Kurumlar İçin Güvenli Yapay Zekâ: Fırsatlar ve Risk Yönetimi
16 Temmuz 2026 · Güncelleme: 10 Eylül 2026
Kurumlar için güvenli yapay zekâ, aracı yasaklamakla serbest bırakmak arasında bir tercih değildir. Güvenli kullanım, hangi işte, hangi veriyle, kimin onayıyla yapay zekâ kullanılacağının yazılı hâle getirilmesi ve denetlenebilmesidir. Bu yazı kurumsal karar vericiler için altı risk başlığını, her birinin somut karşılığını, ISO/IEC 42001 ile ISO/IEC 27001'in bu tabloda nereye oturduğunu ve sahada işleyen bir başlangıç sırasını anlatıyor.
Kurumsal yapay zekâ riski nedir?
Kurumsal yapay zekâ riski, bir kurumun kullandığı yapay zekâ sistemlerinin ürettiği ya da hazırladığı kararların veri gizliliği, ayrımcılık, açıklanabilirlik, güvenlik veya mevzuat açısından kuruma zarar verme ihtimalidir. Risk aracın kendisinden değil, aracın karar zincirindeki yerinden doğar.
Aynı sohbet robotu, bir tanıtım metninin taslağını yazarken düşük riskli; bir vatandaş başvurusunu önceliklendirirken yüksek risklidir. Bu yüzden "hangi yapay zekâ aracını kullanalım" sorusu, kurumsal düzeyde yanlış sorudur. Doğru soru şudur: bu sistemin çıktısı kimin hayatını, hangi ölçüde etkiliyor ve yanlış olduğunda kim fark ediyor?
Kurumları zorlayan altı risk başlığı
Kurumların yapay zekâ kullanımında karşılaştığı riskler altı başlıkta toplanır: veri gizliliği, algoritmik yanlılık, açıklanabilirlik, siber güvenlik, insan gözetimi ve mevzuat uyumu. Bunların hiçbiri teknik bir tercihle çözülmez; her birinin kurumsal bir karşılığı, bir sahibi ve bir kaydı olması gerekir.
Risk
Kurumda nerede görünür
İlk somut karşılığı
Veri gizliliği
Personelin kurum belgesini halka açık bir araca yapıştırması
Onaylı araç listesi ve hangi veri sınıfının hangi araca girebileceğini gösteren tablo
Karara katılan modelin alt gruplar bazında düzenli test edilmesi ve sonucun kayda geçmesi
Açıklanabilirlik
Finans, sağlık, hukuk ve kamu başvuruları
Kararın gerekçesini üretebilen bir kayıt düzeni ve tanımlı itiraz yolu
Siber güvenlik
Model, veri hattı ve üçüncü taraf eklentiler
Yetki tabanlı erişim, işlem kaydı, tedarikçi güvenlik değerlendirmesi
İnsan gözetimi
Uçtan uca otomatikleşmiş karar akışları
"İnsan onayı olmadan yürümez" listesi ve tanımlı durdurma yetkisi
Mevzuat uyumu
KVKK; AB pazarına dokunan hizmetlerde AB Yapay Zekâ Yasası
Kullanımdaki sistemlerin envanteri ve risk düzeyine göre sınıflandırılması
Tablodaki sağ sütun bilinçli olarak "eğitim alın" veya "politika yazın" demiyor. Her satırın karşılığı gösterilebilir bir çıktıdır: bir liste, bir test kaydı, bir sözleşme maddesi. Denetim de, müşteri de, düzenleyici de niyeti değil bu çıktıları sorar.
Güvenlik bir araç seçimi değil, yönetim sistemi işidir
Yapay zekâ riskini kalıcı biçimde yöneten şey araç yasağı değil, yönetim sistemidir: politikanın yazılı olduğu, riskin değerlendirildiği, rollerin tanımlandığı, kararların belgelendiği ve sistemin izlendiği bir döngü. İki uluslararası standart bu döngüyü tarif eder ve birbirinin yerine geçmez.
ISO/IEC 27001
ISO/IEC 42001
Konusu
Bilgi güvenliği yönetim sistemi
Yapay zekâ yönetim sistemi (AIMS)
Temel sorusu
Bilgi gizli, bütün ve erişilebilir mi?
Yapay zekâyı kim, hangi kurala göre yönetiyor?
Kontrol yapısı
2022 sürümünde Ek A'da dört tema altında 93 kontrol
Ek A'da dokuz grup altında 38 yapay zekâ kontrolü
Kurumda tipik ilk kazanım
Erişim yetkilendirmesi, veri sınıflandırması, olay yönetimi
Risk değerlendirmesi, rol tanımı, etki değerlendirmesi, yaşam döngüsü kontrolü
Yapay zekâya özgü mü?
