ISO 42001 Yapay Zekâ Yönetim Sistemi ve AI Yönetişimi

Bu sayfa yapay zekâ yönetişimi kavramlarını ele alır. ISO 42001 belgelendirme ve danışmanlık süreci için ilgili sayfaya bakabilirsiniz.

ISO 42001 Uyum, GAP Analizi, Yapay Zekâ Yönetişimi, AI Risk Yönetimi ve Belgelendirme Hazırlığı

Yapay zekâ artık yalnızca teknoloji ekiplerinin kullandığı deneysel bir araç değildir.

Üretken yapay zekâ, makine öğrenmesi, karar destek sistemleri, otomatik sınıflandırma, tahminleme sistemleri, görüntü işleme, doğal dil işleme, akıllı otomasyon ve yapay zekâ tabanlı yazılım bileşenleri kurumların gerçek iş süreçlerinin parçası haline gelmiştir.

Bu dönüşüm önemli fırsatlar yaratırken yeni riskleri de beraberinde getirir.

Bir yapay zekâ sistemi;

yanlış karar verebilir, yanlı veri kullanabilir, beklenmeyen çıktılar üretebilir, gizli bilgileri açığa çıkarabilir, kişisel verileri uygunsuz şekilde işleyebilir, manipüle edilebilir, güvenlik açıkları içerebilir veya hukuki ve etik riskler oluşturabilir.

Bu nedenle yapay zekâ sistemlerinin yalnızca “çalışıyor olması” yeterli değildir.

Kurumların şu sorulara cevap verebilmesi gerekir:

Hangi yapay zekâ sistemlerini kullanıyoruz?

Bu sistemlerden kim sorumlu?

Hangi veriler kullanılıyor?

Riskleri nasıl değerlendiriyoruz?

Yapay zekâ tarafından verilen kararları nasıl kontrol ediyoruz?

Hatalı veya zararlı çıktıları nasıl tespit ediyoruz?

Üçüncü taraf AI servislerini nasıl yönetiyoruz?

Yapay zekâ modellerinin yaşam döngüsünü nasıl kontrol ediyoruz?

ISO/IEC 42001 tam olarak bu sorulara sistematik bir yönetim sistemi yaklaşımı getirir.

SecureSys, kuruluşların ISO/IEC 42001 Yapay Zekâ Yönetim Sistemi – Artificial Intelligence Management System – AIMS yapısını oluşturmasına, mevcut durumlarını değerlendirmesine, yapay zekâ risklerini belirlemesine ve ISO 42001 belgelendirme sürecine hazırlanmasına yönelik uçtan uca ISO 42001 Danışmanlık Hizmeti sunar.

Yaklaşımımız yalnızca politika ve prosedür hazırlamak değildir.

Yapay zekâ yönetişimi;

insan + süreç + teknoloji + veri + model + risk + güvenlik + etik + mevzuat

boyutlarında birlikte değerlendirilir.

Amaç yalnızca ISO 42001 belgesi almak değil, kurum içerisinde güvenilir, sorumlu, izlenebilir ve sürdürülebilir bir yapay zekâ yönetim modeli oluşturmaktır.

ISO/IEC 42001 Nedir?

ISO/IEC 42001, kuruluşların yapay zekâ sistemlerini yönetmesine yönelik uluslararası yönetim sistemi standardıdır.

Standart, yapay zekâ geliştiren, sağlayan veya kullanan kuruluşların AI sistemlerinden kaynaklanan fırsat ve riskleri sistematik şekilde yönetmesini hedefler.

ISO 42001 kapsamında kuruluşların;

• AI yönetişimi oluşturması,
• AI politika ve hedeflerini belirlemesi,
• Yapay zekâ risklerini değerlendirmesi,
• Roller ve sorumlulukları tanımlaması,
• AI yaşam döngüsünü yönetmesi,
• Veri ve model risklerini değerlendirmesi,
• Üçüncü taraf yapay zekâ sağlayıcılarını yönetmesi,
• Performansı izlemesi,
• İç tetkik gerçekleştirmesi,
• Yönetimin gözden geçirmesi yapması,
• Sürekli iyileştirme sağlaması

beklenir.

Bu nedenle ISO 42001 yalnızca teknik bir yapay zekâ standardı değildir.

Bir yönetim sistemi standardıdır.

Yapay Zekâ Yönetim Sistemi Nedir?

Artificial Intelligence Management System – AIMS, kurumun yapay zekâ ile ilgili politika, süreç, sorumluluk, kontrol ve risk yönetim mekanizmalarının bir bütün olarak yönetilmesini sağlayan yapıdır.

Basit ifadeyle:

ISO 42001, kurumun yapay zekâyı nasıl yönettiğini tanımlar.

Bir kurum onlarca yapay zekâ aracı kullanabilir.

ChatGPT, Microsoft Copilot, Google Gemini, GitHub Copilot veya kurumun kendi geliştirdiği modeller kullanılabilir.

