İlk yapay zekâ denetiminizde elinizde olsun.
Puan yok. Bir yapay zekâ sistemini denetlerken ne soracağınız, hangi kanıtın hangi sonuca yettiği ve hangi işaretlerin sizi yanıltacağı — tek sayfada. Denetim ekibimizin sahada kullandığı listenin kendisi; iç denetçi, uyum ve risk ekipleri için yazıldı.
Son gözden geçirme 16 Eylül 2026. Uygulayıcı özetidir, hukuki görüş değildir.
Kartı saklamak için PDF'ini alınHangi kanıt hangi basamağa çıkar
Bir denetim bulgusunun gücü, kaç soru sorulduğuna değil kanıtın hangi basamakta durduğuna bağlıdır. Üç basamak vardır ve yalnızca en üsttekisi olumlu bir sonucu taşıyabilir.
| Seviye | Ne demek | Tipik kanıt |
|---|---|---|
| Beyan | Denetlenen tarafın sözü. Hiçbir kriter yalnızca beyanla "karşılandı" olamaz — kaç kişiye sorulduğu bunu değiştirmez. | Yönetici e-postası, toplantı notu, "biz bunu yapıyoruz" cümlesi, anket cevabı. |
| Belgelenmiş | Kod ve sürümüyle tanımlı bir belgeye atıf. Belgenin var olduğu görüldü; işlediği görülmedi. | Politika, prosedür, model kartı, tedarikçi sözleşmesi, risk kaydı, eğitim planı. |
| Doğrulanmış | Denetçi kaynağa karşı kendisi baktı ya da yeniden icra etti. Olumlu sonucu taşıyabilen tek seviye; kimin, hangi popülasyondan kaç kalemi incelediği dosyaya yazılır. | Log örneklemi, yeniden hesaplama, sistemde gözlem, konfigürasyonun doğrudan okunması. |
İlk denetimde sorulacak on soru
Sırayla sorulur; her birinin cevabı bir sonrakinin kapsamını belirler. Cevap "var" ise ikinci soru hep aynıdır: göster.
- 01
Kuruluşta kaç yapay zekâ sistemi var?
Liste kimde, en son ne zaman güncellendi, kaynağı ne? Popülasyon yoksa kapsam bir beyandır; denetim buradan başlayamaz.
- 02
Her sistemin sahibi kim?
Bir birim değil, adı yazan bir kişi. Sahibi olmayan sistemin riski de kabul edilmemiş demektir.
- 03
Sistem hangi risk sınıfında, kim karar verdi?
Gerekçesi yazılı mı; Ek III'e karşı mı bakıldı? Sınıf, mimariden değil amaçlanan kullanımdan çıkar.
- 04
Veri nereden geliyor?
Eğitim ve girdi verisinin kaynağı, temsil ediciliği nasıl test edildi, kim onayladı?
- 05
Model ya da istem en son ne zaman değişti?
Değişiklik kaydı var mı; elinizdeki rapor o değişiklikten önce mi, sonra mı?
- 06
İnsan gözetimi sayıyla mı, cümleyle mi?
Kaç karara müdahale edildi, kaç tanesi durduruldu? "Mekanizma var" bir sayı değildir.
- 07
Üçüncü taraf model kullanılıyorsa sözleşme ne diyor?
Ticari kullanım, alt lisans, veri saklama; sağlayıcı modeli değiştirirse ne olur?
- 08
Sentetik içerik makine tarafından okunabilir işaretli mi?
AB Yapay Zekâ Yasası Md. 50(2): görünür bir dipnot yükümlülüğü karşılamaz; işaret gömülü ve dayanıklı olmalı.
- 09
Son 12 ayda kaç olay oldu?
Yanlış çıktı, şikâyet, geri alma — kim, kime, ne zaman bildirdi? Sıfır olay çoğu zaman sıfır kayıt demektir.
- 10
Aranıp bulunamayan neydi?
