Yapay Zeka Kullanımında ISO/IEC 42001 ve KVKK Uyumu Nereden Başlar · Sahadan Notlar

Kısa Yanıt

Uyum çalışması kapsam belirlemeyle başlar: hangi yapay zeka kullanımlarının çerçeveye gireceği yazılır. Ardından envanter üzerinden risk değerlendirmesi yapılır. ISO/IEC 42001 bu çalışmayı bir yönetim sistemi disiplinine oturtur; KVKK ise kişisel veri işlendiği her noktada dayanak, aydınlatma ve saklama kurallarını belirler. İki çerçeve büyük ölçüde aynı kanıtları kullanır.

ISO/IEC 42001 ne getiriyor?

ISO/IEC 42001, yapay zeka yönetim sistemi standardıdır. Kurumun yapay zeka kullanımını bir yönetim disiplini içinde ele almasını ister: kapsam belirlenir, roller tanımlanır, riskler değerlendirilir, kontroller uygulanır ve sonuçlar düzenli gözden geçirilir.

Yapısı bilgi güvenliği yönetim sistemiyle aynı iskelet üzerine kuruludur. ISO 27001 uygulayan kurumlarda politika yönetimi, risk süreci, iç denetim ve yönetim gözden geçirmesi gibi bileşenler hazırdır; 42001 çalışması bu bileşenlerin üzerine yapay zekaya özgü konuları ekler.

KVKK tarafında hangi noktalar öne çıkıyor?

Kişisel veri işlendiği her yapay zeka kullanımında şu başlıklar netleştirilir:

İşleme dayanağı: Verinin hangi hukuki sebeple işlendiği yazılı hale getirilir.
Aydınlatma: İlgili kişiye verinin nasıl kullanıldığı açık biçimde bildirilir.
Veri minimizasyonu: Amaç için gereken en az veriyle çalışılır; eğitim kümelerinde kimliksizleştirme değerlendirilir.
Yurt dışına aktarım: Sağlayıcı yurt dışındaysa aktarım koşulları belirlenir ve kayıt altına alınır.
Otomatik karar: Kişi hakkında sonuç doğuran otomatik değerlendirmelerde insan denetimi ve itiraz yolu tanımlanır.
Saklama ve silme: İstem kayıtları dâhil olmak üzere saklama süresi ve silme yöntemi belirlenir.

İki çerçeve hangi kanıtları ortak kullanır?

Uyum çalışmalarında üretilen kayıtların büyük bölümü her iki çerçeveye de hizmet eder:

Kanıt	ISO/IEC 42001 tarafı	KVKK tarafı
Yapay zeka envanteri	Kapsam ve varlık kaydı	İşleme faaliyeti kaydına girdi
Risk değerlendirmesi	Risk süreci çıktısı	Etki değerlendirmesine dayanak
Sağlayıcı değerlendirmesi	Tedarik kontrolü	Aktarım ve veri işleyen incelemesi
Saklama kuralı	Yaşam döngüsü kontrolü	Saklama ve imha politikası
Kullanım kaydı	İzleme ve gözden geçirme	Erişim ve işleme izlenebilirliği

Sahadan

Sahada uyum çalışmasının en hızlı ilerlediği kurumlar, ISO 27001 yönetim sistemi kurulu olanlar oluyor. Politika yönetimi, risk süreci, iç denetim ve yönetim gözden geçirmesi zaten işlediği için 42001 çalışması var olan döngüye yeni konular ekleyerek ilerliyor. Envanteri önce çıkardığımızda ise risk değerlendirmesi somut bir liste üzerinden yürüyor ve kanıt toplama kendiliğinden düzene giriyor.

Yol haritası nasıl kurulur?

Çalışma kapsam ve envanterle başlar. Kapsam belgesi hangi kullanımların çerçeveye girdiğini söyler; envanter ise bu kullanımların listesini ve veri sınıflarını taşır. İkisi hazır olduğunda risk değerlendirmesi somut bir zemine oturur.

Sonraki adım boşluk analizidir: mevcut politikaların ve kontrollerin hangi maddeleri karşıladığı çıkarılır. ISO 27001 uygulayan kurumlarda bu analiz çoğunlukla kısa sürer. Kalan boşluklar için politika, süreç ve kayıt düzeni tamamlanır; ardından iç denetim ve yönetim gözden geçirmesiyle döngü kapanır. Avrupa pazarına ürün ya da hizmet sunan kurumlarda AB yapay zeka düzenlemesinin aşamalı yükümlülükleri de aynı planın içinde takip edilir.

Sık Sorulanlar

Yapay zeka uyumunda en çok sorulanlar

ISO 27001 belgemiz varken 42001 çalışması ne kadar ek yük getirir?

Yönetim sistemi iskeleti ortak olduğu için politika yönetimi, risk süreci, iç denetim ve yönetim gözden geçirmesi yeniden kurulmaz. Ek yük, yapay zekaya özgü konularda yoğunlaşır: envanter, veri ve model yaşam döngüsü, çıktı denetimi ve sağlayıcı değerlendirmesi.

Belgelendirme zorunlu mu?

Belgelendirme bir tercihtir. Kurumların bir bölümü çerçeveyi iç disiplin olarak uygular ve müşteri sorularına bu kayıtlarla yanıt verir. Belge, üçüncü taraf doğrulaması gerektiğinde ve ihale koşullarında değer üretir. Her iki durumda da kayıt düzeni aynı şekilde kurulur.

Hazır bir yapay zeka servisi kullanıyoruz, sorumluluk bize mi ait?

Veri işleyen taraf sağlayıcı olsa da işleme amacını belirleyen kurumdur; bu nedenle aydınlatma, dayanak ve saklama sorumluluğu kurumda kalır. Sağlayıcı sözleşmesi, verinin nerede işlendiğini ve model eğitiminde kullanılıp kullanılmadığını açık biçimde göstermelidir.

Nereden başlamak en verimli?

En verimli başlangıç envanterdir. Hangi aracın hangi veriyle ve hangi amaçla kullanıldığı bilinmeden risk değerlendirmesi soyut kalır. Envanter hazır olduğunda kapsam belgesi, risk değerlendirmesi ve boşluk analizi hızla birbirini izler.

Okumaya Devam