Yapay Zekâ Yönetişimi ve Risk
Yapay zekâ kullanımı görünmez kaldığında kurum; verinin nereye gittiğini, hangi yetkinin kullanıldığını ve hatanın kime ait olduğunu izleyemez. Bu modül, tek bir araç seçmekten daha geniş olan bu sorunu politika, veri sınıflandırması, risk kaydı, insan onayı, test, olay müdahalesi ve maliyet takibiyle ele alır. Amaç kullanımı durdurmak değil, hangi işin hangi sınırlarla ve hangi kanıtla yapılabileceğini herkes için görünür kılmaktır.
Modül künyesi
Alan Bilgi Hedef kitle Kurumsal çalışanlar, yöneticiler, bilgi güvenliği, hukuk/uyum, BT ve yapay zekâ kullanımından sorumlu rol sahipleri Önerilen süre (toplam dakika) 240 dakika Ön koşul Modül 1–7; özellikle veri farkındalığı, yapay zekâ araçları ve ajanların temel çalışma mantığı Kullanılan araçlar (araç tarafsız) Kurumun onaylı yapay zekâ aracı, ortak tablo veya kayıt sistemi, politika dokümanı, risk kaydı, test verisi ve olay bildirim kanalı; ürün adı ve lisansı kuruma göre seçilir Modül sonunda üretilen çıktı Kullanım politikası taslağı, veri sınıflandırma matrisi, en az bir risk kaydı, …
Öğrenme çıktıları
Bu modülü tamamladığınızda: Bir yapay zekâ kullanımını amaç, veri, araç, izin, doğrulama ve sorumluluk alanlarıyla kayıt altına alabilirsiniz. Veriyi dört sınıfa ayırıp her sınıf için giriş, saklama, paylaşım ve çıktı kuralları yazabilirsiniz. KVKK’daki kişisel veri, yurt dışına aktarım ve standart sözleşme kontrollerini ilgili hukuk rolüne doğru sorularla taşıyabilirsiniz. AB Yapay Zekâ Tüzüğü’nün risk yaklaşımını, Madde 4 okuryazarlık yükümlülüğünü ve 2026 sonrası takvimi kurumunuzun etki haritasına uygulayabilirsiniz. Bir ajanı en az yetki, insan onayı, log, durdurma ve geri alma koşullarıy…
Oturum planı
Sıra Konu Süre (dk) Yöntem 1 Sorumluluk, veri, izin ve karar sınırı 15 Anlatım ve tartışma 2 Kullanım politikası, rol sahipliği ve gölge yapay zekâ 25 Anlatım ve alıştırma 3 Veri sınıflandırması, KVKK ve yurt dışı aktarım 30 Anlatım, tablo çalışması ve vaka 4 AB Yapay Zekâ Tüzüğü ve Türkiye’deki durum 25 Anlatım ve karar tablosu 5 Yönetim sistemi, risk kaydı ve tedarikçi kapısı 25 Anlatım ve alıştırma 6 Ajan güvenliği, OWASP ve BT görüşmesi 30 Canlı gösterim ve tartışma 7 Değerlendirme, 48 soruluk test ve yapay zekâ hakemi 30 Alıştırma ve karşıt kullanıcı testi 8 İnsan onayı, RACI, olay müdaha…
11.1 Yönetişimin başlangıç soruları
Bir yapay zekâ kullanımını değerlendirmeye araç adından değil, iş kararından başlayın. Her kullanım için şu beş sorunun cevabı yazılı olmalıdır: Kim, hangi işi, hangi amaçla yapıyor? Hangi veri işlenecek; verinin sahibi ve sınıfı nedir? Sistem hangi izinle neyi okuyabilir, yazabilir, gönderebilir veya değiştirebilir? Çıktı hangi kaynakla, hangi ölçütle ve kim tarafından doğrulanacak? Hata, veri olayı veya yanlış karar olduğunda ilk müdahaleyi kim yapacak ve kimin hesabı verilecek? Bir yapay zekâ aracı taslak, sınıflandırma, arama veya seçenek üretme işini üstlenebilir. Bu durum karar yetkisini…
11.2 Kullanım politikası: kısa, uygulanabilir ve sahipli
