Yapay Zekâ Politikası ile Gerçek Dünyadaki Uygulama Arasındaki Giderek Açılan Fark

Yapay Zekânın Tek Bir Kural Kitabı Yok

Yapay zekâ, onu denetlemek için gereken politika ve yönetişim çerçeveleri olgunlaşabildiğinden daha hızlı biçimde farklı sektörlerde ve uygulamalarda kullanıma sunuluyor. Geçmişte yapay zekâ uygulamaları büyük ölçüde mevcut tüketiciyi koruma, gizlilik ve sektöre özgü düzenlemelerin yanı sıra şirketlerin kendi iç politikaları kapsamında denetleniyordu. Hükümetler artık yapay zekâya özgü gereklilikler getiriyor; ancak bunlar hâlâ parçalı ve sistemlerin gerçekte nasıl çalışması gerektiği konusunda çoğu zaman sınırlı yönlendirme sağlıyor. Bu nedenle şirketler, dış gereklilikleri kendi risk toleransları, ürün hedefleri ve operasyonel gerçekleriyle bağdaştırmak zorunda kalıyor.

AB, Yapay Zekâ Yasası’nın bazı hükümlerini artık etkin biçimde uyguluyor. ABD’nin federal politikası ise daha az külfetli bir ulusal çerçeveyi açıkça destekliyor. 14365 sayılı Başkanlık Kararnamesi, eyaletler arasındaki çelişkili gereklilikleri sınırlamayı amaçlarken eyaletler de 2025’te yapay zekâyla ilgili 1.000’den fazla önlem getirdi. Bu yetkililerin her biri farklı bir hedef tanımlıyor ve bunları uzlaştırma işi, sistemleri geliştiren ve kullanan şirketlerin omuzlarına kalıyor.

Ancak düzenleyici gereklilikler belirlemek, zorluğun yalnızca bir kısmı. Yapay zekâ daha fazla uygulama ve bağlamda kullanıldıkça şirketlerin genel nitelikteki gereklilikleri ve iç politikaları, işleyişi belirleyen kontrollere ve tek tek yapay zekâ kararlarına dönüştürmesi gerekiyor. Hiçbir düzenleyici çerçeve her uygulamayı, bağlamı veya ödünleşimi önceden öngöremez. Bu nedenle kuruluşların, geçerli gereklilik ve iç politikalardan sistem davranışına, ölçülebilir sonuçlara ve denetim ya da incelemeye uzanan yolu izleyebilmesi gerekir. NIST Yapay Zekâ Risk Yönetimi Çerçevesi de yönetişimi tek başına bir uyum çalışması olarak görmek yerine sürekli ölçüm ve yönetimi vurgulayarak benzer bir yaklaşım benimser. Gereklilikler aşağıya doğru aktarılır, kanıtlar ise yukarıya iletilir: düzenleyiciler ve yöneticiler istenen sonuçları tanımlayabilir, ancak kuruluşlar sistemlerinin bu sonuçları gerçekten üretip üretmediğini göstermek zorundadır.

Bu durum, yapay zekâ yönetişimine ilişkin pratik sorumluluğun büyük bölümünü bu sistemleri kullanan kuruluşlara yüklüyor.

Yönetişim, Uygulama Katmanında Zorlaşıyor

Düzenlemeler ve yönetişim çerçeveleri genellikle ilkeleri, yükümlülükleri ve hedeflenen sonuçları tanımlar. Ancak üretim sistemlerinin bunları tek tek kararlara dönüştürmesi gerekir; yönetişim de tam bu noktada zorlaşır. Bir politika ayrımcılığı önlemeyi, kullanıcıları korumayı, şeffaflık sağlamayı veya anlamlı bir insan incelemesine olanak tanımayı öngörebilir. Buna karşın operasyonel bir sistemin çok daha somut sorulara yanıt vermesi gerekir: Hangi eşikte harekete geçecek, bunu hangi kanıtlara ve ne düzeyde güvene dayanarak yapacak, hangi durumlarda insan incelemesi gerekecek, neler kayda geçirilecek ve sistem emin olmadığında ne olacak?

Düzenleyiciler bu soruların yanıtlarını şimdiden bekliyor. FTC, DOJ, CFPB ve EEOC, otomatik sistemler üzerindeki mevcut yetkilerini uygulayacaklarını ortaklaşa açıkladı; bu da er ya da geç birilerinin şirkete sisteminin kararları nasıl verdiğini açıklamasını soracağı anlamına geliyor.

Tacize karşı açık bir politikası olan bir platformu ele alalım. Küfür içeren bir mesaj, arkadaşlar arasında zararsız bir şakalaşma olabilirken görünüşte masum bir mesaj, başka bir kullanıcıyı hedef alan sürekli bir kampanyanın parçası olabilir. Sistem, hangi bağlamı güvenilir biçimde kullanabileceğini, müdahale etmek için ne kadar kanıtın yeterli olduğunu ve hangi müdahalenin uygun olacağını belirlemelidir: mesajı engellemek, göndericiyi uyarmak, insan incelemesine yönlendirmek ya da hiçbir şey yapmamak. Tespit eşiklerini düşürmek daha fazla zararlı davranışın yakalanmasını sağlayabilir, ancak meşru konuşmaları da bastırabilir. İnsan incelemesini zorunlu kılmak kararların isabetini artırabilir, ancak müdahaleyi geciktirebilir. Tacizi yasaklayan genel bir politika bu kararların hiçbirini önceden belirlemez; yine de bu kararların tümü, politikanın gerçekte nasıl uygulandığını belirler.

Hiçbir politika belgesi bu ödünleşimleri önceden çözüme kavuşturmaz; dolayısıyla şirket içinden birinin bunlar hakkında karar vermesi, kararları belgelemesi ve yeniden gözden geçirmesi gerekir. Kurum şemasında böyle bir unvanı olsun ya da olmasın, bu kişi fiilen politika yazmaktadır.

