İlk yapay zekâ denetiminizde elinizde olsun.
Puan yok. Bir yapay zekâ sistemini denetlerken ne soracağınız, hangi kanıtın hangi sonuca yettiği ve hangi işaretlerin sizi yanıltacağı — tek sayfada. Denetim ekibimizin sahada kullandığı listenin kendisi; iç denetçi, uyum ve risk ekipleri için yazıldı.
Son gözden geçirme 15 Eylül 2026. Uygulayıcı özetidir, hukuki görüş değildir.
Kartı saklamak için PDF'ini alınHangi kanıt hangi basamağa çıkar
Bir denetim bulgusunun gücü, kaç soru sorulduğuna değil kanıtın hangi basamakta durduğuna bağlıdır. Üç basamak vardır ve yalnızca en üsttekisi olumlu bir sonucu taşıyabilir.
| Seviye | Ne demek | Tipik kanıt |
|---|---|---|
| Beyan | Denetlenen tarafın sözü. Hiçbir kriter yalnızca beyanla "karşılandı" olamaz — kaç kişiye sorulduğu bunu değiştirmez. | Yönetici e-postası, toplantı notu, "biz bunu yapıyoruz" cümlesi, anket cevabı. |
| Belgelenmiş | Kod ve sürümüyle tanımlı bir belgeye atıf. Belgenin var olduğu görüldü; işlediği görülmedi. | Politika, prosedür, model kartı, tedarikçi sözleşmesi, risk kaydı, eğitim planı. |
| Doğrulanmış | Denetçi kaynağa karşı kendisi baktı ya da yeniden icra etti. Olumlu sonucu taşıyabilen tek seviye; kimin, hangi popülasyondan kaç kalemi incelediği dosyaya yazılır. | Log örneklemi, yeniden hesaplama, sistemde gözlem, konfigürasyonun doğrudan okunması. |
İlk denetimde sorulacak on soru
Sırayla sorulur; her birinin cevabı bir sonrakinin kapsamını belirler. Cevap "var" ise ikinci soru hep aynıdır: göster.
- 01
Kuruluşta kaç yapay zekâ sistemi var?
Liste kimde, en son ne zaman güncellendi, kaynağı ne? Popülasyon yoksa kapsam bir beyandır; denetim buradan başlayamaz.
- 02
Her sistemin sahibi kim?
Bir birim değil, adı yazan bir kişi. Sahibi olmayan sistemin riski de kabul edilmemiş demektir.
- 03
Sistem hangi risk sınıfında, kim karar verdi?
Gerekçesi yazılı mı; Ek III'e karşı mı bakıldı? Sınıf, mimariden değil amaçlanan kullanımdan çıkar.
- 04
Veri nereden geliyor?
Eğitim ve girdi verisinin kaynağı, temsil ediciliği nasıl test edildi, kim onayladı?
- 05
Model ya da istem en son ne zaman değişti?
Değişiklik kaydı var mı; elinizdeki rapor o değişiklikten önce mi, sonra mı?
- 06
İnsan gözetimi sayıyla mı, cümleyle mi?
Kaç karara müdahale edildi, kaç tanesi durduruldu? "Mekanizma var" bir sayı değildir.
- 07
Üçüncü taraf model kullanılıyorsa sözleşme ne diyor?
Ticari kullanım, alt lisans, veri saklama; sağlayıcı modeli değiştirirse ne olur?
- 08
Sentetik içerik makine tarafından okunabilir işaretli mi?
AB Yapay Zekâ Yasası Md. 50(2): görünür bir dipnot yükümlülüğü karşılamaz; işaret gömülü ve dayanıklı olmalı.
- 09
Son 12 ayda kaç olay oldu?
Yanlış çıktı, şikâyet, geri alma — kim, kime, ne zaman bildirdi? Sıfır olay çoğu zaman sıfır kayıt demektir.
- 10
Aranıp bulunamayan neydi?
Raporda yazıyorsa kapsam görünür; yazmıyorsa arama hiç yapılmamıştan farksızdır. Bir denetim komitesi ancak o zaman neyin kapsanmadığını sorabilir.
AB Yapay Zekâ Yasası'nda yükümlülüğün kime düştüğü
Aynı kuruluş iki rolde olabilir: kendi geliştirdiği sistemin sağlayıcısı, satın aldığı modelin uygulayıcısı. Denetim, sistemi değil rolü sorar.
| Yükümlülük | Sağlayıcı | Uygulayıcı |
|---|---|---|
| Md. 4 — Yapay zekâ okuryazarlığı (personel) | Evet | Evet |
| Md. 5 — Yasak uygulamalar | Evet | Evet |
| Md. 9–12 — Risk yönetimi, veri yönetişimi, teknik dosya, kayıt (yüksek risk) | Evet | Log saklama (Md. 26(6)) |
| Md. 13–14 — Şeffaflık ve insan gözetimi (yüksek risk) | Tasarımda | İşletmede (Md. 26) |
| Md. 26 — Talimata uygun kullanım, yetkin gözetim, girdi verisi, izleme, çalışan bilgilendirme | — | Evet |
| Md. 27 — Temel haklar etki değerlendirmesi (FRIA) | — | Kamu kurumları; kredi ve sigorta fiyatlaması |
| Md. 50 — Şeffaflık: (1) etkileşim bildirimi, (2) sentetik içerik işareti, (3) duygu tanıma / biyometrik kategorilendirme bildirimi, (4) derin sahte açıklaması | 50(1) ve 50(2) | 50(3) ve 50(4) |
| Md. 72–73 — Pazar sonrası izleme, ciddi olay bildirimi | Evet | Bildirim (Md. 26(5)) |
Md. 25: uygulayıcı sisteme kendi adını koyarsa, esaslı biçimde değiştirirse ya da amacını yüksek riskli hâle getirecek şekilde değiştirirse sağlayıcı olur.
