Kapsam Dışı Olmak Risk Dışı Olmak Değildir: 2026 Model Riski Revizyonu Bankaların Fiilen Kullandığı Modelleri Dışarıda Bıraktı

On beş yıllık model riski doktrini Nisan ayında yeniden yazıldı ve en belirleyici paragraf, denetim rehberinin neyi kapsamadığını söyleyen paragraf. 17 Nisan 2026'da Federal Reserve, OCC ve FDIC model riski yönetimine ilişkin revize denetim rehberini yayımladı ve sektörün on beş yıldır etrafında örgütlendiği 2011 çerçevesini yürürlükten kaldırdı. Revizyon dikkatli, risk temelli ve büyük ölçüde yerinde. Aynı metin, üretken yapay zekâ ve ajanlı yapay zekâ (agentic AI) modellerinin kendi kapsamı içinde olmadığını da açıkça söylüyor; ardından bir görüş çağrısı geleceği belirtiliyor. Bankalar bu nedenle bir ara dönemde: çerçevenin dışarıda bıraktığı modelleri, henüz yazılmamış bir çerçeve altında devreye alıyorlar.

Yönetici Özeti

2011 uzlaşısı emekliye ayrıldı. Her ikisi de 17 Nisan 2026 tarihli SR 26-2 ve OCC Bulletin 2026-13, uzun süredir yürürlükte olan 2011 denetim rehberinin ve onun 2021 tarihli tamamlayıcısının yerini alıyor. Üç sütunlu mimari — sağlam geliştirme, etkin sorgulama, sürekli izleme — devam ediyor.

Orantılılık artık açıkça yazılı. Otoriteler, denetim rehberinin toplam aktifleri 30 milyar doların üzerindeki bankacılık kuruluşları için en fazla anlam taşımasının beklendiğini, önemli model riski taşıyan daha küçük kurumlar için de geçerliliğini koruduğunu söylüyor. Bu, bir muafiyet değil, vurguda kayda değer bir değişiklik.

Yapay zekâ sorusu cevaplanmadı, ertelendi. Üretken ve ajanlı yapay zekâ bu denetim rehberinin dışında bırakıldı; genel olarak model riski yönetimini ve özel olarak bankaların yapay zekâ kullanımını ele alacak bir görüş çağrısı gelecek.

Erteleme izin değildir. Doğru okuma şu: otoriteler bu modelleri nasıl denetleyeceklerine henüz karar vermediler — bu, onların yönetişime ihtiyaç duymadığına karar vermekten esaslı biçimde farklıdır.

Otoriteler Fiilen Neyi Değiştirdi

Yorumları bir kenara bırakın; Nisan revizyonu üç şey yapıyor.

2011 uzlaşısını emekliye ayırıyor. Revize denetim rehberi, 2011'de yayımlanan model riski rehberinin ve onun 2021 tarihli tamamlayıcısının yerini alarak on beş yıllık bir bölümü kapatıyor. O dönemde SR 11-7, bağladığı kurumların çok ötesinde, model yönetişiminin fiilî küresel referansı hâline gelmişti.

Orantılılığı açık hâle getiriyor. Denetim rehberinin, toplam aktifleri 30 milyar doların üzerindeki bankacılık kuruluşları için en fazla anlam taşıması bekleniyor; modellerinin veya geleneksel yerel bankacılık dışındaki faaliyetlerinin yaygınlığı ve karmaşıklığı nedeniyle model riskine önemli ölçüde maruz kalan daha küçük kuruluşlar için de geçerliliğini koruyor. Yaklaşımın gelişmişliği büyüklüğü, karmaşıklığı ve risk profilini izlemeli.

Mimariyi koruyor. Geliştirmede kavramsal sağlamlık, bağımsız gözden geçirme yoluyla etkin sorgulama ve belgelenmiş eşiklere karşı sürekli izleme — hepsi ayakta. 2011 çerçevesine göre iyi kurgu yapmış kurumlar sıfırdan başlamıyor.

Tablo 1: Ne değişti, ne devam etti

Unsur	2011 çerçevesi	2026 revize denetim rehberi
Statü	SR 11-7 ve 2021 tarihli tamamlayıcısı	17 Nisan 2026'da yürürlükten kaldırıldı ve yerine yenisi geldi
Temel mimari	Geliştirme, doğrulama, yönetişim	Esasen olduğu gibi devam ediyor
Orantılılık	Örtük, denetim yoluyla uygulanıyordu	Açık: büyüklüğe, karmaşıklığa ve risk profiline uyarlanmış
Beyan edilen geçerlilik	Geniş	30 milyar dolar toplam aktifin üzerinde en fazla anlam taşıyor; altında da model riski önemliyse geçerli
Üretken ve ajanlı yapay zekâ	Soru daha ortada yoktu	Açıkça kapsam dışı, ardından bir görüş çağrısı gelecek

Asıl Belirleyici Cümle

Revizyonun büyük bölümü evrim. Bir pasaj değil:

Üretken yapay zekâ ve ajanlı yapay zekâ modelleri yenidir ve hızla evrilmektedir. Bu nedenle bu denetim rehberinin kapsamı içinde değildir.

