Yapay zekâ olay müdahale planı: ilk 24 saatte kim ne yapar?

Murat Bey, bir ilçe belediyesinin vatandaş iletişim biriminde çalışıyor. Pazartesi sabahı kurumun sohbet asistanının bir vatandaşa itiraz süresini yanlış söylediğini fark ediyor. Aynı gün bir çalışanın, ad, adres ve telefon bilgisi bulunan bir başvuru listesini kurumun onaylamadığı bir yapay zekâ aracına yapıştırdığı ortaya çıkıyor. Herkes bir şey yapmak istiyor, ama kimin neyi hangi sırayla yapacağını bilen yok.

Bu derste kurumunuzda yapay zekâ aracıyla ilgili bir olay (incident) yaşandığında ilk 24 saati yönetecek kısa bir plan hazırlayacaksınız. Planı tespit, kayıt, durdurma, bildirme ve ders çıkarma adımlarına böleceksiniz; her adıma bir sorumlu, bir yedek kişi ve bir saat aralığı yazacaksınız.

Bu ders genel bilgi verir; uzman görüşünün yerine geçmez.

Aklınıza bir soru mu takıldı?

Sorunuzu ya da aradığınız konuyu yazın Ders bul

Bu derste neler öğreneceksiniz?

• Yapay zekâ olayını olası tehlikeden (hazard) ayırıp kurumunuzdaki durumu üç olay türünden birine yerleştirmek.
• İlk 24 saat için beş adımlı bir müdahale akışını rol ve saatleriyle yazmak.
• Kişisel veri sızdığında KVKK’ya bildirimin 72 saatlik sınırını ve kayıt yükümlülüğünü plana işlemek.
• Olay sonrası toplantının çıktısını tek sayfalık bir ders çıkarma notuna dönüştürmek.

Yapay zekâ olayı nedir, neden ayrı bir plan gerekir?

OECD’nin Yapay Zekâ Olayları İzleyicisi (AI Incidents Monitor), bir yapay zekâ sisteminin geliştirilmesi, kullanılması ya da arızalanması yüzünden doğrudan veya dolaylı olarak gerçek bir zarar doğan durumu olay sayar. Henüz zarar doğmamış ama doğurması makul görünen duruma ise tehlike der. Zararlar arasında insanlara verilen zarar, kritik altyapının aksaması, temel haklara ya da yasalara aykırılık ve mülke, topluluğa veya çevreye verilen zarar sayılır.

Kurum içinde bu tanım genellikle üç türe ayrılır:

• Yanlış ya da zarar verici yanıt: Araç vatandaşa veya müşteriye yanlış süre, yanlış kural ya da kırıcı bir ifade söyler.
• Veri sızıntısı: Kişisel ya da gizli bilgi izinsiz bir araca yüklenir, yanıtlarda başkasına görünür ya da aracı başka sistemlere bağlayan anahtar ele geçer.
• Kötüye kullanım: Araç sahte belge, oltalama (phishing) e-postası ya da yanıltıcı içerik üretmek için kullanılır.

Klasik bilgi güvenliği planları ikinci ve üçüncü türü kısmen kapsar, ama yanlış yanıt gibi saldırı içermeyen durumları çoğu zaman dışarıda bırakır. NIST’in Yapay Zekâ Risk Yönetimi Çerçevesi (AI RMF), Yönet (Manage) işlevinde amaçlanan kullanımın dışına çıkan sistemleri devreden çıkaracak düzeneklerin hazır olmasını ve sorumlulukların önceden atanıp anlaşılmasını ister. Olayların ve hataların etkilenen topluluklar dahil ilgili taraflara iletilmesini, izleme, müdahale ve toparlanma süreçlerinin de belgelenmesini bekler.

İlk 24 saat: beş adım, beş sorumlu

NIST’in 2025’te yayımladığı SP 800-61 rehberinin üçüncü sürümü, olay müdahalesini tespit, müdahale ve kurtarma işleri olarak ele alır; hazırlığı ise yönetişim, tanımlama ve koruma işlerinin parçası sayar. Kısacası plan olay günü yazılmaz, önceden yazılır. Aşağıdaki akış küçük ve orta ölçekli bir kurum için uyarlanmış bir örnektir:

1. Tespit (0–1. saat): Olayı ilk gören kişi, görevi ne olursa olsun, önceden belirlenmiş tek kanaldan haber verir. Olay sorumlusu türü ve etkiyi kabaca belirler.
2. Kayıt (1–2. saat): Komut ve yanıt metni, ekran görüntüsü, tarih ve saat, kullanılan hesap ve etkilenen kişi sayısı tahmini olay kaydına yazılır. Sohbet geçmişi silinmez.
3. Durdurma (2–4. saat): Sorunlu özellik, bağlantı ya da hesap geçici olarak kapatılır; sızan anahtar iptal edilip yenisi üretilir.
4. Bildirme (4–24. saat): Kişisel veri söz konusuysa kurumun veri sorumlusu adına yetkili kişi KVKK sürecini başlatır. Siber olay boyutu varsa bilgi işlem birimi USOM bildirim yolunu işletir; USOM’un siber ihbar hizmetleri artık siberguvenlik.gov.tr adresinden yürüdüğü için güncel yolu oradan kontrol edin. Etkilenen kişilere yapılacak açıklamanın taslağı hazırlanır.
5. Ders çıkarma (ilk hafta içinde): Olay kapanınca kısa bir toplantıda ne olduğu, neden olduğu ve neyin değişeceği yazılır. NIST, bütün işlerden çıkan derslerin iyileştirme adımına aktarılmasını ve oradan diğer işlere geri beslenmesini önerir.

