Yapay zekâ uyumluluğu: yapay zekâ sistemlerinin yönetişimi ve uyumluluk çalışmalarında yapay zekâ kullanımı

Yapay zeka uyumluluğu iki anlama gelir: kuruluşunuzun geliştirdiği veya kullandığı yapay zeka sistemlerinin geçerli yasalara, standartlara ve iç politikalara uymasını sağlamaya yönelik süregelen çalışma ve rutin, yüksek hacimli uyumluluk işleri için yapay zekanın kullanılması.

Bu makale her iki anlamı da ele alıyor: yapay zeka uyumluluğunun ele aldığı riskler, başlıca çerçeveler, bir uyumluluk programının nasıl oluşturulacağı, yapay zeka ajanlarına yönelik kontroller ve yapay zekanın uyumluluk ekiplerine nerede yardımcı olduğu. Makale, bir uyumluluk aracı satın almadan önce sorulması gereken sorularla sona eriyor.

Yapay zeka uyumluluğu nedir?

Yapay zeka uyumluluğu iki şeyi ifade eder: yapay zeka sistemlerinin yapay zeka mevzuatında belirlenen kurallara uymasını sağlamak ve uyumluluk işlerini yapmak için yapay zekayı kullanmak.

İlk anlamıyla yapay zeka uyumluluğu, bir yapay zeka sisteminin eğitim verilerinden performansa ve kullanıma kadar yapay zeka yaşam döngüsü boyunca yasalara, düzenlemelere, etik standartlara ve iç politikalara uymasını sağlar.

Örneğin New York City’nin 144 Sayılı Yerel Yasası, otomatik istihdam karar aracı kullanan işverenlerin bu aracı kullanımla arasında en fazla bir yıl olacak şekilde yanlılık denetiminden geçirmesini, denetimle ilgili bilgileri kamuya açıklamasını ve çalışanları veya iş adaylarını bilgilendirmesini zorunlu kılar.

Yapay zeka uygulamaları güncellendiği, birlikte çalıştıkları veriler değiştiği ve düzenlemeler geliştiği için yapay zeka mevzuatına uyum çalışmaları süreklilik gerektirir.

İkinci anlamıyla uyumluluk ekipleri, işlemleri izleme, belgeleri inceleme ve mevzuat değişikliklerini takip etme gibi rutin, yüksek hacimli işler için yapay zekayı kullanır.

Örneğin bazı finans kuruluşları, analistler hangilerinin şüpheli işlem bildirimi gerektirdiğine karar vermeden önce işlemleri incelemek ve işlem izleme uyarılarındaki yanlış pozitifleri azaltmak için yapay zekayı kullanıyor.

Yapay zeka uyumluluğu, yapay zeka yönetişimi ve yapay zeka risk yönetimi karşılaştırması

Bu üç terim örtüşse de farklı alanları kapsar: Yönetişim kuralları belirler, risk yönetimi neyin ters gidebileceğini tespit eder, uyumluluk ise kurallara uyulmasını sağlar.

Yapay zeka uyumluluğu neden önemlidir

Yapay zeka uyumluluğunu sağlamak, para cezalarına maruz kalma riskinizi sınırlar, yapay zekanızın bilgilerini işlediği kişilerin gizliliğini korur ve bir denetim durumunda kuruluşunuzun yapay zeka sistemlerini nasıl kullandığını açıklayabilmesini sağlar.

• Yasal yaptırımlar: AB Yapay Zeka Yasası uyarınca, çalışanların iş yerindeki duygularını çıkarsamak gibi yasaklanmış bir yapay zeka uygulamasını kullanmanın cezası 35 milyon € veya dünya genelindeki yıllık cironun %7’sine kadar çıkabilir. Sağlayıcılar ve uygulayıcılar, Yasa’yı ihlal etmeleri hâlinde 15 milyon € veya %3’e kadar para cezasıyla karşılaşabilir.
• Veri koruma: Kişisel verileri işleyen bir yapay zeka sistemi, AB’deki GDPR gibi veri koruma yasalarına tabidir. Buna kişisel veri içeren eğitim verileri, istemler ve çıktılar dahildir.
• Denetime hazırlık: Hangi yapay zeka sistemlerini kullandığınıza, bunları kimin onayladığına ve nasıl izlediğinize dair kayıtlar, düzenleyici kurumlara, denetçilere ve müşterilere hesap verebilmenizi sağlar.

