Hizmet 6 · Süreklilik
Yönetilen Yapay Zekâ Yönetimi
Kurulan düzenin işletilmesini üstleniyoruz: envanteri güncel tutuyor, mevzuatı takip ediyor, kontrollerin çalışmaya devam ettiğini doğruluyor, yeni araç ve yeni aracı taleplerini değerlendiriyor ve üç ayda bir yönetime rapor sunuyoruz.
BÖLÜM 1Bu hizmet hangi soruna karşılık gelir
Kurulum çalışmalarının en sık görülen sonu, projenin tamamlanmasının ardından sahipliğin kaybolmasıdır. Envanter güncellenmez, yeni araçlar kayıt dışı kalır, veri kaybı önleme kurallarının ürettiği olaylar incelenmez ve bir müşteri soru listesi geldiğinde kanıtlar yeniden toplanmak zorunda kalınır. Birkaç ay içinde kuruluş, çalışmanın başladığı noktaya yakın bir yere döner.
Bunun yapısal nedeni, yapay zekâ envanterinin kısa ömürlü olmasıdır. Yeni araçlar sürekli devreye girmekte, mevcut yazılımlara yeni yapay zekâ özellikleri eklenmekte ve bu özellikler çoğu zaman yönetici onayı gerektirmeksizin kullanıma açılmaktadır. Kişisel Verileri Koruma Kurumu da kontrol dışı kullanımın kurumsal düzeyde izlenmesinin zorluğunu tespit etmektedir.[1] Bu nedenle görünürlük bir defalık bir çıktı değil, sürdürülmesi gereken bir durumdur.
Aynı gerekçe mevzuat tarafında da geçerlidir. Kişisel Verileri Koruma Kurumu, yapay zekâ konulu rehberlerini kısa aralıklarla yayımlamaktadır; Avrupa Birliği tarafında ise yürürlük takvimi değişikliğe uğramıştır.[2] Bir defa yapılan değerlendirme, takvim ve beklentiler değiştiğinde geçerliliğini kaybeder.
Kurulumdan sonra sahiplik kimde kalıyor
Bu soru, kurulum çalışmasının kapanış toplantısında sorulur. Kuruluş içinde isimli bir sahip ayrılabiliyorsa hizmet gerekli olmayabilir ve bu tespit yazılı olarak verilir. Ayrılamıyorsa süreklilik hizmetinin kapsamı birlikte belirlenir.
BÖLÜM 2Kapsam ve ritim
Hizmet tanımlı bir ritim üzerinden yürütülür. Ritmin yazılı olması, işin görünür ve denetlenebilir kalmasını sağlar.
| Ritim | Yürütülen iş | Çıktı |
|---|---|---|
| Aylık | Envanterin güncellenmesi için kayıt ve gider taramasının yenilenmesi, yeni araç taleplerinin değerlendirilmesi, veri kaybı önleme olaylarının incelenmesi, altmış dakikalık yönetim toplantısı | Güncellenmiş envanter, karar tutanağı, olay inceleme notları |
| Üç aylık | Risk kademelerinin yeniden belirlenmesi, kontrol etkinlik testleri, erişim ve yetki gözden geçirmesi, eğitim tazeleme, mevzuat değişikliği brifingi | Yönetim raporu, kontrol doğrulama kaydı, yetki gözden geçirme kaydı |
| Yıllık | İç denetim, yönetim gözden geçirme dosyasının hazırlanması, tedarikçi anketi cevap paketinin tazelenmesi, kanıt paketinin bütününün yenilenmesi | İç denetim raporu, güncel kanıt paketi |
| Sürekli | Olay desteği, yeni aracı devreye alma incelemesi, müşteri ve tedarikçi soru listelerinin cevaplanması | Devreye alma kararı, cevaplanmış soru listesi |
BÖLÜM 3Altı bileşen
Envanter güncellemesi
Ağ ve kimlik kayıtları ile gider hareketleri her ay yeniden taranır ve envanterde yeni satır açılması gerekip gerekmediği belirlenir. Yeni tespit edilen her kullanım için veri sınıfı, aktarım dayanağı, denetim izi ve isimli sahip alanları doldurulur; risk kademesi tanımlı ölçütlere göre atanır. Envanterden çıkarılan satırlar da kayda geçirilir, çünkü kullanımın sona erdiğinin gösterilmesi de bir kanıt unsurudur.
