ISO 42001 Doküman Listesi

ISO 42001, yapay zekâ sistemi geliştiren, sağlayan ya da kullanan kuruluşlar için yayımlanan ilk belgelendirilebilir yönetim sistemi standardıdır. Aralık 2023’te ISO/IEC 42001:2023 adıyla yayımlanmıştır. Belgelendirme süreci, bir etik ilkeler metni yazmaktan fazlasını ister; yapay zekâ sistemlerinin envanterini, risklerini, bireyler ve toplum üzerindeki etkilerini ve seçilen kontrolleri birbirine bağlayan bir sistem kurmayı gerektirir. Dokümantasyon iki ana grupta toplanır:

Yönetimsel çerçeve (Madde 4 ile 10),
Ek-A kontrolleri (9 kontrol amacı, 38 kontrol).

ISO/IEC 42001:2023’e göre hangi maddenin hangi dokümanı ya da kaydı zorunlu kıldığını gösteren ISO 42001 doküman listesi aşağıdadır. Yapı ISO 27001 ile büyük ölçüde aynıdır; bu nedenle bilgi güvenliği yönetim sistemi olan kuruluşlar mevcut dokümanlarının önemli bir bölümünü kullanabilir.

Yapay zekâ denetimlerinde denetçi tek tek modellere değil, kuruluşun bu modelleri nasıl yönettiğine bakar. Aşağıdaki liste standardın açıkça dokümante edilmiş bilgi istediği maddeleri karşılar.

ISO 42001 Temel Doküman Listesi

Bu dokümanlar olmadan bir yapay zekâ yönetim sisteminin (YZYS) kurulmuş sayılması mümkün değildir.

Standart Maddesi	Gereksinim Duyulan Doküman / Kayıt	Açıklama
Madde 4.3	YZYS Kapsam Dokümanı	Kapsanan yapay zekâ sistemleri ve kuruluşun rolü (geliştirici, sağlayıcı, kullanıcı).
Madde 5.2	Yapay Zekâ Politikası	Üst yönetimin sorumlu yapay zekâ taahhüdü ve ilkeleri.
Madde 6.1.2	Yapay Zekâ Risk Değerlendirme Süreci	Risk kriterleri, risklerin belirlenmesi, analizi ve değerlendirilmesi.
Madde 6.1.3	Risk İşleme Süreci ve Planı	Her risk için seçilen kontroller.
Madde 6.1.3	Uygulanabilirlik Bildirgesi (SoA)	Ek-A kontrollerinin hangilerinin seçildiği, hangilerinin hariç tutulduğu ve gerekçeleri.
Madde 6.1.4	Yapay Zekâ Sistemi Etki Değerlendirmesi	Sistemin bireyler, gruplar ve toplum üzerindeki olası sonuçları.
Madde 6.2	Yapay Zekâ Hedefleri	Ölçülebilir hedefler ve gerçekleştirme planları.
Madde 7.2	Yetkinlik Kanıtları	Geliştirme, işletme ve gözetim rollerindeki kişilerin nitelikleri.
Madde 8.1	Operasyonel Planlama ve Kontrol Kayıtları	Süreçlerin planlandığı gibi yürütüldüğünün kanıtı.
Madde 8.2	Risk Değerlendirme Sonuçları	Planlı aralıklarla ve önemli değişikliklerde yapılan değerlendirmeler.
Madde 8.3	Risk İşleme Sonuçları	Planlanan kontrollerin uygulandığının kanıtı.
Madde 8.4	Etki Değerlendirme Sonuçları	Her sistem için yapılan etki değerlendirmelerinin kaydı.
Madde 9.1	İzleme ve Ölçme Sonuçları	Sistem performansı ve YZYS etkinliği göstergeleri.
Madde 9.2	İç Tetkik Programı ve Raporu	Tetkik planı, bulgular ve sonuçlar.
Madde 9.3	Yönetimin Gözden Geçirme Kayıtları	Toplantı girdileri ve kararları.
Madde 10.2	Uygunsuzluk ve Düzeltici Faaliyet Kayıtları	Kök neden analizi ve faaliyet sonuçları.