Genel olarak model riski yönetimini ve özel olarak bankaların üretken ile ajanlı yapay zekâ dâhil yapay zekâ kullanımını ele alacak bir görüş çağrısı yayımlama taahhüdüyle birlikte okunduğunda anlam yeterince açık. Otoriteler bu sistemlerin düşük riskli olduğunu söylemiyor. Onları nasıl denetleyeceklerine henüz karar vermediklerini ve hızla hareket eden bir teknolojinin tek bir döngüde geride bırakacağı bir çerçeveyi dayatmaktansa danışmayı tercih ettiklerini söylüyorlar.

Bu, savunulabilir bir düzenleme zanaati. Aynı zamanda, üretken yapay zekâyı hâlihazırda canlıda çalıştıran bir banka için rahatsız edici bir konum.

Çünkü bir risk komitesinin sorduğu pratik soru "bu, Nisan rehberinin kapsamında mı?" değildir. "Bu ters giderse bize ne sorulacak?" sorusudur. Ve ikinci sorunun cevabı değişmedi.

Kapsam Dışı Olmak Risk Dışı Olmak Değildir

2026'da yapılabilecek en pahalı yanlış okuma, model riski rehberinden dışarıda bırakılmanın denetimden dışarıda bırakılmak anlamına geldiğini sanmaktır. Öyle değil. Bu belirli çerçevenin dışında kalan bir model, birkaç başka çerçevenin tam ortasında durmaya devam eder.

Tablo 2: Kapsam dışı bir üretken yapay zekâ sistemi nereye düşer

Model şunu yapıyorsa	Yine de hesap verdiği çerçeve	Size sorulacak soru
Bir satıcının temel modeli üzerinde çalışıyorsa	Üçüncü taraf ve dış kaynak kullanımı riski	Sağlayıcıya ilişkin durum tespiti, çıkış ve yoğunlaşma analizini belgeleyebiliyor musunuz?
Bir kredi veya fiyatlama kararına dokunuyorsa	Tüketicinin korunması ve adil kredilendirme	Sonucun ayrımcı olmadığını gösterip ona nasıl varıldığını yeniden kurabiliyor musunuz?
Müşteriye dönük veya operasyonel bir süreçte yer alıyorsa	Operasyonel risk ve dayanıklılık	Performansı bozulduğunda ne olur ve bunu kim fark eder?
Personelin güvendiği çıktı üretiyorsa	Yönetişim ve üst düzey hesap verebilirlik	Bu sistemin sahibi kim ve sınırları hakkında kendisine ne söylendi?
AB'de veya Birleşik Krallık'ta devreye alınmışsa	AB Yapay Zekâ Yasası; PRA SS1/23	Buradaki kapsam cevabı farklı — aşağıya bakın

Bunların hiçbiri yeni yükümlülük değil. Mesele tam olarak bu: Nisan rehberi kendi kapsamını daralttı ve başka hiçbir şeyin dışına hiçbir şey taşımadı.

Açıkça adı konması gereken bir denetim beklentisi asimetrisi de var. Bir çerçeve sustuğunda denetim uzmanları susmaz. Yazılı bir model riski standardından daha geniş ve daha az öngörülebilir olan genel güvenlik ve sağlamlık beklentilerine geri dönerler. Belirli bir kuralın kapsamı dışında olmak, çoğu kez daha bulanık bir kurala göre değerlendirilmek demektir.

Bir Grup Bankasının Artık Yönetmesi Gereken Transatlantik Ayrışma

Atlantik'in iki yakasında birden faaliyet gösteren bir kurum için Nisan kararı canlı bir ayrışma yaratıyor.

Birleşik Krallık'ın bankalara yönelik model riski yönetimi ilkeleri denetim beyanı SS1/23, 17 Mayıs 2024'te yürürlüğe girdi. Beş ilke üzerine kurulu — tanımlama ve model envanteri, yönetişim, geliştirme ile uygulama ve kullanım, bağımsız doğrulama, eksikliği olan modeller için azaltıcı önlemler — ve bilinçli olarak teknolojiden bağımsız. Yapay zekâ ve makine öğrenimi dışarıda bırakılmıyor; aksine öngörülüyor.

