KURUMSAL HİZMET
AI Risk Yönetimi Çerçevesi
Yapay zekâ risklerini mevcut kurumsal risk yönetimine ayrı bir kule kurmadan bağlama.
Problem
Kurumun risk kataloğunda yapay zekâ karşılığı yok; model hatası "operasyonel risk" satırının içinde görünmez durumda. Bir sistem yanlış karar verdiğinde kimin sahip olduğu, hangi eşikte eskalasyon yapılacağı ve olayın nereye raporlanacağı belirsiz.
Çözüm
Yapay zekâya özgü risk sınıflarını tanımlayıp kurumun mevcut risk taksonomisine eşliyoruz. Her risk için sahip, ölçüt, eşik ve eskalasyon yolu yazılır. Kontroller yeni bir çerçeveye değil, halihazırda işleyen üç hatlı yapıya bağlanır; böylece risk komitesi tanımadığı bir belge değil, alıştığı formatta bir satır görür.
Kullanım alanları
- Yapay zekâ risk taksonomisinin kurum kataloğuna eşlenmesi
- Model riski, veri riski, sağlayıcı riski ve davranış riskinin ayrıştırılması
- Risk iştahının kullanım sınıfı bazında tanımlanması
- Kontrol kütüphanesi ve kontrol testi düzeni
- Olay eşikleri ve eskalasyon yolunun tanımlanması
- Risk komitesine düzenli raporlama formatı
Referans mimari
Katmanlar sabit değildir; kurumun veri ve uyum kısıtlarına göre şekillenir.
- Risk taksonomisi: veri, model, sistem, sağlayıcı, insan davranışı, uyum
- NIST AI Risk Management Framework işlevleriyle eşleme: Govern (yönetişim), Map (haritalama), Measure (ölçme), Manage (yönetme)
- Kontrol kütüphanesi: önleyici, tespit edici ve düzeltici kontroller
- Ölçüm: her kontrol için işlediğini gösteren kanıt kaydı
- Eşik ve eskalasyon: hangi sapmada kimin bilgilendirileceği
- Üç hatlı yapıya bağlama: iş birimi, risk fonksiyonu, iç denetim
Güvenlik ve uyum
Risk kaydı ile model envanterinin aynı tanımlayıcıyı paylaşması
Kontrollerin kendi kendini raporlaması; elle doldurulan tabloya bağımlı kalmaması
Yüksek etkili kullanımlarda geri dönüş planının (modelsiz çalışma) belgelenmesi
Sağlayıcı kesintisi ve model geri çekilmesi senaryolarının risk kaydında bulunması
Yaklaşımımız
- 01
Discovery
Senaryo, veri ve kısıtların çıkarılması.
- 02
Assessment
Olgunluk ve uygulanabilirlik değerlendirmesi.
- 03
Prototype
En kısa yoldan çalışan ilk sürüm.
- 04
PoC
Tanımlı başarı ölçütüyle kanıt çalışması.
- 05
Production
Güvenlik, ölçek ve operasyon devri.
- 06
Monitoring
Kalite, maliyet ve kayma izleme.
Sık sorulan sorular
Ayrı bir yapay zekâ risk komitesi kurmalı mıyız?
Genellikle hayır. Ayrı komite, kararı mevcut risk ve denetim yapısından koparır ve yapay zekâyı istisna gibi konumlandırır. Uygulanabilir olan, mevcut komiteye yapay zekâya özgü risk satırları ve bunları okuyabilen bir raportör eklemektir. Ayrı yapı yalnızca kullanım hacmi bunu gerektirdiğinde anlamlıdır.
NIST AI RMF bağlayıcı mı?
Hayır, gönüllü bir çerçeve. Değeri bağlayıcılığında değil, ortak bir dil sunmasında: denetçi, sağlayıcı ve iç ekipler aynı işlev adlarıyla konuşabilir. Bağlayıcı yükümlülükler mevzuattan gelir; çerçeve o yükümlülükleri düzenlemenin bir yolunu verir.
Model riski yönetimi zaten var, bu ondan farklı mı?
Kısmen örtüşür, tamamen değil. Klasik model riski yönetimi sayısal modeli ve doğrulamasını ele alır. Üretken sistemlerde risk yüzeyi genişler: istem metni, geri getirilen belge, araç yetkisi ve sağlayıcı sürümü de risk taşır. Mevcut çerçeve bu dört unsuru kapsayacak biçimde genişletilir, sıfırdan yazılmaz.
İLETİŞİM
AI Risk Yönetimi Çerçevesi için değerlendirme oturumu
İlk görüşmede kullanım senaryonuzu, veri durumunuzu ve kısıtlarınızı birlikte çıkarıyoruz.