Ancak bu sistemlerin merkezi bir yönetişim yapısı olmadan kullanılması önemli riskler doğurabilir.

Örneğin çalışanlar;

müşteri verilerini, kaynak kodlarını, finansal bilgileri veya ticari sırları kontrolsüz biçimde üçüncü taraf yapay zekâ sistemlerine gönderebilir.

Bu nedenle AI Governance kritik hale gelmiştir.

ISO 42001 Kimler İçin Uygundur?

ISO 42001 hem yapay zekâ geliştiren hem de yapay zekâ kullanan kuruluşlara uygulanabilir.

Özellikle:

• Yazılım şirketleri,
• Yapay zekâ ürün geliştiricileri,
• SaaS şirketleri,
• FinTech kuruluşları,
• Bankalar,
• Sigorta şirketleri,
• Kamu kurumları,
• Savunma sanayii firmaları,
• Teknoloji şirketleri,
• Sağlık kuruluşları,
• Üretim şirketleri,
• E-ticaret firmaları,
• İnsan kaynakları platformları,
• Veri analitiği şirketleri,
• AI danışmanlık firmaları,
• Büyük kurumsal şirketler

için ISO 42001 önemli bir yönetişim çerçevesidir.

ISO 42001 Neden Önemlidir?

Yapay zekâ kullanımı çok hızlı yaygınlaşmaktadır.

Ancak kurum içindeki AI kullanımı çoğu zaman merkezi olarak yönetilmemektedir.

Örneğin;

bir ekip ChatGPT kullanabilir.

Başka bir ekip Microsoft Copilot kullanabilir.

Yazılım ekibi GitHub Copilot kullanabilir.

Pazarlama ekibi farklı bir üretken yapay zekâ platformu kullanabilir.

İnsan kaynakları ekibi otomatik CV değerlendirme sistemi kullanabilir.

Kurum aynı anda onlarca AI sistemine sahip olabilir ancak bunların tamamı merkezi olarak bilinmeyebilir.

Bu durum Shadow AI riskini oluşturur.

ISO 42001 bu dağınık yapıyı kontrollü ve yönetilebilir hale getirmeye yardımcı olur.

Shadow AI Nedir?

Shadow AI, kurum tarafından resmi olarak onaylanmamış veya merkezi olarak kontrol edilmeyen yapay zekâ araçlarının çalışanlar tarafından kullanılmasıdır.

Shadow AI önemli riskler oluşturabilir.

Örneğin çalışan;

• Kaynak kodunu,
• Müşteri verisini,
• Sözleşmeyi,
• Finansal raporu,
• Kişisel veriyi,
• Teknik tasarımı

bir üretken yapay zekâ aracına yükleyebilir.

Bu verilerin nasıl işlendiği veya saklandığı bilinmiyorsa veri güvenliği ve gizlilik riskleri ortaya çıkabilir.

SecureSys ISO 42001 danışmanlığı kapsamında kurumun AI Usage Policy oluşturmasına destek sağlar.

ISO 42001 Danışmanlık Hizmeti Nedir?

ISO 42001 Danışmanlık Hizmeti, kuruluşun mevcut yapay zekâ kullanımının ve yönetim yapısının değerlendirilmesi, eksikliklerin belirlenmesi ve ISO/IEC 42001 gereksinimlerine uygun bir Yapay Zekâ Yönetim Sistemi kurulması sürecidir.

SecureSys danışmanlık kapsamında;

• Organizasyon yapısı,
• AI kullanım senaryoları,
• Yapay zekâ ürünleri,
• AI modelleri,
• Veri kaynakları,
• Üçüncü taraf AI servisleri,
• AI güvenlik riskleri,
• Etik riskler,
• Hukuki riskler,
• Operasyonel riskler

birlikte değerlendirilir.

ISO 42001 GAP Analizi

ISO 42001 GAP Analizi, kuruluşun mevcut yapay zekâ yönetim yapısı ile ISO/IEC 42001 gereksinimleri arasındaki farkların belirlenmesidir.

GAP analizi sırasında şu sorular değerlendirilir:

• Kurumun AI politikası var mı?
• Kullanılan AI sistemlerinin envanteri var mı?
• AI sistem sahipleri belirlenmiş mi?
• Risk değerlendirmesi yapılıyor mu?
• Veri kaynakları kontrol ediliyor mu?
• Model performansı izleniyor mu?
• AI çıktıları doğrulanıyor mu?
• Bias riski değerlendiriliyor mu?
• Üçüncü taraf AI hizmetleri kontrol ediliyor mu?
• AI güvenlik testleri gerçekleştiriliyor mu?
• İnsan gözetimi tanımlı mı?
• Olay yönetim süreci var mı?

Sonuçta kuruma özel ISO 42001 Uyum Yol Haritası oluşturulur.

AI Envanteri Nedir?

ISO 42001 çalışmalarının ilk adımlarından biri kurum içerisindeki yapay zekâ sistemlerinin belirlenmesidir.

