ISO/IEC 42001 Yapay Zekâ Yönetim Sistemi nedir?
ISO/IEC 42001:2023, ISO ve IEC'nin ortak teknik komitesi tarafından hazırlanan ve 18 Aralık 2023'te yayımlanan yapay zekâ yönetim sistemi standardıdır. ISO 9001 ve ISO 27001 ile aynı ana yapıyı kullanır; bu nedenle mevcut yönetim sistemlerine eklenebilir. Standart, yapay zekâya özgü konulara odaklanır: veri kalitesi, şeffaflık, insan gözetimi, önyargı ve hatalı sonuç riski, sistemin yaşam döngüsü boyunca izlenmesi.
Sistemin temel adımları şunlardır: kuruluşun yapay zekâ ile ilişkisinin tanımlanması (geliştirici, sağlayıcı veya kullanıcı), kullanılan yapay zekâ sistemlerinin envanterinin çıkarılması, risk değerlendirmesi ve yapay zekâ sistemi etki değerlendirmesi yapılması, standardın ekindeki kontrollerden hangilerinin uygulanacağına karar verilmesi ve bunun bir uygulanabilirlik beyanı ile kayıt altına alınması.
Her kuruluş için öncelikli bir belge değildir. ISO/IEC 42001 en çok yapay zekâ tabanlı ürün veya hizmet satan, müşteri verisini yapay zekâ modelleriyle işleyen ya da işe alım, kredi, sağlık gibi insanları doğrudan etkileyen kararlarda yapay zekâ kullanan kuruluşlar için anlam taşır. Yalnızca hazır yazılımlardaki yapay zekâ özelliklerini kullanan bir işletme için ilk adım genellikle bir kullanım politikası ve risk envanteridir.
Demirbilek Danışmanlık olarak önce standardın işletmeniz için gerçekten gerekli olup olmadığını birlikte değerlendiriyoruz. Gerekliyse yapay zekâ envanterini, risk ve etki değerlendirmelerini, politika ve kontrolleri hazırlıyor, iç tetkik ve yönetimin gözden geçirmesini yürütüyor ve akredite belgelendirme kuruluşunun denetimine hazırlanmanızı sağlıyoruz.
Kimler için gerekli?
- Yapay zekâ tabanlı yazılım, model veya hizmet geliştirip satan teknoloji firmaları
- Kurumsal müşterilerinden veya ihalelerden yapay zekâ yönetişimi kanıtı istenen yazılım ve SaaS sağlayıcıları
- Avrupa Birliği pazarına yapay zekâ içeren ürün veya hizmet sunan ve AB Yapay Zekâ Tüzüğü'ne hazırlanan şirketler
- Kredi değerlendirme, işe alım, sağlık veya sigorta gibi alanlarda yapay zekâ ile karar destek sistemi kullanan kuruluşlar
- Müşteri ve kişisel verileri yapay zekâ modelleriyle işleyen ve bu riski sistemli yönetmek isteyen işletmeler
- ISO 27001 belgesi olan ve yapay zekâ risklerini mevcut sistemine eklemek isteyen firmalar
Başvuru nereye yapılır?
Gerekli evraklar
EVRAK LİSTESİ
- Kapsam tanımı ve kuruluşun yapay zekâdaki rolüGeliştirici, sağlayıcı, kullanıcı veya bunların birkaçı.
- Yapay zekâ politikası ve hedefleri
- Yapay zekâ sistemleri envanteriKullanılan ve geliştirilen sistemler, veri kaynakları ve amaçları.
- Yapay zekâ risk değerlendirmesi
- Yapay zekâ sistemi etki değerlendirmesiBireylere, gruplara ve topluma olası etkiler.
- Uygulanabilirlik beyanıStandart ekindeki kontrollerden hangilerinin uygulandığı ve gerekçesi.
- Veri yönetimi kayıtlarıVeri kaynağı, kalitesi ve kişisel veri işleme esasları.
- Yaşam döngüsü ve değişiklik kayıtlarıModel geliştirme, test, devreye alma ve izleme.
- Tedarikçi ve üçüncü taraf yapay zekâ hizmeti değerlendirmeleri
- Rol, sorumluluk ve yetkinlik kayıtlarıİnsan gözetimi sorumluları dahil.
- İç tetkik raporu ve yönetimin gözden geçirmesi kaydıBelgelendirme denetiminden önce tamamlanmalıdır.
Süreç nasıl işler?
