Hızlı Hareket Et, Ama Şeyleri Bozma: Sorumlu AI Benimsenmesini ve İnovasyonu Nasıl Dengeleyeceğinizi Öğrenin

McKinsey tarafından yakın zamanda yapılan küresel bir araştırmaya göre kuruluşların %78’i artık en az bir iş işlevinde yapay zekâ kullanıyor. Buna karşın yalnızca %13’ü yapay zekâ uyum uzmanı, sadece %6’sı ise yapay zekâ etiği uzmanı istihdam ediyor.

Açık konuşmak gerekirse bu, sorumsuzca bir davranış.

Çok da uzak olmayan geçmişte Silikon Vadisi’nin “hızlı hareket et ve bir şeyleri boz” anlayışına sıkı sıkıya inanıyordum. Ancak daha önce gördüğümüz her şeyden daha güçlü olan ve ışık hızında gelişen yapay zekâ konusunda bu kadar rahat davranma lüksümüz yok.

Anlamlı güvenlik önlemleri olmadan yapay zekâyı benimsemek, eninde sonunda ters tepmesi ve her şeyi bozma riski taşıması kaçınılmaz olan, köşeleri keserek hızla ilerleme yaklaşımının ta kendisidir. Tek bir yapay zekâ önyargısı ya da kötüye kullanım vakası, yıllar boyunca inşa edilen marka itibarını ortadan kaldırabilir.

Birçok CIO ve CTO bu risklerin farkında olsa da düzenleyicilerin sonunda devreye girip onları kendi çerçevelerini oluşturma yükünden kurtaracağı varsayımıyla hareket ediyor gibi görünüyor. Bunun sonucu, risk hakkında çok fazla konuşma fakat çok az gerçek denetim oluyor.

Düzenlemelerin eninde sonunda geleceğinden kuşkum yok; ancak yakın zamanda yürürlüğe gireceklerinden o kadar emin değilim. ChatGPT yaklaşık üç yıl önce tanıtıldı ve sohbet robotları ve güvenlik riskleri konusunda Senato Yargı Komitesi toplantısı gibi gelişmeleri ancak şimdi görmeye başlıyoruz. Gerçek şu ki anlamlı bir düzenleme görmemiz yıllar alabilir.

Şirketler bunu iç yönetişimi ertelemek için bir bahane olarak görmek yerine daha proaktif davranmalıdır. Çünkü düzenlemeler nihayet geldiğinde kendi çerçevesi olmayan şirketler, uyumu sonradan ve telaş içinde sistemlerine eklemek zorunda kalacaktır. GDPR ve CCPA yürürlüğe girdiğinde olan tam olarak buydu.

2000’lerin başındaki çevik girişimlerin bugün dönüştükleri kurumsal teknoloji devleri olarak daha yüksek standartlara tabi tutulması gibi, yapay zekâyı sorumlu biçimde benimseme yaklaşımımızda hep birlikte olgunlaşmamız gerekiyor.

Sorumlu yapay zekâ dağıtımında “şimdi al, sonra öde” yoktur: hemen başlayın

Yapay zekâya daha sorumlu yaklaşmanın ilk adımı, düzenleyicileri beklemeyi bırakıp kendi kurallarınızı belirlemektir. Bugün güvenlik önlemlerinden kaçınarak elde ettiğinizi düşündüğünüz her avantaj, gelecekte bunları sonradan eklemenin son derece pahalı ve kesintiye yol açan süreciyle karşılaştığınızda size zarar verecektir.

Elbette pek çok kuruluş için sorun nereden başlanacağını bilmemektir. Şirketim kısa süre önce büyük işletmelerde çalışan 500 CIO ve CTO ile bir anket gerçekleştirdi. Katılımcıların neredeyse yarısı (%48), “yapay zekânın sorumlu kullanımının veya dağıtımının ne anlama geldiğini belirlemeyi” etik kullanımın sağlanmasında bir güçlük olarak gösterdi.

