SAP'de yapay zeka yönetişimi: uyumluluk, güvenlik, hesap verebilirlik

SAP'de yapay zeka yönetişimi, S/4HANA, SuccessFactors, Ariba, Concur ya da SAP BTP üzerinde çalışan her yapay zeka özelliğini kapsar. Her biri için kararlarının sahibinin kim olduğunu, hangi verileri kullandığını, nasıl kaydedildiğini ve ne zaman gözden geçirildiğini bilmeniz gerekir. Düzenleyici saat 2026'da kaydı: işe alımda kullanılan yapay zeka gibi bağımsız yüksek riskli sistemler için AB Yapay Zeka Yasası yükümlülükleri artık 2 Aralık 2027'den itibaren geçerli. Yapay zekayla üretilen içeriğe ilişkin şeffaflık yükümlülükleri zaten geçerli. Bu rehber CIO'lara, uyumluluk liderlerine ve SAP program sahiplerine yönelik. Yönetişim boşluklarının ilk nerede ortaya çıktığını, 2026'da nelerin değiştiğini, hangi kuralların geçerli olduğunu ve bu hafta başlatabileceğiniz bir kayıt defterini ele alıyor. Başlangıç noktası, her yapay zeka özelliği için bir sahip belirlemek.

Basit bir soruyla başlayın: bir model sonuç ürettiğinde, kimin adı sorumlu? Yanıt belirsizse, bir yönetişim boşluğunuz var demektir.

SAP ortamları kalabalıktır: çekirdekte S/4HANA, bulut CRM, eklenti analitik, kimsenin dokunmak istemediği eski sistemler. Bir mühendis bir modeli dakikalar içinde devreye alabilir. Modelin işe alım, kredi ya da tedarik planlaması üzerindeki etkisini izlemek haftalar sürebilir.

Veri işi zorlaştırır. Bordro, satın alma siparişleri, envanter ve tedarikçi puanları farklı biçimlerde, farklı yöneticilerin elinde gelir. Bir ekip kişisel kimlikleri maskeler; bir diğeri açıkta bırakır. Herhangi bir model çalışmadan önce, hangi verileri kullanabileceğine, değişiklikleri kimin onayladığına ve kayıtların ne kadar süre tutulacağına karar verin. Yazıya dökün, yeniden gözden geçirin ve uygulayın.

Stok tahminlemesinin neredeyse fazla iyi çalıştığı bir uygulama gördüm. Siparişler talepten önce verildi, bu panoda verimli görünüyordu. Sonra finans aradı. Nakit akışı düşmüştü ve modelin davranışı üzerinde son sözün kimde olduğunu kimse bilmiyordu. Mantık gömülüydü. Yönetişimin gerçek olduğu an budur; bir sunumdaki slayt değil.

Sürekli gördüğüm kalıplar:

Finans. S/4HANA Finance'taki yapay zeka fatura işlemede, nakit tahminlemesinde ve anomali tespitinde yardımcı olur. Yardımcı olduğu sürece işe yarar: meşru bir ödeme engellenir, şüpheli biri onaylanır, bayat veriyle bir tahmin kurulur. Çözüm, yapay zekanın etkilediği her karar için bir denetim izi ve bunu kontrol eden adı konmuş bir kişidir.

Satın alma. Yapay zeka tedarikçi önerir, risk işaretler ve sözleşmeleri inceler. Geçmiş satın alma verisi, kimsenin göremediği nedenlerle tercih edilen tedarikçiler gibi önyargılar taşıyorsa, model bunu tekrarlar. Biri kısa listeleri kabul etmek yerine incelemelidir.

İK. SuccessFactors'taki yapay zeka adayların ön elemesine ve bağlılık analizine yardımcı olabilir. Zaten belirli profillere kayan işe alım verisiyle eğitilmişse, kaymaya devam eder. Devreye almadan önce ve her yeniden eğitimden sonra önyargı testi yapın.

Üretim. Öngörücü bakım ve çizelgeleme modelleri, tesis yeniden yapılandırıldığında bozulur. Doğruluğu zaman içinde izleyin ve yeniden eğitim planlayın. Kaymayı fark etmek için bir hat duruşunu beklemeyin.

SAP'nin bulut uygulamalarındaki yapay zeka sessizce gelme eğilimindedir: Ariba'da fatura eşleştirme, Concur'da onaylar, CRM'de potansiyel müşteri puanlaması. Arka planda çalışır; cazibesi de budur. Denetimi zorlaştıran da budur.