Yapay zeka uyumluluğunun ele aldığı başlıca riskler

Yapay zeka uyumluluğu beş ana riski ele alır: algoritmik yanlılık, açıklanabilirlik eksikliği, düzenlemeye tabi süreçlerde halüsinasyonlar, veri gizliliği ile sızıntısı ve gölge yapay zeka.

Büyüt

Başlıca risklerin nasıl ortaya çıktığı ve bunları denetim altında tutan kontrollere örnekler şunlardır:

• Algoritmik yanlılık: Bir model, eğitim verilerinde yer alan ve belirli grupları dezavantajlı duruma düşüren kalıpları yeniden üretir. Örneğin bir işe alım aracı, adayları mezuniyet yılı veya posta kodu gibi yaşa ya da etnik kökene dolaylı olarak işaret eden bir ölçüte göre daha alt sıralara yerleştirebilir. Sonuçları demografik gruplar arasında karşılaştıran yanlılık denetimleri, bu kalıpların tespit edilmesine yardımcı olur.
• Açıklanabilirlik eksikliği: Kuruluş, bir modelin bir karara nasıl ulaştığını gösteremez. Kredi veren bir kuruluş, bir modelin krediyi neden reddettiğini açıklayamazsa bu sonucu savunamaz. Kuruluşlar, model girdilerini ve karar mantığını belgeleyerek ve çıktıları izlenebilir modeller seçerek bunu önler.
• Düzenlemeye tabi süreçlerde halüsinasyonlar: Üretken bir yapay zeka aracı, yanlış bir bilgiyi kendinden emin bir şekilde ifade eder. Örneğin bir avukat, bir argümanı destekleyen içtihatlar için bir yapay zeka aracına başvurabilir ve var olmayan mahkeme kararlarına atıflar alabilir. Her çıktı için kaynak istemek ve bu kaynakları yetkin bir kişiye doğrulatmak, bu tür hataları yakalar.
• Veri gizliliği ve sızıntısı: Gizli bilgiler veya müşteri bilgileri, kuruluşun kontrolü dışındaki bir araca ulaşır. Örneğin bir çalışan, müşteri kayıtlarını girdileri gelecekteki modelleri eğitmek için saklayan herkese açık bir yapay zeka aracına yapıştırabilir. Yalnızca eğitim ve veri saklama konusunda sözleşmeye bağlı sınırlamalar içeren onaylı araçları kullanmak bu riski azaltır.
• Gölge yapay zeka: Çalışanlar, kuruluşun onaylamadığı veya göremediği yapay zeka araçlarını kullanır. 2026 yılında yapılan bir Compliance Week anketinde katılımcıların %42’si çalışanların yönetilmeyen yapay zeka kullanımını bildirdi. Olası çözümler arasında hızlı bir yapay zeka aracı onay süreciyle birleştirilmiş onaylı araç listesi ve web ağ geçitleri yer alır.

Başlıca yapay zeka uyumluluk çerçeveleri

Yapay zeka uyumluluğu, AB Yapay Zeka Yasası gibi bağlayıcı yapay zeka yönetişim çerçevelerinden ve kuruluşların bunlara uymasına yardımcı olan NIST Yapay Zeka Risk Yönetimi Çerçevesi ile ISO/IEC 42001 gibi gönüllü çerçevelerden yararlanır.

AB Yapay Zeka Yasası

AB Yapay Zeka Yasası (Tüzük (AB) 2024/1689), yapay zeka düzenlemesinde risk temelli bir yaklaşım benimser: bazı uygulamalar tamamen yasaklanmıştır, yüksek riskli sistemler sıkı kısıtlamalara tabidir, diğerleri ise yalnızca hafif şeffaflık kurallarına uymak zorundadır. Yasa, “yapay zeka sisteminin ürettiği çıktının Birlik’te kullanıldığı” her yerdeki sağlayıcılara ve uygulayıcılara uygulanır.

