Çoğu Yapay Zekâ Yönetişimi Stratejisi Neden Şimdiden Sorun Yaşıyor?

Evrak işleri uyumluluğu tamamlanmış gibi gösterebilir. Hukuk birimi onay verir, sözleşmeler koruma vadeden bir tazminat maddesiyle dosyalanır. Ancak bu adımlar çoğu zaman güvenliğin gerçekliğinden ziyade bir güvenlik yanılsaması yaratır.

Yakın zamanda, iş yeri yapay zekâsını çevreleyen hukuki çerçeveye ayrılmış birkaç oturumun düzenlendiği bir konferansa katıldım. Uygulamacılar, iş hukuku avukatları ve uyumluluk uzmanları, kuruluşların yapay zekâ yönetişimi stratejilerini üzerine kurduğu varsayımları iki günün büyük bölümünde didik didik etti. Ortaya çıkan tablo, yaklaşan bir tehlikeye işaret etmiyordu. Risk zaten burada.

Düzenleyici Görünüm

Federal hükümet kapsamlı bir yapay zekâ yasası çıkarmadı. Bazı yöneticilerin takılıp kaldığı gerçek bu ve bu nedenle pek çoğu risklerini olduğundan düşük tahmin ediyor. Gerçek tablo; eyalet yasaları, yerel düzenlemeler ve uygulanmak için yeni, yapay zekâya özgü düzenlemeler gerektirmeyen mevcut federal yasanın oluşturduğu bir yamalı bohçadır.

Kelly ve konferansta konuşan diğer tüm avukatlar, bu yanlış değerlendirmenin kuruluşlara neye mal olduğu konusunda oldukça doğrudandı. Eşitliği Yeniden Tasarlamak İçin İşe Alım Girişimi'ni de içeren EEOC'nin 2024–2028 stratejik öncelikleri, görünüşte tarafsız sistemlere, yani açıkça ayrımcılık yapmayan ancak ayrımcı sonuçlar üreten araçlara özel önem veriyor. 

Federal yasa bunu zaten kapsıyor. Avrupa'da faaliyetleri veya istihdam faaliyetleri bulunan tüm kuruluşlara uygulanan AB Yapay Zekâ Yasası da öyle. 

Şirketin insan kaynakları yazılımının başvuru sahiplerine yaş ve ırk temelinde ayrımcılık yaptığını iddia eden ve artık kötü şöhrete sahip olan Workday davası, hukuki riskin Kongre'yi beklemediğini açıkça gösterdi.

Keşfedilebilirlik Sorunu

Konferanstaki en sarsıcı konuşmalardan biri belgelerle ilgiliydi. Daha doğrusu, yapay zekâ kararlarınız keşif sürecine girdiğinde ne olduğu ile ilgiliydi.

Yapay zekâ istemleri mahkeme celbiyle talep edilebilir. İşe alım, performans yönetimi veya ücretlendirme süreçlerinde kullanılan iç mantık, karar girdileri ve model yapılandırmaları delil olarak istenebilir. Dört yıl geriye uzanan ayrıntılı yapay zekâ karar kayıtlarını sunamayan kuruluşlar, hem davalarda hem de düzenleyici incelemelerde ciddi bir riskle karşı karşıya kalır.

Bu teorik bir durum değil. Yapay zekâ aracıları İK operasyonlarında daha özerk roller üstlendikçe, sorumluluk meselesi daha da keskinleşiyor. Ajan tabanlı bir sistem önemli bir istihdam kararını verdiğinde veya etkilediğinde ve işler ters gittiğinde, hukuk sorumluluğu satıcıya değil, doğrudan işverene yüklüyor. 

Ajanlar için kusursuz sorumluluk, kuruluşu tam olarak anlamayabileceği araçların ürettiği sonuçların sorumluluğunu üstlenmek zorunda bırakıyor.

Belge saklama gereklilikleri de buna bağlı olarak değişiyor. Keşfedilebilirlik göz önünde bulundurularak oluşturulmamış yönetişimin baskı altında yeniden yapılandırılması gerekecek.

Önyargı Gerçekte Nereden Giriyor?

