Hesap Veren Yok: Yapay Zekânın Hesap Verebilirlik Boşluğunun İçinden

Sabah 01.50'de Derek Mobley bir ret aldı. Başvurusunu bir saatten kısa süre önce yapmıştı. Hiçbir işe alım yöneticisi özgeçmişini incelememiş, hiçbir işe alım uzmanı deneyimini değerlendirmemişti.

Sistem onu işledi, bir karar verdi ve şirketten herhangi biri iş gününe başlamadan önce yoluna devam etti. Siyah ve kırk yaşın üzerinde olan Mobley, Workday'in platformu üzerinden yüzden fazla işe başvuracak ve her seferinde reddedilecekti.

2023'te açtığı dava artık ülke çapında onaylanmış bir toplu dava niteliğinde ve potansiyel olarak yüz milyonlarca başvuru sahibini kapsıyor. Workday işveren olmadığını savunuyor; bu teknik olarak doğru. İşverenler kararları kendilerinin vermediğini söylüyor; bu da teknik olarak doğru. Bir federal mahkeme, bu iki gerçeğin bir arada bulunmasının tam olarak sorun olduğuna karar verdi.

Bir platform yalnızca ölçütleri uygulamakla kalmayıp karar sürecine katılarak takdir yetkisini kullandığında, işverenin temsilcisi olarak işlev görür. Dolayısıyla sorumluluk işverene geçer. Mahkemelerin artık sorduğu soru, yapay zekânın kötü bir karar verip vermediği değil. Onu kimin izlemesi gerektiğidir.

Bu soru CHRO'ların masasına geliyor. Buna gönüllü oldukları için değil, kesinlikle bu soruyu yanıtlayacak yetkiye, bütçeye veya hukuki altyapıya sahip oldukları için de değil. Çünkü bunu birinin yapması gerekiyor ve çoğu kuruluşun yapay zekânın büyük ölçekte yarattığı insan odaklı riskin sahibi olmaya en yakın gördüğü kişiler onlar.

Her Yerde Sahiplenilen, Hiçbir Yerde Hesap Verilmeyen

PEBL Baş Hukuk Sorumlusu Sean McIntire, kuruluşların gerçek bir özenle yapay zekâ politikaları oluşturduğunu, ancak bu politikaların yönetici katıyla kararları fiilen veren kişiler arasındaki bir noktada ortadan kalktığını gözlemledi.

Bu hafta Las Vegas'ta Transform'da yapay zekâ riski üzerine düzenlenen bir panelde, "Her yerde sahipleniliyor, bir yerlerde hesap veriliyor," dedi. Bu ifade bir çözüm gibi görünüyor. Değil.

GDPR ile karşılaştırma yapıyor. Bu düzenleme geldiğinde şirketler telaşa kapıldı. Birçoğunun kişisel verilerinin nerede bulunduğuna, bunları kimin işlediğine veya gerçekte hangi yükümlülüklere sahip olduklarına dair net bir fikri yoktu.

Kaos gerçekti, ancak aynı zamanda zorlayıcı bir işlev de gördü. Bu süreçten güçlü veri yönetişimi programlarıyla çıkan kuruluşlar yalnızca uyumlu hâle gelmekle kalmadı, kalıcı olduğu kanıtlanan bir altyapı da oluşturdu.

McIntire'ın savı, yapay zekânın aynı zorlayıcı işlev öncesi aşamada olduğu ve çoğu şirketin GDPR yürürlüğe girmeden önce yaptığı gibi davrandığı yönünde: Altta yatan yapısal sorun ele alınmazken yüzeydeki tehdide tepki veriyorlar.

Açıkça ifade etmek gerekirse, söz konusu yapısal sorun şu. Yapay zekâ araçları iş gücüne öncelikle verimlilik kapısından girdi; bu kapı daha hızlı işe alıma, otomatik performans sinyallerine, ücret karşılaştırmasına ve sürekli geri bildirim döngülerine açılıyor.

Bu araçları kullanıma sunan kuruluşlar, tedarik ve yönetişimi birbirinden ayrı sorunlar olarak ele aldı. Hukuk birimi sözleşmeleri inceledi. BT güvenlik durumunu onayladı. Finans bütçeyi imzaladı. İK'ya kullanıma sunma görevi verildi ve bunu yönetmesi söylendi.

Araç birine zarar veren önemli bir karar verdiğinde riskin kime ait olduğu ise hiç kimse tarafından açıkça belirlenmedi.

