AI Governance (Yapay Zeka Yönetişimi) Nedir? Kurumsal Çerçeve Nasıl Kurulur? (Tam Rehber)

AI governance nedir? AI Governance (yapay zeka yönetişimi), bir kurumun yapay zeka sistemlerini yasalara, etik ilkelere ve iş hedeflerine uygun biçimde geliştirmesini, dağıtmasını ve denetlemesini sağlayan politika, rol, süreç ve kontrol çerçevesidir. Kısacası, "yapay zekayı kim, hangi kurala göre, hangi denetimle kullanacak?" sorusunun kurumsal cevabıdır.

Bu tam rehber, ai governance nedir sorusunu bir tanımın ötesine taşıyor: yönetişim çerçevesinin bileşenlerini kalem kalem açıklıyor, EU AI Act risk sınıflandırmasını, ISO/IEC 42001 ve NIST AI RMF referanslarını, Türkiye'de KVKK bağlamını ele alıyor ve adım adım bir kurulum yol haritası, politika ile DPIA şablon iskeletleri, olgunluk modeli, sektörel örnekler, uygulama kontrol listesi ve KPI'lar sunuyor. Amaç, bu konuyu bir yönetim danışmanı titizliğiyle tek yerde toplamak. Yapay zekanın kendisiyle ilgili temel için yapay zeka nedir ve kurumsal yapay zeka eğitimi nedir rehberlerine göz atabilirsiniz.

Tanım

AI Governance (Yapay Zeka Yönetişimi)

Bir kurumun yapay zeka sistemlerini yasalara, etik ilkelere ve iş hedeflerine uygun biçimde geliştirmesini, dağıtmasını ve denetlemesini sağlayan politika, rol, süreç ve kontrol çerçevesi. AI governance; ilkeler, politikalar, roller/RACI, komite yapısı, risk yönetimi, model envanteri, izleme/denetim ve insan denetimini tek bir yönetim sistemi altında birleştirir; amacı yapay zekayı izlenebilir, açıklanabilir ve riski yönetilen biçimde işletmektir.

Ayrıca: yapay zeka yönetişimi, AI governance, kurumsal yapay zeka yönetişimi, sorumlu yapay zeka yönetimi

Wikidata: Q108048720

AI governance nedir sorusunun en yalın cevabı şudur: yapay zekayı kurumda güvenli, uyumlu ve hesap verebilir biçimde çalıştırmak için kurulan yönetim düzeni. "Yönetim düzeni" kelimesi kritik; çünkü yönetişim tek bir belge, tek bir araç veya tek bir departmanın işi değildir. İlkelerden (neye inanıyoruz) politikalara (ne zorunlu), rollerden (kim sorumlu) komitelere (kim karar verir), risk süreçlerinden (neyi nasıl ölçeriz) denetime (nasıl kanıtlarız) kadar uzanan bir bütündür.

Burada sık yapılan bir kavram karışıklığını netleştirelim. Yapay zeka etiği (AI ethics) neyin doğru olduğunu tartışır; felsefidir. Sorumlu yapay zeka (responsible AI) bu etiği somut ilkelere dönüştürür: adalet, şeffaflık, hesap verebilirlik, güvenlik, gizlilik. AI governance ise bu ilkeleri kurumda işler kılan mekanizmadır — yani "sorumlu yapay zekayı kim, nasıl, hangi kontrolle sağlayacak?" sorusunun cevabı. Bu ayrımı derinleştirmek için sorumlu yapay zeka nedir rehberi iyi bir başlangıçtır. Bir benzetmeyle: etik "adil olmalıyız" der, sorumlu YZ "adalet şu somut ilkelerle sağlanır" der, yönetişim ise "bu ilkeleri şu politika, şu rol, şu komite ve şu denetimle uygularız" der. Yönetişim, iyi niyeti işleyen bir sisteme dönüştüren katmandır; onsuz en yüksek etik değerler bile kağıt üstünde kalır.

Yönetişim yalnızca büyük teknoloji şirketlerinin meselesi değildir. Bir bankanın kredi skorlama modeli, bir e-ticaret firmasının öneri motoru, bir hastanenin tanı destek sistemi, bir çağrı merkezinin sohbet botu — hepsi karar veriyor veya karara etki ediyorsa, birinin bu kararların doğruluğundan, adilliğinden ve yasallığından sorumlu olması gerekir. AI governance tam olarak bu sorumluluğu kime, nasıl ve hangi kanıtla yükleyeceğinizi tanımlar. Modern kurumların dil modeli tabanlı sistemleri için LLM nedir ve üretken yapay zeka nedir kavramları da bu tablonun parçasıdır.

Kapsam açısından yönetişimin üç katmanı ayırt etmek yararlıdır. Stratejik katman, üst yönetimin yapay zeka konusundaki risk iştahını, yatırım önceliklerini ve etik duruşunu belirler; buradaki soru "yapay zekayı nerede, ne kadar cesaretle kullanacağız?"dır. Taktik katman, bu stratejiyi politikalara, komitelere ve süreçlere çevirir; buradaki soru "kararları kim, hangi kurala göre verecek?"tir. Operasyonel katman ise günlük uygulamadır: bir modelin envantere kaydı, risk sınıflandırması, izleme ve denetim izinin tutulması. Çoğu başarısız yönetişim girişimi, bu üç katmandan yalnızca birine odaklanır — genellikle bir politika belgesi yazıp (taktik) ama ne stratejik yön ne de operasyonel uygulama kurmadan. Sağlam bir çerçeve üç katmanı birbirine bağlar: strateji operasyonu yönlendirir, operasyon stratejiye geri besleme verir.

Bir başka önemli ayrım, yönetişim ile YZ operasyonları (AI operations) arasındadır. MLOps ve LLMOps gibi disiplinler, modellerin teknik olarak nasıl dağıtılıp izleneceğiyle ilgilenir; yönetişim ise bu teknik faaliyetlerin hangi ilke, onay ve sınır içinde yapılacağını belirler. İkisi rakip değil tamamlayıcıdır: iyi bir MLOps altyapısı, yönetişimin talep ettiği izleme ve denetim izini teknik olarak mümkün kılar; iyi bir yönetişim ise MLOps ekibine "neyi neden yapıyoruz?" sorusunun cevabını verir. Yönetişimi operasyondan kopuk bir uyum egzersizi olarak kurmak, en yaygın olgunlaşamama nedenlerinden biridir.

Yönetişimin neden gerekli olduğunu anlamanın en hızlı yolu, yönetişimsiz bir kurumu düşünmektir. Böyle bir kurumda tipik olarak şunlar olur: pazarlama ekibi bir üretken YZ aracına müşteri verisi yapıştırır, bir geliştirici izinsiz bir modeli üretime alır, bir analist telifli veriyle eğitilmiş çıktıyı sunum diye paylaşır ve hiç kimse hangi sistemin nerede, hangi veriyle çalıştığını bilmez. Buna gölge YZ (shadow AI) denir ve yönetişimsizliğin en görünür belirtisidir.

Yönetişimsizliğin maliyeti dört başlıkta toplanır. Uyum riski: KVKK ihlali, EU AI Act yükümlülüklerinin kaçırılması, sektörel düzenleyici cezalar. İtibar riski: ayrımcı, yanlış veya rahatsız edici çıktının kamuya yansıması. Operasyonel risk: denetlenemeyen, açıklanamayan kararların iş süreçlerini bozması, yapay zeka halüsinasyonu kaynaklı hatalar. Finansal risk: yanlış yatırım, tekrarlayan/çakışan projeler ve düzeltme maliyeti. Bu risklerin ortak paydası görünürlük eksikliğidir; yönetemediğiniz şeyi ölçemez, ölçemediğiniz şeyi güvence altına alamazsınız.

Yönetişimsizliğin daha az konuşulan ama en pahalı maliyeti, kayıp fırsattır. Yönetişimi olmayan kurumlar çoğu zaman iki uçtan birine savrulur: ya korkudan yapay zekayı tamamen yasaklar (ve rakiplerinin gerisinde kalır), ya da hiçbir sınır koymadan serbest bırakır (ve ilk ciddi olayda geri çekilir). Her iki uç da değer üretmez. Yönetişimin asıl vaadi, bu iki uç arasında güvenli bir orta yol kurmasıdır: ekiplerin "bunu yapabilir miyim?" sorusuna hızlı ve net cevap alabildiği, düşük riskli denemenin serbest, yüksek riskli kararın kontrollü olduğu bir düzen. Bu düzen kurulduğunda yapay zeka, bir "belki riskli" gri alandan çıkıp ölçülebilir bir kurumsal yeteneğe dönüşür. Yönetişimin iş değeri, tam da bu belirsizliği azaltıp güvenli hızı mümkün kılmasındadır.

Türkiye özelinde bu tablo daha da anlamlı. We Are Social "Digital 2026" verisine göre Türkiye, üretken yapay zeka araçlarından web'e yönlendirilen trafik payında dünya birincisidir. Bu, Türk kurumlarında ve kullanıcılarında yüksek bir YZ benimseme iştahı olduğunu gösterir. Benimseme hızı yüksekken yönetişim olgunluğu geride kalırsa, gölge YZ ve uyum riski aynı hızla büyür. Bu yüzden Türkiye'de yönetişim, "sonra bakarız" değil, benimseme ile eş zamanlı kurulması gereken bir yetkinliktir. Yüksek benimseme, aynı zamanda bir fırsat penceresidir: yönetişimini erken kuran Türk kurumları, hem yurt içinde güvenilir bir marka hem de AB pazarına ürün/hizmet sunarken uyum açısından hazır bir konum elde eder.