İyi bir politika yalnızca “yapay zekâ kullanılabilir” demez. Hangi amaçla, hangi veriyle, hangi araçta, hangi insan kontrolüyle kullanılabileceğini ve hangi durumda duracağını belirtir. Politika çok genel olursa çalışan günlük karar veremez; yalnızca yasaklardan oluşursa kullanım kişisel hesaplara taşınabilir. Politikanın sahibi, onay mercii, sürümü, yürürlük tarihi ve bir sonraki gözden geçirme tarihi başta yer almalıdır. Hukuk, bilgi güvenliği, BT, insan ve kültür, finans ve iş birimleri kendi uzmanlıklarıyla katkı verir; ancak son metnin tek bir sahibi olmalıdır. Teknoloji veya mevzuat deği…
11.3 Veri sınıflandırma ve giriş kapısı
Kurumunuzun bilgi güvenliği sınıfları varsa onları kullanın; aşağıdaki matris, ilk karar için örnektir. Hukuk veya bilgi güvenliği başka adlar kullanıyorsa isimleri değil, karar mantığını eşleştirin. Bir verinin sınıfı belirsizse daha sıkı sınıfı uygulayın. Veri sınıfı Örnek Yapay zekâya giriş kuralı Çıktı kuralı Kamuya açık Yayımlanmış duyuru, açık mevzuat, genel sektör bilgisi Onaylı araçlarda kullanılabilir; kaynağı ve güncelliği kontrol edilir Kaynak gösterilir; doğrulanmamış iddia paylaşılmaz Kurum içi Süreç taslağı, anonimleştirilmiş rapor, yayımlanmamış genel plan Kurumsal hesap, tanıml…
11.4 KVKK ve yurt dışına aktarım
KVKK açısından kullanılan teknoloji, veri işleme sorumluluğunu ortadan kaldırmaz. Kurum bir kararın amacını ve yöntemini belirliyorsa veri sorumlusu rolü doğabilir; sağlayıcıyla yapılan sözleşmede farklı bir sıfat yazması somut akışı tek başına değiştirmez. Hangi rolün geçerli olduğu ve işleme şartları somut olay üzerinden hukukla incelenmelidir. Kişisel veri bir yapay zekâ sağlayıcısının yurt dışındaki sistemine gidiyorsa, veri akışının yurt dışına aktarım yönü ayrıca değerlendirilir. “Kurumsal plan”, “veri eğitime gitmiyor” veya “sistem kapalı” ifadeleri aktarım dayanağının yerine geçmez. Ha…
11.5 AB Yapay Zekâ Tüzüğü: risk, okuryazarlık ve takvim
AB Yapay Zekâ Tüzüğü, sistemleri yalnızca teknolojiye göre değil, kullanım amacına ve etkisine göre değerlendirir. Kurumunuzun AB’de yerleşik olmaması tek başına kapsam dışı olduğunuz anlamına gelmez. AB’de kullanılmak üzere tasarlanan çıktı üretiyor, AB’de hizmet sunuyor veya AB’deki bir kuruluş adına sistemi işletiyorsanız etki haritasını hukukla inceleyin. Risk sınıfları için ilk tarama Tüzükteki risk yaklaşımı İşaret Kurum içi ilk soru Uygulama sonucu Kabul edilemez veya yasaklanan uygulamalar İnsan davranışını tehlikeli biçimde yönlendirme, yasak kapsamına giren biyometrik veya manipülati…
11.6 Türkiye’de düzenleme durumu ve kurum içi izleme
Türkiye’de yapay zekâya ilişkin tek bir kanun yürürlükteymiş gibi yazmayın. 1 Kasım 2026 itibarıyla TBMM kaydındaki Yapay Zekâ Kanun Teklifi komisyonda görünmektedir; teklifin yasalaştığı kabul edilerek politika yazılmaz. Türkiye Yapay Zekâ Eylem Planı 2026–2030 ise 2026/9 sayılı Genelge ile 18 Ağustos 2026 tarihli Resmî Gazete’de yayımlanmıştır. Eylem planı, doğrudan her kurum için ayrıntılı operasyon kuralı anlamına gelmez; kurumun mevzuat ve strateji izleme listesinde ayrı bir statüyle yer alır. Ticaret Bakanlığının 2026 değişiklikleri, reklam ve ticari uygulamalarda yapay zekâ ile üretilen…
11.7 Yönetim sistemi: ISO/IEC 42001, ISO/IEC 23894 ve NIST AI RMF
