ISO/IEC 42001 ve hiçbir danışmanlığın size satamayacağı kısım.
ISO/IEC 42001:2023, bir kuruluşun belgelendirilebileceği ilk yapay zekâ yönetim sistemi standardıdır. Bu sayfa standardın gerçekte ne istediğini anlatır: maddeler, 38 Ek A kontrolü, AB Yapay Zekâ Yasası'ndan farkı ve gerçek bir belgelendirme yolunun ne kadar sürdüğü.
Son gözden geçirme 7 Eylül 2026. ISO 42001 Baş Denetçilerimiz tarafından yazıldı. Standardın özeti olup yerine geçmez.
Yedi madde, otuz sekiz kontrol
Standart Annex SL uyumlaştırılmış yapısını izler; ISO 27001 ve ISO 9001 ile çakışmak yerine kenetlenmesinin sebebi budur. Şartları 4–10 arası maddeler taşır; Ek A ise seçtiğiniz — ve seçmediğinizde gerekçelendirdiğiniz — kontrolleri taşır.
Kuruluşun bağlamı
AIMS'in kapsamı, kuruluşun yapay zekâ değer zincirindeki rolü — sağlayıcı, uygulayıcı ya da her ikisi — ve beklentileri bağlayıcı olan ilgili taraflar.
Liderlik
Bir yapay zekâ politikası, üst düzeyde hesap verebilir sahiplik ve adı konmuş bir koordinatör değil gerçek yetkiye sahip roller.
Planlama
Yapay zekâ risk değerlendirmesi ve işlenmesi, Ek A uygulanabilirlik bildirgesi ve yapay zekâ sistemi etki değerlendirmesi — kuruluşun dışına, etkilenen bireylere uzanan madde.
Destek
Yetkinlik, farkındalık, iletişim ve dokümante bilgi. Yasanın 4. maddesindeki okuryazarlık yükümlülüğü de pratikte burada karşılanır.
İşletim
Risk, etki ve yaşam döngüsü süreçlerinin çalıştırılması — standardın belge olmaktan çıkıp kayıt üretmeye başladığı yer.
Performans değerlendirme
İzleme, ölçme, iç denetim ve yönetimin gözden geçirmesi. Belgelendirme denetçileri önce bu maddenin çıktılarını ister.
İyileştirme
Uygunsuzluk yönetimi, düzeltici faaliyet ve sürekli iyileştirme.
Ek A, dokuz amaç altında 38 kontrol gruplar: yapay zekâ politikaları, iç organizasyon, yapay zekâ sistemleri için kaynaklar, sistem etkisinin değerlendirilmesi, yaşam döngüsü, veri, ilgili taraflara bilgi, sorumlu kullanım ve üçüncü taraf ile müşteri ilişkileri. Ek B uygulama rehberliği, Ek C amaç ve risk kaynakları, Ek D sektörel uygulama.
ISO 42001 mi Yasa mı — size aslında hangisi soruluyor?
Neredeyse her ilk görüşmede bu ikisi birbirine karışıyor. Farklı işler yapan farklı araçlardır ve yalnızca biri isteğe bağlıdır.
| AB Yapay Zekâ Yasası | ISO/IEC 42001 | |
|---|---|---|
| Nedir? | Bağlayıcı AB hukuku — (AB) 2024/1689 sayılı Tüzük. | Gönüllü bir uluslararası standart. |
| Neyi yönetir? | Belirli yapay zekâ sistemlerini, risk katmanına ve amaçlanan kullanıma göre. | Kuruluşun yapay zekâ yönetim sisteminin bütününü. |
| Kimi bağlar? | 2. madde kapsamındaki sağlayıcı, uygulayıcı, ithalatçı ve dağıtıcılar — muafiyet yok. | Seçen her kuruluşu, her ölçekte. |
| Neyle kanıtlanır? | Uygunluk değerlendirmesi, AB uygunluk beyanı ve yüksek riskli sistemlerde CE işareti. | 1. ve 2. Aşama denetim sonrası akredite belgelendirme kuruluşunun düzenlediği belge. |
| Yok sayılırsa? | 35 milyon avroya veya dünya cirosunun %7'sine kadar idari para cezası. | Ceza yok. Belgeyi ve ona bağlı ticari erişimi kaybedersiniz. |
| Biri diğerini karşılar mı? | Hayır. Belge, uyum değildir. | Hayır — ama çalışan bir AIMS, Yasanın istediği kanıtın çoğunu üretir ve 17. maddedeki kalite yönetim sistemini kapsar. |
Yükümlülük tarafının tamamı AB Yapay Zekâ Yasası referansında.
Gerçekçi sürelerle bir belgelendirme yolu
Kimsenin fiyat teklifinde yazmadığı adım üçüncüsüdür. Birkaç madde, sistemin bir döneme yayılarak işlediğine dair kayıt ister ve hiçbir danışmanlık geçen zamanı sıkıştıramaz — "90 günde belgelendirme" tekliflerini bu gözle okuyun.
Boşluk analizi
Mevcut durumunuzun yedi maddenin ve 38 Ek A kontrolünün tamamına karşı değerlendirilmesi; bulgular önem sırasına göre değil giderilme SÜRESİNE göre sıralanır, çünkü belgelendirme tarihini zaman gerektiren bulgular belirler.
AIMS tasarımı
Yapay zekâ politikası, yönetişim rolleri, risk ve etki değerlendirme metodolojisi, uygulanabilirlik bildirgesi ve varsa mevcut ISO 27001 / 9001 sisteminize eşlenmiş kontrol kütüphanesi.
