ISO/IEC 42001 yapay zekâ yönetim sistemi: CIO için ne anlama geliyor, nereden başlanır?

Kurumsal BT’de yönetim sistemi standartlarıyla uzun bir geçmişim var: bilgi güvenliğinde ISO/IEC 27001, BT yönetişiminde COBIT, hizmet yönetiminde ITIL. Bu standartların ortak bir dersi var: sertifika, kurulan disiplinin sonucudur, amacı değildir. Yapay zekâ için yayımlanan ISO/IEC 42001 de aynı mantıkla okunmalı.

Bu yazıda 42001’in CIO için ne anlama geldiğini, ISO 27001 olan bir şirkette nasıl ele alınabileceğini ve sık yapılan hataları anlatıyorum. Standardın tam metni ücretli; burada standardın maddelerini tekrar etmek yerine yönetim açısından ne istediğini özetliyorum.

42001 nedir, ne değildir?

ISO/IEC 42001:2023, Aralık 2023’te yayımlanan ve yapay zekâ yönetim sistemi (AIMS) için gereklilikleri tanımlayan bir standart. Yapay zekâ ürünü geliştiren, yapay zekâ hizmeti sunan ya da yalnızca yapay zekâ kullanan her büyüklükteki kuruluşa uygulanabiliyor ve bağımsız denetimle sertifikalanabiliyor.

Bir teknoloji standardı değil. Size hangi modeli kullanacağınızı ya da doğruluk eşiğinin ne olacağını söylemiyor. Bunun yerine şunları soruyor: yapay zekâ için bir politikanız var mı, kim neden sorumlu, riskleri ve etkileri nasıl değerlendiriyorsunuz, verinin ve modelin yaşam döngüsünü nasıl yönetiyorsunuz, sistem beklendiği gibi çalışmadığında ne yapıyorsunuz, bunları düzenli olarak gözden geçirip iyileştiriyor musunuz?

ISO 27001 olan şirket için iyi haber

27001 sertifikası olan bir şirket, 42001’in istediği yapının büyük kısmına zaten sahip. İki standart aynı üst düzey yapıyı paylaşıyor: bağlam, liderlik, planlama, destek, operasyon, performans değerlendirmesi, iyileştirme. Bu yüzden en verimli yol, ayrı bir yönetim sistemi kurmak değil, mevcut sisteme yapay zekâya özgü kısımları eklemek.

Alan	Mevcut 27001 sisteminden ortak kullanılır	42001 için eklenir
Politika	Politika yönetimi ve onay süreci	Yapay zekâ politikası: amaç, kabul edilebilir kullanım, ilkeler
Roller	Yönetim temsilcisi, süreç sahipleri	Yapay zekâ sistem sahipleri, model ve veri sorumluları
Risk	Risk değerlendirme yöntemi ve kaydı	Yapay zekâya özgü riskler: yanlılık, hatalı çıktı, şeffaflık, kötüye kullanım
Etki	Kişisel veri etki değerlendirmesi (varsa)	Yapay zekâ sisteminin bireylere ve topluma etkisinin değerlendirilmesi
Yaşam döngüsü	Değişiklik ve tedarikçi yönetimi	Veri kalitesi, model doğrulama, izleme, devreden çıkarma
Denetim	İç denetim, yönetimin gözden geçirmesi	Kapsama yapay zekâ sistemlerinin eklenmesi

Nereden başlanır?

1. Envanter

İlk iş, şirketin hangi yapay zekâ sistemlerini geliştirdiğini ve kullandığını bilmek. Bu, sanıldığından zor. Geliştirilen modellerin yanında satın alınan yazılımların içindeki yapay zekâ özellikleri, çalışanların kullandığı genel yapay zekâ servisleri ve tedarikçilerin sunduğu hizmetler de envantere girmeli. Çalışanların izinsiz kullandığı araçları görünür kılmak için gölge yapay zekâ yazımdaki yöntem işe yarıyor.

2. Kapsam

Sertifikasyon hedefleniyorsa ilk turda kapsamı dar tutun: tek bir ürün, tek bir iş birimi ya da müşteriye sunulan bir yapay zekâ hizmeti. Kapsamı baştan bütün şirket yapmak, envanter ve risk değerlendirmesini yönetilemez hâle getiriyor.

3. Politika ve roller

Yapay zekâ politikası kısa ve uygulanabilir olmalı. Her yapay zekâ sisteminin bir iş sahibi olmalı; model ve verinin teknik sorumluları ayrıca tanımlanmalı. Rollerin belirsiz kaldığı yerde yapay zekâ sistemi canlıya alındıktan sonra sahipsiz kalıyor; bu, karşılaştığım en yaygın sorun.

4. Risk ve etki değerlendirmesi

Mevcut risk yönteminizi yapay zekâya özgü risk kategorileriyle genişletin. Burada NIST AI RMF iyi bir başvuru kaynağı; riskleri tanımlama, ölçme ve yönetme adımlarını ayrıntılı veriyor. Etki değerlendirmesi ise sistemin kişiler üzerindeki etkisine bakıyor: işe alım, kredi, performans değerlendirmesi gibi kararları etkileyen sistemler daha dikkatli ele alınmalı.

AB Yapay Zekâ Yasası ile ilişkisi

Avrupa’ya ürün ya da hizmet sunan şirketler için AB Yapay Zekâ Yasası bağlayıcı bir düzenleme. 42001 sertifikası yasaya uyumun yerine geçmiyor; yasanın kendi yükümlülükleri ayrıca karşılanmalı. Ama yasanın istediği risk yönetimi, dokümantasyon, kayıt tutma ve insan gözetimi gibi konularda 42001 yararlı bir yönetim çerçevesi sunuyor. Yasanın Türk şirketleri için pratik tarafını AB Yapay Zekâ Yasası uyum rehberimde anlattım.

Sık yapılan hatalar

• Dokümanla başlamak: Politika ve prosedür yazmak kolay, sahada uygulanmaları zor. Önce envanter ve risk, sonra doküman.
• Kapsamı büyük tutmak: İlk tur sertifikasyonda bütün şirketi kapsama almak süreci yıllara yayıyor.
• Yapay zekâyı yalnız BT’ye bırakmak: Etki değerlendirmesi hukuk, insan kaynakları ve iş birimlerinin katılımı olmadan yapılamaz.
• Tedarikçileri unutmak: Satın alınan yapay zekâ hizmetleri de kapsamda. Tedarikçiden hangi bilgileri isteyeceğinizi sözleşmeye yazmanız gerekiyor; bunu yapay zekâ tedarikçi sözleşmesi yazımda ele aldım.

Sertifika gerekli mi?

Her şirket için değil. Müşterileri ya da düzenleyicileri bunu istiyorsa, ya da şirket yapay zekâ hizmetini başka şirketlere sunuyorsa sertifika anlamlı bir güven sinyali. Diğer durumlarda standardı sertifika hedefi olmadan bir yönetim çerçevesi olarak kullanmak da değerli. Benim önerim, sertifika kararını envanter ve risk değerlendirmesi tamamlandıktan sonra vermek; o noktada hem maliyeti hem faydayı çok daha net görüyorsunuz.