Bu hafta gündemin ortak teması kanıttı. AB Siber Dayanıklılık Yasası'nın raporlama sayacı 11 Eylül'de başladı: artık bir zafiyetin varlığı değil, ne kadar hızlı bildirildiği denetleniyor. İç denetimin küresel çatı kuruluşu IIA'nın üçüncü taraf gereksinimi 15 Eylül'de zorunlu hale geliyor: tedarikçi riski artık güvence çalışmasının asgari bir tabanı. Bir yanda da yapay zeka, denetlenen konu olmaktan çıkıp denetimin aracı haline geliyor: NIST uyum analizini AI ile yapmanın rehberini yayımladı, EY denetimin karar katmanına taşındığını söylüyor, KVKK ise çalışan AI kullanımının sessiz bir veri riski olduğunu hatırlatıyor. Ortak payda tek: bir kontrolün, planın ya da politikanın var olması yetmiyor; kriz ya da denetim anında çalıştığını kanıtlayabilmek gerekiyor.
| Gelişme | Tarih | Kim etkileniyor? | Yönetim kararı |
|---|---|---|---|
| CRA zafiyet ve olay bildirimi | 11 Eylül 2026 | AB'ye dijital ürün sunan şirketler | Bildirim ve eskalasyon akışını prova et |
| IIA Üçüncü Taraf Gereksinimi | 15 Eylül 2026 | İç denetim fonksiyonları | Üçüncü taraf denetim kapsamını güncelle |
| NIST SP 1353 taslağı | 15 Ekim'e kadar görüşte | Siber risk, uyum ve iç denetim | AI kullanım ve insan doğrulama kuralını belirle |
| AB AI Act yaptırım dönemi | 2 Ağustos 2026'dan beri | GPAI sağlayıcıları ve kapsamdaki kuruluşlar | Teknik kanıt ve sorumluluk yapısını kontrol et |
NIST (ABD Ulusal Standartlar ve Teknoloji Enstitüsü), 19 Ağustos'ta yayımladığı SP 1353 taslağıyla, kurumların siber güvenlik çerçevesi (CSF 2.0) analizini üretken yapay zeka ile nasıl yapabileceğine dair yapılandırılmış bir rehber sundu. Belge, bir standart ya da zorunlu denetim metodolojisi değil: örnek kullanım senaryoları ve hazır komut (prompt) örnekleri içeren bir başlangıç rehberi. AI'ın mevcut durum profili çıkarma, hedef durum profili oluşturma ve politika uyum incelemesi gibi işleri, geleneksel eşleştirmeye kıyasla çok daha az manuel çabayla yapabileceğini gösteriyor.
Paradoks tam burada. AI'ın uyum işini hızlandırması için beslenmesi gereken girdi, kurumun en hassas iç bilgisi. Bu belgeler yetkisiz bir araca, kişisel hesaba ya da yeterince değerlendirilmemiş bir modele aktığında, kurum uyumu iyileştirmek isterken en büyük ifşa riskini kendi eliyle yaratmış olur. NIST taslağı bu yüzden, AI tarafından üretilen analizlerin nitelikli personelce gözden geçirilmesi ve kullanılan araçların kurumsal güvenlik koşulları içinde değerlendirilmesi gerektiğine dikkat çekiyor. Asıl mesaj ise daha büyük: AI destekli uyum artık gri bir alan değil, üzerine rehber yazılan bir pratik.
Kaynak: NIST · SP 1353 Taslağı, 19 Ağustos 2026 (görüşe açık, 15 Ekim'e kadar)Uyumu hızlandıran araç, aynı anda en büyük veri ifşa kapınız olabilir. "AI ile denetim yapıyoruz" cümlesi, "en gizli belgelerimizi bir modele veriyoruz" cümlesiyle aynı şeydir : fark, o modelin nerede çalıştığını ve çıktısını kimin doğruladığını bilip bilmediğinizde. İç denetimin yeni görevi, AI'ı bir tehdit olarak değil, kendi kullandığı bir kontrol olarak denetlemek.
Yapay zeka yalnızca denetlenen bir konu değil, denetimin kendisini dönüştüren bir araç haline geldi. EY'nin, COSO'nun 2026 güncellemesine ilişkin analizine göre, iç kontrol yukarıya : yapay zekanın etkilediği karar katmanına : taşınıyor. Kabul edilebilir AI kullanımı, tolerans eşikleri ve tırmandırma beklentileri açıkça tanımlandığında, yönetim kurulu daha erken ve daha net sinyal alıyor; tanımlanmadığında ise sorunlar ancak denetim ya da düzenleyici incelemesi sırasında, seçeneklerin daraldığı ve riskin büyüdüğü anda yüzeye çıkıyor.
