Yapay Zeka Risk Yönetimi: İngiltere'nin Araç Seti ve Şirketler İçin Kullanım Rehberi (2026)

Kısa cevap: İngiltere Bilim, İnovasyon ve Teknoloji Bakanlığı (DSIT) 8 Eylül 2026'da AI Risk Management Toolkit adıyla ücretsiz bir yapay zeka risk yönetimi araç seti yayımladı. Araç seti, yapay zeka risklerinin sistemin tüm yaşam döngüsü boyunca nasıl belirleneceğini, puanlanacağını, ele alınacağını ve izleneceğini anlatıyor. Aslında İngiltere'deki kamu kurumları için hazırlandı ve hükümetin kendi risk yönetimi rehberi olan Orange Book'un risk yönetimi süreçlerini uyguluyor. Buna karşın bugün kamuya açık kaynaklar arasında en kullanışlı yapay zeka risk çerçevesi olma özelliğini taşıyor ve özel şirketler büyük bölümünü doğrudan uyarlayabilir. Olasılık ve etki 1 ile 5 arasında puanlanıyor, dokuz risk kategorisi tanımlanıyor, risk iştahı beş seviyeye ayrılıyor ve dört ayrı işleme seçeneği sunuluyor.

Bu rehberde araç setinin içeriğini, güçlü yanlarını, özel şirketlerin hangi noktaları uyarlaması gerektiğini ve AB Yapay Zeka Yasası ile nasıl bir arada kullanılabileceğini bulacaksın.

Araç seti aslında kimin için hazırlandı?

Bu noktayı en baştan netleştirmek gerekiyor, çünkü internetteki özetlerin çoğu burada yanılıyor.

Araç seti genel bir kurumsal rehber olarak yazılmadı. İngiltere kamu kurumları için hazırlandı ve metnin tamamında bu açıkça görülüyor. İngiliz hükümetinin risk yönetimi çerçevesi olan Orange Book ile hizalanmış durumda ve o çerçevedeki risk yönetimi süreçlerini, yani riskin belirlenmesi ve değerlendirilmesi, işlenmesi, izlenmesi ve raporlanması adımlarını hayata geçiriyor. Ayrıca siber güvenlik değerlendirme çerçevesiyle birlikte çalışacak şekilde kurgulanmış; kamu kurumlarından yapay zeka risklerini merkezî bir kayıtta tutmaları ve bakanlığın ilgili birimiyle paylaşmaları isteniyor.

Peki bu ayrıntı neden önemli? Çünkü kamu kaynaklı olması metnin detaylarına da yansımış. Etki eşikleri sterlin cinsinden ve devlet ölçeğine göre belirlenmiş. Risk iştahının bakanlık yönetim kurulu düzeyinde onaylanması öngörülüyor. Bazı risk belirleme soruları doğrudan kamu kurumlarına özgü yükümlülüklere atıf yapıyor.

Bunların hiçbiri araç setini özel şirketler için kullanışsız kılmıyor. Yalnızca olduğu gibi benimsenecek değil, uyarlanacak bir metin olduğunu gösteriyor. Asıl işine yarayacak olan altyapı ise neredeyse tamamen aktarılabilir durumda.

Gerçekten değerli olan bir özelliği de şu: bu bir ilkeler metni değil. Riskleri kaydedeceğin bir çalışma kitabı, risk belirleme soruları ve bir izleme panosuyla birlikte geliyor. Yapay zeka yönetişimi alanındaki kaynakların çoğu iyi uygulamanın nasıl görünmesi gerektiğini anlatır; bu araç seti doldurulacak tabloyu eline veriyor.

Dokuz yapay zeka risk kategorisi

Araç seti yapay zeka riskini dokuz başlık altında topluyor. Bu genişlik tesadüf değil; model performansı bu başlıklardan yalnızca biri.

• Finansal: Artan operasyonel maliyetler, sistemin bakım ve düzeltme masrafları, otomatik kararların mali sonuçları
• Hukuki ve düzenleyici uyum: Veri koruma, eşitlik mevzuatı, fikri mülkiyet, gelişmekte olan yapay zeka mevzuatı
• Şeffaflık ve açıklanabilirlik: Kullanıcının sistemin işleyişini anlaması ve yapay zekayla muhatap olduğunu bilmesi
• Adillik: Önyargı, ayrımcılık, adil olmayan sonuçlar, bireysel haklara etki
• Hesap verebilirlik ve yönetişim: Sistemin ve çıktılarının sahibi kim, eskalasyon nasıl işliyor
• İtiraz ve telafi: Etkilenen kişinin çıktıya itiraz edebilmesi ve zararının giderilmesi
• Teknik sağlamlık: Veri kalitesi, model güvenilirliği, beklenmedik koşullardaki davranış
• Güvenlik: Veri zehirlenmesi, veri sızıntısı, prompt enjeksiyonu, siber saldırı
• İnsan ve çevre: Fiziksel ve ruhsal sağlık, kritik altyapı ve çevre güvenliği

Bu başlıklardan ikisi ayrıca vurgulanmayı hak ediyor, çünkü şirketler genellikle bu ikisini atlıyor.