AB Yapay Zeka Yasası kapsamındaki yükümlülükler, kuruluşun rolüne bağlıdır:

• Yüksek riskli bir yapay zeka sistemi geliştirenler veya bunu kendi adıyla piyasaya sunanlar (sağlayıcılar), uygunluk değerlendirmesini tamamlamalı, CE işaretini iliştirmeli, sistemi kaydettirmeli, teknik dokümantasyonu saklamalı ve piyasaya sürüldükten sonra sistemi izlemelidir.
• Başkasının geliştirdiği bir sistemi kullananlar (uygulayıcılar), sağlayıcının talimatlarına uymalı, gözetim görevini “gerekli yetkinliğe, eğitime ve yetkiye” sahip kişilere vermeli, kayıtları en az altı ay saklamalı ve çalışanları ve sistemin kararlarından etkilenen diğer kişileri bilgilendirmelidir.

Büyüt

Yasa aşamalı olarak uygulamaya konuluyor. Yasaklanmış uygulamalar, yapay zeka okuryazarlığı ve genel amaçlı yapay zeka kuralları 2025’ten bu yana uygulanırken yüksek risk yükümlülükleri 2 Aralık 2027’de, AB ürün güvenliği mevzuatı kapsamındaki ürünlere entegre edilmiş yapay zeka için ise 2 Ağustos 2028’de başlıyor.

Kalite yönetim sistemlerine ilişkin EN 18286:2026, Yasa’yı destekleyen ilk Avrupa standardıdır. Bu standardı uygulayan sağlayıcıların, Yasa’nın kalite yönetimi gerekliliğini karşıladığı varsayılır.

NIST Yapay Zeka Risk Yönetimi Çerçevesi

Ocak 2023’te yayımlanan NIST AI RMF (Risk Yönetimi Çerçevesi), dört işlev etrafında oluşturulmuş gönüllü bir ABD çerçevesidir: Yönetişim (Govern), Haritalama (Map), Ölçme (Measure) ve Yönetme (Manage).

Temmuz 2024’te yayımlanan Üretken Yapay Zeka Profili ise çerçeveyi üretken yapay zeka risklerine uygular.

ISO/IEC 42001

ISO/IEC 42001, yapay zeka yönetim sistemlerine yönelik uluslararası standarttır ve sorumlu yapay zeka geliştirme ve kullanımını yöneten politikaları, rolleri ve süreçleri kapsar. Sertifikasyon gönüllüdür ve ISO’nun kendisi tarafından değil, bağımsız belgelendirme kuruluşları tarafından verilir.

Sertifika, belirli bir yapay zeka ürününü değil, kuruluşun yönetim sistemini kapsar.

Yapay zekaya uygulanan ABD ve sektör kuralları

ABD’de tek bir federal yapay zeka yasası yoktur. Kurallar; şehirlerden, eyaletlerden ve yapay zekaya uygulanan mevcut yasa ve düzenlemelerden gelir.

Örneğin Colorado’nun 1 Ocak 2027’de yürürlüğe girecek olan SB26-189 yasası otomatik karar verme teknolojisini düzenler; Kaliforniya Tüketici Gizliliği Yasası (CCPA) veya HIPAA gibi gizlilik yasaları ise yapay zeka korunan verileri her işlediğinde uygulanır.

Yapay zeka uyumluluk programı nasıl oluşturulur

Bir yapay zeka uyumluluk programı oluşturmak altı adımdan oluşur: yapay zeka sistemlerinizin envanterini çıkarın, bunları riske göre sınıflandırın, kontrolleri geçerli kurallarla eşleyin, sorumlular atayın, her sistemi belgeleyin ve sistemi bir denetçinin kontrol edebileceği kayıtlarla izleyin.

