ISO 42001 Yapay Zekâ Yönetim Sistemi Danışmanlığı

ISO/IEC 42001 nedir?

ISO/IEC 42001, yapay zekâ sistemlerini geliştiren, sağlayan ya da kullanan kuruluşlar için bir Yapay Zekâ Yönetim Sistemi (AIMS, Artificial Intelligence Management System) kurmanın, işletmenin ve sürekli iyileştirmenin gereksinimlerini tanımlayan uluslararası standarttır. ISO 27001 bilgi güvenliğini nasıl bir yönetim sistemi disiplinine bağlıyorsa, ISO 42001 de yapay zekâ kullanımını aynı disipline bağlar: kim karar veriyor, hangi riskler değerlendirildi, hangi veriyle çalışılıyor, insan gözetimi nerede devreye giriyor ve tüm bunların kanıtı nerede duruyor.

Racoun’un teknoloji birimi Pedante Bilişim, bu danışmanlığı siber güvenlik ve yönetilen BT markası Racurity çatısı altında sunar. Amacımız kâğıt üzerinde kalan bir doküman seti değil, ekiplerin gerçekten uyguladığı, denetimde savunulabilen ve iş hedefleriyle uyumlu bir yönetim sistemidir.

Kimler için gerekli?

ISO 42001 yalnızca yapay zekâ modeli geliştiren teknoloji şirketlerine yönelik değildir. Bugün pek çok kurum, farkında olarak ya da olmayarak yapay zekâ kullanıyor. Standart özellikle şu yapılar için anlamlıdır:

Ürününe yapay zekâ özelliği ekleyen yazılım ve SaaS firmaları
Müşteri hizmetlerinde sohbet botu, otomatik sınıflandırma ya da öneri sistemi kullanan kurumlar
İnsan kaynaklarında aday ön eleme, performans analizi gibi hassas kararları yapay zekâ ile destekleyen şirketler
Finans, sigorta, sağlık ve kamu ile çalışan; tedarikçi değerlendirmelerinde yapay zekâ yönetişimi sorulan firmalar
Avrupa’ya ürün ya da hizmet sunan ve AB Yapay Zekâ Yasası gibi düzenlemelere hazırlanmak isteyen kuruluşlar
Çalışanların üretken yapay zekâ araçlarını kontrolsüz kullanmasından endişe eden her ölçekte işletme

Yapay zekâ kullanımındaki riskler

Yapay zekâ riskleri klasik BT risklerinden farklı davranır. Bir sunucu ya çalışır ya çalışmaz; bir model ise çalışırken yanlış, taraflı ya da açıklanamayan sonuçlar üretebilir. Başlıca riskler şunlardır:

Veri riski: Kişisel verilerin ya da ticari sırların harici yapay zekâ servislerine kontrolsüz aktarılması; KVKK ve GDPR açısından ciddi sonuçlar doğurabilir.
Önyargı ve ayrımcılık: Eğitim verisindeki dengesizlik, işe alım ya da kredi gibi kararlarda adaletsiz sonuçlara yol açabilir.
Doğruluk ve halüsinasyon: Üretken modellerin uydurma bilgi üretmesi, müşteriye yanlış taahhüt verilmesine neden olabilir.
Şeffaflık eksikliği: Kararın nasıl alındığı açıklanamadığında hem müşteri güveni hem de düzenleyici beklentiler zedelenir.
Tedarikçi bağımlılığı: Kullanılan modelin sağlayıcısı, veri saklama koşulları ve sürüm değişiklikleri çoğu zaman belgelenmez.
Güvenlik: İstem enjeksiyonu (prompt injection), model zehirleme ve veri sızdırma gibi yapay zekâya özgü saldırı türleri.

Danışmanlık kapsamı

Bağlam analizi ve yapay zekâ envanteri

İlk iş, kurumda hangi yapay zekâ sistemlerinin bulunduğunu ortaya çıkarmaktır: satın alınan SaaS ürünlerindeki yapay zekâ özellikleri, şirket içinde geliştirilen modeller, çalışanların kullandığı üretken yapay zekâ araçları. Her sistem için amaç, veri kaynakları, etkilenen paydaşlar ve kurumun rolü (geliştirici, sağlayıcı ya da kullanıcı) kayda alınır. Kapsam bu envantere göre belirlenir.

Yapay zekâ politikası, roller ve sorumluluklar

Üst yönetimin onayladığı bir yapay zekâ politikası; kabul edilebilir kullanım kuralları; sistem sahipliği, onay mekanizması ve eskalasyon yolları tanımlanır. Hangi kullanımın serbest, hangisinin onaya tabi, hangisinin yasak olduğu netleşir.

