Yönetim kurulu yapay zeka hakkında ne sormalı? Kurul üyeleri için sorular.

Yönetim kurulu dosyasında yapay zekaya ayrılmış bir slayt var: bir pilot listesi, bir iki tedarikçi logosu ve “üretken yapay zekayı sorumlu biçimde keşfediyoruz” diyen bir satır. Kurul üyelerinden biri, bu sistemlerden hangisinin müşterilerle ilgili herhangi bir karar verdiğini soruyor. Odadaki kimse emin değil.

Yönetim kurulu yapay zeka gözetimi için model ayrıntılarına gerek yoktur. Kurulların ihtiyaç duyduğu şeyler şunlardır: canlıdaki yapay zeka sistemlerinin adı belli sahipleriyle birlikte envanteri, her birinin etkileyebileceği kararlar, kalitenin ve maliyetin nasıl ölçüldüğü ve son olayda ne olduğu. Kurul üyelerinin hukuki yükümlülüklerinin neyi gerektirdiği hukuk danışmanlarının konusudur; aşağıdakiler yalnızca sorulardır. Bu not genel bilgi amaçlıdır; hukuki tavsiye değildir.

Kurul yapay zekaya neden diğer BT sistemlerinden farklı bakmalı?

Çünkü bir yapay zeka sistemi, kimse yeni bir sürüm yayımlamadan değişebilir. Bir sağlayıcı modeli günceller, bir politika belgesi yenisiyle değiştirilir, vakaların dağılımı kayar; yazılım aynı kalırken kalite değişir. Yapay zeka sistemleri ayrıca büyük ölçekte çalışır: tek bir kusur, kimse fark etmeden binlerce vakada tekrarlanabilir ve maliyetleri kullanımla birlikte artar. Çalışanlar hiçbir envanterde görünmeyen onaysız araçlar da kullanıyor olabilir; bu yüzden yönetimin gerçekte neyin kullanıldığını nasıl bildiğini sorun.

Bu nedenle kurulun ilgi alanı teknolojinin kendisi değildir. Kurulu ilgilendiren, bu sistemlerin hangi kararlara dokunduğu, bunlardan kimin hesap verdiği ve biri ters gittiğinde yönetimin bunu nasıl anlayacağıdır. Kurul üyelerinin teknoloji uzmanı olması gerekmez; ama kurulda birinin şu ek soruyu rahatça sorabilmesi gerekir: Nasıl ölçüldü? İş ekipleri için hazırladığımız kısa yapay zeka terimleri sözlüğü bu konuda yardımcı olur.

Yönetim neyi, ne sıklıkla raporlamalı?

Her çeyrek tek bir sayfa; ayrıca üzerinde anlaşılmış bir tetikleyici devreye girdiğinde toplantılar arasında bir uyarı. Sayfa, canlıdaki sistemlerin envanterini, sahiplerini, eşiklere göre kaliteyi, tavana göre maliyeti, olayları ve planlanan değişiklikleri kapsar.

Denemeler kendi bütçeleriyle ayrı bir satırda yer alır. Bunlar ucuza başarısız olabilmeli, canlıdaki sistemler ise eşiklere tabi olmalıdır; ikisi karıştığında sayfa ikisini de gizler.

Canlıda üç sistemi olan bir şirket için temsili bir rapor ele alalım:

Tablonun altında: tek bir olay. Politika asistanı yürürlükten kalkmış bir fazla mesai kuralını kaynak gösterdi; kaynak kaldırıldı, etkilenen yanıtlar gözden geçirildi ve bir test eklendi. Planlanan: fatura taslakları için sağlayıcının model güncellemesi, önce değerlendirme setinde test edilecek. Denemeler: iki adet, bütçe dahilinde.

Kurul üyeleri hangi soruları sormalı?

Sekiz soru konunun büyük kısmını kapsar. Her sorunun yanında iyi bir yanıtın neye benzediği var.

