Yapay Zeka Kullanan Firmalar İçin Yeni Zorunluluk
ISO 42001
📋 Bu Makalede:
- ISO 42001 Nedir?
- Neden Şimdi Bu Konu Önemli?
- Standardın Yapısı
- Temel Gereklilikler
- Annex A Kontrolleri
- Diğer Standartlarla Entegrasyon
- Süreç ve Maliyet
- Sık Sorulan Sorular
🤖 ISO 42001 Nedir?
ISO 42001, Yapay Zeka Yönetim Sistemi standardıdır. Aralık 2023'te yayınlanan bu standart, dünyanın ilk ve tek AI yönetim sistemi standardıdır.
Ne işe yarar? Şirketlerin yapay zeka kullanırken:
- Güvenli olmasını
- Adil olmasını (ayrımcılık yapmamasını)
- Şeffaf olmasını (kararlarının açıklanabilir olmasını)
- Yasalara uygun olmasını
sağlayan bir çerçeve sunar.
Kimler için? AI geliştiren firmalar (yazılım, SaaS, yapay zeka şirketleri) ve AI kullanan firmalar (bankalar, sigortalar, hastaneler, perakende, otomotiv...). Yani neredeyse herkes.
📌 2026 Kritik Eşik:
AB Yapay Zeka Yasası (EU AI Act) 2026'da tam uygulamaya geçti. AB'ye hizmet veren firmalar artık AI sistemlerini belgelemek zorunda. ISO 42001, bu yasal zorunluluğa hazırlık için en doğal araç.
🔥 Neden Şimdi Bu Konu Önemli?
📋 ISO 42001'in Yapısı
ISO 42001, yönetim sistemi standartlarının ortak çatısı olan Annex SL (Yüksek Seviye Yapı) kullanır. Bu sayede ISO 9001, ISO 14001, ISO 27001 ile kolayca entegre edilebilir.
Clause 4-10
- Kuruluşun bağlamı
- Liderlik
- Planlama
- Destek
- Operasyon
- Performans değerlendirme
- İyileştirme
Annex A (39 Kontrol)
- AI politikası
- Veri kalitesi
- Bias değerlendirmesi
- Şeffaflık
- İnsan gözetimi
- Tedarikçi yönetimi
- Ve daha fazlası...
Tıpkı ISO 27001'deki "Statement of Applicability" gibi, burada da hangi kontrolleri uyguladığınızı belirten bir doküman hazırlıyorsunuz.
🎯 Temel Gereklilikler
1. AI Politikası (Clause 5)
Üst yönetim, AI'nın sorumlu kullanımına dair bir politika hazırlamalı. İçinde etik ilkeler, risk toleransı, performans beklentileri olmalı.
2. AI Risk Değerlendirmesi (Clause 6.1)
AI'ya özgü riskleri belirlemelisin:
- Bias (ayrımcılık): AI belirli bir grubu eliyor mu?
- Şeffaflık eksikliği: AI neden öyle karar verdi? Açıklayabiliyor muyuz?
- Güvenlik açıkları: AI sistemi hacklenebilir mi?
- Model başarısızlığı: AI yanlış karar verirse ne olur?
3. AI Etki Değerlendirmesi (Clause 6.1)
Risk'ten farklı olarak, toplumsal ve bireysel etkileri değerlendiriyorsun:
- Bu AI hangi kararları etkiliyor? (işe alım, kredi, teşhis...)
- İnsanlar üzerinde olumsuz etkisi olabilir mi?
- Hata yaparsa telafisi mümkün mü?
4. Veri Yönetimi
AI'nın eğitildiği veriler:
- Nereden geliyor? (veri kaynağı)
- Kaliteli mi?
- Ayrımcılık içeriyor mu?
- Gizlilik ihlali var mı?
Bunların hepsini belgelemelisin.
5. İnsan Gözetimi (Human Oversight)
AI otonom karar verse bile, bir insanın sorumlu olması gerekiyor. Özellikle yüksek riskli AI sistemlerinde (sağlık, finans) insan onayı şart.
6. İzleme ve Sürekli İyileştirme
AI sistemlerini sürekli izlemelisin:
- Performansı düşüyor mu? (model drift)
- Yeni bias'lar ortaya çıktı mı?
- Hata oranı arttı mı?
Ve bunları düzeltecek mekanizmalar kurmalısın.