Bunun teknik lider için anlamı net: sistem mimarisi artık salt bir mühendislik tercihi değil, bir yönetişim meselesi. Mimari kararlar, kanıtın var olup olmayacağını, bağımlılıkların görünür olup olmayacağını ve bir değişikliğin hâlâ önemliyken tespit edilip edilemeyeceğini belirliyor. EY'nin denetime hazırlık çerçevesi de aynı yöne işaret ediyor: denetçiler artık ne olduğu, ne zaman olduğu ve hangi verinin kullanıldığına dair kanıt bekliyor : sonradan toplanan değil, tasarımdan gelen kanıt.
Kaynak: EY · COSO 2026 ve AI Yönetişimindeki Kayma · AI Denetime Hazırlık 2026"AI'ı denetleyen fonksiyon" ile "AI'ı kullanan fonksiyon" aynı kurumda birleşince, bağımsızlık sorusu yeni bir boyut kazanıyor. Kanıt sonradan toplanan bir şey değil, sistemin tasarımına gömülen bir özelliktir. Mimaride izlenebilirlik yoksa, denetçiye gösterecek kanıt da yoktur : ve o noktada "kontrolümüz var" demek, kanıtsız bir iddiadan ibarettir.
AB Siber Dayanıklılık Yasası'nın (CRA) ana ürün güvenliği yükümlülükleri Aralık 2027'de uygulanacak; ancak raporlama takvimi beklemedi. 11 Eylül 2026 itibarıyla üreticiler, aktif biçimde istismar edilen zafiyetleri ve ciddi güvenlik olaylarını bildirmekle yükümlü. Artık zafiyetin varlığı değil, bildirilme hızı denetleniyor.
→ ENISA · CRA Tek Bildirim PlatformuAB Siber Dayanıklılık Yasası'nın (CRA) ana ürün güvenliği yükümlülükleri Aralık 2027'de uygulanacak. Ancak raporlama takvimi beklemedi: 11 Eylül 2026 itibarıyla dijital unsur taşıyan ürünlerin üreticileri, aktif biçimde istismar edilen zafiyetleri ve ciddi güvenlik olaylarını bildirmekle yükümlü. Genel kural olarak aktif istismar edilen bir zafiyet fark edildiğinde 24 saat içinde erken uyarı, ardından 72 saat içinde daha detaylı bir bildirim gerekiyor; bildirimler ENISA'nın Tek Bildirim Platformu üzerinden yapılacak.
Bu değişiklik siber güvenliği yalnızca teknik ekiplerin alanı olmaktan çıkarıyor. Kurumun bir zafiyeti ne zaman öğrendiği, olayın ciddiyetine kimin karar verdiği, tedarikçi ve ürün ekiplerinden bilginin nasıl aktığı artık denetlenebilir bir yönetişim zinciri oluşturuyor. Hazırlanması gereken yalnızca bir olay müdahale prosedürü değil: ürün, hukuk, siber güvenlik, risk ve üst yönetim arasında çalışan, zaman damgalı bir karar ve eskalasyon mekanizması gerekiyor.
Kaynak: Avrupa Komisyonu · Cyber Resilience Act · Raporlama Yükümlülüğü 11 Eylül 202624 saat, bir kriz anında hukuk görüşü beklemeye yetmez. CRA'nın asıl testi teknik değil organizasyonel: olayı fark eden mühendisle, bildirimi yapacak hukukçu aynı masada mı? Yazılım üreten ya da AB pazarına ürün veren Türk teknoloji şirketleri için bu, bugünden kurulması gereken bir refleks : olay anında kurulamaz.
İç denetimin küresel çatı kuruluşu IIA'nın Üçüncü Taraf Gereksinimi (Third-Party Topical Requirement) 15 Eylül 2026'da yürürlüğe giriyor. Bundan sonra üçüncü taraf riskinin bir güvence çalışmasının konusu olduğu durumlarda iç denetim, ilgili zorunlu gereklilikleri değerlendirmek ve kapsam dışında bıraktığı maddelerin gerekçesini belgelemek zorunda. Bu, IIA'nın Küresel İç Denetim Standartları'nın zorunlu bir bileşeni ve güvence hizmetlerinde uygulanması şart.
