ISO 42001 Standard Maddeleri Uygulama Rehberi

ISO 42001 standard maddeleri, yapay zekâ yönetim sisteminin kurulması için Madde 4 ile Madde 10 arasında yedi ana başlıkta şart koyar ve Ek-A’da yapay zekâya özgü 38 kontrolü listeler. Madde 1, 2 ve 3 kapsam, atıflar ve terimlerdir; denetlenebilir şart içermez. Bu rehberde her maddenin ne istediğini, pratikte hangi çalışmayla karşılandığını ve denetçinin neye baktığını sırasıyla anlatıyoruz. Hazırlanacak dokümanların tablosu için ISO 42001 doküman listesi yazımıza bakabilirsiniz.

ISO 42001 Maddelerine Genel Bakış

Madde 4: Kuruluşun Bağlamı

4.1 Kuruluşun ve bağlamının anlaşılması: Yapay zekâ yönetim sisteminin sonuçlarını etkileyen iç ve dış hususlar belirlenir. Standart burada kuruluşun yapay zekâ sistemlerine ilişkin rolünü belirlemesini açıkça ister: geliştirici, sağlayıcı, kullanıcı ya da bunların birkaçı. Uygulamada mevzuat, müşteri beklentileri, kullanılan teknolojiler ve kuruluşun risk iştahı bir bağlam analizinde toplanır.

4.2 İlgili taraflar: Müşteriler, sistemin kararlarından etkilenen kişiler, düzenleyici kurumlar, çalışanlar, veri ve model sağlayıcılar ile bunların beklentileri listelenir.

4.3 Kapsam: Sistemin sınırları yazılı olarak tanımlanır. Kapsam belgenin üzerinde yazar.

4.4 Yapay zekâ yönetim sistemi: Proseslerin ve etkileşimlerinin kurulması istenir.

Uygulama notu: İlk iş envanterdir. Hangi birimde hangi yapay zekâ aracının kullanıldığı bilinmeden kapsam çizilemez. Çalışanların kendi başına kullandığı üretken yapay zekâ araçları da envantere girer.

Madde 5: Liderlik

5.1 Liderlik ve taahhüt: Üst yönetim, yapay zekâ politikasının ve hedeflerinin kuruluşun stratejisiyle uyumlu olmasını, kaynakların sağlanmasını ve sistemin iş süreçlerine entegre edilmesini güvence altına alır.

5.2 Yapay zekâ politikası: Politika; kuruluşun amacına uygun olmalı, hedefler için çerçeve sunmalı, geçerli şartları karşılama ve sürekli iyileştirme taahhüdü içermelidir. Dokümante edilir, kuruluş içinde duyurulur ve ilgili taraflara erişilebilir kılınır.

5.3 Roller, sorumluluklar ve yetkiler: Sistemin standarda uygunluğunu sağlama ve performansı üst yönetime raporlama sorumlulukları atanır.

Uygulama notu: Denetçi üst yönetimle görüşür. Politikanın yalnızca imzalanmış olması yetmez; yönetimin hangi yapay zekâ sistemlerinin kullanıldığını ve başlıca riskleri bilmesi beklenir. Birçok kuruluş bu amaçla hukuk, bilgi teknolojileri, veri ve iş birimlerinden oluşan bir yapay zekâ yönetişim kurulu oluşturur.

Madde 6: Planlama

Standardın teknik çekirdeği bu maddedir.

6.1.1 Genel: Sistemin amaçlanan sonuçlara ulaşmasını engelleyebilecek riskler ve fırsatlar belirlenir. Yapay zekâ risk kriterleri oluşturulur.

6.1.2 Yapay zekâ risk değerlendirmesi: Tutarlı ve karşılaştırılabilir sonuç veren bir süreç tanımlanır. Riskler belirlenir, olasılık ve sonuç açısından analiz edilir, kriterlere göre değerlendirilir.

6.1.3 Yapay zekâ risk işleme: Her risk için işleme seçeneği belirlenir, gerekli kontroller seçilir ve Ek-A ile karşılaştırılarak eksik kalmadığı doğrulanır. Sonuç, seçilen ve hariç tutulan kontrolleri gerekçeleriyle gösteren Uygulanabilirlik Bildirgesi’dir.

