Finans Sektöründe Yapay Zekâ Kullanımı

Finans Sektöründe Yapay Zekâ Kullanımı

Nerede Değer Üretir, Nerede Risk Yaratır?

Yapay zekâ (YZ), finans sektöründe artık “geleceğin teknolojisi” değil, günlük operasyonların bir parçası. Müşteri deneyiminden pazarlamaya, insan kaynaklarından risk yönetimine ve operasyonel süreçlere kadar birçok alanda hız, verimlilik ve öngörü kabiliyeti sağlıyor.

Ancak yapay zekânın sunduğu bu fırsatlar, net sınırlar ve güçlü kontroller olmadan kullanıldığında; hukuki, operasyonel ve itibari risklere hızla dönüşebiliyor. Bu nedenle kurumlarda yapay zekâ kullanımı, “kullanıp kullanmamak”tan ziyade “nasıl ve hangi çerçevede kullanılacağı” sorusu üzerinden ele alınmalıdır.

Bu yazıda, finans sektörü faaliyetlerinde yapay zekânın hangi alanlarda, hangi ilkelerle ve hangi riskler gözetilerek kullanılması gerektiğini ele alıyorum. Anlatılan yaklaşım, BDDK beklentileri ve ISO/IEC 42001:2023 Yapay Zekâ Yönetim Sistemi (AIMS) ile uyumlu bir çerçeve sunmayı hedefliyor.

Neden Yapay Zekâ Bir Standart Çerçevesinde Yönetilmeli?

Yapay zekâ kullanımı, bireysel inisiyatiflerle veya dağınık çözümlerle yönetilebilecek bir alan değildir. Finans sektöründe bu konunun bir standart altında ele alınmasının temel amaçları şunlardır:

• Yapay zekânın kurum süreçlerinde uçtan uca nasıl yönetileceğini netleştirmek
• Yapay zekâdan kaynaklanan riskleri sistematik ve izlenebilir hale getirmek
• Mevzuat ve denetim gerekliliklerine sürdürülebilir uyum sağlamak

Bu kapsamda tüm yapay zekâ uygulamaları, Kurum’un Bilgi Güvenliği Politikası ile uyumlu şekilde ele alınmalı ve bu politikanın doğal bir uzantısı olarak işletilmelidir.

Yapay Zekâ Denildiğinde Neyi Kastediyoruz?

Yapay zekâ denildiğinde yalnızca tek bir uygulama veya model düşünülmemelidir. Kurumlar genelinde oldukça geniş bir kullanım alanı söz konusudur. Bu kapsamda:

• Kurumun tüm iş birimlerinde kullanılan yapay zekâ çözümleri
• Karar, öneri, tahmin veya otomasyon amaçlı YZ mekanizmaları
• Kurum tarafından geliştirilen ya da üçüncü taraflardan tedarik edilen YZ tabanlı ürünler

aynı yönetişim ve kontrol çerçevesi içinde değerlendirilmelidir.

Kim Ne Yapıyor? Sorumluluklar Nasıl Tanımlanmalı?

Yapay zekâ riskleri, klasik IT risklerinden farklıdır. Bu nedenle “sistem çalışıyor mu?” sorusu tek başına yeterli değildir.

Aşağıdaki konular açık ve net biçimde tanımlanmalıdır:

• Yapay zekâ kullanılan sistem ve süreçler
• Bu sistemlerden sorumlu ekipler
• Yapay zekânın karar ve etki alanı
• Sorun yaşanması halinde izlenecek aksiyonlar ve sorumluluk zinciri

Bu netlik sağlanmadığında, sorumluluk bulanıklığı ve kontrol zafiyetleri kaçınılmaz hale gelir.

Altın Kural: Yapay Zekâ Ne Yapmalı, Ne Yapmamalı?

Yapay zekâ;

• Karar veren değil, karar destekleyen
• Risk iştahını belirleyen değil, risk görünürlüğü sağlayan
• İnsanın yerine geçen değil, insanı güçlendiren

bir araç olarak konumlandırılmalıdır.

Bu yaklaşımın hayata geçirilebilmesi için, yapay zekânın rol ve sorumlulukları net biçimde tanımlanmalı ve kurumun tüm YZ kullanım alanlarını kapsayan bir Yapay Zekâ Kullanım Envanteri oluşturulmalıdır. Bu ilke, tüm kullanım senaryoları için bağlayıcıdır.

