Şirketiniz yapay zekayı benimsedi. Çalışanlar AI araçları kullanıyor, süreçler otomatize edildi, belki bir yapay zeka modeli bile kurgulandı. Peki tüm bunlar bir yönetişim çerçevesi altında mı yürütülüyor? Yoksa her departman kendi bağımsız AI kararlarını mı alıyor?
Aralık 2023’te yayımlanan ISO/IEC 42001, bu soruya sistematik bir yanıt veriyor. Yapay zeka yönetim sistemleri için dünyanın ilk uluslararası ve sertifikalandırılabilir standardı olarak, kuruluşlara AI’ı sorumlu, şeffaf ve denetlenebilir bir şekilde yönetmek için somut bir yol haritası sunuyor.
Bu yazıda ISO 42001’in ne olduğunu, hangi gereksinimleri getirdiğini, nasıl uygulandığını ve Türkiye’deki kuruluşlar için neden şimdiden önem taşıdığını ele alıyoruz.
ISO 42001 Nedir? ISO 27001 ile Farkı Ne?
ISO 27001’i bilen bir güvenlik profesyoneli için ISO 42001’i anlamak görece kolaydır. İkisi de yönetim sistemi standardıdır, ikisi de PUKÖ (Planla–Uygula–Kontrol Et–Önlem Al) döngüsünü esas alır. Ancak odak noktaları temelden farklıdır:
| ISO 27001 | ISO 42001 | |
|---|---|---|
| Kapsam | Bilgi güvenliği yönetimi | Yapay zeka yönetim sistemi |
| Yayın Tarihi | 2013 (rev. 2022) | Aralık 2023 |
| Temel Odak | Varlık gizliliği, bütünlük, erişilebilirlik | AI etiği, şeffaflık, risk, yaşam döngüsü |
| Sertifikalandırma | ✅ Mevcut | ✅ Mevcut (2024’ten itibaren) |
| AB Düzenlemesi Uyumu | GDPR, NIS2 | AB Yapay Zeka Yasası |
| Entegrasyon | ISO 27001 ile bağımsız | ISO 27001 ile entegre çalışır |
“ISO 42001, yapay zeka için ISO 27001’ın yaptığını yapıyor: Ad hoc politikalardan çıkıp denetlenebilir, sürekli iyileştirilebilir bir yönetim sistemine geçişi sağlıyor.”
— Mindgard AI Governance Report, 2025
Standardın Temel Yapısı: PUKÖ Döngüsü
ISO 42001, tüm ISO yönetim sistemi standartlarında olduğu gibi Planla–Uygula–Kontrol Et–Önlem Al (PUKÖ) metodolojisi üzerine kuruludur. Bu döngü, AI yönetişimini statik bir belge setinden çıkarıp canlı, gelişen bir sisteme dönüştürür:
PUKÖ — AI Yönetim Sistemi Döngüsü
ISO 42001’in Temel Gereksinimleri
Standart, 10 ana madde ve bir kontrol eki (Annex A) üzerine kuruludur. Pratikte uygulamanın beş temel boyutu şöyle özetlenebilir:
Annex A: AI Yönetim Sistemi Kontrolleri
ISO 27001’daki Ek A kontrolleri gibi, ISO 42001 de bir kontrol seti sunar. Bu kontroller, kuruluşun AI sistemlerini yönetmek için hayata geçirmesi gereken somut önlemleri tanımlar:
AI Sistem Envanteri
Tüm AI sistemlerinin merkezi kaydı. Hangi AI ne amaçla, ne verisiyle, kim tarafından kullanılıyor.
Kullanım Amacı Kısıtlamaları
Her AI sisteminin onaylı kullanım senaryoları ve yasaklı kullanımlar net tanımlanmalı.
Veri Kalitesi Yönetimi
Eğitim ve operasyon verilerinin kalitesi, önyargıdan arındırılması ve yaşam döngüsü yönetimi.
İnsan Gözetimi
Yüksek riskli AI kararlarında insan onayı ve müdahale mekanizmaları.
AI Güvenliği Kontrolleri
Model güvenliği, adversarial saldırılara karşı dayanıklılık, prompt injection koruması.
Tedarik Zinciri Yönetimi
Üçüncü taraf AI hizmetleri ve modellerinin yönetişim gereksinimleri.
