Yapay zekâ risk değerlendirmesi: hangi kullanım ne kadar riskli, net görün.
Çalışanlarınızın kullandığı yapay zekâ araçlarını ve kurumunuzdaki yapay zekâ sistemlerini envanterliyor, her kullanım senaryosunun riskini değerlendiriyor ve önceliklendirilmiş kontrol önerileri sunuyoruz.
Yapay zekâ risk değerlendirmesi; kurumda kullanılan yapay zekâ araçlarının ve sistemlerinin hangi veriyle, hangi amaçla ve kim tarafından kullanıldığını ortaya çıkarıp, her kullanımın veri güvenliği, KVKK, fikri mülkiyet, karar doğruluğu ve itibar risklerini değerlendiren çalışmadır. Sonuç; risk seviyesine göre önceliklendirilmiş bir envanter ve kontrol planıdır. Bu çalışma ISO/IEC 42001 hazırlığının da temelini oluşturur.
Yapay zekâ kullanımı çoğu zaman görünenden geniştir.
Kurumlarda yapay zekâ kullanımı genellikle onaylı bir proje olarak değil, çalışanların bireysel araç kullanımıyla başlar. Sohbet asistanları, tarayıcı eklentileri, kod asistanları ve yazılımlara gömülü yapay zekâ özellikleri kurum verisini kurum dışına taşıyabilir.
Hangi aracın hangi veriyle kullanıldığı bilinmeden doğru politika ve kontrol belirlenemez. Risk değerlendirmesi, yapay zekâ yönetişiminin ilk ve en kritik adımıdır.
Değerlendirmede ele alınan risk alanları
Veri ve KVKK
Kişisel ve gizli verinin yapay zekâ araçlarına girilmesi ve yurt dışına aktarımı.
Güvenlik
Prompt injection, yetkisiz erişim, eklenti ve entegrasyon kaynaklı riskler.
Karar doğruluğu
Hatalı veya uydurma çıktının insan kontrolü olmadan kullanılması.
Fikri mülkiyet
Kaynak kod, ticari sır ve telif hakkı içeren içeriklerin kullanımı.
Tedarikçi riski
Yapay zekâ sağlayıcısının veri işleme, saklama ve model eğitimi koşulları.
Düzenleyici uyum
KVKK, ISO/IEC 42001 ve AB müşterileri için EU AI Act beklentileri.
Risk değerlendirmesi nasıl yürütülür?
Keşif
Anket, görüşme ve teknik kayıtlarla kullanılan araçlar ve senaryolar ortaya çıkarılır.
Envanter
Her kullanım; sahibi, birimi, veri türü ve aracıyla kayda alınır.
Risk analizi
Senaryolar olasılık ve etkiye göre puanlanır ve sınıflandırılır.
Kontrol önerisi
Her risk için teknik ve idari kontroller önceliklendirilir.
Raporlama
Yönetim özeti, envanter ve yol haritası teslim edilir.
Yapay zekâ risk değerlendirmesi hakkında sık sorulanlar
Yapay zekâ envanteri nasıl çıkarılır?
Birim bazlı anketler, kilit kişilerle görüşmeler ve mümkün olduğunda ağ ve uygulama kayıtları birlikte kullanılır. Her kullanım için araç, amaç, kullanıcı birimi, işlenen veri türü ve sahibi kayda alınır.
Risk değerlendirmesi ISO 42001 için gerekli mi?
ISO/IEC 42001, yapay zekâ sistemlerine ilişkin risklerin ve etkilerin değerlendirilmesini yönetim sisteminin temel unsurlarından biri olarak ele alır. Bu çalışma ISO 42001 hazırlığına doğrudan girdi sağlar.
Çalışmanın sonunda ne teslim edilir?
Yapay zekâ kullanım envanteri, risk seviyesine göre sınıflandırılmış senaryolar, önceliklendirilmiş kontrol önerileri ve yönetim özeti teslim edilir.
Değerlendirme sonrası ne yapılmalı?
Yapay zekâ kullanım politikası yazılır, onaylı araçlar belirlenir, kontroller uygulanır ve envanter periyodik olarak güncellenir.
Tedarikçilerde yapay zekâ kontrollerinin %80’i zayıf çıktı
- Yapay zekâ kontrollerinin yer aldığı 6 tedarikçi denetiminde bu alan en zayıf kontrol alanı oldu.
- Resmî yapay zekâ kullanım politikası sorusunun ortalama puanı 100 üzerinden 33.
- En düşük puanlar: yapay zekâ araçlarına kişisel veya gizli veri girilmesinin engellenmesi ve onaysız araç kullanımının kontrolü.
Yapay zekâ kullanımınızın haritasını çıkaralım.
Kurumunuzdaki yapay zekâ kullanımını ve öncelikli riskleri kısa bir ön görüşmede değerlendirelim.