Çoğu kuruluş yapay zekâdaki önyargıyı satıcı sorunu olarak ele alıyor. Bir yapay zekâ aracı satın alıyor, denetlenip denetlenmediğini soruyor, evet yanıtının bir biçimini alıyor ve yoluna devam ediyor. Hukuk ve uyumluluk topluluğu, bunun ne kadar eksik olduğunu dile getirmeye başladı.

Önyargı, yapay zekâ sistemlerine geçmiş veriler, başarı tanımları, eleme filtreleri ve vekil değişkenler aracılığıyla girer. Bir yapay zekâ sistemi kimin işe alındığına, kimin terfi ettirildiğine ve performans değerlendirmelerinin nasıl göründüğüne ilişkin yıllarca birikmiş verilerle eğitildiğinde, kuruluşun tercihlerini öğrenir. Bu tercihler çoğu zaman kimsenin kasıtlı olarak tasarlamadığı, ancak modelin kodlayıp daha sonra ölçeklendirdiği örtük ayrımcılığı taşır.

Kelly, "Önyargı büyütülüyor," diyerek "tekil kararları kurum çapında kalıplara dönüştürüyor" diye belirtti.

Farklı etkiler için hukuki standart kasıt gerektirmez. Davacının istatistiksel bir eşitsizliği göstermesi gerekir ve eşik zaten tanımlanmıştır. Beşte dört kuralı veya %80 kuralı olarak da bilinen kurala göre, korunan bir grubun seçilme oranı en yüksek oranda seçilen grubun oranının %80'inden düşükse bu, farklı etkinin kanıtı sayılır. 

Ayda binlerce özgeçmiş taraması yapan bir yapay zekâ aracı, şirketteki tek bir kişinin bile bunun gerçekleşmesini istemesine gerek kalmadan bu eşiği aşabilir.

Washington Üniversitesi tarafından yürütülen ve bir oturum sırasında atıfta bulunulan çalışma, sorunun boyutunu ortaya koydu. Yapay zekâ tarama sistemlerinde Siyah erkek adayların isimleri beyaz erkek adayların isimleriyle karşılaştırıldığında, sistemler zamanın yüzde sıfırında Siyah isimleri tercih etti.

Kasıtlı ayrımcılığı kapsayan farklı muamele standardı, yapay zekâya özgü bazı zorlukları da beraberinde getiriyor. Korunan özelliklerin açık veri noktaları olarak kullanıldığı doğrudan girdiler bunun en bariz örneğidir. Ancak, bir tarama aracının yaşlı adayları filtreleme eğiliminde olması nedeniyle belirli bir tedarikçiyi seçmek ve bunu kurum içinde "hızlı tempolu bir kültür" tercihi olarak ifade etmek gibi gizli saikleri tespit etmek ve bunlara karşı savunma geliştirmek daha zordur. 

Bu çerçeveleme, hukuki açıdan niyeti geçersiz kılmaz.

Tedarikçi Odaklı Denetim Neden Başarısız Olur?

Çoğu kurumdaki varsayılan yönetişim modeli tedarikçi ilişkisi üzerinden yürütülür. Varsayım, bir tedarikçinin aracı sertifikasyondan geçer veya denetim belgeleriyle birlikte sunulursa kurumun yükümlülüklerini yerine getirmiş olduğudur.

Bu varsayım ne hukukla ne de operasyonel gerçeklikle karşılaştığında ayakta kalır.

"Günün sonunda sorumluluk kurumda olacak," dedi Kelly. "Tüm risk aynı kaynaktan çıkacak. Uyumluluk, risk veya hukuk alanlarındaki herhangi kişilerle çalışarak kendi yetki alanlarındaki riski azaltmaya uğraşabilirsiniz, ancak bunu yapmanın tek yolu kurumunuzdaki insanların ne kullandığınızı ve bunu ne amaçla kullandığınızı anlamasıdır. İşe alım ekibinizin risk açısından test etmediğimiz bir teknoloji kullandığını gözden kaçırdıysam, yaptığımız iş bir ölçüde anlamsızdır."

Schellman'da direktör olan Chris Lippert, sorunun bir parçası olarak tedarikçi sertifikasyonu ortamına dikkat çekti. İK işlevlerinde kullanılan birçok yapay zekâ aracı bağımsız olarak sertifikalandırılmamıştır. 