Sorumlu Yapay Zekâ Gerçekte Neleri Gerektiriyor?

Bir sistemi uygulamaya koyan kişiler fiilen politika yazıyorsa sorumlu yapay zekâ, yalnızca bir niyet beyanı olarak ele alınamaz; çünkü sistemin her gün nasıl davrandığına yansıması gerekir. Bu, yalnızca bir politikayı onaylamak veya ilk değerlendirmeyi geçmek değil, yapay zekânın zaman içinde nasıl kullanıldığını, ölçüldüğünü ve düzeltildiğini yönetmek anlamına gelir. Uygulamada en çok üç fikir önem taşır ve bunların her biri yukarıda değinilen ödünleşimlerden kaynaklanır:

• Yönetişim, olası sonuçlarla orantılı olmalıdır. Metin öneren, kredi başvurusunu onaylayan, güvenlik tehdidini işaretleyen veya tıbbi bir karara destek veren yapay zekâ sistemlerinin yarattığı riskler birbirinden çok farklıdır. Kuruluşların, olası sonuçları temel alarak nerelerde daha sıkı kontrollere, incelemeye ve gözetime ihtiyaç olduğunu belirlemesi gerekir.
• Tek başına doğruluk yeterli değildir. Farklı hataların maliyetleri de farklıdır. İçerik denetiminde yanlış pozitif sonuç, meşru ifadelerin bastırılmasına yol açabilirken kredi, sağlık hizmetleri veya güvenlik alanındaki bir hata çok daha ağır sonuçlar doğurabilir. Yönetişim, yalnızca model performansını değil, bir kararın gerçek dünyadaki etkisini de yansıtmalıdır.
• Sürekli değerlendirme ve geri bildirim şarttır. Geçersiz kılmalar, itirazlar, olaylar, uç durumlar ve sonraki aşamalarda ortaya çıkan sonuçların tümü sürekli değerlendirmeye katkı sağlamalıdır.

Yapay Zekâda Kurum İçi Yönetişim için Pratik Bir Çerçeve

Bu ilkeleri hayata geçirmek için yönetişimin, yapay zekâ sistemlerinin tasarımına, devreye alınmasına ve yönetimine yerleşik olması gerekir. Özellikle önemli dört uygulama vardır:

• Yönetişim gerekliliklerini en başından ürün ve sistem gereksinimleri olarak ele alın. Devreye alındıktan sonra eklenen uyum kontrolleri genellikle maliyetli ve kırılgan olur. Gizlilik, şeffaflık, denetlenebilirlik ve inceleme mekanizmalarını bir sisteme en baştan tasarlamak, sonradan eklemekten çok daha kolaydır.
• Politikadan karara kadar denetlenebilir bir zincir oluşturun. Kuruluşlar, geçerli gerekliliği veya kurum içi politikayı uygulanan kontrole ve bunun sonucunda alınan karara bağlayabilmelidir. Ayrıca bu kararı değerlendirmek için gereken kanıtlara da ihtiyaçları vardır.
• Sahipliği ve hesap verebilirliği açıkça belirleyin. Politikadan kimin sorumlu olduğunu, kabul edilebilir riski kimin belirlediğini ve performansı kimin izlediğini tanımlayın. Sistemin bu sınırların dışında davranması hâlinde müdahale etme yetkisine sahip biri de olmalıdır.
• Ortak ve uyarlanabilir bir yönetişim altyapısı oluşturun. Veri kontrolleri, denetim izleri, yapılandırılabilir politikalar, inceleme iş akışları ve ölçüm mekanizmaları birden fazla mevzuat gerekliliğini ve kullanım senaryosunu desteklemelidir. Kuruluşların sistemlerini yeniden inşa etmeden değişen gerekliliklere yanıt verebilmesi için kontroller ve eşik değerleri yargı bölgesine, uygulamaya ve riske göre uyarlanabilmelidir.

Yönetişim Uygulamada İşe Yaramalı

Mevzuat yükümlülükleri ve ilkeleri belirleyebilir; ancak şirketlerin bunları, geniş ölçekte gerçek kararlar alan sistemlere dönüştürmesi gerekir. Bu nedenle kurum içi yönetişim, yalnızca bir uyum çalışması değil, operasyonel bir sorumluluktur. Yapay zekâyı geniş ölçekte devreye alan her şirket, eşik değerleri, inceleme kuralları ve üst kademelere taşıma süreçleri aracılığıyla hâlihazırda politika oluşturuyor; geriye yalnızca bunu bilinçli biçimde yapıp yapmadığı sorusu kalıyor.

Düzenleyici kurumlar hedefledikleri sonuçları belirlemeyi sürdürecek ve her zaman aynı görüşte olmayacaklar. Bu nedenle şirketin, bu beklentilerin nasıl kontrollere dönüştürüleceğine karar vermesi ve ardından kontrollerin işe yaradığını kanıtlarla göstermesi gerekir. Şimdi açık sorumluluk yapıları, ölçülebilir kontroller, denetlenebilirlik ve uyarlanabilir altyapı oluşturan şirketler, mevzuat gelişmeye devam ettikçe daha avantajlı konumda olacaktır.

Bu sorunu birkaç farklı açıdan gördüm: siber güvenlik ortamlarında, risk modelleri oluştururken ve şimdi de yapay zekâ sistemlerini geniş ölçekte işletirken. Her birinde çıkarılan ders benzer: Bir çerçeve ancak açık kararlara dönüştürülebiliyor, uygulamada ölçülebiliyor ve gerçekler eksikleri ortaya çıkardığında geliştirilebiliyorsa işe yarar.