Denetimde yapay zekaya güveniyoruz… Ama o kadar da değil

Selim ELBAN
PwC Türkiye Şirket Ortağı

Müfettiş Gadget’ı hatırlayan­lar iyi bilir sonsuz sayıda “icat” çıkarıp, her seferinde bun­ların bir kısmının ters tepmesine alışığız. Denetimde yapay zeka kullanımıyla ilgili bu yazıyı kale­me alırken, ben de benzer bir ka­deri kabul ediyorum: Bu satırlar, orta vadede büyük ihtimalle ken­dini hükümsüz bırakacak. Çünkü hepimiz biliyoruz ki; yapay zeka­nın denetimde kullanımı çok da­ha sofistike, güvenilir ve yaygın hale gelecek. Yine de bugün, bilgi sistemleri denetimi yapan ve bu alanda kararlar vermek zorunda olan bir denetçi olarak, tek bir so­ruya hala yüzde yüz net bir cevap veremiyorum:

Denetimde yapay zeka kulla­nımına ve ürettiklerine ne kadar güveniyoruz?

Bu “tam cevap verememe” hali sadece bir tereddüt değil, aynı za­manda sağlıklı bir öz farkındalık.

Denetimin doğasında yer alan mesleki şüpheciliği, şimdi tek­nolojiye ve algoritmalara da yö­neltmek zorundayız. Yapay ze­kayı kullanıyoruz, kullanmak zo­rundayız; ancak elimizdeki tüm parlak araçlara rağmen hala es­ki usul teyit yöntemlerine, kla­sik denetim reflekslerine ve in­san yargısına sıkı sıkıya bağlı­yız. Çünkü şimdilik, “o kadar da değil” diyebileceğimiz bir eşiğin tam üzerindeyiz.

Bilgi sistemleri denetimi ala­nında yapay zekayı birkaç cep­hede yoğun şekilde kullanıyo­ruz: Büyük veri setlerinin analizi, anomali tespiti, olağandışı işlem desenlerini yakalama, kontrolle­rin etkinliğini ölçmeye yardımcı olacak skorlamalar…

Üstelik bu araçlar sadece hız kazandırmıyor; birçok durumda yıllarca gözden kaçabilecek risk­leri de ortaya çıkarabiliyor.

Örneğin, milyonlarca log kay­dı içerisinden belirli bir kulla­nıcı profiline ait sıra dışı erişim desenlerini manuel yöntemler­le saptamak neredeyse imkansız­ken, iyi eğitilmiş bir model bunu dakikalar içinde işaretleyebiliyor.

Asıl tehlike “sessiz hata”dır

Ama işte tam burada kritik so­ru başlıyor: Bu işaretlemeye ne kadar güvenebilirim? Daha da önemlisi: Bu işaretleme yapılma­dığında, yani yapay zeka bir riski “görmediğinde”, gerçekten risk yok mudur? Denetim pratiğin­de asıl tehlikeli olan, çoğu zaman “yanlış alarm” değil “sessiz ha­ta”dır. Biz yapay zeka araçlarıyla ikincisini ne kadar kontrol ede­biliyoruz?

Bugünün teknolojisinde, de­netimde kullandığımız yapay ze­ka modellerinin önemli bir bölü­mü, veriye bağımlı ve içinde bu­lundukları bağlama, yani duruma göre çok değişken.

Eğitim veri setleri, modelin ta­sarım tercihleri, hatta organizas­yonun kendi süreç kültürü, yapay zekanın bize gösterdiği resmin sınırlarını çiziyor. Yani elimizde, geçmiş davranış biçimlerini ve tanımlanmış riskleri son derece ustaca analiz edebilen; fakat ta­nımını yapmadığımız yeni risk­lere karşı aynı derecede kör ola­bilen bir araç var. Denetçi olarak bunu peşinen kabul etmemiz ge­rekiyor.