Ariba'da gömülü zekayı kullanan bir müşteriyi hatırlıyorum. Sistem mükerrer tedarikçileri otomatik işaretlemeye başladı. Yararlıydı, ama işaretlerin bazen ana verilerdeki tutarsız adlandırmadan tetiklendiğini kimse fark etmedi. Kötü niyet yoktu, yalnızca uyuşmayan kayıtlar vardı. Satın almada uyarıları doğrulayacak bir süreç yoktu; gecikmelere ve karışıklığa yol açtı. Çözüm, uyarılar için bir doğrulama adımı ve tedarikçi ana verisinde tutarlı bir adlandırma kuralıdır.

SAP BTP. BTP, ekiplerin SAP ortamı genelinde kendi yapay zekalarını kurup devreye almasını sağlar. Eksik satın alma verisiyle eğitildiği için kötü tedarikçileri onaylayan bir model gördüm. Veri sorunu yapay zeka sorunundan önce geliyordu ve girdiyi temizlemek, modeli ayarlamaktan daha hızlı çözdü.

SAP Concur. Gider yapay zekası mükerrer kayıtları ve politika ihlallerini yakalar. Meşru taleplerde de yanlış sahtecilik işaretleri üretir; çalışanlar reddedilen kayıtlara itiraz etmek için zaman harcadığında verimlilik kazancı ortadan kalkar. Sınırda kalan durumlar için insan incelemesini koruyun ve gider politikası her değiştiğinde kuralları güncelleyin.

AB Yapay Zeka Yasası'nın yüksek riskli tarihleri kaydı. Yapay zekaya ilişkin Dijital Omnibus, (AB) 2026/1744 sayılı Tüzük, 27 Temmuz 2026'da yürürlüğe girdi. İşe alım ve çalışan yönetimi ile gerçek kişilerin kredibilite kontrollerinde kullanılan yapay zekayı da içeren Ek III kapsamındaki bağımsız yüksek riskli sistemler için yükümlülükler artık 2 Aralık 2027'den itibaren geçerli. Düzenlemeye tabi ürünlere gömülü yüksek riskli yapay zeka 2 Ağustos 2028'de geliyor. Yasaklı uygulamalar ve yapay zeka okuryazarlığı Şubat 2025'ten beri, yapay zekayla üretilen içeriğe ilişkin 50. madde şeffaflık yükümlülükleri ise 2 Ağustos 2026'dan beri geçerli. Erteleme bir rahatlama değil, ek bir yol payıdır. Uygunluk değerlendirmesi ve teknik dokümantasyon yavaş işlerdir.

1. 2025Yasaklı uygulamalar ve yapay zeka okuryazarlığıŞubat 2025'ten beri
2. 2026Dijital Omnibus yürürlükte27 Temmuz, (AB) 2026/1744 sayılı Tüzük
3. 2026Yapay zekayla üretilen içerik için şeffaflık yükümlülükleri2 Ağustos, 50. madde
4. 2027Bağımsız yüksek riskli sistemler (Ek III)2 Aralık. İşe alım, çalışan yönetimi, gerçek kişilerin kredibilite kontrolleri
5. 2028Düzenlemeye tabi ürünlere gömülü yüksek riskli yapay zeka2 Ağustos

Kaynak: (AB) 2026/1744 sayılı Tüzük, yapay zekaya ilişkin Dijital Omnibus

Joule kayıtları, belki de zaten verdiğiniz bir tercihe bağlı. Joule konuşma kayıtları kullanıcıyı, zaman damgasını, konuşmayı, istemleri ve yanıtları tutar. Yalnızca Joule devreye alınırken depolama seçildiyse vardır. SAP'nin belgelenmiş varsayılan saklama süresi bu kayıtlar için 365 gündür ve farklı bir süre talep edebilirsiniz. Ayarı ve saklama süresinin denetim döngünüzü kapsayıp kapsamadığını kontrol edin.

SAP, API'lerinde yapay zeka ajanlarını kısıtladı. SAP'nin API Politikası (4.2026a sürümü), SAP API'lerinin API çağrı dizilerini planlayan, seçen ya da yürüten yarı otonom veya üretken yapay zeka sistemleriyle kullanımını kısıtlıyor. Bu tür kullanıma yalnızca SAP'nin onayladığı mimariler ve yollar üzerinden izin veriliyor. Üçüncü taraf bir ajan ya da yardımcı pilot S/4HANA'yı doğrudan çağırıyorsa, bu artık güvenliğin yanı sıra sözleşmesel bir sorudur. Bu entegrasyonların envanterini çıkarın.

BTP kontrolleri var, ama onları sizin yapılandırmanız gerekiyor. SAP'nin generative AI hub'ı veri maskeleme, girdi ve çıktı içerik filtreleme, grounding, istem kaydı ve denetim günlüğü sunar. Bunlar kontrollerdir, bir yönetişim programı değil. Saklama politikası olmadan açılan günlükler, üç aylık bir gözden geçirme onları okuyamadan silinir.

