ISO 42001 Nedir? Yapay Zekâ Yönetim Sistemi Standardı

Şirketler yapay zekâyı tek tek araçlarla kullanmaya başladıktan sonra yönetim kurullarının sorusu değişiyor: "Hangi yapay zekâ sistemlerini kullanıyoruz, riskleri kim izliyor, bunu nasıl kanıtlarız?" ISO 42001 bu soruya bir yönetim sistemi çerçevesiyle cevap veren uluslararası standart. Bu yazı ISO 42001'in ne olduğunu, kimlere yönelik olduğunu, belgelendirmenin nasıl işlediğini ve AB Yapay Zekâ Yasası ile ilişkisini anlatıyor.

ISO 42001 nedir?

Resmî adıyla ISO/IEC 42001:2023, bir kuruluşta yapay zekâ yönetim sistemi (YZYS; İngilizcesi AIMS) kurmak, uygulamak, sürdürmek ve sürekli iyileştirmek için şartları tanımlayan uluslararası standarttır. ISO'nun ifadesiyle bu alandaki dünyanın ilk yapay zekâ yönetim sistemi standardıdır.

Standart, yapay zekâ tabanlı ürün ya da hizmet sağlayan veya kullanan kuruluşlar için tasarlandı. Amacı, yapay zekâ sistemlerinin sorumlu biçimde geliştirilmesini ve kullanılmasını güvence altına almaktır.

Künye bilgileri ISO'nun standart sayfasında şöyle:

ISO 27001'de olduğu gibi standart ISO ile Uluslararası Elektroteknik Komisyonu (IEC) tarafından ortak hazırlandığı için resmî kısaltması ISO/IEC 42001'dir.

"Yapay zekâ yönetim sistemi" ne demek?

ISO bu kavramı, bir kuruluşun yapay zekâ sistemlerini sorumlu biçimde geliştirmesi, sunması ya da kullanmasıyla ilgili politika ve hedeflerini belirleyen ve bu hedeflere ulaşmak için süreçleri kuran, birbiriyle ilişkili unsurlar bütünü olarak tanımlıyor.

Burada kritik nokta şu: ISO 42001 tek bir yapay zekâ uygulamasının teknik ayrıntısına bakmaz. ISO'ya göre standart, yapay zekâya ilişkin risk ve fırsatları kuruluşun tamamında yönetmenin pratik bir yolunu sunar. Uygulama, Planla-Uygula-Kontrol Et-Önlem Al (PUKÖ; İngilizcesi PDCA) döngüsüyle yürür.

ISO'nun standart sayfasında öne çıkardığı yararlar:

• Risk ve fırsatları yönetmek için bir çerçeve
• Yapay zekânın sorumlu kullanıldığını gösterebilmek
• İzlenebilirlik, şeffaflık ve güvenilirlik
• Yasal ve düzenleyici beklentilere uyumu desteklemek

ISO, standardın yapay zekâya özgü sorunları da ele aldığını belirtiyor: etik değerlendirmeler, şeffaflık ve sistemlerin sürekli öğrenmesi gibi.

Kimler için?

ISO'nun cevabı geniş: yapay zekâ tabanlı ürün ya da hizmet geliştiren, sunan veya kullanan, her büyüklükteki kuruluş. Standart tüm sektörlere uygulanabilir; şirketler kadar kamu kurumları ve kâr amacı gütmeyen kuruluşlar için de geçerlidir. ISO, standardın farklı yapay zekâ uygulamalarına ve kullanım bağlamlarına uygulanabilecek şekilde tasarlandığını da ekliyor.

Bu, yalnız yapay zekâ modeli geliştiren teknoloji şirketlerinin değil, hazır yapay zekâ araçlarını iş süreçlerinde kullanan bir üretim, finans ya da hizmet şirketinin de standardın kapsamına girebileceği anlamına geliyor. Çalışanların hangi araçları hangi verilerle kullandığı sorusu, bir yönetim sisteminin ilk konularından biridir. Bu konu çalışanların yapay zekâ kullanımı ve yönetişim yazısında ayrıca ele alındı.

ISO 42001 ile ilişkili diğer yapay zekâ standartları

ISO'nun yapay zekâ alanında birbirini tamamlayan birkaç standardı var. Karar vericilerin en sık karşılaşacakları:

ISO/IEC 23894 bir kılavuzdur, şart koymaz. ISO'ya göre yapay zekâ kullanan ürün, sistem ve hizmetleri geliştiren, üreten, devreye alan ya da kullanan kuruluşların yapay zekâya özgü riskleri nasıl yönetebileceğini anlatır ve risk yönetimini yapay zekâyla ilgili faaliyetlere entegre etmeyi amaçlar. Pratikte 42001 "ne yapılmalı" sorusunu, 23894 ise risk tarafında "nasıl yapılabilir" sorusunu yanıtlar.

ISO 27001 ile farkı ne?

İki standart aynı yönetim sistemi mantığını paylaşır ama korumaya çalıştıkları şey farklıdır. ISO 27001, bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini korumaya odaklanır. ISO 42001 ise yapay zekâ sistemlerinin sorumlu geliştirilmesi ve kullanılmasına; yani etik, şeffaflık ve yapay zekâya özgü risklere odaklanır.

Biri diğerinin yerine geçmez. ISO'nun iki standardı birlikte bir paket olarak sunması da bunu gösteriyor: yapay zekâ sistemleri çoğu zaman hassas veriyle çalıştığı için bilgi güvenliği ve yapay zekâ yönetimi aynı şirkette yan yana ihtiyaç hâline gelir. Hâlihazırda ISO 27001 yönetim sistemi olan bir şirket, kapsam belirleme, risk değerlendirme, iç denetim ve yönetimin gözden geçirmesi gibi alışkanlıkları ISO 42001'e taşıyabilir.

Sertifikayı kim verir?

ISO 27001'de olduğu gibi burada da temel kural aynı: ISO belgelendirme yapmaz ve sertifika vermez. Belgelendirmeyi bağımsız belgelendirme kuruluşları yapar.

ISO 42001 için bu alanda yeni bir gelişme var. Temmuz 2025'te yayımlanan ISO/IEC 42006, yapay zekâ yönetim sistemlerini ISO 42001'e göre denetleyen ve belgelendiren kuruluşlar için ek şartlar koyuyor. ISO'ya göre standart, yönetim sistemi belgelendirmesinin genel standardı olan ISO/IEC 17021-1'in üzerine kuruluyor ve denetçilerin yapay zekâya özgü konuları değerlendirecek yetkinlikte olmasını hedefliyor.

Bir belgelendirme kuruluşu seçerken ISO'nun genel önerileri geçerli: birkaç kuruluşu karşılaştırmak, kuruluşun akredite olup olmadığını kontrol etmek ve bunun için ülkedeki ulusal akreditasyon kurumuna ya da Uluslararası Akreditasyon Forumu'nun IAF CertSearch veritabanına bakmak. ISO, akreditasyonun zorunlu olmadığını ama yetkinliğin bağımsız olarak doğrulandığını gösterdiğini de belirtiyor. Bir tedarikçinin sunduğu 42001 belgesini incelerken belgenin hangi kuruluştan, hangi kapsamla ve akreditasyonlu olarak verilip verilmediğine bakmak gerekir.

AB Yapay Zekâ Yasası ile ilişkisi

AB'ye ürün ya da hizmet sunan Türk şirketleri için sık sorulan soru, ISO 42001 belgesinin AB Yapay Zekâ Yasası'na (Tüzük (AB) 2024/1689) uyum anlamına gelip gelmediği.

Yasa, yüksek riskli yapay zekâ sistemi sağlayıcılarından kalite yönetim sistemi (md. 17) ve sistemin yaşam döngüsü boyunca sürdürülen bir risk yönetim sistemi (md. 9) istiyor. Bu talepler, yazılı politika, prosedür ve talimatlarla belgelenmiş bir yönetim sistemi mantığına dayanıyor; ISO 42001 de aynı türden bir yapı kurduğu için hazırlıkta ortak zemin sağlayabilir.

Ancak Yasa'nın 40. maddesine göre uygunluk karinesi, künyesi AB Resmî Gazetesi'nde yayımlanmış uyumlaştırılmış standartlara uyan sistemlere tanınıyor. Dolayısıyla bir ISO 42001 belgesinin tek başına Yasa'ya uyum anlamına geldiği sonucu çıkarılmamalı. Yasa'nın kademeli uygulama takvimi AB Yapay Zekâ Yasası'nın yeni takvimi yazısında özetlendi.

Başlamak için ilk adımlar

Aşağıdaki sıra standardın maddeleri değil, hazırlığı planlamak için genel bir çerçevedir:

1. Envanter çıkarın. Şirkette hangi yapay zekâ sistemleri geliştiriliyor, satın alınıyor ya da çalışanlar tarafından kullanılıyor?
2. Rolünüzü belirleyin. Her sistemde geliştirici, sağlayıcı ya da kullanıcı konumunda mısınız?
3. Kapsamı netleştirin. Yönetim sistemi tüm şirketi mi, belirli ürün ve süreçleri mi kapsayacak?
4. Politika ve sorumlulukları yazın. Yapay zekâ kullanımı için kim karar veriyor, kim onaylıyor, kim izliyor?
5. Riskleri değerlendirin. Yapay zekâya özgü riskler için ISO/IEC 23894'teki yaklaşım yol gösterici olabilir.
6. Ölçün ve gözden geçirin. İç denetim ve yönetimin gözden geçirmesi döngüsünü kurun; belgelendirme isteniyorsa ardından akredite bir kuruluşa başvurun.

Sonuç

ISO 42001, yapay zekâ kullanımını tek tek projelerden çıkarıp şirket yönetiminin izlenebilir bir parçası hâline getiren bir çerçeve. Belgelendirme hedeflenmese bile standardın sorduğu sorular (hangi sistemler, hangi riskler, kim sorumlu) her ölçekte şirket için yararlı bir başlangıç noktası. Yapay zekâ yönetim sistemi kurmayı değerlendiren kuruluşlar, mevcut süreçlerinin bu çerçeveyle nerede örtüştüğünü ve nerede boşluk bulunduğunu görmek için bir ön değerlendirmeyle başlayabilir.

#interimmanagement #forwarddeployedengineering