Başlamak için kolay bir nokta, odağınızı yalnızca yapay zekânın mümkün kıldığı özelliklerin ötesine genişletip olası riskleri de değerlendirmektir. Örneğin yapay zekâ çalışanlara zaman kazandırabilir; ancak çok büyük miktarda kişisel olarak tanımlanabilir bilginin (PII) veya ticari sırrın lisanssız ve onaylanmamış büyük dil modelleriyle paylaşılması ihtimalini de doğurur.

Günümüzde her dijital şirket, kaliteli ürün geliştirmek için bir çerçeve sunan Yazılım Geliştirme Yaşam Döngüsüne (SDLC) aşinadır. Sorumlu karar almanın sonradan akla gelen bir konu değil, günlük rutinin parçası olması için yapay zekâ yönetişimi en iyi uygulamaları bu iş akışına yerleştirilmelidir.

Etik komitesi veya yönetişim kurulu gibi bir yönetim organı kurulmalı; bu yapı kuruluş içinde yapay zekâ uygulamalarının nasıl olacağına ilişkin standartları ve bu standartların nasıl izlenip korunacağını gösteren ölçütleri tanımlamalıdır. Uygulamada bu; yapay zekâ araçları ve model yönetişimi, çözüm onayları, risk yönetimi, düzenleme ve standartlarla uyum ve şeffaf iletişim anlamına gelir. Teknik açıdan “yeni” bir süreç olsa da veri en iyi uygulamalarından ve siber güvenliği korumaktan çok farklı değildir. Sorunların erken tespit edilmesi için otomatikleştirilebilir.

Elbette bütün riskler aynı düzeyde dikkat gerektirmez. Bu nedenle ekibin çabasının büyük bölümünü yüksek öncelikli olarak tanımlanan alanlara yöneltebilmesi için kademeli bir risk yönetimi süreci geliştirmek de önemlidir.

Son olarak ve en önemlisi, yönetişim uygulamalarına ilişkin hem kurum içi hem de kurum dışı açık ve şeffaf iletişim hayati önem taşır. Buna yönetişim standartları için sürekli güncellenen belgelerin tutulması ve ekiplerin güncel kalmasını sağlayacak devamlı eğitim verilmesi de dahildir.

Yönetişimi inovasyona yönelik bir tehdit olarak görmekten vazgeçin

Belki de sorumlu yapay zekânın önündeki asıl tehdit, yönetişim ile inovasyonun birbiriyle çeliştiğine duyulan inançtır. Anket verilerimizde CIO ve CTO’ların %87 gibi çok yüksek bir oranı, aşırı düzenlemenin inovasyonu sınırlayacağını düşündüğünü belirtti.

Oysa yönetişim, inovasyonun freni olarak değil stratejik ortağı olarak ele alınmalıdır.

Yönetişimin ivmeyi yavaşlatan bir sürtünme kaynağı gibi görülmesinin nedenlerinden biri, genellikle ürün geliştirmenin sonuna bırakılmasıdır. Oysa güvenlik önlemleri sürecin parçası olmalıdır. Yukarıda belirtildiği gibi yönetişim sprint döngülerine yerleştirilebilir; böylece ürün ekibi hızla ilerlerken adalet, önyargı ve uyum kontrolleri de paralel olarak otomatik biçimde çalışır. Uzun vadede bu yaklaşım karşılığını verir; müşteriler, çalışanlar ve düzenleyiciler sorumluluğun baştan sisteme yerleştirildiğini gördüklerinde daha fazla güven duyar.

Bunun finansal ödüller getirdiği de kanıtlanmıştır. Araştırmalar, veri ve yapay zekâ yönetişimi çerçevelerini iyi uygulayan kuruluşların finansal performansında %21 ila %49 iyileşme yaşandığını gösteriyor. Buna karşılık bu çerçeveleri oluşturmamanın da sonuçları var. Aynı çalışmaya göre 2027’ye kadar kuruluşların çoğu (%60), “uyumsuz etik yönetişim çerçeveleri nedeniyle yapay zekâ kullanım örneklerinden beklenen değeri elde edemeyecek”.

