ISO/IEC 42001 ve NIST AI RMF: Yönetim Sistemi mi, Risk Çerçevesi mi?

Ortak zemin: yapay zekayı sorumlu ve denetlenebilir biçimde yönetmek

ISO/IEC 42001 ve NIST AI RMF, yapay zeka sistemleri geliştiren, sağlayan ya da kullanan kurumların riskleri sistematik biçimde yönetmesine yardım etmek için hazırlandı. İkisi de tek bir teknolojiye ya da sektöre bağlı değildir; büyük ya da küçük her kurum tarafından uyarlanabilir.

ISO/IEC 42001'in tam adı 'Bilgi teknolojisi, yapay zeka, yönetim sistemi'dir; IEC yayın kaydına göre standart, bir kurumda yapay zeka yönetim sisteminin kurulması, uygulanması, sürdürülmesi ve sürekli iyileştirilmesi için gereklilikler ve rehberlik sunar ve büyüklüğü, türü ve niteliği ne olursa olsun yapay zeka sistemleri kullanan ürün ya da hizmet sağlayan veya kullanan her kuruma uygulanır.

NIST AI RMF ise ABD Ulusal Standartlar ve Teknoloji Enstitüsü'nün yayımladığı bir çerçevedir. NIST, yapay zekanın tasarımına, geliştirilmesine, kullanımına ve değerlendirilmesine güvenilirlik değerlendirmelerini dahil etmeye yardım etmesini amaçladığını ve gönüllü kullanım için hazırlandığını belirtir. Çerçeve, güvenilir yapay zeka sistemlerinin niteliklerini ve bu nitelikleri hayata geçirmek için dört işlevi tanımlar.

Ölçüt ölçüt ISO/IEC 42001 ve NIST AI RMF

• Ölçüt: Belge türü. ISO/IEC 42001: uluslararası yönetim sistemi standardı; 'yapılmalıdır' diline dayanan gereklilikler içerir. / NIST AI RMF: gönüllü çerçeve; kurumların ihtiyaçlarına göre uyarlayacağı yaklaşımlar ve öneriler sunar.
• Ölçüt: Odak. ISO/IEC 42001: kurumun yapay zekayı yönetme biçimi; politika, roller, süreçler ve sürekli iyileştirme. / NIST AI RMF: yapay zeka sistemlerinin risklerinin bağlamıyla birlikte bulunması, ölçülmesi ve ele alınması.
• Ölçüt: Belgelendirme. ISO/IEC 42001: ISO/IEC 42006'ya göre çalışan belgelendirme kuruluşlarınca üçüncü taraf uygunluk değerlendirmesi yapılabilir. / NIST AI RMF: belgelendirme şeması tanımlamaz; uyum beyanı kurumun kendi değerlendirmesine dayanır.
• Ölçüt: Yapı. ISO/IEC 42001: diğer ISO yönetim sistemi standartlarıyla benzer bir iskelet; bu, bilgi güvenliği ya da kalite yönetim sistemiyle entegrasyonu kolaylaştırır. / NIST AI RMF: yönetişim, haritalama, ölçme ve yönetme olarak çevrilebilecek dört işlev (GOVERN, MAP, MEASURE, MANAGE), bunların altında kategoriler ve alt kategoriler.
• Ölçüt: Destekleyici kaynaklar. ISO/IEC 42001: aynı ailedeki diğer yapay zeka standartları ve belgelendirme gereklilikleri. / NIST AI RMF: uygulama önerileri sunan Playbook ve üretken yapay zekaya özgü riskleri ele alan profil.
• Ölçüt: Coğrafi bağlam. ISO/IEC 42001: uluslararası standart. / NIST AI RMF: ABD kaynaklı ama sektör ve ülke sınırlaması olmadan kullanılabilir.

NIST AI RMF'nin dört işlevi ISO yönetim sistemine nasıl oturur?

NIST çerçevesinin çekirdeği dört işlevdir. Yönetişim işlevi (GOVERN), risk yönetimi kültürünü yerleştirir, politikaları, süreçleri ve sorumlulukları tanımlar ve yapay zeka risk yönetimini kurumun ilke ve stratejik öncelikleriyle hizalar. NIST, bu işlevin diğer üçünü kesen ve risk yönetimi sürecinin tamamına yayılan bir işlev olduğunu vurgular.