📊 Annex A Kontrolleri (Öne Çıkanlar)
A.5.1 AI Politikası
AI yönetimine dair üst yönetim onaylı politika
A.6.1 Veri Yönetimi
AI verilerinin kalitesi, kaynağı, gizliliği
A.6.2 Bias Değerlendirmesi
AI'nın ayrımcılık yapıp yapmadığını test etme
A.7.1 Şeffaflık
AI kararlarını açıklayabilme yeteneği
A.8.1 İnsan Gözetimi
AI'nın insan kontrolünde olması
A.9.1 Tedarikçi Yönetimi
Dışarıdan alınan AI hizmetlerinin yönetimi
Not: Bu kontrollerin hepsi zorunlu değil. Kendi risk değerlendirmene göre hangilerinin uygulanacağına sen karar veriyorsun.
🔗 Diğer Standartlarla Entegrasyon
🔄 ISO 27001 ile Entegrasyon
Bilgi güvenliği ile AI güvenliği iç içe. İkisini birlikte uygulamak en mantıklısı. Aynı yapıyı kullandıkları için dokümantasyonun %50-60'ı ortak.
📊 ISO 9001 ile Entegrasyon
Kalite yönetimi ile AI performans yönetimi benzer. Süreç yaklaşımı aynı, entegrasyon çok kolay.
🇪🇺 EU AI Act ile Uyum
ISO 42001, AB yapay zeka yasasının gerekliliklerini karşılamana yardımcı olur. "Nasıl?" sorusuna cevap verir.
⏱️ Süreç ve Maliyet
Süre
- Sıfırdan başlayan firma: 6-12 ay
- ISO 27001'i olan firma: 3-4 ay
- Acil ihtiyacı olan: 2-3 ay
Tahmini Maliyet
- Danışmanlık: 15.000 - 50.000 TL
- Belgelendirme: 8.000 - 25.000 TL
- İç kaynak: Personelin ayıracağı zaman
*Bu rakamlar yurtdışı kaynaklardan derlenmiştir, Türkiye'de farklılık gösterebilir.
🧠 Benim Konu Hakkındaki Düşüncelerim
Bu makaleyi hazırlarken kendi kendime sorduğum sorular ve verdiğim cevaplar. İşte yapay zeka konusunda net düşüncelerim:
❓ "Yapay zeka bir insandan daha fazla hata yapmaz mı?"
Evet, yapar. Özellikle eğitilmediği konularda AI çok saçma hatalar yapabilir. Peki neden kullanalım? Çünkü AI insanın yapamadığını yapar: Yorulmaz, 7/24 çalışır, saniyede 20 ürün kontrol eder, dikkati hiç dağılmaz. En iyi sistem: AI tespit eder, insan karar verir.
❓ "AI'a öğretmek için önce bir insana öğretmek gerekmez mi? O insan varken neden AI kullanalım?"
Çok doğru. Bir ustaya bir işi öğrettiyseniz, o usta zaten o işi yapabiliyor. AI'ın tercih edilme sebebi, ustanın yerine geçmek değil, işini ölçeklendirmektir. Usta günde 8 saat çalışır, AI 7/24. Usta saniyede 1 ürün kontrol eder, AI 20. Doğru kullanım: AI tespit eder, usta karar verir.
❓ "AI tek başına çalışmaz ki? Kamera, ışık, yazılım, entegrasyon gerekli"
Kesinlikle. AI bir yazılımdır. Tek başına hiçbir şey yapmaz. Kamera, ışık, lens, bilgisayar, yazılım, entegrasyon... Bunların hepsi sistem kurmayı gerektirir. O da ciddi yatırım ve teknik bilgi ister.
❓ "Hata türlerinin önceden belirlenip istisnasız öğretilmesi gerekmez mi?"
Evet. AI, kendisine öğretilen hataları tanır. Öğretilmeyeni asla bulamaz. Üretimde her gün yeni hata çıkar. O yeni hatayı AI'a öğretmek için yine insana ihtiyacın var. AI kendi kendine öğrenmez.
❓ "Yapılan yatırım büyük, amortismanı mümkün değil"
Haklısınız. Bir görsel kalite kontrol sistemi için 300.000 - 1.000.000 TL yatırım gerekir. Teoride 1-2 yılda amorti eder denir ama pratikte:
- O işçileri çıkarmazsınız (AI onların yanında çalışır)
- Fire azalması beklendiği gibi olmayabilir
- Sistem sürekli bakım ister
- Yeni hatalar çıktıkça yeniden eğitmek gerekir
Kim yapmalı? Büyük firmalar, yüksek hacimli üretim, hatasız ürün gereken sektörler (otomotiv, ilaç, savunma).
Kim yapmamalı? KOBİ'ler, düşük hacim, çeşitli ürün, kısıtlı bütçe.
