Bir risk kaydı, olayın nasıl oluştuğunu ve kim üzerinde hangi etkiyi yaratabileceğini açıklamalıdır. “Halüsinasyon riski” başlığı ancak somut bir zarar yolu ile birlikte test edilebilir hale gelir.
neden taksonomi? çünkü kapsam kararı sınıflandırmayla başlar
Taksonomi kulağa akademik gelir ama pratikte çok somut bir işe yarar: kapsam ve derinlik kararının gerekçesini üretir. "Bu use-case için hangi testleri koşacağız?" sorusunun disiplinli cevabı, "bu sistem hangi risk katmanlarını taşıyor?" sorusundan geçer. Taksonomisi olmayan ekip her sisteme ya aynı şablonu uygular (verimsiz) ya da sezgiyle seçer (savunulamaz).
İkinci pratik işlev: ortak dil. "AI riski" dendiğinde hukukçu compliance'ı, güvenlikçi injection'ı, model geliştirici overfitting'i düşünür. Komitede sağlıklı tartışma, herkesin aynı haritaya bakmasıyla mümkün olur. Üçüncü işlev: boşluk tespiti. Harita çizilince "bu riskin kontrolü yok" veya "bu kontrolün sahibi yok" satırları kendiliğinden görünür hale gelir.
Bu modülün taksonomisi "tek doğru" değildir — NIST AI RMF, EU AI Act ve akademik sınıflandırmalar farklı kesitler kullanır. Burada validasyon işine en uygun kesiti kullanıyoruz: risk, hangi teknoloji katmanında doğuyor? Çünkü validasyon planı katman üzerinden kurulur: katman yoksa test de yok.
dört katman: her katmana tıkla
Katmanlar iç içedir: her yeni katman öncekilerin tüm risklerini devralır ve üstüne kendi risklerini ekler. Agent tabanlı bir sistem, dört katmanın toplam riskini taşır — bu yüzden en ağır validasyon yükü oradadır.
Katman 1Model Riskher nicel model
Klasik dünya: veri, metodoloji, performans, kullanım hataları. Skorkarttan XGBoost'a her modelde var.
Eylem yetkisinin getirdikleri: çok adımlı hata birikimi, yetki aşımı, geri alınamaz aksiyonlar, insan gözetiminin seyrelmesi.
Sık yapılan hata: katmanları teknoloji hype'ı sanmak. Katman 4'ün riski "agent moda olduğu için" yüksek değil; hata ile zarar arasındaki mesafe kısaldığı için yüksek. Skorkart yanılırsa insan karar verir; agent yanılırsa işlem gerçekleşir. Risk sıralaması teknolojinin yeniliğine değil, hatanın zarara dönüşme hızına ve geri alınabilirliğine dayanır.
risk evreni haritası: katmana göre filtrele
Aşağıda serinin tamamında işleyeceğimiz risk evreninin özeti var — 18 risk, 4 katman. Filtre düğmeleriyle her katmanın kendi getirdiği riskleri vurgula. Unutma: üst katman seçtiğinde alttakiler de geçerli olmaya devam ediyor; harita "hangi katman ne ekliyor" sorusuna cevap veriyor.
ai risk evreni — 18 risk
18 riskin tamamı görünüyor. Bir katman seç; o katmanın eklediği riskler vurgulanır, diğerleri soluklaşır.
Validasyon lensi: Haritadaki her risk üç şeye bağlanmalı: kontrol (bu riski ne sınırlıyor?), test (kontrolün çalıştığını nasıl kanıtlarız?) ve metrik (üretimde neyi izliyoruz?). Risk–kontrol–test–metrik zinciri kopuksa, risk "biliniyor" ama "yönetilmiyor" demektir. Validasyon raporunun omurgası bu zincirdir.
register üretici: use-case seç, risk profili gör
Taksonominin sahadaki hali risk register'dır: use-case'e özgü, önceliklendirilmiş, kontrole bağlanmış risk listesi. Üç örnek use-case için basitleştirilmiş register'ları karşılaştır — aynı bankada, üç farklı risk profili:
use-case → risk register
Bir use-case seç.
Risk
Katman
Önem
Ana kontrol
Validasyon testi
Risk kaydı kullanımın mimarisine göre şekillenir. Tablo verisiyle çalışan bir ML modelinde veri kalitesi ve karar hataları; RAG asistanında belge erişimi ve yanıt kalitesi; araç kullanan ajanda bunlara ek olarak yetki ve işlem güvenliği öne çıkabilir. Metin veya araç katmanı bulunan hibrit sistemlerde riskler birlikte değerlendirilir.
Register'ın en çok ihmal edilen sütunu son ikisidir: kontrol ve test. "Risk: halüsinasyon — Önem: yüksek" yazmak kolay; "Kontrol: groundedness eşiği %X + kaynak zorunluluğu; Test: 500 soruluk golden set, çeyreklik" yazmak işin kendisidir. Kontrolsüz risk satırı, risk yönetimi değil risk envanteridir.
Risk kaydından teste
Bir risk kaydı, olayın nasıl oluştuğunu ve kim üzerinde hangi etkiyi yaratabileceğini açıklamalıdır. “Halüsinasyon riski” başlığı ancak somut bir zarar yolu ile birlikte test edilebilir hale gelir.
Kontrolün varlığı ile etkinliği ayrı kayıtlardır. Başlangıç riski, kontrol kanıtı, kalan risk ve sorumluluklar arasında izlenebilir bir bağlantı kurulur.
anahtar çıkarımlar
taksonomi, kapsam kararının gerekçe motorudur
"Hangi testler?" sorusu "hangi katmanlar?" sorusundan türetilir. Sınıflandırma olmadan derinlik kararı ya şablonculuğa ya da sezgiye düşer — ikisi de savunulamaz.
katmanlar devralır: üst katman = toplam risk
Agent tabanlı sistem dört katmanın toplamını taşır. Risk sıralamasının ölçüsü teknolojinin yeniliği değil; hatanın zarara dönüşme hızı ve geri alınabilirliğidir.
risk–kontrol–test–metrik zinciri kopmamalı
Kontrole bağlanmamış risk satırı envanterdir, yönetim değil. Validasyon raporunun omurgası bu zincirin her risk için kurulduğunu göstermektir.
register use-case'e özgüdür, şablon değil
Aynı bankada üç use-case üç farklı risk profili taşır. Şablon yaklaşımı hem kaynak israfı hem kör nokta üretir — orantılılık, tiering'in (Modül 09) temelidir.
Uygulama örneği · kurgusal vaka
karar masası: 30 sistemi nasıl önceliklendirirsin?
Senaryo: Envanterde 30 AI sistemi var; ekip bu yıl yalnız altısını derin inceleyebilir. İş birimleri projelerini düşük risk gösteriyor, olay kayıtları sistem adıyla eşleşmiyor.
Örnek değerlendirmeyi aç
DeğerlendirmeUse-case adına göre değil zarar şiddeti × maruziyet × kontrol zayıflığı × değişim/olay sinyaliyle önceliklendir. Ortak vendor ve veri hattı yoğunlaşmasını da ekle.
Gerekli kanıtEtkilenen kişi/hacim; otonomi; zarar senaryosu; kontrol testi; olay/şikâyet; ortak bağımlılıklar; son değişiklik; validasyon yaşı ve açık bulgular.
Karar kaydıİlk 10 risk kaydı ve yıllık plan: ilk altı, ertelenen artık risk, geçici kontroller, tetikleyiciler ve komite risk kabulü.