ISO/IEC 42001, kurumların yapay zeka sistemlerini sorumlu biçimde geliştirmesi, satın alması ve kullanması için bir yönetim sistemi tanımlayan uluslararası standarttır. Standart Aralık 2023’te yayımlandı ve yapay zeka yönetim sistemi (AIMS) için sertifikalandırılabilir ilk çerçeve oldu. Bu yazıda, halihazırda ISO 27001 sertifikasına sahip kurumların mevcut yapılarının ne kadarını yeniden kullanabileceğini, neleri sıfırdan kurması gerektiğini ve AB Yapay Zeka Yasası takviminin bu planı nasıl etkilediğini anlatıyoruz. Yazı Eylül 2026 itibarıyla günceldir.
ISO 42001 ile ISO 27001 aynı iskeleti paylaşıyor
İyi haberle başlayalım: iki standart da ISO’nun ortak yönetim sistemi yapısını (Harmonized Structure) kullanır. Yani 4 ile 10 arasındaki maddeler; kuruluşun bağlamı, liderlik, planlama, destek, operasyon, performans değerlendirme ve iyileştirme başlıklarında neredeyse aynı sırayla ilerler.
Bu ortak iskelet, ISO 27001 için kurduğunuz yönetim gözden geçirme toplantılarının, iç denetim programının, doküman kontrolü prosedürünün ve düzeltici faaliyet sürecinin büyük bölümünün ISO 42001’de de kullanılabileceği anlamına gelir. Deneyimli kurumlarda bu yeniden kullanım, uygulama eforunu belirgin biçimde azaltır. Bu yapıyı kuran ekiplerin çoğu, ISO 27001’i ISO 27001 bilgi güvenliği yönetim sistemi yönetici eğitimi gibi programlarla oturtmuş ekiplerdir.
Farklılık, riskin tanımında başlar. ISO 27001 bilginin gizliliği, bütünlüğü ve erişilebilirliği ile ilgilenir. ISO 42001 ise yapay zeka sisteminin kişiler, gruplar ve toplum üzerindeki etkisini de hesaba katar. Adil olmayan bir kredi skoru veya hatalı bir işe alım filtresi, hiçbir veri sızıntısı yaşanmadan ciddi bir zarar doğurabilir.
Madde madde eşleştirme: ne yeniden kullanılır, ne eklenir?
Aşağıdaki tablo, ISO 27001 yapısından ISO 42001’e geçerken her ana başlıkta ne yapmanız gerektiğini özetliyor.
| Madde | ISO 27001’de mevcut olan | ISO 42001 için eklenecek |
|---|---|---|
| 4. Kuruluşun bağlamı | Kapsam, ilgili taraflar | Kurumun yapay zeka rolü (geliştirici, sağlayıcı, kullanıcı), yapay zeka sistemleri envanteri |
| 5. Liderlik | Bilgi güvenliği politikası | Yapay zeka politikası, sorumlu yapay zeka rolleri |
| 6. Planlama | Bilgi güvenliği risk değerlendirmesi | Yapay zeka risk değerlendirmesi ve yapay zeka sistemi etki değerlendirmesi |
| 7. Destek | Farkındalık, yetkinlik, doküman kontrolü | Yapay zeka okuryazarlığı ve rol bazlı yetkinlik |
| 8. Operasyon | Risk işleme planı | Yapay zeka yaşam döngüsü kontrolleri, veri kalitesi, tedarikçi modelleri |
| 9. Performans değerlendirme | İç denetim, yönetim gözden geçirme | Model performansı ve sapma (drift) izleme |
| 10. İyileştirme | Düzeltici faaliyet | Yapay zeka olaylarının yönetimi |
ISO 27001:2022’nin Ek A’sında 93 kontrol bulunur. ISO 42001’in Ek A’sında ise dokuz kontrol hedefi altında toplanan 38 kontrol yer alır. Kontroller sayıca az olsa da içerikleri bilgi güvenliğinden farklı bir uzmanlık ister: veri kaynağının belgelenmesi, modelin amaç dışı kullanımının önlenmesi, etkilenen kişilere bilgi verilmesi gibi.
ISO 42001’de sıfırdan kurulması gereken üç yapı
Eşleştirme tablosundaki eklemelerin çoğu mevcut süreçlerin genişletilmesiyle çözülür. Ancak üç yapı, ISO 27001 dünyasında karşılığı olmayan yeni işlerdir.