🎯 Özetle Benim Duruşum
Bu konu çok konuşuluyor farkındayım . ISO 42001'i, EU AI Act'i, yapay zeka yönetim sistemlerini biliyorum. Sektörde çok konuşuluyor, danışmanlar "AI çağı geldi" diye ortalığı yıkıyor.
Yapay zeka, doğru yerde, doğru kurulmuş, doğru beklentilerle kullanılırsa işe yarar. Ama:
- AI sihirli bir değnek değildir
- Her derde deva değildir
- Herkes için uygun değildir
- Amortismanı her zaman mümkün değildir
Ama ben Türk üreticisi için bu standardı şu anda uygun görmüyorum.
Neden mi?
- Türk üreticisinin henüz temel kalite sorunları var. SPC oturmamış, FMEA şov yapıyor, kontrol planı sahada uygulanmıyor.
- AI yatırımı 300.000 - 1.000.000 TL arası. Bu parayla KOBİ iki vardiya kalite elemanı çalıştırır, daha fazla fayda alır.
- AI'ın çalışması için veri lazım. Türk üreticisinin çoğunun verisi bile yok. Önce veriyi toplayacak, sonra temizleyecek, sonra AI'a öğretecek. O zamana kadar iş durur.
- Amortismanı pratikte mümkün değil. Teorik hesaplar kağıt üstünde kalıyor.
Peki hiç mi kullanmasın? Kullansın, ama sırasıyla:
- Önce temel kalite sistemini oturtsun
- Sonra otomasyona geçsin (MES, SCADA, dijital dokümantasyon)
- En son, gerçekten ihtiyacı varsa, AI'a baksın
Atlama yapmayın. Altyapı yokken AI kurmaya kalkarsanız, heba olmuş paralar ve tozlanmış kameralar kalır.
Ben bu işin teorisyeni değil, pratiğini yapanıyım. Sahada ne işe yarayıp ne yaramadığını görüyorum. Bu yazı da o samimiyetin ürünüdür.
🎯 Bir Üretici Dostumun Dediği Gibi:
"Al bakalım kur. Üretimi mi yöneteceksin yoksa bunu mu?"
İşte bu cümle, her şeyi özetliyor. Üreticinin derdi AI değil. Hammadde, döviz, işçi, müşteri şikayeti, teslimat tarihi derken zaten nefes alamıyor. Bir de AI mı öğrenecek?
AI, üreticinin işini kolaylaştıracaksa anlamlı. Ama işini kolaylaştırmak şöyle dursun, önüne bir de öğren, yatırım yap, entegre et, bakımını yap yükü koyuyorsa, o işin içinden çıkılmaz.
Bu yüzden netim: Önce temel kalite sistemini oturt. Sonra otomasyon. En son, gerçekten ihtiyacın varsa, AI'a bak. Atlama yapma. Altyapı yokken AI kurmaya kalkarsan, elinde kalır.
❓ Sık Sorulan Sorular
S: ISO 42001 zorunlu mu?
C: Henüz değil, ama EU AI Act yürürlükte olduğu için AB'ye hizmet veren firmalar için fiili zorunluluk haline geliyor.
S: Daha önce ISO 27001'im var. ISO 42001'i eklemek zor mu?
C: Hayır. İkisi aynı yapıyı (Annex SL) kullandığı için dokümantasyonun %50-60'ını ortak kullanabilirsiniz.
S: Küçük bir firmayım, bu standart bana uygun mu?
C: Evet. Standart ölçeklenebilir. Sadece kullandığın AI sistemlerini yönetecek kadar uygulama yapabilirsin.
S: ISO 42001 belgesi almak ne kadar sürer?
C: Mevcut sistemine bağlı. ISO 27001'in varsa 3-4 ay, yoksa 6-12 ay.
🎯 Alternatif Kalite Olarak Size Nasıl Yardımcı Oluyoruz?
ISO 42001 danışmanlık sürecinizde ihtiyacınız olan tüm hizmetleri tek çatı altında sunuyoruz:
- ISO 42001 Boşluk Analizi (Gap Analysis)
- AI Risk Değerlendirmesi ve Etki Analizi
- AI Politikası ve Dokümantasyon Hazırlama
- EU AI Act Uyum Danışmanlığı
- ISO 27001 & ISO 42001 Entegrasyonu
ISO 42001 Hazırlığı İçin Yardım Alın
Yapay zeka yönetim sistemine hazırlanmak, doğru adımlarla başlar. Uzman danışmanlarımız size rehberlik etsin.
Etiketler: ISO 42001, Yapay Zeka, AI Yönetim Sistemi, EU AI Act, Yapay Zeka Yasası, AI Güvenliği, AI Risk Yönetimi, Sorumlu AI, Yapay Zeka Danışmanlığı