İşletme ve kanıt biriktirme
Sistem çalışır ve kayıt üretir: risk değerlendirmeleri, etki değerlendirmeleri, yaşam döngüsü kontrolleri, tedarikçi gözden geçirmeleri. Burası sıkıştırılamaz — denetçi geçen hafta açılmış bir klasörü değil, bir döneme yayılmış kayıtları ister.
İç denetim ve yönetimin gözden geçirmesi
Standarda karşı tam bir iç denetim ve dokümante edilmiş yönetim gözden geçirmesi. 1. Aşama denetçisinin ilk okuduğu şey 9. madde çıktılarıdır.
Belgelendirme denetimi
Akredite belgelendirme kuruluşu 1. Aşama (dokümantasyon ve hazırlık) ve 2. Aşama (uygulama) denetimlerini yürütür. Biz kanıt paketini hazırlar ve denetime destek oluruz; belgelendirme tarafında yer almayız, alamayız.
Belgeyi kim düzenler. Biz değil. ISO/IEC 17021 uyarınca bir yönetim sistemini belgelendiren kuruluş, onu kuran kuruluştan bağımsız olmak zorundadır. Atheros AI sizi denetime hazırlar; denetimi akredite belgelendirme kuruluşu yapar. İkisini birden yapmayı teklif eden bir danışmanlık, akreditasyon incelemesinden geçemeyecek bir şeyi anlatıyordur.
ISO 42001, açık açık
ISO/IEC 42001 nedir?
ISO/IEC 42001:2023, yapay zekâ yönetim sistemi (AIMS) için uluslararası standarttır ve Aralık 2023'te yayımlanmıştır. Bir kuruluşun belgelendirilebileceği ilk yapay zekâ standardıdır. Yapay zekâ kullanımını ve geliştirmesini yöneten yönetişim yapısını, rolleri, risk ve etki değerlendirmelerini ve yaşam döngüsü kontrollerini kurma, uygulama, sürdürme ve sürekli iyileştirme şartlarını tanımlar.
AB Yapay Zekâ Yasası ISO 42001 belgesini zorunlu tutuyor mu?
Hayır. ISO/IEC 42001 gönüllü bir standarttır ve belgeye sahip olmak, (AB) 2024/1689 sayılı Tüzüğe uyum anlamına gelmez. İkisi birlikte çalışır: Yasa belirli risk katmanları için bağlayıcı ve sistem düzeyinde yükümlülükler getirir; ISO 42001 ise bu yükümlülüklerin gerektirdiği kanıtı üreten ve güncel tutan, kuruluş düzeyinde yönetim sistemini verir. Çalışan bir AIMS, 17. maddedeki kalite yönetim sistemini göstermeyi belirgin biçimde kolaylaştırır.
ISO 42001 belgesini Atheros AI verebilir mi?
Hayır, ve hiçbir danışmanlık veremez. ISO/IEC 17021 uyarınca bir yönetim sistemini belgelendiren kuruluş, o sistemi tasarlayan ya da kuran kuruluştan bağımsız olmak zorundadır; belgeler yalnızca ilgili şema için akredite belgelendirme kuruluşlarınca düzenlenir. Atheros AI kuruluşları bu denetime hazırlar — boşluk analizi, AIMS tasarımı, iç denetim ve yönetimin gözden geçirmesi — belgelendirme denetimini akredite kuruluş yapar.
ISO 42001 belgelendirmesi ne kadar sürer?
Belgeli bir ISO 27001 veya ISO 9001 yönetim sistemi hâlihazırda işleyen bir kuruluşta, boşluk analizinden 2. Aşama denetimine altı ila dokuz ay gerçekçidir; ortak Annex SL maddeleri zaten yerindedir. Hiç yönetim sistemi olmadan başlanıyorsa dokuz ila on beş ay daha tipiktir. Belirleyici kısıt dokümantasyon değil kanıttır: birkaç madde sistemin zaman içinde işlediğine dair kayıt ister ve bu kayıtlar geriye dönük üretilemez.
ISO 42001'in Ek A'sında ne var?
Ek A, dokuz kontrol amacı altında gruplanmış 38 kontrol listeler: yapay zekâ politikaları, iç organizasyon ve roller, yapay zekâ sistemleri için kaynaklar, yapay zekâ sistemlerinin etkisinin değerlendirilmesi, yapay zekâ sistemi yaşam döngüsü, yapay zekâ sistemleri için veri, ilgili taraflara sunulan bilgi, yapay zekâ sistemlerinin sorumlu kullanımı ve üçüncü taraf ile müşteri ilişkileri. Ek B her kontrol için uygulama rehberliği, Ek C yapay zekâya ilişkin amaç ve risk kaynaklarını, Ek D ise standardın alan ve sektörlere uygulanmasını ele alır.
ISO 42001 ile ISO 27001 ilişkisi nedir?
İkisi de Annex SL uyumlaştırılmış yapısını izler; bu yüzden 4'ten 10'a kadar olan maddeler — bağlam, liderlik, planlama, destek, işletim, performans değerlendirme ve iyileştirme — yapısal olarak aynıdır ve aynı yönetişim organını, iç denetim programını ve yönetimin gözden geçirmesini paylaşabilir. Fark kapsamdadır: ISO 27001 kuruluşa yönelik bilgi güvenliği riskini yönetir, ISO 42001 ise bireyler ve toplum üzerindeki etkiler dâhil yapay zekâ riskini yönetir.
Belgeden değil, boşluk analizinden başlayın.
Baş Denetçilerimiz mevcut durumunuzu yedi maddenin ve 38 kontrolün tamamına karşı değerlendirir ve size gerçekçi bir denetim penceresine giden tarihli bir plan verir.