ISO/IEC 42001:2023 Şirketlerde Ne İçin Kullanılır?

ISO 42001 Şirketlerde Ne İçin Kullanılır?

Yapay zeka teknolojileri, şirketlerin iş süreçlerini geliştirmek, karar alma mekanizmalarını desteklemek ve operasyonel verimliliği artırmak için giderek daha fazla kullanılmaktadır. Ancak yapay zekânın yaygınlaşması; veri güvenliği, hatalı sonuçlar, algoritmik önyargılar ve şeffaflık gibi konularda yeni riskleri de beraberinde getirmektedir. Şirketlerin bu teknolojilerden güvenilir ve sorumlu bir şekilde yararlanabilmesi için sistematik bir yönetim yaklaşımına ihtiyacı vardır.

ISO/IEC 42001:2023, kuruluşların yapay zeka sistemlerini sorumlu biçimde geliştirmesine, sunmasına veya kullanmasına yönelik bir yönetim sistemi standardıdır. Aralık 2023’te yayımlanan standart; yapay zeka ile ilgili risk ve fırsatların ele alınmasına, politikaların ve sorumlulukların belirlenmesine ve yönetim sisteminin sürekli iyileştirilmesine yönelik bir çerçeve sunar. Ayrıntılar için ISO’nun resmi standardı sayfasını (https://www.iso.org/standard/42001) inceleyebilirsiniz.

Neden Şimdi Gündemde?

Yapay zekâ araçları kısa sürede iş süreçlerinin içine girdi; ancak bunların nasıl yönetildiği çoğu kuruluşta hâlâ belirsiz. Bu belirsizlik üç yönden baskı oluşturuyor. Birincisi, mevzuattır: Avrupa Birliği’nin Yapay Zekâ Yasası (EU AI Act) kademeli olarak yürürlüğe girmekte, AB pazarına ürün veya hizmet sunan şirketler için yeni yükümlülükler getirmektedir. Yüksek riskli sistemlere ilişkin bazı yükümlülüklerin takvimi ise güncellenmektedir; güncel tarihlerin resmî kaynaklardan kontrol edilmesi gerekir. Türkiye’de de Kişisel Verileri Koruma Kurumu (KVKK), Kasım 2025’te “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi”ni yayımlayarak yapay zekâ kullanan kuruluşların kişisel veri açısından dikkat etmesi gereken noktaları ortaya koymuştur.

İkincisi, müşteri ve ihale beklentileridir. Büyük kurumlar tedarikçilerine yapay zekâyı nasıl yönettikleri konusunda soru sormaya başlamıştır. Üçüncüsü, çalışanların hazır yapay zekâ araçlarını (örneğin sohbet botları) kurum kontrolü dışında kullanmasından doğan risklerdir. ISO/IEC 42001 bu soruların her biri için tek başına cevap değildir; ancak şirketin yapay zekâ kullanımını düzenli ve kanıtlanabilir bir yönetim çerçevesine oturtmasına yardımcı olabilir. Standardın AB Yapay Zekâ Yasası’na uyumun yerine geçmediğini de belirtmek gerekir.

ISO/IEC 42001:2023 Nedir?

ISO/IEC 42001, kuruluşlarda Yapay Zeka Yönetim Sistemi (Artificial Intelligence Management System – AIMS) oluşturulması, uygulanması, sürdürülmesi ve sürekli iyileştirilmesi için gerekli şartları tanımlar. Standart yalnızca yapay zeka ürünü geliştiren teknoloji şirketlerine yönelik değildir. İş süreçlerinde yapay zeka kullanan finans, sağlık, üretim, danışmanlık ve yazılım şirketleri de bu standarttan yararlanabilir. Standardın kapsamı ve yayın bilgileri için IEC’nin resmi yayın sayfasına ( https://webstore.iec.ch/en/publication/90574 ) da başvurulabilir.