Yapay zeka sistemleri envanteri
Kurumda hangi yapay zeka sistemlerinin kullanıldığını bilmeden hiçbir kontrol uygulanamaz. Envanter; kurum içinde geliştirilen modelleri, satın alınan yapay zeka özellikli yazılımları ve çalışanların kendi başına kullandığı araçları kapsamalıdır. Son grup genellikle en büyük sürpriz kaynağıdır. Kontrolsüz yapay zeka kullanımının nasıl tespit edileceğini shadow AI nedir yazımızda anlattık.
Yapay zeka sistemi etki değerlendirmesi
Bu değerlendirme, bir yapay zeka sisteminin bireyler ve toplum üzerindeki olası sonuçlarını inceler. Kredi başvurusu değerlendiren bir model için şu sorular sorulur: Model belirli bir grubu sistematik olarak dezavantajlı duruma düşürüyor mu? Reddedilen başvuru sahibi kararın gerekçesini öğrenebiliyor mu? Karara itiraz yolu var mı? Bu değerlendirme, KVKK ve GDPR kapsamındaki veri koruma etki değerlendirmesiyle bağlantılı yürütülmelidir.
Veri ve model yaşam döngüsü kontrolleri
Eğitim verisinin nereden geldiği, nasıl etiketlendiği, hangi versiyonun hangi modelde kullanıldığı kayıt altında olmalıdır. Model canlıya alındıktan sonra da iş bitmez. Performansın zamanla düşüp düşmediği ve verinin dağılımının değişip değişmediği düzenli olarak izlenmelidir. Veri yönetişimi tarafında ekiplerin neye dikkat etmesi gerektiğini veri yönetişimi farkındalığı: GDPR ve KVKK uyumunda yol haritası eğitimi ayrıntılı biçimde işliyor.
AB Yapay Zeka Yasası takvimi ISO 42001 planını nasıl etkiliyor?
AB Yapay Zeka Yasası (AI Act), AB pazarına ürün veya hizmet sunan Türk şirketlerini de doğrudan ilgilendirir. Temmuz 2026’da yürürlüğe giren Dijital Omnibus düzenlemesi, yasanın takvimini önemli ölçüde değiştirdi.
Güncel takvim şöyle:
- 2 Ağustos 2026: Madde 50 kapsamındaki şeffaflık yükümlülükleri uygulanmaya başladı. Örneğin kullanıcının bir yapay zeka sistemiyle etkileşimde olduğunu bilmesi gerekir.
- 2 Aralık 2026: Yapay zeka ile üretilen içeriğin işaretlenmesine ilişkin yükümlülükler, piyasadaki mevcut sistemler için de geçerli hale geliyor.
- 2 Aralık 2027: Ek III’teki bağımsız yüksek riskli sistemler (işe alım, kredi değerlendirme, eğitimde değerlendirme gibi) için yükümlülükler başlıyor.
- 2 Ağustos 2028: AB ürün güvenliği mevzuatı kapsamındaki ürünlere gömülü yüksek riskli sistemler için yükümlülükler başlıyor.
Erteleme, hazırlığı bırakmak için bir gerekçe değildir. ISO 42001, AI Act’in yüksek riskli sistemler için istediği risk yönetimi, kayıt tutma ve insan gözetimi gibi gereklilikleri karşılamak için güçlü bir altyapı sunar. Bugün başlayan bir kurum, 2027 sonuna kadar sertifikasyonu tamamlayıp yasal gereklilikleri aynı sistem üzerinden yönetebilir.
Geçiş için 6 aylık yol haritası
Aşağıdaki plan, ISO 27001’i olgun biçimde işleten bir kurum için gerçekçi bir çerçevedir.
- 1. ay: Kapsamı ve kurumun yapay zeka rolünü belirleyin. Yapay zeka sistemleri envanterini çıkarın.
- 2. ay: Yapay zeka politikasını yazın ve üst yönetim onayına sunun. Sorumlu yapay zeka rollerini atayın.
- 3. ay: Mevcut risk metodolojisini yapay zeka risklerini kapsayacak şekilde genişletin. İlk etki değerlendirmelerini yapın.
