Üretken yapay zekâ araçları birkaç yıl içinde ofis yazılımları kadar sıradan hale geldi. Pazarlama ekibi metin yazdırıyor, yazılımcılar kod önerisi alıyor, müşteri hizmetleri sohbet botuyla çalışıyor, insan kaynakları özgeçmişleri özetletiyor. Peki bu kullanımın kuralını kim koyuyor, hangi veri nereye gidiyor ve bir hata olduğunda sorumluluk kimde? ISO/IEC 42001 tam olarak bu sorulara yapılandırılmış bir cevap vermek için yayımlandı. Bu rehberde standardı sade bir dille anlatıyor ve kurumunuzda nereden başlayabileceğinizi gösteriyoruz.
ISO 42001’i bir cümleyle anlamak
ISO 42001, yapay zekâyı bir “yönetim sistemi” içinde ele almanızı ister: hedef koyarsınız, riskleri değerlendirirsiniz, kontrolleri uygularsınız, sonuçları ölçersiniz ve düzenli olarak iyileştirirsiniz. Bu yaklaşım ISO 9001 ya da ISO 27001 ile tanışık olan herkese tanıdık gelecektir; çünkü standart aynı üst yapıyı (bağlam, liderlik, planlama, destek, operasyon, performans değerlendirme, iyileştirme) kullanır. Fark, odaktadır: burada konu kalite ya da bilgi güvenliği değil, yapay zekânın sorumlu, şeffaf ve kontrollü kullanımıdır.
Bilmeniz gereken beş temel kavram
1. AIMS
Artificial Intelligence Management System, yani Yapay Zekâ Yönetim Sistemi. Politikalar, süreçler, roller, kayıtlar ve kontrollerin bütünüdür. Tek bir doküman değil, işleyen bir düzendir.
2. Kurumun rolü
Standart, kurumun yapay zekâ karşısındaki rolünü ayırt eder: modeli geliştiren, onu ürün olarak sağlayan ya da yalnızca kullanan. Bir muhasebe firması ile yapay zekâ girişimi aynı kontrolleri aynı yoğunlukta uygulamaz. Rolünüzü doğru tanımlamak, gereksiz iş yükünden kurtarır.
3. Risk değerlendirmesi ve etki değerlendirmesi
Risk değerlendirmesi kurumun kendisine yönelik tehditlere bakar: itibar kaybı, veri ihlali, operasyon aksaması. Etki değerlendirmesi ise yapay zekâ sisteminin bireyler, gruplar ve toplum üzerindeki sonuçlarına bakar: bir adayın haksız yere elenmesi, bir müşteriye yanlış bilgi verilmesi gibi. ISO 42001’in ayırt edici yanlarından biri bu ikinci değerlendirmeyi açıkça istemesidir.
4. Uygulanabilirlik bildirgesi (SoA)
Standardın ekinde yer alan kontrollerden hangilerini uyguladığınızı, hangilerini neden kapsam dışı bıraktığınızı gerekçeleriyle gösteren belgedir. Denetçinin ilk bakacağı yerlerden biridir.
5. İnsan gözetimi
Yapay zekânın önerdiği bir kararın hangi durumlarda bir insan tarafından onaylanması gerektiğini tanımlar. Kritik kararlarda “son sözü kim söylüyor” sorusunun yazılı cevabıdır.
Kurumunuzda gizli yapay zekâ kullanımı olabilir
Pek çok yönetici “biz yapay zekâ kullanmıyoruz” der; ardından envanter çalışması başladığında tablo değişir. CRM’in otomatik lead puanlaması, e-posta güvenlik ürününün davranış analizi, muhasebe yazılımının fatura okuma özelliği, çalışanların kişisel hesaplarla kullandığı sohbet araçları… Bunların hepsi yapay zekâ sistemidir. Bu yüzden ilk adım teknik değil, keşif çalışmasıdır. Basit bir anketle başlayıp satın alma kayıtları ve ağ trafiği gözlemiyle desteklemek iyi bir yöntemdir.