Risk değerlendirmesi ve etki değerlendirmesi

ISO 42001, kurumsal risk değerlendirmesinin yanında bireyler, gruplar ve toplum üzerindeki olası etkilerin ayrıca değerlendirilmesini ister. Her yapay zekâ sistemi için olasılık ve etki puanlaması yapılır, risk işleme planı hazırlanır ve uygulanabilirlik bildirgesi (SoA) oluşturulur. Standardın ek kontrolleri, kurumun bağlamına göre seçilir ve gerekçelendirilir.

Veri yönetimi ve yaşam döngüsü kontrolleri

Eğitim ve çıktı verisinin kaynağı, kalitesi, temsil gücü, saklama süresi ve erişim yetkileri tanımlanır. Model yaşam döngüsü boyunca (tasarım, doğrulama, devreye alma, izleme, emeklilik) hangi kontrolün nerede uygulanacağı belirlenir; değişiklik yönetimi ve sürüm kayıtları kurulur.

Şeffaflık, insan gözetimi ve tedarikçi yönetimi

Kullanıcılara yapay zekâ ile etkileşimde olduklarının nasıl bildirileceği, kritik kararlarda insanın hangi noktada onay vereceği ve üçüncü taraf model sağlayıcılarından hangi güvencelerin isteneceği yazılı hale getirilir.

ISO 27001 ile entegre yönetim sistemi

ISO 42001, ISO yönetim sistemleri için ortak üst yapıyı kullanır. Bu nedenle halihazırda ISO 27001 sertifikası olan ya da hazırlanan kurumlarda iç denetim, yönetimin gözden geçirmesi, doküman kontrolü ve düzeltici faaliyet süreçleri ortak yürütülebilir. Mükerrer iş yükünü önlemek için iki sistemi tek çatı altında tasarlıyoruz; ayrıntılar için ISO 27001 danışmanlığı sayfamıza bakabilirsiniz.

Belgelendirmeye hazırlık

İç denetim, yönetimin gözden geçirmesi ve ön denetim simülasyonu ile kurum, akredite belgelendirme kuruluşunun denetimine hazırlanır. Belgelendirme kararı bağımsız kuruluşa aittir; biz sürecin eksiksiz ve kanıtlanabilir yürütülmesini destekliyoruz, sonuç taahhüt etmiyoruz.

Düzenlemelerle ilişkisi

AB Yapay Zekâ Yasası, yapay zekâ sistemlerini risk seviyelerine göre sınıflandıran ve yüksek riskli kullanımlara ek yükümlülükler getiren bir düzenlemedir. ISO 42001 bu yasaya uyumun kendisi değildir, ancak risk yönetimi, dokümantasyon, şeffaflık ve insan gözetimi gibi beklentilerin önemli bir kısmına sistematik bir zemin hazırlar. Türkiye’de ise kişisel verilerin işlenmesi açısından KVKK her zaman devrededir. Hukuki yorum gerektiren konularda kurumunuzun hukuk danışmanıyla birlikte çalışmanızı öneririz; KVKK uyum danışmanlığı hizmetimiz bu tarafı tamamlar.

Teknik tarafta neler değişir?

Yönetim sistemi kararları teknik kontrollerle desteklenmediğinde denetimde kanıt üretmek zorlaşır. Bu nedenle çalışmanın bir parçası olarak şu teknik başlıkları da ele alıyoruz:

Onaylı yapay zekâ araçlarına kurumsal hesap ve MFA ile erişim, onaysız servislere erişimin sınırlandırılması
Yapay zekâ servislerine gönderilen verinin DLP kurallarıyla izlenmesi ve hassas veri sınıflarının engellenmesi
Model ve istem (prompt) sürümlerinin, test sonuçlarının ve değişikliklerin kayıt altına alınması
Uygulamaya gömülü yapay zekâ özelliklerinde istem enjeksiyonuna karşı girdi ve çıktı denetimi
Kullanım loglarının merkezi bir log yönetimi ya da SIEM ortamında saklanması

Süreç adımları

Ön görüşme ve boşluk analizi: Mevcut yapay zekâ kullanımı ve varsa ISO 27001 sistemi incelenir.
Kapsam ve envanter: Yapay zekâ sistemleri listelenir, kapsam sınırı çizilir.
Politika ve organizasyon: Politika, roller ve yapay zekâ kurulu (ya da sorumlu ekip) tanımlanır.
Risk ve etki değerlendirmesi: Her sistem için değerlendirme yapılır, SoA hazırlanır.
Kontrollerin uygulanması: Teknik ve idari kontroller hayata geçirilir, kayıtlar oluşmaya başlar.
Eğitim ve farkındalık: Yöneticiler, geliştiriciler ve son kullanıcılar için ayrı içerikler.
İç denetim ve gözden geçirme: Bulgular kapatılır, belgelendirme denetimine hazır hale gelinir.