Bu rehberin kalbi burasıdır. Bir kurum "yönetişim kuralım" dediğinde, aslında birbirine bağlı bir dizi bileşeni birlikte kurmaktan bahseder; tek bir bileşen eksikse zincir kopar. Örneğin en güzel ilkeleri yazan ama bunları politikaya çevirmeyen bir kurum, iyi niyetle dolu ama davranışı değişmeyen bir yapıya sahiptir; en detaylı risk sınıflandırmasını yapan ama envanteri olmayan bir kurum ise neyi sınıflandıracağını bilemez. Bu yüzden bileşenleri ayrı ayrı değil, birbirini besleyen bir sistem olarak düşünmek gerekir. Sağlam bir yapay zeka yönetişim çerçevesi sekiz bileşenden oluşur. Bunları kalem kalem, her birinin "ne işe yaradığı", "kötü kurgulanırsa ne olduğu" ve "minimum uygulamanın ne olduğu" ile açıklayacağız. Bu sekiz bileşen, EU AI Act, ISO/IEC 42001 ve NIST AI RMF gibi büyük çerçevelerin ortak paydasıdır; hangi standardı benimserseniz benimseyin, bu bileşenlerin karşılığını orada bulursunuz.

Yapay zeka yönetişim çerçevesinin sekiz temel bileşeni

Bileşen	Ne işe yarar	Kötü kurgulanırsa
1. İlkeler	Kurumun YZ değerlerini tanımlar (adalet, şeffaflık, güvenlik)	Slogan kalır, karara dönüşmez
2. Politikalar	İlkeleri zorunlu kurallara çevirir (kabul edilebilir kullanım)	Uygulanamaz, herkes kendi kuralını koyar
3. Roller/RACI	Kim sorumlu, kim hesap verir, kim danışılır netleşir	Sahipsiz sistemler, dağınık sorumluluk
4. Komite yapısı	Model onayı ve risk kabulü için karar mercii kurar	Karar tıkanır veya kimse karar vermez
5. Risk yönetimi	Her sistemi risk seviyesine göre sınıflar, kontrol uygular	Her şeye aynı ağırlık; ya aşırı ya yetersiz kontrol
6. Model envanteri	Tüm YZ sistemlerini kayıt altına alır	Neyi yönettiğinizi bilemezsiniz
7. İzleme/denetim	Performans, sapma ve uyumu sürekli ölçer, kanıtlar	Sorunlar geç fark edilir, denetimde kanıt yok
8. İnsan denetimi	Yüksek riskli kararlarda insan müdahalesini garanti eder	Otomasyon yanlışı denetimsiz büyür

1. İlkeler: Yönetişimin Anayasası

İlkeler, kurumun yapay zekaya bakışını tanımlayan üst düzey değerlerdir. Tipik olarak beş-yedi maddede toplanır: adalet ve ayrımcılık yapmama, şeffaflık ve açıklanabilirlik, hesap verebilirlik, güvenlik ve sağlamlık, gizlilik ve veri koruma, insan denetimi, toplumsal fayda. İlkelerin gücü kısalığından ve karara dönüşebilirliğinden gelir. "Adil olacağız" bir slogandır; "Kişileri etkileyen her modelde korumalı gruplar arası performans farkını ölçer ve eşik aşılırsa yayına almayız" bir ilkedir. İyi ilke, bir politikaya ve bir kontrole tercüme edilebilen ilkedir. İlkeler yalnızca duvara asılan bir tablo olmamalı; her biri en az bir politikaya bağlanmalı ve o politika da bir kontrol noktasına düşmelidir. Aksi halde ilkeler, kurumun kendisini iyi hissetmesini sağlayan ama davranışı değiştirmeyen bir vitrin olarak kalır.

2. Politikalar: İlkeleri Zorunlu Kılan Kurallar

Politikalar, ilkeleri "yapılması/yapılmaması zorunlu" kurallara çevirir. Bir kurumun temel YZ politika seti genellikle şunları içerir: Kabul edilebilir kullanım politikası (hangi araçlar, hangi veri türleriyle kullanılabilir), veri yönetişimi politikası (hangi veri, nasıl, ne kadar süre), model geliştirme ve dağıtım politikası (test, onay, sürümleme), üçüncü taraf/tedarikçi YZ politikası (satın alınan modellerin denetimi) ve olay yönetimi politikası (bir şey ters gittiğinde ne olur). Politikaların işe yaraması için uygulanabilir ve ölçülebilir olması şarttır; kimsenin okumadığı 40 sayfalık bir politika, tek sayfalık işler bir politikadan daha zayıftır. İyi bir politika ayrıca istisna yönetimini de tanımlar: kural dışına çıkmanın yasak değil, kayıtlı ve onaylı bir süreç olduğunu belirtir. İstisnaları görünür kılan bir politika, çalışanları kuralı gizlice çiğnemek yerine açıkça talep etmeye teşvik eder.

3. Roller ve RACI: Kim Neden Sorumlu?

Yönetişimin en sık atlanan ama en belirleyici bileşeni sorumluluk dağılımıdır. RACI matrisi (Responsible/Accountable/Consulted/Informed — sorumlu/hesap veren/danışılan/bilgilendirilen) her kritik YZ faaliyeti için kimin ne yaptığını netleştirir. Örneğin bir modelin yayına alınmasında: veri bilimci sorumlu (yapan), iş birimi lideri hesap veren (onaylayan), hukuk ve veri koruma danışılan, üst yönetim bilgilendirilen olabilir. RACI olmadan "herkesin işi hiç kimsenin işi" tuzağına düşülür; bir sorun çıktığında sahip bulunamaz. Özellikle "hesap veren" (accountable) rolünün her faaliyet için tek bir kişi olması kritiktir; iki kişinin ortak hesap verdiği bir yapı, pratikte kimsenin hesap vermediği bir yapıya dönüşür.

Örnek YZ yönetişim RACI matrisi (model yayına alma)

Faaliyet	Veri Bilimci	İş Birimi Lideri	Hukuk/Uyum	YZ Komitesi
Model geliştirme	R	C	I	I
Risk sınıflandırma	R	C	C	A
Yayın onayı	C	A	C	A
İzleme	R	I	I	C
Olay müdahalesi	R	A	C	I

4. Komite Yapısı: Kararı Kim Verir?

Yönetişim, birinin karar vermesi gerektiği yerde biter veya başlar. YZ yönetişim komitesi (bazı kurumlarda "YZ etik kurulu" veya "sorumlu YZ kurulu") çapraz fonksiyonel bir karar merciidir: bir üst yönetim sponsoru, hukuk/uyum, veri koruma sorumlusu, bilgi güvenliği, ilgili iş birimi liderleri ve teknik taraf. Komitenin kritik özelliği yetkili olmasıdır: model onayı, risk kabulü ve istisna yönetimi net biçimde komiteye bağlanır. Yalnızca "görüş bildiren" ama karar veremeyen bir komite, yönetişimi tıkanma noktasına çevirir. Komite ayrıca bir kararı ne kadar sürede vereceğini de taahhüt etmeli; aksi halde ekipler komiteyi atlar ve gölge YZ geri döner. Pratik bir tasarım, komiteye iki hızlı kanal tanımlamaktır: düşük riskli talepler için hafif ve hızlı bir "fast-track" onay, yüksek riskli sistemler için ise ayrıntılı bir inceleme. Bu, komitenin hem güvenli hem hızlı olmasını sağlar.

5. Risk Yönetimi: Riske Orantılı Kontrol

Yönetişimin motoru risk yönetimidir. Temel ilke basittir: her YZ sistemine aynı ağırlıkta kontrol uygulamak hem israftır hem de imkansızdır. Bunun yerine sistemler risk seviyesine göre sınıflandırılır ve kontrol, riskle orantılı uygulanır. Bir iç toplantı notu özetleyen düşük riskli bir araçla, kredi başvurusu reddeden yüksek riskli bir model aynı incelemeye tabi tutulamaz. Risk sınıflandırması tipik olarak dört boyutu değerlendirir: sistemin insanlar üzerindeki etkisi, otonomi düzeyi (kararı insan mı model mi verir), veri hassasiyeti ve geri döndürülebilirlik. EU AI Act'in risk seviyeleri (aşağıda ele alacağız) bu düşüncenin düzenleyici karşılığıdır. Model risk yönetiminin veri boyutu için kişisel veri nedir ve veri anonimleştirme nedir kavramları temel oluşturur. Risk yönetiminin çıktısı bir "risk kaydı" (risk register) olmalıdır: her yüksek riskli sistem için tanımlanmış riskler, uygulanan kontroller ve kalan (kabul edilen) risk açıkça yazılır. Bu kayıt, hem iç denetim hem de düzenleyici bir soru geldiğinde kurumun elindeki en güçlü kanıttır.

6. Model Envanteri: Neyi Yönettiğinizi Bilmek

Model envanteri yönetişimin kalbidir çünkü diğer her şey ona dayanır. Envanter, kurumdaki tüm YZ sistemlerinin kayıtlı listesidir: kendi geliştirdikleriniz, satın aldıklarınız, üçüncü taraf yazılıma gömülü olanlar ve ideal olarak keşfedilen gölge kullanımlar. Her kayıt en az şunları içerir: sistem adı ve amacı, sahibi, kullandığı veri kaynakları, risk sınıfı, üzerinde çalıştığı ortam, son gözden geçirme tarihi ve düzenleyici sınıflandırması. Envanter olmadan risk sınıflandırması yapılamaz, izleme kurulamaz, denetimde soru cevaplanamaz ve düzenleyici raporlama imkansızlaşır. Bu yüzden olgunluk yolculuğunun ilk somut çıktısı neredeyse her zaman envanterdir. Envanteri canlı tutmak da en az onu oluşturmak kadar önemlidir: yeni bir sistem yayına alındığında envantere eklenmesini zorunlu kılan bir "giriş kapısı" (intake) süreci olmazsa, envanter birkaç ay içinde gerçeği yansıtmayı bırakır ve yönetişimin temeli çürür.

