ISO/IEC 42001: yapay zekâ yönetim sistemi

Altay Yazılım bankalara belge okuma hizmeti satıyor. Hizmet, kredi dosyasındaki taranmış belgeleri bir dil modeline okutuyor ve alanları otomatik dolduruyor.

Bir bankanın satın alma formunda yeni bir satır belirdi: ISO/IEC 42001 sertifikanız var mı? ISO/IEC 42001, Aralık 2023'te ISO ve IEC'nin ortak yapay zekâ komitesinden çıkan bir yönetim sistemi standardıdır. Standart bir ürünü değil, bir kurumun yapay zekâyı nasıl yönettiğini tarif eder. Adı AIMS, yani yapay zekâ yönetim sistemidir.

Yapay zekâ geliştiren, sunan ya da kullanan her büyüklükteki kuruma uygulanır. ISO 27001 ve ISO 9001 ile aynı üst yapıyı paylaşır. Bu yüzden bilgi güvenliği yönetim sistemi olan bir kurum, 42001'i var olan düzenine kolayca ekler. Bu derste standardın iskeletini kuracak ve sertifikanın neyi kanıtladığını, neyi kanıtlamadığını ayıracaksın.

Standardın şart taşıyan gövdesi 4 ile 10 arasındaki maddelerdir. Madde 4 kurumun bağlamını ister: kapsamdaki yapay zekâ sistemleri, ilgili taraflar ve kurumun rolü. Kurum sağlayıcı mı, geliştirici mi, yoksa yalnız kullanıcı mı? Madde 5 liderliği ister.

Üst yönetim bir yapay zekâ politikası yayımlar, rolleri ve yetkileri atar. Madde 6 planlamadır: riskler, fırsatlar ve ölçülebilir hedefler. Madde 7 destektir: kaynak, yetkinlik, farkındalık, iletişim ve belgelenmiş bilgi.

Madde 8 işletimdir. Risk değerlendirmesi, risk işleme ve etki değerlendirmesi burada uygulanır. Madde 9 performans değerlendirmesidir: izleme, iç tetkik ve yönetimin gözden geçirmesi. Madde 10 iyileştirmedir: uygunsuzluk, düzeltici faaliyet ve sürekli iyileştirme.

Bu maddeler PDCA döngüsüne oturur. Madde 4'teki bağlam ve Madde 5'teki liderlik döngünün zeminidir. Plan, yani planla, Madde 6'dır. Kurum riskleri ve hedefleri belirler ve hangi yapay zekâ sistemlerini kapsama aldığını yazar.

Do, yani uygula, Madde 7 ve 8'dir. Planlanan kontroller hayata geçer. Check, yani kontrol et, Madde 9'dur. Kurum performansı izler ve kendini iç tetkikle denetler.

Act, yani iyileştir, Madde 10'dur. Bulunan aksaklık düzeltilir ve düzeltme bir sonraki Plan aşamasının girdisi olur. Döngü bir kere dönüp bitmez.

Sertifika alındıktan sonra da sürer, çünkü gözetim denetimleri döngünün işlediğini arar. Kapsam cümlesine dikkat et. Kapsamı dar yazan kurum kolay sertifika alır, ama satın alma ekibi o sertifikanın kendi aldığı hizmeti kapsamadığını fark edebilir.

Kapsamı yazarken kurumun rolünü de belirlersin. Aynı kurum bir sistemde sağlayıcı, ötekinde yalnız kullanıcı olabilir. Altay Yazılım belge okuma hizmetini geliştirip sattığı için sağlayıcıdır. Aynı şirket iç yazışmalarında hazır bir sohbet aracı kullanıyorsa, o araç için kullanıcı rolündedir.

Rol, hangi Ek A kontrollerinin ağırlık kazanacağını belirler. Sağlayıcı yaşam döngüsü ve veri kontrollerine yüklenir. Kullanıcı ise sorumlu kullanım ve tedarikçi kontrollerine yüklenir. İlgili tarafları da bu aşamada listelersin: müşteri bankalar, başvuru sahipleri, düzenleyiciler ve model tedarikçisi.

Her tarafın beklentisi bir hedefe ya da bir riske dönüşür. Liste eksikse etki değerlendirmesi de eksik kalır.

Planlama maddesinin üç parçası yapay zekâya özgüdür. Risk değerlendirmesi, kurumun yapay zekâ hedeflerini etkileyebilecek riskleri ve olası sonuçlarını belirler, analiz eder ve önceliklendirir. Risk işleme, her risk için bir seçenek seçer ve gereken kontrolleri belirler.

Kurum bu kontrolleri Ek A'daki referans listeyle karşılaştırır. Sonucu bir uygulanabilirlik bildirgesine yazar. Bildirge, her kontrolün uygulanıp uygulanmadığını ve nedenini gösterir.

