Yapay zekâ sistemleri artık yalnızca teknik ekiplerin konusu değil; insan kaynaklarından müşteri hizmetlerine, kredi değerlendirmeden operasyon planlamaya kadar karar süreçlerine giriyor. Bu sistemlerin nasıl geliştirildiği kadar, hangi amaçla kullanıldığı, kim tarafından onaylandığı ve hatalı sonuçların nasıl ele alındığı da kurumsal bir sorumluluk haline geliyor. Bu noktada birçok kuruluş ISO 42001’i bir “yapay zekâ sertifikası” olarak değerlendiriyor. Asıl mesele ise tek bir modeli onaylatmak değil, yapay zekâ kullanımını sistematik, izlenebilir ve risk temelli biçimde yönetebilmek. Standardın değeri, teknoloji değişse bile yönetim disiplinini korumasından kaynaklanıyor.
ISO 42001 neyi tanımlar?
ISO/IEC 42001:2023, yapay zekâ yönetim sistemi için gereklilikleri belirleyen uluslararası bir yönetim sistemi standardıdır. ISO 27001’in bilgi güvenliği için yaptığına benzer biçimde, ISO 42001 kuruluşun yapay zekâ ile ilgili amaçlarını, sorumluluklarını, risklerini, kontrollerini ve iyileştirme süreçlerini düzenli bir yapı içinde ele alır.
Buradaki kapsam yalnızca kurum içinde geliştirilen modellerle sınırlı değildir. Dışarıdan satın alınan bir yapay zekâ hizmeti, çalışanların kullandığı üretken yapay zekâ aracı veya müşteriye sunulan otomatik karar mekanizması da kuruluşun yapay zekâ yönetim sistemi kapsamına girebilir. Kapsamın nasıl belirleneceği; kullanım amacına, risk seviyesine, ilgili taraflara ve kuruluşun operasyonlarına bağlıdır.
Uygulamada kuruluşun bağlamının anlaşılması, liderlik ve sorumlulukların atanması, risk ve fırsatların değerlendirilmesi, hedeflerin belirlenmesi, operasyonel kontrollerin kurulması, performansın izlenmesi ve düzeltici faaliyetlerin yürütülmesi beklenir. Denetçi genellikle yalnızca “politikanız var mı?” diye bakmaz; politikanın gerçek bir süreçte uygulandığını gösteren kayıtları da görmek ister. Örneğin veri kaynaklarının değerlendirilmesi, model değişikliklerinin izlenmesi, insan gözetiminin tanımlanması ve olayların ele alınması buna dahildir.
ISO 42001 ne değildir?
İlk yanlış anlama, standardın tek başına bir yapay zekâ modelini güvenli, adil veya hatasız ilan ettiği düşüncesidir. ISO 42001 böyle bir ürün sertifikası değildir. Belgelendirme, kuruluşun belirlenmiş kapsam içindeki yönetim sisteminin standardın gerekliliklerine uygun çalıştığına ilişkin değerlendirmedir. Belirli bir modelin her koşulda doğru sonuç vereceği anlamına gelmez.
İkinci yanlış anlama, ISO 42001’in yapay zekâya ilişkin bütün hukuki yükümlülüklerin yerine geçtiği varsayımıdır. Avrupa Birliği Yapay Zekâ Tüzüğü, KVKK ve sektörel düzenlemeler farklı yükümlülükler getirebilir. ISO 42001 bu yükümlülüklerin yerine geçmez; kuruluşun ilgili hukuki ve sözleşmesel şartları belirlemesine, sorumlulara atamasına ve kontrol etmesine yardımcı olan bir yönetim çerçevesi sunar.
Üçüncü yanılgı da standardın yalnızca veri bilimcileri ilgilendirdiğidir. Oysa satın alma, hukuk, bilgi güvenliği, insan kaynakları, iç denetim, ürün yönetimi ve üst yönetim de sistemin farklı noktalarında rol alabilir. Yapay zekâ riski çoğu zaman modelin içinde değil, modelin yanlış amaçla seçilmesinde, yetkisiz verilerle beslenmesinde veya çıktının insan tarafından sorgulanmadan kullanıma alınmasında ortaya çıkar.
| Konu | ISO 42001’in rolü | ISO 42001’in rolü olmayan konu |
|---|---|---|
| Belgelendirme | Yönetim sistemini değerlendirir | Tek modeli onaylamaz |
| Riskler | Risklerin yönetilmesini sağlar | Sıfır risk garanti etmez |
| Mevzuat | Yükümlülükleri izlemeyi destekler | Hukukun yerine geçmez |
| Sonuçlar | İzleme ve iyileştirme kurar | Her çıktının doğru olduğunu kanıtlamaz |
Kuruluşlar uygulamaya nereden başlamalı?
İlk adım, kuruluşta kullanılan veya planlanan yapay zekâ sistemlerinin envanterini çıkarmaktır. Envanter yalnızca model adlarını içermemeli; kullanım amacı, veri türleri, etkilenen kişiler, karar üzerindeki etkisi, sağlayıcı, insan müdahalesi ve olası sonuçlar da kaydedilmelidir. Bu çalışma yapılmadan hazırlanan genel bir yapay zekâ politikası, gerçek riskleri görünmez bırakabilir.
İkinci adım, her kullanım için kabul edilebilir risk sınırlarını ve karar haklarını belirlemektir. İnsan onayının ne zaman zorunlu olduğu, model çıktısının ne zaman yalnızca tavsiye niteliğinde kalacağı ve hangi durumda sistemin durdurulacağı açıkça yazılmalıdır. Sağlayıcıdan alınan bilgiler de yeterli kabul edilmemeli; performans, veri kullanımı, güvenlik, değişiklik yönetimi ve olay bildirimi açısından sözleşmesel kontroller kurulmalıdır.
Son olarak sistemin çalıştığını gösteren kanıtlar düzenli tutulmalıdır. Risk değerlendirmeleri, eğitim kayıtları, erişim yetkileri, test sonuçları, değişiklik kayıtları, olay incelemeleri ve yönetimin gözden geçirme çıktıları bu kanıtlar arasındadır. ISO 42001’e uyum, bir belgeyi duvara asmakla değil, kararların neden alındığını ve sorun çıktığında ne yapıldığını gösterebilmekle ölçülür.
Kısacası ISO 42001, yapay zekâyı yöneten bir kuruluşun nasıl daha tutarlı, hesap verebilir ve denetlenebilir çalışacağını tarif eder. Bir modelin iyi olduğu iddiasını değil, o modelin doğru bağlamda ve kontrollü biçimde kullanıldığını gösterecek yönetim düzenini sorgular. Başlangıç için en değerli çalışma, kapsamı dar ve somut bir yapay zekâ kullanım alanı seçerek envanter, risk değerlendirmesi, sorumluluk ve izleme kayıtlarını birlikte kurmaktır.