Yani aynı üretken model, aynı grupta, aynı iş kolunda devreye alındığında Birleşik Krallık model riski çevresinin içinde, yeni revize edilen ABD çevresinin dışında kalıyor. Bir Avrupa uygulaması için AB Yapay Zekâ Yasası'nın yükümlülüklerini de ekleyin; cevap sayısı ikiden üçe çıkıyor.

Kurumların elinde tam olarak iki tutarlı karşılık var.

Tek bir çerçeveyi en katı standartta işletin. Üretken yapay zekâyı her yerde kapsam içindeymiş gibi yönetin; çünkü bir yerde zaten kapsam içinde ve görüş çağrısı sonuçlandığında daha geniş biçimde kapsam içinde olacak. Bu, şimdi daha pahalıya mal olur ve her yargı alanında savunulabilir.

Gerçekten ayrı çevreler işletin. Hukuken mümkün, operasyonel olarak eziyet. İki envanter, iki doğrulama standardı ve tek bir model için iki ayrı kanıt seti demek — üstelik bir olay sonrasında, olayı yakalayabilecek kontrol sürümünün diğer yargı alanında uygulanan sürüm olduğunu açıklamanın itibar maliyeti de cabası.

Birincisi, bunun bir soru hâline gelecek kadar büyük neredeyse her kurum için doğru cevap. İkincisi ise kimse karar vermediğinde varsayılan olarak gerçekleşen şey.

Ara Dönemde Ne Yapmalı

Görüş çağrısı geliyor. Bugün ile yerleşik bir çerçeve arasındaki pencere, bilinçli olarak yönetilmesi gereken kısım; çünkü bu, kullanımın sürdüğü ama belgelemenin sürmediği dönem.

Bu ara dönemi atlatılabilir kılan üç taahhüt var.

Önce envanterleyin, sonra sınıflandırın. En değerli tek çıktı, üretken ve ajanlı sistemlerin fiilen nerede çalıştığını gösteren eksiksiz bir kayıttır — SaaS ürünlerinin içinde bir özellik olarak satın alınanlar dâhil, ki çoğu orada saklıdır. Her birinin gelecekteki bir tanıma göre resmen "model" sayılıp sayılmayacağı, varlıklarını bildikten sonra cevaplayabileceğiniz bir sorudur. Bulamadığınız şeyi sınıflandıramazsınız.

Savunabileceğiniz doğrulama yaklaşımını yazın. Geleneksel geriye dönük test (backtesting), belirlenimci olmayan bir sisteme temiz biçimde aktarılmaz; otoritelerin ertelemesinin sebebi tam olarak budur. Bu, hiçbir yaklaşıma sahip olmamanın gerekçesi değildir. Ayrılmış test vakalarına karşı üretim testi, insan müdahalesinin (override) izlenmesi, mevcut sürece karşı paralel sonuç analizi ve belgelenmiş kabul eşikleri bugün de mevcut ve hepsi bir denetim uzmanı için okunabilir.

Görüş çağrısına yanıt verin. Ara dönemde işleyen bir yaklaşım kurmuş bir kurumun söyleyecek somut bir şeyi olur ve nihai standart tam da bu istişarede şekillenir. Sessiz kalan firmalar, sesini çıkaranların pazarlıkla elde ettiğine razı olur.

Operasyonel Uygulama Planı

Revize denetim rehberine göre hemen yeniden konumlanın. Mevcut modellerinizden hangilerinin açık orantılılık ifadesi altında yer değiştirdiğini iki yönde de doğrulayın. Bazıları daha azını, bazıları daha fazlasını gerektirecek.
Yapay zekâ istisnası nedeniyle model envanterinden hiçbir şey çıkarmayın. Çıkarma, geriye dönüp bakıldığında çok kötü okunacak bir karardır ve yeniden keşfetmek, elde tutmaktan pahalıdır.
Envanterdeki her üretken ve ajanlı sistemi "sınıflandırma bekliyor" olarak etiketleyin. Ara dönemi kayıttan silmek yerine kayıtta görünür kılın.
Her birini fiilen hesap verdiği çerçevelerle eşleştirin — üçüncü taraf, operasyonel, tüketicinin korunması, adil kredilendirme — ve her birinin bu çerçeveler altında adı belirli bir sahibi olduğunu doğrulayın.
Daha katı transatlantik standardı grup politikası olarak benimseyin. Tek envanter, tek doğrulama çıtası, tek kanıt dosyası.
Bir görüş çağrısı yanıtı hazırlayın. Kendisine göre denetleneceğiniz standart üzerinde elde edilebilecek en ucuz etkidir.

Otoriteler Nisan'da makul bir şey yaptı: sınırlarını çizecek kadar iyi anlamadıkları bir teknoloji için kural yazmayı reddettiler. Bir bankanın buna karşılık gelen makul davranışı ise bunu izin saymayı reddetmektir.

Sıkça Sorulan Sorular

Nisan 2026 denetim rehberi, üretken yapay zekânın ABD bankacılığında düzenlemesiz olduğu anlamına mı geliyor?
Hayır. Üretken ve ajanlı yapay zekâ modellerinin o belirli denetim rehberinin kapsamı dışında olduğu anlamına geliyor. Bu sistemler üçüncü taraf riski yönetimine, operasyonel riske, tüketicinin korunmasına, adil kredilendirmeye ve genel güvenlik ile sağlamlık beklentilerine tabi olmaya devam ediyor. Otoriteler ayrıca bankaların üretken ve ajanlı yapay zekâ dâhil yapay zekâ kullanımını ele alacak bir görüş çağrısı taahhüdünde bulundu.

Tam olarak neyin yerine yenisi geldi?
Federal Reserve, OCC ve FDIC tarafından 17 Nisan 2026'da yayımlanan revize denetim rehberi, 2011 tarihli model riski yönetimi rehberinin ve onun 2021 tarihli tamamlayıcısının yerini alıyor. Temel mimari — sağlam geliştirme, etkin sorgulama, sürekli izleme — devam ediyor.

30 milyar dolarlık eşik, daha küçük bankaların bunu göz ardı edebileceği anlamına mı geliyor?
Hayır. Denetim rehberi, bu büyüklüğün üzerindeki kuruluşlar için en fazla anlam taşımasının beklendiğini belirtiyor ve modellerinin veya geleneksel yerel bankacılık dışındaki faaliyetlerinin yaygınlığı ile karmaşıklığı nedeniyle model riskine önemli ölçüde maruz kalan daha küçük kuruluşlar için de geçerli olabileceğini ekliyor. Bu bir orantılılık beyanıdır, muafiyet sınırı değil.

Bu, Birleşik Krallık'ın SS1/23 beyanıyla nasıl etkileşiyor?
Ondan ayrışıyor. 17 Mayıs 2024'te yürürlüğe giren SS1/23 teknolojiden bağımsızdır ve yapay zekâ ile makine öğrenimini dışarıda bırakmaz. Aynı modeli her iki yargı alanında çalıştıran bir grup bankası artık farklı kapsam cevaplarıyla karşı karşıya; daha katı standarda göre yönetmenin pratik yol olmasının nedeni budur.

Artık kapsam dışı oldukları için üretken yapay zekâ araçlarını model envanterimizden çıkarmalı mıyız?
Hayır — ve bu, en çok pişmanlık duyulacak karardır. Envanter bütünlüğünü sürdürmek ucuz, yeniden inşa etmek pahalıdır. Bunun yerine o sistemleri sınıflandırma bekliyor olarak etiketleyin ki çerçeve geldiğinde kayıt, fiilen devrede olanı yansıtsın.

Kaynaklar

Board of Governors of the Federal Reserve System, 2026. SR 26-2: Revised Guidance on Model Risk Management. Washington, DC: Federal Reserve. Erişim adresi: Board of Governors of the Federal Reserve System, 2026..
Office of the Comptroller of the Currency, 2026. OCC Bulletin 2026-13, Model Risk Management: Revised Guidance. Washington, DC: OCC. Erişim adresi: Office of the Comptroller of the Currency, 2026..
Prudential Regulation Authority, 2023. SS1/23, Model risk management principles for banks. Londra: Bank of England. Erişim adresi: Prudential Regulation Authority, 2023..
European Parliament and Council of the European Union, 2024. Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act). Brüksel: Official Journal of the European Union. Erişim adresi: European Parliament and Council of the European Union, 2024..

Son inceleme 2026-08-08.

Bu makaleyi yeniden yayınla

Kapsam Dışı Olmak Risk Dışı Olmak Değildir: 2026 Model Riski Revizyonu — Sebastien Rousseau

Nisan 2026 model riski revizyonu üretken ve ajanlı yapay zekâyı kapsam dışı bıraktı. Kapsam dışı olmak risk dışı olmak değildir; İngiltere aynı fikirde değil.

Bu makale şu lisans altında yayınlanmıştır Creative Commons Attribution 4.0 International. Yeniden yayın, kanonik URL'ye atıfta bulunulmasını gerektirir.

Kapsam Dışı Olmak Risk Dışı Olmak Değildir: 2026 Model Riski Revizyonu — Sebastien Rousseau

Nisan 2026 model riski revizyonu üretken ve ajanlı yapay zekâyı kapsam dışı bıraktı. Kapsam dışı olmak risk dışı olmak değildir; İngiltere aynı fikirde değil.

Originally published at https://sebastienrousseau.com/tr/2026-07-30-model-risk-management-generative-ai-out-of-scope-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER