--- title: "ISO/IEC 42001 yapay zekâ yönetim sistemi: CIO için ne anlama geliyor, nereden başlanır?" author: "Abdulaziz Akyol" author_url: https://www.abdulazizakyol.com/hakkimda/ url: https://www.abdulazizakyol.com/blog/iso-iec-42001-yapay-zeka-yonetim-sistemi-cio-icin/ language: tr published: 2026-11-10 categories: ["Liderlik", "Yapay zekâ"] tags: ["ISO/IEC 42001", "yapay zekâ yönetişimi", "AIMS", "ISO 27001", "uyum", "CIO"] description: "ISO/IEC 42001, yapay zekâ için ilk sertifikalanabilir yönetim sistemi standardı. ISO 27001 olan bir şirkette CIO için kapsam, ilk adımlar ve sık hatalar." --- # ISO/IEC 42001 yapay zekâ yönetim sistemi: CIO için ne anlama geliyor, nereden başlanır? Yazar: [Abdulaziz Akyol](https://www.abdulazizakyol.com/hakkimda/) · 2026-11-10 ## Öne çıkanlar - ISO/IEC 42001:2023, kuruluşların yapay zekâ sistemlerini geliştirirken ya da kullanırken uyguladığı yönetim sistemi (AIMS) için gereklilikleri tanımlayan, sertifikalanabilir ilk uluslararası standarttır. - Standart bir teknoloji standardı değildir; politika, roller, risk değerlendirmesi, etki değerlendirmesi ve sürekli iyileştirme döngüsünü tanımlayan bir yönetim sistemi standardıdır. - ISO 27001 sertifikası olan bir şirket yapının büyük kısmına sahiptir; 42001'i ayrı bir sistem olarak değil, mevcut yönetim sistemine entegre etmek en verimli yoldur. - İlk iş, şirketin hangi yapay zekâ sistemlerini geliştirdiğinin ve kullandığının envanterini çıkarmaktır; envanter olmadan kapsam belirlenemez. - Avrupa'ya ürün veya hizmet sunan şirketler için 42001, AB Yapay Zekâ Yasası'na hazırlıkta yararlı bir çerçeve olabilir, ancak yasaya uyumun yerine geçmez. Kurumsal BT'de yönetim sistemi standartlarıyla uzun bir geçmişim var: bilgi güvenliğinde ISO/IEC 27001, BT yönetişiminde [COBIT](https://www.abdulazizakyol.com/blog/cobit5/), hizmet yönetiminde ITIL. Bu standartların ortak bir dersi var: sertifika, kurulan disiplinin sonucudur, amacı değildir. Yapay zekâ için yayımlanan [ISO/IEC 42001](https://www.iso.org/standard/81230.html) de aynı mantıkla okunmalı. Bu yazıda 42001'in CIO için ne anlama geldiğini, ISO 27001 olan bir şirkette nasıl ele alınabileceğini ve sık yapılan hataları anlatıyorum. Standardın tam metni ücretli; burada standardın maddelerini tekrar etmek yerine yönetim açısından ne istediğini özetliyorum. ## 42001 nedir, ne değildir? ISO/IEC 42001:2023, Aralık 2023'te yayımlanan ve yapay zekâ yönetim sistemi (AIMS) için gereklilikleri tanımlayan bir standart. Yapay zekâ ürünü geliştiren, yapay zekâ hizmeti sunan ya da yalnızca yapay zekâ kullanan her büyüklükteki kuruluşa uygulanabiliyor ve bağımsız denetimle sertifikalanabiliyor. Bir teknoloji standardı değil. Size hangi modeli kullanacağınızı ya da doğruluk eşiğinin ne olacağını söylemiyor. Bunun yerine şunları soruyor: yapay zekâ için bir politikanız var mı, kim neden sorumlu, riskleri ve etkileri nasıl değerlendiriyorsunuz, verinin ve modelin yaşam döngüsünü nasıl yönetiyorsunuz, sistem beklendiği gibi çalışmadığında ne yapıyorsunuz, bunları düzenli olarak gözden geçirip iyileştiriyor musunuz? ## ISO 27001 olan şirket için iyi haber 27001 sertifikası olan bir şirket, 42001'in istediği yapının büyük kısmına zaten sahip. İki standart aynı üst düzey yapıyı paylaşıyor: bağlam, liderlik, planlama, destek, operasyon, performans değerlendirmesi, iyileştirme. Bu yüzden en verimli yol, ayrı bir yönetim sistemi kurmak değil, mevcut sisteme yapay zekâya özgü kısımları eklemek. | Alan | Mevcut 27001 sisteminden ortak kullanılır | 42001 için eklenir | | ------------- | ----------------------------------------- | ----------------------------------------------------------------------------- | | Politika | Politika yönetimi ve onay süreci | Yapay zekâ politikası: amaç, kabul edilebilir kullanım, ilkeler | | Roller | Yönetim temsilcisi, süreç sahipleri | Yapay zekâ sistem sahipleri, model ve veri sorumluları | | Risk | Risk değerlendirme yöntemi ve kaydı | Yapay zekâya özgü riskler: yanlılık, hatalı çıktı, şeffaflık, kötüye kullanım | | Etki | Kişisel veri etki değerlendirmesi (varsa) | Yapay zekâ sisteminin bireylere ve topluma etkisinin değerlendirilmesi | | Yaşam döngüsü | Değişiklik ve tedarikçi yönetimi | Veri kalitesi, model doğrulama, izleme, devreden çıkarma | | Denetim | İç denetim, yönetimin gözden geçirmesi | Kapsama yapay zekâ sistemlerinin eklenmesi | ## Nereden başlanır? ### 1. Envanter İlk iş, şirketin hangi yapay zekâ sistemlerini geliştirdiğini ve kullandığını bilmek. Bu, sanıldığından zor. Geliştirilen modellerin yanında satın alınan yazılımların içindeki yapay zekâ özellikleri, çalışanların kullandığı genel yapay zekâ servisleri ve tedarikçilerin sunduğu hizmetler de envantere girmeli. Çalışanların izinsiz kullandığı araçları görünür kılmak için [gölge yapay zekâ yazımdaki](https://www.abdulazizakyol.com/blog/golge-yapay-zeka-shadow-ai-cio-politikasi/) yöntem işe yarıyor. ### 2. Kapsam Sertifikasyon hedefleniyorsa ilk turda kapsamı dar tutun: tek bir ürün, tek bir iş birimi ya da müşteriye sunulan bir yapay zekâ hizmeti. Kapsamı baştan bütün şirket yapmak, envanter ve risk değerlendirmesini yönetilemez hâle getiriyor. ### 3. Politika ve roller Yapay zekâ politikası kısa ve uygulanabilir olmalı. Her yapay zekâ sisteminin bir iş sahibi olmalı; model ve verinin teknik sorumluları ayrıca tanımlanmalı. Rollerin belirsiz kaldığı yerde yapay zekâ sistemi canlıya alındıktan sonra sahipsiz kalıyor; bu, karşılaştığım en yaygın sorun. ### 4. Risk ve etki değerlendirmesi Mevcut risk yönteminizi yapay zekâya özgü risk kategorileriyle genişletin. Burada [NIST AI RMF](https://www.nist.gov/itl/ai-risk-management-framework) iyi bir başvuru kaynağı; riskleri tanımlama, ölçme ve yönetme adımlarını ayrıntılı veriyor. Etki değerlendirmesi ise sistemin kişiler üzerindeki etkisine bakıyor: işe alım, kredi, performans değerlendirmesi gibi kararları etkileyen sistemler daha dikkatli ele alınmalı. ## AB Yapay Zekâ Yasası ile ilişkisi Avrupa'ya ürün ya da hizmet sunan şirketler için [AB Yapay Zekâ Yasası](https://eur-lex.europa.eu/eli/reg/2024/1689/oj) bağlayıcı bir düzenleme. 42001 sertifikası yasaya uyumun yerine geçmiyor; yasanın kendi yükümlülükleri ayrıca karşılanmalı. Ama yasanın istediği risk yönetimi, dokümantasyon, kayıt tutma ve insan gözetimi gibi konularda 42001 yararlı bir yönetim çerçevesi sunuyor. Yasanın Türk şirketleri için pratik tarafını [AB Yapay Zekâ Yasası uyum rehberimde](https://www.abdulazizakyol.com/blog/ab-yapay-zeka-yasasi-eu-ai-act-turk-sirketleri-icin-uyum-rehberi/) anlattım. ## Sık yapılan hatalar - **Dokümanla başlamak:** Politika ve prosedür yazmak kolay, sahada uygulanmaları zor. Önce envanter ve risk, sonra doküman. - **Kapsamı büyük tutmak:** İlk tur sertifikasyonda bütün şirketi kapsama almak süreci yıllara yayıyor. - **Yapay zekâyı yalnız BT'ye bırakmak:** Etki değerlendirmesi hukuk, insan kaynakları ve iş birimlerinin katılımı olmadan yapılamaz. - **Tedarikçileri unutmak:** Satın alınan yapay zekâ hizmetleri de kapsamda. Tedarikçiden hangi bilgileri isteyeceğinizi sözleşmeye yazmanız gerekiyor; bunu [yapay zekâ tedarikçi sözleşmesi yazımda](https://www.abdulazizakyol.com/blog/yapay-zeka-tedarikci-sozlesmesi-veri-sahipligi-ve-cikis-maddeleri/) ele aldım. ## Sertifika gerekli mi? Her şirket için değil. Müşterileri ya da düzenleyicileri bunu istiyorsa, ya da şirket yapay zekâ hizmetini başka şirketlere sunuyorsa sertifika anlamlı bir güven sinyali. Diğer durumlarda standardı sertifika hedefi olmadan bir yönetim çerçevesi olarak kullanmak da değerli. Benim önerim, sertifika kararını envanter ve risk değerlendirmesi tamamlandıktan sonra vermek; o noktada hem maliyeti hem faydayı çok daha net görüyorsunuz. ## Sık sorulan sorular ### ISO/IEC 42001 nedir? Yapay zekâ yönetim sistemi (AIMS) için gereklilikleri tanımlayan uluslararası standarttır. Aralık 2023'te yayımlandı. Yapay zekâ ürünleri geliştiren ya da yapay zekâ kullanan her büyüklükteki kuruluşa uygulanabilir ve bağımsız denetimle sertifikalanabilir. ### ISO 27001 olan bir şirket 42001'e nasıl geçer? Ayrı bir sistem kurmak yerine mevcut yönetim sistemine eklenir. Politika, iç denetim, yönetimin gözden geçirmesi, doküman kontrolü ve düzeltici faaliyet süreçleri ortak kullanılır; yapay zekâya özgü risk değerlendirmesi, etki değerlendirmesi, veri ve model yaşam döngüsü kontrolleri eklenir. ### ISO/IEC 42001 sertifikası AB Yapay Zekâ Yasası uyumu sağlar mı? Tek başına sağlamaz. Standart, yasanın istediği risk yönetimi, dokümantasyon ve insan gözetimi gibi konularda yararlı bir yönetim çerçevesi sunar; ancak yasanın kendi yükümlülükleri ayrıca karşılanmalıdır. ### 42001 çalışmasına nereden başlanmalı? Şirketin geliştirdiği ve kullandığı yapay zekâ sistemlerinin envanteriyle. Ardından kapsam, yapay zekâ politikası, roller ve sorumluluklar, risk ve etki değerlendirme yöntemi belirlenir. Sertifikasyon hedefi varsa kapsam ilk turda dar tutulur. ## Kaynaklar 1. [ISO/IEC 42001:2023 Information technology — Artificial intelligence — Management system (ISO)](https://www.iso.org/standard/81230.html) 2. [NIST AI Risk Management Framework (AI RMF 1.0)](https://www.nist.gov/itl/ai-risk-management-framework) 3. [Regulation (EU) 2024/1689 — Artificial Intelligence Act (EUR-Lex)](https://eur-lex.europa.eu/eli/reg/2024/1689/oj) --- Abdulaziz Akyol, CX Teknoloji'nin (yapay zekâ, görüntü işleme ve IoT) kurucusudur. Asıl sürüm: https://www.abdulazizakyol.com/blog/iso-iec-42001-yapay-zeka-yonetim-sistemi-cio-icin/