AI Inventory kapsamında;

• AI sisteminin adı,
• Sahibi,
• Kullanım amacı,
• Veri kaynakları,
• Model türü,
• Sağlayıcı,
• Kullanıcı grubu,
• İşlenen veri türü,
• Kritiklik,
• Risk seviyesi

gibi bilgiler tutulabilir.

Bu envanter AI governance yapısının temelini oluşturur.

AI Kullanım Senaryolarının Belirlenmesi

Her yapay zekâ sistemi aynı risk seviyesine sahip değildir.

Örneğin;

pazarlama metni oluşturan bir AI sistemi ile kredi kararını etkileyen bir AI sistemi aynı risk seviyesinde değerlendirilemez.

Bu nedenle kullanım senaryoları risk bazlı olarak sınıflandırılmalıdır.

SecureSys danışmanlığında AI kullanım senaryoları;

Düşük Risk – Orta Risk – Yüksek Risk – Kritik

gibi seviyelerde sınıflandırılabilir.

AI Risk Yönetimi

ISO 42001'in en önemli alanlarından biri AI Risk Management yaklaşımıdır.

Yapay zekâ sistemleri klasik IT sistemlerinden farklı riskler oluşturabilir.

Örneğin:

• Bias,
• Hallucination,
• Model drift,
• Data poisoning,
• Prompt injection,
• Model inversion,
• Sensitive data leakage,
• Adversarial attacks,
• Insecure output handling,
• Third-party AI risk.

Bu nedenle AI risk değerlendirmesi klasik bilgi güvenliği risk analizinden daha geniş ele alınmalıdır.

Yapay Zekâ Riskleri Nelerdir?

Hallucination

Yapay zekâ sisteminin gerçeğe dayanmayan ancak güvenilir görünen cevaplar üretmesidir.

Özellikle hukuk, finans, sağlık ve teknik karar süreçlerinde ciddi risk oluşturabilir.

Bias – Önyargı

Eğitim verisi veya model tasarımı nedeniyle belirli gruplara karşı sistematik olarak farklı sonuçlar ortaya çıkabilir.

Model Drift

Model performansının zaman içerisinde değişmesi veya bozulmasıdır.

Data Leakage

Gizli veya hassas bilgilerin model girdileri veya çıktıları üzerinden açığa çıkmasıdır.

Prompt Injection

Saldırgan tarafından hazırlanan özel girdiler ile AI sisteminin istenmeyen davranış göstermesidir.

Data Poisoning

Modelin eğitim veya referans verilerinin manipüle edilmesi yoluyla model davranışının etkilenmesidir.

ISO 42001 ve Yapay Zekâ Güvenliği

AI güvenliği ISO 42001 yönetim sisteminin önemli parçalarından biridir.

SecureSys danışmanlık yaklaşımında gerektiğinde;

• Prompt Injection Testleri,
• AI Application Penetration Test,
• API Security Test,
• LLM Security Assessment,
• Model Access Control,
• Data Leakage Testleri,
• AI Red Team

gibi teknik güvenlik testleri değerlendirilebilir.

Amaç yapay zekâ sistemlerinin yalnızca yönetsel değil teknik risklerini de anlamaktır.

AI Red Team Nedir?

AI Red Team, yapay zekâ sistemlerinin güvenlik, güvenilirlik ve kötüye kullanım senaryolarına karşı saldırgan perspektifiyle test edilmesidir.

AI Red Team kapsamında;

• Prompt injection,
• Jailbreak,
• Sensitive information disclosure,
• Authorization bypass,
• Unsafe output,
• Model manipulation

gibi senaryolar değerlendirilebilir.

Bu yaklaşım özellikle kritik AI sistemlerinde önemlidir.

Yapay Zekâ Veri Yönetimi

Yapay zekâ sistemlerinin kalitesi büyük ölçüde kullandığı veriye bağlıdır.

Bu nedenle ISO 42001 kapsamında veri yönetimi kritik önem taşır.

Değerlendirmede;

• Veri kaynağı,
• Veri kalitesi,
• Veri sahipliği,
• Veri bütünlüğü,
• Veri gizliliği,
• Veri saklama süresi,
• Veri sınıflandırması

gibi alanlar incelenebilir.

Veri Kalitesi ve Yapay Zekâ

Kalitesiz veri, hatalı AI çıktılarının en önemli nedenlerinden biridir.

Bu nedenle veri;

• Doğru,
• Güncel,
• Temsil edici,
• Tutarlı,
• İzlenebilir

olmalıdır.

AI sistemlerinin veri kaynaklarının yönetilmesi model güvenilirliğini doğrudan etkiler.

AI Transparency – Şeffaflık

Yapay zekâ sistemlerinin nasıl kullanıldığı konusunda uygun seviyede şeffaflık sağlanması önemlidir.

Kullanıcıların veya etkilenen tarafların;

• AI kullanıldığını,
• Kararın hangi süreçte üretildiğini,
• İnsan kontrolü bulunup bulunmadığını

anlaması gerekebilir.