Raporda yazıyorsa kapsam görünür; yazmıyorsa arama hiç yapılmamıştan farksızdır. Bir denetim komitesi ancak o zaman neyin kapsanmadığını sorabilir.
İç denetçi bir yapay zekâ sisteminde hangi risklere bakar
On risk, COSO İç Kontrol Bütünleşik Çerçevesi'nin (2013) beş bileşenine ve on yedi ilkesine eşlenmiş; her biri hangi kurumsal amacı tehdit ettiğini ve "karşılandı" demek için neyin görülmesi gerektiğini söyler. Çalışma programına olduğu gibi taşınır.
| Risk · kontrolün aranacağı yer | COSO | Tehdit ettiği amaç | Ne görülmeli |
|---|---|---|---|
| 01Sahipsiz sistem, yetkisiz ekipRol tanımları, yetkinlik kayıtları | KO · 3, 4, 5 | Hepsi | Adı yazan bir sahip; sistemi işleten ve gözeten ekibin yetkinlik kaydı. |
| 02Envanter dışı kullanımSistem envanteri, satın alma ve SaaS onayı | RD · 7 | Uyum | Envanterin fatura ve SSO günlüğüyle karşılaştırması; listede olmayan sistem. |
| 03Yanlış risk sınıfıSınıflandırma kaydı, Ek III kontrolü | RD · 6, 7 | Uyum | Gerekçeli, tarihli, karar vereni belli sınıflandırma kaydı. |
| 04Kötüye kullanım ve manipülasyonKırmızı takım, istem güvenliği, ölçüt tasarımı | RD · 8 | Faaliyet | İstem enjeksiyonu ve amaç dışı kullanım testi; sonuçlar ve kapatılan bulgular. |
| 05Kontrolsüz değişiklik — model, istem, eşikDeğişiklik yönetimi, sürümleme | RD · 9 · KF · 11 | Faaliyet, raporlama | Sürüm günlüğü ile üretimdeki sürümün eşleşmesi; etki değerlendirmesi ve onay. |
| 06Veri kalitesi ve yanlılıkVeri yönetişimi, temsil edicilik testi | KF · 10 · Bİ · 13 | Raporlama, uyum | Temsil edicilik ve yanlılık test raporu; girdi verisine karşı yeniden icra. |
| 07İşlemeyen insan gözetimiMüdahale ve durdurma mekanizması | KF · 10, 12 | Faaliyet, uyum | Müdahale sayısı ve örneklem; kararın kimde kaldığının kaydı. |
| 08Üçüncü taraf bağımlılığıSözleşme, tedarikçi değerlendirmesi | KF · 11 · Bİ · 15 | Faaliyet | Sözleşme maddesi (kullanım, veri saklama, alt lisans); sağlayıcının değişiklik bildirimi. |
| 09Şeffaflık ihlali — Md. 50Kullanıcı bildirimi, içerik işareti | Bİ · 15 | Uyum | Canlı arayüzde bildirim; sentetik içerik işaretinin makine tarafından okunabilirlik testi. |
| 10Olay ve kayıt eksikliğiOlay yönetimi, günlükler (Md. 12) | İZ · 16, 17 · Bİ · 14 | Hepsi | Olay kaydı örneklemi; "sıfır olay" ise sıfır kaydın nasıl doğrulandığı. |
KO Kontrol Ortamı · RD Risk Değerlendirmesi · KF Kontrol Faaliyetleri · Bİ Bilgi ve İletişim · İZ İzleme. Rakamlar COSO ilke numaralarıdır.
Sıra COSO'nun kendi mantığıdır: amaç, o amacı tehdit eden risk, riski azaltan kontrol, kontrolün işlediğini gösteren kanıt. Kontrol Ortamı satırı ilk sırada, çünkü sahibi olmayan bir sistemde diğer dokuz kontrolün hiçbiri kimseye ait değildir.