McIntire'ın çerçevesi bunu tam olarak ortaya koyuyor. Yapay zekâ yönetişimi, çoğu kuruluşta tasarım gereği dağınık durumdadır. Politika mevcut. Çalışma grubu mevcut. Kullanım yönergeleri mevcut. Mevcut olmayan şey ise bir sorun çıktığında hesap verecek hem yetkiye hem de kaynaklara sahip, adı belirlenmiş bir kişidir.

Komite Saat 02.00'de Orada Değil

Veriler bunu somutlaştırıyor. Gartner'ın 1.800'den fazla üst düzey yöneticiyle yaptığı bir ankete göre, kuruluşların %55'i artık bir yapay zekâ kuruluna veya özel bir gözetim komitesine sahip olduğunu bildiriyor. Bu, McKinsey'nin tamamlayıcı verisine bakana kadar ilerleme gibi görünüyor: Kuruluşların yalnızca %28'i CEO'nun yapay zekâ yönetişim gözetimi için doğrudan sorumluluk aldığını söylüyor.

Kurulların durumu daha da kötü; yalnızca %17'si yapay zekâ yönetişimini komite tüzüklerine resmî olarak dâhil etmiş durumda.

Komiteler mevcut. Ancak hesap verebilirlik bunun ardından gelmiyor.

Juniper Square'de insan ve kültür işlevini yöneten ve orta ölçekli bir şirketten muhtemelen karşılaşabileceğiniz en operasyonel açıdan ciddi yapay zekâ yönetişimi modellerinden birini kuran Vittoria Reimers, yalnızca komitelere fazla önem vermiyor.

Onun işaret ettiği şey, yönetişim çerçevelerinin nadiren hesaba kattığı örgütsel bir gerçekliktir. En fazla risk yaratan kararlar komite odalarında alınmaz. Bu kararlar, son teslim tarihine yetişmek için model işlevselliği geliştiren mühendisler; fesih önermek üzere yapay zekâ tarafından oluşturulan performans göstergelerine göre hareket eden yöneticiler; temelindeki mantığı tam olarak anlamadıkları tarama araçlarından adayları geçiren işe alım uzmanları tarafından alınır.

Yönetişim düzenekleri, asıl işin sahip olmadığı bir soyutlama düzeyinde faaliyet gösterir.

Reimers, Juniper Square'de buna pratik bir yanıt geliştirdi. Ekibi, ACE adını verdikleri bir yapı oluşturdu. Bu yapı, kuruluşun geneline dağılmış yaklaşık on ila on iki çalışandan oluşuyor ve çalışanlar normal görevlerini sürdürürken gayriresmî yapay zekâ danışmanları olarak işlev görüyor.

Mesaj doğrudandı: Bir şey geliştiriyorsanız ve bunun güvenli ya da ölçeklenebilir olup olmadığını bilmiyorsanız ACE'e gelin. İlgi onu şaşırttı. İnsanlar düzenli olarak gelmeye başladı, çünkü nihayet karşılaştıkları gerçek sorunları ele alan bir süreçleri vardı; üzerlerinde duran bir politika belgesi değil.

Kullanım politikanız, yönetişim kurulunuz ve yönetişim komiteniz üzerinde çok zaman harcayın," dedi. "Ardından bunun on katı zamanı çalışanlarınıza yatırım yapmaya ayırın — onları yetkinleştirmeye, eğitmeye ve kültürünüze.

ACE modeli, kuruluşun en üst düzeyindeki hesap verebilirlik sorusunu çözmüyor. Ancak resmî yönetişim yapısının yapamadığı bir şeyi gerçekleştiriyor: sahipliği, kararların fiilen alındığı yere taşıyor.

İK'nın Miras Aldığı Durum

Matt Poepsel bu boşluğu farklı bir açıdan düşünüyor. The Predictive Index'te Yetenek Optimizasyonundan Sorumlu Başkan Yardımcısı olarak, yapay zekânın vaat ettikleriyle kurumsal bağlam olmadan uygulandığında sundukları arasındaki mesafeyi aşmaya çalışan İK liderleriyle yakın çalışıyor.

Kendi yöneticilik kariyerinde, iyi liderlik etmek için ihtiyaç duyduğu bağlamdan yoksun kaldığı bir dönemi anlatıyor — kötü niyetten değil, eksik bilgiden kaynaklanan ve sonradan pişman olduğu kararlar aldığı bir dönem.

Onun görüşüne göre yapay zekâ, şu anda çalışanlarının özelliklerini anlamasını beklediği hâlde genel amaçlı bir araç kullanan her kuruluşta, büyük ölçekte tam olarak bunu yapıyor.