Mevzuat takibi
Yürürlükteki mevzuat, düzenleyici kurum yayınları ve Avrupa Birliği tarafındaki takvim değişiklikleri izlenir. Takip, genel bir bülten olarak değil kuruluşa özgü bir etki notu olarak sunulur: değişikliğin kuruluşun hangi sistemini, hangi kontrolünü ve hangi kaydını etkilediği yazılır. Bağlayıcı olan ile tavsiye niteliğinde olan ayrı gösterilir. Türkiye’de yapay zekâya özgü yürürlükte bir kanun bulunmamakta; politika belgeleri özel sektöre doğrudan yükümlülük getirmemektedir.[3]
Kontrol doğrulama
Kurulan kontrollerin çalışmaya devam ettiği örnekleme yoluyla doğrulanır. Doğrulama; veri kaybı önleme kurallarının beklenen kalıpları yakalamaya devam ettiğini, hassasiyet etiketlerinin yeni alanlara uygulandığını, kimlik ve yetki düzeninin ayrılan çalışanlarda geri alındığını ve denetim kayıtlarının akmaya devam ettiğini kapsar. Doğrulama sonuçları kayda geçirilir ve üç aylık raporda sunulur.
Yeni araç ve yeni aracı değerlendirmesi
Yeni araç talepleri, kurulum çalışmasında tanımlanan onay yolu üzerinden değerlendirilir. Değerlendirmede sözleşme hükümleri, veri barındırma bölgesi, saklama süresi, kimlik bütünleşmesi ve denetim kaydı erişimi incelenir; sonuç gerekçeli bir kararla verilir. Yeni bir yapay zekâ aracısı devreye alınacaksa aracı güvenliği çalışmasında tanımlanan devreye alma kapısı uygulanır ve kapı ölçütleri karşılanmadan devreye alma yapılmaz.
Müşteri soru listesi cevap paketi
Kurumsal müşterilerden ve ihale süreçlerinden gelen yapay zekâ soru listelerine karşılık gelen cevap seti güncel tutulur. Paket; envanteri, aktarım kayıtlarını, politika ve eğitim kayıtlarını, kontrol doğrulama sonuçlarını, insan gözetimi atamalarını ve kayıt saklama düzenini gösterir. Amaç, aynı soruların her müşteri için yeniden araştırılmasını gerektirmeyen bir hazır kanıt seti sürdürmektir.
Üç aylık yönetim raporu
Rapor yönetim kuruluna sunulabilecek biçimde hazırlanır ve şu bölümlerden oluşur: dönem içinde envanterde meydana gelen değişim, risk kademelerindeki hareket, kontrol doğrulama sonuçları, olaylar ve müdahaleler, mevzuat değişikliklerinin kuruluşa etkisi ve sonraki dönem için önerilen eylemler. Rapor, açık kalan işleri isimli sahip ve hedef tarih ile birlikte gösterir.
BÖLÜM 4Hizmet seviyeleri
Hizmet seviyeleri sözleşmede yazılı olarak tanımlanır ve üç aylık raporda ölçülür. Aşağıdaki tablo, seviyelerin niteliksel karşılığını göstermektedir.
| Konu | Taahhüt |
|---|---|
| Kişisel veri ihlali şüphesi bulunan olay | Aynı iş günü içinde ilk değerlendirme ve kapsam tespitine başlanması. Kurul kararı 2019/10 uyarınca bildirim süresi gecikmeksizin ve en geç yetmiş iki saat olarak yorumlanmıştır[5] |
| Aracının yetkisiz işlem yapması | Aynı iş günü içinde inceleme başlatılması ve gerekiyorsa durdurma önerisinin iletilmesi |
| Veri kaybı önleme olayı | Aylık inceleme çevrimi; yüksek riskli veri sınıflarında ise iki iş günü içinde inceleme |
| Yeni araç talebi | On iş günü içinde gerekçeli karar |
| Müşteri soru listesi | Beş iş günü içinde hazır kanıt paketinden cevap taslağı |
| Yönetim toplantısı | Aylık, altmış dakika, karar tutanaklı |
| Yönetim raporu | Üç aylık dönem sonunu izleyen iki hafta içinde |
Hizmet, önceden tanımlanmış bir kapsam üzerinden yürütülür. Kapsam aşımı hâlinde iki seçenek sunulur: işin ayrı bir çalışma olarak tanımlanması veya kapsamın yazılı ek ile genişletilmesi. Kapsam aşımının sessizce taşınması, hizmet seviyelerinin karşılanamamasına yol açtığı için tercih edilmemektedir.
Kapsam, envanterin büyüklüğüne göre tanımlanır
Kapsama alınan araç ve aracı sayısı, tüzel kişi sayısı ve sürdürülen yönetim sistemi bulunup bulunmadığı, aylık ritmin içeriğini belirler. Kapsam görüşmede birlikte tanımlanır ve sözleşmede yazılı hâle getirilir.
BÖLÜM 5Sizden beklenenler
- Kayıt kaynaklarına ve yönetici panellerine süreklilik arz eden okuma erişimi
- Gider ve abonelik hareketlerinin aylık olarak taranması için finans birimiyle tanımlı bir akış
- Kuruluş tarafında isimli bir irtibat kişisi ve karar yetkisi bulunan bir yönetici
- Aylık yönetim toplantısına ilgili birimlerin katılımı
- Yeni araç ve yeni aracı taleplerinin tanımlı kanal üzerinden iletilmesi
BÖLÜM 6Kapsam dışı
- Yerinde güvenlik operasyon merkezi hizmeti. Kesintisiz izleme ve müdahale hizmeti verilmez; olay desteği iş günü esasına göre yürütülür.