Yapay Zekâ Nasıl Kontrol Altında Tutulur?

Yapay zekâ, kontrolsüz şekilde yaygınlaştırıldığında faydadan çok risk üretir. Bu nedenle kullanımın standart bir yapı altında ve kontrollü biçimde yönetilmesi gerekir.

Buradaki en kritik araç Yapay Zekâ Envanteridir.

YZ Envanteri; kurumun yapay zekâyı nerede, nasıl ve hangi risk seviyesinde kullandığını tek bir çerçevede görünür kılar. Envanter olmadan yapay zekâ kaynaklı riskler çoğu zaman fark edilmez ve zamanla kontrol edilemez hale gelir.

ISO/IEC 42001:2023 dikkate alındığında, YZ Envanteri asgari olarak şu bilgileri içermelidir:

• Yapay zekânın kullanıldığı sistem ve süreçler
• İlgili varlıkların sahipleri
• Bağlı olduğu iş süreçleri
• Kullanılan veri türleri (KVKK kapsamı dâhil)
• Yapay zekânın rolü (otomasyon, tahmin, yönlendirme vb.)
• Kullanılan model bilgileri
• Sistem kritiklik seviyesi
• Bulut kullanım durumu ve mevzuat uyumu

Yapay Zekâ Nerelerde Kullanılabilir?

Yapay zekâ kullanılan her süreçte:

• Etkilenen iş süreçleri
• Kullanılan sistemler
• İşlenen veri türleri

net olarak belirlenmeli ve belirlenen periyotlarda Üst Yönetime raporlanmalıdır.

Örnek Kullanım Alanları

• Model performansı ve drift izleme
• Alarm ve eşik yönetimi
• CV ön eleme ve yetkinlik eşleştirme
• Anomali ve örüntü tespiti
• Şüpheli işlem alarm üretimi
• Ön kredi değerlendirmesi ve skor önerileri
• Risk parametrelerinin tahmini
• Portföy bazlı erken uyarı göstergeleri
• Denetim bulgularının önceliklendirilmesi
• Kişiselleştirilmiş kampanya önerileri
• Zero-day davranış analizi
• Anormal erişim ve yetki kullanımı tespiti

Yapay Zekânın Sınırları Nasıl Çizilmeli?

Bazı alanlarda yapay zekâ kullanımı, hukuki ve etik açıdan ciddi riskler barındırır. Bu nedenle aşağıdaki senaryolarda YZ kullanılmamalıdır:

• Geri döndürülemez hukuki veya finansal kararların tamamen YZ tarafından verilmesi
• Müşteri açıkça bilgilendirilmeden profil çıkarımı yapılması
• Açıklanabilirliği olmayan “kara kutu” modellerle kritik karar alma
• Özel nitelikli kişisel verilerin YZ eğitiminde kullanılması
• Tam otomatik karar alma süreçleri

Yapay Zekâ Riskleri Nasıl Yönetilmeli?

Yapay zekâ çözümleri; tasarım, geliştirme, canlıya alma ve işletim aşamalarının tamamında uçtan uca bir risk perspektifiyle değerlendirilmelidir.

Asgari olarak aşağıdaki risk başlıkları dikkate alınmalıdır:

• Model riski (bias, drift, doğruluk kaybı, güvenlik riskleri)
• Hukuki ve mevzuata uyum riski
• Operasyonel risk
• Bilgi güvenliği riski
• İtibar riski

Bu değerlendirmeler, kurumun BT Risk Yönetimi Süreci kapsamında yürütülmelidir.

Sürekli Gözden Geçirme: İşin Olmazsa Olmazı

Yapay Zekâ Kullanım Envanteri yılda en az bir kez gözden geçirilmelidir. Risk seviyelerinde değişiklik olup olmadığı değerlendirilerek gerekli aksiyonlar planlanmalıdır.

Ayrıca kullanımı sonlandırılan yapay zekâ uygulama ve süreçleri de envanterde açıkça belirtilmelidir.

Son Söz

Yapay zekâ kurumlar için güçlü bir kaldıraçtır. Ancak bu kaldıraç ancak doğru sınırlar, güçlü yönetişim ve sürekli risk farkındalığı ile güvenli şekilde kullanılabilir.