Kredi karar modellerinin AI Act risk sınıflandırması

Bağlam ve kısıtlar#

AI Act yükümlülükleri bir kurumun bulunduğu ülkeden değil, sistemin hangi pazara sunulduğundan doğuyor. Türkiye'de faaliyet gösteren bir kurum için soru bu yüzden basitleşiyor: hangi ürün, hangi kanalla, hangi pazarda kullanılıyor. Kapsam çalışması da kurum bazında değil ürün ve pazar bazında kuruldu.

İkinci kısıt yerel taraftaydı. Türkiye'de yapay zekâya özel bir çerçeve yürürlükte olmasa da KVKK, ilgili kişiye münhasıran otomatik sistemlerle yapılan analiz sonucu aleyhine çıkan bir sonuca itiraz etme hakkı tanıyor; bu hak, kredi kararı gibi bir akışta itiraz yolunun ve insan değerlendirmesinin süreçte gerçekten var olmasını gerektiriyor. Yani iki çerçeve aynı yere bakıyor ama farklı soruları soruyor ve envanter her ikisine de cevap verecek şekilde tasarlandı.

Veri ve erişim#

• Model kayıt defteri: eğitim hattından geçen modeller, yalnız başlangıç noktası
• Satın alma ve tedarikçi kayıtları: içinde puanlama modülü olan araçların keşif kaynağı
• İş birimi görüşmeleri: elektronik tablolarda yaşayan skorkartlar ve elle kurulmuş kural setleri
• Sözleşmeler ve hizmet tanımları: sağlayıcı ya da uygulayıcı konumunun dayanağı
• Karar günlükleri: girdi ve çıktı kaydı, takma kimlikle ve ayrı saklama takvimiyle
• İtiraz ve gözden geçirme kayıtları: insan değerlendirmesinin süreçte gerçekten işlediğinin kanıtı

Mimari kararlar#

Burada mimari bir yazılım mimarisinden çok bir kayıt mimarisi: neyin bir kayıt açtığı, o kaydın hangi alanları taşıdığı ve hangi olayın kaydı yeniden açtığı. Kararların hepsi bu üç sorunun cevabıydı ve her biri yanlış kurulduğunda sonradan düzeltmesi pahalı.

Güvenlik ve yetki#

Kayıt tutma yükümlülüğü, uyum tarafında en çok teknik tartışma çıkaran başlık oldu. Bir karar akışının girdi ve çıktısını uzun süre saklamak, aynı veri için yerel mevzuatın öngördüğü minimizasyon ve saklama sınırıyla çelişiyor. Çözüm, günlükte kimlik verisi yerine takma kimlik tutmak ve kimlik eşlemesini erişimi ayrı yetkilendirilmiş bir depoda bırakmak oldu; böylece denetim izi ayakta kalırken kişisel veri yığını büyümüyor. Envanter kaydının kendisi de yetkilendirildi, çünkü hangi kararın hangi modelle verildiği bilgisi tek başına hassas.

Ölçüm düzeni#

Bu çalışmada ölçülen şey model performansı değil kaydın güvenilirliği. Sorulan sorular şunlar: envanter gerçeği kapsıyor mu, kayıtlar güncel mi, dokümantasyon eksiksiz mi ve bir değişiklik olduğunda kayıt gerçekten yenilendi mi.

• Kapsama denetimi: bağımsız bir keşif turu, kayda girmemiş kullanım bulup bulmadığıyla ölçülüyor
• Dokümantasyon tamlığı: her yüksek riskli kayıt için kontrol listesinin doldurulmuş alan oranı takip ediliyor
• Tazelik: kaydın son gözden geçirme tarihi ve gözden geçirmeyi yapan kişi izleniyor
• Tetikleyici disiplini: amaç, veri kaynağı veya eşik değişikliğinin kayda yansıma süresi ölçülüyor
• İnsan gözetiminin işlerliği: itiraz ve elle gözden geçirme kayıtlarının gerçekten oluştuğu örneklemle kontrol ediliyor
• Günlük bütünlüğü: karar günlüğünün eksiksizliği ve takma kimlik eşlemesinin erişim izleri denetleniyor

Devreye alma ve işletme#

1. 1Keşif

   Model kayıt defteri, satın alma kayıtları ve iş birimi görüşmeleri birlikte taranıyor; her bulgu kullanım amacı düzeyinde kayda açılıyor ve keşif kaynağı yazılıyor.

2. 2Sınıflandırma atölyesi

   Model sahibi, hukuk ve uyum aynı masada karar ağacını yürütüyor; sonuç ve gerekçe imzalanıyor, tartışmalı noktalar açık soru olarak kayda geçiyor.

3. 3Dokümantasyon

   Yüksek riskli sınıflandırılan kayıtlar için teknik dokümantasyon şablonu dolduruluyor: amaç, veri yönetişimi, doğruluk ve sağlamlık, insan gözetimi, kayıt tutma.

4. 4Değişiklik kapısı

   Amaç, veri kaynağı veya eşik değişikliği yayım akışında bir kapıya bağlandı; kayıt güncellenmeden değişiklik üretime çıkmıyor.

Nerede yanıldık#

Envanteri model kayıt defterinden başlattık ve bir süre boyunca düzgün ilerlediğimizi sandık. Sonra ortaya çıktı ki karar üzerinde en çok etkisi olan puanlamaların bir bölümü kayıt defterinde hiç yok: biri bir iş biriminin yıllardır bakım yaptığı elektronik tabloda, bir diğeri satın alınmış bir aracın içinde gömülü bir modülde yaşıyordu. Keşfi satın alma kayıtlarından ve birim görüşmelerinden yeniden kurmak zorunda kaldık. Bundan ayrı bir hata tanım tarafında yapıldı: yapay zekâ sayılan şeyi kendimize göre daralttık ve kural tabanlı bir skorkartı baştan kapsam dışı saydık. Bu bir teknik tercih değil hukuki bir yorumdu ve teknik ekibin verebileceği bir karar değildi; sonraki turda kapsam sorusunu daraltmadan, kanaatimizi ayrıca not ederek hukuk birimine taşıdık.