AB Yapay Zekâ Yasası'nda yükümlülüğün kime düştüğü
Aynı kuruluş iki rolde olabilir: kendi geliştirdiği sistemin sağlayıcısı, satın aldığı modelin uygulayıcısı. Denetim, sistemi değil rolü sorar.
| Yükümlülük | Sağlayıcı | Uygulayıcı |
|---|---|---|
| Md. 4 — Yapay zekâ okuryazarlığı (personel) | Evet | Evet |
| Md. 5 — Yasak uygulamalar | Evet | Evet |
| Md. 9–12 — Risk yönetimi, veri yönetişimi, teknik dosya, kayıt (yüksek risk) | Evet | Log saklama (Md. 26(6)) |
| Md. 13–14 — Şeffaflık ve insan gözetimi (yüksek risk) | Tasarımda | İşletmede (Md. 26) |
| Md. 26 — Talimata uygun kullanım, yetkin gözetim, girdi verisi, izleme, çalışan bilgilendirme | — | Evet |
| Md. 27 — Temel haklar etki değerlendirmesi (FRIA) | — | Kamu kurumları; kredi ve sigorta fiyatlaması |
| Md. 50 — Şeffaflık: (1) etkileşim bildirimi, (2) sentetik içerik işareti, (3) duygu tanıma / biyometrik kategorilendirme bildirimi, (4) derin sahte açıklaması | 50(1) ve 50(2) | 50(3) ve 50(4) |
| Md. 72–73 — Pazar sonrası izleme, ciddi olay bildirimi | Evet | Bildirim (Md. 26(5)) |
Md. 25: uygulayıcı sisteme kendi adını koyarsa, esaslı biçimde değiştirirse ya da amacını yüksek riskli hâle getirecek şekilde değiştirirse sağlayıcı olur.
Ne, ne zamandan beri
Tüzük 1 Ağustos 2024'te yürürlüğe girdi ve kademeli uygulanıyor. Bir denetim raporu, hangi tarihte hangi yükümlülüğün yaşadığını bilmeden bir şey "karşılanmadı" diyemez.
Md. 4 yapay zekâ okuryazarlığı ve Md. 5 yasak uygulamalar.
Genel amaçlı yapay zekâ modeli yükümlülükleri (Bölüm V) — model sağlayıcılarına.
Genel uygulama tarihi: Md. 50 şeffaflık yükümlülükleri. Ek III yüksek risk yükümlülükleri bu tarihte BAŞLAMADI.
2 Ağustos 2026 öncesi pazara sürülmüş üretken sistemler için 50(2) işaretleme geçiş süresi biter (Md. 111(4)).
2 Ağustos 2025 öncesi pazara sürülmüş genel amaçlı modeller (Md. 111(3)); ulusal sandbox'lar çalışır durumda (Md. 57(1)).
Ek III — bağımsız yüksek riskli sistemlerin Bölüm III yükümlülükleri (Md. 113(3)(c)(i)).
Ek I — ürün mevzuatına gömülü yüksek riskli sistemlerin yükümlülükleri (Md. 113(3)(c)(ii)).
Tarihler, (AB) 2026/1744 sayılı Tüzükle (Dijital Omnibus, yürürlük 27 Temmuz 2026) değişik metne göredir; Ek III ve Ek I tarihleri bu Tüzükle ertelendi. Bir denetim raporunda tarihe dayanmadan önce hangi metnin uygulandığını yazın.
Sizi yanıltacak beş işaret
Beşi de bir denetim dosyasında "iyi" görünür. Beşi de aynı soruyla açılır: neye bakarak?
"Olgunluk skoru" var, örneklem yok.
Kaç kayıtta neye bakıldığını söylemeyen bir sayı ölçüm değil, görüştür.
Kapsam dışı bırakılanlar yazılmamış.
Kapsam, yazılmayan kısmı kadar bilinir. Neyin kapsanmadığını söylemeyen rapor, her şeyi kapsamış gibi okunur.
Kanıtın tarihi sorudan sonra.
Denetim başladıktan sonra üretilen belge, o gün için üretilmiştir. Kontrolün o güne kadar işlediğini göstermez.
Tek beyanla "karşılandı".