ISO/IEC 42001’in temel amacı, yapay zeka kullanımını yalnızca teknolojik bir konu olarak ele almak yerine; risk yönetimi, sorumluluk, şeffaflık ve sürekli iyileştirme süreçleriyle birlikte değerlendirmektir. Standart, tek başına her riski ortadan kaldırmaz veya tüm yasal yükümlülüklerin yerine getirildiğini garanti etmez.

ISO/IEC 42001 ve Diğer Yönetim Sistemi Standartları

Birçok şirkette ISO 9001 (kalite) veya ISO/IEC 27001 (bilgi güvenliği) gibi yönetim sistemleri zaten bulunur. ISO/IEC 42001, bu standartlarla benzer bir yönetim sistemi yapısını (ortak üst düzey yapı, Annex SL) izler. Bu nedenle risk yönetimi, iç denetim, doküman kontrolü ve yönetimin gözden geçirmesi gibi süreçler mevcut sistemlerle birlikte yürütülebilir. Farkı ise konusudur: ISO 9001 kaliteyi, ISO/IEC 27001 bilgi güvenliğini ele alırken ISO/IEC 42001 yapay zekâya özgü konuları (veri kalitesi, önyargı, şeffaflık, insan gözetimi, yapay zekâ sistemlerinin yaşam döngüsü gibi) kapsar.

Standardın Ek A bölümü, kuruluşların seçebileceği kontrol hedeflerini içerir; bunlar arasında yapay zekâ politikaları, iç organizasyon, yapay zekâ sistemlerinin yaşam döngüsü, veri, ilgili taraflara bilgi verilmesi, sistemlerin kullanımı ve üçüncü taraf ilişkileri yer alır. Standardın en ayırt edici yönlerinden biri de “yapay zekâ sistemi etki değerlendirmesi” kavramıdır: Sistemin bireyler ve toplum üzerinde olası etkilerinin önceden değerlendirilmesi beklenir.

ISO/IEC 42001 Şirketlerde Ne İçin Kullanılır?

1. Yapay Zeka Risklerini Yönetmek

Yapay zekâ sistemleri yanlış sonuçlar üretebilir, hatalı verilerden etkilenebilir veya belirli kişi ve gruplara karşı önyargılı sonuçlar oluşturabilir. ISO/IEC 42001, şirketlerin bu riskleri belirlemesine, değerlendirmesine ve uygun kontroller geliştirmesine yardımcı olur. Örneğin, işe alım süreçlerinde yapay zeka kullanan bir şirket, sistemin adayları hangi ölçütlere göre değerlendirdiğini ve ayrımcı sonuçlar üretme ihtimalini ele alabilir.

2. Veri Yönetişimini ve İlgili Riskleri Ele Almak

Yapay zeka uygulamalarının güvenilirliği, kullanılan verilerin niteliği ve yönetimiyle yakından ilişkilidir. Şirketlerin verilerin kaynağını, kullanım amacını, kalitesini ve erişim yetkilerini değerlendirmesi önemlidir. ISO/IEC 42001, yapay zeka yönetimi kapsamında veri yönetişimi ve ilgili risklerin ele alınmasını destekler. Ancak standart, tek başına bilgi güvenliği veya kişisel verilerin korunmasına ilişkin tüm yükümlülükleri karşılamaz.

3. Şeffaflık ve Hesap Verebilirliği Desteklemek

Şirketlerde yapay zeka sistemlerinin hangi amaçlarla kullanıldığının, kimlerin sorumluluk taşıdığının ve sonuçların nasıl değerlendirileceğinin belirlenmesi gerekir. ISO/IEC 42001, görev ve sorumlulukların tanımlanmasını, gerekli bilgilerin belgelenmesini ve süreçlerin izlenmesini destekler. Böylece yapay zeka uygulamalarının kurumsal yönetimi daha sistematik hâle gelebilir.