Büyüt

Aşağıdaki her adım, ortaya çıkardığı kayıtla sona erer:

1. Her yapay zeka sisteminin envanterini çıkarın. Mevcut yazılımlardaki yapay zeka özellikleri ve çalışanların onay almadan benimsediği araçlar dahil olmak üzere kuruluşunuzun geliştirdiği, satın aldığı veya kullandığı sistemleri listeleyin. Her birinin ne yaptığını, kimin kullandığını ve hangi verilere eriştiğini kaydedin.
   Çıktı: Bir yapay zeka envanteri.
2. Her kullanım senaryosunu riske göre sınıflandırın. AB Yapay Zeka Yasası’ndaki risk seviyeleri gibi bir şema kullanarak her sistemi yol açabileceği zarara göre derecelendirin. Örneğin hayat sigortası primlerini belirleyen bir araç Yasa kapsamında yüksek risklidir, iç toplantıları özetleyen bir araç ise değildir.
   Çıktı: Bir risk kaydı.
3. Kontrolleri geçerli kurallarla eşleyin. Her sisteme uygulanan yasaları, standartları ve iç politikaları ve her uyumluluk gerekliliğini karşılayan kontrolü listeleyin. Örneğin belgelenmiş bir insan incelemesi, AB Yapay Zeka Yasası’nın yüksek riskli sistemlere yönelik insan gözetimi gerekliliklerinin ve NIST AI RMF’nin belgelenmiş insan gözetimi süreçleri çağrısının karşılanmasına yardımcı olur.
   Çıktı: Bir kontrol haritası.
4. Sorumluları ve insan gözetimi noktalarını belirleyin. Her sistem için bir sorumlu belirleyin ve sistemin çıktısını bir kişinin nerede inceleyeceğine karar verin. Örneğin yükümlülüklerden hukuk ve uyumluluk, teknik kontrollerden güvenlik, kullanım senaryolarından ilgili iş birimi sahipleri sorumlu olur; genel hesap verebilirlik ise tek bir yöneticidedir. Kuruluş genelindeki kişilerin bilgi sahibi olmasını sağlayın ve net iletişim kanalları oluşturun.
   Çıktı: Her sistem için adı belirlenmiş sorumlular.
5. Her sistemi belgeleyin. Her sistemin amacını, eğitim verilerini, testlerini ve bilinen sınırlamalarını model kartları ve etki değerlendirmeleri gibi formatlarda kaydedin. Yüksek riskli sistemlerin sağlayıcıları ayrıca AB Yapay Zeka Yasası’nın Ek IV’ünde belirtilen teknik dokümantasyonu da hazırlamalıdır.
   Çıktı: Bir sistem dokümantasyonu seti.
6. İzleyin, kayıt tutun ve kanıtları saklayın. Bir sistemin ne yaptığını ve kimin incelediğini göstermek için kayıtları en baştan denetim kanıtı olarak tasarlayın. AB Yapay Zeka Yasası, yüksek riskli sistemlerin kullanım ömürleri boyunca olayları otomatik olarak kaydetmesini zorunlu kılar. Bir denetim izi şunları kapsamalıdır:
   • Kullanılan model ve sürümü
   • Girdiler ve çıktılar veya bunların tanımlanmış bir örneklemi
   • Eğitim veya ince ayar verileri
   • İnsan incelemesi noktaları ve sonuçları
   • Bir ajanın gerçekleştirdiği eylemler ve kullandığı izinler
   • Her kaydın ne kadar süre saklandığı

Çıktı: İzleme kayıtları ve bir denetim izi.

IBM watsonx.governance ve OneTrust AI Governance gibi uzmanlaşmış yapay zeka uyumluluk araçları; yapay zeka envanteri, AB Yapay Zeka Yasası’na göre risk değerlendirmeleri ve dokümantasyon dahil olmak üzere bu programın bazı bölümlerini üstlenebilir.