Değişiklik, üçüncü taraf denetimini yalnızca sözleşme ve satın alma kontrollerinden çıkarıyor. Tedarikçi yaşam döngüsü, sorumluluk sahipliği, performans ve risk izleme, olay yönetimi, alt yükleniciler, iş sürekliliği ve ilişkinin sona erdirilmesi birlikte değerlendirilmek zorunda. Asıl soru artık "tedarikçi değerlendirmesi yapıldı mı?" değil; kurumun üçüncü taraf bağımlılıklarını sürekli görebildiğini ve kritik bir sağlayıcı başarısız olduğunda hizmeti sürdürebileceğini kanıtlayıp kanıtlayamadığı.
Kaynak: The IIA · Third-Party Topical Requirement · Yürürlük 15 Eylül 2026Üçüncü taraf envanteri ile üçüncü taraf yönetişimi aynı şey değildir. Envanter kiminle çalıştığınızı gösterir; yönetişim ise o taraf başarısız olduğunda kimin, hangi eşikte ve hangi alternatif planla harekete geçeceğini gösterir. IIA bu gereksinimle, "listeye sahip olmak" ile "riski yönetmek" arasındaki farkı bir denetim tabanına dönüştürüyor.
Bu haftanın "AI artık uyum işini yapıyor" teması, Türkiye'de doğrudan bir KVKK riskine oturuyor. KVKK'nın üretken yapay zeka rehberi, AI aracılığıyla yapılan kişisel veri işleme faaliyetlerini 6698 sayılı Kanun çerçevesinde ele alıyor. Sorun şu: bir çalışan, bir uyum raporunu, bir denetim bulgusunu ya da müşteri verisi içeren bir tabloyu bir üretken AI aracına özetletmek istediğinde, çoğu zaman bu bir kişisel veri işleme faaliyetine dönüşüyor. Ve bu, çoğu kurumda kimsenin onaylamadığı, görmediği bir akış.
Üretken AI aracına aktarılan kişisel veriler yeni bir veri işleme faaliyeti oluşturabilir; aracın altyapısı, sunucu konumu ve sözleşme yapısına göre yurt dışına aktarım hükümlerini de gündeme getirebilir. AI'a beslenen iç belge, kurumun kendi eliyle açtığı bir ifşa kanalı olabilir. Sorumluluk veri sorumlusundadır: hangi çalışanın, hangi aracı, hangi veriyle kullandığını bilmiyorsa, o kurum işleme faaliyetini de yönetmiyor demektir.
Kaynak: KVKK · Üretken Yapay Zeka ve Kişisel Verilerin Korunması RehberiEn büyük KVKK riski çoğu zaman bir saldırgan değil, iyi niyetli bir çalışanın bir AI aracına yapıştırdığı bir tablodur. Çözüm AI'ı yasaklamak değil, hangi verinin hangi araca gidebileceğini önceden tanımlamaktır.
Kontroller anlatılıyor ama yazılı değil. Olay bildirimi ve üçüncü taraf envanteri yok. Kanıt üretilemiyor.
Politika ve prosedür var, envanter tutuluyor. Ama hiç test edilmedi; "var" ile "çalışıyor" karıştırılıyor.
Periyodik tatbikat ve testler başladı. Olay bildirimi akışı prova edildi. Üçüncü taraf riski denetim planında.
Kontrollerin çalıştığı operasyondan sürekli üretilen kayıtla gösteriliyor. Denetime hazır kanıt mevcut.
Sürekli doğrulama aktif. Zaman damgalı eskalasyon, izlenebilir üçüncü taraf. Kanıt, kurul raporlamasının parçası.
Kurumunuzda AI, uyum ya da denetim işinin bir parçası haline geldiyse, beş alanda kanıt üretebiliyor musunuz? Bu tabloyu ekibinizle paylaşın.