Bir yazılım sağlayıcısı, bir yapay zeka özelliği için yüksek riskli teknik dokümantasyonu sunamıyorsa, o özellik yüksek riskli bir kullanımda kalamaz. Son tarih kaydı. Dokümantasyon şartı kaymadı.

Bunlar, SAP yazılımı nerede barındırırsa barındırsın, SAP'de yapay zeka çalıştıran kuruluşlar için geçerlidir.

Düzenleme	Pratikte ne gerektiriyor
AB Yapay Zeka Yasası	Riske dayalı yükümlülükler. Yüksek riskli kullanımlar (işe alım ve çalışan yönetimi, gerçek kişilerin kredibilitesi ve Ek III'teki diğerleri) için 2 Aralık 2027'den itibaren risk yönetimi, dokümantasyon, kayıt tutma, insan gözetimi ve uygunluk değerlendirmesi gerekir. Şeffaflık yükümlülükleri zaten geçerli
GDPR	Hukuki dayanak ve veri minimizasyonu. Hukuki ya da benzer sonuçlar doğuran, yalnızca otomatik işlemeye dayalı kararlar için 22. madde güvenceleri; bunlara insan müdahalesi ve mantık hakkında anlamlı bilgi dahildir
ISO/IEC 42001:2023	Denetlenebilir bir yapay zeka yönetim sistemi: roller, risk süreci, kontroller ve sürekli iyileştirme
Ulusal çerçeveler	Körfez ülkeleri, Singapur ve diğerleri yapay zeka etik ilkeleri ve yönetişim çerçeveleri yayımlıyor. Faaliyet gösterdiğiniz yerlerdekileri her yıl gözden geçirin

Yüksek risk sınıflandırması özellikle SAP için önemlidir. SuccessFactors'ta işe alımı, terfiyi ya da işten çıkarmayı etkileyen yapay zeka kapsamdadır. S/4HANA'da kurumsal müşterilere yönelik kredi kontrolleri ise genellikle kapsam dışındadır, çünkü Ek III kategorisi gerçek kişilerin kredibilitesini kapsar. Her özelliği varsaymak yerine tek tek sınıflandırın.

Pratik başlangıç noktası bir kayıt defteridir. Her yapay zeka özelliği için bir satır, doldurulmuş.

Sütun	Neyin kaydedileceği
Yapay zeka özelliği	Örneğin SuccessFactors aday eşleştirme ya da Ariba mükerrer tedarikçi tespiti
Sistem ve sahip	Uygulama ve adı konmuş, hesap verebilir tek bir kişi
Yapay Zeka Yasası kategorisi	Yasaklı, yüksek riskli (Ek III), yalnızca şeffaflık ya da asgari
Kullanılan veri	Kaynaklar, kişisel veri, uygulanan maskeleme
İnsan incelemesi	Hangi çıktıları kimin, ne zaman geçersiz kılabileceği
Kayıt tutma ve saklama	Kararların nerede ve ne kadar süre kaydedildiği
Gözden geçirme sıklığı	Yüksek etkili özellikler için üç aylık, diğerleri için altı aylık
Son gözden geçirme	Tarih ve sonuç

1. Canlıya geçişten önce her yapay zeka sistemi için bir sahip belirleyin. Bir komite değil, bir kişi. Diğer herkes destekleyici rol oynar.
2. Yapay zekanın etkilediği kararlarda bir denetim izi tutun. Fatura onayı, tedarikçi seçimi ya da aday sıralaması için kullanılan veriyi, çıktıyı ve bir kişinin onu ne zaman incelediğini kaydedin.
3. Model gözden geçirmelerini planlayın. Veri değiştikçe modeller bozulur. Kritik sistemler için üç aylık makul bir başlangıçtır. Üç aylık yanlış yanıtı bulmak için kullanıcı şikâyetini beklemeyin.
4. Önce veri yönetişimini kurun, sonra yapay zeka yönetişimini ona bağlayın. Yapay zeka yönetişimi işleyebilsin diye erişim kuralları, kalite standartları ve maskeleme önceden var olmalı. İkisini aynı anda kuran ekipler çoğu zaman ikisinden de olur.
5. Yönetişimi dokümantasyonla karıştırmayın. SharePoint'teki politikalar yönetişim değildir. Yönetişim, kararların nasıl alındığını değiştirir: kim inceler, kim yükseltir ve kim bir modeli durdurabilir.

Düzenleme hareket etmeye devam ediyor. 2026'daki Yapay Zeka Yasası değişiklikleri, tarihlerin ne kadar hızlı kaydığını gösteriyor. Hukuki değişiklikleri izlemek ve her yıl bunları SAP'ye özgü gereksinimlere çevirmek için bir kişi görevlendirin.