Çalışanların kullanabileceği yapay zeka araçları nasıl onaylanır

Bir yapay zeka aracını onaylamadan önce dört şeyi kontrol edin:

• Veri erişimi: Aracın hangi dosyaları, sistemleri ve bağlı bilgi tabanlarını okuyabildiği ve bunların, aracın açığa çıkarabileceği kişisel veriler içerip içermediği.
• Girdilerle eğitim: Tedarikçinin modellerini eğitmek için istemleri, dosyaları veya çıktıları kullanıp kullanmadığı ve tedarikçiyle yaptığınız sözleşmenin bunu yasaklayıp yasaklamadığı.
• Saklama: Tedarikçinin istemleri, dosyaları ve sohbet geçmişini ne kadar süre sakladığı ve bu süreyi kısaltıp kısaltamayacağınız.
• Barındırma ve aktarımlar: Bölgeniz dışına yapılan aktarımlar dahil olmak üzere tedarikçinin verileri nerede depoladığı ve işlediği.

Yapay zeka ajanları için uyumluluk kontrolleri

Yapay zeka ajanları kendi adımlarına kendileri karar verdikleri ve kendilerine tanınan araçlar ve izinler aracılığıyla hareket ettikleri için sohbet araçlarından daha fazla kontrole ihtiyaç duyar. Onları denetim altında tutan üç kontrol şunlardır:

• En az ayrıcalıklı erişim: Bir ajana yalnızca görevinin gerektirdiği araçları ve izinleri verin. OWASP Top 10 for LLM Applications 2026 listesine göre, bir ajanın görevinin gerektirdiğinden fazlasını yapabildiği Aşırı Yetki (Excessive Agency), en önemli güvenlik risklerinden biridir.
• Her eylemin kaydı: Bir ajanın ne yaptığını ve kimin adına yaptığını izleyebilmek için her araç çağrısını, erişilen verileri ve kullanılan izinleri kaydedin.
• Yüksek etkili eylemler için insan onayı: Verileri kuruluş dışına gönderen, para transfer eden veya geri alınamayan adımların bir kişi tarafından onaylanmasını zorunlu kılın.

Yapay zeka uyumluluk çalışmalarında nasıl kullanılır

Uyumluluk ve risk yönetimi ekipleri; kontrolleri izlemek, riski değerlendirmek, mevzuat değişikliklerini takip etmek, belgeleri incelemek ve finansal suç uyarılarını önceliklendirmek için yapay zekayı kullanır.

193 uyumluluk, etik, risk ve denetim liderinin katıldığı 2026 tarihli bir Compliance Week anketinde katılımcıların %83’ten fazlası yapay zeka kullandığını, yaklaşık %40’ı ise şirketlerinin yapay zekayı risk değerlendirmesi ve izleme için devreye aldığını belirtti.

Uyumluluk alanındaki yaygın yapay zeka kullanım senaryoları şunlardır:

• Sürekli uyumluluk izleme ve kanıt toplama: Yapay zeka kontroller yürütür ve bunların işe yaradığına dair kanıt toplar (ör. bir tesisteki gecikmiş ekipman güvenliği denetimleri).
• Risk değerlendirmesi ve önceliklendirme: Yapay zeka iş birimlerini veya üçüncü tarafları riske göre sıralar (ör. yeni yaptırımlara veya dava riskine maruz kalan tedarikçiler).
• Mevzuat değişikliği izleme: Yapay zeka, düzenleyici kurumların yayınlarını takip eder ve değişiklikleri özetler (ör. harcama politikasındaki hediye limitini düşüren revize edilmiş rüşvetle mücadele kılavuzu).
• Belge ve politika incelemesi: Yapay zeka sözleşmeleri ve politikaları gerekliliklerle karşılaştırır (ör. denetim hakkı maddesi içermeyen tedarikçi sözleşmeleri).
• Finansal suç taraması: Yapay zeka, işlem izleme ve müşteri kontrolü uyarılarını önceliklendirir (ör. farklı bir kişiye ait olduğu ortaya çıkan yaptırım listesi isim eşleşmeleri).