7. İzleme ve Denetim: Sürekli Kanıt Üretmek

Bir modeli yayına almak yolculuğun sonu değil başıdır. Modeller zamanla bozulur: veri kayması (data drift), kavram kayması (concept drift), performans düşüşü ve yeni önyargıların ortaya çıkması gerçek risklerdir. İzleme, bu bozulmaları erken yakalar; denetim ise yönetişimin işlediğine dair kanıt üretir. İyi bir izleme katmanı hem teknik metrikleri (doğruluk, gecikme, sapma) hem de yönetişim metriklerini (zamanında gözden geçirme, istisna sayısı) takip eder. Üretim ortamındaki dil modelleri için bu, LLM gözlemlenebilirliği ve MLOps pratikleriyle iç içe geçer; denetim izi (audit trail) olmadan yönetişim iddiada kalır. Denetim izinin pratik anlamı şudur: bir kararın kim tarafından, hangi veriye dayanarak, hangi model sürümüyle ve hangi onayla alındığı sonradan yeniden kurulabilmelidir. Bu izlenebilirlik, hem bir hata sonrası kök neden analizini hem de düzenleyici bir denetimde "nasıl karar verdiniz?" sorusuna cevabı mümkün kılar.

8. İnsan Denetimi: Otomasyonun Freni

Son bileşen, insan denetimidir (human oversight). Yüksek riskli kararlarda — bir kişinin krediye, işe, sağlık hizmetine erişimini etkileyen kararlarda — modelin son sözü söylememesi gerekir. İnsan denetimi üç biçimde tasarlanabilir: human-in-the-loop (her kararı insan onaylar), human-on-the-loop (insan izler ve gerektiğinde müdahale eder), human-in-command (insan sistemi devre dışı bırakma yetkisine sahiptir). Doğru seviye, riske göre seçilir. İnsan denetiminin gerçek olması için denetleyen kişinin hem yetkin hem de "otomasyona teslim olmama" refleksine sahip olması gerekir; sadece onay tuşuna basan bir insan, denetim değil formalitedir. İnsan denetiminin bir tuzağı da otomasyon yanlılığıdır (automation bias): insanlar bir makinenin önerisine, kendi yargılarından fazla güvenme eğilimindedir. Bu yüzden denetleyene yalnızca modelin çıktısı değil, modelin neden o çıktıyı verdiğine dair açıklama ve gerektiğinde itiraz etme yetkisi de verilmelidir; aksi halde "insan denetimi" adı var, kendi yoktur.

Bu sekiz bileşen tek başına anlamlı değildir; asıl güç, birbirlerini nasıl beslediklerindedir. İlkeler politikalara yön verir; politikalar rolleri ve komiteyi tanımlar; komite risk sınıflandırmasını onaylar; risk sınıflandırması envantere işlenir; envanter izlemenin kapsamını belirler; izleme insan denetimini tetikler; ve tüm bu döngünün çıktısı, ilkelerin gerçekten uygulanıp uygulanmadığını gösteren denetim kanıtıdır. Bir kurum bu sekiz bileşeni ayrı projeler olarak kurmaya çalışırsa, aralarındaki bağlar kopar ve her biri kendi silosunda kağıt üstünde kalır. Doğru yaklaşım, bileşenleri tek bir yönetim sistemi olarak, birbirine referans veren bir bütün hâlinde kurmaktır — ki ISO/IEC 42001'in "yönetim sistemi" vurgusunun altında yatan mantık da tam olarak budur. Aşağıdaki bölümlerde bu bileşenleri tek tek derinleştirdikten sonra, onları bir arada işleten düzenleyici ve standart çerçevelere geçeceğiz.

Geleneksel makine öğrenmesi modelleri (örneğin bir lojistik regresyon tabanlı skorlama modeli) dar, öngörülebilir ve tek bir görevi yapan sistemlerdi; yönetişimleri de görece nettir. Üretken yapay zeka ve otonom ajanlar ise yönetişime yeni ve daha zor boyutlar ekler. Bu farkı anlamak, modern bir çerçevenin neden ek kontroller gerektirdiğini açıklar.

Üretken YZ'nin ilk zorluğu, çıktının açık uçlu olmasıdır. Bir skorlama modeli "onay/ret" gibi sınırlı bir çıktı üretirken, bir dil modeli neredeyse sonsuz sayıda metin üretebilir. Bu, çıktının önceden tam olarak test edilememesi anlamına gelir; yönetişim, tekil çıktıları değil, çıktı üreten sürecin sınırlarını (guardrail) kontrol etmeye kayar. Guardrail ve sistem promptu gibi mekanizmalar, bu yeni kontrol katmanının araçlarıdır. İkinci zorluk, halüsinasyon ve yanlış bilgidir: model, inandırıcı ama yanlış içerik üretebilir; kurumsal bir bağlamda bu, doğrudan bir yönetişim riskidir ve RAG gibi kaynak-temelli mimarilerle azaltılır.

Üçüncü ve en büyük zorluk, otonom ajanların yükselişidir. Agentic AI ve AI agent sistemleri, yalnızca metin üretmez; araçlar çağırır, veritabanlarına yazar, e-posta gönderir, işlem yapar. Bu, otonomi düzeyinin (dolayısıyla riskin) keskin biçimde arttığı anlamına gelir. Bir ajanın yanlış kararı artık sadece yanlış bir cümle değil, yanlış bir işlemdir. Ajan sistemleri için yönetişim, ek kontroller gerektirir: ajanın hangi araçlara erişebileceğinin sıkı sınırlandırılması, geri döndürülebilir olmayan işlemlerde zorunlu insan onayı (human-in-the-loop) ve her ajan eyleminin denetim izine kaydı. Prompt injection gibi saldırılar, ajanların yeni ve tehlikeli bir saldırı yüzeyi olduğunu gösterir: kötü niyetli bir girdi, ajanı istenmeyen bir eyleme yönlendirebilir.

Bu yeni boyutlar, yönetişim çerçevesinin statik olamayacağını gösterir. Beş yıl önce yazılmış bir YZ politikası, bugünün ajan sistemlerini kapsamayabilir. Bu yüzden yönetişim, düzenli olarak yeni teknoloji sınıflarına göre güncellenen canlı bir çerçeve olmalıdır; bir kurum, teknoloji sınırını takip eden bir "yeni risk tarama" ritmi kurmalıdır.

Yapay zeka yönetişiminin bugünkü düzenleyici çerçevesinin merkezinde EU AI Act (Avrupa Birliği Yapay Zeka Yasası) yer alır. EU AI Act, dünyanın ilk kapsamlı yatay YZ düzenlemesidir ve mantığı risk temellidir: bir YZ sistemine uygulanacak yükümlülük, sistemin oluşturduğu riskle orantılıdır. Bu yaklaşım dört seviyeden oluşur. Ayrıntılı bir inceleme için EU AI Act nedir rehberine bakabilirsiniz; burada yönetişim açısından özünü veriyoruz.

EU AI Act risk seviyeleri ve yönetişim karşılıkları

Risk seviyesi	Örnekler	Yükümlülük	Yönetişim eylemi
Kabul edilemez risk	Sosyal puanlama, manipülatif sistemler	Yasak	Envanterden çıkar, kullanma
Yüksek risk	Kredi, işe alım, sağlık, kritik altyapı	Sıkı: risk yönetimi, veri kalitesi, kayıt, insan denetimi	Tam kontrol seti + uygunluk değerlendirmesi
Sınırlı risk	Sohbet botları, üretken içerik	Şeffaflık: kullanıcı YZ ile konuştuğunu bilmeli	Bilgilendirme ve etiketleme
Minimal risk	Spam filtresi, öneri	Serbest (gönüllü iyi uygulama)	Hafif izleme yeterli

Bu tablonun yönetişim için üç kritik dersi var. Birincisi, kabul edilemez riskli uygulamalar tartışma konusu değildir; envanterinizde varsa çıkarmanız gerekir. İkincisi, ağırlık yüksek riskli sistemlerdedir; asıl kontrol yatırımınızın gideceği yer burasıdır — risk yönetim sistemi, veri yönetişimi, teknik dokümantasyon, kayıt tutma (logging), şeffaflık, insan denetimi ve doğruluk/sağlamlık/güvenlik güvenceleri. Üçüncüsü, üretken YZ ve sohbet botları için şeffaflık yükümlülüğü vardır: kullanıcı bir makineyle konuştuğunu bilmelidir ve YZ üretimi içerik uygun biçimde işaretlenmelidir. Türkiye merkezli bir kurum AB pazarına ürün/hizmet sunuyorsa veya çıktısı AB'deki kişileri etkiliyorsa bu yükümlülükler kapsam dışı değildir; bu yüzden ihracatçı ve çok uluslu Türk kurumları için EU AI Act bir "Avrupa meselesi" değil doğrudan bir yönetişim gündemidir.

Genel amaçlı yapay zeka (GPAI) modelleri için de yasa ek şeffaflık ve dokümantasyon yükümlülükleri getirir. Bir kurum kendi temel modelini geliştirmese bile, üçüncü taraf bir üretken yapay zeka modelini ürününe gömüyorsa, o modelin uyumundan ve kullanım koşullarından kendi yönetişim çerçevesinde sorumlu olur. Bu yüzden tedarikçi (vendor) değerlendirmesi ve sözleşmesel güvenceler, yönetişimin ayrılmaz bir parçasıdır.

Düzenleme (EU AI Act) "ne zorunlu" sorusunu cevaplar; standartlar ise "nasıl yaparız" sorusunu. İki büyük referans öne çıkar.