4. İş Süreçlerini Kontrollü Biçimde Yönetmek

Yapay zeka; müşteri taleplerinin sınıflandırılması, tahminleme, raporlama ve operasyonel süreçlerin otomasyonu gibi alanlarda kullanılabilir. ISO/IEC 42001, bu uygulamaların şirket hedefleriyle uyumlu politikalar, hedefler, değerlendirmeler ve kontroller çerçevesinde yönetilmesine yardımcı olur. Böylece olası sorunlar daha sistematik biçimde ele alınabilir.

5. Paydaş Güvenini Desteklemek

Müşteriler ve iş ortakları, şirketlerin yapay zekayı nasıl yönettiğini ve riskleri nasıl ele aldığını bilmek isteyebilir. ISO/IEC 42001’e uygun bir yönetim sistemi kurmak, kuruluşun bu konuları sistematik biçimde ele aldığını göstermeye yardımcı olabilir. Belgelendirme yapılması durumunda ise yönetim sisteminin standardın şartlarına uygunluğu, ilgili belgelendirme süreci kapsamında değerlendirilir.

6. Hazır Araçları ve Tedarikçileri Yönetmek

Her şirket yapay zekâ sistemini kendisi geliştirmez; çoğu kuruluş hazır araçları veya tedarikçilerin sunduğu yapay zekâ hizmetlerini kullanır. ISO/IEC 42001 yalnızca geliştiricilere değil, bu tür sistemleri kullanan kuruluşlara da hitap eder. Örneğin müşteri hizmetlerinde bir sohbet botu kullanan şirket; botun hangi verilerle çalıştığını, hatalı yanıt verdiğinde kimin devreye gireceğini ve tedarikçiden hangi güvencelerin istenmesi gerektiğini tanımlayabilir.

ISO/IEC 42001 Hangi Şirketlerde Kullanılabilir?

ISO/IEC 42001, büyüklüğü veya faaliyet alanı ne olursa olsun yapay zeka tabanlı ürün ya da hizmet geliştiren, sunan veya kullanan kuruluşlar için uygundur. Örnek kullanım alanları şunlardır:

·       Yazılım ve teknoloji şirketleri: Yapay zeka tabanlı uygulamaların geliştirilmesi ve yönetilmesi.

·       Finans kuruluşları: Risk analizi, dolandırıcılık tespiti ve karar destek sistemleri.

·       Sağlık kuruluşları: Yapay zeka destekli analiz ve karar destek uygulamalarına ilişkin risklerin değerlendirilmesi.

·       Üretim şirketleri: Tahminleme, kalite kontrol ve otomasyon süreçlerinde yapay zeka kullanımının yönetilmesi.

·       Danışmanlık ve hizmet şirketleri: Yapay zeka destekli analiz, raporlama ve müşteri hizmetlerinin kontrollü biçimde yürütülmesi.

Standardın kuruluş içindeki kapsamı, faaliyetlere, kullanılan sistemlere ve kuruluşun belirlediği ihtiyaçlara göre tanımlanmalıdır.

Şirketler ISO/IEC 42001 Uygulamasına Nasıl Başlayabilir?

Bir yapay zeka yönetim sistemi oluşturmak isteyen kuruluşlar, kendi koşullarına göre aşağıdaki adımları değerlendirebilir:

1.Mevcut durumu belirlemek: Kurumda kullanılan veya geliştirilen yapay zekâ sistemlerini ve kullanım amaçlarını tespit etmek.

2.Risk ve fırsatları değerlendirmek: Veri kalitesi, güvenilirlik, önyargı, güvenlik ve şeffaflık gibi konuları incelemek.

3.Politika ve sorumlulukları tanımlamak: Yapay zeka kullanımına ilişkin kuralları, görevleri ve yetkileri belirlemek.

4.Uygun kontrolleri planlamak: Belirlenen risklere göre süreçler, izleme mekanizmaları ve gerekli dokümantasyonu oluşturmak.

5.Performansı izlemek ve iyileştirmek: Sistemlerin sonuçlarını değerlendirmek, uygunsuzlukları ele almak ve iyileştirmeler yapmak.