Modüller arası gizlilik. SAP bordroyu, müşteri işlemlerini ve çalışan kayıtlarını tutar. SAP'deki rol tabanlı güvenlik, yapay zeka modeli girdilerine otomatik olarak uygulanmaz. Bunu açıkça kontrol edin.

Eğitim verisindeki önyargı. Bir SuccessFactors modeli beş yıllık çarpık işe alım verisinden öğrendiyse, çarpıklığı tekrarlar. Devreye almadan önce yalnızca doğruluğa değil, gruplara göre sonuçlara bakın.

Hat üzerindeki eski sistemler. BTP'deki yapay zeka eski bir ERP'den ya da üçüncü taraf bir platformdan veri çektiğinde, en zayıf sistemin veri kalitesi sizin sınırınız olur. Model canlıya çıkmadan önce kaynakları eşleyin. Yapay zeka risk yönetimi çerçevem değerlendirme adımlarını, yapay zeka yönetişimi çerçeve rehberim ise daha geniş işletim modelini ele alıyor.

SAP implementasyonlarında yapay zeka yönetişimi nedir?

SAP'deki yapay zeka özelliklerinin sorumlu, şeffaf ve hukuka uygun çalışmasını sağlayan sahipler, politikalar ve kontroller bütünüdür. Modellerin hangi verileri kullanabileceğini, özelliklerin nasıl onaylanıp devreye alındığını, kararların nasıl kaydedilip gözden geçirildiğini ve bir modeli kimin durdurabileceğini kapsar. S/4HANA, SuccessFactors, Ariba, Concur ve SAP BTP üzerinde kurduğunuz her şey için geçerlidir.

AB Yapay Zeka Yasası'nın yüksek riskli kuralları SAP sistemlerine ne zaman uygulanır?

Dijital Omnibus'tan ((AB) 2026/1744 sayılı Tüzük) sonra, Ek III'teki bağımsız yüksek riskli sistemlere ilişkin yükümlülükler 2 Aralık 2027'den itibaren geçerli. Düzenlemeye tabi ürünlere gömülü yüksek riskli yapay zeka 2 Ağustos 2028'de geliyor. Yasaklı uygulamalar ve yapay zeka okuryazarlığı Şubat 2025'ten, yapay zekayla üretilen içeriğe ilişkin şeffaflık yükümlülükleri Ağustos 2026'dan beri geçerli. SAP için en yaygın yüksek riskli alan, işe alım ve iş gücü kararlarında kullanılan yapay zekadır.

SAP projelerinde yapay zeka yönetişiminden kim sorumludur?

Çok işlevli bir grup: uyumluluk düzenlemeyi izler, BT ve güvenlik erişimi ile kayıt tutmayı yürütür, veri ekipleri eğitim verisinin kalitesine sahip çıkar, iş süreci sahipleri çıktıları onaylar ve hukuk, sorumluluğu inceler. En önemli karar, her yapay zeka sistemi için hesap verebilir tek bir sahip belirlemektir. Bir şey sabahın ikisinde ters gittiğinde, telefonun kime çalacağını bilmeniz gerekir.

Joule bir denetim izi tutuyor mu?

Joule konuşma kayıtları kullanıcıyı, zaman damgasını, konuşmayı ve istemleri ile yanıtları tutabilir, ama yalnızca devreye alma sırasında günlük depolaması seçildiyse. SAP, bu seçeneği işaretleyen müşteriler için varsayılan olarak 365 günlük saklama süresi belgeliyor ve farklı bir süre talep edilebilir. Joule Studio'daki güvenlikle ilgili yapılandırma değişiklikleri, BTP üzerindeki SAP Audit Log service'e gider. Varsaymak yerine kiracınızın ayarını kontrol edin.

SAP SuccessFactors'taki yapay zeka modellerinde önyargı nasıl ele alınır?

Modelin ne ile eğitildiğini gözden geçirin. Geçmiş işe alım verisi belirli grupları dezavantajlı hale getirdiyse, model de getirir. Canlıya geçişten önce gruplara göre sonuçları test edin, sonrasında seçim oranlarını izleyin ve iş gücü verileriniz değiştikçe belirli bir takvimle yeniden eğitin. Nitelikli adaylar belirli bir geçmişten geldikleri için sürekli eleniyorsa, bunu rastlantı değil, bir sinyal olarak değerlendirin.

SAP'deki yapay zeka modelleri ne sıklıkla gözden geçirilmeli?

Finansal onaylar, İK kararları ya da tedarikçi seçimi gibi yüksek etkili sistemler için üç ayda bir, daha düşük riskli araçlar için altı ayda bir. Bir veri kaynağı, entegrasyon ya da iş süreci değiştiğinde ek bir gözden geçirme tetikleyin; çünkü bunların her biri, kodda değişiklik olmadan model davranışını kaydırabilir.