ISO/IEC 42001:2023, yapay zekâ için bir yönetim sistemi standardıdır; yani tek bir modeli ya da ürünü değil, bir kurumun yapay zekâyı nasıl yönettiğini tarif eder. 2025’te bu standart için baş denetçi eğitimi aldım. Bu yazı bir belgelendirme iddiası ya da standardın yerine geçen bir rehber değil; eğitimden ve proje yönetimi deneyimimden süzdüğüm, proje liderinin işini kolaylaştıran bir soru listesidir.
Önce bir ayrım: kurum belgesi ve çalışma yöntemi
ISO/IEC 42001 kurumlar için belgelendirilebilen bir yönetim sistemi standardıdır. Ben bir kurumun belgesini taşımıyorum; baş denetçi eğitiminden edindiğim bakışı, proje seviyesinde bir çalışma yöntemi olarak kullanıyorum. Yani aşağıdaki liste, projenin başında «yönetişim sonradan eklenmesin» diyen bir proje liderinin soru listesidir. Kurumsal bir belgelendirme hedefiniz varsa bu liste yalnızca iyi bir başlangıç noktasıdır, yerine geçmez.
1. Amaç ve kapsam
- Yapay zekâ sistemi hangi iş sorusuna ya da sürece hizmet ediyor?
- Kim için, hangi bağlamda kullanılacak; kullanılmayacağı durumlar neler?
- Kapsam dışı maddeler yazılı mı?
2. Sorumluluk ve roller
- Sistemin iş sahibi kim; teknik sahibi kim?
- Çıktıya itiraz edildiğinde ya da hata fark edildiğinde kime gidilir?
- Karar yetkileri (genişletme, durdurma, geri alma) kimde?
3. Veri
- Veri nereden geliyor, kullanım hakkı ve izni var mı?
- Kişisel veri içeriyor mu; içeriyorsa hangi kural ve koruma uygulanıyor?
- Kim hangi veriye erişebilir; saklama ve silme kuralı nedir?
- Veri kalitesi ve güncelliği kim tarafından, nasıl izleniyor?
4. Risk ve etki değerlendirmesi
- Sistemin yanlış çalışması kimi, nasıl etkiler?
- Riskler bir kayıtta, sahibi ve önlemiyle birlikte tutuluyor mu?
- İnsan onayı gereken noktalar belirlenmiş mi?
- Yanlış, önyargılı ya da uydurma çıktı olasılığı için nasıl bir kontrol var?
5. Yaşam döngüsü ve değişiklik
- Tasarım, test, devreye alma, bakım ve emekli etme adımları tanımlı mı?
- Model, istem ya da veri değiştiğinde yeniden değerlendirme yapılıyor mu?
- Değişiklikler kayıt altında mı?
6. Üçüncü taraflar
- Hangi dış model, servis ya da veri sağlayıcısı kullanılıyor?
- Bu sağlayıcıya hangi veri gidiyor; sözleşme ve gizlilik koşulları bunu karşılıyor mu?
- Sağlayıcı değişirse ya da hizmet durursa ne olur?
7. İzleme ve iyileştirme
- Sistem canlıdayken neyi, hangi sıklıkla izliyoruz?
- Kullanıcılar sorun bildirebiliyor mu; bildirimler kimin önüne düşüyor?
- Bulgular sonraki iyileştirme kararına nasıl dönüşüyor?
Bu listeyi projede nasıl kullanıyorum?
Listeyi bir denetim formu gibi değil, planlamanın bir parçası olarak kullanırım. İlk haftalarda yanıtlar toplanır; cevaplanamayan sorular risk kaydına girer, sahibi ve tarihiyle. Pilot sonrasında liste yeniden gözden geçirilir ve genişletme kararı bu cevaplara bakılarak verilir. Böylece yönetişim, projenin sonunda eklenen bir belge yığını yerine kararları besleyen bir kayıt hâline gelir.
Standardın kendisini ve kurumunuz için belgelendirme gerekip gerekmediğini değerlendirmek ayrı bir iştir; bu konuda bağımsız bir uzmandan ya da yetkili bir belgelendirme kuruluşundan destek almanızı öneririm. Benim çalışma yaklaşımım için Bilgi Güvenliği ve ISO Uyumu ile Yapay Zekâ Projeleri sayfalarına bakabilirsiniz.