İtiraz ve telafi başlığı, yapay zeka çıktısından zarar gören kişinin bu çıktıya itiraz edebileceği erişilebilir bir yol bulunup bulunmadığını sorguluyor. Ürünün insanlar hakkında karar üretiyorsa ve itiraz için tanımlı bir mekanizman yoksa, ortada gerçek bir boşluk var demektir.

Teknik sağlamlık başlığı ise çoğu kuruluşun hiç düşünmediği bir riski içeriyor: modelin başka yapay zeka modellerinin ürettiği veriyle eğitilip eğitilmediği ve bundan doğan veri kalitesi ile model çöküşü riskinin nasıl yönetileceği. Bu sorunun önemi azalmayacak, artacak.

Riskler nasıl puanlanıyor?

Puanlama yöntemi bilinçli olarak klasik tutulmuş ve gücü de buradan geliyor.

Olasılık ve etki ayrı ayrı 1 ile 5 arasında puanlanıyor, risk skoru da bu iki puanın çarpımından çıkıyor. Önemli olan nokta şu: olasılık ölçeği sezgiye bırakılmamış, gerçek olasılık aralıklarına bağlanmış. Nadir yüzde 5'in altı, düşük ihtimal yüzde 5 ile 20 arası, mümkün yüzde 20 ile 50 arası, muhtemel yüzde 50 ile 80 arası, neredeyse kesin ise yüzde 80'in üzeri olarak tanımlanıyor.

Etki tarafında sonuçlar dört sütuna ayrılıyor: işletme, çalışanlar, hizmet alanlar ve itibar. Her sütun kendi içinde ölçülebilir ve ölçülemez etkiler diye ikiye bölünüyor. Ölçülebilir etkilere somut eşikler veriliyor. Moral, kamu güveni ya da stratejik gerileme gibi ölçülemez etkiler ise göz ardı edilmiyor, paydaşlara danışılarak puanlanıyor.

Araç seti yapay zekada geçmiş verinin yetersiz olduğunu da kabul ediyor ve olasılık tahmini için dört yöntemin birlikte kullanılmasını öneriyor: geçmiş veri analizi, doğruluk ve duyarlılık gibi metriklerle model analizi, uzman görüşü ve alfa ile beta aşamalarında yapılan deneyler.

Ödünç alınmaya değer bir özellik daha var: kategorilere ağırlık verebiliyorsun. Yalnızca kurum içinde kullanılan bir araçta finansal risk daha düşük, itiraz ve şeffaflık riski daha yüksek ağırlıklandırılabilir. Bu tek hamle bile risk kayıtlarının her sistem için aynı tektip skorları üretmesini engelliyor.

Risk iştahının beş seviyesi

Araç setinin en değerli bölümü burası ve yorumların çoğu tam da burayı atlıyor.

Risk iştahını soyut bir kavram olarak bırakmak yerine, araç seti beş isimli seviye tanımlıyor ve her risk kategorisi için bu seviyelerin ne anlama geldiğini tek tek yazıyor. Toleransı en düşükten en yükseğe doğru: çekingen, asgari, temkinli, açık ve istekli.

Hukuki uyum satırı bu tanımların ne kadar keskin olduğunu gösteriyor. Çekingen seviyede, ihtimali düşük olsa bile hukuki ihtilaf riski taşıyan hiçbir yapay zeka projesine girilmiyor. Temkinli seviyede yalnızca hukuki itirazın başarı şansının düşük olduğu projeler kabul ediliyor. Açık seviyede, alınan önlemler davayı kazanmayı olası kılıyorsa ve elde edilecek fayda olumsuz etkiyi aşıyorsa proje yürütülebiliyor. İstekli seviyede ise istisnai fayda sağlanabildiği durumlarda, kaybetme ihtimali yüksek bir ihtilaf riski dahi göze alınıyor.

