Finansal İstikrar Kurulu, finans kuruluşlarının yapay zekâyı sorumlu biçimde kullanmasına yönelik 12 iyi uygulama ilkesini içeren nihai raporunu yayımladı.
15 Ekim 2026 tarihli rapor; yönetim kurulu sorumluluğundan insan gözetimine, açıklanabilirlikten veri yönetişimine, siber güvenlikten üçüncü taraf AI bağımlılıklarına kadar uzanan ortak bir yönetişim çerçevesi oluşturuyor. FSB, finans kuruluşlarının yönetim kurulları ve üst yönetimlerini bu ilkeleri AI stratejileri, risk yönetimi ve kontrol sistemlerini geliştirirken referans almaya güçlü biçimde teşvik ediyor.
Raporun kapsamına üretken yapay zekâ ile birlikte agentic AI da giriyor. FSB, hızlı gelişen yeni AI modellerinin finansal kuruluşların risk profillerini değiştirdiğine dikkat çekiyor.
Yönetim Kurulu AI Riskinden Sorumlu
FSB’nin ilk dört ilkesi kurum genelindeki AI yönetişimine odaklanıyor.
Buna göre bankaların ve diğer finans kuruluşlarının yönetim kurulları ile üst yönetimleri AI kullanımını kurumun iş modeli, risk iştahı ve genel stratejisiyle uyumlu hale getirmeli.
AI sistemleri için açık görev ve sorumluluklar tanımlanması, yapay zekâ kaynaklı risklerin mevcut risk yönetimi çerçevelerine dahil edilmesi ve AI kullanımının belgelenmesi bekleniyor. Kurumların aynı zamanda teknoloji geliştikçe yönetişim ve kontrol mekanizmalarını sürekli güncellemesi gerekiyor.
Bu yaklaşım AI’ın yalnız teknoloji ekiplerinin yönettiği ayrı bir proje olmaktan çıkıp doğrudan kurumsal yönetim meselesine dönüştüğünü gösteriyor.
AI Kullanımının Riski Baştan Ölçülecek
FSB’nin beşinci ilkesi, her AI kullanım senaryosunun başlangıç aşamasında ve kullanım devam ederken sistematik biçimde risk değerlendirmesine tabi tutulmasını öngörüyor.
Kurumun kullandığı modelin ne kadar kritik olduğu, hangi finansal kararlara etki ettiği ve hata halinde ne tür sonuçlar doğurabileceği bu değerlendirmede dikkate alınmalı.
Altıncı ilke ise model seçim sürecine odaklanıyor.
Finans kuruluşlarının yalnız modelin teknik performansına bakması yeterli görülmüyor. İş hedefi, operasyonel ihtiyaçlar ve kullanım senaryosunun risk düzeyi de AI sistemi seçilirken dikkate alınmalı.
Veri Yönetişimi Temel Şartlardan Biri
Yedinci ilke doğrudan veri kalitesine ayrılmış durumda.
FSB, AI modellerinin eğitilmesi, test edilmesi ve kullanılması sırasında kullanılan verilerin doğru, eksiksiz, tutarlı, güvenilir ve güvenli olması gerektiğini belirtiyor.
Finans sektörü açısından bu başlık özellikle önemli.
Kredi kararı, fraud tespiti, müşteri profilleme veya işlem izleme gibi alanlarda kullanılan AI sistemlerinin çıktıları doğrudan verinin kalitesine bağlı.
Bu nedenle AI yönetişimi giderek veri yönetişiminden ayrı düşünülemeyen bir alana dönüşüyor.
Açıklanabilirlik ve Şeffaflık Beklentisi Artıyor
Sekizinci ilke açıklanabilirlik ve şeffaflığa odaklanıyor.
FSB, finans kuruluşlarının farklı AI sistemlerinin ne ölçüde açıklanabilir olduğunu anlamasını istiyor. Uygun ve mümkün olduğu durumlarda daha açıklanabilir modellerin tercih edilmesi, bunun mümkün olmadığı durumlarda ise ek kontrol mekanizmalarının kurulması öneriliyor.
Kuruluşların ayrıca farklı paydaşlara uygun seviyede şeffaflık sağlaması bekleniyor.
Bu yaklaşım özellikle kredi, sigorta, yatırım ve müşteri risk değerlendirmesi gibi sonuçları doğrudan bireylere yansıyan AI uygulamalarında önem kazanıyor.
İnsan Gözetimi Ayrı İlke Haline Geldi
FSB’nin onuncu ilkesi doğrudan insan gözetimine ayrılmış durumda.
Finans kuruluşlarının, AI sisteminin risk seviyesi, özerkliği, karmaşıklığı ve açıklanabilirliğine göre uygun insan kontrol mekanizmaları kurması gerekiyor.
Bu ilke agentic AI’ın yaygınlaşması açısından özellikle dikkat çekici.
AI ajanları artık yalnız analiz veya öneri üretmekle sınırlı kalmıyor. Bankacılık işlemleri, kredi değerlendirmesi, tahsilat ve başka finansal süreçlerde doğrudan aksiyon almaya başlıyor.
Bu nedenle “human-in-the-loop” yaklaşımı yalnız etik tartışmanın parçası olmaktan çıkıp finansal risk yönetiminin temel kontrol mekanizmalarından biri haline geliyor.
Siber Güvenlik AI Yönetişiminin İçine Giriyor
On birinci ilke AI kaynaklı siber ve bilgi teknolojileri risklerini kapsıyor.
FSB, finans kuruluşlarının AI ile bağlantılı siber risk senaryolarını test ve tatbikatlara dahil etmesini, gerektiğinde sektör içinde bilgi paylaşmasını ve AI araçlarını siber güvenlik risklerinin yönetiminde kullanmasını öneriyor.
Burada çift yönlü bir yaklaşım bulunuyor.
AI bir yandan yeni saldırı yüzeyleri oluşturuyor. Diğer yandan aynı teknoloji savunma tarafında risk tespiti ve müdahale için kullanılabiliyor.
Bu nedenle AI siber güvenliği ayrı bir teknoloji riski olmaktan çok mevcut ICT risk yönetiminin içine yerleşiyor.
Üçüncü Taraf AI Bağımlılıkları Yakından İzlenecek
Son ilke üçüncü taraf AI sağlayıcılarına ayrılıyor.
FSB, finans kuruluşlarının dış AI sağlayıcılarıyla ilişkilerinde performans, şeffaflık, veri kalitesi, tedarik zinciri, yoğunlaşma ve iş sürekliliği risklerini yönetmesini istiyor.
Bu başlık son dönemde bankacılık açısından giderek daha kritik hale geliyor.
Büyük dil modelleri, bulut altyapısı ve agent platformlarının önemli bölümü bankaların kendi bünyesinde geliştirilmiyor.
Bu da bankaları az sayıdaki teknoloji sağlayıcısına bağımlı hale getirebiliyor.
FSB’nin üçüncü taraf riskini ayrı ilke haline getirmesi, AI yönetişiminde modelin kim tarafından geliştirildiğinin ve hangi altyapıda çalıştığının da doğrudan risk başlığına dönüştüğünü gösteriyor.
İlkeler Küresel Mevzuat Niteliğinde Değil
FSB’nin yayımladığı 12 ilke bağlayıcı küresel düzenleme olarak uygulanmıyor.
Kurum bunları finans kuruluşlarının kendi risk profillerine ve faaliyetlerine göre uyarlayabileceği pratik bir araç seti olarak tanımlıyor. İlkelerin mevcut siber güvenlik, üçüncü taraf risk yönetimi ve diğer yönetişim çerçevelerine entegre edilmesi amaçlanıyor.
FSB ayrıca ulusal düzenleyiciler, finans kuruluşları ve diğer paydaşlar arasında koordinasyon ve bilgi paylaşımını artırmayı hedefliyor.
Yapay zekâ teknolojileri geliştikçe ilkelerin de gerektiğinde güncelleneceği belirtiliyor.
FSB’nin 12 ilkesi finans sektöründe AI kullanımının artık yalnız inovasyon veya verimlilik başlığı altında değerlendirilemeyeceğini gösteriyor.
Yönetim kurulu sorumluluğu, insan gözetimi, veri yönetişimi, açıklanabilirlik, siber güvenlik ve üçüncü taraf bağımlılıklarının aynı çerçeve altında toplanması önemli.
Çünkü bankalar artık yalnız basit üretken AI uygulamaları kullanmıyor.
AI ajanları kredi, tahsilat, müşteri hizmetleri, treasury ve operasyon gibi doğrudan finansal sonuç üreten alanlara giriyor.
Bu yaygınlaşma beraberinde yeni bir beklenti getiriyor:
Finans kuruluşlarının AI kullandığını söylemesi yeterli olmayacak; o AI’ın nasıl yönetildiğini, hangi risk sınırları içinde çalıştığını ve kararlarının kim tarafından denetlendiğini de gösterebilmesi gerekecek.
FSB’nin ilkeleri zorunlu mevzuat niteliğinde olmasa da küresel düzenleyici yaklaşımın yönünü okumak açısından güçlü bir referans oluşturuyor.
Türkiye açısından da bankalar, fintech şirketleri ve RegTech sağlayıcılarının bu başlıkları yakından izlemesi önemli.
Özellikle AI yönetişimi, üçüncü taraf model bağımlılıkları ve insan gözetimi önümüzdeki dönemde finansal kuruluşların teknoloji projelerinin yanı sıra uyum ve denetim gündeminin de temel parçaları haline gelebilir.
