Avrupa Birliği’nin Yapay Zeka Yasası kapsamındaki yeni şeffaflık yükümlülükleri, şirketlerin yapay zeka kullanımını daha sistematik biçimde yönetmesini gündeme taşırken, Türkiye’de KVKK da iş yerlerinde üretken yapay zeka araçlarının kullanımında kişisel veri ve kurumsal risklere dikkat çekiyor. İç kontrol, risk yönetimi, uyum ve kurumsal yönetişim alanlarında 37 yıllık deneyime sahip olarak, halen bir egitim kurumunda İç Denetim Direktörü olarak calisan Aynur Oktay, bu dönüşümü “Yapay zeka riskini yalnızca bir teknoloji riski olarak görmek şirketlerin yapabileceği en büyük hatalardan biri. Yapay zeka; veri güvenliğinden etik ilkelere, mevzuata uyumdan karar alma süreçlerine kadar kurumun tamamını ilgilendiren bir yönetişim konusu haline geliyor sözleriyle değerlendirdi.
Yapay zeka kullanımı için kurum çapında kontrol mekanizması gerekiyor
KVKK’nın iş yerlerinde üretken yapay zeka kullanımına ilişkin yayımladığı değerlendirmede, çalışanların bu araçları açıkça tanımlanmış bir kurumsal strateji veya politika olmaksızın bireysel tercihlerle kullanmasının, kullanımın kurumsal düzeyde izlenmesini ve yönetilmesini zorlaştırabileceğine dikkat çekiliyor. Kurum ayrıca yapay zeka uygulamalarının etik, hukuki ve toplumsal boyutlarının birlikte değerlendirilmesi gerektiğini vurguluyor.
Kordsa’dan Teknosa ve Sabancı DX’e uzanan görevlerinde yönetim sistemleri, denetim, stratejik planlama ile yonetisim, risk ve uyum (GRC) alanlarında çalışan Oktay, Sabancı DX bünyesinde GRC danışmanlık hizmetinin kurulmasına liderlik etti. Enerjisa Üretim ile Enerjisa Dağıtım’ın üç bölgesel şirketi olmak üzere dört ayrı şirket için yürütülen çalışmalarda, kritik altyapılarda bilgi güvenliği ve yönetişim süreçlerinin kurumsal yapıya entegre edilmesine odaklandı.
Oktay’ın Biotrend Energy dönemindeki çalışmaları ise ölçek açısından daha geniş bir kurumsal dönüşüme işaret ediyor. Genel merkez ve 11 ildeki 18 iştiraki, 2023 sonu itibarıyla 792 çalışanı kapsayan yapıda kurumsal risk yönetimi, iç kontrol, uyum, etik ve yönetişim sistemlerinin oluşturulmasına liderlik etti. Yaklaşık 100 politika, prosedür ve yönetmelik hazırlanırken, Yönetim Kurulu ve ilgili komiteler için düzenli raporlama mekanizmaları oluşturuldu.
“Asıl soru yapay zekayı hangi kontrol mekanizmasıyla kullanacağımız”
Oktay’ın yaklaşımına göre yapay zeka konusunda şirketlerin önceliği yalnızca teknoloji kullanımına ilişkin kurallar belirlemek değil, bu kullanımın kurumun mevcut risk ve kontrol mimarisine nasıl dahil edileceğini tanımlamak olmalı. “Şirketlerin önündeki asıl soru yapay zekayı kullanıp kullanmamak değil, onu hangi kontrol ve yönetişim mekanizmaları içerisinde kullanacakları” diyen Oktay, özellikle veri güvenliği, etik, mevzuata uyum, kararların izlenebilirliği ve sorumluluk alanlarının netleştirilmesi gerektiğine dikkat çekiyor.
Bu yaklaşım, Biotrend’de geliştirdiği kurumsallaşma olgunluk modeliyle de örtüşüyor. Oktay’ın tasarladığı modelde 15 ana değerlendirme bileşeni altında kurumsallaşma düzeyi ölçülerek gelişim alanları ve yol haritaları belirlendi. Modelin sonraki dönemlerde yeniden uygulanmasıyla gelişimin sayısal olarak takip edilmesi hedeflendi.
Oktay’a göre benzer bir yaklaşım yapay zeka için de uygulanabilir. AI kullanımı kurumun bilgi güvenliği, insan kaynakları, satın alma, müşteri ilişkileri veya karar alma süreçlerinden yalnızca birinde değil, bütünsel risk haritası içinde değerlendirilerek kontrol noktalarıyla izlenmeli. Bu nedenle iç denetimin rolünün de yalnızca mevcut kurallara uyulup uyulmadığını kontrol etmekten çıkarak, yapay zeka kullanımının risklerini önceden tespit eden ve yönetim kuruluna görünür kılan daha dinamik bir yapıya dönüşmesi bekleniyor.