Şeffaflık seviyesi kullanım senaryosunun riskine göre belirlenmelidir.

Explainability – Açıklanabilirlik

Bazı AI sistemlerinin verdiği kararların nedenini anlamak zor olabilir.

Özellikle finans, insan kaynakları veya kritik karar süreçlerinde bu durum risk yaratabilir.

Explainable AI – XAI, model çıktılarının insanlar tarafından daha iyi anlaşılmasını sağlayan yöntemleri ifade eder.

ISO 42001 uygulamalarında gerektiğinde açıklanabilirlik gereksinimleri tanımlanabilir.

Human Oversight – İnsan Gözetimi

ISO 42001 yaklaşımında kritik kararların tamamen kontrolsüz şekilde AI sistemlerine bırakılması riskli olabilir.

Bu nedenle kullanım senaryosuna göre Human-in-the-Loop yaklaşımı uygulanabilir.

İnsan gözetimi;

AI sisteminin verdiği kararların kontrol edilmesini veya belirli durumlarda insan tarafından onaylanmasını sağlar.

Responsible AI Nedir?

Responsible AI – Sorumlu Yapay Zekâ, AI sistemlerinin güvenli, etik, adil, şeffaf ve hesap verebilir biçimde geliştirilmesi ve kullanılması yaklaşımıdır.

Responsible AI genellikle şu prensiplere dayanır:

• Fairness,
• Transparency,
• Accountability,
• Privacy,
• Security,
• Human oversight,
• Reliability.

ISO 42001 bu prensiplerin kurum içerisinde yönetim sistemi haline getirilmesine yardımcı olur.

AI Governance Nedir?

AI Governance, kurumun yapay zekâ sistemlerinin nasıl seçileceğini, kullanılacağını, geliştirileceğini ve izleneceğini belirleyen yönetişim yapısıdır.

AI Governance kapsamında;

• AI Policy,
• AI Committee,
• Roles & Responsibilities,
• Approval Workflow,
• Risk Classification,
• AI Inventory,
• Monitoring,
• Incident Management

gibi yapılar oluşturulabilir.

AI Komitesi

Büyük kuruluşlarda AI Governance Committee oluşturulması faydalı olabilir.

Komitede;

• IT,
• Bilgi güvenliği,
• Hukuk,
• KVKK / Privacy,
• Risk,
• İnsan kaynakları,
• İş birimleri,
• Yazılım geliştirme

gibi temsilciler bulunabilir.

Amaç AI kararlarının yalnızca teknoloji ekibi tarafından verilmemesidir.

ISO 42001 Roller ve Sorumluluklar

AI sistemleri için sorumlulukların açık şekilde belirlenmesi gerekir.

Örneğin:

AI System Owner

AI sisteminin iş kullanımından sorumlu kişi.

Model Owner

Model yaşam döngüsünden sorumlu ekip.

Data Owner

Veri kaynaklarının doğruluğu ve kullanımından sorumlu kişi.

Information Security

AI güvenlik risklerini değerlendirir.

Compliance

Mevzuat ve standart gereksinimlerini değerlendirir.

Bu roller kurumun yapısına göre özelleştirilebilir.

Yapay Zekâ Yaşam Döngüsü

AI sistemleri yaşam döngüsü yaklaşımıyla yönetilmelidir.

Örnek yaşam döngüsü:

Fikir → Risk Değerlendirmesi → Veri → Geliştirme → Test → Onay → Canlıya Alma → İzleme → Değişiklik → Emeklilik

Her aşamada farklı riskler ortaya çıkabilir.

ISO 42001 bu yaşam döngüsünün sistematik hale getirilmesini sağlar.

AI Geliştirme Süreci

Kendi yapay zekâ modellerini geliştiren kuruluşlarda süreç daha detaylı ele alınmalıdır.

Bu kapsamda;

• Veri hazırlama,
• Model seçimi,
• Training,
• Validation,
• Testing,
• Deployment,
• Monitoring,
• Retraining

süreçleri tanımlanabilir.

Model Validation

Bir modelin yalnızca teknik olarak çalışması yeterli değildir.

Modelin gerçek kullanım senaryosunda doğru performans göstermesi gerekir.

Model validation kapsamında;

• Accuracy,
• Precision,
• Recall,
• Error rate,
• False positive,
• False negative

gibi metrikler kullanılabilir.

Ancak kullanılacak metrik modelin amacına göre seçilmelidir.

Model Monitoring

AI modeli canlıya alındıktan sonra da izlenmelidir.

Zaman içerisinde;

• Performans düşebilir.
• Veri dağılımı değişebilir.
• Bias oluşabilir.
• Yeni saldırı yöntemleri ortaya çıkabilir.

Bu nedenle sürekli monitoring yapılmalıdır.

Model Değişiklik Yönetimi

Bir AI modelinin yeni versiyonu yayınlandığında değişiklik kontrol altında gerçekleştirilmelidir.