- 4. ay: Ek A kontrollerini değerlendirip Uygulanabilirlik Beyanı’nı hazırlayın. Tedarikçi sözleşmelerine yapay zeka maddeleri ekleyin.
- 5. ay: Rol bazlı farkındalık eğitimlerini tamamlayın. İzleme ve olay yönetimi süreçlerini devreye alın.
- 6. ay: Entegre iç denetim ve yönetim gözden geçirmesi yapın, ardından sertifikasyon denetimine başvurun.
BT yönetişimi tarafında COBIT kullanan kurumlar, yapay zeka yönetişimini mevcut hedef ve süreç yapılarına bağlayabilir. Bu entegrasyon için COBIT 2019 Foundation eğitimi ortak bir dil sağlar. Hizmet yönetimi tarafında ITIL süreçlerini kullanan ekipler için ITIL 4 Foundation yapay zeka olaylarını mevcut olay ve değişiklik yönetimine bağlamayı kolaylaştırır.
Sık yapılan hatalar
İlk hata, ISO 42001’i bilgi güvenliği ekibine tek başına bırakmaktır. Standart; hukuk, insan kaynakları, veri bilimi ve iş birimlerinin katılımını gerektirir. Etki değerlendirmesini yalnızca güvenlik ekibinin yapması, toplumsal ve etik boyutların gözden kaçmasına yol açar.
İkinci hata, envanteri sadece kurum içinde geliştirilen modellerle sınırlamaktır. Kullanılan SaaS ürünlerindeki yapay zeka özellikleri de kapsama girer. Üçüncü hata ise çalışan eğitimini genel bir sunumla geçiştirmektir. Yapay zeka araçlarını kullanan çalışanlar, doğru ve güvenli kullanım için somut beceriye ihtiyaç duyar. Kurumsal AI prompt mühendisliği eğitimi bu becerinin kurumsal kurallarla birlikte nasıl kazandırılacağını gösterir. Bir yapay zeka projesine başlamadan önce yapılması gereken hazırlıkları ise yapay zeka projesine başlamadan önce gerekenler yazımızda bulabilirsiniz.
Sonuç
ISO 27001 sertifikası olan bir kurum, ISO 42001 yolculuğuna sıfırdan başlamaz. Yönetim sisteminin iskeleti hazırdır. Eklenmesi gerekenler; yapay zeka sistemleri envanteri, etki değerlendirmesi ve model yaşam döngüsü kontrolleridir. AB Yapay Zeka Yasası’nın yüksek riskli sistemler için Aralık 2027’ye ertelenen takvimi, bu işi aceleye getirmeden ama gecikmeden yapmak için yeterli zaman tanıyor.
Sıkça sorulan sorular
ISO 42001 zorunlu mu?
Hayır, gönüllü bir standarttır. Ancak AB Yapay Zeka Yasası kapsamında yüksek riskli sistem geliştiren veya kullanan kurumlar için yasal gereklilikleri sistematik biçimde karşılamanın en pratik yollarından biridir. Kurumsal müşteriler de tedarikçilerinden bu sertifikayı giderek daha sık talep ediyor.
ISO 42001 ile ISO 27001 arasındaki temel fark nedir?
ISO 27001 bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini korumaya odaklanır. ISO 42001 ise yapay zeka sistemlerinin bireyler ve toplum üzerindeki etkilerini de yönetir. İki standart aynı yönetim sistemi yapısını paylaştığı için entegre biçimde uygulanabilir.
ISO 42001’e geçiş ne kadar sürer?
ISO 27001’i olgun biçimde işleten bir kurum için 6 ile 9 ay gerçekçi bir süredir. Süreyi belirleyen asıl etken, kurumdaki yapay zeka sistemlerinin sayısı ve etki değerlendirmelerinin karmaşıklığıdır.
AB Yapay Zeka Yasası Türk şirketlerini etkiler mi?
AB pazarına yapay zeka sistemi sunan veya yapay zeka çıktısı AB’de kullanılan Türk şirketleri yasanın kapsamına girer. Yüksek riskli sistemler için yükümlülükler Dijital Omnibus düzenlemesiyle 2 Aralık 2027’ye ertelendi, şeffaflık yükümlülükleri ise Ağustos 2026 itibarıyla uygulanıyor.