Sistem kartı okumak: güvenlik değerlendirmesinde neye bakılır?

Zeynep Hanım, bir lojistik firmasının bilgi teknolojileri biriminde çalışıyor. Yönetim, müşteri yazışmalarında kullanmak için yeni çıkan bir yapay zekâ modelini değerlendirmesini istiyor. Tanıtım yazıları yalnız başarıları anlatıyor. Zeynep Hanım ise modelin nerede hata yaptığını, nasıl sınandığını ve hangi riskleri taşıdığını bilmek istiyor.

Bu bilgilerin önemli bir kısmı, büyük şirketlerin yeni modellerle birlikte yayımladığı sistem kartlarında (system card) ya da model kartlarında (model card) yer alır. Bu belgeler çoğu zaman uzun ve tekniktir. Bu derste bir kartın genel yapısını, hangi bölümün hangi soruya cevap verdiğini ve kendi kararınız için neleri sormanız gerektiğini öğreneceksiniz.

Aklınıza bir soru mu takıldı?

Sorunuzu ya da aradığınız konuyu yazın Ders bul

Bu derste neler öğreneceksiniz?

• Model kartı fikrinin nereden çıktığını ve neyi belgelemeyi amaçladığını açıklamak.
• OpenAI, Anthropic ve Google’ın kartlarında sık görülen dört alanı ayırt etmek.
• Bir kartta kendi işinizi ilgilendiren bulguyu bulup kısa bir paragrafla özetlemek.
• Karar vermeden önce karttan cevabını alamadığınız en az üç soruyu yazmak.

Model kartı fikri nereden geldi?

Margaret Mitchell ve arkadaşları 2018’de, eğitilmiş makine öğrenmesi modellerine eşlik edecek kısa belgeler önerdi ve bunlara model kartı adını verdi. Çalışma 2019’da FAT* konferansında yayımlandı. Fikir basitti: Modelin yaş ya da kültür gibi farklı gruplarda nasıl çalıştığı, hangi amaçla kullanılmak üzere tasarlandığı ve nasıl değerlendirildiği modelle birlikte yazılı olarak sunulmalı.

Büyük şirketlerin bugünkü kartları bu fikrin genişlemiş hâlidir. Anthropic, sistem kartlarının modellerin yeteneklerini, güvenlik değerlendirmelerini ve sorumlu dağıtım kararlarını belgelediğini söyler. Google DeepMind, model kartlarını gelişmiş bir modelin nasıl tasarlandığını ve değerlendirildiğini anlatan yapılandırılmış özetler olarak tanımlar. OpenAI ise sistem kartlarını Dağıtım Güvenliği Merkezi (Deployment Safety Hub) adlı ayrı bir sitede toplar.

Bir kartta hangi bölümler olur?

Başlıklar şirketten şirkete değişir, ama çoğu kartta şu dört alana rastlarsınız:

• Kullanım amacı ve sınırlılıklar: Google DeepMind’ın model kartlarında, örneğin Gemini Omni Flash kartında, model bilgisi, eğitim verisi, dağıtım kanalları, kullanım amacı ve sınırlılıklar ayrı başlıklardır. Sınırlılık bölümü, modeli nerede kullanmamanız gerektiğini anlatır.
• Standart güvenlik değerlendirmeleri: OpenAI’ın ChatGPT ajanı için yayımladığı kartta izin verilmeyen içerik, güvenlik kurallarını atlatma girişimleri (jailbreak), uydurma bilgi üretme yani halüsinasyon (hallucination), farklı dillerdeki davranış ile adalet ve yanlılık ölçümleri yer alır.
• Kırmızı takım (red teaming): Uzmanların modeli bilerek kötüye kullanmaya çalıştığı sınamalardır. Aynı kartta biyolojik risk ve istem enjeksiyonu (prompt injection) için yapılan insan kırmızı takım çalışmalarının özeti bulunur.
• Ciddi risk eşikleri: Şirketlerin kendi güvenlik çerçevelerine göre yaptığı değerlendirmelerdir. OpenAI, Hazırlık Çerçevesi (Preparedness Framework) kapsamında biyolojik ve kimyasal risk, siber güvenlik ve yapay zekânın kendini geliştirmesi alanlarına bakar. Google’ın Öncü Güvenlik Çerçevesi (Frontier Safety Framework) Kritik Yetenek Düzeyleri (Critical Capability Levels) tanımlar; Google DeepMind, bu düzeylere ulaşıldığında modeli dışarıya açmadan önce bir güvenlik vakası incelemesi (safety case review) yaptığını belirtir.

Bu bölümlerde somut sınıflandırmalar görürsünüz. Örneğin OpenAI, ChatGPT ajanını biyolojik ve kimyasal alanda Yüksek yetenek düzeyinde sınıflandırmış, siber güvenlik sonuçlarının bu eşiğin altında kaldığını yazmıştır. Gemini Omni Flash kartında bu tür sonuçlar Öncü Güvenlik Değerlendirmesi (Frontier Safety Assessment) başlığında özetlenir.

Kartı kendi işinize göre okumak

Kartın tamamını okumanız gerekmez. Önce modeli nasıl kullanacağınızı yazın, sonra yalnız ilgili bölümlere bakın. Model sizin adınıza web’de işlem yapacaksa ürüne özgü riskler bölümünü açın: OpenAI’ın ajan kartı, istem enjeksiyonu ve ajan hatalarına karşı kullanıcıdan onay isteme ve izleme modu gibi önlemleri anlatır. Türkçe müşteri yazışması yapacaksanız dillere göre sonuçlara ve halüsinasyon ölçümlerine bakın.

Okurken üç şeyi aklınızda tutun. Kart, şirketin kendi yayımladığı belgedir; bağımsız bir denetim raporu değildir. Kartta bir alanın ölçülmemiş olması, o alanda risk olmadığı anlamına gelmez. Sonuçlar belirli bir model ve tarih içindir; model güncellendiğinde yeni karta bakın. Hesabınızda görünen model, okuduğunuz kartın anlattığı modelle aynı olmayabilir.

Adım adım uygulama

1. Kullanımı yazın: Model ne yapacak, kimlerle yazışacak, hangi dilde çalışacak, kendi başına işlem yapacak mı? Paragraf bu dört soruya cevap verdiğinde bu adım tamamdır.
2. Resmî kartı bulun: Anthropic’in sistem kartları sayfasına, OpenAI’ın Dağıtım Güvenliği Merkezi’ne ya da Google DeepMind’ın model kartları sayfasına bakın. Kullanacağınız modelin kartını ve yayım tarihini not ettiğinizde tamamdır.
3. Sınırlılıkları okuyun: Kullanımınızla çelişen bir sınırlılığı not ettiğinizde ya da çelişki olmadığını yazdığınızda tamamdır.
4. İki değerlendirme seçin: İşinizi ilgilendiren iki başlıkta neyin ölçüldüğünü ve sonucu kendi cümlelerinizle yazdığınızda tamamdır.
5. Risk bölümüne bakın: Kırmızı takım ve risk eşikleri bölümünde modelin hangi alanda hangi düzeyde sınıflandırıldığını ve hangi ek önlemlerin alındığını not ettiğinizde tamamdır.
6. Açık soruları listeleyin: Kartta cevabı olmayan en az üç soruyu yazıp kimin cevaplayacağını ya da hangi denemeyle sınanacağını belirttiğinizde tamamdır.

Sık yapılan hatalar

• Yalnız tanıtım yazısına ya da başarı tablosuna bakıp sınırlılıklar bölümünü atlamak.
• Kartı bağımsız bir denetim raporu gibi okumak ve kendi küçük denemenizi yapmamak.
• Eski bir modelin kartına bakarak yeni bir model hakkında karar vermek.

Kendinizi deneyin

Kaynaklar

• Model Cards for Model Reporting, Mitchell ve arkadaşları, arXiv (İngilizce)
• Model system cards, Anthropic (İngilizce)
• ChatGPT Agent System Card, OpenAI Deployment Safety Hub (İngilizce)
• Model cards, Google DeepMind (İngilizce)
• Gemini Omni Flash Model Card, Google DeepMind (İngilizce)
• Strengthening our Frontier Safety Framework, Google DeepMind (İngilizce)

Son kontrol: 12 Kasım 2026. Bu bilgi 12.11.2026 tarihli kaynaklara dayanır; durum değişebilir.

Kaynak: yzdersleri.com/ders/sistem-karti-okumak-guvenlik-degerlendirmesi/ · Yapay Zeka Dersleri