Haritalama işlevi (MAP) bir yapay zeka sisteminin bağlamını kurar: amaç, kullanıcılar, etkilenen kişiler ve olası etkiler. Ölçme işlevi (MEASURE) nicel, nitel ya da karma yöntemlerle riskleri analiz eder, kıyaslar ve izler; NIST'e göre yapay zeka sistemleri yayına alınmadan önce ve kullanım sırasında düzenli olarak test edilmelidir. Yönetme işlevi (MANAGE) haritalanan ve ölçülen risklere kaynak ayırır, olaylara müdahale ve iletişim planlarını içerir.

ISO/IEC 42001'e göre bir yönetim sistemi kuran kurum, politika, rol ve sorumlulukları yönetim sistemi düzeyinde tanımlar. Sistem bazında risk değerlendirmesinin nasıl yapılacağı sorusunda NIST'in haritalama, ölçme ve yönetme işlevleri ayrıntılı bir yöntem sunar. Böylece ISO iskeleti 'ne yapılacağını ve kimin sorumlu olduğunu', NIST işlevleri 'bir sistemin riskinin pratikte nasıl çıkarılacağını' gösterir.

Hangi durumda hangisi öne çıkar?

ISO/IEC 42001'e ağırlık verin: • Müşterileriniz, iş ortaklarınız ya da ihale şartnameleri yapay zeka yönetimi için bağımsız bir belge istiyorsa. • Kurumda zaten bilgi güvenliği ya da kalite yönetim sistemi işliyorsa ve yapay zekayı aynı yönetim sistemi mantığıyla eklemek istiyorsanız. • Yapay zeka kullanımı birden çok birime yayıldıysa ve ortak politika, rol ve iç denetim düzeni gerekiyorsa.

NIST AI RMF'ye ağırlık verin: • Henüz yönetim sistemi kurmaya hazır değilseniz ama tek tek yapay zeka sistemlerinin riskini yapılandırılmış biçimde değerlendirmek istiyorsanız. • Risk ekipleriniz güvenilirlik niteliklerine (geçerlilik, güvenlik, şeffaflık, adalet, mahremiyet) göre somut kontrol listeleri arıyorsa. • Üretken yapay zeka uygulamalarınız varsa; NIST bu alana özgü riskler için ayrı bir profil yayımladı.

Birlikte: NIST'in işlevleriyle risk değerlendirme yöntemini kurup bunu ISO/IEC 42001 yönetim sisteminin risk süreci olarak belgelemek, hem uygulamada derinlik hem de denetlenebilirlik sağlar.

Bir kurumda birlikte kullanım: kredi skorlama örneği

Bir finans kuruluşu, kredi başvurularında ön değerlendirme yapan bir makine öğrenmesi modeli kullanıyor ve kurumsal müşterileri yapay zeka yönetimi konusunda güvence istiyor.

Kurum, ISO/IEC 42001'e göre bir yapay zeka yönetim sistemi kurmaya karar verir: üst yönetim yapay zeka politikasını onaylar, bir yönetişim komitesi kurulur, yapay zeka sistemlerinin envanteri çıkarılır ve iç denetim takvimi belirlenir.

Kredi modelinin risk değerlendirmesi ise NIST'in işlevleriyle yapılır. Haritalamada modelin amacı, kararlardan etkilenen başvuru sahipleri ve olası zararlar belirlenir. Ölçmede modelin farklı başvuru gruplarındaki performansı, açıklanabilirliği ve veri mahremiyeti riskleri test edilir. Yönetmede eşik değerler, insan incelemesine gidecek başvurular ve olay müdahale planı tanımlanır.

Bu çalışmanın kayıtları yönetim sisteminin kanıtı olur. Bağımsız denetimde denetçi, risk değerlendirmesinin tanımlı bir yöntemle yapıldığını ve sonuçların karar süreçlerine yansıdığını bu kayıtlardan izler.

Yapay zeka yönetişimini Mindset programlarında nerede çalışırsınız

Yapay Zeka Uyum ve Etik Uzmanlığı (AI Governance) Sertifika Programı, standartlar ve çerçeveler modülünde NIST AI RMF ile ISO 42001'i doğrudan ele alır; kurumsal yönetişim modeli, yüksek riskli sistemler ve AB Yapay Zeka Yasası modülleriyle bu iki belgenin kurum içinde nasıl birleştirileceği sorusunu somutlaştırır. Yapay Zeka Risk Yönetimi ve Yönetişim programı ise risk tanıma, operasyonel kontroller ve mevzuat uyumu tarafında çalışan ekipler için tamamlayıcıdır.