6.Yapay zekâ sistem envanteri oluşturmak: Hangi birimde hangi yapay zekâ aracının, hangi amaçla ve hangi verilerle kullanıldığını bir envanterde toplamak. Çalışanların bireysel olarak kullandığı hazır araçlar da bu envantere dâhil edilmelidir.

7.Tedarikçi ve hazır araç kullanımını yönetmek: Dışarıdan alınan yapay zekâ hizmetleri için sözleşme, veri paylaşımı ve sorumluluk şartlarını gözden geçirmek.

Bu çalışmaların kuruluşun günlük süreçlerine entegre edilmesi, yönetim sisteminin yalnızca dokümantasyon çalışması olarak kalmaması açısından önemlidir.

Uygulamak ile Belgelendirmek Aynı Şey mi?

ISO/IEC 42001’i uygulamak ile belgelendirmek ayrı kavramlardır. Standardı uygulamak için belge almak zorunlu değildir; kuruluş standardın şartlarını kendi yönetim sistemine kendi kararıyla uyarlayabilir. Belgelendirme ise gönüllü bir adımdır ve bağımsız bir belgelendirme kuruluşu tarafından yapılan denetimle gerçekleşir. Genel uygulamada ilk belgelendirme denetimi aşamalar hâlinde yürütülür ve belge alındıktan sonra yönetim sisteminin sürdürüldüğü periyodik gözetim denetimleriyle kontrol edilir. Süre ve maliyet; kapsama, kuruluşun büyüklüğüne ve mevcut yönetim sistemlerine göre değiştiği için belgelendirme kuruluşlarından teklif alınarak belirlenmelidir.

ISO/IEC 42001 ve Kurumsal Sürdürülebilirlik

Yapay zeka teknolojilerinin iş dünyasındaki rolü arttıkça, bu sistemlerin yalnızca verimli değil, aynı zamanda güvenilir ve sorumlu biçimde yönetilmesi de önem kazanmaktadır. ISO/IEC 42001, şirketlere yapay zeka kullanımını kurumsal hedefler, risk yönetimi ve sürekli iyileştirme yaklaşımıyla birlikte ele alma fırsatı sunar. Bununla birlikte standardın uygulanması, tek başına hatasız yapay zeka sistemlerini veya tüm yasal gerekliliklere otomatik uyumu garanti etmez.

Sonuç

ISO/IEC 42001, yapay zeka teknolojilerini daha sistematik, kontrollü ve sorumlu bir şekilde yönetmek isteyen şirketler için önemli bir çerçevedir. Kuruluşların yapay zeka risklerini değerlendirmesine, sorumlulukları belirlemesine ve yönetim süreçlerini sürekli iyileştirmesine yardımcı olur.

Sık Sorulan Sorular

ISO/IEC 42001 zorunlu mu? Hayır. Standart gönüllüdür. Ancak müşteri, ihale veya mevzuat kaynaklı beklentiler nedeniyle bazı kuruluşlar için pratikte önem kazanabilir.

Yalnızca yapay zekâ ürünü geliştiren şirketler için mi? Hayır. Yapay zekâ sistemlerini iş süreçlerinde kullanan kuruluşlar da standarttan yararlanabilir.

Küçük bir şirket için uygun mu? Standardın kapsamı kuruluşun faaliyetlerine ve yapay zekâ kullanımının düzeyine göre belirlenir; bu nedenle küçük kuruluşlar da kendi ölçeklerine uygun bir kapsam tanımlayabilir.

Standardı uygulamak yasal uyumu garanti eder mi? Hayır. ISO/IEC 42001 mevzuata uyumu destekleyen bir yönetim çerçevesi sunar, ancak yasal yükümlülüklerin yerine getirildiğini tek başına garanti etmez.

Blog Yazarları: Nazlı DİRİCAN, Sevda TORUN, Talha TARLABAZ