Kurumsal kabul ve sorumluluk

Kurum bir yapay zekâ ürünü alırken iki soru sorar. Bu ürün işimi görüyor mu? Bu ürün beni riske atıyor mu? İkinci soruya cevap veren belge yoksa satın alma tıkanır, teknik ekip ne kadar memnun olursa olsun.

Altay Kargo'nun hukuk ekibi, gelen sözleşmeleri özetleyen bir LLM ürünü almak istiyor. Ürün bulutta çalışıyor, sözleşme metinlerini okuyor ve riskli maddeleri işaretliyor. Metinlerde müşteri adları, imza yetkilileri ve banka bilgileri var.

Değerlendirmeyi sen yürüteceksin. Elinde bir demo, tedarikçinin güvenlik sayfası ve taslak bir sözleşme var. Hukuk ekibi iki hafta içinde başlamak istiyor, satın alma ise belgeleri bekliyor.

Tedarikçi değerlendirmesi ikinci sorunun cevabını toplar. Sorular sıkıcıdır ama boş değildir.

Veri nerede işlenir, kimler erişir, kayıtlar ne kadar tutulur? Model eğitiminde müşteri verisi kullanılır mı, bağımsız bir güvenlik testi yapıldı mı, olay bildirim süresi nedir? Her soru tek bir riske bağlıdır. Eğitim kullanımı, verinin başka müşterilere cevap olarak dönme riskini taşır.

Saklama süresi, olası bir sızıntının büyüklüğünü belirler. Bildirim süresi de senin kendi yasal sürelerini tutturup tutturamayacağını belirler. Cevabı belgeyle iste. Satış sunumundaki cümle değil, sözleşme eki ya da bağımsız rapor kanıttır.

Bu iki soruyu çoğu kurumda ayrı ekipler sorar ve ekipler genelde konuşmaz. Ürün ekibi demoyu izler ve özelliği beğenir, güvenlik ekibi ise sözleşmeyi ve veri akışını ister. İkisi buluşmazsa iki sonuçtan biri çıkar. Ya iyi bir ürün riskli biçimde canlıya çıkar ya da güvenli ama gecikmiş bir onay süreci ürünü öldürür.

Değerlendirmeyi tek bir listeye bağlamak bu çatışmayı erken çözer. Liste her iki ekibin de imzasını taşır. Aşağıdaki tablo, sözleşme özetleme ürünü için doldurulmuş böyle bir listeden bir kesittir.

soru                         tedarikci cevabi                 degerlendirme
veri nerede islenir          AB bolgesi, yedek ABD            acik: yedek de aktarim demek
musteri verisi egitimde mi   kurumsal planda kapali           kanit iste: sozlesme maddesi
kayit saklama suresi         30 gun, sonra silinir            kabul, yedekler dahil mi sor
bagimsiz guvenlik testi      yillik sizma testi, ozet rapor   kabul, LLM kapsami var mi sor
olay bildirim suresi         makul surede                     red: saat cinsinden yazilsin
alt yuklenici listesi        talep halinde                    red: yazili liste ve degisiklik bildirimi

Tabloyu satır satır oku. İlk satırda veri Avrupa'da işleniyor, ama yedekler başka bir ülkede duruyor. Yedek de bir aktarımdır ve kendi hukuki dayanağını ister.

İkinci satırda eğitim kullanımı kurumsal planda kapalı. Bunun bir ayar mı yoksa sözleşme maddesi mi olduğunu öğren. Ayarlar değişir, imzalı madde değişmez.

Üçüncü ve dördüncü satırlar kabul edilebilir, ama birer takip sorusu taşır. Yıllık sızma testi LLM'e özgü saldırıları kapsamıyor olabilir.

Beşinci satırdaki "makul sürede" ifadesi bir taahhüt değildir. Senin bildirim süren saatle ölçülüyorsa tedarikçininki de saatle yazılmalı. Altıncı satırdaki "talep hâlinde" ifadesi, zincirin sana kapalı olduğunu söyler.

Alt yüklenici zinciri çoğu zaman gözden kaçar. Aldığın ürün bir model sağlayıcısını çağırıyor, o sağlayıcı da başka bir altyapıda çalışıyor olabilir. Araya bir gözlemlenebilirlik hizmeti, bir vektör veritabanı ve bir destek aracı da girebilir.

Her halka verinin bir kopyasını görebilir. Verinin gerçek yolculuğunu görmeden riski ölçemezsin. Zinciri yazılı iste ve değiştiğinde önceden haber verilmesini şart koş.

Zinciri öğrenmenin pratik yolu, tedarikçiden veri akış şemasını istemektir. Şemada her halkanın adı, rolü ve verinin hangi ülkede durduğu yazar. Tedarikçi model sağlayıcısını değiştirdiğinde veri başka bir şirketin sunucusuna, belki başka bir ülkeye gider. Senin için bu yeni bir tedarikçi demektir.