ISO/IEC 42001, yapay zeka yönetim sistemi (AIMS — AI Management System) için uluslararası standarttır. ISO 27001'in bilgi güvenliği için yaptığını YZ yönetişimi için yapar: bir yönetim sistemi kurmanızı ister — politika, roller, risk değerlendirmesi, kontroller, iç denetim ve sürekli iyileştirme (Planla-Uygula-Kontrol Et-Önlem Al döngüsü). ISO 42001'in gücü, yönetişimi tekil bir belge yığını değil, işleyen ve denetlenebilir bir sistem olarak kurgulamasıdır. Sertifikasyon çoğu kurum için zorunlu olmasa da, standardın yapısını benimsemek olgun bir çerçeveye giden en hızlı yoldur; ayrıca ISO 27001/ISO 9001 gibi mevcut yönetim sistemleri olan kurumlar için tanıdık bir iskelettir.

NIST AI RMF (ABD Ulusal Standartlar ve Teknoloji Enstitüsü Yapay Zeka Risk Yönetimi Çerçevesi), gönüllü ve esnek bir risk yönetimi çerçevesidir. Dört işlev etrafında kurgulanır: Govern (yönet — kültür ve süreç), Map (haritala — bağlamı ve riski tanımla), Measure (ölç — riski analiz et ve izle) ve Manage (yönet — riske müdahale et ve önceliklendir). NIST AI RMF'nin cazibesi, sektör ve ölçek bağımsız uygulanabilir olması ve teknik ekiplerle iyi konuşmasıdır. Pratikte birçok kurum bunları birlikte kullanır: EU AI Act'i "ne zorunlu" için, ISO 42001'i "yönetim sistemini nasıl kurarım" için, NIST AI RMF'yi "riski nasıl operasyonel ölçerim" için.

Üç referans çerçevenin karşılaştırması

Çerçeve	Türü	Ne cevaplar	Zorunlu mu
EU AI Act	Düzenleme (yasa)	Ne yasak, ne zorunlu	Kapsamdaysanız evet
ISO/IEC 42001	Yönetim sistemi standardı	Yönetim sistemini nasıl kurarım	Hayır (sertifika isteğe bağlı)
NIST AI RMF	Risk çerçevesi (gönüllü)	Riski nasıl haritalar, ölçer, yönetirim	Hayır (gönüllü)
KVKK	Düzenleme (veri koruma)	Kişisel veri nasıl korunur	Kişisel veri işliyorsanız evet

Bu üç çerçeveyi "rakip" değil "katman" olarak düşünmek en sağlıklısıdır. Düzenleme neyin zorunlu olduğunun alt sınırını çizer; standart bunu kurumsal bir sisteme dönüştürür; risk çerçevesi ise günlük operasyonda riski ölçülebilir kılar. Bir kurum yalnızca EU AI Act uyumuna odaklanıp ISO 42001'in sistemsel disiplinini atlarsa, uyumu tek seferlik bir "proje" gibi yaşar ve zamanla erir. Tersine, standardı benimseyip düzenlemeyi bir girdi olarak kullanan bir kurum, yeni düzenlemeler geldiğinde bunları mevcut sistemine eklemek için hazır bir iskelete sahip olur.

Türkiye'de yapay zeka yönetişimi, KVKK (Kişisel Verilerin Korunması Kanunu) ile iç içe kurgulanmalıdır. YZ sistemleri çoğu zaman kişisel veri işler — müşteri profili, çalışan verisi, sağlık kaydı, davranış verisi. KVKK bu işlemeye net kurallar getirir: hukuki dayanak (rıza veya meşru menfaat gibi), aydınlatma yükümlülüğü, veri minimizasyonu, amaçla sınırlılık, saklama süresi ve özellikle otomatik karar verme konusunda sınırlar. Bir YZ yönetişim çerçevesi, bu yükümlülükleri soyut hukuk metni olmaktan çıkarıp işleyen kontrollere dönüştürür. Ayrıntı için KVKK nedir ve KVKK uyumlu yapay zeka nedir rehberleri temel referanslardır.

KVKK'yı yönetişime bağlamanın üç somut mekanizması vardır. Birincisi model envanteri: her sistemin kişisel veri işleyip işlemediği, hangi veri kategorisini (özel nitelikli veri dahil) kullandığı envantere işlenir. İkincisi DPIA (Data Protection Impact Assessment — veri koruma etki değerlendirmesi): yüksek riskli işlemeler için, işlemenin kişiler üzerindeki etkisini önceden değerlendiren bir analiz. Üçüncüsü erişim kontrolü: bir YZ sisteminin, özellikle üretken YZ ve RAG tabanlı bilgi erişimi sistemlerinin, hangi veriye kimin adına eriştiğinin sıkı kontrolü. Erişim kontrolü olmayan bir kurumsal bilgi sistemi, tüm veriyi herkese açan bir kapıya dönüşebilir. Ayrıca GDPR ile paralellik önemli; AB verisi işleyen Türk kurumları için GDPR nedir de tabloya girer.

Türkiye bağlamının bir başka boyutu, veri yerleşimi (data residency) ve sınır ötesi veri aktarımıdır. Üretken YZ araçlarının çoğu yurt dışında barındırılan servislerdir; bir çalışan kişisel veriyi böyle bir araca girdiğinde, aslında bir sınır ötesi aktarım gerçekleşebilir. Yönetişim çerçevesi, hangi veri sınıfının hangi araca girebileceğini net kurallara bağlamalı ve gerektiğinde yurt içinde barındırılan veya açık kaynak LLM tabanlı alternatifleri değerlendirmelidir. Bu, hem KVKK uyumu hem de veri egemenliği açısından giderek daha stratejik bir karardır.

KVKK'yı EU AI Act ile birlikte düşünmek de önemlidir; ikisi farklı ama örtüşen alanları düzenler. KVKK "kişisel veri nasıl işlenir?" sorusuna odaklanırken, EU AI Act "yapay zeka sistemi hangi risk seviyesinde ve hangi yükümlülükle çalışır?" sorusuna odaklanır. Kişisel veri işleyen yüksek riskli bir YZ sistemi, her iki çerçevenin de kapsamına girer ve kontrolleri birbirini tamamlar: EU AI Act'in talep ettiği veri yönetişimi ve insan denetimi, çoğu zaman KVKK'nın veri minimizasyonu ve otomatik karar sınırlarıyla örtüşür. Bu örtüşmeyi görmek, uyum çabasını iki kez yapmaktan kurtarır: aynı kontrol (örneğin anlamlı insan denetimi) hem KVKK hem EU AI Act yükümlülüğünü karşılayabilir. Olgun bir yönetişim çerçevesi, bu tür çakışan yükümlülükleri tek bir kontrol setiyle karşılayacak biçimde tasarlanır; her düzenleme için ayrı bir uyum silosu kurmak, hem maliyetli hem de sürdürülemezdir.

Son olarak, Türkiye'de yapay zekaya özgü düzenleyici çerçeve gelişmeye devam etmektedir. Bu yüzden Türk kurumları için sağlam bir strateji, uluslararası iyi uygulamaları (EU AI Act, ISO 42001, NIST AI RMF) bir temel olarak benimsemek ve yerel düzenleme olgunlaştıkça çerçeveyi buna göre ayarlamaktır. Uluslararası standartlara göre kurulmuş bir çerçeve, yeni bir yerel düzenleme geldiğinde onu absorbe edecek esnekliğe zaten sahip olur; sıfırdan başlayan bir kurum ise her yeni düzenlemede geriden gelmek zorunda kalır. Erken ve standart-temelli bir yönetişim, düzenleyici belirsizliğe karşı en iyi sigortadır.

Şimdi teoriden uygulamaya geçelim. Bir yapay zeka yönetişim çerçevesi tek seferde kurulmaz; kademeli bir yol haritasıyla inşa edilir. Aşağıdaki yedi adım, sıfırdan işler bir yönetişime giden pratik bir güzergahtır. Her adım bir öncekinin üzerine kurulur; adımları atlamak, üstüne inşa edecek zemini olmayan bir çerçeve yaratır.

Nasıl Yapılır

Kurumsal yapay zeka yönetişimi kurulum yol haritası

Sıfırdan işler bir AI governance çerçevesine giden yedi adımlık pratik güzergah.

Toplam süre: P90D

1. 1

   Sponsor ve kapsam belirle

   Bir üst yönetim sponsoru ata (hesap verebilirlik) ve yönetişimin ilk kapsamını netleştir: hangi iş birimleri, hangi sistem türleri. Küçük ama gerçek bir kapsamla başla.

2. 2

   Model envanteri çıkar

   Kurumdaki tüm YZ kullanımlarını (kendi geliştirilen, satın alınan, gömülü, gölge) keşfet ve tek bir envanter tablosuna kaydet: sahip, amaç, veri, risk, ortam.

3. 3

   İlke ve politika setini yaz

   Beş-yedi maddelik YZ ilkesi ve bir kabul edilebilir kullanım politikası ile başla. Uzun değil işler olsun; her ilke bir kontrole tercüme edilebilmeli.

4. 4

   Risk sınıflandırması uygula

   Envanterdeki her sistemi düşük/orta/yüksek olarak sınıfla; EU AI Act seviyeleriyle hizala. Yüksek riskli sistemlere zorunlu insan denetimi kuralı koy.

5. 5

   Komite ve RACI kur

   Çapraz fonksiyonel bir YZ komitesi oluştur ve karar yetkisini (model onayı, risk kabulü, istisna) net biçimde bağla. Her kritik faaliyet için RACI tanımla.

6. 6

   İzleme ve denetim izini kur

   Yüksek riskli sistemler için performans, sapma ve kullanım izleme kur; kararların ve onayların denetim izini (audit trail) tut. Gözden geçirme ritmi belirle.

7. 7

   Ölç, gözden geçir, olgunlaş

   KPI'ları izle (envanter kapsamı, zamanında gözden geçirme, olay sayısı), çeyreklik gözden geçir ve çerçeveyi ISO 42001/NIST AI RMF gereksinimleriyle kademeli derinleştir.