Araç seti risk iştahını tanımlamanın her risk çerçevesinin en zor kısmı olduğunu da açıkça söylüyor. Üstelik daha fazla dikkat çekmeyi hak eden bir tespitte bulunuyor: risk iştahı net biçimde tanımlanmadığında ekipler her yeni yapay zeka aracında tıkanıyor ve inovasyon duruyor. Doğru belirlenmiş bir risk iştahı fren değil, hızlandırıcı işlevi görüyor.

Özel şirketler için uyarlama basit. Bakanlık yönetim kurulu onayının yerine şirket yönetim kurulunun ya da kurucunun onayını koymak ve yapay zeka risk iştahını mevcut kurumsal risk iştahınla hizalamak yeterli. Böyle bir çerçeven hiç yoksa, başlamak için en ucuz nokta burası.

Dört risk işleme seçeneği

Araç seti risk işlemeyi sade tutuyor ve risk yönetimini kontrol biriktirmeye indirgemeyi reddediyor:

• Kaçınma. Riske hiç girmemek. Hem olası etkinin hem de azaltma maliyetinin çok yüksek olduğu durumlarda tercih ediliyor.
• Sınırlama. Riski kabul edilebilir bir aralıkta tutacak önlemler almak. Uygulamaların çoğu bu başlık altına giriyor.
• Devretme. Riskin tamamını veya bir bölümünü, yönetmeye daha uygun bir üçüncü tarafa aktarmak.
• Kabul etme. Risk tolerans sınırları içindeyse, ek bir önlem almadan riski kabul etmek.

Araç setinin kolayca gözden kaçan bir uyarısı daha var: risk gerçekleştiğinde devreye girecek net bir müdahale planına sahip olmak etkiyi ciddi biçimde azaltabiliyor. Olay müdahale planı sonradan düşünülecek bir ayrıntı değil, başlı başına bir işleme yöntemi.

Metin ayrıca doğal risk ile artık risk ayrımında ısrar ediyor. Kontroller uygulandıktan sonra geriye kalan riskin gerçekten onaylanmış risk iştahının içinde kalıp kalmadığı yeniden değerlendiriliyor. Yalnızca doğal riski kaydeden bir risk defteri işlevini yerine getirmiş sayılmıyor.

AB Yapay Zeka Yasası ile ilişkisi

Burada net olmakta fayda var, çünkü ikisi sık karıştırılıyor.

AB Yapay Zeka Yasası bağlayıcı bir hukuk metni; sınıflandırma kademeleri, yükümlülükleri ve cezaları var. İngiltere'nin araç seti ise hukuki bağlayıcılığı olmayan, gönüllü bir rehber ve yatay bir yapay zeka kanunu çıkarmamayı bilinçli olarak tercih etmiş bir ülkede yayımlandı. İkisi farklı nitelikte metinler ve farklı işler görüyor.

Birlikte kullanılabilmelerinin nedeni de tam olarak bu. Yasa ne yapman gerektiğini söyler, ama eline bir risk defteri, bir olasılık ölçeği ya da bir risk iştahı tablosu vermez. Araç seti bunları veriyor ve dikkate alınması gereken hukuki çerçeveler arasında yürürlükteki yapay zeka mevzuatını, AB Yapay Zeka Yasası'nı da anarak, açıkça sayıyor.

İngiltere, AB, Türkiye ya da Körfez'de faaliyet gösteren bir şirket için pratik okuma şu: hukuki yükümlülüklerini yasadan çıkar, o yükümlülükleri haftalık kararlara dönüştüren işletim mekanizmasını ise araç setinden kur. Uyum sorusu hukukun ne istediğidir. Yönetişim sorusu ise kararı kimin verdiği, hangi bilgiye dayandığı ve bir aksilik çıktığında ne olacağıdır. Araç seti ikinci soruyu cevaplıyor.

Bir hafta içinde nasıl uygulanır?

Başlamak için kapsamlı bir yönetişim programına ihtiyacın yok. Tek bir sistem ve tek bir tablo yeterli.

Bunu tek bir sistem için yaptığında elinde diğerlerine uygulayabileceğin bir şablon oluyor. Bir haftayı, kimsenin okumayacağı bir yapay zeka politikası yazmaktan çok daha verimli geçirmiş olursun.

Dikkat edilmesi gereken üç nokta

Araç setini sorgulamadan benimsemeyi önermem. Üç konu özen istiyor.