Bildirim süreleri ve kayıt

KVKK’nın veri ihlali bildirimi duyurusuna göre veri sorumlusu, ihlali öğrendiği andan itibaren gecikmeden ve en geç 72 saat içinde Kurul’a bildirim yapar. Bildirim Kurul’un hazırladığı formla yapılır; bütün bilgiler aynı anda toplanamıyorsa aşamalı olarak iletilebilir. Haklı bir nedenle 72 saat aşılırsa gecikmenin nedeni de açıklanır. Etkilenen kişiler belirlendikten sonra onlara makul sürede haber verilir. İhlalin etkileri ve alınan önlemler kayda geçirilip Kurul incelemesine hazır tutulur. Aynı duyuru, veri işleyenin ihlali gecikmeden veri sorumlusuna bildirmesini ve bir veri ihlali müdahale planı hazırlanıp düzenli gözden geçirilmesini de ister.

Müstakil bilgi işlem birimi olan kamu kurumları ve kritik altyapı işleten kuruluşlar için USOM’un Kurumsal SOME (Siber Olaylara Müdahale Ekibi) Rehberi, siber olay bildirim formunun güvenli kanallardan USOM’a, varsa sektörel SOME’ye gönderilmesini öngörür. Olay sonrasında değerlendirme formu ve müdahale raporu da hazırlanır; suç izlenimi varsa savcılık ya da kolluk ile temas kurulur.

Buradan çıkan pratik kural şu: 72 saatlik süre olayı öğrendiğiniz anda işlemeye başlar. İlk 24 saatte bildirimi bitirmeniz gerekmeyebilir, ama bildirim yapılıp yapılmayacağı kararını verecek kişinin elinde bilgi olmalıdır.

Adım adım uygulama

1. Kurumunuzda kullanılan yapay zekâ araçlarını listeleyin. Her satırda araç adı, kullanan birim ve araçla çalışılan veri türü yazılıysa bu adım tamamdır.
2. Beş adımın her birine bir rol ve bir yedek kişi atayın. Hiçbir adım boş ya da tek bir kişiye bağlı kalmadıysa tamamdır.
3. Olayları duyurmak için tek bir kanal belirleyin; bu bir e-posta grubu ya da telefon hattı olabilir. Kanal çalışanlara duyurulmuş ve bir deneme mesajı yanıtlanmışsa tamamdır.
4. Bir olay kayıt şablonu hazırlayın: tarih ve saat, araç, olay türü, etkilenen kişi tahmini, alınan önlem, kararı veren kişi. Şablon tek sayfayı aşmıyorsa tamamdır.
5. Murat Bey’in örneğiyle 30 dakikalık bir masa başı tatbikat yapın. Katılanların hepsi 72 saatlik sürenin ne zaman başladığını doğru söyleyebiliyorsa tamamdır.

Sık yapılan hatalar

• Kanıtı silmek: Panikle sohbet geçmişini temizlemek, neyin sızdığını sonradan anlamayı imkânsız hâle getirir. Önce kaydı alın.
• Durdurmayı geciktirmek: Önce suçluyu bulmaya çalışmak zararın büyümesine yol açar. Önce durdurun, sonra inceleyin.
• Yalnızca saldırıyı olay saymak: Vatandaşa yanlış süre söyleyen bir asistan, hiçbir saldırı olmadan hak kaybına yol açabilir. Yanlış yanıt da plana girmelidir.

Kendinizi deneyin

Kaynaklar

• NIST SP 800-61 Rev. 3: Incident Response Recommendations and Considerations for Cybersecurity Risk Management (İngilizce)
• NIST CSRC: Incident Response projesi ve olay müdahalesi modeli (İngilizce)
• NIST AI RMF: Core (Govern, Map, Measure, Manage) (İngilizce)
• OECD AI Incidents and Hazards Monitor: Overview and methodology (İngilizce)
• KVKK: Veri İhlali Bildirimi (Türkçe)
• USOM: Kurumsal SOME Kurulum ve Yönetim Rehberi (Türkçe)

Son kontrol: 13 Kasım 2026. Bu bilgi 13.11.2026 tarihli kaynaklara dayanır; durum değişebilir.

Kaynak: yzdersleri.com/ders/yapay-zeka-olay-mudahale-plani-ilk-24-saat/ · Yapay Zeka Dersleri