Sorumluluğun kimde olduğunu netleştirmek için hazır çerçevelerden yararlanabilirsin. Bulut Güvenliği İttifakı'nın (CSA) Temmuz 2025'te yayımladığı Yapay Zekâ Kontrol Matrisi, 18 alanda 243 kontrol hedefi tanımlar. Matris beş rol ayırır: model sağlayıcı, orkestrasyon hizmeti sağlayıcısı, uygulama sağlayıcısı, yapay zekâ müşterisi ve bulut sağlayıcı. Her kontrol için hangi rolün ne yapacağı yazılıdır.

Matrisle gelen soru formunu tedarikçi değerlendirmesinde doğrudan kullanabilirsin. KVKK'nın üretken yapay zekâ rehberi de benzer bir uyarı yapar. Bir tarafın veri sorumlusu mu veri işleyen mi olduğunu sözleşmedeki ifade değil, işleme üzerindeki fiili kontrol belirler.

Sözleşme tarafında dört başlık öne çıkar: veri işleme şartları, güvenlik yükümlülükleri, olay bildirimi ve denetim hakkı. Veri işleme şartları, verinin hangi amaçla, nerede ve ne kadar süre işleneceğini yazar. Güvenlik yükümlülükleri şifreleme, erişim denetimi ve düzenli test gibi somut önlemleri sayar.

Olay bildirimi süreyi saatle verir. Denetim hakkı ise diğer üç başlığı sınanabilir kılar. Denetim hakkı olmadan geri kalan maddeler kâğıt üstünde kalır, çünkü doğrulama yolun olmaz.

Denetim her zaman yerinde inceleme demek değildir. Bağımsız bir denetim raporu ya da belge talebi de bu hakkın parçası olabilir.

Hizmet seviyesi taahhüdü de burada geçer. Ama LLM ürününde çalışma süresi tek ölçü değildir. Yanıt kalitesinin düşmesi, modelin sürüm değiştirmesi ve filtre davranışının değişmesi de seni etkiler. Dün reddedilen bir enjeksiyon kalıbı, sağlayıcının sessiz bir güncellemesinden sonra geçebilir.

Sağlayıcının model sürümünü haber vermeden değiştirmemesini iste ve önemli değişiklikten önce test için süre talep et. Eğitimde kullanmama taahhüdünü yalnız politika metnine bırakma; sözleşmeye ve ürün ayarına birlikte yazdır. Sözleşme bittiğinde verinin ne kadar sürede silineceği ve silmenin nasıl belgeleneceği de ayrı bir madde olsun.

7.2  Saglayici, kullanilan model surumunu degistirmeden en az 30 gun once
     Musteriye yazili bildirim yapar ve test ortami saglar.
7.3  Musteri verisi model egitiminde, ince ayarda ve degerlendirmede kullanilmaz.
8.1  Saglayici, guvenlik olayini ogrendigi andan itibaren 24 saat icinde bildirir.
9.4  Sozlesme sona erdiginde veriler 30 gun icinde silinir ve silme belgelenir.
10.1 Musteri yilda bir kez bagimsiz denetim raporu talep edebilir.

Maddeleri tek tek oku. 7.2, sessiz model değişikliğine karşı bir test penceresi açar. 7.3 yalnız eğitimi yasaklamakla kalmaz, ince ayarı ve değerlendirmeyi de sayar.

Yalnız eğitim yazan bir madde öbür iki kullanımı açık bırakır. 8.1 makul süre yerine saat verir. Bu süre, senin kendi bildirim süreni rahatça tutturmana yetecek kadar kısa olmalı.

9.4 silmeyi bir tarihe ve bir belgeye bağlar. 10.1 denetim hakkını somut bir talep yoluna çevirir. Beş maddenin ortak özelliği ölçülebilir olmalarıdır. Ölçülemeyen bir maddenin ihlalini kanıtlayamazsın.

Sorumluluk sınırı en çok tartışılan yerdir. Model yanlış bir cevap verdi ve müşteri zarar gördü, kim sorumlu? Pratikte sorumluluğun büyük bölümü ürünü kullanıcıya sunan tarafta kalır, çünkü kullanıcıyla ilişkiyi o kurar.

Sağlayıcı sözleşmesi genelde sorumluluğu dar tanımlar ve tazminatı bir üst sınıra bağlar. Kişisel veri tarafında KVKK da benzer bir çizgi çeker.