Örneğin;

Change Request → Risk Assessment → Test → Approval → Deployment → Monitoring

süreci uygulanabilir.

Böylece kontrolsüz model değişikliklerinin önüne geçilebilir.

Generative AI ve ISO 42001

Üretken yapay zekâ teknolojileri ISO 42001 açısından özellikle önemli kullanım alanlarından biridir.

ChatGPT, Copilot, Gemini ve benzeri sistemlerin kurum içerisinde kullanılması yeni riskleri beraberinde getirir.

Özellikle;

• Confidential Data Leakage,
• Hallucination,
• Copyright,
• Sensitive Input,
• Prompt Injection,
• Insecure Plugins

gibi konular değerlendirilmelidir.

Kurumsal ChatGPT Kullanım Politikası

ISO 42001 danışmanlığı kapsamında kurum için Generative AI Usage Policy hazırlanabilir.

Politikada;

• Hangi AI araçlarının kullanılabileceği,
• Hangi verilerin yüklenemeyeceği,
• Kişisel veri kullanımı,
• Kaynak kod paylaşımı,
• Gizli bilgiler,
• AI çıktılarının doğrulanması,
• İnsan kontrolü

tanımlanabilir.

AI Tedarikçi Yönetimi

Birçok kurum yapay zekâyı kendisi geliştirmek yerine dış hizmet sağlayıcılardan temin eder.

Örneğin;

• Microsoft,
• OpenAI,
• Google,
• AWS,
• SaaS sağlayıcıları

kullanılabilir.

Bu durumda AI Third-Party Risk Management süreci oluşturulmalıdır.

Tedarikçi değerlendirmesinde;

• Veri lokasyonu,
• Veri kullanım politikası,
• Model eğitimi,
• Güvenlik kontrolleri,
• SLA,
• Incident notification,
• Alt yükleniciler

incelenebilir.

AI Supply Chain Risk

Yapay zekâ sistemleri birçok bağımlılık içerebilir.

Örneğin;

AI Application → LLM Provider → Cloud Provider → Dataset → API → Plugin

gibi bir zincir oluşabilir.

Bu nedenle supply chain riskleri değerlendirilmelidir.

ISO 42001 ve ISO 27001 Arasındaki Fark

ISO 42001 ile ISO/IEC 27001 aynı standart değildir.

ISO 27001, Bilgi Güvenliği Yönetim Sistemine odaklanır.

ISO 42001, Yapay Zekâ Yönetim Sistemine odaklanır.

ISO 27001;

gizlilik, bütünlük ve erişilebilirlik risklerini yönetirken ISO 42001 AI sistemlerinin daha geniş yönetişim ve etik risklerini de kapsar.

İki standart birlikte kullanılabilir.

ISO 42001 ve ISO 27701

ISO 27701 kişisel veri ve gizlilik yönetimiyle ilgilidir.

AI sistemlerinin kişisel veri işlemesi durumunda ISO 42001 ve ISO 27701 birlikte değerlendirilebilir.

Örneğin HR tarafından kullanılan AI tabanlı işe alım sistemi kişisel veri işliyorsa hem AI governance hem privacy riskleri birlikte ele alınmalıdır.

ISO 42001 ve NIST AI RMF

NIST AI Risk Management Framework, yapay zekâ risklerinin yönetilmesine yönelik güçlü bir çerçevedir.

ISO 42001 ise belgelendirilebilir bir yönetim sistemi standardıdır.

İki yapı birbirini destekleyebilir.

NIST AI RMF risk değerlendirme yaklaşımı ISO 42001 uygulamalarına katkı sağlayabilir.

ISO 42001 ve EU AI Act

Avrupa Birliği Yapay Zekâ Yasası – EU AI Act, yapay zekâ sistemlerini risk seviyelerine göre düzenleyen hukuki bir çerçevedir.

ISO 42001 ise bir yönetim sistemi standardıdır.

Bu nedenle aynı şey değildir.

Ancak ISO 42001 kapsamında kurulan;

• AI Inventory,
• Risk Management,
• Governance,
• Documentation,
• Monitoring,
• Human Oversight

gibi süreçler EU AI Act uyum çalışmalarını destekleyebilir.

ISO 42001 ve GDPR / KVKK

Yapay zekâ sistemlerinin kişisel veri kullanması durumunda GDPR ve KVKK gereksinimleri ayrıca değerlendirilmelidir.

AI projesi kapsamında;

• Kişisel veri işleme amacı,
• Hukuki dayanak,
• Veri minimizasyonu,
• Saklama süresi,
• Veri sahibi hakları,
• Profiling,
• Automated decision making

gibi konular önem kazanabilir.

Automated Decision Making

Bazı AI sistemleri insanlar hakkında otomatik kararlar verebilir.

Örneğin;

• Kredi skoru,
• Sigorta fiyatlandırması,
• İşe alım,
• Fraud detection

gibi sistemler bu kapsama girebilir.

Bu tür sistemlerde AI risk yönetimi daha sıkı ele alınmalıdır.