ISO 42001 ve AB Yapay Zeka Yasası: Örtüşen Gereksinimler
Ağustos 2024’te yürürlüğe giren AB Yapay Zeka Yasası (EU AI Act), birçok gereksinim için ISO 42001’in sağladığı çerçeveyle örtüşüyor. Bu iki düzenleme birbirini tamamlar nitelikte:
🇪🇺 AB Yapay Zeka Yasası Gereksinimleri
- Risk tabanlı sınıflandırma sistemi
- Yüksek riskli AI için uygunluk değerlendirmesi
- Şeffaflık ve açıklama yükümlülükleri
- İnsan gözetimi zorunluluğu
- Veri yönetişimi gereksinimleri
- Teknik dokümantasyon tutma
- Olay bildirimi
📋 ISO 42001’in Karşıladığı Alanlar
- ✅ AI risk kayıtları ve değerlendirme
- ✅ Yaşam döngüsü kontrol süreçleri
- ✅ Model kartı ve dokümantasyon
- ✅ İnsan gözetim mekanizmaları
- ✅ Veri kalitesi ve yönetimi
- ✅ Teknik kanıt oluşturma
- ✅ Olay yönetimi süreçleri
Önemli Not: AB Yapay Zeka Yasası’nın GPAI (Genel Amaçlı AI) sağlayıcıları için yükümlülükleri Ağustos 2025’ten itibaren, tam uygulama ise Ağustos 2026’dan itibaren aktif. ISO 42001 uyumu, bu düzenlemeye hazırlığı önemli ölçüde kolaylaştırıyor.
ISO 42001 Uygulama Yol Haritası
ISO 27001 uygulamasına benzer bir yapıda, ISO 42001 için tipik bir uygulama süreci beş aşamada tamamlanır:
Mevcut AI kullanımı haritalanır. ISO 42001 gereksinimleriyle mevcut durum kıyaslanır. AIMS kapsamı ve sınırları belirlenir. Yönetim taahhüdü alınır.
AI politikası yazılır. Roller ve sorumluluklar atanır. AI sistem envanteri oluşturulur. Risk yönetim metodolojisi belirlenir. ISO 27001 BGYS ile entegrasyon planlanır.
Annex A kontrolleri hayata geçirilir. AI risk kayıtları oluşturulur. Model kartları hazırlanır. Personel eğitimleri verilir. İzleme mekanizmaları kurulur.
İç denetim planlanır ve yürütülür. Bulgular raporlanır. Yönetim gözden geçirmesi yapılır. Düzeltici faaliyetler başlatılır.
Akredite belgelendirme kuruluşu tarafından Aşama 1 ve Aşama 2 denetimi gerçekleştirilir. ISO/IEC 42001 sertifikası alınır. Gözetim denetimleri ile süreklilik sağlanır.
ISO 27001 Var mı? ISO 42001 Daha Kolay
İki standart aynı yönetim sistemi yapısını (HLS — High Level Structure) paylaşıyor. Bu sayede ISO 27001 sertifikalı kuruluşlar için ISO 42001 uygulaması çok daha az yük gerektiriyor:
Ortak Politikalar
Bilgi güvenliği politikası, risk yönetimi ve iç denetim süreçleri entegre edilebilir
Ortak Ekip
Aynı BGYS ekibi her iki standardı da yönetebilir; ayrı kaynak gerekmez
Ortak Denetim
Kombine denetimlerle hem 27001 hem 42001 aynı anda değerlendirilebilir
AI Güvenliği Sinerji
ISO 27001 güvenlik kontrolleri, AI sistemlerine özel kontrollerle genişletilir
Türkiye’deki Kuruluşlar İçin Neden Şimdi?
ISO 42001, gönüllü bir standart olmaya devam etse de birkaç kritik etken onu Türkiye’deki kuruluşlar için şimdiden zorunlu kılıyor:
ISO 42001 — Özet Görünüm
Sonuç: AI Yönetişimi Artık Bir Seçenek Değil
Yapay zeka organizasyonların içine işledi. Artık soru “AI kullanacak mıyız?” değil, “AI’ı nasıl sorumlu ve denetlenebilir biçimde yönetiriz?” sorusu. ISO 42001, bu soruya uluslararası düzeyde kabul görmüş, sertifikalandırılabilir ve AB düzenlemeleriyle uyumlu bir yanıt veriyor.
ISO 27001’i zaten uygulamış kuruluşlar için bu yolculuk düşündüğünüzden çok daha kısa. Mevcut yönetim sistemi altyapısı, deneyimli ekip ve yerleşik kültür, ISO 42001 uygulamasının bedelini önemli ölçüde düşürüyor.
AB AI Act uygulama takvimi ilerliyor. Müşterileriniz ve tedarik zinciriniz yakında AI yönetişim kanıtı isteyecek. Sertifikaya giden bu yolda şimdiden adım atmak, sonradan koşmaktan her zaman daha az maliyetlidir.
🏷️ Etiketler:
