ISO/IEC 42001: Yapay Zeka Yönetim Sistemi Standardı Neyi İster?
ISO/IEC 42001, yapay zeka sistemleri geliştiren, sunan ya da kullanan kurumlar için yapay zeka yönetim sisteminin nasıl kurulacağını ve sürdürüleceğini tanımlayan uluslararası bir standarttır.
Bir bakışta
- Bir ürün standardı değil, yönetim sistemi standardıdır. Tek bir modelin doğruluğunu değil, kurumun yapay zekayı yönetme düzenini düzenler.
- Kuruluşun büyüklüğü ve türü ayrım yapmaz. Yapay zeka içeren ürün ya da hizmet sağlayan veya kullanan her kuruma uygulanabilir.
- Kurma, uygulama, sürdürme ve iyileştirme ister. Bir kerelik belge değil, sürekli işleyen bir düzen beklenir.
- Belgelendirme mümkündür ama zorunlu değildir. Bağımsız belgelendirme ayrı bir standartla düzenlenir; kurum standardı belgesiz de kullanabilir.
ISO/IEC 42001 nedir?
ISO/IEC 42001, tam adıyla Bilgi teknolojisi, yapay zeka, yönetim sistemi standardıdır. IEC yayın kaydına göre standart, bir kurumda yapay zeka yönetim sisteminin kurulması, uygulanması, sürdürülmesi ve sürekli iyileştirilmesi için gereklilikler ve rehberlik sunar.
Standardın amacı, kurumların yapay zeka sistemlerini sorumlu biçimde geliştirmesine, sunmasına ve kullanmasına yardım etmek, aynı zamanda ilgili taraflara karşı yükümlülüklerini yerine getirmesini kolaylaştırmaktır.
Kimler için geçerlidir?
Standart, büyüklüğü, türü ve niteliği ne olursa olsun, yapay zeka sistemleri içeren ürün ya da hizmet sağlayan veya kullanan her kuruma uygulanabilir olarak tanımlanır. Yani yalnızca model geliştiren teknoloji şirketleri için değil, hazır yapay zeka çözümlerini satın alıp kullanan bir banka ya da üretici için de anlamlıdır.
Kurum rolüne göre ilgisi değişir: geliştiren kurum model yaşam döngüsüne, kullanan kurum ise satın alınan sistemin riskine ve gözetimine daha çok ağırlık verir.
Yönetim sistemi olmak ne demektir?
Yönetim sistemi standartları bir ürünün özelliklerini tarif etmez; kurumun belirli bir konuyu nasıl yönettiğini tarif eder. ISO/IEC 42001 de yapay zeka için politika koymayı, sorumluluk ve rolleri atamayı, riskleri belirlemeyi ve ele almayı, süreçleri işletmeyi, sonuçları izlemeyi ve düzeltici adım atmayı ister.
Bu yüzden standart, bir modelin doğru ya da adil olduğunu tek başına garanti etmez. Kurumun bu konuları sistematik biçimde ele aldığını gösteren bir çerçeve kurar.
Standart bir kerelik belge değil, sürekli bir düzen ister
Yönetim sisteminin yaşam döngüsü
- KurPolitika, rol ve hedefleri tanımla.
- UygulaSüreç ve kontrolleri işlet.
- Sürdürİzle ve kayıt tut.
- İyileştirBulguları düzeltici adıma çevir.
Belgelendirme ve ISO/IEC 42006
Standart belgelendirilebilir; yani bir kurum yönetim sisteminin gerekliliklere uyduğunu bağımsız bir kuruluşa doğrulatabilir. ISO/IEC 42006 ise bu belgelendirmeyi yapan kuruluşlar için ek gereklilikler tanımlar: yapay zeka yönetim sistemlerini ISO/IEC 42001'e göre denetleyen ve belgelendiren kuruluşların yetkin, tutarlı ve güvenilir olmasını amaçlar.
Standart gönüllüdür; belgelendirme de kendiliğinden yasal bir zorunluluk doğurmaz. Bazı kurumlar müşteri ve iş ortaklarına güven vermek için tercih eder, bazıları standardı yalnızca iç düzen için kılavuz olarak kullanır.
Küçük bir örnek
Müşteri şikâyetlerini otomatik sınıflandıran bir sistem kullanan bir sigorta şirketi düşünün. Standardı kullanan kurum önce bu sistemin kimin sorumluluğunda olduğunu belirler, olası riskleri (yanlış sınıflama, hassas veri) yazar ve bu riskler için kontroller tanımlar.
Sistem değiştiğinde ya da sorun çıktığında bu kayıtlar güncellenir. Denetimde kurum, yapay zekanın yönetildiğini söylemekle kalmaz, rolleri, risk kayıtlarını ve düzeltici adımları da gösterir.
NIST AI RMF ve mevzuatla farkı
NIST AI RMF gönüllü kullanım için hazırlanmış bir risk yönetimi çerçevesidir ve bir belgelendirme şeması tanımlamaz. ISO/IEC 42001 ise gereklilikler içeren bir yönetim sistemi standardıdır ve belgelendirilebilir. İkisi birlikte de kullanılabilir.
Standart bir yasa değildir. Bir kurumun bir ülkenin yapay zeka mevzuatına uyduğunu kendiliğinden kanıtlamaz; mevzuat yükümlülükleri ayrıca değerlendirilmelidir.
ISO/IEC 42001 Mindset programlarında nerede geçer?
Yapay Zeka Uyum ve Etik Uzmanlığı Sertifika Programı'nda "Standartlar ve Çerçeveler: NIST AI RMF ve ISO 42001" modülü bu standardı çerçevelerle birlikte ele alır. İleri Düzey Yapay Zekâ Denetçisi programı ise yönetişim ve denetim tarafını işler. Uyum, risk ve iç denetim ekipleri için standardı bir kontrol listesi olarak değil, kurumsal düzen olarak okumak açısından ilgilidir.
Resmî kaynaklardan bilgiler
| ISO/IEC 42001 adı, yayın tarihi ve kapsamı | ISO/IEC 42001:2023 Bilgi teknolojisi, yapay zeka, yönetim sistemi; yayın 2023-12-18; yapay zeka yönetim sisteminin kurulması, uygulanması, sürdürülmesi ve sürekli iyileştirilmesi için gereklilikler ve rehberlik; büyüklüğü, türü ve niteliği ne olursa olsun yapay zeka sistemleri içeren ürün ya da hizmet sağlayan veya kullanan her kuruma uygulanabilirkaynak |
|---|---|
| ISO/IEC 42006 ve belgelendirme | ISO/IEC 42006 (yayın 2025-07-07), yapay zeka yönetim sistemlerini ISO/IEC 42001'e göre denetleyen ve belgelendiren kuruluşlar için ISO/IEC 17021-1'e ek gereklilikler tanımlar; belgelendirme kuruluşlarının yetkin, tutarlı ve güvenilir olmasını amaçlarkaynak |
Bilgiler resmî kaynaklarla doğrulandığı tarihte günceldir; değişiklik olabilir.
İlgili Mindset programı
Yapay Zeka Uyum ve Etik Uzmanlığı (AI Governance) Sertifika Programı
Sık sorulan sorular
ISO/IEC 42001 sertifikası bireylere mi verilir?
Hayır. Standart bir kurumun yönetim sistemini kapsar, kişileri değil. Bireyler standardı öğrenip uygulama ya da denetim yetkinliği geliştirebilir ama standart kendi başına kişi sertifikası vermez.
Zorunlu mudur?
Standart gönüllüdür. Bir yasa ya da düzenleme onu özel olarak şart koşmadıkça kurumlar uymak zorunda değildir. Müşteri sözleşmeleri veya iş ortaklığı koşulları belgelendirmeyi isteyebilir.
Yalnızca yapay zeka geliştiren şirketler mi kullanır?
Hayır. Standart, yapay zeka içeren ürün ya da hizmet sağlayan veya kullanan her kuruma uygulanabilir. Hazır araç satın alıp işinde kullanan bir kurum da yönetim sistemini kurarak yararlanabilir.
Uygulamaya nereden başlanır?
Önce kurumda hangi yapay zeka sistemlerinin kullanıldığını gösteren bir envanter çıkarılır. Ardından her sistemin sahibi belirlenir, riskleri yazılır ve politika ile kontroller tanımlanır. Standardın gerekliliklerine göre boşluk analizi yapmak bir sonraki doğal adımdır.