Hayır, tüm bilgi varlıklarını kapsar
Evet, yapay zekâya özel ilk yönetim sistemi standardıdır
ISO/IEC 42001, ISO/IEC 27001'in yerine geçmez; onun bıraktığı boşluğu doldurur. Bilgi güvenliği "veri sızmasın" der, yapay zekâ yönetim sistemi "karar yanlış olmasın, yanlışsa kim düzeltecek belli olsun" der. İkisi arasındaki sıra kurumun profiline göre değişir; ayrıntısını ISO 27001 mi ISO 42001 mi, hangisi önce yazısında karşılaştırdık. Standardın kapsamı için ISO/IEC 42001 nedir rehberine bakabilirsiniz.
Bir uyarı: sertifika ile hukuki uyum aynı şey değildir. ISO/IEC 42001 belgesi AB Yapay Zekâ Yasası için uygunluk karinesi sağlamaz — gerekçesini ve güncel takvimi AB Yapay Zekâ Yasası ve ISO/IEC 42001 yazısında ayrıntılandırdık.
Uygulamada ne oluyor
Sahada en sık görülen hata, güvenlik ve etik başlıklarının programın sonuna, "vakit kalırsa" bölümüne konmasıdır. Oysa gerçek talep tersini gösterir.
Bir büyükşehir belediyesinin farklı birimlerinde yürütülen üretken yapay zekâ eğitiminde program, katılımcılara önceden uygulanan ihtiyaç analizi anketiyle tasarlandı. Personel ölçülen kullanım düzeyine göre iki gruba ayrıldı — temel ve ileri — ve iki grup aynı içeriği almadı; her grup iki gün, toplam on altı saat çalıştı. Anketin en dikkat çeken çıktısı beklenti maddelerindeydi: "etik", "gizlilik" ve "güvenilir" kavramları katılımcı beklentilerinde tekrar tekrar geçti. Bunun üzerine kurumsal veri gizliliği ve etik, her iki grupta da isteğe bağlı ek modül değil zorunlu modül olarak programa girdi.
Buradan çıkan ders kurumsal düzeyde geçerlidir: personel, kurum verisini bir yapay zekâ aracına yazarken tereddüt ediyor ve kural arıyor. Kural yoksa boşluğu kişisel tercih doldurur — bazı çalışan aracı hiç kullanmaz, bazısı her şeyi yapıştırır. Politikanın işlevi yasaklamak değil, bu tereddüdü ortadan kaldırmaktır.
Sekiz adımlık kurumsal yol haritası
Güvenli yapay zekâ programı, envanterle başlar ve izlemeyle sürer. Aşağıdaki sıra kurum büyüklüğünden bağımsız olarak işler; küçük kurumda aynı kişi birden fazla rolü üstlenebilir, ancak adımın sahibi ve çıktısı boş bırakılamaz.
#
Adım
Kim sahiplenir
Gösterilebilir çıktı
1
Envanter
Bilgi işlem ve birim temsilcileri
Kullanımdaki yapay zekâ sistemlerinin listesi
2
Risk sınıflandırması
Kalite veya uyum birimi
Her sistem için risk düzeyi ve gerekçesi
3
Politika
Üst yönetim
Yazılı yapay zekâ kullanım politikası
4
Veri kuralları
KVKK irtibat kişisi ve bilgi işlem
Veri sınıfı ile araç eşleşmesi tablosu
5
Farkındalık eğitimi
İnsan kaynakları ve eğitim birimi
Katılım kaydı ve ölçülmüş yetkinlik
6
İnsan gözetimi
Süreç sahipleri
Onay ve durdurma noktalarının tanımı
7
Tedarikçi yönetimi
Satın alma
Sözleşmede güvenlik, uyum ve sorumluluk maddeleri
8
İzleme ve gözden geçirme
İç denetim
Periyodik gözden geçirme kaydı
Sıralamayı bozmanın maliyeti yüksektir. Envanter çıkarmadan yazılan politika, kurumda fiilen kullanılan araçları kapsamaz; eğitimsiz uygulanan politika ise kâğıt üzerinde kalır. Yapay zekânın iş süreçlerine somut olarak nasıl yerleştiğini görmek için üretken yapay zekâ ile iş süreçlerini dönüştürmek yazısına bakabilirsiniz.
