Tayvan Finansal Denetleme Komisyonu, yapay zekâ ajanı risk sınıflandırmasına yetenek kapsamını ekledi

Tayvan Finansal Denetleme Komisyonu, finans kuruluşlarının yapay zekâ (AI) ajanlarını kullanma senaryolarını veri hassasiyeti, eylemlerin etkisi, yetenek kapsamı ve yayılma olasılığına göre sınıflandıran bir güvenlik yönetimi çerçevesi önerdi. Finans kuruluşlarının, ajanların erişeceği verileri, kullanacağı araçları ve gerçekleştireceği eylemleri görev bazında belirleyerek risk düzeyine uygun kontroller uygulaması gerekecek.

Komisyon, 13 Ekim’de “Finans Sektöründe Ajan AI Kullanımına Yönelik Güvenlik Danışma Belgesi”ni yayımladığını ve 30 gün boyunca görüş toplayacağını açıkladı. Belge; güvenlik yönetişimi, risk sınıflandırması ve güvenlik kontrollerini ele alıyor. Görüşler, Tayvan’ın kamu politikalarına katılım platformundaki “Jhong Kai Jiang” bölümünden iletilebilecek.

AI ajanları yalnızca soruları yanıtlamakla kalmıyor; iş adımlarını planlayabiliyor, araçları çağırabiliyor ve birden fazla sistemdeki verileri kullanarak görevleri yürütebiliyor. Komisyon, uygun kullanımın operasyonel verimliliğe ve hizmet inovasyonuna katkı sağlayabileceğini belirtti. Ancak yetersiz yönetimin hedef dışına çıkma, araçları yanlış kullanma veya yetki sınırlarını aşma riskleri doğurabileceğini; hassas bilgilerin sızması ve hataların birden fazla aşamaya yayılmasının da olası tehlikeler arasında bulunduğunu ifade etti.

Belge, tek tek modeller veya ürünler yerine “kullanım senaryolarının” yönetim birimi olarak ele alınmasını öneriyor. Finans kuruluşlarının iş amacını ve sorumluluk paylaşımını belirlemesi; erişilebilecek verileri, çağrılacak araçları, gerçekleştirilecek eylemleri ve sonuçların kaydedileceği konumları netleştirmesi gerekiyor. Olağan dışı durumlar için müdahale, durdurma ve sonradan izleme süreçleri oluşturulması; risk düzeyine göre inceleme, izleme, denetim, işlevleri daraltma, durdurma ve kurtarma mekanizmalarının uygulanması da öneriliyor.

Risk; veri hassasiyeti, AI’ın gerçekleştirdiği eylemlerin etkisi, yetenek kapsamı ve hata ya da eylemlerin yayılma olasılığı olmak üzere üç eksende değerlendiriliyor. Eksenler arasındaki değerlendirmeler farklıysa daha yüksek risk düzeyi esas alınıyor. Sınıflandırma sonuçlarının onay ölçütlerine, test ve canlı kullanıma geçiş koşullarına, kontrol düzeyine ve sonradan yapılacak denetimlere yansıtılması; sınıflandırmanın düzenli olarak yeniden değerlendirilmesi isteniyor.

Güvenlik kontrolleri kapsamında AI ajanlarının, eylem yeteneğine sahip “insan dışı kimlikler” ve görev birimleri olarak ele alınması öneriliyor. Belge; kimliğin doğrulanması ve sürekli teyit edilmesi, yalnızca gerekli asgari yetkilerin verilmesi ve eylemlerin izlenmesi gibi sıfır güven ilkelerine yer veriyor. Kimlik, çalışma ortamı, ağ, uygulamalar ve iş yükleri, veriler, eylem kontrolleri ile görünürlük ve analiz alanları için temel ve güçlendirilmiş güvenlik gereklilikleri de sıralanıyor.

Komisyon, belgenin yürürlükteki mevzuatın, denetim kurallarının, dış kaynak yönetiminin ve finans kuruluşlarının iç kontrollerinin yerine geçmediğini belirtti. Teknoloji ve kullanım biçimleri hızla değiştiği için görüşlerin gelecekteki politika incelemelerinde, kılavuzların hazırlanmasında ve denetim otoriteleriyle sektör arasındaki görüşmelerde dikkate alınacağını bildirdi. Komisyon, görüş sunanlardan belirli bir model veya ürünle sınırlı kalmadan uygulama senaryosunu, risk düzeyini, pratik kısıtları ve doğrulanabilir kontrol etkilerini açıklamalarını istedi.