Bu yol haritasının en önemli tasarım kararı, envanterle başlamaktır. Politika yazmadan, komite kurmadan önce neyi yönettiğinizi bilmeniz gerekir. Envanter olmadan yazılan politika soyut kalır; envanterle yazılan politika, gerçek sistemlere değer. İkinci en önemli karar, riske orantılı başlamaktır: ilk turda tüm sistemleri ağır incelemeye tabi tutmaya çalışmak, çerçeveyi doğmadan boğar. Yüksek riskli az sayıda sisteme odaklanıp orada derinleşmek, sonra kapsamı genişletmek çok daha sağlıklıdır. Bu yolculukta dışarıdan yapılandırılmış bir destek isterseniz yapay zeka danışmanlığı yaklaşımı ve danışmanlık hizmeti devreye girebilir.

Üçüncü kritik karar, yönetişimi mevcut yönetişim yapılarına eklemlemektir, sıfırdan paralel bir yapı kurmak değil. Çoğu kurumda zaten bir bilgi güvenliği komitesi, bir veri koruma fonksiyonu ve bir risk yönetimi süreci vardır. YZ yönetişimini bunlardan bağımsız bir ada olarak kurmak, hem gereksiz tekrar yaratır hem de kararların kopuk kalmasına yol açar. Doğru yaklaşım, YZ'ye özgü kontrolleri (model envanteri, risk sınıflandırması, insan denetimi) mevcut yapılara entegre etmek ve yalnızca gerçekten yeni olan yerlerde yeni mekanizma kurmaktır.

Yol haritasının uygulanmasında sık karşılaşılan bir tuzak, "büyük patlama" (big bang) yaklaşımıdır: her şeyi aynı anda, kusursuz biçimde kurmaya çalışmak. Bu yaklaşım neredeyse her zaman başarısız olur, çünkü hem organizasyonun hazmedebileceğinden fazla değişiklik dayatır hem de ilk hatada tüm girişimin itibarını zedeler. Çok daha sağlıklı olan, yinelemeli (iterative) bir yaklaşımdır: dar bir kapsamda (örneğin tek bir yüksek riskli sistem veya tek bir iş birimi) çerçeveyi baştan sona kur, işlediğini kanıtla, öğrendiklerinle çerçeveyi rafine et ve ancak sonra kapsamı genişlet. Bu "önce derinlik, sonra genişlik" yaklaşımı, hem erken bir başarı hikayesi üretir (ki bu, üst yönetim desteğini sürdürmek için kritiktir) hem de çerçeveyi gerçek kullanımla test edip olgunlaştırır. Yönetişim bir yarış değil, bir maratondur; ilk 90 günde mükemmel değil, işleyen ve öğrenen bir temel hedeflenmelidir.

Son bir tavsiye: yönetişim yolculuğunun her aşamasında "kim sahiplenecek?" sorusunu cevaplayın. Sahipsiz bir çerçeve, ne kadar iyi tasarlanırsa tasarlansın, ilk zorlukta terk edilir. Bir üst yönetim sponsoru stratejik yönü, bir yönetişim lideri operasyonel yürütmeyi ve her sistem için bir sahip günlük sorumluluğu üstlenmelidir. Bu sahiplik zinciri kurulmadan, en detaylı yol haritası bile bir belgeden ibaret kalır.

Yapay zeka yönetişimi hakkında konuşurken sık atlanan bir gerçek şudur: her YZ sistemi verinin üzerine kuruludur ve zayıf veri yönetişimi, en iyi YZ yönetişimini bile çürütür. "Çöp girerse çöp çıkar" (garbage in, garbage out) ilkesi burada tüm ağırlığıyla geçerlidir. Bu yüzden YZ yönetişimi, veri yönetişimiyle iç içe kurulmalıdır.

Veri yönetişiminin YZ açısından dört kritik boyutu vardır. Veri kalitesi: modelin eğitildiği verinin doğruluğu, güncelliği ve temsil gücü; kötü veri, kötü model demektir. Veri kaynağı ve soyağacı (lineage): verinin nereden geldiği, hangi izinle toplandığı ve hangi dönüşümlerden geçtiği izlenebilir olmalıdır; bir modelin çıktısı sorgulandığında, bu izlenebilirlik olmadan kök nedene inilemez. Veri sınıflandırması: hangi verinin kişisel, gizli veya özel nitelikli olduğu etiketlenmeli ki hangi verinin hangi sisteme girebileceği kurallara bağlanabilsin. Veri erişimi: kimin hangi veriye eriştiği kontrol edilmeli; özellikle RAG tabanlı sistemlerde bir kullanıcının erişemeyeceği bir belgeye model üzerinden dolaylı erişmesi engellenmelidir.

Bu boyutlar, veri sınıflandırması ve veri anonimleştirme gibi tekniklerle operasyonel hale gelir. Bir kurum, "hangi veri sınıfı hangi araca/modele girebilir?" sorusunun net bir cevabına sahip değilse, YZ yönetişimi havada kalır — çünkü riskin çoğu, modelin kendisinden değil, ona verilen veriden gelir. Kişisel veri içeren bir veri setinin, uygun anonimleştirme veya erişim kontrolü olmadan bir modele verilmesi, hem KVKK hem de itibar riski yaratır. Bu yüzden olgun bir YZ yönetişim çerçevesi, mutlaka bir veri sınıflandırma ve erişim politikası içerir.

Veri yönetişiminin bir başka boyutu, eğitim verisinin telif ve lisans durumudur. Özellikle üretken YZ çağında, bir modelin hangi veriyle eğitildiği ve çıktısının telif açısından güvenli olup olmadığı, giderek daha önemli bir yönetişim sorusudur. Kurumlar, ürettikleri veya kullandıkları modellerin veri kaynaklarının lisans durumunu değerlendirmeli ve gerektiğinde sözleşmesel güvenceler almalıdır. Bu, özellikle pazarlama içeriği ve müşteriye dönük ürünlerde marka güvenliği açısından kritiktir.

Yönetişim bir kültür ve süreç meselesidir, ama doğru araçlar bu süreci ölçeklenebilir kılar. Küçük bir kurum, model envanterini bir elektronik tablo ile tutabilir; ama sistem sayısı arttıkça, elle yönetim sürdürülemez hale gelir. Yönetişim araçlarını dört kategoride düşünmek yararlıdır.

Envanter ve kayıt araçları, tüm YZ sistemlerini, sahiplerini ve risk sınıflarını merkezi olarak tutar. Bu, basit bir tablodan özel bir "model registry" yazılımına kadar uzanabilir; önemli olan aracın adı değil, envanterin tek bir güvenilir kaynak (single source of truth) olmasıdır. İzleme ve gözlemlenebilirlik araçları, üretimdeki modellerin performansını, sapmasını ve kullanımını izler; dil modelleri için bu, LLM gözlemlenebilirliği araçlarıyla sağlanır. Değerlendirme (evaluation) araçları, bir modelin yayına alınmadan önce ve sonra kalitesini, güvenliğini ve önyargısını ölçer; LLM değerlendirme pratikleri bu katmanın temelidir. Guardrail ve politika-uygulama araçları, çalışma zamanında modelin çıktısını ve girdisini denetler; guardrail mekanizmaları istenmeyen çıktıları filtreler.

Araç seçiminde en yaygın hata, aracı yönetişimin yerine koymaktır. Bir izleme aracı satın almak, yönetişim kurmak değildir; araç, ancak arkasında net bir süreç, sahip ve karar mercii varsa değer üretir. "Önce süreç, sonra araç" ilkesi burada geçerlidir: aracı, tanımlı bir süreci otomatikleştirmek ve ölçeklemek için ekleyin, tanımsız bir süreci kurtarmak için değil. Aksi halde pahalı bir araç, kullanılmayan bir gösterge panosuna dönüşür.

Yönetişimi somutlaştırmanın en hızlı yolu şablonlarla çalışmaktır. Aşağıda iki temel belgenin iskeletini veriyoruz; bunlar başlangıç noktasıdır, kurumunuzun gerçekliğine göre uyarlanmalıdır.

Kabul Edilebilir YZ Kullanım Politikası — İskelet

Bir kabul edilebilir kullanım politikası tek sayfada şu bölümleri içerebilir: Amaç ve kapsam (bu politika kimi ve neyi bağlar); İzin verilen kullanımlar (onaylı araçlar, düşük riskli senaryolar); Yasak kullanımlar (kişisel/gizli veriyi onaysız araçlara girme, kabul edilemez riskli uygulamalar); Veri kuralları (hangi veri sınıfı hangi araçta kullanılabilir); Onay süreci (yeni bir YZ aracı/sistemi nasıl talep edilir ve onaylanır); Sorumluluklar (kullanıcı, sahip, komite); İhlal ve istisna (kural dışına çıkma nasıl yönetilir); Gözden geçirme (politika ne sıklıkla güncellenir). Bu iskelet, bir kurumun gölge YZ'yi görünür kılıp güvenli kullanımı hızlandırmasının en pratik ilk adımıdır.

DPIA (Veri Koruma Etki Değerlendirmesi) — İskelet

Kişisel veri işleyen yüksek riskli bir YZ sistemi için DPIA iskeleti şu başlıkları içerir: İşlemenin tanımı (sistem ne yapar, hangi veriyi, hangi amaçla işler); Gereklilik ve orantılılık (bu veri gerçekten gerekli mi, minimize edilebilir mi); Veri kategorileri (kişisel, özel nitelikli veri var mı); Hukuki dayanak (rıza, meşru menfaat, sözleşme); Riskler (kişiler üzerindeki olası olumsuz etkiler: ayrımcılık, mahremiyet, güvenlik); Kontroller (bu riskleri azaltan önlemler: anonimleştirme, erişim kontrolü, insan denetimi); Kalan risk ve onay (kabul edilebilir mi, kim onaylıyor); Gözden geçirme tarihi. DPIA, "uyum belgesi doldurma" egzersizi değil, bir sistemi yayına almadan önce durup düşünme disiplinidir. Veri anonimleştirme ve açıklanabilir yapay zeka pratikleri bu kontrollerin somut araçlarıdır.