Veri sorumlusu, veriyi kendi adına işleyen kişiyle birlikte güvenlik önlemlerinden müştereken sorumludur. Yani sağlayıcının hatası seni sorumluluktan kurtarmaz. Sözleşmedeki sorumluluk maddesi kullanıcıya karşı yükümlülüğünü ortadan kaldırmaz. Yalnız seninle tedarikçi arasındaki paylaşımı düzenler.

Bu yüzden tasarımda savunma yaparsın. Modelin çıktısını nihai karar olarak sunma. Finansal, hukuki veya sağlıkla ilgili alanlarda insan onayı katmanı koy.

Çıktının kaynağını göster ki kullanıcı doğrulayabilsin. Sözleşme özetleme ürününde bu şu anlama gelir. Model riskli maddeyi işaretler, ama madde numarasını ve metnin ilgili kısmını da gösterir.

Avukat işaretli maddeyi kaynağıyla birlikte okur ve kararı kendisi verir. Model yanılırsa hata bir öneride kalır, karara dönüşmez. Etiketleme ve özetleme gibi geri alınabilir işler ise modele bırakılabilir.

İnsan onayının kendisi de bir kontroldür ve o da bozulabilir. Model çoğu zaman doğru çıktığında onaylayan kişi önerileri okumadan kabul etmeye başlar. Buna otomasyon yanlılığı denir.

Onay oranı yüzde doksan dokuza yaklaştıysa onay adımı göstermelik hâle gelmiş olabilir. Bunu önlemek için onay ekranında kaynağı göster ve onaylayan kişiden kısa bir gerekçe iste. Kararların bir kısmını ikinci bir kişiye örneklemeyle denetlet.

Onay sayısını, red oranını ve ortalama inceleme süresini de izle. On saniyede onaylanan bir sözleşme maddesi gerçekten okunmamıştır.

Düzenleyici beklentileri sektöre göre değişir. Finans, sağlık ve kamu tarafında yapay zekâ kullanan bir sürecin açıklanabilir olması ve kaydının tutulması beklenir. Ortak payda şudur: kararın nasıl verildiğini sonradan gösterebilmen istenir.

Bazı düzenleyiciler kararın arkasındaki modelin envanterini, sürümünü ve doğrulama sonuçlarını da görmek isteyebilir. KVKK da kişiye, yalnız otomatik sistemlerle yapılan bir analizin aleyhine sonuç doğurmasına itiraz hakkı tanır. Bir kredi başvurusu reddedilirse, hangi girdinin sonucu etkilediğini adım adım gösterebilmen gerekir.

Modelin iç ağırlıklarını göstermek zorunda değilsin. Ama girdi, karar ve gerekçe zincirini yeniden kurabilmelisin.

{"karar_id":"KR-0930-0412","zaman":"2026-09-30T14:12:09Z",
 "model":"saglayici-model-2026-06","prompt_surum":"sozlesme-ozet-v7",
 "girdi_ozet":{"belge":"SZ-8812","sayfa":14,"ozet_hash":"sha256:9f2c...e1"},
 "model_onerisi":{"madde":"11.3","etiket":"sinirsiz_sorumluluk","guven":"orta"},
 "insan_onayi":{"kisi":"hukuk_u17","karar":"kabul","not":"karsi tarafa revizyon onerildi"},
 "uygulanan":"revizyon_talebi_gonderildi"}

Kaydı satır satır oku. Karar kimliği ve zaman, kararı tek bir ana bağlar. Model ve prompt sürümü, aynı girdinin hangi koşulda bu çıktıyı ürettiğini sabitler. Sağlayıcı modeli değiştirirse fark buradan görünür.

Girdi özeti belgenin kendisini değil, kimliğini ve özetini tutar; denetimde belge arşivden çağrılır. Model önerisi alanı modelin ne dediğini, insan onayı alanı ise kimin neye karar verdiğini ayrı yerde tutar. Bu ayrım sorumluluk tartışmasının cevabıdır: öneri modelden, karar insandan gelmiştir.

Son satır sistemin gerçekte ne yaptığını yazar. Denetim geldiğinde anlatı değil, bu kayıt istenir. Kayıt yoksa en iyi tasarım bile savunulamaz.

Bu disiplin, NIST'in yapay zekâ risk yönetimi çerçevesiyle de örtüşür. Çerçeve işi dört işleve ayırır: yönetişim, haritalama, ölçme ve yönetme. Tedarikçi soruları haritalamaya, pilot kayıtları ölçmeye, sözleşme ve insan onayı ise yönetmeye denk düşer.

Rolleri ve sorumlulukları yazmak da yönetişimin işidir. Aynı sıra küçük bir satın almada da işler. Ücretsiz bir tarayıcı eklentisi bile sözleşme metnini okuyorsa aynı soruları sorarsın, yalnız kapsamı küçültürsün. Büyüklük ölçeği değiştirir, adımların sırasını değiştirmez.