AI Governance

AI yönetişimi, bir kuruluşun hangi yapay zekâ sistemlerini geliştireceğine veya satın alacağına, her birinden kimin sorumlu olduğuna, yayından önce hangi kanıtların gerektiğine ve sistemlerin yaşam döngüsü boyunca nasıl izleneceğine, değiştirileceğine ve kullanımdan kaldırılacağına karar vermek için kullandığı politika, rol, süreç ve kayıtlardan oluşur. AI etiği, kuruluşun AI sistemlerinin uymasını istediği değerleri tanımlar. Yönetişim, bu değerleri yaşam döngüsü boyunca her sisteme uygulanan karar haklarına ve belgelenmiş kontrollere dönüştürür; buna bir satıcıdan satın alınan büyük dil modeli asistanı ve üretim hattında kurum içinde geliştirilen bir bilgisayarlı görü modeli de dahildir.

Çerçeveler ve Düzenlemeler#

Yönetişim programlarının çoğu az sayıda başvuru çerçevesine dayanır:

• NIST Yapay Zekâ Risk Yönetimi Çerçevesi: Ocak 2023'te yayımlanan, gönüllülük esasına dayalı ABD çerçevesidir ve dört işlevden oluşur. Govern politikaları ve hesap verebilirliği belirler, Map her sistemin bağlamını ve amaçlanan kullanımını ortaya koyar, Measure testler ve ölçütlerle riskleri değerlendirir, Manage ise bu riskleri önceliklendirip ele alır.
• ISO/IEC 42001: Aralık 2023'te yayımlanan, AI yönetim sistemlerine ilişkin ilk uluslararası standart. Kuruluşlar, bilgi güvenliği için ISO/IEC 27001 kapsamında olduğu gibi bu standarda göre denetlenip sertifikalandırılabilir.
• OECD AI İlkeleri: 2019'da kabul edilip 2024'te güncellenen bu ilkeler, birçok ulusal politikanın temelini oluşturur ve diğer çerçevelere ortak bir söz dağarcığı sunar.

NIST'in Üretken AI Profili, NIST AI 600-1 (Temmuz 2024), risk yönetimi çerçevesini halüsinasyonlar ve istem enjeksiyonu gibi risklere uygular.

AB AI Yasası, Ağustos 2024'te yürürlüğe giren ve aşamalı olarak uygulanan, risk temelli bir düzenlemedir. Sosyal puanlama ve iş yerleri ile okullarda duygu tanıma gibi uygulamalara getirilen yasaklar ve AI okuryazarlığı yükümlülüğü 2 Şubat 2025'ten beri geçerlidir. Genel amaçlı AI modeli sağlayıcılarının yükümlülükleri 2 Ağustos 2025'ten, deepfake açıklama zorunluluğu gibi şeffaflık yükümlülükleri ise 2 Ağustos 2026'dan beri geçerlidir. 27 Temmuz 2026'dan beri yürürlükte olan AI'ya ilişkin Dijital Omnibus düzenlemesi, işe alım ve kredi puanlaması gibi Ek III'te listelenen yüksek riskli sistemlere yönelik gereklilikleri 2 Aralık 2027'ye; tıbbi cihazlar ve makineler gibi düzenlemeye tabi ürünlerde kullanılan AI gerekliliklerini ise 2 Ağustos 2028'e erteledi. Bu gereklilikler risk yönetimini, veri yönetişimini, kayıt tutmayı, insan gözetimini ve uygunluk değerlendirmesini kapsar.

Temel Kontroller#

Bir kuruluş bilmediği sistemleri yönetemeyeceğinden, ilk adım envanter oluşturmaktır. Eksiksiz bir envanter her sistemin sahibini, amacını, veri kaynaklarını, model sürümlerini ve tedarikçilerini kaydeder; ayrıca ekiplerin inceleme olmadan benimsediği araçlar olan gölge AI kullanımını ortaya çıkarır. Kurum içinde geliştirilen modellerde model kayıt sistemi çoğu zaman bu envanter görevini üstlenir.

Risk sınıflandırması daha sonra sistemleri amaç, özerklik, etkilenen kişiler ve hataların maliyetine göre kademelere ayırır. Kurum içi belgeleri sıralayan bir model, iş başvurularını eleyen veya makineleri kontrol eden bir modelden daha hafif inceleme gerektirir; yüksek kademelerde daha sıkı testler, onay süreçleri ve insan gözetimi uygulanır.

Belgeler kararların incelenebilir olmasını sağlar. Model kartları amaçlanan kullanımı, değerlendirme sonuçlarını ve bilinen sınırlamaları kaydeder. Veri kökeni kayıtları da eğitim verilerinin nereden ve hangi lisans veya izin kapsamında geldiğini gösterir. Tekrarlanabilirlik de aynı kayıtta yer almalıdır: her aday modelin arkasındaki tam veri kümesi sürümü, temel model, kod sürümü ve ayarlar, incelemeyi yapan kişinin dağıtılan modeli girdilerine kadar izleyebilmesini sağlar. Ultralytics Platform üzerinde eğitilen görme modellerinde her çalışma, üst modelini, Ultralytics sürümünü, barındırma ortamını ve bildirilmişse Git commit'ini kaydeder. Kaydedilmiş veri kümesi sürümü de eğitimde kullanılan tam görüntüleri ve etiketleri sabitler.

Testler, onay için gereken kanıtları sağlar. Kabul eşikleri, sonuçlar alınmadan önce her kullanım durumu için belirlenir. Testler; AI'daki yanlılığı tespit etmek için ilgili alt gruplar arasındaki doğruluğu, düşük ışık veya yeni kamera açısı gibi değişen girdilere karşı sağlamlığı ve genellikle AI kırmızı ekip çalışması yoluyla güvenliği kapsar. Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC) ve ortak kurumlar, tasarım, geliştirme, dağıtım ve işletimi kapsayan güvenli AI sistemi geliştirme yönergeleri yayımlar.

Yayımlandıktan sonra model izleme performansı ve veri kaymasını takip eder; olay süreci sistemi kimin durdurabileceğini veya önceki sürüme döndürebileceğini tanımlar, kullanımdan kaldırma süreci ise artık gerekmeyen modelleri ve verileri siler. Karar hakları bu kontrolleri bir arada tutar: yönetişim, her sistem için dağıtımı kimin onaylayacağını, kimin sistemi durdurabileceğini ve testlerden sonra kalan riski kimin kabul edeceğini belirtir.

Yönetişimin İlişkili Uygulamalardan Farkı#

• Düzenleme: Dışarıdan dayatılan yasa. Yönetişim, kuruluşun kendi içinde yürüttüğü sistemdir ve kuruluşun mevzuata uyduğunu gösterme biçimidir.
• Risk yönetimi: Belirli riskleri belirleme, ölçme ve ele alma. Yönetişim, bu çalışmayı kimin yapacağına, kalan riski kimin kabul edeceğine ve kararların nasıl kaydedileceğine karar verir.
• MLOps: Modelleri eğiten, dağıtan ve sürdüren işlem hatları. Yönetişim, bu işlem hatlarının uyması gereken onay aşamalarını ve kayıtları belirler.
• Yapay zekâ güvenliği: Yapay zekâ sistemlerinin amaçlandığı gibi davranmasını sağlamaya yönelik teknik çalışma. Yönetişim, güvenlik bulgularının kuruluşun yayımlamasına izin verilen ürünleri nasıl şekillendireceğine karar verir.