Kurumda yapay zekâ kullanım envanteri nasıl çıkarılır?

Zeynep Hanım bir belediyenin bilgi işlem müdürlüğünde çalışıyor. Bir sabah müdürü basit bir soru sordu: Kurumda kim, hangi yapay zekâ aracını, ne için kullanıyor? Kimse tam cevap veremedi. Basın birimi afiş taslağı üretiyordu, insan kaynakları ilan metni yazdırıyordu, mali hizmetler tablo özetletiyordu.

Bu derste kurumunuz için bir yapay zekâ kullanım envanteri (AI inventory) çıkaracaksınız: sütunları belirleyecek, birimlerden kısa bir anketle bilgi toplayacak, her satıra sorumlu, veri türü, ön risk düzeyi ve gözden geçirme tarihi yazacaksınız. Riskleri tek tek analiz etmek ve ölçmek ayrı bir iştir. Buradaki soru daha temel: Elimizde ne var ve kim kullanıyor?

Bu ders genel bilgi verir; uzman görüşünün yerine geçmez.

Aklınıza bir soru mu takıldı?

Sorunuzu ya da aradığınız konuyu yazın Ders bul

Bu derste neler öğreneceksiniz?

• Bir kullanım envanterinin en az 10 sütununu tek cümlelik tanımlarıyla yazmak.
• Birimlere gönderilecek, kişi adı istemeyen 6 soruluk bir anket hazırlamak.
• Her kullanıma, girilen veri türüne göre düşük, orta ya da yüksek ön risk düzeyi vermek.
• Toplanan cevapları yapay zekâ yardımıyla tabloya dönüştürüp eksik ve çelişkili hücreleri işaretlemek.

Envanter neden ilk adımdır?

ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) Ocak 2023’te gönüllü kullanım için Yapay Zekâ Risk Yönetimi Çerçevesi’ni (AI Risk Management Framework, AI RMF) yayımladı. Çerçevenin dört işlevinden ilki olan Yönetişim (Govern) altında, kurumların yapay zekâ sistemlerinin envanterini çıkaracak düzenekler kurması ve buna risk önceliğine göre kaynak ayırması isteniyor (GOVERN 1.6). Aynı işlevde rollerin ve sorumlulukların yazılı ve herkes için açık olması bekleniyor (GOVERN 2.1). Haritalama (Map) işlevi ise sistemin amacının ve kullanılacağı ortamın anlaşılıp belgelenmesini istiyor (MAP 1.1).

Ekonomik Kalkınma ve İşbirliği Örgütü’nün (OECD) 2019’da kabul edip Mayıs 2024’te güncellediği yapay zekâ ilkelerinden biri de hesap verebilirlik (accountability). Bu ilke veri setleri, süreçler ve kararlar için izlenebilirlik (traceability) istiyor. Kimin neyi kullandığını bilmeyen kurum bunu izleyemez. Envanter bu yüzden bir fotoğraftır: risk kaydı bu fotoğrafa bakarak yazılır.

Envanterde hangi sütunlar olmalı?

• Birim: Aracı kullanan müdürlük ya da şube.
• Araç: Sohbet asistanı, görsel üretme aracı ya da bir yazılımın içindeki yapay zekâ özelliği.
• Hesap türü: Kişisel hesap mı, kurumun yönettiği iş hesabı mı?
• Amaç: Fiille başlayan tek cümle: duyuru taslağı yazmak, tablo özetlemek gibi.
• Girdi veri türü: Kamuya açık bilgi, kurum içi bilgi, kişisel veri (personal data), özel nitelikli kişisel veri ya da gizlilik dereceli bilgi.
• Çıktının gittiği yer: İç taslak, vatandaşa giden metin ya da bir karara dayanak.
• Kullanan rol ve kişi sayısı: Ad değil unvan yazın.
• Sorumlu: Satırdan hesap verecek kişinin unvanı.
• Ön risk düzeyi: Düşük, orta ya da yüksek.
• Gözden geçirme tarihi: Son kontrol tarihi ve bir sonraki kontrol tarihi.

Hesap türü sütunu sanıldığından daha önemlidir. OpenAI, iş sürümlerindeki ve geliştirici arayüzündeki (API) içeriği model eğitiminde kullanmadığını, bireysel hesaplarda ise bunun varsayılan olarak açık olduğunu ve kapatılabildiğini belirtiyor. Google da Workspace müşteri verisini önceden izin ya da talimat olmadan model eğitiminde kullanmadığını yazıyor. Yani aynı araç, hangi hesapla açıldığına göre envanterde iki ayrı satır olabilir. Bu ayarlar hesabınıza göre görünmeyebilir; ayrıntıyı kurumunuzun bilgi işlem birimiyle doğrulayın.