Birime göre ilk kontrol noktası
Birim
Öne çıkan risk
İlk kontrol
İnsan kaynakları
Aday değerlendirmesinde yanlılık
Nihai kararın insanda kalması ve modelin alt grup testinin kayda geçmesi
Müşteri hizmetleri
Kişisel veri ve şeffaflık
Karşıdaki kişinin yapay zekâ ile konuştuğunun açıkça bildirilmesi
Finans
Açıklanamayan karar
Ret veya limit kararının gerekçesinin üretilebilmesi
Sıralama ölçütünün yazılı olması ve itiraz yolunun tanımlanması
Bilgi işlem
Gölge kullanım ve eklentiler
Onaylı araç listesi ve üçüncü taraf eklenti denetimi
Kim için, kim için değil
Bu yaklaşım şu kurumlar için uygundur: yapay zekâyı fiilen kullanmaya başlamış, personelinin en az bir bölümü halka açık araçlara erişen, kişisel veri veya vatandaş verisi işleyen, kurumsal müşterisinden ya da denetçisinden yönetişim kanıtı istenen kurumlar.
Şu durumlarda erkendir: yapay zekâ kullanımı henüz tek bir pilot ekipte, kişisel veriye dokunmayan bir denemeyle sınırlıysa. Bu aşamada sertifikasyon değil, envanter ve temel farkındalık yeterlidir; yönetim sistemi kullanım yaygınlaştığında kurulur.
Hayır. Yasak, kullanımı kurumsal görünürlükten çıkarır ama ortadan kaldırmaz; personel kişisel cihazından ve kişisel hesabından aynı işi yapmaya devam eder. Bu durumda kurum verisi hâlâ dışarı gider, üstelik hiçbir kaydı tutulmaz. Etkili yol, onaylı araç listesi ve veri sınıflarına göre yazılmış açık bir kullanım kuralıdır.
Küçük bir kurum için ISO/IEC 42001 fazla ağır mı?
Standardın gereklilikleri kurumun bağlamına ve risk düzeyine göre ölçeklenir; küçük bir kurum aynı iskeleti çok daha az dokümanla kurar. Belgelendirmeye gitmeden de standardın yapısı yol haritası olarak kullanılabilir: envanter, risk değerlendirmesi, politika, rol tanımı ve izleme. Belge kararı, müşteri veya denetçi talebi ortaya çıktığında verilir.
Kendiliğinden aykırı değildir; belirleyici olan verinin niteliği, işleme amacı, hukuki dayanak ve verinin nereye aktarıldığıdır. Kişisel veri içeren metinlerin halka açık bir araca girilmesi aydınlatma ve aktarım açısından sorun yaratır. Pratik çözüm, veri sınıflarını tanımlayıp her sınıf için hangi aracın kullanılabileceğini önceden yazmaktır.
Türkiye'deki bir kurum AB Yapay Zekâ Yasası'ndan etkilenir mi?
Yasanın kapsamı coğrafi değil, pazara erişim temellidir. Sistemi AB pazarına sunuyorsanız veya çıktısı AB'de kullanılıyorsa kapsamdasınız. Pratikte baskı çoğu zaman düzenleyiciden değil müşteriden gelir: AB'li alıcı, tedarikçisinden yapay zekâyı nasıl yönettiğini gösteren kanıt ister.
Politika yazmak, çalışan eğitimi olmadan yeterli olur mu?
Yeterli olmaz. Politika kuralın ne olduğunu söyler, eğitim o kuralın günlük işte nasıl uygulanacağını gösterir. Sahada politikaların en sık ihlal edilme nedeni itiraz değil, kuralın somut iş akışına nasıl yansıdığının bilinmemesidir. Bu yüzden farkındalık eğitimi yol haritasında politika ile insan gözetimi arasında yer alır.
Nereden başlamalı
Güvenli yapay zekâ programı, hazır bir paketle değil kurumun kendi envanteriyle başlar. İlk hafta yapılabilecek en yararlı iş, hangi birimin hangi aracı fiilen kullandığını yazmak ve bu listeyi risk düzeyine göre sıralamaktır. Politika, eğitim ve gerekiyorsa belgelendirme bu listenin üzerine kurulur.
Yapay Zeka Okulum, kurumlara yapay zekâ farkındalığı ve güvenli kullanım eğitimleri veriyor; programlar hazır bir müfredattan değil, kurumda uygulanan ihtiyaç analizinden çıkıyor. Kurumunuzun mevcut durumuna göre bir program tasarlanmasını istiyorsanız eğitim talep formunu doldurabilirsiniz.