ISO 42001 ve Yazılım Geliştirme

AI uygulaması geliştiren yazılım şirketleri için ISO 42001 özellikle önemlidir.

Geliştirme sürecine;

• AI Risk Assessment,
• Secure Development,
• Model Testing,
• Bias Testing,
• Data Validation,
• AI Security Testing

entegre edilebilir.

Böylece Responsible AI yaklaşımı yazılım yaşam döngüsüne dahil edilir.

ISO 42001 ve DevSecOps

AI geliştirme projelerinde güvenlik geliştirme yaşam döngüsünün parçası olmalıdır.

MLOps ve DevSecOps birlikte değerlendirilebilir.

Örneğin;

• Source Code Security,
• Dependency Security,
• Container Security,
• API Security,
• Secret Management,
• Model Registry Security

kontrolleri uygulanabilir.

MLOps Nedir?

Machine Learning Operations – MLOps, makine öğrenmesi modellerinin geliştirme, test, deployment ve monitoring süreçlerinin sistematik şekilde yönetilmesidir.

ISO 42001 uygulamasında MLOps süreçleri AI yaşam döngüsü yönetimini destekleyebilir.

AI Incident Management

Yapay zekâ sistemlerinde klasik siber güvenlik olaylarından farklı incident türleri ortaya çıkabilir.

Örneğin;

• Hatalı karar,
• Bias vakası,
• Model compromise,
• Data leakage,
• Adversarial attack,
• Beklenmeyen çıktı.

Bu olayların kayıt altına alınması ve yönetilmesi gerekir.

AI Olay Müdahale Süreci

Örnek süreç:

Tespit → Sınıflandırma → Etki Analizi → İzolasyon → Düzeltme → Kullanıcı Bilgilendirme → Root Cause Analysis → İyileştirme

şeklinde olabilir.

Bu süreç kurumun risk seviyesine göre özelleştirilir.

ISO 42001 İç Tetkik

Yapay Zekâ Yönetim Sisteminin uygulanıp uygulanmadığını değerlendirmek için iç tetkik gerçekleştirilmelidir.

İç tetkikte;

• Politikalar,
• Risk kayıtları,
• AI envanteri,
• Değerlendirme kayıtları,
• Kontroller,
• Monitoring kayıtları

incelenebilir.

ISO 42001 Yönetimin Gözden Geçirmesi

Üst yönetim AIMS performansını düzenli olarak değerlendirmelidir.

YGG kapsamında;

• AI riskleri,
• Incident kayıtları,
• Denetim sonuçları,
• Performans göstergeleri,
• Değişiklikler,
• Düzeltici faaliyetler,
• İyileştirme fırsatları

ele alınabilir.

ISO 42001 KPI ve KRI Yönetimi

AI governance sisteminin performansı ölçülmelidir.

Örnek KPI'lar:

• Onaylı AI sistemi oranı,
• Risk değerlendirmesi tamamlanmış AI oranı,
• AI incident sayısı,
• Model validation başarısı,
• AI training completion rate,
• Third-party assessment oranı.

Örnek KRI'lar:

• Kritik AI riski sayısı,
• Kontrolsüz AI sistemi sayısı,
• Veri sızıntısı vakaları,
• Model performans düşüşleri.

ISO 42001 Belgelendirme Süreci

ISO/IEC 42001 belgelendirilebilir bir yönetim sistemi standardıdır.

Kuruluş gerekli AIMS yapısını oluşturduktan sonra bağımsız belgelendirme kuruluşu tarafından değerlendirmeye girebilir.

SecureSys danışmanlık kapsamında;

• GAP Analizi,
• AIMS kurulumu,
• Risk değerlendirmesi,
• Dokümantasyon,
• Uygulama desteği,
• İç tetkik,
• Yönetimin gözden geçirmesi,
• Belgelendirme hazırlığı

çalışmalarında destek sağlar.

Sertifika kararı bağımsız belgelendirme kuruluşunun sorumluluğundadır.

ISO 42001 Uyum Süreci Nasıl İlerler?

SecureSys ISO 42001 danışmanlık projeleri genel olarak şu adımlardan oluşur:

1. Kapsam Belirleme

AIMS kapsamı belirlenir.

2. AI Envanteri

Kullanılan ve geliştirilen yapay zekâ sistemleri belirlenir.

3. GAP Analizi

Mevcut durum ISO 42001 gereksinimleriyle karşılaştırılır.

4. AI Risk Assessment

Yapay zekâ riskleri değerlendirilir.

5. AI Governance Model

Rol ve sorumluluklar oluşturulur.

6. AI Policy

Yapay zekâ politikası hazırlanır.

7. AI Lifecycle Management

AI yaşam döngüsü süreçleri tanımlanır.

8. Data Governance

Veri yönetimi süreçleri oluşturulur.

9. Third-Party AI Management

AI tedarikçileri değerlendirilir.

10. AI Security

Güvenlik kontrolleri ve test gereksinimleri belirlenir.