Bu dışlanma kısmen yapısal, kısmen de tarihsel. İK, yıllarını iş dünyasının karar alma masasında kendine yer edinmeye çalışarak geçirdi. Yapay zekâ araçları geldiğinde ise çoğunlukla İK'nın daha hızlı işe alım süreçleri, azalan çalışan devir maliyetleri ve otomatikleştirilmiş uyum sayesinde yatırım getirisini göstermesinin bir yolu olarak konumlandırıldı.

Bu çerçeveleme, İK'yı yapay zekâ uygulamasının mimarı değil, yararlanıcısı hâline getirdi. Yönetişim görüşmeleri yapıldığında — ki her zaman yapılmıyordu — genellikle hukuk, bilgi teknolojileri ve finans ekiplerini kapsıyordu. İK araçlara sahip oldu. Bu araçların hesap verebilirliği ise başka bir yerde ya da belirli bir yerde olmaksızın kaldı.

Poepsel'in eleştirisi net: Genel amaçlı yapay zekâ kuruluşunuzu tanımaz. Kültürünüzü, davranış dinamiklerinizi, geçmişinizi veya hakkında karar verdiği belirli grupları bilmez.

Ürettiği şey, deneyimli herhangi bir İK profesyonelinin sezgisel olarak sahip olduğu bağlamdan yoksun, kulağa makul gelen çıktılardır. Yapay zekâ bir performans aykırılığına işaret ettiğinde, bir adaya puan verdiğinde veya ücret düzenlemesi önerdiğinde, karşısındaki kişi hakkında hiçbir bilgisi olmayan örüntülerden hareket eder. Oysa üç yıldır o odada bulunan İK lideri bunu bilir.

Poepsel, "Yapay zekâ bunu yapabiliyorsa, tanım gereği metalaşmıştır," dedi. "Ona kattığınız şey farklılaşmadır.

Bu rahatsız edici ama önemli. Yapay zekâ destekli bir kuruluşta İK'nın değeri uygulama değildir; araçlar bunu daha hızlı yapabilir. Değer, muhakemedir: çıktının ne zaman yanlış olduğunu, bağlamın ne zaman önemli olduğunu ve bir kararın modelin algılayamayacağı sonuçlar taşıdığını bilmek.

Bu muhakeme, süreçleri ve rolleri yapay zekâ etrafında yeniden tasarlamadan yapay zekâ kullanan kuruluşlarda tam olarak yok olan şeydir.

Hukuki Zorlayıcı Mekanizma

Colorado'nun Yapay Zekâ Yasası 30 Haziran 2026'da yürürlüğe girerek, önemli istihdam kararlarını etkileyen yapay zekâ sistemlerinin hem geliştiricilerine hem de uygulayıcılarına kapsamlı yönetişim yükümlülükleri getiren ülkedeki ilk eyalet yasası olacak.

Gereklilikler kapsamlı. İşverenler belgelenmiş risk yönetimi programlarını sürdürmeli, yıllık etki değerlendirmeleri yapmalı, yapay zekânın kendilerini etkileyen bir kararı etkilediğinde çalışanları bilgilendirmeli ve ayrımcı sonuçları eyalet başsavcısına bildirmeli.

Yasa, uygulanabilir uyum standardı olarak NIST Yapay Zekâ Risk Yönetimi Çerçevesi'ni öneriyor. İşverenin büyüklüğünden bağımsız olarak uygulanıyor.

Colorado bu konuda ağırlığının üzerinde bir etki yaratabilir. Diğer eyaletler gelişmeleri izliyor ve Vali Jared Polis'in oluşturduğu düzenleyici çalışma grubu, bu ay kadar yakın bir tarihte değişiklikler üzerinde oybirliğiyle uzlaştı; bu da yasanın nihai şeklinin hâlâ değişmekte olduğunu, ancak hedefinin değişmediğini gösteriyor.

Mobley, bunun Colorado sınırlarının ötesinde neden önemli olduğunu ortaya koyuyor. Mahkemenin, Workday'in platformunu kullanan işverenlerin temsilcisi olarak sorumlu tutulabileceğine karar vermek için eyalete özgü bir yapay zekâ yasasına ihtiyacı yoktu.

Önemli bir karara katılımın ortak sorumluluk oluşturduğu yönündeki temsil teorisi, mevcut federal ayrımcılık karşıtı yasalar kapsamında yapay zekâ araçlarına şu anda uygulanıyor. Bir işverenin, işe alım kararını gerçek bir muhakeme kullanan bir sisteme devrettiği ve bu muhakemenin herkes uyurken sabah 1:50'de ayrımcı bir sonuç ürettiği iddiasıyla karşılaşması için Colorado'da faaliyet göstermesi gerekmiyor.