Kaç kişiye soruldu, kaç anket dolduruldu — beyan beyandır. Doğrulanmış olmayan olumlu sonuç, olumlu değildir.
Model değişmiş, rapor değişmemiş.
Rapor, değerlendirdiği sürümün adını taşımalı. Sürümsüz rapor hangi sistemi denetlediğini bilmiyordur.
Kartı saklamak için PDF'ini alın
Üç sayfa, A5, baskıya uygun. E-posta adresinizi bırakın; PDF hemen açılır ve talebiniz bize ulaşır. Adresinizi yalnızca Atheros AI'dan denetim içerikli seyrek yazılar göndermek için kullanırız.
Kart hakkında
Yapay zekâ denetimi cep kartı nedir?
İç denetçiler ve uyum ekipleri için tek sayfalık bir çalışma referansıdır: denetim kanıtının üç seviyesi (beyan, belgelenmiş, doğrulanmış), bir yapay zekâ sisteminin ilk denetiminde sorulacak on soru, COSO İç Kontrol bileşenlerine eşlenmiş on yapay zekâ riski, AB Yapay Zekâ Yasası yükümlülüklerinin sağlayıcı ve uygulayıcı arasında dağılımı, uygulama takvimi ve denetçiyi yanıltan beş işaret. Puan ya da olgunluk skoru üretmez.
Denetim kanıtının üç seviyesi nedir?
Beyan, denetlenen tarafın sözüdür ve tek başına hiçbir kriteri karşılamaz. Belgelenmiş, kod ve sürümüyle tanımlı bir belgeye atıftır; belgenin var olduğunu gösterir, işlediğini göstermez. Doğrulanmış, denetçinin kaynağa karşı kendisinin baktığı ya da yeniden icra ettiği kanıttır ve olumlu bir denetim sonucunu taşıyabilen tek seviyedir.
İç denetçi bir yapay zekâ sisteminde hangi risklere bakmalı?
Kart on risk sayar ve her birini COSO İç Kontrol Bütünleşik Çerçevesi'nin bir bileşenine ve ilkesine bağlar: sahipsiz sistem ve yetkisiz ekip (Kontrol Ortamı), envanter dışı kullanım, yanlış risk sınıfı, kötüye kullanım ve manipülasyon, kontrolsüz değişiklik (Risk Değerlendirmesi), veri kalitesi ve yanlılık, işlemeyen insan gözetimi, üçüncü taraf bağımlılığı (Kontrol Faaliyetleri), Md. 50 şeffaflık ihlali (Bilgi ve İletişim), olay ve kayıt eksikliği (İzleme). Her risk için tehdit ettiği amaç ve "karşılandı" demek için görülmesi gereken kanıt yazılıdır.
Bu kart hangi standartlarla uyumlu?
IIA Küresel İç Denetim Standartları'nın kanıt yeterliliği ve uygunluğu ilkesi, COSO İç Kontrol Bütünleşik Çerçevesi'nin (2013) beş bileşeni ve on yedi ilkesi, ISO/IEC 42001 yapay zekâ yönetim sistemi gereklilikleri, ISAE 3000 güvence denetimi yaklaşımı ve (AB) 2024/1689 sayılı AB Yapay Zekâ Yasası'nın madde numaraları ve tarihleri esas alınmıştır. COSO metni alıntılanmaz; yalnızca bileşen ve ilke numaralarına atıf yapılır. Hukuki görüş değildir.
PDF'i almak için neden e-posta istiyorsunuz?
Kartın içeriğinin tamamı bu sayfada açıkça okunur; e-posta yalnızca baskıya uygun PDF kopyası içindir. Adres, kartı ve Atheros AI'dan seyrek denetim içerikli yazıları göndermek için kullanılır; onay istendiği anda geri alınır ve veri silinir.
Bu kart değerlendirme aracı değildir, puan üretmez. Atheros AI sertifika yayımlamaz, CE işareti vermez, uygunluk beyanı imzalamaz. Atheros AI ana sayfa