ISO/IEC 42001: Yapay Zekâ Yönetim Sistemi Nedir ve Nasıl Kurulur?

Son bir yılda kurumsal danışmanlık görüşmelerimin merkezine oturan en kritik konu yapay zekâ oldu. Şirketler ChatGPT, açık kaynak LLM'ler veya kendi geliştirdikleri makine öğrenmesi modelleriyle iş süreçlerini hızlandırırken masaya kaçınılmaz bir soru geliyor: "Burak Bey, bu modeller müşterilerimizin verilerini nereye gönderiyor? Kararlarında bir önyargı var mı? Yasal bir sorumlulukla karşılaşırsak bunu kime açıklayacağız?"

İşte bu belirsizliği ortadan kaldırmak için Uluslararası Standardizasyon Örgütü (ISO) ve IEC, tarihin ilk sertifikalandırılabilir yapay zekâ standardı olan ISO/IEC 42001:2023'ü yayınladı.

Bu rehberde, yapay zekâ kullanan veya geliştiren şirketlerin kurması gereken AIMS (Artificial Intelligence Management System) mimarisini inceliyoruz.

ISO 42001 Nedir ve Neden Standart Bir Yazılım Kalitesi Değildir?

Geleneksel yazılımlarda girdi bellidir, kod bellidir ve çıktı deterministiktir. Ancak yapay zekâ sistemlerinde olasılıksal (probabilistic) bir yapı vardır; model öğrenebilir, zamanla sapabilir (drift) veya halüsinasyon görebilir.

ISO 42001; yapay zekâyı sadece bir kod parçası olarak değil, yaşayan bir organizasyonel risk olarak ele alır:

1. Veri Yönetişimi: Modeli eğitirken telif hakkı ihlali yapıldı mı? Eğitim verisi ayrımcılık (bias) içeriyor mu?
2. Şeffaflık ve Açıklanabilirlik: Bir banka yapay zeka ile kredi reddi veriyorsa veya bir İK yazılımı adayı eliyorsa, bu kararın gerekçesini bir insana açıklayabilmelidir.
3. İnsan Gözetimi (Human-in-the-loop): Kritik kararların tamamen otonom bırakılmaması, insanın denetleme ve modeli acil durdurma (kill-switch) yetkisi bulunması şarttır.

ISO/IEC 42001 Ek A Kontrol Grupları

Standardın Ek A bölümünde 38 adet normatif kontrol maddesi yer alır:

• A.2 Yapay Zekâ Politikaları: Kurumsal AI etik ilkeleri, kullanım sınırları ve liderlik taahhüdü.
• A.3 İç Organizasyon: Rol ve sorumlulukların atanması, AI komitesi kuruluşu.
• A.4 Kaynak Yönetimi: Veri, altyapı, insan kaynağı ve bilgi işlem kapasitesinin tahsisi.
• A.5 AI Sistemlerinin Etki Değerlendirmesi: İnsan hakları, güvenlik ve etik boyutlu algoritmik etki analizi (AIA).
• A.6 AI Yaşam Döngüsü: Veri hazırlama, model eğitimi, doğrulama, canlıya alma ve model emekliliği.
• A.7 Veri Yönetimi: Eğitim, doğrulama ve test verilerinin kalitesi, zehirlenme koruması ve etiketleme doğruluğu.
• A.8 Üçüncü Taraf Tedarikçiler: Temin edilen API, model ağırlıkları ve harici AI servislerinin denetimi.
• A.9 İlgili Tarafların Bilgilendirilmesi: Son kullanıcıya yapay zekâ ile etkileşimde olduğunun şeffaf bildirimi.

ISO 27001 ile ISO 42001 Birlikte Nasıl Çalışır?

Şirketinizde halihazırda ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi varsa, ISO 42001 kurulumu çok daha hızlı ilerler:

• ISO 27001 verinin gizliliğini ve altyapı güvenliğini teminat altına alır.
• ISO 42001 ise bu veriyi işleyen algoritmaların etik, adil ve güvenilir çalışmasını denetler.
• Risk değerlendirme süreçlerinde ISO/IEC 23894:2023 metodolojisi ortak zemin oluşturur.

Danışmanlık yürüttüğümüz projelerde iki standardı tek bir entegre yönetim sistemi çatısı altında birleştirerek çifte denetim maliyetini ortadan kaldırıyoruz.

Kurulum Aşamaları

1. Yapay Zekâ Varlık Envanteri: Şirket içinde kullanılan tüm dahili ve üçüncü taraf AI araçlarının tespit edilmesi.
2. Yapay Zeka Risk Değerlendirmesi: Modelin olası toplumsal, yasal ve teknik risklerinin puanlanması.
3. AIMS Politikaları ve Ek-A Kontrolleri: Model doğrulama, veri hazırlama ve operasyonel kontrollerin dokümante edilmesi.
4. Bağımsız Denetim ve Belgelendirme: Akredite denetim kuruluşlarınca gerçekleştirilen iki aşamalı denetim.

Yapay zekayı güvenle ölçeklemek isteyen kurumlar için ISO 42001, EU AI Act yükümlülüklerine ve kurumsal yapay zekâ yönetişimi danışmanlığı standartlarına bugünden hazırlanmanın en sağlam yoludur.