Üçüncü parça yapay zekâ sistemi etki değerlendirmesidir. Risk değerlendirmesi ağırlıkla kurumun hedeflerinden bakar. Etki değerlendirmesi ise doğrudan sistemin kişilere, gruplara ve topluma olası etkisini inceler.

Bir kredi dosyasındaki alanı yanlış dolduran sistem bankaya operasyon riski taşır. Aynı hata, başvuru sahibinin krediye erişimini etkiliyorsa kişi üzerinde bir etkidir.

Ek A dokuz konu başlığı altında 38 kontrol sayar. Başlıklar şunlardır: yapay zekâ politikaları, iç organizasyon, kaynaklar, etki değerlendirmesi, sistem yaşam döngüsü, veri, ilgili taraflara bilgi, sistemin kullanımı ve üçüncü taraf ile müşteri ilişkileri. Ek B her kontrol için uygulama rehberi verir.

Ek C kurumun gözetebileceği hedefleri ve risk kaynaklarını listeler. Ek D standardın farklı sektörlerde nasıl kullanılacağını anlatır. Ek A bir referanstır, zorunlu bir paket değildir.

Kurum gerekçesini yazarak bir kontrolü dışarıda bırakabilir ya da Ek A'da olmayan bir kontrol ekleyebilir. Denetçi her hariç tutmanın gerekçesini sınar. Zayıf gerekçe, denetimde ilk uygunsuzluk bulgusu olur.

Etki değerlendirmesini somut bir soruyla başlat: sistem yanılırsa kim, nasıl etkilenir? Belge okuma hizmeti bir gelir belgesindeki tutarı yanlış okursa, başvuru sahibinin kredi limiti düşebilir. Etkilenen kişi hatayı göremez, çünkü belgeyi bir çalışan değil sistem okumuştur.

Değerlendirme bu yüzden üç şey yazar: etkinin ciddiyeti, kişinin itiraz yolu ve hatayı yakalayacak kontrol. Altay Yazılım düşük güven skoru taşıyan alanları insan kontrolüne gönderiyor ve bu oranı bankaya her ay raporluyor. Değerlendirme sistem değiştiğinde yenilenir ve sonucu ilgili taraflara uygun biçimde açıklanır.

uygulanabilirlik_bildirgesi: AIMS-UB v2.1
kontrol   konu                          durum       gerekçe ve kanıt
A.2.2     Yapay zekâ politikası         uygulanır   POL-01, üst yönetim onayı 2026-03-10
A.5.2     Etki değerlendirme süreci     uygulanır   PRS-05, belge okuma için ED-03
A.6.2.4   Doğrulama ve geçerleme        uygulanır   test raporu TR-14
A.6.2.8   Olay kayıtları                uygulanır   kayıt politikası KP-02
A.7.6     Veri hazırlama                hariç       eğitim ya da ince ayar verisi hazırlanmıyor
A.10.3    Tedarikçiler                  uygulanır   model sağlayıcı değerlendirmesi TD-07

Bildirgeyi satır satır oku. İlk satır belgenin sürümünü verir, çünkü bildirge risk değiştikçe güncellenir. A.2.2 satırı politikayı ve üst yönetimin onay tarihini gösterir. Onaysız politika, Madde 5'in liderlik şartını karşılamaz.

A.5.2 satırı genel süreci ve bu hizmete ait etki değerlendirmesini ayrı ayrı numaralar. A.6.2.4 ve A.6.2.8 satırları test raporuna ve kayıt politikasına işaret eder. A.7.6 satırı hariç tutmadır. Gerekçe, Altay Yazılım'ın hazır bir modeli API ile çağırdığını ve eğitim verisi hazırlamadığını söyler.

Denetçi bu iddiayı sınar. Ekip bir gün ince ayar yaparsa satır geçersiz kalır. Son satır, hariç tutulan riskin nereye taşındığını gösterir. Model sağlayıcının veri pratikleri tedarikçi değerlendirmesinde ele alınır.

ISO 42001'in AB Yasası'ndan farkı bağlayıcılığındadır. Yasa bir tüzüktür ve üye ülkelerde doğrudan uygulanır. Standart ise bir kurumun gönüllü olarak alabileceği bir sertifikadır. NIST AI RMF ile farkı denetlenebilirliğindedir.

RMF bir çerçeve sunar, sertifika vermez. ISO 42001'de akredite bir sertifika kuruluşu kurumu inceler ve uygunsa sertifika verir. Sertifika bir yönetim sisteminin kurulduğunu ve işlediğini gösterir. Bir ürünün Madde 15'teki sağlamlık testini ya da Madde 50'deki bildirimi karşıladığını göstermez.

Yasa, uygunluk karinesini Madde 40 ile AB Resmî Gazetesi'nde yayımlanan uyumlaştırılmış standartlara bağlar. Bu standartları CEN ve CENELEC'in ortak komitesi JTC 21 hazırlıyor. Bir 42001 sertifikası tek başına bu karineyi doğurmaz.

