ISO 42001 Belgesi Nedir? TÜRKAK Onaylı Nasıl Alınır?

ISO 42001 belgesi, bir kuruluşun yapay zekâ sistemlerini geliştirirken, sunarken ya da kullanırken riskleri ve etkileri sistematik biçimde yönettiğini gösteren yönetim sistemi belgesidir.

Dayanağı, Aralık 2023’te yayımlanan ISO/IEC 42001:2023 standardıdır ve yapay zekâ alanındaki ilk belgelendirilebilir uluslararası standarttır.

TÜRKAK onaylı ISO 42001 belgesi, bu standartta akredite edilmiş bir belgelendirme kuruluşunun iki aşamalı denetimiyle alınır. Bu yazıda belgenin ne olduğunu, kimlerin ihtiyaç duyduğunu, TÜRKAK onayının ne anlama geldiğini ve sürecin adımlarını anlatıyoruz.

ISO 42001 Belgesi Nedir?

ISO/IEC 42001, yapay zekâ yönetim sistemi (YZYS) kurmak, uygulamak, sürdürmek ve sürekli iyileştirmek için şartları tanımlar.

Standart tek bir modelin ya da ürünün teknik doğruluğunu belgelemez; kuruluşun yapay zekâyı nasıl yönettiğini belgelendirir. Bu yönüyle bir ürün sertifikası değil, ISO 27001 ve ISO 9001 gibi bir yönetim sistemi belgesidir.

Standardın yapısı iki bölümden oluşur. Madde 4 ile 10 arası, diğer yönetim sistemi standartlarıyla ortak olan yüksek seviye yapıyı izler: bağlam, liderlik, planlama, destek, operasyon, performans değerlendirme ve iyileştirme. Ek-A ise yapay zekâya özgü 9 kontrol amacı altında 38 kontrol içerir.

Bu standardı diğerlerinden ayıran iki kavram vardır: yapay zekâ risk değerlendirmesi ve yapay zekâ sistemi etki değerlendirmesi. Birincisi kuruluşun hedeflerine yönelik riskleri, ikincisi sistemin bireyler, gruplar ve toplum üzerindeki olası sonuçlarını inceler.

ISO 42001 Belgesi Kimler İçin Gereklidir?

Standart, yapay zekâ ile üç farklı rolde ilişkisi olan kuruluşlara uygulanır ve kuruluşun büyüklüğünden bağımsızdır:

• Geliştiriciler: Kendi modelini eğiten ya da yapay zekâ tabanlı ürün geliştiren yazılım şirketleri.
• Sağlayıcılar: Yapay zekâ özellikli ürün ve hizmetleri müşterilerine sunan platformlar, hizmet olarak yazılım şirketleri.
• Kullanıcılar: Kredi değerlendirme, işe alım, müşteri hizmetleri, teşhis destek ya da üretim kalite kontrolünde hazır yapay zekâ çözümleri kullanan bankalar, sigorta şirketleri, hastaneler, perakendeciler ve üreticiler.

Belgeye olan talep şu durumlarda belirginleşir: kurumsal müşterinin tedarikçi değerlendirmesinde yapay zekâ yönetişimi sorulduğunda, Avrupa pazarına yapay zekâ içeren ürün sunulduğunda, düzenlemeye tabi sektörlerde yapay zekâ kararlarının hesap verebilirliği gündeme geldiğinde ve kamu alımlarında güvenilir yapay zekâ kanıtı istendiğinde.

TÜRKAK Onaylı ISO 42001 Belgesi Ne Demek?

TÜRKAK onaylı ifadesi, belgeyi düzenleyen belgelendirme kuruluşunun Türk Akreditasyon Kurumu tarafından ISO/IEC 42001 kapsamında akredite edildiği anlamına gelir.

TÜRKAK, bu standartta akreditasyon hizmeti vermeye başladığını 17 Şubat 2025 tarihli duyurusuyla açıklamıştır.

Akreditasyon, yönetim sistemi belgelendirme kuruluşları için geçerli ISO/IEC 17021-1 standardı altında verilir. Yapay zekâ yönetim sistemlerini denetleyen kuruluşlara ek şartlar getiren ISO/IEC 42006 standardı da 2025’te yayımlanmıştır.

Standart yeni olduğu için bu kapsamda akredite kuruluş sayısı sınırlıdır. Teklif aldığınız kuruluşun akreditasyon kapsamında ISO/IEC 42001’in yer alıp almadığını resmî sorgu ekranından kontrol etmeniz gerekir. Adımları TÜRKAK akredite kuruluş arama rehberimizde gösterdik.

Kapsamında bu standart bulunmayan bir kuruluşun düzenlediği belge akreditasyonsuzdur ve üzerinde TÜRKAK markası taşıyamaz.

ISO 42001 Belgesi Nasıl Alınır?

1. Kapsam ve rolün belirlenmesi: Hangi yapay zekâ sistemlerinin belgeye dahil olacağı ve kuruluşun her biri için hangi rolde olduğu tanımlanır.
2. Yapay zekâ sistemleri envanteri: Geliştirilen, satın alınan ve çalışanların kendi inisiyatifiyle kullandığı araçlar dahil tüm sistemler listelenir.
3. Politika ve rollerin tanımlanması: Yapay zekâ politikası yazılır, sistem sahipleri ve insan gözetimi sorumluları atanır.
4. Risk değerlendirmesi: Önyargı, şeffaflık eksikliği, güvenlik, gizlilik ve güvenilirlik riskleri değerlendirilir, risk işleme planı hazırlanır.
5. Etki değerlendirmesi: Her sistem için bireyler ve toplum üzerindeki olası sonuçlar incelenir.
6. Kontrollerin seçimi: Ek-A kontrolleri değerlendirilir, Uygulanabilirlik Bildirgesi hazırlanır.
7. Uygulama: Veri yönetimi, yaşam döngüsü, kullanıcı bilgilendirme ve tedarikçi kontrolleri devreye alınır; kayıtlar oluşur.
8. İç tetkik ve yönetimin gözden geçirmesi.
9. Aşama 1 denetimi: Dokümantasyon ve hazırlık düzeyi değerlendirilir.
10. Aşama 2 denetimi: Uygulamanın etkinliği örnekleme ile doğrulanır.
11. Belge kararı: Belge üç yıl geçerlidir ve her yıl gözetim denetimi yapılır.

Hangi dokümanların zorunlu olduğunu ISO 42001 doküman listesi yazımızda, her maddenin nasıl uygulanacağını ISO 42001 standard maddeleri uygulama rehberi yazımızda anlattık.

ISO 42001 Belgesi Almak Ne Kadar Sürer?

Süreyi kuruluşun başlangıç noktası belirler. ISO 27001 ya da ISO 9001 sistemi olan bir kuruluşta doküman kontrolü, iç tetkik, risk yönetimi ve tedarikçi yönetimi altyapısı hazırdır; yapay zekâya özgü bölümlerin eklenmesi genellikle iki ile dört ay sürer.

Hiçbir yönetim sistemi bulunmayan ve çok sayıda yapay zekâ sistemi işleten kuruluşlarda süre uzar. Envanterin çıkarılması çoğu kuruluşta beklenenden uzun sürer, çünkü farklı birimlerin kullandığı araçlar merkezi olarak bilinmez.

ISO 42001 ile AB Yapay Zekâ Yasası ve KVKK İlişkisi

ISO 42001 gönüllü bir standarttır; yasal uyumu tek başına sağlamaz. Bununla birlikte Avrupa Birliği’nin Yapay Zekâ Yasası’nın yüksek riskli sistemler için aradığı risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıt tutma, şeffaflık ve insan gözetimi başlıkları standardın kontrolleriyle büyük ölçüde örtüşür. Avrupa pazarına ürün sunan Türk şirketleri için belge, bu yükümlülüklere hazırlığın en düzenli yoludur.