11. Monitoring

Performans ve risk monitoring süreçleri oluşturulur.

12. İç Tetkik

Yönetim sistemi denetlenir.

13. YGG

Üst yönetim sistemi değerlendirir.

14. Belgelendirme Hazırlığı

Dış denetime hazırlık gerçekleştirilir.

ISO 42001 Danışmanlık Çıktıları

Proje kapsamına göre SecureSys tarafından şu çıktılar hazırlanabilir:

• ISO 42001 GAP Analiz Raporu
• Yapay Zekâ Yönetim Sistemi Politikası
• AI Governance Framework
• AI Inventory
• AI Risk Register
• AI Risk Assessment Methodology
• AI Acceptable Use Policy
• Generative AI Usage Policy
• AI Lifecycle Procedure
• AI Development Procedure
• AI Testing Procedure
• Model Validation Procedure
• AI Incident Management Procedure
• AI Supplier Risk Assessment
• AI Security Requirements
• Data Governance Requirements
• Human Oversight Procedure
• AI Impact Assessment
• AI Monitoring Plan
• AI KPI/KRI Matrix
• İç Tetkik Dokümantasyonu
• Yönetimin Gözden Geçirmesi Dokümantasyonu
• ISO 42001 Uyum Matrisi
• Belgelendirme Hazırlık Raporu.

Yapay Zekâ Etki Değerlendirmesi

Kritik AI projelerinde yalnızca teknik risk değil, sistemin insanlar ve süreçler üzerindeki etkisi de değerlendirilmelidir.

AI Impact Assessment kapsamında;

• Kullanıcı etkisi,
• Müşteri etkisi,
• Ayrımcılık riski,
• Finansal etki,
• Gizlilik etkisi,
• Güvenlik etkisi,
• Operasyonel etki

değerlendirilebilir.

ISO 42001 Olgunluk Değerlendirmesi

ISO 42001 GAP analizinin yanında AI Governance maturity assessment yapılabilir.

Örnek olgunluk modeli:

1 – Başlangıç 2 – Gelişmekte 3 – Tanımlı 4 – Yönetilen 5 – Optimize

Bu sayede kurum yalnızca uygunluk açısından değil, AI yönetim olgunluğu açısından da değerlendirilebilir.

AI Governance Dashboard

Üst yönetim için AI yönetim sistemi sade bir dashboard üzerinden raporlanabilir.

Örneğin:

AI Governance – %75 AI Risk Management – %68 Data Governance – %72 AI Security – %64 Third Party AI Risk – %58 Monitoring – %61

şeklinde skorlar oluşturulabilir.

Ancak yalnızca skor yeterli değildir.

Dashboard içerisinde;

• Kritik AI riskleri,
• Onaysız AI sistemleri,
• Açık aksiyonlar,
• Incident sayıları,
• Risk trendleri

de yer almalıdır.

ISO 42001 Danışmanlığında En Sık Yapılan Hatalar

Sadece Doküman Hazırlamak

AI yönetim sistemi yalnızca prosedürlerden oluşmaz.

Süreçlerin gerçek AI uygulamalarına entegre edilmesi gerekir.

AI Envanteri Oluşturmamak

Kurumda hangi AI sistemlerinin kullanıldığını bilmeden risk yönetimi yapılamaz.

Shadow AI'ı Görmezden Gelmek

Çalışanların kontrolsüz AI araçları kullanması önemli veri güvenliği riskleri yaratabilir.

Teknik Güvenliği İhmal Etmek

AI governance yalnızca etik ve uyum konusu değildir.

AI sistemlerinin siber güvenliği ayrıca değerlendirilmelidir.

İnsan Gözetimini Tanımlamamak

Kritik karar sistemlerinde insan müdahale mekanizması bulunması gerekebilir.

Neden SecureSys ISO 42001 Danışmanlığı?

ISO 42001 danışmanlığı yalnızca standardın maddelerini yorumlamak değildir.

Yapay zekâ projeleri;

GRC + Yazılım Geliştirme + Siber Güvenlik + Veri Yönetimi + Privacy + Risk Management

alanlarının birlikte ele alınmasını gerektirir.

SecureSys yaklaşımında AI governance ile teknik güvenlik birlikte değerlendirilir.

Bu sayede hazırlanan AI politikalarının gerçek yazılım ve teknoloji altyapısıyla uyumlu olması hedeflenir.

Yaklaşımımız:

Envanteri Çıkar → Riski Belirle → Governance Kur → Kontrolleri Uygula → Test Et → Ölç → İyileştir

modeline dayanır.

Sık Sorulan Sorular

ISO 42001 nedir?

ISO/IEC 42001, kuruluşların yapay zekâ sistemlerini sistematik şekilde yönetmesine yönelik Yapay Zekâ Yönetim Sistemi standardıdır.

Yapay Zekâ Yönetim Sistemi nedir?