Yine de sertifika boşa çalışma değildir. Yüksek riskli sistem sağlayıcısından Madde 17 bir kalite yönetim sistemi ister. Risk yönetimi, veri yönetimi, kayıt tutma, olay bildirimi ve sorumluluk dağılımı bu sistemin parçalarıdır. 42001 ile kurulan yönetim sistemi bu parçaların çoğuna hazır bir iskelet verir.

Kurum üç çerçeveyi birlikte kullanabilir. RMF'nin dört fonksiyonuyla riski düşünür. ISO 42001'in yapısıyla bu düşünceyi sürdürülebilir bir sisteme çevirir. AB Yasası'nın maddeleriyle yasal yükümlülüğü karşılar.

Üçü farklı sorulara cevap verir: RMF nasıl düşüneceğini, ISO nasıl sürdüreceğini, yasa neyin zorunlu olduğunu söyler. Sık hata, sertifikayı denetçiye gösterip Madde 15'in istediği testi hiç yapmamaktır. Sertifika o boşluğu kapatmaz.

Sertifika süreci iki aşamalı bir ilk denetimle başlar. Birinci aşamada denetçi belgeleri ve hazırlığı inceler: kapsam, politika, risk değerlendirmesi ve uygulanabilirlik bildirgesi.

İkinci aşamada sistemin gerçekten işleyip işlemediğine bakar. Kayıtları örnekler, çalışanlarla görüşür ve kontrollerin kanıtını ister. Uygunsa sertifika verilir. Sertifika genelde üç yıl geçerlidir ve ara yıllarda gözetim denetimi yapılır.

Üçüncü yılın sonunda yeniden belgelendirme gelir. Denetimler arasında kurum boş durmaz. Madde 9 planlı aralıklarla iç tetkik ve yönetimin gözden geçirmesini ister.

İç tetkikte bulunan bir uygunsuzluk, Madde 10'daki düzeltici faaliyet sürecine girer. Aşağıdaki kayıt böyle bir bulgunun izini sürer.

uygunsuzluk: NC-2026-04
madde: 9.2 iç tetkik, Ek A.6.2.8 olay kayıtları
bulgu: belge okuma v2 kayıtları 30 günde siliniyor, politika 400 gün diyor
kanit: silme işi ayarı, 2026-08-14 tarihli kayıt örneği
kok_neden: altyapı ekibi maliyet için ayarı değiştirdi, değişiklik onayı yok
duzeltme: saklama 400 güne çekildi (2026-08-16)
duzeltici_faaliyet: saklama ayarları değişiklik onay akışına bağlandı
etkinlik_kontrolu: 2026-11-15, rastgele kayıt sorgusu
sonraki_plan_girdisi: risk kaydına R-044 eklendi

Kaydı satır satır oku. Madde satırı bulguyu hem yönetim sistemi maddesine hem de bir Ek A kontrolüne bağlar. Bulgu satırı yazılı kural ile gerçek durum arasındaki farkı tek cümleyle söyler. Kanıt satırı bulgunun tartışmaya açık olmadığını gösterir.

Kök neden satırı en değerli satırdır. Sorun bir kişinin hatası değil, onaysız değişikliğe açık bir süreçtir. Düzeltme ile düzeltici faaliyet farklı şeylerdir. Düzeltme bugünkü hatayı giderir: süre geri çekildi.

Düzeltici faaliyet hatanın tekrarını önler: ayar artık onaysız değişmez. Etkinlik kontrolü bir tarih ve bir yöntem taşır, çünkü kapanış kanıt ister. Son satır döngüyü kapatır. Act aşamasının çıktısı risk kaydına girer ve bir sonraki Plan'ın girdisi olur.

Üç çerçeveyi bir arada düşünmek karışıklığı önler. Denetçi hangi çerçeveyi sorarsa sorsun, cevap çoğu zaman aynı kanıttan gelir: yazılı politika, risk kaydı, etki değerlendirmesi, test sonucu, uygulanabilirlik bildirgesi ve düzeltici faaliyet kaydı. Kanıtı bir kez düzenli tutarsan, üç çerçevenin sorusuna aynı klasörden cevap verirsin.

Eşleme için hazır araçlar da var. Bulut Güvenliği İttifakı CSA, Temmuz 2025'te Yapay Zekâ Kontrol Matrisi'ni yayımladı. Matrisin ilk sürümü 18 alanda 243 kontrol hedefi taşır ve ISO 42001, NIST AI RMF ve AB Yasası ile eşleme verir.

ISACA'nın AAISM sertifikası da aynı alanı üç başlıkta toplar: yönetişim ve program yönetimi, risk yönetimi, teknolojiler ve kontroller. Sık hata her denetim öncesi belgeleri yeniden toplamaktır. Klasör dağınıksa her denetim aynı işi baştan yaptırır.