Bir yönetim sistemi, tek seferlik güvenlik kontrolü değil; amaç belirleme, sorumluluk, risk değerlendirme, uygulama, ölçme, iç gözden geçirme ve iyileştirme döngüsüdür. ISO/IEC 42001 yapay zekâ yönetim sistemi için gereklilikleri tanımlar. ISO/IEC 23894 yapay zekâ risk yönetimi rehberidir; 42001 gibi bir yönetim sistemi sertifikasyon standardı olarak sunulmamalıdır. NIST AI RMF gönüllü bir risk yönetimi çerçevesidir; AI 600-1 ise üretken yapay zekâ risklerini bu çerçeveyle ilişkilendiren profildir. Kaynak Ne sağlar? Kurum içindeki kullanım ISO/IEC 42001 Yapay zekâ yönetim sistemi gereklilikler…
11.8 Risk kaydı: kullanım başlamadan önce tek satır
Risk kaydı “risk düşük” demek için değil, kararın hangi bilgiye dayandığını göstermek için tutulur. Yeni bir öneriyi hemen üretime almayın; önce aşağıdaki alanlarla tek satıra indirin. Belirsiz bilgiye “bilinmiyor” yazın ve cevabı kimin sağlayacağını ekleyin. Alan Yazılacak bilgi Kullanım adı ve iş amacı Hangi iş sonucu değişecek? İş sahibi ve karar sahibi Günlük işi kim yürütür, son kararı kim verir? Etkilenen kişi veya grup Kim bu çıktının sonucundan etkilenebilir? Veri sınıfı ve kaynak Hangi alanlar kullanılır, gereksiz alanlar çıkarıldı mı? Araç, model, plan ve hesap Hangi ortam, tenant ve…
11.9 Ajan güvenliği: prompttan önce yetki
Ajan, bir hedefi gerçekleştirmek için birden fazla adımı seçebilen, araç çağırabilen veya başka sistemlere bağlanabilen yapay zekâ destekli iş akışıdır. Ajan güvenliği yalnızca ana talimatı iyi yazma işi değildir. Dış içerik, araç açıklaması, bağlayıcı, kimlik doğrulama, token, eylem izni, log, maliyet ve geri alma birlikte tasarlanır. Dış içerik veridir, kurum talimatı değildir. Web sayfası, e-posta, PDF, görsel, RAG dokümanı veya araç açıklaması içinde “önceki talimatları yok say”, “gizli bilgiyi gönder” ya da “bu bağlantıya tıkla” gibi metin bulunabilir. Sistem bu metni görevin konusu olara…
11.10 OWASP LLM Top 10:2025 ve ajan riskleri
OWASP LLM Top 10:2025’i bir kontrol listesi gibi okuyun; başlıkları ürün güvenlik garantisi olarak sunmayın. Her risk için kullanımınıza özgü tehdit, kontrol ve test yazın. Risk Kurum içi örnek İlk kontrol Prompt injection Web sayfası veya e-posta ajana gizli talimat verir Dış içeriği veri olarak ayırma, araç izni ve karşıt kullanıcı testi Hassas bilgi sızıntısı Model özel alanları özet içinde geri verir Veri minimizasyonu, çıktı taraması ve alıcı kontrolü Supply chain Eklenti, model, veri kümesi veya araç paketi güvenilmezdir Tedarikçi incelemesi, sürüm sabitleme ve değişiklik kaydı Veri ve m…
11.11 Tedarikçi ve araç değerlendirmesi
Araç adı satın alma kararının yalnızca bir parçasıdır. Microsoft 365 Copilot, Google Workspace/Gemini, ChatGPT, Claude veya başka bir ürün değerlendirilirken aynı soruları sorun; ürün özellikleri ve planlar değişebileceği için bilgiyi kontrol tarihiyle saklayın. Bir sağlayıcının kurumsal veriyi varsayılan olarak model eğitiminde kullanmama taahhüdü, saklama, bölgesel işleme, geri bildirim, bağlayıcı izinleri, alt işleyenler ve yönetici ayarlarının ayrıca kontrol edilmesi gereğini kaldırmaz. Tedarikçi inceleme kartı Başlık İstenilecek kanıt Sağlayıcı ve ürün kimliği Ürün, plan, model sürümü, sü…
11.12 Değerlendirme ve 48 soruluk test seti
Bir sistemi üretime almadan önce “iyi cevap verdi” demek yerine kanıt toplayın. Her soruyu Evet, Hayır veya Kanıt yok olarak yanıtlayın. “Kanıt yok” kabul anlamına gelmez; eksik kontrolü görünür kılar. Yüksek etkili kullanımda kritik bir “Hayır” veya kanıt bulunmaması pilotu durdurma nedeni olarak tanımlanabilir. Amaç, kapsam ve etki İş amacı tek cümleyle yazılı mı? İş sahibi ve son karar sahibi belli mi? Başarı ölçütü yalnız hızdan ibaret değil mi? Sistemin yapacağı ve yapmayacağı işler ayrılmış mı? Etkilenen kişi veya gruplar belirlenmiş mi? Devredilemeyecek kararlar kayıtlı mı? Veri ve mahr…