Neden Pedante ve Racurity?

Yapay zekâ yönetişimi yalnızca doküman yazmak değildir; erişim yetkileri, log kayıtları, veri sızıntısı önleme, tedarikçi sözleşmeleri ve yazılım geliştirme süreçleri gibi teknik konulara dokunur. Pedante Bilişim’in yazılım ekibi ve Racurity’nin güvenlik kataloğu aynı çatı altında olduğu için, politika ile teknik uygulama arasındaki köprüyü tek muhatapla kuruyoruz. Gerektiğinde uzman çözüm ortaklarımız aracılığıyla DLP, kimlik ve erişim yönetimi ya da SIEM ve log izleme gibi kontrolleri de devreye alabiliyoruz.

Sık yapılan hatalar

Yalnızca şirket içinde geliştirilen modelleri kapsama alıp, satın alınan araçlardaki yapay zekâ özelliklerini unutmak
Etki değerlendirmesini kurumsal risk değerlendirmesiyle aynı şey sanmak
ISO 27001 ile ayrı ayrı doküman setleri kurup iş yükünü ikiye katlamak
Çalışanların üretken yapay zekâ kullanımını yasaklayıp alternatif ve kural sunmamak
Belgelendirmeyi hedefin kendisi yapıp, sistemin sürekli işletilmesini ihmal etmek

İlgili hizmetler

ISO 42001 çalışması genellikle şu hizmetlerle birlikte yürür: ISO 27001 danışmanlığı, KVKK uyum danışmanlığı, BT danışmanlığı ve dijital dönüşüm, özel yazılım geliştirme ve siber güvenlik hizmetleri. Tüm bilişim hizmetlerimizi kurumsal BT çözümleri sayfasında görebilir, ilk görüşme için toplantı planlayabilirsiniz.

Tüm bilişim hizmetlerimizi görmek için kurumsal BT çözümleri sayfamıza göz atabilirsiniz.

Sık sorulan sorular

ISO 42001 belgesi zorunlu mu?

Genel olarak zorunlu değildir; gönüllü bir standarttır. Ancak müşteri, yatırımcı ya da tedarikçi değerlendirmelerinde yapay zekâ yönetişiminin kanıtı olarak giderek daha sık talep edilmektedir.

Yapay zekâ geliştirmiyoruz, sadece hazır araç kullanıyoruz. Bize uygun mu?

Evet. Standart, yapay zekâ kullanan kuruluşları da kapsar. Bu durumda kontroller daha çok tedarikçi değerlendirmesi, veri aktarımı, kabul edilebilir kullanım ve insan gözetimi üzerinde yoğunlaşır.

ISO 27001 sertifikamız var; ISO 42001 için baştan mı başlayacağız?

Hayır. İki standart aynı üst yapıyı paylaştığı için iç denetim, doküman kontrolü ve yönetimin gözden geçirmesi gibi süreçler ortak kullanılabilir. Yapay zekâya özgü risk, etki değerlendirmesi ve kontroller mevcut sisteme eklenir.

ISO 42001, AB Yapay Zekâ Yasası’na uyum sağlar mı?

ISO 42001 bu yasaya uyumun kendisi değildir, ancak risk yönetimi, dokümantasyon ve şeffaflık gibi beklentiler için sistematik bir zemin oluşturur. Yasal yükümlülüklerin değerlendirilmesi için hukuki destek almanızı öneririz.

Belgelendirmeyi siz mi veriyorsunuz?

Hayır. Belgelendirme denetimini ve kararını akredite, bağımsız belgelendirme kuruluşları verir. Biz kurumunuzu bu denetime hazırlar, süreç boyunca danışmanlık sağlarız; belge alınacağına dair taahhütte bulunmayız.

Süreç ne kadar sürer?

Süre; yapay zekâ sistemlerinin sayısına, mevcut bir yönetim sistemi olup olmadığına ve ekip kaynağına göre değişir. Boşluk analizinin ardından size özel bir proje planı paylaşıyoruz.

İletişim

Merkez ofisimiz: Atatürk Mah., Sait Cordan Sk. No:10, 34758 Ataşehir / İstanbul. İstanbul’daki firmalarla yüz yüze, Türkiye genelindeki markalarla online toplantı ve planlı ziyaretlerle çalışıyoruz. 0551 044 08 69 numaralı WhatsApp hattımızdan yazabilir, toplantı planlayabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.