Model Kartı — İskelet

Envanterdeki her yüksek riskli model için bir "model kartı" (model card) tutmak, hem şeffaflık hem de denetim için güçlü bir pratiktir. Model kartı şu başlıkları içerir: modelin amacı ve hedeflenen kullanım, hedeflenmeyen/yasak kullanımlar, eğitim/veri kaynağı ve tarihi, performans metrikleri ve bunların hangi popülasyonda ölçüldüğü, bilinen sınırlamalar ve önyargı riskleri, insan denetimi mekanizması ve sorumlu ekip. Model kartı, bir modelin "kimliği" gibidir; yeni bir ekip üyesi, bir denetçi veya bir düzenleyici, sistemi tek bir belgeden anlayabilir. Bu, özellikle fine-tuning ile özelleştirilmiş modellerde, hangi değişikliğin ne zaman ve neden yapıldığını izlenebilir kılar.

Yönetişim bir açma-kapama düğmesi değil, bir olgunluk yolculuğudur. Kurumların çoğu bu yolculukta beş kademeden geçer. Kendinizi bu modelde konumlandırmak, bir sonraki adımı netleştirir.

Yapay zeka yönetişim olgunluk modeli (5 seviye)

Seviye	Durum	Tipik belirti	Sonraki adım
1. Ad hoc	Kontrolsüz, dağınık kullanım	Gölge YZ yaygın, envanter yok	Envanter çıkar, sponsor ata
2. Farkındalık	Risk fark edildi, ilk politikalar	Politika var ama uygulanmıyor	Sahip ve onay sürecini kur
3. Tanımlı	Roller, komite, risk sınıflandırması var	Çerçeve işliyor ama ölçüm zayıf	İzleme ve KPI ekle
4. Yönetilen	İzleme, denetim izi, metrikler	Yönetişim ölçülüyor	ISO 42001 hizalaması, denetim
5. Optimize	Sürekli iyileştirme, otomasyon	Yönetişim rekabet avantajı	Sürdür ve yeni risklere uyarla

Bu modelin pratik değeri, atlama yapılamayacağını göstermesidir. Seviye 1'deki bir kurum doğrudan Seviye 4'e atlayamaz; envantersiz bir izleme sistemi kurmak veya sahipsiz bir denetim mekanizması işletmek işlemez. Her seviyenin çıktısı, bir sonrakinin girdisidir. Ayrıca olgunluk her sistem için aynı olmak zorunda değildir: yüksek riskli sistemlerinizde Seviye 4-5'te olurken, düşük riskli iç araçlarda Seviye 2-3 yeterli olabilir. Riske orantılı olgunluk, kaynakları en çok önem taşıyan yere yoğunlaştırmanın yoludur. Olgunluğu ölçerken bir uyarı: kağıt üstündeki olgunluk ile gerçek olgunluk farklı olabilir. Bir kurum tüm belgelere sahip olup Seviye 4 gibi görünürken, bu belgeler uygulanmıyorsa gerçekte Seviye 2'dedir. Bu yüzden olgunluk değerlendirmesi, belge varlığına değil, o belgelerin gerçek kararlarda kullanıldığına dair kanıta dayanmalıdır.

Olgunluk yolculuğunu bir defalık bir "hedefe varış" olarak değil, sürekli bir uyum süreci olarak görmek gerekir. En üst seviyeye (optimize) ulaşan bir kurum bile, teknoloji ve düzenleme değiştikçe çerçevesini yenilemek zorundadır; bugün olgun sayılan bir yönetişim, otonom ajanların yaygınlaşmasıyla yarın yetersiz kalabilir. Bu yüzden olgunluğun gerçek göstergesi, ulaşılan seviye değil, kurumun yeni risklere ne kadar hızlı uyum sağlayabildiğidir. Kendini düzenli olarak değerlendiren, dışarıdan bağımsız bir gözle denetlenen ve öğrendiklerini çerçevesine geri besleyen bir kurum, hangi seviyede olursa olsun, statik biçimde "mükemmel" görünen ama uyum yeteneği olmayan bir kurumdan daha dayanıklıdır.

Yönetişim soyut kalmasın diye üç sektörden temsili örnek verelim. Bu örnekler belirli bir kurumun ölçülmüş verisi değil, sektörün tipik risk profilini yansıtan illüstratif senaryolardır.

Finans (banka/sigorta): En yüksek riskli ve en düzenlenmiş sektör. Kredi skorlama, sahtekarlık tespiti, sigorta fiyatlama gibi sistemler kişiler üzerinde doğrudan etki yaratır ve EU AI Act'te yüksek risk sınıfına girer. Burada yönetişim, model risk yönetimi (MRM) geleneğiyle birleşir: bağımsız model doğrulama, ayrımcılık testleri, açıklanabilirlik zorunluluğu ve sıkı denetim izi. Anomali tespiti gibi sistemlerde bile yanlış pozitiflerin müşteri üzerindeki etkisi yönetilmelidir. Finansta yönetişim genellikle en olgun haldedir çünkü bankacılık düzenlemesi zaten onlarca yıldır model risk yönetimi disiplinini dayatmıştır; YZ, bu mevcut disipline yeni bir katman ekler.

Sağlık: Tanı destek, triyaj ve görüntü analizi sistemleri hem yüksek risklidir hem de özel nitelikli sağlık verisi işler. Burada KVKK'nın özel nitelikli veri kuralları, klinik doğrulama ve zorunlu insan denetimi (hekimin son sözü) yönetişimin merkezindedir. Bir computer vision tabanlı tanı sisteminin hata yapması geri döndürülemez sonuçlar doğurabileceğinden, risk-orantılı kontrolün en katı ucu buradadır. Sağlıkta ek bir yönetişim boyutu, modelin eğitildiği popülasyon ile uygulandığı popülasyonun uyumudur: bir ülkenin verisiyle eğitilmiş bir tanı modeli, farklı bir popülasyonda beklenmedik biçimde bozulabilir; bu, sürekli izleme ve yerel doğrulama gerektirir.

Perakende / e-ticaret: Öneri motorları, dinamik fiyatlama ve müşteri hizmetleri botları çoğunlukla sınırlı veya minimal risklidir; ama üretken YZ botlarında şeffaflık yükümlülüğü (kullanıcı bir makineyle konuştuğunu bilmeli) ve fiyatlamada ayrımcılık riski gündeme gelir. Burada yönetişim daha hafif olabilir; asıl odak, gölge YZ'yi görünür kılmak ve müşteri verisinin üretken araçlara sızmasını önlemektir. Chatbot ve duygu analizi uygulamalarında bu denge özellikle önemlidir. Perakendede yönetişimin görünmez ama kritik bir alanı, üretken YZ ile oluşturulan pazarlama içeriğinin telif ve marka güvenliği açısından denetimidir.

Kamu ve regüle sektörler: Kamu kurumları, belediyeler ve düzenlenmiş altyapı sağlayıcıları için yönetişimin ağırlık merkezi şeffaflık ve hesap verebilirliktir. Vatandaşı etkileyen bir kararın (sosyal yardım tahsisi, izin başvurusu değerlendirmesi) yapay zeka ile verilmesi, açıklanabilirlik ve itiraz hakkı açısından en yüksek standardı gerektirir. Burada açıklanabilir yapay zeka bir tercih değil, bir zorunluluktur: bir vatandaş "neden reddedildim?" diye sorduğunda, "model öyle karar verdi" kabul edilebilir bir cevap değildir. Kamu sektöründe ayrıca kamuoyu güveni bir varlıktır; şeffaf ve denetlenebilir bir YZ kullanımı, bu güveni korurken, denetimsiz bir kullanım onu hızla aşındırabilir. Bu yüzden kamu yönetişimi genellikle en katı insan denetimi ve en yüksek dokümantasyon standardını benimser.

Bu dört örneğin ortak dersi şudur: yönetişimin "doğru ağırlığı" sektöre ve kullanım senaryosuna göre değişir. Tek bir "herkese uyan" çerçeve yoktur; olan, aynı sekiz bileşenin sektörün risk profiline göre farklı yoğunlukta uygulanmasıdır. Finans ve sağlıkta çerçeve ağır ve katıdır; perakendede hafif ve hızlıdır; kamuda şeffaflık ağırlıklıdır. Doğru yönetişim, sektörünüzün gerçek riskini tanıyıp kontrolü oraya orantılamaktan geçer — ne her şeyi boğan bir bürokrasi, ne de her şeyi serbest bırakan bir boşluk.

Yönetişim çerçevesini kurarken verilecek en stratejik kararlardan biri, işletim modelidir: kararlar tek bir merkezde mi toplanacak, yoksa iş birimlerine mi dağıtılacak? Üç temel model vardır ve doğru seçim, kurumun ölçeğine, sektörüne ve olgunluğuna bağlıdır.

Merkezî model, tüm YZ kararlarının tek bir yönetişim ekibi veya komite tarafından verildiği yapıdır. Avantajı tutarlılık ve kontroldür; her karar aynı standarttan geçer. Dezavantajı ölçeklenmemesidir: kurum büyüdükçe merkez bir darboğaza dönüşür ve iş birimleri, yavaşlıktan kaçmak için gölge YZ'ye kayar. Merkezî model, küçük kurumlar veya yönetişimin ilk kurulduğu erken aşama için uygundur.

Dağıtık (federe) model, her iş biriminin kendi YZ kararlarını, merkezî ilkeler çerçevesinde kendisinin verdiği yapıdır. Avantajı hız ve sahiplenmedir; kararlar işin en yakınında alınır. Dezavantajı tutarsızlık riskidir: farklı birimler aynı riski farklı yorumlayabilir. Dağıtık model, olgun ve büyük kurumlar için, güçlü bir merkezî ilke seti ile birlikte işe yarar.