Kurumun AI sistemlerine yönelik politika, risk, süreç, sorumluluk, kontrol ve monitoring mekanizmalarını yöneten yapıdır.

ISO 42001 belgesi nedir?

ISO 42001 gereksinimlerine uygun Yapay Zekâ Yönetim Sistemi kuran kuruluşlar bağımsız belgelendirme kuruluşlarının denetimi sonucunda sertifikasyon alabilir.

ISO 42001 GAP Analizi nedir?

Kurumun mevcut AI governance yapısı ile ISO 42001 gereksinimleri arasındaki farkların belirlenmesidir.

AI Governance nedir?

Yapay zekâ sistemlerinin nasıl seçileceğini, geliştirileceğini, kullanılacağını, izleneceğini ve risklerinin nasıl yönetileceğini belirleyen yönetişim yapısıdır.

Responsible AI nedir?

Yapay zekâ sistemlerinin güvenli, adil, şeffaf, hesap verebilir ve insan haklarına duyarlı biçimde geliştirilmesi ve kullanılması yaklaşımıdır.

Shadow AI nedir?

Kurumun resmi kontrolü dışında çalışanlar tarafından kullanılan yapay zekâ sistemleri veya araçlarıdır.

ISO 42001 kimler için uygundur?

AI geliştiren veya kullanan tüm kuruluşlara uygulanabilir.

ISO 42001 ile ISO 27001 aynı mı?

Hayır. ISO 27001 bilgi güvenliği yönetimine, ISO 42001 yapay zekâ yönetimine odaklanır.

ISO 42001 ve EU AI Act aynı mı?

Hayır. EU AI Act hukuki bir düzenlemedir. ISO 42001 ise bir yönetim sistemi standardıdır. Ancak ISO 42001 uygulamaları EU AI Act uyumunu destekleyebilir.

AI Risk Assessment nedir?

Yapay zekâ sistemlerinden kaynaklanan teknik, etik, güvenlik, gizlilik, operasyonel ve hukuki risklerin sistematik değerlendirilmesidir.

AI Impact Assessment nedir?

AI sisteminin kişiler, süreçler, müşteriler ve kurum üzerindeki olası etkilerinin değerlendirilmesidir.

ISO 42001 sertifikası alınabilir mi?

Evet. ISO/IEC 42001 belgelendirilebilir bir yönetim sistemi standardıdır.

ISO 42001 danışmanlığı neleri kapsar?

GAP analizi, AI envanteri, AI governance, risk değerlendirmesi, politika ve prosedürler, AI yaşam döngüsü, üçüncü taraf riskleri, AI güvenliği, iç tetkik, YGG ve belgelendirme hazırlığı gibi çalışmalar kapsama alınabilir.

ISO 42001 ile Yapay Zekâyı Kontrolsüz Kullanımdan Kurumsal Yönetişime Taşıyın

Yapay zekâ kullanmak artık rekabet avantajı olabilir.

Ancak kontrolsüz yapay zekâ kullanımı yeni kurumsal riskler yaratabilir.

Kurumunuzdaki tüm AI sistemlerini biliyor musunuz?

Çalışanların hangi AI araçlarını kullandığını görebiliyor musunuz?

Müşteri verilerinin üretken yapay zekâya yüklenmesini kontrol edebiliyor musunuz?

AI modellerinin risk değerlendirmesi yapılıyor mu?

Yapay zekâ tarafından üretilen kritik kararlar insan tarafından kontrol ediliyor mu?

Model performansı düzenli olarak ölçülüyor mu?

AI tedarikçileriniz güvenlik açısından değerlendiriliyor mu?

AI sistemlerinde bir olay yaşanırsa nasıl müdahale edeceğiniz belli mi?

Bu soruların cevapları kurumunuzun gerçek AI Governance seviyesini gösterir.

SecureSys ISO 42001 Danışmanlık, ISO 42001 GAP Analizi, Yapay Zekâ Yönetim Sistemi, AI Governance, AI Risk Management, Responsible AI, AI Security ve ISO 42001 Belgelendirme Hazırlığı hizmetleriyle kuruluşların yapay zekâyı güvenli ve sürdürülebilir şekilde yönetmesine destek olur.

ISO 42001 GAP Analizi ile Yapay Zekâ Olgunluk Seviyenizi Ölçün

Yapay zekâyı tamamen yasaklamak çözüm değildir.

Kontrolsüz kullanmak da çözüm değildir.

Doğru yaklaşım:

Görünür hale getir. Riski değerlendir. Kuralları oluştur. Kontrol et. Test et. Sürekli iyileştir.

ISO 42001 Yapay Zekâ Yönetim Sistemi Danışmanlık Teklifi Alın

Kurumunuzdaki yapay zekâ sistemlerini değerlendirmek, AI risklerinizi belirlemek ve ISO 42001 uyum yol haritanızı oluşturmak için SecureSys uzmanlarıyla iletişime geçin.

Yapay zekâyı sadece kullanmayın. Güvenli, kontrollü ve ölçülebilir şekilde yönetin.