6.1.4 Yapay zekâ sistemi etki değerlendirmesi: Sistemin geliştirilmesi, sunulması ya da kullanılmasının bireyler, gruplar ve toplum üzerindeki olası sonuçları değerlendirilir. Sistemin amaçlanan kullanımı, öngörülebilir yanlış kullanımı ve teknik ile toplumsal bağlamı dikkate alınır.

6.2 Hedefler: Ölçülebilir yapay zekâ hedefleri ve bunlara ulaşma planları belirlenir.

6.3 Değişikliklerin planlanması: Sistemdeki değişiklikler planlı yapılır.

Uygulama notu: Risk değerlendirmesi ile etki değerlendirmesi en sık karıştırılan iki çalışmadır. Birincisi “bu sistem kuruluşa ne zarar verebilir” sorusunu, ikincisi “bu sistem insanlara ne zarar verebilir” sorusunu sorar. Ek-C, olası hedefleri ve risk kaynaklarını listeleyerek risk belirlemede kontrol listesi işlevi görür.

Madde 7: Destek

7.1 Kaynaklar: Sistem için gerekli kaynaklar belirlenir ve sağlanır.

7.2 Yetkinlik: Yapay zekâ performansını etkileyen işleri yapan kişilerin yetkinliği belirlenir, sağlanır ve kanıtı saklanır.

7.3 Farkındalık: Çalışanlar politikayı, sistemin etkinliğine katkılarını ve uymamanın sonuçlarını bilir.

7.4 İletişim: Neyin, ne zaman, kiminle ve nasıl iletileceği belirlenir.

7.5 Dokümante edilmiş bilgi: Dokümanların oluşturulması, güncellenmesi ve kontrolü.

Uygulama notu: Farkındalık eğitimi yalnızca teknik ekibe verilmez. Üretken yapay zekâ araçlarını kullanan her çalışanın hangi verinin bu araçlara girilemeyeceğini bilmesi gerekir; denetçi bunu rastgele seçtiği çalışanlara sorar.

Madde 8: Operasyon

8.1 Operasyonel planlama ve kontrol: Madde 6’da belirlenen faaliyetler uygulanır, prosesler için kriterler konur, dışarıdan sağlanan prosesler kontrol altında tutulur.

8.2 Yapay zekâ risk değerlendirmesi: Değerlendirme planlı aralıklarla ve önemli değişikliklerde yenilenir.

8.3 Yapay zekâ risk işleme: Risk işleme planı uygulanır ve etkinliği doğrulanır.

8.4 Yapay zekâ sistemi etki değerlendirmesi: Etki değerlendirmeleri planlı aralıklarla ve önemli değişikliklerde yapılır, sonuçları saklanır.

Uygulama notu: Modelin yeniden eğitilmesi, yeni bir veri kaynağının eklenmesi ya da sistemin yeni bir kullanıcı grubuna açılması “önemli değişiklik” sayılır ve değerlendirmelerin güncellenmesini tetikler. Bu tetikleyicilerin değişiklik yönetimi sürecine bağlanması gerekir.

Madde 9: Performans Değerlendirme

9.1 İzleme, ölçme, analiz ve değerlendirme: Neyin, hangi yöntemle, ne zaman ölçüleceği belirlenir. Uygulamada model doğruluğu, performans kayması, olay sayısı, şikâyetler ve eğitim tamamlama oranları izlenir.

9.2 İç tetkik: Planlı aralıklarla, tarafsız tetkikçilerle yapılır. Madde 4 ile 10 ve seçilen Ek-A kontrolleri kapsanır.

9.3 Yönetimin gözden geçirmesi: Üst yönetim sistemin uygunluğunu, yeterliliğini ve etkinliğini planlı aralıklarla değerlendirir.

Uygulama notu: İç tetkikçinin hem yönetim sistemi denetim tekniğini hem de yapay zekâ kavramlarını bilmesi gerekir. Denetim tekniği için ISO 19011 iç tetkik eğitimi temel oluşturur.

Madde 10: İyileştirme

10.1 Sürekli iyileştirme: Sistemin uygunluğu, yeterliliği ve etkinliği sürekli iyileştirilir.

10.2 Uygunsuzluk ve düzeltici faaliyet: Uygunsuzluk oluştuğunda düzeltme yapılır, kök neden bulunur, tekrarı önleyecek faaliyet uygulanır ve etkinliği gözden geçirilir. Uygunsuzluk türlerini majör ve minör uygunsuzluk nedir yazımızda açıkladık.

