Uyumluluk artık kurumsal anlaşmaları en az teknik uygunluk kadar sık tıkıyor ve incelemeyi önceden hazırlamayan alıcılar genellikle satış sürecinin ortasında 2-3 ay kaybediyor. Kaybedilen bu sürenin büyük kısmı önlenebilir; ancak bu iş, tedarikçi kadar sizin de sorumluluğunuzda. Önceden hazırlık, tedarikçi kısa listeniz belirlenmeden önce 6 sorunun yanıtına sahip olmak demektir. Güvenlik incelemesi yeni şeyler keşfetmek yerine zaten bildiklerinizi doğrulamalıdır.
Yalnızca sertifika adlarını değil, kapsamını da sorun
Bir sertifikanın adı, kapsamı olmadan pek bir şey ifade etmez. Bir pazarlama web sitesini kapsayan SOC 2, müşteri verilerinizin geçtiği çıkarım (inference) yolunu kapsayan SOC 2 ile aynı şey değildir. Bu yüzden ilk soru, tedarikçinin hangi sertifikalara sahip olduğu ve her birinin gerçekte neyi kapsadığıdır.
Dikkat edilmesi gereken bir diğer ikame ise devralınan güvenliktir. Büyük bir bulut platformu üzerinde çalışan bir tedarikçi altyapı güvenliğinin önemli bir kısmını devralır ve bazıları bu devralınan güvenlik duruşunu kendilerininmiş gibi sunar. Tedarikçi şirketin adının yer aldığı denetim raporunu isteyin. Sertifikadaki şirket barındırma sağlayıcısıysa, erkenden öğrenmeye değer bir şey öğrenmiş olursunuz.
Denetimin ne zaman ve kim tarafından yapıldığını sorun
Güncellik de bağımsızlık da önemlidir ve ikisi birbirinden ayrı olarak eksik kalabilir. Gerçek bir bağımsızlığı olmayan bir firma tarafından denetlenmiş güncel bir sertifika, tanınmış bir denetçiden alınmış biraz daha eski bir sertifikadan daha az şey söyler. İyi bir denetçiden alınmış eski bir sertifika ise tedarikçinin, satın aldığınız yapay zekâ özelliklerinden önceye dayanabilecek belirli bir tarihte uyumlu olduğunu gösterir.
Tarihi ve denetçiyi birlikte isteyin. İkisini de hızla sunan tedarikçiler diğer her şeyi de hızla sunma eğilimindedir; bu da başlı başına bir işarettir.
Özellikle ISO 42001'i sorun
Alıcıların çoğunun atladığı soru budur; çünkü bu standart o kadar yeni ve yaygın değil ki pek çoğu bunu sorması gerektiğini bile bilmiyor. Artık siz biliyorsunuz!
Geleneksel güvenlik sertifikaları kurumu kapsar. Bir şirketin politikalara sahip olduğunu, çalışanlarını eğittiğini ve erişimi yönettiğini doğrular. Hiçbiri yapay zekânın nasıl yönetildiğine dair bir şey söylemez: bilgi erişiminin sizin bilgi tabanınıza dayanıp dayanmadığı, modelin öngörülebilir davranıp davranmadığı ya da bir ajanın müşteri hesabı üzerinde aldığı aksiyonlar için bir denetim izi olup olmadığı.
ISO 42001, tam olarak bunu ele alan yapay zekâ yönetim sistemi standardıdır ve bir tedarikçi tüm geleneksel sertifikalara sahipken yapay zekâ yönetişimi konusunda hiçbir bağımsız değerlendirmeden geçmemiş olabilir. Maven; ISO 42001, PCI-DSS 4.0 Level 1, SOC 2, HIPAA , ve GDPR dahil 15 sertifika ve değerlendirmeye sahiptir.
PCI DSS'nin canlı bir sesli görüşmede nasıl işlediğini sorun
Bu soru tedarikçileri diğer tüm sorulardan daha hızlı ayırt eder; çünkü sesli görüşme soyut olanı somutlaştırır. Bir görüşmede müşteri, yardım isterken olağan akış içinde kart numarasını yüksek sesle okur. Hiçbir arayüz tasarımı bunu engelleyemez.