Uyumluluk için kullanılan yapay zeka, diğer yapay zeka sistemleriyle aynı yönetişime ihtiyaç duyar. Birleşik Krallık Finansal Davranış Otoritesi’nin Ekim 2026’da belirttiği gibi, "firmalar, çıktıları ve sonuçları dahil olmak üzere geliştirdikleri, tedarik ettikleri ve devreye aldıkları yapay zeka sistemlerinden sorumludur"; kurum ayrıca insan incelemesinin “‘göstermelik bir onay’ işlemi" hâline getirilmemesi konusunda uyardı.

Uygulamada yapay zeka araçları, kanıt toplama veya mevzuat değişikliklerini işaretleme gibi rutin görevleri üstlenebilir; ancak şüpheli işlemin bildirilip bildirilmeyeceğine ya da politikaların nasıl tasarlanacağına karar vermek gibi hukuki sorumluluk taşıyan kararları üstlenemez.

Perplexity Enterprise’da veri kontrolleri

Perplexity Enterprise, yöneticilere girdilerle model eğitimi, veri erişimi ve veri saklama konularını kapsayan kontroller sunar:

• Verilerinizle eğitim yapılmaz: Perplexity, kurumsal içeriği yapay zekâ modellerini eğitmek için asla kullanmaz; üçüncü taraf model sağlayıcılarıyla yaptığı sözleşmeler de bu sağlayıcıların söz konusu içerikle eğitim yapmasını yasaklar.
• Erişim kontrolü: SSO, SCIM ve rol tabanlı izinler, kimlerin dosya yükleyebileceğini ve yanıt paylaşabileceğini belirler.
• Saklama ve denetim kayıtları: Oturumlara eklenen dosyalar yedi gün sonra silinir. 50 veya daha fazla lisansa ya da en az bir Enterprise Max lisansına sahip kuruluşlar ayrıca oturum saklama süresini belirleyebilir ve kullanıcı etkinliğine ilişkin denetim kayıtları alabilir.
• Sertifikalar: Perplexity, SOC 2 Type II sertifikasına sahiptir, GDPR ile uyumludur ve korunan sağlık bilgileriyle çalışmaya yalnızca imzalı bir İş Ortağı Sözleşmesi (Business Associate Agreement) kapsamında izin verir.

Bu kontrolleri adım adım incelemek için Satış ekibimizle iletişime geçin ve size özel bir demo planlayın.

Sıkça sorulan sorular

AB yapay zekâ uyumluluğu nedir?

AB yapay zekâ uyumluluğu, AB Yapay Zekâ Yasası’nın rolünüz (sağlayıcı veya uygulayıcı) ve her sistemin risk seviyesi için öngördüğü yükümlülükleri yerine getirmek anlamına gelir. Yükümlülükler aşamalı olarak uygulanır; yüksek riskli sistemlere ilişkin yükümlülükler 2 Aralık 2027’de başlar.

HIPAA uyumlu yapay zekâ nedir?

HIPAA uyumlu yapay zekâ, HIPAA’nın korunan sağlık bilgilerine yönelik güvenlik önlemleri çerçevesinde kullanılan bir araçtır. Tedarikçi bu bilgileri depoluyor veya işliyorsa ABD Sağlık ve İnsan Hizmetleri Bakanlığı, önce imzalı bir İş Ortağı Sözleşmesi (Business Associate Agreement) yapılmasını şart koşar.

AB Yapay Zekâ Yasası ABD’li şirketler için de geçerli mi?

Evet. Yapay Zekâ Yasası, AB pazarına yapay zekâ sistemleri sunan ABD’li şirketleri ve yapay zekâ çıktıları AB’de kullanılan şirketleri kapsar.

Yapay zekâ, uyum sorumlularının yerini alabilir mi?

Yapay zekâ, uyum sorumlularının yerini alamaz. Kuruluşlar yaptıkları işten sorumludur ve yapay zekâ teknolojileri hata yapabilir; bu nedenle uyum sorumlularının yapay zekâ çıktılarını yine de dikkatle incelemesi ve onaylaması gerekir.