11.13 Yapay zekâ hakemi ve karşıt kullanıcı testi
Bir modelin başka bir modelin çıktısını incelemesi, yapay zekâ hakemi yaklaşımıdır. Hakem; kaynak eşleştirme, ölçüt uygulama, eksik alan ve çelişki bulma için yardımcı olabilir. Kendi çıktısını değerlendiren hakem bağımsız değildir; insan incelemesinin, gerçek kaynağın veya karar sahibinin yerine geçemez. Üretici, hakem ve insan karar kaydı aynı kanıt zincirinde birbirine karıştırılmamalıdır. Üç katmanlı değerlendirme Rol Görevi Sınırı Üretici Taslak, sınıflandırma veya seçenek üretir; kullandığı kaynakları belirtir Son karar vermez; kaynak yoksa iddia üretmez Hakem İddia-kaynak eşleşmesini, ö…
11.14 İnsan onayı ve yayına alma kapısı
İnsan onayı, ekrana bakıp “uygun” demek değildir. Onaylayan kişi iş amacını, kullanılan veriyi, kaynağı, riskleri, alıcıyı ve kendi yetkisini anlamalıdır. Onay kaydı en az tarih, içerik veya çıktı sürümü, onaylayan rol, onayın kapsamı, koşullu istisna ve kayıt numarasını içermelidir. Seviye Yapay zekânın işi İnsan şartı Örnek 1. İç hazırlık Okuma, sınıflandırma, özet, taslak ve seçenek üretme Tanımlı kural; örneklem veya kaynak kontrolü Kamuya açık rapor özeti, iç toplantı taslağı 2. Birlikte karar Alternatif, gerekçe, risk ve etki çıkarma İş sahibi karar verir; karar gerekçesi kayıtlıdır Bütç…
11.15 RACI, olay müdahalesi ve tek hesap veren kuralı
RACI tablosunda Responsible işi yapan, Accountable sonucun hesabını veren, Consulted görüşü alınan, Informed bilgilendirilen roldür. Aynı iş için birden fazla işi yapan olabilir; hesabı veren rol tek olmalıdır. Hesap veren rol, yapay zekâ aracının veya sağlayıcının adı değildir. Faaliyet Responsible · işi yapan Accountable · hesabı veren Consulted · danışılan Informed · bilgilendirilen Kullanımı envantere eklemek İş birimi Yapay zekâ yönetişim sahibi BT, hukuk/uyum Yönetim Veri sınıfını belirlemek Veri sahibi Bilgi güvenliği veya veri yönetişim sahibi Hukuk, iş birimi Kullanıcı Ajanı ve erişim…
11.16 Maliyet, fayda ve workslop kontrolü
Yapay zekâ maliyeti yalnız abonelik değildir. Koltuk, model veya API çağrısı, giriş ve çıkış tokenı, önbellek, araç kredisi, web araması, depolama, veri aktarımı, log, güvenlik hizmeti, insan doğrulaması ve yeniden işleme birlikte izlenir. Ajanın ucuz görünmesi, yanlış veya gereksiz iş yükünün maliyetsiz olduğu anlamına gelmez. Maliyet alanı Ölçülecek gösterge Sahip Sabit lisans Koltuk sayısı, etkin kullanıcı, kullanılmayan lisans BT ve finans Değişken model kullanımı Çağrı, giriş/çıkış tokenı, kredi, ortalama görev maliyeti Uygulama sahibi Araç ve veri Arama, bağlayıcı, depolama, egress, log …
Kurumunuza uyarlama
Bu modülü kendi kurumunuza geçirirken önce kurumun karar yetkisini ve veri sözlüğünü yazın. Aynı terim farklı birimlerde farklı sınıflanıyorsa ortak sözlük ve örnek kararlar oluşturun. Araç farklarını iş ilkesinden ayırın: Microsoft 365 veya Google Workspace içindeki bağlayıcılar, bağımsız bir sohbet ürünü ve API ile çalışan ajan aynı erişim, saklama ve log varsayımına sahip değildir. Kurumunuza uyarlama için şu sırayı izleyin: Sahipleri atayın: Politika sahibi, veri sahibi, araç sahibi, iş sahibi, olay sahibi ve tek hesap veren rolü yazın. Envanteri çıkarın: Onaylı ve kişisel hesapları, kulla…