| Kontrol alanı | Sorulacak soru | Beklenen kanıt |
|---|---|---|
| Envanter | Uyum, risk ve denetimde hangi AI araçları kullanılıyor? | Güncel araç ve kullanım envanteri |
| Veri | Hangi veri sınıfı hangi araca girebilir? | Veri-araç eşleştirme matrisi |
| İnsan kontrolü | AI çıktısını kim doğruluyor? | Onay kaydı ve sorumlu rol |
| KVKK | Veri nerede işleniyor ve saklanıyor? | Aktarım değerlendirmesi ve sözleşme |
| Bağımsız güvence | Denetimde kullanılan AI'ın kendisi denetleniyor mu? | Denetim evreni ve kontrol testleri |
Nedir? Bu dönemde AI sağlayıcıları, üçüncü taraf sistemleri etkileyen beklenmedik ajan davranışlarını ve olaylarını açıklamaya başladı; şirketler bu tür davranışların ne zaman ve nasıl kamuya açıklanacağına dair endüstri uygulamalarının hâlâ geliştiğini belirtiyor. Bazı sağlayıcılar kendi değerlendirmelerinde ciddi test olayları tespit ettiklerini ve raporlama kriterleri geliştirdiklerini açıkladı.
Kurumsal etki: Bir AI aracını kullanan kurum, bir kötüye kullanım ya da davranış sapması fark ettiğinde, bunun bildirilmesi gereken bir "olay" olup olmadığına nasıl karar verecek? Bir güvenlik olayı ile bir model sapması arasındaki çizgiyi tanımlayan iç kriter yoksa, kurum ya gereğinden fazla bildirir ya da bildirmesi gerekeni kaçırır.
Temel gerçek: "Olay nedir" tanımını önceden yazmayan kurum, bu tanımı kriz anında, hukuki baskı altında yapmak zorunda kalır. Triyaj kriteri olaydan önce yazılır.
Bu haftanın iki büyük gündemi : CRA'nın bildirim rejimi ve IIA'nın üçüncü taraf gereksinimi : Türkiye için de doğrudan anlam taşıyor. AB pazarına dijital ürün veren Türk şirketleri CRA'nın 24 saat/72 saat bildirim mantığının kapsamına giriyor. IIA standartlarına uyan iç denetim fonksiyonları ise üçüncü taraf gereksinimini 15 Eylül'den itibaren güvence çalışmalarında uygulamak zorunda.
Yerel tarafta ise KVKK'nın üretken yapay zeka rehberi, çalışan AI kullanımını bir veri işleme meselesi olarak ortaya koyuyor. Üç gündem tek bir yöne işaret ediyor: envanter sahibi olmak yetmiyor, o envanterin yönetildiğini ve kontrollerin çalıştığını kanıtlamak gerekiyor.
İç denetçiler ve risk ekipleri için pratik not: Üç şeyi bugün yapın : üçüncü taraf riskini 2026 denetim planınıza güvence çalışması olarak ekleyin; siber olay bildirim akışınızı zaman damgalı ve prova edilmiş hale getirin; ve uyum işinde kullanılan AI araçlarının envanterini çıkarıp hangi veri sınıfının hangi araca girebileceğini yazılı kurala bağlayın.
Üçüncü taraf riskini iç denetim güvencesinin zorunlu asgari tabanı yapan gereksinim. Yürürlük 15 Eylül 2026 : theiia.org
11 Eylül'de başlayan zorunlu zafiyet/olay bildirimi: 24 saat erken uyarı, 72 saat detay, Tek Bildirim Platformu : enisa.europa.eu
AI ile uyum analizi yapmanın taslak rehberi ve beraberinde gelen veri ifşa paradoksu. Görüşe açık, 15 Ekim'e kadar : csrc.nist.gov
İç kontrolün AI karar katmanına taşınması; izlenebilirlik, kanıt ve mimarinin artık yönetişim meselesi oluşu : ey.com
AI ile yapılan veri işlemenin 6698 kapsamında değerlendirilmesi; çalışan AI kullanımının kurumsal KVKK riski : kvkk.gov.tr
The Governance'ı haber olduktan sonra değil, karar anından önce okuyun. Türkiye'nin bağımsız GRC bültenine ücretsiz abone olun; her Pazartesi, yönetici masasında olması gereken gelişmeler.
Bu hafta üç ayrı cephe aynı cümleyi kurdu: bir şeyin var olması, çalıştığını kanıtlamaz. CRA'nın sayacı başladı, IIA üçüncü tarafı zorunlu tabana bağladı, AI ise denetimin hem aracı hem de yeni denetlenmesi gereken konusu oldu. Hepsinde ortak ders: envanter, politika ve komite gerekli ama yeterli değil; asıl mesele kriz ya da denetim anında üretebildiğiniz kanıt. The Governance, bu gelişmeleri haber olarak değil, kararlarınızı etkileyen birer gündem maddesi olarak ele alır. Sorular için her zaman açığım.