1. Hangi yapay zeka sistemleri müşteriler, para ya da çalışanlarla ilgili kararları etkiliyor ve her birinin sahibi kim? İyi yanıt, isimlerin yazılı olduğu bir envanterdir; “BT’nin sorumluluğunda” bir yanıt değildir.
2. Onayı nerede bir insan veriyor ve insan yoksa ne oluyor? Her sistem için listelenmiş onay noktaları; insan gözetimi olmadan yapılan her işlem de geri alınabilir ve sınırlı olmalı, tıpkı canlıya almadan önce üzerinde anlaşılan koruma önlemlerinde olduğu gibi.
3. Her sistemin hâlâ işe yaradığını nasıl biliyoruz? Kabul aşamasında üzerinde anlaşılan, her model ya da veri değişikliğinden sonra yeniden kontrol edilen eşikler ve insanların incelediği bir örneklem.
4. Her birini işletmek neye mal oluyor ve tavan ne? Görev başına maliyet, aylık bir tavan ve tavana ulaşılmadan önce devreye giren uyarılar.
5. Son olayda ne oldu ve neler değişti? Denetim kaydından yeniden kurulan somut bir anlatım, bir düzeltme ve yeni bir test. Bunu bilmenin hiçbir yolu yokken verilen “hiç olay olmadı” yanıtı endişe vericidir.
6. Her sistem hangi verileri kullanıyor ve bu veriler nerede işleniyor? Veri akışı haritalanmış olmalı ve veri koruma görevlisi (DPO) bunu incelemiş olmalı.
7. Altta hangi tedarikçiler ve modeller var; biri değişir ya da çekilirse ne olur? Bildirim koşulları, alternatifleri test etmek için bir değerlendirme seti ve bir çıkış planı.
8. Her sistem başlangıç ölçümüne göre ne sonuç verdi? Kapasite kazancını nakit kazancından ayıran ölçülmüş sonuçlar; yapay zekanın getirisinin nasıl ölçüleceğini anlattığımız notta olduğu gibi.

Kurul değer iddialarını nasıl değerlendirmeli?

Her iddia için üç şey sorun: Hangi başlangıç ölçümüne göre? Nasıl ölçüldü? Neye dönüştü? Kazanılan saatler, bir bütçe kalemi değişene kadar yalnızca kapasitedir. Kullanım rakamlarına, tedarikçi kıyaslamalarına ve tüm vakaların ortalamalarına şüpheyle yaklaşın. Neyin durdurulduğunu da sorun: hiçbir şeyin durdurulmadığı bir portföy gerçekten değerlendirilmiyor demektir. İyi bir değer raporu envanterle aynı sayfaya sığar: her sistemin başlangıç ölçümüne göre sonucu, işin kendi birimleriyle ve yanında işletme maliyetiyle.

Kurulların model ayrıntılarına değil; sahiplere, eşiklere ve son olayın hikayesine ihtiyacı var.

Hangi durumlar kurula taşınmalı?

Tetikleyiciler üzerinde önceden anlaşın; böylece bir konunun kurula taşınması baskı altında verilen bir karar değil, kendiliğinden işleyen bir kural olur:

• müşterilere, paraya ya da çalışanlara geniş ölçekte ulaşan bir olay;
• üzerinde anlaşılandan daha uzun süre kalite eşiğinin altında kalan bir sistem;
• tavanı aşan harcama;
• bir düzenleyici kurumun bilgi talebi ya da resmi bir şikayet;
• bir sistemin müşteriler, para ya da çalışanlar hakkında insan olmadan karar vermesine izin verme planı;
• önemli bir tedarikçinin çekilmesi ya da verilerinizi işleme koşullarını değiştirmesi.

Hangi olayları yasal olarak kime bildirmeniz gerektiği ise hukuk danışmanınıza sorulacak bir sorudur.

Yönetimde ne kalmalı?

Politika sınırları içindeki model ve tedarikçi seçimleri, promptlar, mimari, günlük izleme ve bütçesi içindeki denemeler. Kurul risk iştahını belirler ve soruları sorar; yönetim sistemleri işletir ve soruları yanıtlar. Bu seçimler yine de kurula ulaşır; ama onaylanacak kararlar olarak değil, tek sayfalık rapordaki etkileri olarak. İzleme, maliyet kontrolü ve işletim kılavuzları yapay zeka güvenilirliği hizmetinin işidir. Hangi sistemlerin canlıda olması gerektiğine karar vermek ise yapay zeka stratejisi ve keşif ile başlar.

Kaynaklar

1. Artificial Intelligence Risk Management Framework (AI RMF 1.0), NIST AI 100-1 ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) nvlpubs.nist.gov/nistpubs/ai/NIST.AI.100-1.pdf
2. ISO/IEC 42001:2023 Information technology — Artificial intelligence — Management system Uluslararası Standardizasyon Örgütü (ISO) www.iso.org/standard/42001
3. OECD AI Principles OECD oecd.ai/en/ai-principles