PCI-DSS 4.0 Level 1, kurumsal işlem hacminde geçerli olan seviyedir ve sorulması gereken takip soruları tamamen işleyişle ilgilidir. Maskeleme görüşme sırasında gerçek zamanlı mı yapılıyor, yoksa sonrasında işleme aşamasında mı? Bunlar farklı maruziyet pencereleridir ve yalnızca ilki hassas veriyi süreç hattının tamamen dışında tutar. Maskelemenin kendisi için bir denetim izi var mı? Ödeme işlemleri konuşmanın geri kalanından ayrıştırılmış mı?
Ayrıntılı yanıt veren bir tedarikçi, platformunu özellikle bunun için inşa etmiştir.
Hangi veri yerleşimi seçeneklerinin gerçekten mevcut olduğunu sorun
Bölge bazında sorun ve net yanıtlar alın; çünkü buradaki terminoloji oldukça muğlak. Tedarikçi bulutu içinde bölgesel veri yerleşimi, private cloud dağıtımı ve müşteri tarafından barındırılan dağıtım, çoğu zaman birbiriyle örtüşen ifadelerle anlatılan 3 farklı taahhüttür. Gereksiniminiz sistemin sizin kontrolünüzdeki altyapıda çalışmasıysa bunu açıkça belirtin ve yanıtı yazılı olarak alın.
Kendi sızma testinizi yapıp yapamayacağınızı sorun
Bunu iç test sıklığıyla ilgili bir soruyla birlikte sorun; çünkü her çeyrek düzenli saldırı simülasyonu yapan bir tedarikçinin güvenlik pratiği, yalnızca müşteri ısrar ettiğinde test yapan bir tedarikçininkinden farklıdır.
Çıta aşılabilir ve erken aşmak avantajı katlar
Fortune 500 listesindeki bir oyun şirketi, düzenlemeye tabi sektör kısıtlamaları altında, yani oyun içi satın alımlar için PCI uyumluluğu ile AML ve KYC süreçleri kapsamında, Maven'ın otonom yapay zekâ ajanı üzerinde aylık 330.000'den fazla etkileşim yürütüyor. Bu dağıtım takılmadı, ölçeklendi. Uyumluluk derinliği sonradan eklenen bir yama değil, platformun geçmek üzere tasarlandığı bir kapı olduğunda olan budur.
Clio da değerlendirmesine aynı şekilde yaklaştı. Hukuk yazılımı şirketi 32 tedarikçiyi değerlendirdi, listeyi daralttı ve ardından Maven'ı seçmeden önce 10'dan fazla tedarikçiyle doğrudan karşılaştırmalı test yaptı. Hukuk teknolojisi ciddi gizlilik yükümlülükleri taşır ve bu yükümlülükleri karşılamak işte böyle bir süreç gerektirir. Clio bugün %80 otonom çözüm oranıyla çalışıyor ve canlı destek 4 kat daha hızlı yanıt veriyor. Ödeme düzenlemelerine tabi olarak faaliyet gösteren Papaya Pay ise 3 hafta içinde %90 otonom çözüm oranına ulaştı.
Bu örneklerin hiçbirinde uyumluluk incelemesi dağıtımı birkaç çeyreğe yayılan bir projeye dönüştürmedi.
Bunu ilk haftada yapın
Değerlendirmelerin çoğu uyumluluğu sona bırakır. 2-3 aylık kayba yol açan da budur. Zorunlu bir düzenleyici gereksinimi karşılayamayan tedarikçi ilk haftada elenmeli ve bu 6 soru ilk görüşmede sorulabilecek kadar zahmetsizdir.
Bunu bir an önce yapmanın ikinci bir nedeni daha var. Uyumluluk yanıtları mühendislik olgunluğunun alışılmadık derecede iyi bir göstergesidir; çünkü verilerin nerede tutulduğu ve sistemin nasıl çalıştığı, farklı açılardan bakılan aynı sorudur. İlki hakkındaki belirsizlik genellikle ikincisi hakkındaki belirsizliktir.
6 sorunun özet hali, The AI Compliance Buyer's Checklist içinde yer alıyor; bu kontrol listesi State of AI in CX 2026 raporunun Compliance Blind Spot bölümünden derlenmiştir.
Kendi konuşmalarınız üzerinde görün.
Size özel ücretsiz demo talep edin.