Daha yaygın olarak benimsenen aday takip platformlarından biri olan Greenhouse, ISO/IEC 42001 sertifikasını ancak bu yılın şubat ayında aldı. Bunun sektör açısından anlamı, kurumların yapay zekâ destekli işlevleri araçlar doğrulanmadan çok önce benimsemiş olması ve birçoğunun hâlâ incelenmemiş sürümlerle çalışmasıdır.

Lippert, kurumların muhtemelen daha önce tamamladığı gizlilik etki değerlendirmeleri üzerine inşa edilmesini önerdi. Yapay zekâ risk incelemesinin sıfırdan oluşturulması gerekmiyor. Aynı paydaşlar, aynı analitik çerçeveler ve aynı belgeleme altyapısının büyük bir bölümü çoğu uyumluluk programında zaten mevcut. 

Yapay zekâ yönetişimini ayrı bir girişim olarak görmek yerine bu çalışmanın bir uzantısı olarak ele almak, onu daha uygulanabilir ve daha kalıcı hâle getirir.

Üst Yönetimdeki Yönetişim Açığı

Operasyonel yönetişim gerekliliklerini listelemek karmaşık değildir.

• İnsan denetimi kontrol noktaları
• Doğrulama sıklığı
• Tedarikçi hesap verebilirliği
• Sonuçların izlenmesi
• Belgeleme,
• Sürüm kontrolü

Bunların tümü iyi anlaşılmıştır. Ancak birçok kurumda daha az net olan konu, bunların sorumluluğunun kimde olduğu ve kurumsal yetkiye sahip birinin bunları aktif olarak izleyip izlemediğidir.

Howard'ın bu noktası daha geniş bir başarısızlık biçimine işaret ediyor. Yönetici talimatı ve net hesap verebilirlik olmadan ekip veya işlev düzeyinde oluşturulan yönetişim yapıları tutarsız biçimde uygulanma ve yürürlüğe konulmada zorluk yaşama eğilimindedir.

Bir iş birimi yerleşik bir inceleme sürecinden geçmeden yeni bir yapay zekâ aracı benimsediğinde, bunun yarattığı boşluk bir şikâyet, dava veya düzenleyici kurum soruşturması ortaya çıkana kadar görünür olmaz.

Model kayması bunu daha da karmaşıklaştırır. Yapay zekâ araçları zaman içinde değişir; bazen tedarikçi güncellemeleri, bazen de işledikleri temel verilerdeki değişimler yoluyla. Dağıtım sırasında önyargı denetiminden geçen bir araç, on sekiz ay sonra aynı denetimden geçemeyebilir.

"Modeller kaydıkça devraldığınız risk de artar," dedi Howard. "Bir şeyler ters göründüğünde çalışanlarınızı seslerini çıkarmaları için yetkilendirmeniz gerekir."

Kendi Koşullarınızda Test

Zorunlu bir federal çerçevenin bulunmaması, kuruluşların kendi test protokollerini büyük ölçüde kendilerinin tasarlaması gerektiği anlamına geliyor. Kelly'nin bu konudaki tavsiyesi netti.

"Kendi başınasınız," dedi. "Gerçek bu.

Pratik sonucu şu: kuruluşların kendi önyargı testlerini sürekli olarak yürütmesi ve bunu hukuki koruma altında yapması gerekiyor. Testlerin avukat-müvekkil gizliliği kapsamında gerçekleştirilmesi, kuruluşların bu sorunlara ilişkin keşfedilebilir delil ortaya çıkarmadan sorunları tespit etmesine olanak tanır. 

Bu, özellikle işe alımda yapay zekâ kullanan kuruluşlar için getirisi açık bir yatırımdır; zira hukuki riskin en yüksek, belgelendirme gerekliliklerinin ise en ağır olduğu alan burasıdır.

Bu konuda öne geçen kuruluşlar, işi tedarikçinin yaptığı varsayımından vazgeçti ve yapay zekâ yönetişimini operasyonel bir disiplin olarak ele almaya başladı; gerçek sahiplenme, gerçek test ve gerçek hesap verebilirlik sağlıyorlar.