“ISO 42001’e uymalıyız” kararı verildi. Peki şimdi ne yapılacak? Hangi belgeler hazırlanacak, hangi süreçler kurulacak, kim ne yapacak ve denetçiye ne gösterilecek?
Bu yazı, ISO 42001 uyumluluk sürecini baştan sona, somut görevler ve çıktılar özelinde ele alıyor. ISO 27001 deneyiminiz varsa pek çok kavram tanıdık gelecek; olmasa da her adım sıfırdan uygulanabilir biçimde açıklandı.
Süreç toplam 6 ana aşamadan oluşuyor. Küçük-orta ölçekli kuruluşlar için ortalama tamamlanma süresi 9–14 ay; ISO 27001 altyapısı olanlar için bu süre 5–8 aya kadar düşebilir.
ISO 42001 Uyumluluk Sürecine Genel Bakış
Başlangıç: Gap Analizi ve Kapsam Tanımı
Uyumluluk yolculuğunun ilk ve en kritik adımı, nerede durduğunuzu anlamaktır. Gap analizi, mevcut durumunuzla ISO 42001’in gerektirdiği durum arasındaki mesafeyi haritalandırır. Bu analiz olmadan yapılan tüm çalışmalar yanlış alana odaklanma riskini taşır.
📋 Gap Analizi: Yapılacak Çalışmalar ve Çıktılar
- Mevcut AI araç ve sistemleri keşfet ve listele
- ISO 42001 maddelerini mevcut süreçlerle karşılaştır
- Yönetim desteği ve sponsor belirle
- AIMS kapsamını tanımla (hangi sistemler, hangi birimler)
- İlgili yasal ve düzenleyici gereksinimleri listele (KVKK, BDDK, AB AI Act)
- Proje ekibini oluştur ve sorumlulukları dağıt
- Proje planı ve bütçe hazırla
- Gap Analizi Raporu
- AIMS Kapsam Belgesi
- Proje Şartnamesi
- Paydaş Haritası
- Yasal Gereksinimler Listesi
- Proje Planı (Gantt/milestone)
🔍 Gap Analizi Olgunluk Seviyesi Modeli
Temel Kurulum: Politika, Yapı ve Roller
Gap analizi tamamlandıktan sonra AIMS’in iskeletini oluşturan belgeler ve yönetişim yapısı kurulur. Bu aşamada üst yönetimin aktif katılımı zorunludur; sadece onay değil, gerçek sahiplik gereklidir.
📚 AIMS Belge Hiyerarşisi
📝 Bu Aşamada Hazırlanacak Belgeler
Risk Yönetimi ve AI Sistem Envanteri
ISO 42001’in kalbinde risk yönetimi ve AI sistem envanteri yer alır. Tüm kontrollerin temeli, hangi AI sistemlerinin var olduğunu bilmek ve her birine özgü riskleri tanımlamaktır.
🗂️ AI Sistem Envanteri — Minimum İçerik Gereksinimleri
| Alan | Açıklama | Örnek |
|---|---|---|
| Sistem Adı | Sistemin benzersiz adı | Müşteri Destek Chatbot v2 |
| Kullanım Amacı | Ne işe yarıyor | Müşteri sorularını otomatik yanıtlama |
| AI Türü | Model/teknoloji tipi | LLM tabanlı, üçüncü taraf API |
| Veri Kategorisi | Kullanılan veri türleri | Müşteri iletişim verileri (KVK kapsamlı) |
| Risk Seviyesi | AB AI Act sınıfı | Sınırlı Risk (şeffaflık yükümlülüğü) |
| Sistem Sahibi | Sorumlu birim/kişi | Müşteri Hizmetleri Müdürü |
| Tedarikçi | İç/dış, tedarikçi adı | Dış — OpenAI API |
| İnsan Gözetimi | Müdahale mekanizması | Müşteri isteğiyle insan operatöre devir |
⚠️ ISO 42001 Kapsamında AI’ya Özgü Risk Kategorileri
Kontrol Uygulama: Annex A ve Yaşam Döngüsü
Bu aşama en kapsamlı ve en çok iş gerektiren adımdır. ISO 42001 Ek A kontrolleri hayata geçirilir; aynı zamanda her AI sisteminin yaşam döngüsü (tasarımdan emekliliğe) yönetim sistemi kapsamına alınır.
AI Sistem Yaşam Döngüsü Yönetimi
📋 Model Kartı (Model Card) — Zorunlu Bölümler
Her AI sistemi için hazırlanması gereken model kartı, hem ISO 42001 hem AB AI Act şeffaflık gereksinimlerini karşılar:
İç Denetim, Performans Ölçümü ve Yönetim Gözden Geçirmesi
Kontroller uygulandıktan sonra, bunların gerçekten işlediğini kanıtlamak gerekir. İç denetim ve yönetim gözden geçirmesi, hem sistemin etkinliğini ölçer hem de belgelendirme denetimi için kritik kanıtları oluşturur.
📊 ISO 42001 İçin Örnek KPI’lar ve Ölçüm Kriterleri
✅ İç Denetim Kontrol Listesi (Ana Başlıklar)
Belgelendirme Denetimi ve Sertifika Süreci
ISO 42001 sertifikası, akredite bir belgelendirme kuruluşu (CB) tarafından gerçekleştirilen iki aşamalı denetim sonucunda verilir. Denetim öncesi hazırlık, başarının en kritik faktörüdür.
Aşama 1 Denetimi
Belge incelemesi denetimidir. Denetçi AIMS belgelerini, politikalarını ve kayıtlarını inceler. Genellikle uzaktan yapılır.
- AIMS kapsamı ve politika belgesi
- Risk metodolojisi ve kayıtları
- AI sistem envanteri
- Hedefler ve KPI takibi
- İç denetim planı
Aşama 2 Denetimi
Sahada uygulama doğrulama denetimidir. Denetçi belgelerin gerçekte uygulandığını bizzat doğrular. Genellikle yerinde yapılır.
- Kontrollerin fiili uygulaması
- Personel görüşmeleri
- Canlı sistem demonstrasyonları
- Olay yönetimi kanıtları
- Yönetim gözden geçirme kanıtları
📁 Denetçiye Sunulacak Kanıt Paketi — Kontrol Listesi
ISO 27001 Var mı? İşte Kazandıklarınız
ISO 27001 sertifikalı kuruluşlar için ISO 42001 uyum yolculuğu önemli ölçüde kısalır. İki standardın ortak yüksek düzey yapısı (HLS), pek çok belge ve süreci yeniden kullanılabilir kılar:
| Çalışma Alanı | ISO 27001 Varsa | Yoksa |
|---|---|---|
| Risk yönetim metodolojisi | ♻️ Uyarla | 🆕 Sıfırdan kur |
| İç denetim süreci | ♻️ Kapsam genişlet | 🆕 Sıfırdan kur |
| Yönetim gözden geçirmesi | ♻️ Gündem ekle | 🆕 Sıfırdan kur |
| Olay yönetimi | ⚡ AI olayı ekle | 🆕 Sıfırdan kur |
| Tedarikçi yönetimi | ⚡ AI madde ekle | 🆕 Sıfırdan kur |
| AI sistem envanteri | 🆕 Yeni oluştur | 🆕 Yeni oluştur |
| AI risk kategorileri ve model kartları | 🆕 Yeni oluştur | 🆕 Yeni oluştur |
⚠️ Uygulamada Sık Yapılan Hatalar
Sonuç: Doğru Sırayla, Doğru Hızda
ISO 42001 uyum süreci, içerik olarak karmaşık ama yapısal olarak son derece mantıklı bir yolculuktur. Her adımın bir önce geleni var; her belgenin bir kanıt değeri var. Panik yapmak için değil, plan yapmak için zaman harcamak gerekiyor.
En zor kısım genellikle teknik değil, kültüreldir: AI sistemlerinin belgelenmesi, envanterin tutulması ve risk yönetiminin rutin bir operasyonel faaliyet haline gelmesi. Bu kültürel dönüşüm, belgelendirme sertifikasından çok daha değerli bir kazanımdır.
AB AI Act uygulama takvimi işliyor. Tedarik zincirleri AI yönetişim kanıtı istemeye başladı. Rekabetçi farklılaşma penceresi henüz açık. ISO 42001 sertifikası, bugün atılan adımların yarın yaratacağı güvenin belgesidir.
🏷️ Etiketler:
📚 ISO 42001 Rehber Serisi — Bu Konuda Devam Edin
- ISO 42001 Standardına Göre Yapay Zeka Yönetişimi Nasıl Yapılır? — Kurumsal AI yönetişim çerçevesi
- ISO 27001 mi, ISO 42001 mi? Farklar ve Karşılaştırma — Hangisinden başlamalısınız?
- Yapay Zeka Güvenlik Riskleri — AI sistemlerinde kritik risk alanları
- Shadow AI: Kurumsal Güvenliğin Yeni Kör Noktası — Yetkisiz AI kullanımı riski