Üretken yapay zekâ için kabul edilebilir kullanım politikası
Standarda tam uyum hedeflemeseniz bile, bugün atabileceğiniz en değerli adım kısa ve anlaşılır bir kullanım politikasıdır. İyi bir politikada şu başlıklar bulunur:
- Kurumun onayladığı araçların listesi ve kurumsal hesapla kullanım zorunluluğu
- Asla girilmemesi gereken veri türleri: kişisel veriler, müşteri sözleşmeleri, kaynak kod, finansal tablolar
- Yapay zekâ çıktısının insan tarafından kontrol edilmeden müşteriye gönderilmemesi kuralı
- Yapay zekâ ile üretilen içeriğin gerektiğinde belirtilmesi
- Şüpheli bir durumun kime ve nasıl bildirileceği
Yasaklamak çoğu zaman işe yaramaz; çalışanlar kişisel cihazlarından kullanmaya devam eder. Onaylı bir alternatif sunmak ve kuralı açıkça yazmak çok daha etkilidir.
Etki değerlendirmesi nasıl yapılır?
Basit bir şablonla başlayabilirsiniz. Her yapay zekâ sistemi için şu soruları yanıtlayın:
- Sistemin amacı nedir ve hangi kararı destekliyor?
- Kimler etkileniyor: çalışanlar, müşteriler, adaylar, kamu?
- Hangi veriyle çalışıyor, bu veride kişisel ya da hassas veri var mı?
- Yanlış ya da taraflı bir sonuç üretirse en kötü senaryo nedir?
- Bu sonucu fark edecek ve düzeltecek bir insan var mı?
- Etkilenen kişi itiraz etmek isterse hangi yol açık?
Cevaplar yüksek etkili sistemleri ayırmanızı sağlar. Kaynaklarınızı önce bunlara yöneltirsiniz.
ISO 27001 ile birlikte düşünmek
Yapay zekâ riskleri büyük ölçüde bilgi güvenliği riskleriyle iç içedir: erişim yetkisi, veri sızıntısı, tedarikçi güvenliği, log kaydı. ISO 27001 sertifikanız varsa ISO 42001’i ayrı bir proje olarak değil, mevcut sisteminize eklenen bir katman olarak tasarlamak mantıklıdır. Ortak iç denetim programı ve tek bir yönetimin gözden geçirmesi toplantısı, iş yükünü ciddi biçimde azaltır.
İlk 90 gün için yol haritası
- İlk ay: Yapay zekâ envanteri, sorumlu kişi ya da ekip ataması, kabul edilebilir kullanım politikasının yayımlanması.
- İkinci ay: Yüksek etkili sistemler için risk ve etki değerlendirmesi, tedarikçilerden veri saklama ve model kullanımına dair bilgi talebi.
- Üçüncü ay: Kontrollerin önceliklendirilmesi, çalışan eğitimi, belgelendirme hedefi varsa boşluk analizi.
Bu yol haritasını profesyonel destekle hızlandırmak isterseniz ISO 42001 yapay zekâ yönetim sistemi danışmanlığı sayfamızda kapsamı ve süreci ayrıntılı anlatıyoruz.
Tedarikçilere sorulması gereken sorular
Kurumların büyük kısmı yapay zekâyı kendisi geliştirmez, bir sağlayıcıdan satın alır. Bu durumda yönetişimin önemli bir bölümü tedarikçi yönetimine dayanır. Bir yapay zekâ özelliği içeren ürünü satın almadan ya da sözleşmeyi yenilemeden önce şu soruları sorun:
- Girdiğimiz veriler modelin eğitiminde kullanılıyor mu, bunu kapatma seçeneği var mı?
- Veriler hangi ülkede, ne kadar süre saklanıyor ve kimler erişebiliyor?
- Model güncellendiğinde bize bildirim yapılıyor mu, sonuçlar değişebilir mi?
- Kullanım ve erişim logları bize sağlanıyor mu?
- Sağlayıcının kendi yapay zekâ yönetişimi ve güvenlik belgeleri neler?
Bu soruların cevaplarını yazılı olarak almak, hem iç denetimde hem de olası bir veri ihlalinde elinizi güçlendirir.
Ölçmeden yönetemezsiniz
Yönetim sistemi yaklaşımının özü, performansın izlenmesidir. Yapay zekâ için anlamlı göstergeler şunlar olabilir: envanterdeki sistem sayısı ve bunlardan etki değerlendirmesi tamamlananlar, onaysız araç kullanımına dair tespitler, kullanıcıdan gelen itiraz ve şikâyetler, insan onayıyla düzeltilen yapay zekâ önerileri, eğitimi tamamlayan çalışanlar. Bu göstergeleri yılda en az bir kez yönetimin gözden geçirmesinde ele almak, sistemin kâğıt üzerinde kalmasını engeller.
Düzenleyici ortam hakkında kısa not
AB Yapay Zekâ Yasası, yapay zekâ kullanımını risk seviyelerine göre sınıflandırıyor ve yüksek riskli kullanımlar için ek yükümlülükler getiriyor. Avrupa’ya hizmet veren Türk şirketleri için bu düzenleme doğrudan gündemde. ISO 42001 yasaya uyumun yerine geçmez, ancak yasanın beklediği risk yönetimi ve dokümantasyon kültürünü kurmanıza yardımcı olur. Türkiye’deki faaliyetlerinizde ise kişisel veriler söz konusu olduğunda KVKK her zaman geçerlidir. Yorum gerektiren durumlarda mutlaka hukuki destek alın.
Eğitim ve farkındalık
Politika ne kadar iyi yazılırsa yazılsın, çalışanlar onu bilmiyorsa işe yaramaz. Yöneticiler için kısa bir yönetişim oturumu, yazılım ve veri ekipleri için teknik bir modül, tüm çalışanlar için de somut örneklerle anlatılan bir kullanım eğitimi planlayın. Eğitimin tamamlandığını kayıt altına almak, denetimde istenen kanıtlardan biridir.
Sonuç
ISO 42001, yapay zekâyı yasaklamak ya da yavaşlatmak için değil, güvenle ölçeklendirmek için tasarlanmış bir çerçevedir. Envanter, politika ve etki değerlendirmesiyle başlayan küçük adımlar, belgelendirme hedefiniz olmasa bile kurumunuzu daha öngörülebilir kılar. Belgelendirmeye hazırlık, ISO 27001 entegrasyonu ya da teknik kontrollerin kurulması için Pedante Bilişim ve Racurity ekibiyle çalışabilirsiniz; ayrıntılar ISO 42001 danışmanlığı sayfamızda.
Sık sorulan sorular
ISO 42001 ile ISO 27001 arasındaki fark nedir?
ISO 27001 bilgi güvenliği yönetimini, ISO 42001 ise yapay zekâ sistemlerinin sorumlu yönetimini konu alır. İkisi aynı üst yapıyı kullandığı için birlikte işletilebilir.
Küçük bir şirket ISO 42001’den fayda sağlar mı?
Evet. Belgelendirme hedeflenmese bile envanter, kullanım politikası ve etki değerlendirmesi gibi temel adımlar küçük ölçekli kurumlarda da riskleri belirgin biçimde azaltır.
Etki değerlendirmesini kim yapmalı?
Sistemin iş sahibi, teknik sorumlusu ve mümkünse hukuk ya da uyum tarafından bir temsilcinin birlikte çalışması önerilir; tek kişinin değerlendirmesi kör noktalar bırakır.
Racoun ile konuşun: İstanbul merkezli ekibimizle Türkiye genelindeki markalara hizmet veriyoruz. WhatsApp üzerinden yazabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.