Kişisel veri işleyen yapay zekâ sistemlerinde KVKK yükümlülükleri ayrıca geçerlidir. Otomatik karar verme, aydınlatma ve veri minimizasyonu konuları etki değerlendirmesinin girdisidir. Kişisel veri tarafını ayrıca belgelendirmek isteyen kuruluşlar için ISO 27701 aynı yapının üzerine kurulur.

ISO 42001 Belgesinin Kuruluşa Sağladığı Faydalar

• Müşteri güveni: Kurumsal alıcıların yapay zekâ yönetişimi sorularına tek belgeyle cevap verilir.
• Görünürlük: Kuruluş içinde hangi yapay zekâ sisteminin nerede, hangi veriyle ve kimin sorumluluğunda çalıştığı ilk kez netleşir.
• Risklerin erken yakalanması: Önyargılı çıktı, veri sızıntısı ve hatalı otomatik karar gibi riskler devreye alma öncesinde değerlendirilir.
• Düzenlemelere hazırlık: Yurt içi ve yurt dışı düzenlemeler geldiğinde altyapı hazırdır.
• Rekabet avantajı: Standart yeni olduğu için belge sahibi kuruluş sayısı azdır ve erken alanlar öne çıkar.

Nobel Belgelendirme ISO 42001 Sürecinde Nasıl Destek Olur?

Nobel Belgelendirme olarak ISO 42001 hedefleyen kuruluşlarla envanter ve doküman hazırlığından iç tetkik ve dış tetkik süreçlerine, denetim planlamasından belge sürecine kadar her aşamada firmaların yanında yer alıyoruz. Maliyetin nasıl oluştuğunu ISO 42001 belgesi fiyatı yazımızda, firma seçimini ISO 42001 belgesi veren firmalar yazımızda ele aldık.

ISO 42001 Belgesi Hakkında Sık Sorulan Sorular

ISO 42001 belgesi zorunlu mu?

Hayır. ISO 42001 gönüllü bir standarttır. Ancak kurumsal müşteriler, ihale şartnameleri ve düzenlemeye tabi sektörler belgeyi tedarikçi koşulu olarak isteyebilir.

Yalnızca hazır yapay zekâ araçları kullanan şirket ISO 42001 belgesi alabilir mi?

Evet. Standart geliştiricileri, sağlayıcıları ve kullanıcıları kapsar. Yalnızca kullanıcı olan kuruluşta sistem yaşam döngüsü kontrolleri azalır; envanter, politika, risk ve etki değerlendirmesi ile sorumlu kullanım kuralları yine gerekir.

TÜRKAK ISO 42001 kapsamında akreditasyon veriyor mu?

Evet. TÜRKAK, 17 Şubat 2025 tarihli duyurusuyla ISO/IEC 17021-1 altında ISO/IEC 42001 kapsamında akreditasyon hizmeti vermeye başladığını açıklamıştır. Bir kuruluşun bu kapsamda akredite olup olmadığı TÜRKAK sorgu ekranından kontrol edilir.

ISO 27001 belgesi olan kuruluş için ISO 42001 kolaylaşır mı?

Evet. İki standardın yapısı aynıdır. Doküman kontrolü, iç tetkik, yönetimin gözden geçirmesi, risk yönetimi ve tedarikçi yönetimi ortak kullanılır. Yapay zekâ envanteri, etki değerlendirmesi ve Ek-A kontrolleri eklenir.

ISO 42001 belgesi kaç yıl geçerlidir?

Belge üç yıl geçerlidir. Bu süre içinde her yıl gözetim denetimi yapılır, üçüncü yılın sonunda yeniden belgelendirme denetimiyle yenilenir.

Sonuç

ISO 42001 belgesi, yapay zekâyı geliştiren ya da kullanan kuruluşun bu teknolojiyi kontrol altında tuttuğunun bağımsız kanıtıdır. TÜRKAK onaylı belge için ilk kontrol, belgelendirme kuruluşunun akreditasyon kapsamında bu standardın bulunmasıdır. Kuruluşunuzun hazırlık durumunu değerlendirmek için bizimle iletişime geçebilirsiniz.