Uygulama görevi
Bu görevi 30–60 dakikada, gerçek müşteri, çalışan, sağlık, finans, hukuki dosya veya ticari sır kullanmadan tamamlayın. Amaç bir araç satın almak değil, güvenli bir kullanım kartı oluşturmaktır. 5 dakika — İş seçin. Sonucu ertesi gün kontrol edilebilen, dışarıya dokunmayan, verisi hazır ve tekrarlı bir iş seçin. 7 dakika — Veri akışını yazın. Girdi, ara kayıt, model veya araç, log, çıktı ve alıcıyı sınıflandırma matrisiyle gösterin. 7 dakika — Risk kaydını doldurun. Amaç, iş sahibi, etkilenen kişi, araç, erişim, ana risk, kontrol, insan onayı ve durdurma koşulunu yazın. 7 dakika — İzin kapısın…
Kontrol listesi
Politika sahibi, onaylayan rol, sürüm ve gözden geçirme tarihi yazıldı. Onaylı, koşullu ve yasak kullanımlar örneklerle ayrıldı. Gölge yapay zekâyı görünür kılacak cezalandırıcı olmayan envanter yöntemi belirlendi. Kurumsal ve kişisel hesap ayrımı kayıt altına alındı. Dört veri sınıfının kurum sözlüğündeki karşılığı belirlendi. Kişisel, hassas, finansal, hukuki ve ticari sır verileri için varsayılan sıkı kural yazıldı. Gereksiz veri alanlarını çıkarma ve yeniden tanımlama kontrolü yapıldı. Yurt dışı aktarım ve aktarım dayanağı hukukla incelendi. Standart sözleşme varsa imza ve beş iş günlük bi…
Sık yapılan hatalar
Hata Neden sorun Doğrusu Kurumsal lisans alınınca veri riski bitti sanmak Lisans girdi, çıktı, erişim, aktarım ve saklama kararını çözmez Ürün ayarını, sözleşmeyi, veri sınıfını ve erişim matrisini ayrıca inceleyin Her şeyi yasaklamak Kullanım görünmezleşir ve kişisel hesaplara taşınabilir Onaylı, koşullu ve yasak kullanımı örneklerle ayırın “Bilmiyorum” yanıtını veri yok saymak Görünmeyen veri akışını yanlışlıkla düşük risk kabul edersiniz Bilinmeyeni ayrı risk olarak kaydedin ve sahibini atayın Veri sınıfını yalnız dosya adına göre vermek Aynı dosyada farklı hassasiyetler ve yeniden tanımlam…
Kendinizi sınayın
Bir kullanımın politika içinde yer alması için yalnızca araç adını yazmak neden yeterli değildir? Girdi ve çıktı için iki örnek verin. Yurt dışındaki bir sağlayıcıya kişisel veri gönderme ihtimalinde hangi üç bilgi incelenir ve standart sözleşme kullanılıyorsa hangi bildirim süresi kontrol edilir? Madde 4 kapsamındaki okuryazarlık kanıtını neden yalnız katılım belgesiyle sınırlamamak gerekir? Ajanın dış e-posta göndermesini güvenli hale getirmek için izin, test ve insan onayı açısından hangi kontrolleri yazarsınız? Yapay zekâ hakemi hangi işlerde yardımcı olabilir, hangi kararı veremez? Bir pi…
Kaynaklar ve ileri okuma
Aşağıdaki kaynaklar 1 Kasım 2026 itibarıyla kontrol edilen bağımsız veya resmî kaynaklardır. Ürün, fiyat, model sürümü ve mevzuat takvimi değişebileceği için yeni baskıda bağlantıları yeniden açın. Avrupa Komisyonu, Yapay Zekâ Düzenleyici Çerçevesi: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai Avrupa Birliği, Yapay Zekâ Tüzüğü, Regulation (EU) 2024/1689: https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng AB Yapay Zekâ Hizmet Masası, Uygulama Takvimi: https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act Avrupa Komisyonu, Gene…