Kurumsal yapay zekâ hazırlık kontrol listesi

Kurumsal yapay zekâ hazırlığı, bir kurumun yapay zekâyı kendi verisi ve süreçleriyle güvenli, ölçülebilir ve sürdürülebilir biçimde devreye almaya ne kadar hazır olduğunun değerlendirilmesidir. Hazırlık bir model seçimiyle değil; doğru kullanım senaryosu, temiz ve sahibi belli veri, erişim kuralları, hukuki çerçeve, altyapı, değerlendirme yöntemi ve işletme modeliyle ilgilidir. Bu kontrol listesi, yönetim, BT, veri ve hukuk ekiplerinin aynı tabloya bakarak karar vermesi için hazırlanmıştır.

Kullanım senaryosu seçimi ve puanlama

İlk senaryo, kurumun yapay zekâya bakışını belirler. Teknik olarak etkileyici ama ölçülemeyen bir senaryo yerine, verisi hazır, riski yönetilebilir ve sonucu iş birimi tarafından fark edilen bir senaryo seçin. Aday senaryoları aynı ölçütlerle puanlamak, tartışmayı fikirden kanıta taşır.

Veri envanteri ve sınıflandırma

Yapay zekâ ancak erişebildiği veri kadar faydalıdır ve ancak korunan veri kadar güvenlidir. Envanter; hangi verinin hangi sistemde durduğunu, kimin sahibi olduğunu, ne kadar güncel olduğunu ve hangi gizlilik sınıfına girdiğini gösterir. Doküman yönetim sistemi, ERP, MES, kalite, bakım, CRM ve paylaşımlı klasörler bu envantere girer.

Erişim kontrolü ve rol bazlı cevaplar

Kurumsal bir asistan, kullanıcıya yalnızca o kullanıcının zaten görmeye yetkili olduğu bilgiden cevap vermelidir. Bu, yapay zekâya ayrı bir yetki sistemi kurmak değil, mevcut yetki yapısını cevap üretimine taşımak anlamına gelir. Doküman, klasör ve kayıt düzeyindeki yetkiler, arama ve cevap aşamasında uygulanmalıdır.

• Kimlik doğrulama kurumsal dizinle (Active Directory, LDAP veya SSO) yapılmalıdır.
• Arama sonuçları, cevap üretilmeden önce kullanıcının yetkisine göre filtrelenmelidir.
• Bir dokümanın yetkisi değiştiğinde asistanın erişimi de güncellenmelidir.
• Cevaplarda kaynak doküman gösterilmeli, kullanıcı kaynağı açabilmelidir.
• Yönetici rolleri, model ayarları ve kayıtlara erişim ayrı yetkilerle yönetilmelidir.

KVKK, veri yerleşimi ve şirket içi ya da bulut kararı

Yapay zekâ kullanımında kişisel verinin işlenmesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında değerlendirilmelidir. Verinin nerede işlendiği, yurt dışına aktarılıp aktarılmadığı, işleme amacı ve aydınlatma yükümlülüğü hukuki sorulardır. Bu rehber bir hukuki görüş değildir; kararlarınızı hukuk ekibiniz veya veri koruma danışmanınızla teyit edin.

ORELSIS'in OREL AI yaklaşımı, kurumsal yapay zekânın model ve veriyle birlikte kurumun kendi sunucularında çalışmasını hedefler. Hangi seçeneği tercih ederseniz edin, veri işleme haritasını ve yetkilendirme kurallarını yazılı hale getirin.

Altyapı boyutlandırma soruları

Altyapı ihtiyacı model boyutuna, kullanıcı sayısına, eşzamanlı kullanıma, cevap süresi beklentisine ve doküman hacmine göre değişir. Rakam vermeden önce doğru soruları sorun; boyutlandırma, bu soruların cevaplarıyla ve gerçek yük testleriyle yapılır.

• Kaç kişi sistemi kullanacak ve aynı anda en fazla kaç kişi soru soracak?
• Kabul edilebilir cevap süresi nedir? Kullanıcı ne kadar beklemeye razı?
• Hangi dillerde ve hangi uzunlukta cevaplar gerekiyor?
• Kaç doküman ve ne kadar veri indekslenecek, ne sıklıkla güncellenecek?
• Model tek bir sunucuda mı, yedekli bir yapıda mı çalışacak?
• GPU donanımı mevcut veri merkezinin enerji, soğutma ve rack kapasitesine uygun mu?
• Test, eğitim ve üretim ortamları ayrı mı olacak?
• Yedekleme, izleme ve güncelleme süreçlerini kim yönetecek?

RAG ve doküman asistanı hazırlığı

RAG (Retrieval-Augmented Generation), modelin cevap üretmeden önce kurumun dokümanlarından ilgili bölümleri bulup bunlara dayanarak cevap vermesi yöntemidir. RAG'in kalitesi, dokümanların kalitesiyle sınırlıdır: eski, çelişkili veya sahibi belli olmayan dokümanlar, yanlış cevap üretir.

OREL DMS gibi bir doküman yönetim sistemi, sürüm, onay ve sahiplik bilgisini zaten tutar; bu bilgi asistanın yalnızca geçerli sürümden cevap vermesini kolaylaştırır.

Değerlendirme seti ve kabul ölçütleri

Bir yapay zekâ sisteminin iyi olup olmadığını demo sırasındaki izlenim değil, önceden hazırlanmış bir değerlendirme seti gösterir. Değerlendirme seti; gerçek kullanıcı sorularından, doğru cevaplardan ve bu cevapların kaynaklarından oluşur.

1. 01
   Gerçek soruları toplayın

   İş birimlerinden günlük işte sorulan soruları toplayın. Kolay, zor, belirsiz ve cevabı dokümanlarda olmayan sorular da ekleyin.

2. 02
   Doğru cevabı ve kaynağı yazın

   Her soru için konu uzmanı doğru cevabı ve hangi dokümana dayandığını yazsın.

3. 03
   Ölçütleri tanımlayın

   Doğruluk, kaynağa sadakat, eksiksizlik, yetki ihlali olmaması ve “bilmiyorum” deme davranışı gibi ölçütleri belirleyin.

4. 04
   Kabul eşiğini kararlaştırın

   Hangi seviyede pilotun kabul edileceğini iş birimi ve risk sahibiyle birlikte, test başlamadan karara bağlayın.

5. 05
   Her değişiklikte tekrar çalıştırın

   Model, ayar veya doküman seti her değiştiğinde aynı seti yeniden çalıştırın ve sonuçları karşılaştırın.

İnsan onayı, denetim kaydı ve güvenlik

Yapay zekânın önerisi bir karara veya kayda dönüşecekse, bu adımda bir insan onayı bulunmalıdır. Hangi kararların insan onayı gerektirdiği, riske göre yazılı olarak belirlenmelidir. Her sorgu, kullanılan kaynaklar, üretilen cevap ve kullanıcının aksiyonu denetim kaydına yazılmalıdır.

Yapay zekâya özgü güvenlik riskleri

• İstem enjeksiyonu (prompt injection): Doküman veya kullanıcı girdisine gizlenmiş talimatlarla modelin yönlendirilmesi.
• Veri sızıntısı: Modelin yetkisiz bir kullanıcıya gizli bilgi içeren cevap vermesi.
• Aşırı yetki: Asistana bağlanan araçların gereğinden fazla işlem yapabilmesi.
• Uydurma cevap: Kaynağı olmayan bilginin kesin bir dille sunulması.
• Kayıtlarda hassas veri: Loglarda tutulan soruların ve cevapların korunmaması.

OWASP'ın büyük dil modeli uygulamaları için yayımladığı risk listesi, bu tehditleri değerlendirmek için iyi bir başlangıç noktasıdır. Yapay zekâ yönetim sistemi kurmak isteyen kurumlar ISO/IEC 42001 standardını inceleyebilir.

Pilot planı ve roller

Pilot, seçilen senaryonun sınırlı bir kullanıcı grubu, sınırlı bir doküman veya veri kapsamı ve önceden belirlenmiş bir süreyle gerçek işte denenmesidir. Pilotun amacı teknolojinin çalıştığını göstermek değil, kabul ölçütlerinin gerçek kullanımda tutup tutmadığını görmektir. Kapsamı dar tutun: tek bir iş birimi, tek bir doküman ailesi veya tek bir süreç adımı yeterlidir. Kapsam genişledikçe hataların nedenini bulmak zorlaşır.

Pilot süresince haftalık kısa bir gözden geçirme toplantısı yapın: kullanıcı geri bildirimleri, değerlendirme seti sonuçları, güvenlik bulguları ve açık maddeler aynı listede takip edilsin. Pilot sonunda üç karardan biri verilir: yaygınlaştırma, kapsamı düzelterek ikinci tur veya senaryoyu durdurma. Bu kararın ölçütleri de pilot başlamadan yazılı olmalıdır; aksi halde pilot, sonu belirsiz bir deneye dönüşür.

Değişim yönetimi ve işletme modeli

Kullanıcılar sisteme güvenmezse en iyi model bile kullanılmaz. Kullanıcıya sistemin ne yapabildiğini, ne yapamadığını, cevabı nasıl doğrulayacağını ve geri bildirimini nasıl ileteceğini anlatın. Her iş biriminde bir anahtar kullanıcı belirlemek, soruların ve geri bildirimin doğru yere gitmesini sağlar.

Sonuç

Kurumsal yapay zekâ hazırlığı; doğru senaryo, sahibi belli ve sınıflandırılmış veri, yetkiye saygılı cevaplar, hukuki teyit, ölçülebilir kabul ölçütleri, insan onayı ve sürekli işletme döngüsüyle tamamlanır. Bu listeleri her senaryo için yeniden kullanın. ORELSIS, OREL AI, OREL DM ve OREL DMS ile veri, doküman ve yapay zekâ katmanlarını kurumunuzun içinde bir araya getirir.