Psikolojik rahatlık yaratabiliyor

Burada devreye klasik denetim disiplininin değişmeyen ilkeleri giriyor: Güven ama teyit et. Mes­leki şüpheciliği elden bırakma. Farklı kaynaklardan kanıt topla. Yapay zekanın bize sunduğu bul­guları, tek başına “denetim kanı­tı” olarak değil, güçlü bir “ihbar hattı” veya “ön tarama filtresi” olarak görmek daha sağlıklı. Şu anki pratikte, yapay zeka modül­lerinin ürettiği çıktıları manuel yöntemlerle örnekleme yaparak, kontrolleri yeniden test ederek ve gerekiyorsa süreç sahipleriyle detaylı görüşmeler yaparak çap­raz doğrulama ihtiyacı duyuyo­ruz. Yani bir anlamda, yapay ze­kaya güvenerek hızlanıyor; ama insan yargısını devreye alarak son kararı yine klasik denetim yöntemlerine dayandırıyoruz.

Bu da bizi, teknolojik heyeca­nın yarattığı başka bir riske gö­türüyor: Teknolojik çıktıları sor­gusuz kabul etme eğilimi. “Bunu sistem söyledi” cümlesi, özellik­le yöneticiler ve bazen de denet­çiler için, farkında olmadan sor­gulamayı azalttığı bir psikolojik rahatlık yaratabiliyor. Oysa de­netim, tanımı gereği rahatsız edi­ci sorular sorma sanatıdır. Bir ya­pay zeka modelinin ürettiği çıktı, kaynağı ne kadar sofistike olursa olsun, bu sorgulamadan muaf de­ğildir; bilakis, çoğu zaman daha yoğun sorgulamayı hak eder.

Reflekslerimizi kaybetmeyelim

Denetimde yapay zeka kullanı­mı konusunda bugün geldiğimiz noktada, dürüst bir yanıt vermek gerekirse, yüzde yüz bir güven seviyesinden bahsetmek müm­kün değil. Zaten denetimde “yüz­de yüz güven” kavramı, teknoloji öncesi dönemde dahi hiçbir za­man gerçekçi olmadı. Yapay ze­kanın gücü, denetim kapsamını genişletmemizde, hızımızı artır­mamızda ve daha önce göremedi­ğimiz desenleri fark etmemizde yatıyor; zayıflığı ise sınırlarının çoğu zaman bizim tarafımızdan bile tam olarak öngörülememe­sinde.

Bu nedenle verilmesi gereken asıl mesaj, “Denetimde yapay ze­ka kullanmayalım” değil; “Dene­timde yapay zeka kullanalım ama eski usul denetim reflekslerimi­zi kaybetmeyelim” olmalı. Kont­rol prosedürlerimizi, örnekleme mantığımızı, süreç sorgulama alışkanlığımızı ve en önemlisi mesleki şüpheciliğimizi, yapay zekanın sunduğu kolaylıklara fe­da etmemeliyiz. Yapay zekadan gelen bulguları, kendi denetim kanıtı ekosistemimizin içine, in­san yargısının filtrelediği, klasik test ve teyitlerin desteklediği bir katman olarak yerleştirmek bu­gün için en sağlıklı yaklaşım.

Evet, bu yazı muhtemelen bir­kaç yıl içinde, daha olgunlaşmış yapay zeka çözümleri ve daha net düzenleyici çerçeveler ortaya çıktıkça, bir anlamda kendini im­ha edecek. Belki o gün geldiğinde, bugün “mutlaka manuel teyit” dediğimiz pek çok adımı otoma­tikleşmiş, standardize olmuş ve yapay zeka ile güvenli şekilde en­tegre halde bulacağız. Ama o gün gelene kadar, her yeniliğe tem­kinle yaklaşan o sağduyuyu koru­mak zorundayız.

Denetimde yapay zekaya gü­veniyoruz. Ama, o kadar da değil. En azından şimdilik.