- Yeni büyük ölçekli kurulum işleri. Yeni bir platform devreye alınacaksa Güvenli Kullanım Kurulumu kapsamında ayrı çalışma tanımlanır.
- Kişisel veri ihlali bildiriminin yapılması. Bildirimi veri sorumlusu olarak kuruluşunuz yapar; hazırlığa destek verilir. İlgili kişiye yapılacak bildirimin asgari unsurları Kurul kararında sayılmıştır.[6]
- Belgelendirme ve bağımsız güvence görüşü. Yürütülmez.
- Hukuki mütalaa. Hukuk ortağına yönlendirilir.
- Penetrasyon testi ve model doğruluk testi. Yürütülmez.
Bu hizmet uygunluk garantisi içermez ve kuruluşta hiçbir olay yaşanmayacağı taahhüdünü vermez. Taahhüdümüz; envanteri güncel tutmak, kontrollerin çalıştığını örnekleme yoluyla doğrulamak, mevzuat değişikliklerinin etkisini yazılı olarak bildirmek ve kanıt paketini gösterilebilir hâlde sürdürmektir.
BÖLÜM 7Yatırım
Bu hizmetin gerektirdiği yatırımı kapsam belirler. Belirleyici değişkenler; kapsama alınan yapay zekâ aracı sayısı, otonom aracı sayısı, tüzel kişi ve lokasyon sayısı, veri kaybı önleme işletiminin bulunup bulunmadığı ve sürdürülen bir yönetim sistemi olup olmadığıdır.
Hizmet aylık ritimde ve asgari altı aylık bir dönem üzerinden kurulur; bu sürenin gerekçesi üç aylık gözden geçirme çevriminin en az bir kez tamamlanmasıdır. Çıkış, üç ay önceden yazılı bildirimle yapılır ve devir dosyası teslim edilir. Keşif görüşmesinin ardından yazılı ve sabit tutarlı bir teklif iletilir; teklif kapsamı, ritmi, hizmet seviyelerini, teslimatları ve kapsam dışı kalan işleri açıkça sayar.
Kurulan düzenin sürdürülmesini konuşalım
Görüşmeye mevcut envanterinizi, kurulmuş kontrollerin listesini ve son altı ayda karşılaştığınız olayların özetini getirmeniz yeterlidir. Görüşmenin sonunda ya kapsamı tanımlı bir teklif sunulur ya da kuruluşunuzun bu işi kendi kaynaklarıyla sürdürebileceği gerekçesiyle yazılı olarak belirtilir.
EKKaynaklar
Bu sayfadaki her hukuki iddia aşağıdaki birincil kaynaklara dayanır. Bağlantılar yayımlayan makamın kendi sitesine gider.
- KVKK İş Yerlerinde Üretken YZ — İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı. Kişisel Verileri Koruma Kurumu. Kaynak metin · PDF (Bağlayıcı değil)
- Digital Omnibus on AI — Regulation (EU) 2026/1744 amending Regulations (EU) 2024/1689, (EU) 2018/1139 and (EU) 2023/1230 as regards the simplification of the implementation of harmonised rules on artificial intelligence (Digital Omnibus on AI). Avrupa Birliği Resmî Gazetesi, 24 Temmuz 2026. Kaynak metin (Bağlayıcı (AB hukuku))
- Türkiye Yapay Zekâ Eylem Planı — Türkiye Yapay Zekâ Eylem Planı (2026-2030) ile İlgili 2026/9 Sayılı Cumhurbaşkanlığı Genelgesi. Resmî Gazete, 18 Ağustos 2026, sayı 33344. Kaynak metin (Bağlayıcı değil (özel sektör bakımından))
- KVKK Etken Yapay Zekâ Rehberi — Etken Yapay Zekâ (Agentic AI). Kişisel Verileri Koruma Kurumu. Kaynak metin · PDF (Bağlayıcı değil)
- Kurul kararı 2019/10 — Kişisel Veri İhlali Bildirim Usul ve Esaslarına İlişkin Kişisel Verileri Koruma Kurulunun 24.01.2019 tarih ve 2019/10 sayılı Kararı. Kişisel Verileri Koruma Kurumu. Kaynak metin (Bağlayıcı)
- Kurul kararı 2019/271 — Veri sorumlusu tarafından ilgili kişiye yapılan veri ihlali bildiriminde yer alması gereken asgari unsurlara ilişkin 18.09.2019 tarih ve 2019/271 sayılı Karar. Kişisel Verileri Koruma Kurumu. Kaynak metin (Bağlayıcı)