yanı sıra gerçekleşen sonuçları, maliyetleri, sınırlamaları ve riskleri de raporlamasını istemeli.

Böylece iki yaygın başarısızlığın önüne geçilebilir: ölçeklenme planı olmayan dağınık deneylere onay vermek veya başarının ne anlama geldiği tanımlanmadığı için faydalı uygulamaları engellemek. Rehberin stratejiye, kullanım alanı seçimine ve yatırım getirisine yaptığı vurgu, yapay zekâ harcamalarını kurumun genel öncelikleriyle ilişkilendirmeyi amaçlıyor.

Çalışanların yapay zekâ denemelerini yönetişim kapsamına alın

Çalışanlar, kurumun resmî bir politikası olmasa bile yapay zekâ araçlarını kullanıyor veya kendi iş akışlarını geliştiriyor olabilir. Önerilen yaklaşım bu faaliyetleri görmezden gelmek değil, yararlı deneyleri kontrollü bir kurumsal yetkinliğe dönüştürmek.

Kurullar, yönetimin hangi araçların ve kullanım alanlarının devrede olduğunu, bunların kime ait olduğunu, hangi verileri işlediğini ve ne tür kontrollerin uygulandığını bilmesini beklemeli. Yapay zekâ ile geliştirilen araçların belgelenmesi, kullanım alanları üzerinde yönetişim kurulması ve güvenlik gerekliliklerinin karşılanması rehberde özellikle ele alınan konular arasında.

Uygulamada bunun için onaylı araçları, hassas bilgileri, sorumlulukları, izleme süreçlerini ve olayların kime bildirileceğini kapsayan kurumsal kurallar gerekiyor. Aynı zamanda çalışanların mevcut yapay zekâ becerilerini tanımak ve geliştirmek de önemli. Benimsemeyi yalnızca üst yönetimin dayattığı bir süreç olarak görmek, denemeden uygulamaya geçişi zorlaştırabilir.

Yönetim kurulu, yönetimi sorgulayabilecek kadar yapay zekâ bilgisine sahip olmalı

Rehber, yapay zekâ okuryazarlığını yönetim kurulunun temel yetkinliklerinden biri olarak görüyor. Her yöneticinin makine öğrenmesi mühendisi olması gerekmiyor; ancak kurulun tamamı yapay zekânın sektörleri, iş modellerini, rekabeti, karar alma süreçlerini ve riskleri nasıl etkileyebileceğini anlamalı.

Birden fazla yönetim kurulu üyesi, yönetimin varsayımlarını, değer iddialarını ve risk değerlendirmelerini sorgulayabilecek düzeyde olmalı. Ayrıca kurulun; bir yönetim kurulu üyesi, danışman veya komite üyesi olabilir, sistemler, veriler, testler ve kontroller hakkında teknik tercihleri değerlendirebilecek kadar uzman en az bir kişiye erişimi bulunmalı.

Bu, yapay zekâyı yalnızca bir teknoloji komitesine bırakıp belirli aralıklarla güncelleme almak anlamına gelmiyor. Yapay zekâ, yönetim kurulunun stratejik ve kurumsal sorumluluk kapsamına giriyor. Teknik sorular kurulun uzmanlığını aştığında ise uzman danışmanlık alınması gerekiyor.

Sistemler devreye alınmadan karar yetkilerini belirleyin

Yapay zekâ yönetişimi, bir sistemin kim tarafından onaylanacağı, işletileceği, izleneceği ve gerektiğinde durdurulacağının tanımlanmasıyla uygulanabilir hale gelir. Kurullar, riske dayalı karar sınırlarının önceden belirlenmesini istemeli. Bu sınırlar en az üç grubu ayırmalı:

• yönetimin onaylanmış sınırlar içinde alabileceği kararlar;
• yönetim kuruluna veya ilgili komiteye taşınması gereken kararlar;
• yapay zekânın hiçbir koşulda bağımsız biçimde almaması gereken kararlar.

Sonuçları ağırlaştıkça kontroller de güçlenmeli. İşe alım, terfi, işten çıkarma ve performans değerlendirmesi gibi yüksek etkili istihdam uygulamalarında yönetim kurulları, anlamlı insan incelemesi ve sorumlu karar vericiler için net “kırmızı çizgiler” koymalı. Yapay zekâ çıktısı, bir kişinin geçim kaynağını etkileyen ve itiraz edilemeyen otomatik bir hükme dönüşmemeli.

Bu ilke, yapay zekânın insan muhakemesini sessizce ikame etmek yerine desteklemesi gerektiğine ilişkin daha geniş yönetişim beklentisiyle uyumlu. Bir sistem çalışmaya başlamadan önce sahibi, onay eşiği, insan denetiminin devreye girdiği nokta ve durdurma süreci açıkça belirlenmiş olmalı.

Adalet, veri kalitesi ve itiraz hakkı için testler isteyin

Sorumlu bir onay süreci, bir modelin ortalama olarak ne kadar iyi çalıştığı sorusuyla sınırlı kalamaz. Kurullar; veri kalitesinin nasıl test edildiğini, sınırlamaların nasıl belgelendiğini, olası önyargıların nasıl incelendiğini ve sistemin devreye alındıktan sonra nasıl izlendiğini sormalı.

Bir yapay zekâ sistemi insanları maddi açıdan etkiliyorsa, etkilenen kişilerin kararın nasıl verildiğini anlaması, sonuca itiraz etmesi ve kararın bir insan tarafından yeniden değerlendirilmesini istemesi için anlamlı bir yol bulunmalı. Açıklamalar, şirketin tescilli teknik ayrıntılarını açığa çıkarmak zorunda değil; ancak hesap verebilir bir inceleme ve itiraz için yeterli olmalı.

Bu konu daha geniş bir kontrol ortamının parçası. Singapur’un kurumsal yönetişim materyalleri de yapay zekâ kararlarının şeffaf ve hesap verebilir olmasına, ayrıca düzenleyici ve etik standartlara dikkat edilmesine vurgu yapıyor. Yönetim kurulunun görevi, bu beklentilerin sahibi, süreci ve kanıtı belirli belgelenmiş uygulamalara dönüşmesini sağlamak.

Yapay zekâyı siber güvenlik ve operasyonel dayanıklılığın parçası sayın

Yapay zekâ güvenlik açısından iki yönlü bir risk yaratıyor. Kurumlar, yapay zekâ destekli oltalama, sosyal mühendislik, dolandırıcılık, otomatik saldırılar ve açıkların daha hızlı keşfedilmesine karşı hazırlıklı olmalı. Bunun yanında yapay zekâ sistemlerini veri sızıntısı, komut enjeksiyonu, model manipülasyonu ve tedarikçi ya da üçüncü taraflardan kaynaklanan zayıflıklara karşı korumalı.

Bu nedenle yapay zekâ riskleri siber dayanıklılık raporlamasında, güvence çalışmalarında ve olay müdahale planlarında yer almalı; ayrı bir teknoloji silosuna bırakılmamalı. Kurulların yanıt araması gereken sorular arasında bir sistemi kimin devre dışı bırakabileceği, olayların nasıl bildirileceği, etkilenen veri ve kararların nasıl soruşturulacağı ve yapay zekâ hizmeti kullanılamaz veya tehlikeye açık hale gelirse kurumun nasıl toparlanacağı bulunuyor.

Bu vurgu, kurulların siber dayanıklılık ve risk yönetimine ilişkin mevcut sorumluluklarını genişletiyor. SID’nin siber rehberi de dayanıklılığı yalnızca teknik bir görev değil, kurumsal stratejiye yerleştirilmesi gereken bir konu olarak ele alıyor.

Kritik ve yüksek sonuç doğurabilecek sistemlerde çıtayı yükseltin

Bir yapay zekâ arızasının sonuçları kullanım alanına göre büyük ölçüde değişir. Düşük riskli bir kurum içi verimlilik aracının gerektirdiği denetim, temel hizmetleri veya kritik altyapıyı destekleyen bir sistem için yeterli olmayabilir.

Bu tür ortamlarda kurullar; dayanıklılık, güvenlik, test, izleme, eskalasyon ve kurtarma süreçleri için daha sıkı gereklilikler beklemeli. Çünkü bir arıza veya güvenlik ihlali yalnızca kurumun mali durumunu ya da itibarını etkilemeyebilir; önemli hizmetleri kesintiye uğratabilir ve daha geniş operasyonel sonuçlar doğurabilir.

Rehberin riske dayalı yaklaşımı, tüm yapay zekâ uygulamalarına aynı muameleyi yapmaktan kaçınıyor. Bunun yerine yetki ve kontrollerin olası arızanın etkisine göre belirlenmesini istiyor.

Yönetim kurulu için pratik yapay zekâ panosu

Rehberdeki öneriler, yönetim kurulunun kullanabileceği kısa bir kayıt veya gösterge paneline dönüştürülebilir. Yönetim, kurula sunulan her önemli kullanım alanı için şu bilgileri açıklayabilmeli:

1. Sorumlu kişi: Sistemin ve sonuçlarının sahibi kim?
2. Hedeflenen iş sonucu: Başarı nasıl ölçülecek?
3. Karar yetkileri: Hangi kararlar kim tarafından alınacak, hangi eşiklerde konu üst makama taşınacak?
4. Veri kaynakları ve işleme kuralları: Hangi veriler kullanılıyor ve nasıl korunuyor?
5. Risk seviyesi: Kullanım alanı neden bu risk kategorisine alındı?
6. Kontroller: Güvenlik, adalet ve veri kalitesi kontrolleri neler?
7. İnsan denetimi noktası: Nihai karardan kim sorumlu?
8. Test ve izleme sonuçları: Bilinen sınırlamalar neler?
9. Olaylar, şikâyetler ve itirazlar: Bunlar nasıl çözüldü?
10. Bir sonraki inceleme tarihi: Sistem ne zaman veya hangi gelişme üzerine yeniden değerlendirilecek?

Bu yapı, değer yaratma ile risk yönetimini aynı kayıt üzerinde birleştiriyor. Ayrıca yöneticilere, kurumun “yapay zekâyı sorumlu kullandığı” yönündeki genel ifadeler yerine sorgulayabilecekleri somut kanıtlar sunuyor.

Şirket yöneticileri için sonuç

SID’nin rehberi, yapay zekâ kullanımını ve yapay zekâ yönetişimini birbirine zıt seçenekler olarak sunmuyor. Kurullardan; yapay zekânın yararlı uygulamalarını, diğer önemli stratejik yatırımlarda uygulayacakları disiplinle ele almalarını istiyor: değeri tanımlamak, sorumluluğu atamak, riskleri anlamak, kontrolleri test etmek ve sonuçları düzenli biçimde gözden geçirmek.

Yönetim kurulları için acil adım, yapay zekâyı düzenli toplantı gündemine almak; kurumun önemli kullanım alanlarını incelemek ve yapay zekâ okuryazarlığı, sahiplik, karar yetkileri, insan denetimi, testler ve dayanıklılık alanlarındaki boşlukları tespit etmek. En güçlü yapay zekâ stratejisi en fazla faaliyeti yürüten strateji değil; kurulun açıklayabildiği, ölçebildiği ve yönetebildiği strateji.