Hukuki risk doğrudan yönetişim boşluğuna dayanıyor. Bir karar sorgulandığında, yapay zekâ aracını kullanıma almadan önce kimin incelediğini, ayrımcı örüntüler açısından kimin izlediğini ve çıktılarından kimin sorumlu olduğunu gösteremeyen bir işverenin anlamlı bir savunması yoktur. Komitenin bir toplantısı vardı. Kimse izlemiyordu.

Sorumluluğun Kime Ait Olduğunu Yeniden Tasarlamak

Sağlık hizmetleri yapay zekâ şirketi Suki'den Chelsea Gregory yakın zamanda bir çalışan el kitabının kapsamlı revizyonunu yönetti. Gregory, Transform etkinliğindeki katılımcılara yönetişim boşluğunun hukuki bir soruna dönüşmeden önce nasıl ortaya çıktığına dair sahadan bir örnek sundu.

Daha küçük bir ekiple iyi işleyen esnek PTO politikası, şirket büyüdükçe hakkaniyet şikâyetlerine yol açmaya başladı. Bir yönetici yeni çalışanlar için uzatılmış izinleri onaylarken kıdemli çalışanlar politikanın tutarsız uygulandığını düşünüyordu. Kötü niyetli hiçbir şey yoktu. Belgeler yalnızca kuruluşun ölçeğine ayak uyduramamıştı.

Aynı dinamik yapay zekâ araçlarında da görülüyor. Tek bir kullanım bağlamı için tasarlanan politikalar, kuruluş büyüdüğünde, iş gücü değiştiğinde veya araç güncellendiğinde otomatik olarak geçerliliğini korumuyor.

Çoğu kuruluşta hiç kimse kontrol etmekten resmen sorumlu değil.

Bu boşluğu kapatmak, daha iyi bir politika belgesinden daha kapsamlı bir şey gerektiriyor. McIntire entegrasyonu savunuyor; diğer bir deyişle, yapay zekâ riski ayrı ve sıra dışı bir kategori olarak kurumsal risk yönetimi çerçevesinin dışında kalmamalı. Diğer tüm operasyonel riskleri yöneten aynı sorumluluk netliğiyle mevcut risk mimarisinin içinde yer almalı.

O hâlde soru şu oluyor: Mevcut risk süreçlerini yürüten kişiler bunları yapay zekâya uygulamak için yetkiye, eğitime ve kurumsal erişime sahip mi?

Reimers ve Poepsel farklı yönlerden ilerleyerek aynı sonuca ulaşıyor. ACE modeli işe yarıyor çünkü sorumluluğu işin yakınına yerleştiriyor. İK çarpan çerçevesi işe yarıyor çünkü İK'nın benzersiz biçimde sağladığı şeyleri açık hâle getiriyor — kurumsal bilgi, davranışsal bağlam ve bir modelin çıktısını, etkilediği gerçek insanla karşılaştırarak sınama becerisi. Bunların hiçbiri resmî yönetişimin yerini almıyor. İkisi de resmî yönetişimin anlamlı olmasını sağlıyor.

İK direktörlerinden şu anda üstlenmeleri istenen şey, onları yönetme yetkisine sahip olmadan yapay zekâ kararlarının sorumluluğunu taşımak; bu da bir yetenek sorunu olarak yanlış yorumlanan yapısal bir başarısızlıktır.

Bunu ikincisi olarak ele alan kuruluşlar, muhtemelen gerçek bir ağırlığı olmayan komitelerde koltuk doldurmaya devam edecek. Asıl iş, yönetişim yetkisinin üst yönetim genelinde nasıl dağıtıldığını yeniden tasarlamak; böylece sorumluluk ve güç birlikte hareket eder.

Gartner'ın 2025 araştırması mevcut durumu açıkça ortaya koyuyor: dört BT liderinden birinden azı, kuruluşlarının üretken yapay zekâ araçlarını kullanıma sunarken yönetişimi yönetebileceğine çok güvendiğini söylüyor. Geçmişte hiç olmadığı kadar çok işletmenin kâğıt üzerinde resmî stratejileri var. Bunların çok azı bu stratejileri başarıyla operasyonel hâle getirdi.

Bir politika ile gerçek hesap verebilirliğe sahip bir yönetişim yapısı arasındaki boşluk, riskin bulunduğu yerdir. Davaların gidişatına bakılırsa bir sonraki dava dalgasının açılacağı yer de burasıdır.