Ne, ne zamandan beri
Tüzük 1 Ağustos 2024'te yürürlüğe girdi ve kademeli uygulanıyor. Bir denetim raporu, hangi tarihte hangi yükümlülüğün yaşadığını bilmeden bir şey "karşılanmadı" diyemez.
Md. 4 yapay zekâ okuryazarlığı ve Md. 5 yasak uygulamalar.
Genel amaçlı yapay zekâ modeli yükümlülükleri (Bölüm V) — model sağlayıcılarına.
Genel uygulama tarihi: Md. 50 şeffaflık yükümlülükleri. Ek III yüksek risk yükümlülükleri bu tarihte BAŞLAMADI.
2 Ağustos 2026 öncesi pazara sürülmüş üretken sistemler için 50(2) işaretleme geçiş süresi biter (Md. 111(4)).
2 Ağustos 2025 öncesi pazara sürülmüş genel amaçlı modeller (Md. 111(3)); ulusal sandbox'lar çalışır durumda (Md. 57(1)).
Ek III — bağımsız yüksek riskli sistemlerin Bölüm III yükümlülükleri (Md. 113(3)(c)(i)).
Ek I — ürün mevzuatına gömülü yüksek riskli sistemlerin yükümlülükleri (Md. 113(3)(c)(ii)).
Tarihler, (AB) 2026/1744 sayılı Tüzükle (Dijital Omnibus, yürürlük 27 Temmuz 2026) değişik metne göredir; Ek III ve Ek I tarihleri bu Tüzükle ertelendi. Bir denetim raporunda tarihe dayanmadan önce hangi metnin uygulandığını yazın.
Sizi yanıltacak beş işaret
Beşi de bir denetim dosyasında "iyi" görünür. Beşi de aynı soruyla açılır: neye bakarak?
"Olgunluk skoru" var, örneklem yok.
Kaç kayıtta neye bakıldığını söylemeyen bir sayı ölçüm değil, görüştür.
Kapsam dışı bırakılanlar yazılmamış.
Kapsam, yazılmayan kısmı kadar bilinir. Neyin kapsanmadığını söylemeyen rapor, her şeyi kapsamış gibi okunur.
Kanıtın tarihi sorudan sonra.
Denetim başladıktan sonra üretilen belge, o gün için üretilmiştir. Kontrolün o güne kadar işlediğini göstermez.
Tek beyanla "karşılandı".
Kaç kişiye soruldu, kaç anket dolduruldu — beyan beyandır. Doğrulanmış olmayan olumlu sonuç, olumlu değildir.
Model değişmiş, rapor değişmemiş.
Rapor, değerlendirdiği sürümün adını taşımalı. Sürümsüz rapor hangi sistemi denetlediğini bilmiyordur.
Kartı saklamak için PDF'ini alın
İki sayfa, A5, baskıya uygun. E-posta adresinizi bırakın; PDF hemen açılır ve talebiniz bize ulaşır. Adresinizi yalnızca Atheros AI'dan denetim içerikli seyrek yazılar göndermek için kullanırız.
Kart hakkında
Yapay zekâ denetimi cep kartı nedir?
İç denetçiler ve uyum ekipleri için tek sayfalık bir çalışma referansıdır: denetim kanıtının üç seviyesi (beyan, belgelenmiş, doğrulanmış), bir yapay zekâ sisteminin ilk denetiminde sorulacak on soru, AB Yapay Zekâ Yasası yükümlülüklerinin sağlayıcı ve uygulayıcı arasında dağılımı, uygulama takvimi ve denetçiyi yanıltan beş işaret. Puan ya da olgunluk skoru üretmez.
Denetim kanıtının üç seviyesi nedir?
Beyan, denetlenen tarafın sözüdür ve tek başına hiçbir kriteri karşılamaz. Belgelenmiş, kod ve sürümüyle tanımlı bir belgeye atıftır; belgenin var olduğunu gösterir, işlediğini göstermez. Doğrulanmış, denetçinin kaynağa karşı kendisinin baktığı ya da yeniden icra ettiği kanıttır ve olumlu bir denetim sonucunu taşıyabilen tek seviyedir.
Bu kart hangi standartlarla uyumlu?
IIA Küresel İç Denetim Standartları'nın kanıt yeterliliği ve uygunluğu ilkesi, ISO/IEC 42001 yapay zekâ yönetim sistemi gereklilikleri, ISAE 3000 güvence denetimi yaklaşımı ve (AB) 2024/1689 sayılı AB Yapay Zekâ Yasası'nın madde numaraları ve tarihleri esas alınmıştır. Hukuki görüş değildir.
PDF'i almak için neden e-posta istiyorsunuz?
Kartın içeriğinin tamamı bu sayfada açıkça okunur; e-posta yalnızca baskıya uygun PDF kopyası içindir. Adres, kartı ve Atheros AI'dan seyrek denetim içerikli yazıları göndermek için kullanılır; onay istendiği anda geri alınır ve veri silinir.
Bu kart değerlendirme aracı değildir, puan üretmez. Atheros AI sertifika yayımlamaz, CE işareti vermez, uygunluk beyanı imzalamaz. Atheros AI ana sayfa