Halüsinasyon riskinin devretme olarak ele alınması. Araç setinin işleme tablosu, yapay zekanın ürettiği içeriğin doğruluğunun son kullanıcı tarafından kontrol edilmesini bir devretme önlemi olarak gösteriyor. Eğitimli personelin çalıştığı bir kamu kurumunda bu yaklaşım tutarlı olabilir. Tüketiciye ürün sunan bir şirket için ise zayıf bir pozisyon. Tüketici hukuku karşısında sorumluluk sözleşmeyle bu kadar kolay devredilemiyor; AB Yapay Zeka Yasası'nın şeffaflık yükümlülükleri açısından da "çıktıyı siz doğrulayın" demek, içeriği yapay zeka ürünü olarak işaretleme yükümlülüğünün yerine geçmiyor. Bunu bir kontrol önlemi olarak kullan, sorumluluğun devri olarak değil.

Etki eşiklerinin yeniden ölçeklenmesi gerekiyor. Sterlin cinsinden eşikler ve kesinti süreleri devlet operasyonlarına göre belirlenmiş. Erken aşama bir girişimle bir bakanlık aynı ölçekte değerlendirilemez. Yapıyı koru, rakamları kendi önemlilik eşiğine göre yeniden yaz.

Gönüllü rehbere uymak bir savunma oluşturmaz. Araç setini uygulamak hiçbir ülkede, İngiltere dahil, hukuki uyum sağlamıyor. Sağladığı şey, kararlarının belgelenmiş ve savunulabilir olması. Bir düzenleyici ya da davacı "bu kararı nasıl verdiniz" diye sorduğunda bunun değeri büyük. Ne var ki bu, uyumdan farklı bir fayda ve hangisini satın aldığını bilmekte fayda var.

Sık sorulan sorular

Bu araç setini uygulamak zorunlu mu? Hayır. DSIT tarafından İngiltere kamu kurumları için yayımlanmış bir rehber. Hiçbir hukuki yükümlülük doğurmuyor, özel şirketler gönüllü olarak kullanıyor.

Özel bir şirket kullanabilir mi? Kullanabilir ve yapı büyük ölçüde aktarılabiliyor. Etki eşiklerini uyarlaman, kamu yönetişimine yapılan atıfları kendi yapınla değiştirmen ve kamu kurumlarına özgü yükümlülüklere ilişkin soruları çıkarman gerekir.

NIST yapay zeka risk çerçevesinden farkı ne? NIST'in çerçevesi daha geniş ve kavramsal; yönetme, haritalama, ölçme ve yönetişim gibi işlevler etrafında kurgulanmış. İngiltere'nin araç seti ise daha dar ve daha operasyonel; ölçekler, iştah tanımları, çalışma kitabı ve izleme panosu veriyor. Birçok kuruluş yapıyı NIST'ten, uygulamayı ise bunun gibi araç setlerinden alıyor.

AB Yapay Zeka Yasası uyumuna yardımcı olur mu? Dolaylı olarak. Yasanın yükümlülükleriyle birebir eşleşmiyor ve tek başına uyum sağlamıyor. Sağladığı şey, uyumu göstermeyi çok daha kolaylaştıran risk yönetimi altyapısı. Ayrıca dikkate alınacak çerçeveler arasında yürürlükteki yapay zeka mevzuatını açıkça sayıyor.

Çalışma kitabına nereden ulaşılır? Rehber ve ekleri GOV.UK üzerinde Open Government Licence kapsamında yayımlanmış durumda; atıf vermek kaydıyla yeniden kullanılabiliyor ve uyarlanabiliyor.

En işe yarayan bölümü hangisi? Risk iştahı tanımları. Kuruluşların çoğu ne kadar yapay zeka riskini kabul etmeye hazır olduğunu hiç yazıya dökmemiştir; yapay zeka kararlarının tıkanmasının ya da her seferinde farklı verilmesinin sebebi de budur. Her kategori için tanımlanmış beş seviye, bu sorunu belgedeki diğer her şeyden daha hızlı çözüyor.

Sonuç

Bu araç setinin değeri yenilikçiliğinden gelmiyor. İçindeki hiçbir şey bir risk uzmanını şaşırtmaz ve bu bilinçli bir tercih: metin, yapay zeka risk yönetiminin ilkelerinin yazılım geliştirme ve veri bilimi pratiğiyle ortak olduğunu açıkça söylüyor.

Değeri, yapay zeka politikasına sahip olmakla yapay zeka işletim çerçevesine sahip olmak arasındaki boşluğu kapatmasında. Yapay zeka pilot projelerden üretime geçtikçe soru da değişiyor: artık ilkelerini yazıya döküp dökmediğin değil, bir kararın sahibinin kim olduğunu, hangi bilgiye dayandığını, neyi neden kabul ettiğini gösterebilip gösteremediğin soruluyor.

İngiltere bu soruya çalışan bir cevabı ücretsiz olarak yayımladı. İhtiyaç duymadan önce uyarlamakta fayda var.