Dijital dönüşümün en son aşaması olarak görülen üretken yapay zekâ (GenAI), kurumların çalışma biçimini, karar alma süreçlerini ve kontrol ortamını köklü biçimde değiştirmektedir. Finansal analizden uyum izlemeye, müşteri iletişiminden operasyonel otomasyona kadar geniş bir kullanım alanına sahip olan GenAI, organizasyonlara önemli verimlilik avantajları sunarken aynı zamanda yeni risk kategorilerini de beraberinde getirmektedir.
Bu dönüşüm karşısında COSO tarafından yayımlanan “Achieving Effective Internal Control Over Generative AI (GenAI)” rehberi, üretken yapay zekâ kullanımının iç kontrol ve güvence perspektifinden nasıl yönetileceğine ilişkin kapsamlı ve uygulama odaklı bir çerçeve sunmaktadır. Rehber, iç denetim profesyonelleri için önemli bir referans niteliği taşımaktadır.
1. GenAI’nin Kurumsal Risk Profili Üzerindeki Etkisi
GenAI teknolojileri, geleneksel otomasyon çözümlerinden farklı olarak olasılıksal sonuçlar üretir, sürekli değişen veri ve model yapısına sahiptir ve düşük giriş bariyeri nedeniyle organizasyon içinde hızla yayılabilir.
Bu özellikler, iç denetim açısından aşağıdaki risk alanlarını öne çıkarmaktadır:
- Halüsinasyon ve doğruluk riski
- Veri gizliliği ve güvenlik ihlalleri
- Prompt enjeksiyonu ve manipülasyon
- Model drift ve performans değişkenliği
- Şeffaflık ve açıklanabilirlik eksikliği
- Kontrol dışı “shadow AI” kullanımı
Bu riskler, operasyonların güvenilirliği, finansal raporlama doğruluğu ve uyum süreçleri üzerinde doğrudan etkili olabilmektedir.
2. COSO Yaklaşımı: Yeni Bir Model Değil, Mevcut Çerçevenin Uyarlanması
Rehberin en dikkat çekici yönlerinden biri, GenAI için tamamen yeni bir yönetişim modeli önermek yerine COSO İç Kontrol Çerçevesi’nin (ICIF) beş bileşenini GenAI bağlamına uyarlamasıdır. Bu yaklaşım, iç kontrolün temel amacının değişmediğini; ancak kontrol tasarımının ve kanıt beklentilerinin evrildiğini göstermektedir.
COSO’nun beş bileşeni GenAI bağlamında şu şekilde yorumlanmaktadır:
- Kontrol Ortamı: AI kullanımına ilişkin etik sınırlar, sahiplik, yetkinlik ve hesap verebilirlik mekanizmalarının oluşturulması.
- Risk Değerlendirmesi: GenAI kullanım senaryoları için net hedefler belirlenmesi, dinamik risk değerlendirmesi yapılması ve suistimal riskinin AI bağlamında yeniden ele alınması.
- Kontrol Faaliyetleri: İnsan doğrulamalı (human-in-the-loop) süreçler, prompt ve model değişiklik yönetimi, görevler ayrılığı uygulamaları ve AI çıktılarının kanıt olarak ele alınması.
- Bilgi ve İletişim: Prompt, veri kaynağı, model versiyonu ve çıktı metriklerinin izlenebilirliğinin sağlanması ve paydaşlara şeffaf iletişim kurulması.
- İzleme Faaliyetleri: Model performansı, drift (yapay zekâ modelinin zaman içinde performansının veya davranışının değişmesi riski), yanlılık ve güvenilirlik metriklerinin sürekli izlenmesi ve kontrol eksikliklerinin hızlı şekilde ele alınması.
3. Yetenek (Capability) Odaklı Yaklaşım ve Denetim Açısından Önemi
Rehber, GenAI yönetişimini teknoloji veya araç bazlı değil, yetenek odaklı bir bakış açısıyla ele almaktadır. Veri toplama, veri dönüşümü, otomatik işlem, iş akışı orkestrasyonu, tahmin üretimi, izleme ve insan-AI etkileşimi gibi farklı yetenek türleri üzerinden risk ve kontrol ihtiyaçları tanımlanmaktadır.
Bu yaklaşım, iç denetçilere süreç bazlı risk analizini kolaylaştırmakta ve kontrol boşluklarının veri-karar yaşam döngüsünde nerede ortaya çıktığını daha net görme imkânı sağlamaktadır.
4. İç Denetim Fonksiyonu Açısından Stratejik Çıkarımlar
COSO rehberinde yer alan yönetişim, kontrol ve izleme prensipleri dikkate alındığında, iç denetim fonksiyonunun GenAI bağlamındaki güvence rolünün genişlediği görülmektedir.
Bu kapsamda iç denetim:
- Kurumdaki tüm GenAI kullanım senaryolarının envanterini oluşturmalı
- AI yönetişim yapısını ve kontrol tasarımını değerlendirmeli
- AI çıktılarının güvenilirliğini test etmeli
- Model drift ve performans değişimlerini izlemeli
- Prompt ve model değişikliklerinin kontrol süreçlerine entegrasyonunu incelemeli
- AI kullanımına ilişkin etik ve uyum risklerine güvence sağlamalıdır
Bu çerçevede, GenAI artık yalnızca IT veya veri ekiplerinin sorumluluğunda bir teknoloji değil; iç denetimin güvence kapsamının merkezinde yer alan bir yönetişim konusudur diyebiliriz.
5. Uygulama Yol Haritası ve Kurumsal Dönüşüm
Rehber, organizasyonların GenAI yönetişimini hayata geçirmesi için döngüsel bir yol haritası önermektedir: yönetişim yapısının kurulması, kullanım envanterinin çıkarılması, risk değerlendirmesi, kontrol tasarımı, uygulama ve sürekli izleme.
Bu model, GenAI’nin dinamik yapısı nedeniyle tek seferlik bir proje değil, sürekli gelişen bir yönetişim süreci olarak ele alınması gerektiğini göstermektedir.
Sonuç
Üretken yapay zekâ, kurumların verimlilik ve inovasyon kapasitesini artırırken iç kontrol ve güvence yaklaşımlarını yeniden şekillendiren bir dönüşümü tetiklemektedir. COSO’nun GenAI rehberi, bu dönüşüm sürecinde organizasyonlara ve iç denetim profesyonellerine güçlü bir referans sunmaktadır.
İç denetçiler açısından mesajı şudur diyebiliriz: GenAI iç kontrolün amacını değiştirmez, ancak kontrol tasarımını, denetim kanıtını ve güvence metodolojisini derinleştirir. Bu dönüşüm, iç denetimin rolünü süreç denetiminden algoritmik güvence ve yapay zekâ yönetişimi alanına doğru genişletmektedir.
Bu perspektifle, iç denetim fonksiyonlarının AI yetkinliklerini geliştirmesi, yeni kontrol test tekniklerini benimsemesi ve GenAI risklerini güvence kapsamına sistematik biçimde entegre etmesi, kurumsal dayanıklılık ve güvenilirlik açısından kritik önem taşımaktadır.