Hub-and-spoke (merkez-uydu) modeli, ikisinin dengesidir ve pratikte en çok tercih edilen yaklaşımdır. Merkezî bir yönetişim ekibi (hub) ilkeleri, politikaları, araçları ve yüksek riskli karar onayını sahiplenirken; her iş biriminde bir "YZ şampiyonu" veya yerel sorumlu (spoke) düşük riskli kararları merkezî çerçeveye göre kendisi verir. Bu model hem tutarlılığı hem ölçeklenmeyi sağlar. Kritik nokta, hub ile spoke arasındaki yetki sınırının net olmasıdır: hangi kararın merkeze taşınacağı, hangisinin yerelde kalacağı önceden risk seviyesine göre tanımlanmalıdır. Bu işletim modeli kararı, yönetişimin uzun vadeli ölçeklenebilirliğini belirler; yanlış model, ya darboğaz ya da kaos üretir.

İşletim modeli seçimi, kurumun genel dijital olgunluğuyla da ilişkilidir. Dijital dönüşüm yolculuğunda ileri olan, veri yönetişimi ve bilgi güvenliği yapıları oturmuş kurumlar, YZ yönetişimini bu mevcut yapılara eklemleyerek daha hızlı olgunlaşır. Henüz temel dijital yapıları oturmamış kurumlar ise önce merkezî ve basit bir modelle başlayıp, olgunluk arttıkça dağıtık öğeler eklemelidir. Model seçimini tek seferlik değil, olgunlukla evrilen bir karar olarak görmek en sağlıklısıdır.

Yönetişim bir maliyet kalemi mi yoksa bir yatırım mı? Doğru cevap ikincisidir, ama bunu somutlaştırmak gerekir. Aşağıdaki rakamlar belirli bir kurumun ölçülmüş verisi değil, düşünmeyi kolaylaştıran varsayımsal/illüstratif bir senaryodur; kendi kurumunuzun gerçek rakamlarıyla değiştirilmelidir.

Yönetişimin maliyet tarafı üç kalemden oluşur: kurulum maliyeti (envanter çıkarma, politika yazma, komite kurma — çoğunlukla mevcut personelin zamanı artı olası danışmanlık), işletim maliyeti (komite toplantıları, gözden geçirmeler, izleme araçları) ve fırsat maliyeti (onay süreçlerinin yarattığı gecikme). Bu kalemler, özellikle iyi tasarlanmış bir riske-orantılı çerçevede, düşük riskli kullanımları yavaşlatmadığı için sanıldığından düşüktür.

Getiri tarafı ise dört kalemden oluşur: kaçınılan uyum cezaları ve dava riski, önlenen itibar hasarı, tekrarlayan/çakışan YZ projelerinin elenmesiyle sağlanan verimlilik ve en önemlisi güvenle hızlanan benimseme yoluyla üretilen iş değeri. Varsayımsal bir örnek: envanter çıkarıldığında, farklı birimlerin birbirinden habersiz üç ayrı sohbet botu projesi yürüttüğü keşfedilebilir; bunların tek bir platformda birleştirilmesi hem maliyet hem de yönetişim yükü açısından tasarruf sağlar. Bu tür "gizli çakışmaların" ortaya çıkması, envanterin çoğu zaman ilk turda kendini amorti eden yanıdır.

Yatırımın önceliklendirilmesinde klasik bir yaklaşım, yüksek riskli sistemlere yönetişim yatırımını yoğunlaştırıp düşük riskli sistemlerde hafif kalmaktır. Bu, hem kaynak verimliliği hem de risk azaltımı açısından en yüksek getiriyi sağlar. Yönetişim bütçesini her sisteme eşit dağıtmak, hem yüksek riskli sistemleri yeterince korumaz hem de düşük riskli sistemleri gereksiz yavaşlatır. Riske orantılı yatırım, yönetişimin hem ekonomik hem de operasyonel olarak sürdürülebilir olmasının anahtarıdır.

Yukarıdaki her şeyi tek bir uygulanabilir kontrol listesine indirgeyelim. Bir kurum, ilk 90 günde aşağıdaki adımları tamamladığında işler bir temel yönetişime sahip olur.

Nasıl Yapılır

90 günlük yönetişim başlangıç kontrol listesi

Sıfırdan temel bir AI governance çerçevesini üç ayda kurmak için uygulanabilir kontrol listesi.

Toplam süre: P90D

1. 1

   Hafta 1-2: Sponsor ve envanter başlangıcı

   Üst yönetim sponsoru ata; kurum genelinde YZ kullanım envanteri toplamaya başla (anket + araç keşfi).

2. 2

   Hafta 3-4: İlke ve politika taslağı

   Beş-yedi YZ ilkesi ve tek sayfalık kabul edilebilir kullanım politikası taslağını yaz; paydaş görüşü al.

3. 3

   Hafta 5-6: Risk sınıflandırması

   Envanterdeki sistemleri düşük/orta/yüksek olarak sınıfla; EU AI Act seviyeleriyle hizala; yüksek riskli olanları işaretle.

4. 4

   Hafta 7-8: Komite ve RACI

   Çapraz fonksiyonel komiteyi kur, ilk toplantıyı yap; kritik faaliyetler için RACI matrisini tanımla.

5. 5

   Hafta 9-10: Yüksek risk kontrolleri

   Yüksek riskli sistemler için insan denetimi, DPIA (gerekiyorsa) ve denetim izini devreye al.

6. 6

   Hafta 11-12: İzleme ve KPI

   Temel KPI setini tanımla ve ilk ölçümü al; çeyreklik gözden geçirme ritmini takvimle.

Bu kontrol listesinin gücü, mükemmeli değil işleyeni hedeflemesidir. 90 günün sonunda kurumunuz her sorunu çözmüş olmaz; ama neyi yönettiğini bilir, en riskli sistemlerini kontrol altına almış olur ve bir gözden geçirme ritmi kurmuş olur. Bu üç şey, yönetişimin "kağıt üstünde" olmaktan "işler" olmaya geçtiği eşiktir. Ekiplerinizin bu çerçeveyi anlaması için yapay zeka okuryazarlığı temel bir önkoşuldur; bu yüzden yönetişim ile eğitim birlikte planlanmalıdır ve eğitim programları çerçevenin benimsenmesini hızlandırır.

Yüzlerce kurumda tekrar eden hataları bilmek, onlardan kaçınmanın en ucuz yoludur. En yaygın yedi hata şunlardır:

• Yönetişimi sadece hukuk belgesi sanmak: Bir politika PDF'i yazıp "yönetişimimiz var" demek. Envanter, sahip, komite ve ölçüm olmadan politika kağıt üstünde kalır ve gölge YZ'yi engellemez.
• Envanter olmadan başlamak: Neyi yönettiğinizi bilmeden risk sınıflandırması, izleme veya denetim kuramazsınız. Envanter atlanırsa çerçevenin temeli yoktur.
• Her şeye aynı ağırlıkta kontrol: Düşük riskli iç araçla yüksek riskli kredi modelini aynı incelemeye tabi tutmak, hem israf hem de yüksek riskli sistemlerin ihmalidir. Riske orantılılık şarttır.
• Yetkisiz komite: Karar veremeyen, sadece görüş bildiren bir komite yönetişimi tıkanma noktasına çevirir; ekipler komiteyi atlar.
• Formaliteye dönüşen insan denetimi: Sadece onay tuşuna basan bir "denetçi", denetim değil rubber-stamp'tir. Anlamlı gözden geçirme yetkinlik ve zaman ister.
• İzleme ve denetim izinin yokluğu: Yayına aldıktan sonra unutulan modeller sessizce bozulur; denetim geldiğinde kanıt yoktur. Denetim izi olmadan yönetişim iddiada kalır.
• Eğitimi atlamak: Çerçeve ne kadar iyi olursa olsun, çalışanlar anlamıyorsa uygulanmaz. Yönetişim, kültür ve okuryazarlıkla birlikte yürür.

Bu hataların ortak paydası şudur: yönetişimi bir belge veya proje olarak görmek, işleyen bir sistem olarak değil. Yönetişim canlı bir süreçtir; kurulur, ölçülür, gözden geçirilir ve yeni risklere (örneğin agentic AI ve otonom ajanların yükselişi, prompt injection gibi yeni saldırı yüzeyleri) göre güncellenir. Sekizinci ve belki en sinsi hata, yönetişimi tamamen merkezi bir "hayır makinesi" olarak kurmaktır: her şeyi tek bir kurulun onaylamasını beklemek, ölçek büyüdükçe darboğaz yaratır ve ekipleri kuralı çiğnemeye iter. Ölçeklenen yönetişim, merkezî ilkeler ile dağıtık uygulama arasında denge kurar; iş birimlerine kendi düşük riskli kararlarını verme yetkisi tanırken, yüksek riskli kararları merkeze taşır.

Bu hatalardan kaçınmanın pratik bir yolu, yönetişimi ilk günden itibaren ekiplerle birlikte tasarlamaktır. Tepeden inme, yalnızca hukuk ve uyum ekibinin yazdığı bir çerçeve, sahada çalışan veri bilimci ve iş birimi için genellikle gerçeklikten kopuk ve engelleyici hissedilir; sonuç, kağıt üstünde var olan ama pratikte atlanılan bir yönetişimdir. Buna karşılık, çerçeveyi gerçek kullanıcılarının (geliştiriciler, iş birimleri, son kullanıcılar) girdisiyle şekillendiren bir kurum, hem daha uygulanabilir hem de daha çok sahiplenilen bir yapı elde eder. Yönetişim, üzerine değil, birlikte kurulduğunda çalışır; bu katılımcı yaklaşım, belki de tüm yaygın hataların panzehiridir.