Ön risk düzeyini veri türü belirler

Envanterdeki risk düzeyi ayrıntılı bir ölçüm değil, nereden başlanacağını gösteren bir ön sınıflamadır. Kişisel Verileri Koruma Kurumu’nun üretken yapay zekâ rehberi burada iyi bir dayanak sunuyor: ad-soyad, adres, telefon ve kimlik bilgisi gibi verilerin bu araçlara girilmemesini, yurt dışındaki bir hizmet sağlayıcı kullanılıyorsa aktarımın 6698 sayılı Kanun’un 9. maddesine uygun olmasını, güvenlik risklerinin düzenli gözden geçirilmesini ve çalışanlara eğitim verilmesini öneriyor. Buna göre basit bir kural koyabilirsiniz:

• Yüksek: Girdide kişisel veri, özel nitelikli kişisel veri ya da gizlilik dereceli bilgi var veya çıktı vatandaşı etkileyen bir karara dayanak oluyor.
• Orta: Kurum içi bilgi giriliyor ya da çıktı dışarıya giden bir metne dönüşüyor.
• Düşük: Yalnızca kamuya açık bilgi kullanılıyor ve çıktı iç taslak olarak kalıyor.

Gözden geçirme aralığını da düzeye bağlayın; örneğin yüksek satırlara üç ayda, orta satırlara altı ayda, düşük satırlara yılda bir bakın.

Adım adım uygulama

1. Envanter sütunlarını sabitleyin. Yukarıdaki 10 sütun ve her birinin tek cümlelik tanımı tek sayfada yazılıysa bu adım tamamdır.
2. Birimlere altı soruluk kısa bir anket gönderin: Hangi aracı kullanıyorsunuz? Hangi hesapla? Ne için? Araca hangi bilgileri giriyorsunuz? Çıktı nereye gidiyor? Birimde bundan kim sorumlu? Ad değil unvan isteyin. Her birimden ya cevap ya da kullanmıyoruz notu geldiyse tamamdır.
3. Cevaplarda kişi adı ya da başka kişisel veri kaldıysa çıkarın, sonra güçlü komutla kurumunuzun izin verdiği araca verin. Tablo oluştuysa ve boş bilgiler Eksik diye işaretlendiyse tamamdır.
4. Eksik ve çelişkili satırlar için ilgili birimle kısa bir görüşme yapın; ön risk düzeyini aracın önerisine bırakmadan kendiniz onaylayın. Eksik hücre kalmadıysa ve her yüksek satırın sorumlusu satırı gördüğünü onayladıysa tamamdır.
5. Envanteri yetkili amirinize sunun, gözden geçirme tarihlerini takvime işleyin ve yeni bir araç kullanılmaya başlandığında satır eklenmesini kural hâline getirin. Tablonun sahibi ve güncelleme sıklığı yazılı olduğunda iş bitmiştir.

Sık yapılan hatalar

• Yalnızca kurumun satın aldığı araçları saymak. Kişisel hesapla açılan araçlar ve kullanılan yazılımların içine eklenen yapay zekâ özellikleri böylece görünmez kalır.
• Aynı aracı tek satıra yazmak. Hesap türü, amaç ya da veri türü farklıysa riski de farklıdır; ayrı satır açın.
• Envanteri bir kez çıkarıp bırakmak. Tarihi boş kalan tablo birkaç ayda eskir.

Kendinizi deneyin

Kaynaklar

• AI RMF Core, NIST (İngilizce)
• Artificial Intelligence Risk Management Framework (AI RMF 1.0), NIST (İngilizce)
• OECD AI Principles overview, OECD (İngilizce)
• Accountability (Principle 1.5), OECD (İngilizce)
• Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda), KVKK (Türkçe)
• How your data is used to improve model performance, OpenAI (İngilizce)
• Generative AI in Google Workspace Privacy Hub, Google (İngilizce)

Son kontrol: 13 Kasım 2026. Bu bilgi 13.11.2026 tarihli kaynaklara dayanır; durum değişebilir.

Kaynak: yzdersleri.com/ders/kurumda-yapay-zeka-kullanim-envanteri/ · Yapay Zeka Dersleri