Ek-A Kontrol Amaçları Nasıl Uygulanır?

• A.2 Yapay zekâ ile ilgili politikalar: Politika yazılır, diğer politikalarla uyumu sağlanır, planlı aralıklarla gözden geçirilir.
• A.3 İç organizasyon: Roller atanır ve çalışanların endişelerini bildirebileceği bir süreç kurulur.
• A.4 Yapay zekâ sistemleri için kaynaklar: Veri, araç, işlem altyapısı ve insan kaynakları dokümante edilir.
• A.5 Yapay zekâ sistemlerinin etkilerinin değerlendirilmesi: Etki değerlendirme süreci kurulur, bireyler ve toplum üzerindeki etkiler ayrı ayrı kaydedilir.
• A.6 Yapay zekâ sistemi yaşam döngüsü: Sorumlu geliştirme hedefleri, gereksinimler, tasarım, doğrulama ve geçerli kılma, devreye alma, işletim ve izleme, teknik dokümantasyon ve olay günlükleri.
• A.7 Yapay zekâ sistemleri için veri: Verinin edinilmesi, kalitesi, kökeni ve hazırlanması.
• A.8 İlgili taraflar için bilgi: Kullanıcı dokümantasyonu, dış raporlama, olayların iletişimi.
• A.9 Yapay zekâ sistemlerinin kullanımı: Sorumlu kullanım süreçleri, hedefleri ve amaçlanan kullanıma uygunluk.
• A.10 Üçüncü taraf ve müşteri ilişkileri: Sorumlulukların dağıtımı, tedarikçiler ve müşteriler.

Ek-B her kontrol için uygulama rehberliği verir. Kontrollerin tamamı zorunlu değildir; risk değerlendirmesinin sonucuna göre seçilir ve hariç tutulanlar gerekçelendirilir.

Uygulamaya Nereden Başlanmalı?

Maddelerin numara sırası uygulama sırası değildir. Pratikte en verimli sıra şudur: envanter ve rol tespiti, kapsam, politika ve roller, risk ve etki değerlendirmesi, kontrol seçimi, uygulama, ölçme, iç tetkik ve yönetimin gözden geçirmesi. Nobel Belgelendirme olarak bu sırayı izleyerek doküman hazırlığından iç tetkik ve dış tetkik süreçlerine, denetim planlamasından belge sürecine kadar her aşamada firmaların yanında yer alıyoruz. Belgelendirme sürecinin adımları için ISO 42001 belgesi nedir, nasıl alınır yazımıza, mevcut sistemlerle birlikte kurulum için ISO entegre doküman kurulumları sayfamıza bakabilirsiniz.

ISO 42001 Standard Maddeleri Hakkında Sık Sorulan Sorular

ISO 42001 kaç maddeden oluşur?

Standart on maddeden oluşur. Madde 1, 2 ve 3 kapsam, atıflar ve terimlerdir. Denetlenebilir şartlar Madde 4 ile 10 arasında yer alır. Ayrıca dört ek bulunur; Ek-A kontrolleri, Ek-B uygulama rehberliğini içerir.

ISO 42001’in en zor maddesi hangisidir?

Kuruluşların en çok zorlandığı madde 6.1.4, yani yapay zekâ sistemi etki değerlendirmesidir. Diğer yönetim sistemi standartlarında karşılığı yoktur ve hukuk, etik ile teknik bakışın birlikte çalışmasını gerektirir.

Ek-A kontrollerinin tamamı uygulanmak zorunda mı?

Hayır. Kontroller risk değerlendirmesinin sonucuna göre seçilir. Hariç tutulan her kontrolün gerekçesi Uygulanabilirlik Bildirgesi’nde yazılır.

ISO 42001 maddeleri ISO 27001 ile ne kadar örtüşür?

Madde 4 ile 10 arasındaki yapı aynıdır. Fark, risklerin konusunda ve Ek-A’da ortaya çıkar. ISO 42001’e özgü olan başlıklar etki değerlendirmesi, veri kökeni ve yapay zekâ sistemi yaşam döngüsüdür.

Madde 8 ile Madde 6 arasındaki fark nedir?

Madde 6 risk ve etki değerlendirmesinin nasıl yapılacağını planlar. Madde 8 ise bu değerlendirmelerin fiilen yapılmasını, planlı aralıklarla yenilenmesini ve sonuçlarının saklanmasını ister.