"Ölçemediğinizi yönetemezsiniz" ilkesi yönetişimin kendisi için de geçerlidir. İşleyen bir çerçeve, kendi sağlığını somut göstergelerle takip eder. Aşağıdaki KPI seti, yönetişimin kağıt üstünde mi yoksa gerçekten işler mi olduğunu gösterir.

Yapay zeka yönetişimi için temel KPI'lar

KPI	Ne ölçer	Neden önemli
Envanter kapsamı	Kayıtlı YZ sistemi / toplam tahmini sistem	Görünürlük; gölge YZ'nin ölçüsü
Risk sınıflandırma oranı	Sınıflandırılmış model yüzdesi	Kontrolün riske hizası
Zamanında gözden geçirme	Planlanan sürede yapılan gözden geçirme oranı	Model bozulmasını erken yakalama
İstisna sayısı ve kapanışı	Politika dışı kullanım ve çözüm süresi	Çerçevenin gerçekten uygulanması
İnsan müdahale oranı	Yüksek riskli kararlarda insan düzeltmesi	İnsan denetiminin anlamlılığı
Olay sayısı ve çözüm süresi	YZ kaynaklı olay ve kapanış hızı	Operasyonel dayanıklılık

Bu KPI'ların bir kısmı kapsam (envanter, sınıflandırma) bir kısmı süreç sağlığı (zamanında gözden geçirme, istisna) ve bir kısmı sonuç (olay sayısı, insan müdahalesi) ölçer. Sağlıklı bir yönetişim, üç kategoride de iyileşir. Örneğin, envanter kapsamı zamanla %100'e yaklaşmalı, istisna sayısı düşerken çözüm süresi kısalmalı ve olay sayısı azalmalıdır. Bu göstergeleri bir yönetişim panosunda toplamak, üst yönetime yönetişimin değerini gösterir ve bir sonraki yatırım kararını verilere dayandırır. Bir uyarı: KPI'ların kendisi de bir yönetişim riski taşır. Yalnızca kolay ölçülen göstergelere odaklanmak (örneğin "kaç politika yazıldı"), gerçek etkiyi ölçen ama zor toplanan göstergeleri (örneğin "gerçek karar kalitesi") gölgede bırakabilir. İyi bir yönetişim panosu, çıktı (output) metrikleri kadar sonuç (outcome) metriklerini de içerir.

AI governance nedir ve neden gerekli?

AI governance (yapay zeka yönetişimi), bir kurumun yapay zeka sistemlerini yasa, etik ve iş hedefine uyumlu, denetlenebilir ve riski yönetilen biçimde geliştirip işletmesini sağlayan politika, rol ve kontrol çerçevesidir. Gereklidir çünkü yönetişimsiz bir kurumda YZ kullanımı görünmez (gölge YZ), kişisel veri ihlali, ayrımcı çıktı, telif ve güvenlik riskleri denetimsiz büyür; ayrıca EU AI Act gibi düzenlemeler artık somut yükümlülükler getirir.

AI governance ile sorumlu yapay zeka arasındaki fark nedir?

Sorumlu yapay zeka bir değer ve ilke setidir (adalet, şeffaflık, hesap verebilirlik, güvenlik, gizlilik); AI governance ise bu ilkeleri kurumda işler kılan yapıdır: politikalar, roller, komiteler, envanter, risk süreçleri ve denetim. Kısaca sorumlu YZ "ne istediğimizi", governance "bunu kim, nasıl, hangi kontrolle sağlayacağını" tanımlar.

EU AI Act kurumumu nasıl etkiler?

EU AI Act, yapay zeka sistemlerini risk seviyesine göre sınıflandırır: kabul edilemez risk (yasak), yüksek risk (sıkı yükümlülük), sınırlı risk (şeffaflık) ve minimal risk. AB pazarına YZ ürünü/hizmeti sunan veya AB'deki kişileri etkileyen çıktı üreten Türkiye merkezli kurumlar da kapsama girebilir. Etki analizi, hangi sistemlerinizin hangi sınıfa düştüğünü belirlemekle başlar.

ISO/IEC 42001 nedir ve sertifikasyon şart mı?

ISO/IEC 42001, yapay zeka yönetim sistemi (AIMS) için uluslararası standarttır; ISO 27001'in bilgi güvenliği için yaptığını YZ yönetişimi için yapar: politika, roller, risk değerlendirmesi, kontroller ve sürekli iyileştirme döngüsü tanımlar. Sertifikasyon çoğu kurum için zorunlu değildir ama standardın çerçevesini benimsemek, denetlenebilir ve olgun bir yönetişim kurmanın hızlı yoludur.

Model envanteri neden yönetişimin kalbidir?

Model envanteri, kurumdaki tüm YZ sistemlerinin (kendi geliştirdiğiniz, satın aldığınız, gömülü ve gölge kullanımlar dahil) kayıtlı listesidir: sahibi, amacı, veri kaynağı, risk sınıfı, son gözden geçirme tarihi. Envanter olmadan neyi yönettiğinizi bilemezsiniz; risk sınıflandırması, izleme, denetim ve düzenleyici raporlama hepsi envantere dayanır. Bu yüzden envanter, olgunluğun ilk somut adımıdır.

KVKK, yapay zeka yönetişiminde nereye oturur?

KVKK (Kişisel Verilerin Korunması Kanunu), YZ sistemi kişisel veri işlediğinde devreye girer: hukuki dayanak, aydınlatma, veri minimizasyonu, saklama süresi ve otomatik karar verme sınırları. YZ yönetişim çerçevesi, KVKK yükümlülüklerini model envanteri, DPIA (veri koruma etki değerlendirmesi) ve erişim kontrolü üzerinden operasyonel hale getirir; böylece uyum, belge değil işleyen bir kontrol olur.

AI governance komitesinde kimler olmalı?

Etkili bir YZ yönetişim komitesi çapraz fonksiyoneldir: bir üst yönetim sponsoru (hesap verebilirlik), hukuk/uyum, veri koruma sorumlusu, bilgi güvenliği, ilgili iş birimi liderleri ve teknik taraftan veri bilimi/ML mühendisliği. Kritik olan, komitenin yalnızca danışman değil karar verici olması: model onayı, risk kabulü ve istisna yönetimi net yetkiyle komiteye bağlanmalıdır.

Küçük veya orta ölçekli bir kurum yönetişimi nasıl kurar?

Ağır bir çerçeveyle başlamayın. Üç adım yeterlidir: (1) tek sayfalık kabul edilebilir kullanım politikası ve bir model envanteri tablosu, (2) basit bir risk sınıflandırması (düşük/orta/yüksek) ve yüksek risk için insan denetimi zorunluluğu, (3) tek bir sahip ve üç aylık gözden geçirme ritmi. Olgunluk arttıkça ISO 42001 ve EU AI Act gereksinimleri kademeli eklenir.

AI governance yeniliği yavaşlatır mı?

İyi tasarlanmış yönetişim yavaşlatmaz, hızlandırır: düşük riskli kullanımlar için hafif ve hızlı onay, yalnızca yüksek riskli sistemler için ayrıntılı inceleme kurar (riske orantılı kontrol). Yönetişimsiz kurumlarda ekipler ya belirsizlikten dolayı hiç denemez ya da denetimsiz denemenin faturasını sonradan öder. Netlik, güvenli hızın önkoşuludur.

Yönetişimin başarısı nasıl ölçülür?

Somut KPI'larla: envantere kayıtlı sistem oranı, risk sınıflandırması tamamlanmış model yüzdesi, zamanında yapılan gözden geçirme oranı, politika ihlali/istisna sayısı ve kapanış süresi, insan denetimi gereken kararlarda müdahale oranı ve olay sayısı/çözüm süresi. Bu göstergeler, yönetişimin kağıt üstünde mi yoksa gerçekten işler mi olduğunu gösterir.

AI governance nedir sorusu bugün teknik bir merak değil, her kurumun yanıtlaması gereken stratejik bir zorunluluktur. Özetle ai governance nedir sorusunun cevabı şudur: yapay zeka sistemlerini yasalara, etik ilkelere ve iş hedeflerine uygun, denetlenebilir ve riski yönetilen biçimde geliştirip işleten bütünsel bir çerçeve. Bu çerçeve sekiz bileşenden oluşur — ilkeler, politikalar, roller/RACI, komite, risk yönetimi, model envanteri, izleme/denetim ve insan denetimi — ve EU AI Act, ISO/IEC 42001, NIST AI RMF ile Türkiye'de KVKK referanslarıyla beslenir. Yönetişim tek seferlik bir proje değil, envanterle başlayan ve ölçümle olgunlaşan bir yolculuktur.

Nereden başlanır? Bir sponsor atayın, bir envanter çıkarın ve tek sayfalık bir politika ile riske orantılı bir sınıflandırma kurun. Bu üç adım, çerçevenin kağıt üstünden işler hale geçtiği eşiktir. Derinleşmek için EU AI Act nedir, sorumlu yapay zeka nedir ve KVKK uyumlu yapay zeka rehberlerine bakabilir, kurumsal bir yönetişim çerçevesini yapılandırmak için yapay zeka danışmanlığı ile başlayabilir, ekiplerinizin çerçeveyi benimsemesi için öğrenme kaynaklarına göz atabilirsiniz. Doğru kurulmuş bir yönetişim, yapay zekayı bir riskten çıkarıp bir rekabet avantajına dönüştürür.

Kaynaklar

1. EU AI Act — Avrupa Birliği Yapay Zeka Yasası (resmi metin ve risk sınıflandırması)
2. ISO/IEC 42001 — Yapay Zeka Yönetim Sistemi Standardı
3. NIST AI Risk Management Framework (AI RMF 1.0)
4. KVKK — Kişisel Verileri Koruma Kurumu (resmi site)
5. Türkiye üretken YZ trafiğinde dünya birincisi — Euronews TR / Digital 2026