Bilgi güvenliği için ISO 27001 ne ise, yapay zekâ için de ISO/IEC 42001 odur. Aralık 2023'te yayımlanan standart, kurumların yapay zekâyı sorumlu, güvenli ve izlenebilir şekilde geliştirmesi ve kullanması için bir yönetim sistemi çerçevesi sunuyor. Türkiye'de de TÜRKAK bu standarda göre ilk akreditasyonunu verdi; yani belgelendirme artık yerel olarak da mümkün.
ISO/IEC 42001 neyi düzenler?
Standart, belirli bir teknolojiyi değil, yapay zekânın kurum içinde nasıl yönetildiğini düzenler:
- Yapay zekâ politikası ve hedefleri
- Roller, sorumluluklar ve yetkinlikler
- Yapay zekâ risklerinin belirlenmesi ve yönetilmesi
- Yapay zekâ sistemlerinin insanlar ve toplum üzerindeki etkilerinin değerlendirilmesi
- Yapay zekâ sistemlerinin yaşam döngüsü boyunca kontrol
- Sürekli iyileştirme
ISO 27001 ve ISO 9001 gibi diğer yönetim sistemi standartlarıyla aynı yapıyı (Planla–Uygula–Kontrol et–Önlem al) kullandığı için, bu standartlara sahip kurumlar için entegrasyon görece kolay.
Ek A: 9 hedef, 38 kontrol
Standardın Ek A bölümü, dokuz kontrol hedefi altında gruplanmış 38 kontrol içeriyor:
| Kontrol alanı | Kapsadığı konular |
|---|---|
| Yapay zekâ politikaları | Politika, diğer politikalarla uyum, gözden geçirme |
| İç organizasyon | Roller, sorumluluklar, endişelerin raporlanması |
| Kaynaklar | Veri, araç, sistem ve insan kaynakları |
| Etki değerlendirmesi | Bireyler, gruplar ve toplum üzerindeki etkiler |
| Yaşam döngüsü | Tasarım, geliştirme, doğrulama, dağıtım, izleme |
| Veri | Veri kalitesi, kaynağı ve hazırlığı |
| Paydaşlara bilgi | Kullanıcılara ve etkilenenlere şeffaflık |
| Kullanım | Sorumlu kullanım ve amaç dışı kullanımın önlenmesi |
| Üçüncü taraflar | Tedarikçiler ve müşterilerle ilişkiler |
Kurum, risk değerlendirmesine göre hangi kontrollerin uygulanacağını bir uygulanabilirlik beyanında gerekçeleriyle belirler.
AB Yapay Zekâ Tüzüğü ile ilişkisi
ISO/IEC 42001, AB Yapay Zekâ Tüzüğü'ne uyum için tek başına yeterli değil; Tüzük kapsamında uyumu doğrudan kanıtlayan bir belge de değil. Ancak Tüzüğün istediği risk yönetimi, dokümantasyon, veri yönetişimi ve insan denetimi gibi süreçlerin büyük kısmı için güçlü bir yönetim çerçevesi sağlıyor. Bu nedenle birçok kurum 42001'i, Tüzük ve benzeri düzenlemelere hazırlığın omurgası olarak kullanıyor.
Kimler için gerekli?
ISO/IEC 42001 yasal bir zorunluluk değil. Ama şu durumlarda güçlü bir değer sunuyor:
- Yapay zekâ ürünü veya hizmeti sunan şirketler: Müşterilere, özellikle kurumsal ve kamu müşterilerine güvenilirlik kanıtı
- Bankacılık, sigorta ve sağlık gibi regülasyona tabi sektörler: Denetçilere ve regülatörlere yapılandırılmış bir yönetişim gösterme
- AB pazarında faaliyet gösteren şirketler: Tüzük uyumu için hazır bir çerçeve
- Yapay zekâyı yaygın kullanan büyük kurumlar: Dağınık kullanımı tek bir yönetim sistemi altında toplama
Belgelendirmeye hazırlık adımları
- Kapsamı belirleyin: Standart tüm kurumu mu, belirli yapay zekâ sistemlerini mi kapsayacak?
- Yapay zekâ envanteri çıkarın: Kapsamdaki sistemleri, amaçlarını ve verilerini listeleyin.
- Boşluk analizi yapın: Mevcut süreçlerinizi standardın gereklilikleri ve Ek A kontrolleriyle karşılaştırın.
- Politika ve süreçleri oluşturun: Yapay zekâ politikası, risk ve etki değerlendirme süreçleri, rol tanımları.
- Uygulayın ve kayıt tutun: Süreçleri işletin, kanıtları toplayın.
- İç denetim ve yönetim gözden geçirmesi: Sistemin işlediğini doğrulayın.
- Belgelendirme denetimi: Akredite bir belgelendirme kuruluşu tarafından denetim.
Kurumun büyüklüğüne ve yapay zekâ olgunluğuna göre bu süreç genellikle birkaç ay sürer.
Sonuç
ISO/IEC 42001, yapay zekâyı "proje proje" yönetmekten sistematik bir yönetişime geçişin en tanınmış yolu. Belgelendirme hedeflenmese bile standardın çerçevesi, yapay zekâ risklerini yönetmek için sağlam bir başlangıç noktası sunuyor.
Yapay Zekâ Yönetişimi ve Uyum hizmetimizle envanter, boşluk analizi, politika ve süreç tasarımı aşamalarında kurumunuzu ISO/IEC 42001'e hazırlıyoruz. Belgelendirme denetimi ise akredite belgelendirme kuruluşları tarafından yapılır.
Kaynaklar