Sistemin kurulum aşamasında hazırlanması zorunlu olan dokümanlar şunlardır:

YZYS Kapsam Dokümanı: Kuruluşun her yapay zekâ sistemi için hangi rolde olduğu açıkça yazılır. Aynı kuruluş bir sistemin geliştiricisi, bir başkasının kullanıcısı olabilir.
Yapay Zekâ Politikası: Adillik, şeffaflık, hesap verebilirlik, güvenlik ve gizlilik ilkelerini içerir.
Yapay Zekâ Sistemleri Envanteri: Kullanılan ve geliştirilen tüm sistemlerin amacı, sahibi ve risk seviyesiyle birlikte listesi.
Risk Değerlendirme Metodolojisi ve Risk Kaydı.
Etki Değerlendirme Metodolojisi: Hangi sistemler için, ne zaman ve hangi sorularla yapılacağı.
Uygulanabilirlik Bildirgesi: Denetçinin denetim planını dayandırdığı dokümandır.

ISO 42001 Ek-A Kontrollerine Dayalı Dokümanlar

Ek-A kontrollerinin birçoğu doğrudan dokümantasyon ister. Seçilen kontrollere göre aşağıdaki doküman ve kayıtlar hazırlanır.

Politika ve Organizasyon (A.2, A.3)

Yapay Zekâ Politikasının Diğer Politikalarla Uyumu: Bilgi güvenliği, gizlilik ve kalite politikalarıyla ilişkisi.
Rol ve Sorumluluk Tanımları: Sistem sahibi, model sorumlusu, insan gözetimi sorumlusu.
Endişe Bildirim Süreci: Çalışanların yapay zekâ sistemleriyle ilgili kaygılarını bildirebileceği kanal.

Kaynaklar ve Veri (A.4, A.7)

Kaynak Dokümantasyonu: Veri, araç, işlem altyapısı ve insan kaynaklarının kaydı.
Veri Yönetimi Prosedürü: Verinin edinilmesi, kalitesi, kökeni ve hazırlanması.
Veri Seti Kayıtları: Eğitim, doğrulama ve test verilerinin kaynağı, kapsamı ve bilinen sınırlamaları.

Yapay Zekâ Sistemi Yaşam Döngüsü (A.6)

Sorumlu Geliştirme Hedefleri ve Süreçleri: Tasarımdan kullanımdan kaldırmaya kadar aşamalar.
Gereksinim ve Tasarım Dokümanları: Sistemin amacı, mimarisi ve tasarım kararları.
Doğrulama ve Geçerli Kılma Kayıtları: Test yöntemleri, ölçütler ve sonuçlar.
Devreye Alma Planı ve İşletim İzleme Kayıtları: Performans kayması, hata ve olay kayıtları.
Teknik Dokümantasyon: İlgili taraflara sunulacak sistem bilgileri.
Olay Günlükleri: Sistemin hangi aşamalarda kayıt tutacağı.

İlgili Taraflar, Kullanım ve Üçüncü Taraflar (A.8, A.9, A.10)

Kullanıcı Bilgilendirme Dokümanları: Sistemin amacı, sınırlamaları ve insan gözetimi.
Olay Bildirim ve İletişim Planı: Olumsuz etkilerin ilgili taraflara nasıl bildirileceği.
Sorumlu Kullanım Kuralları: Sistemin amaçlanan kullanımı ve izin verilmeyen kullanımlar.
Tedarikçi ve Müşteri Sorumluluk Dağılımı: Sözleşmelerde yapay zekâya ilişkin yükümlülükler.

ISO 42001’i Diğer Standartlardan Ayıran Dokümanlar

Standart yüksek seviye yapıyı kullandığı için kapsam, politika, iç tetkik ve yönetimin gözden geçirmesi gibi dokümanlar tanıdıktır. Dört doküman ise bu standarda özgüdür:

Yapay Zekâ Sistemi Etki Değerlendirmesi: Risk değerlendirmesinden ayrıdır. Risk değerlendirmesi kuruluşa yönelik riskleri, etki değerlendirmesi ise sistemin insanlara ve topluma etkisini inceler.
Yapay Zekâ Sistemleri Envanteri: Hazır alınan ve çalışanların kendi başına kullandığı araçlar dahil tüm sistemleri kapsar.
Veri Kökeni ve Kalite Kayıtları: Modelin hangi veriyle eğitildiğinin izlenebilir olması.
Yaşam Döngüsü Kayıtları: Her sistem için tasarımdan kullanımdan kaldırmaya kadar kararların izi.

Ek-B bu kontrollerin nasıl uygulanacağına rehberlik eder, Ek-C olası hedefleri ve risk kaynaklarını sıralar, Ek-D ise standardın sektörler ve diğer yönetim sistemleriyle birlikte kullanımını anlatır. Risk yaklaşımının genel çerçevesi için ISO 31000 risk yönetimi sayfamıza bakabilirsiniz.

ISO 42001 Zorunlu Doküman Listesi

ISO 42001 belgelendirme denetimi sırasında kuruluşta bulunması gereken ve denetçinin mutlaka örneklediği kayıtlar aşağıdaki tabloda gösterilmiştir.

Kayıt / Doküman Türü	Açıklama	Denetim Odağı
Yapay Zekâ Sistemleri Envanteri	Tüm sistemlerin amacı, sahibi ve rolüyle listesi.	Kapsamın eksiksizliği
Etki Değerlendirme Raporları	Her sistem için bireyler ve toplum üzerindeki etkiler.	Madde 6.1.4 ve 8.4
Risk Kaydı ve Risk İşleme Planı	Risklerin puanı, sahibi ve seçilen kontroller.	Metodolojiyle tutarlılık
Veri Seti Kayıtları	Verinin kaynağı, kalitesi ve sınırlamaları.	Veri kökeni
Test ve Geçerli Kılma Sonuçları	Devreye alma öncesi yapılan değerlendirmeler.	Sistem güvenilirliği
İşletim İzleme ve Olay Kayıtları	Performans sapmaları ve müdahaleler.	İnsan gözetimi
İç Tetkik Raporu ve YGG Tutanağı	Sistemin öz denetimi ve üst yönetim değerlendirmesi.	Sürekli iyileştirme

Nobel Belgelendirme olarak yapay zekâ yönetim sistemi kurmak isteyen kuruluşlarla doküman hazırlığından iç tetkik ve dış tetkik süreçlerine, denetim planlamasından belge sürecine kadar her aşamada firmaların yanında yer alıyoruz. Bilgi güvenliği tarafındaki karşılıkları görmek için ISO 27001 doküman listesi yazımıza, mevcut sisteminizle birlikte kurulum için ISO entegre doküman kurulumları sayfamıza bakabilirsiniz.

ISO 42001 Dokümanları Hakkında Sıkça Sorulan Sorular

Kendi modelini geliştirmeyen, yalnızca hazır yapay zekâ araçları kullanan kuruluş ISO 42001 dokümanı hazırlar mı?

Evet. Standart geliştiricileri, sağlayıcıları ve kullanıcıları kapsar. Yalnızca kullanıcı olan kuruluşta yaşam döngüsü dokümanları azalır; envanter, politika, risk ve etki değerlendirmesi ile sorumlu kullanım kuralları yine gerekir.

Etki değerlendirmesi ile risk değerlendirmesi aynı dokümanda yapılabilir mi?

İkisi aynı dosyada tutulabilir ancak ayrı sorulara cevap vermelidir. Risk değerlendirmesi kuruluşun hedeflerine yönelik riskleri, etki değerlendirmesi ise sistemin bireylere, gruplara ve topluma olası sonuçlarını ele alır.

ISO 27001 belgesi olan kuruluş hangi dokümanları yeniden kullanabilir?

Doküman kontrolü, iç tetkik, yönetimin gözden geçirmesi, düzeltici faaliyet, yetkinlik ve tedarikçi yönetimi dokümanları ortak kullanılabilir. Risk metodolojisi yapay zekâya özgü risk kaynaklarını içerecek şekilde genişletilir.

Ek-A’daki 38 kontrolün tamamı uygulanmak zorunda mı?

Hayır. Kuruluş risk değerlendirmesinin sonucuna göre kontrolleri seçer. Hariç tutulan her kontrolün gerekçesi Uygulanabilirlik Bildirgesi’nde yazılmalıdır.

ISO 42001 dokümanları AB Yapay Zekâ Yasası’na uyum için yeterli mi?

Hayır. ISO 42001 gönüllü bir yönetim sistemi standardıdır ve yasal uyumu tek başına sağlamaz. Bununla birlikte envanter, risk yönetimi, veri yönetimi ve teknik dokümantasyon gibi gereklilikler için sağlam bir altyapı oluşturur.