Yönetişimin inovasyon pahasına yürütülmesi gerekmediği savının bir istisnası, hukuk ekiplerinin bu görüşmelere dahil olmasının işleri yavaşlatma eğilimidir. Ancak deneyimlerime göre bir Yönetişim, Risk ve Uyum (GRC) ekibi kurmak, hukuk ve ürün ekipleri arasında köprü görevi görerek süreçlerin sorunsuz ve hızlı ilerlemesini büyük ölçüde sağlar.

İyi yönetildiğinde GRC ekibi, hukuk ekibiyle olumlu ilişkiler kurar; sahadaki gözleri olur ve ihtiyaç duydukları raporları sağlar. Aynı zamanda geliştirme ekibiyle birlikte çalışarak gelecekteki dava ve para cezası risklerini azaltır. Sonuçta bu da yönetişime erken yatırım yapmanın, yönetişimin inovasyona engel olmamasını sağlamanın en iyi yolu olduğunu bir kez daha gösterir.

Ölçeklenebilen denetim ve yönetişim sistemleri kurun

Ankete katılan CIO ve CTO’ların bu kadar büyük bölümü düzenlemelerin inovasyonu sınırlayabileceğini düşünse de benzer ölçüde yüksek bir oran (%84), şirketlerinin önümüzdeki 12 ay içinde yapay zekâ denetimini artıracağını öngörüyordu. Yapay zekâ entegrasyonlarının zaman içinde genişlemeye ve ölçeklenmeye devam etmesi muhtemel olduğuna göre yönetişim sistemlerinin de onlarla birlikte ölçeklenebilmesi aynı derecede önemlidir.

İşletmelerde yapay zekâ uygulamalarının ilk aşamalarında sık gördüğüm bir durum, farklı iş birimlerinin birbirinden kopuk çalışmasıdır. Birimler, “sorumlu yapay zekânın” ne anlama geldiğine ilişkin farklı görüşlerle eşzamanlı olarak farklı dağıtımlar yürütür. Bu tutarsızlıkları önlemek için şirketler teknik, uyum ve iş uzmanlığını bir araya getiren özel bir Yapay Zekâ Mükemmeliyet Merkezi kurmalıdır.

Yapay Zekâ Mükemmeliyet Merkezi hem şirket genelinde geçerli standartlar hem de düşük riskli kullanım örnekleri için kolaylaştırılmış bir yol sunan kademeli onay süreçleri oluşturur. Böylece hız korunurken yüksek riskli dağıtımların daha resmi güvenlik kontrollerinden geçmesi sağlanır. Merkez ayrıca günlük işlevler içinde hesap verebilirliğin kaybolmaması için üst düzey yöneticilere yönelik yapay zekâ güvenliği KPI’ları belirlemelidir.

Bunu hayata geçirmek için yöneticilerin yönetişim göstergelerinin takibine ilişkin daha iyi görünürlüğe ihtiyacı vardır. Bu göstergeler hakkında gerçek zamanlı veri sunan panolar, yayımlandığı anda eskiyen ve çoğu zaman okunmayan statik uyum raporlarından çok daha etkili olacaktır. İdeal olarak şirketler, siber güvenlik risklerini halihazırda izledikleri biçimde yapay zekâ risk kayıtları oluşturmalı; ayrıca bir makine öğrenmesi veya yapay zekâ uygulamasını kimin geliştirdiğini, nasıl test edildiğini ve zaman içinde nasıl performans gösterdiğini yansıtan denetim izlerini saklamalıdır.

Buradaki en önemli sonuç, sorumlu yapay zekânın yönetişimi devam eden bir süreç olarak gerektirmesidir. Mesele yalnızca lansman sırasındaki onaylar değil, modelin bütün yaşam döngüsü boyunca sürekli izlenmesidir. Bu yüzden eğitim kilit önemdedir. Geliştiriciler, teknoloji uzmanları ve iş liderleri sorunları erken fark edebilmeleri ve sistemler geliştikçe yüksek yönetişim standartlarını koruyabilmeleri için sorumlu yapay zekâ uygulamaları konusunda eğitilmelidir. Böylece yapay zekâ dağıtımları, süreçte hiçbir şeyi bozmak zorunda kalmadan daha güvenilir, etkili ve kârlı hale gelir.