- Gereklilik ve kapsam değerlendirmesiYapay zekâyı nasıl kullandığınızı, müşteri ve mevzuat beklentilerini inceler, belgenin işletmeniz için anlamlı olup olmadığını ve kapsamın ne olması gerektiğini birlikte belirleriz.
- Envanter, risk ve etki değerlendirmesiYapay zekâ sistemlerinizi listeler, her biri için risk ve etki değerlendirmesi yapar, öncelikli konuları çıkarırız.
- Politika ve kontrollerin kurulmasıYapay zekâ politikasını, rolleri, veri yönetimini, yaşam döngüsü ve tedarikçi kontrollerini hazırlar, uygulanabilirlik beyanını oluştururuz.
- Uygulama, iç tetkik ve gözden geçirmeKontrollerin ekiplerinizin günlük işinde uygulanmasını takip eder, iç tetkik ve yönetimin gözden geçirmesini tamamlarız.
- Belgelendirme denetimiAkredite belgelendirme kuruluşunun Aşama 1 ve Aşama 2 denetimlerine hazırlanmanızı sağlar, bulguların kapatılmasında destek oluruz.
Süre ve geçerlilik
Dikkat edilmesi gerekenler
- ISO/IEC 42001 belgesi AB Yapay Zekâ Tüzüğü veya kişisel verilerin korunması mevzuatına uyumu tek başına kanıtlamaz. Yasal yükümlülükleri ayrıca değerlendirin.
- Belgelendirme kuruluşunun ISO/IEC 42001 kapsamında akredite olup olmadığını kontrol edin. Bu alan yeni olduğu için akreditasyonsuz belge veren kuruluşlarla karşılaşabilirsiniz.
- Envanter eksik kalırsa sistem de eksik kalır. Çalışanların kurum dışı yapay zekâ araçlarını hangi işlerde kullandığını da envantere dahil edin.
- Yalnızca hazır yazılımların yapay zekâ özelliklerini kullanıyorsanız belgelendirmeye geçmeden önce bir kullanım politikası ve risk envanteriyle başlamak daha doğru olabilir.
- ISO 27001 belgeniz varsa iki sistemi ortak doküman ve tek iç tetkikle yürütmek iş yükünü azaltır.
Sık sorulan sorular
ISO/IEC 42001 zorunlu mu?
Hayır, gönüllü bir standarttır. Ancak kurumsal müşteriler, yatırımcılar ve ihaleler yapay zekâ kullanan tedarikçilerden yönetişim kanıtı istemeye başladı; bu belge o kanıtı sunmanın bir yoludur.
Hangi işletmeler için anlamlı?
En çok yapay zekâ ürünü geliştiren veya satan, müşteri verisini yapay zekâ ile işleyen ya da insanları etkileyen kararlarda yapay zekâ kullanan kuruluşlar için anlamlıdır. Sadece genel amaçlı araçları kullanan küçük işletmeler için öncelikli değildir.
AB Yapay Zekâ Tüzüğü'ne uyum sağlar mı?
Tek başına sağlamaz. Ancak risk yönetimi, kayıt tutma, insan gözetimi ve şeffaflık gibi konularda tüzüğün beklediği yönetim altyapısını kurmanıza yardımcı olur.
ISO/IEC 42001 ile ISO 27001 arasındaki fark nedir?
ISO 27001 bilgi güvenliğine odaklanır. ISO/IEC 42001 ise yapay zekâya özgü riskleri, örneğin önyargılı veya hatalı sonuçları, şeffaflığı ve insan gözetimini yönetir. İki standart aynı yapıyı kullandığı için birlikte kurulabilir.
Yapay zekâ sistemi etki değerlendirmesi nedir?
Bir yapay zekâ sisteminin kullanımının bireyler, gruplar ve toplum üzerinde doğurabileceği olumlu ve olumsuz sonuçları değerlendiren çalışmadır. Standart bu değerlendirmenin yapılmasını ve kayıt altına alınmasını ister.
Standardın 2023 sürümü güncel mi?
Evet. ISO/IEC 42001:2023 yürürlükteki tek sürümdür. Belgelendirme kuruluşları için ek şartları belirleyen ISO/IEC 42006 ise 2025'te yayımlandı.
Resmi kaynaklar: ISO/IEC 42001:2023 AI management systems (iso.org) · IEC Webstore: ISO/IEC 42001:2023 · ISO/IEC 42006:2025 (iso.org) · Türk Akreditasyon Kurumu (TÜRKAK)