İçeriğe atla
Bilgi Merkezi/Makale
Makale

ISO/IEC 42001 Nedir? Yapay Zekâ Yönetim Sistemi (AIMS)

ISO/IEC 42001'in kapsamını ve kimler için olduğunu, ilgili standartları, ISO 27001, NIST AI RMF ve EU AI Act ile ilişkisini ve belgelendirmeyi anlattık.

Oğuzhan Gerçek··7 dk okuma
ISO/IEC 42001 Nedir? Yapay Zekâ Yönetim Sistemi (AIMS)

Kısa cevap: ISO/IEC 42001, bir kuruluşun yapay zekâ yönetim sistemini (AIMS) kurması, uygulaması, sürdürmesi ve sürekli iyileştirmesi için gereklilikleri belirleyen uluslararası standarttır. Aralık 2023'te yayımlandı ve yapay zekâ tabanlı ürün ya da hizmet geliştiren, sunan veya kullanan her ölçekten kuruluşa hitap ediyor. Konusu tek tek modeller değil, kuruluşun yapay zekâyla ilgili risk ve fırsatları nasıl yönettiği. Belgelendirme gönüllüdür ve belgeyi ISO değil, bağımsız belgelendirme kuruluşları verir. Avrupa Komisyonu'na göre standardın hedefleri ve tanımları, AB Yapay Zekâ Yasası'nın (EU AI Act) istediği kalite yönetim sistemiyle örtüşmüyor.

ISO/IEC 42001 nedir?

ISO kataloğuna göre ISO/IEC 42001:2023, yapay zekâ alt komitesi ISO/IEC JTC 1/SC 42'de hazırlandı ve 18 Aralık 2023'te ilk baskısıyla yayımlandı. ISO onu dünyanın ilk yapay zekâ yönetim sistemi standardı olarak tanıtıyor ve amacını yapay zekâ sistemlerinin sorumlu biçimde geliştirilip kullanılması diye açıklıyor. ISO'ya göre standart etik, şeffaflık ve sürekli öğrenme gibi yapay zekâya özgü zorlukları ele alıyor ve kuruluşun yeniliği yönetişimle dengelemesine yardım ediyor. Yapay zekâ kavramının kendisini yapay zekâ yazımızda anlattık.

Kimler için?

ISO'nun sayfasına göre standart, yapay zekâ tabanlı ürün ya da hizmet geliştiren, sunan veya kullanan her ölçekten kuruluş için yazıldı. Bütün sektörlerde uygulanabiliyor; şirketler ve kâr amacı gütmeyen kuruluşlar kadar kamu kurumlarını da ilgilendiriyor. ISO'nun açıklama sayfası bir noktayı daha ekliyor: üçüncü tarafların sağladığı yapay zekâ sistemlerini yöneten kuruluşlar da kapsamda.

Yönetim sistemi yaklaşımı: standart ne ister?

ISO'nun yapay zekâ için başka standartları da var; ISO/IEC 42001 ise bir yönetim sistemi standardı (MSS). ISO'ya göre onu uygulamak, kuruluşun yapay zekâyla ilgili yönetişimi için Planla-Uygula-Kontrol Et-Önlem Al (PUKÖ) döngüsüyle işleyen politikalar ve prosedürler kurmak demek. Standart tek tek uygulamaların ayrıntısına girmiyor, risk ve fırsatları kuruluş genelinde yönetmenin pratik bir yolunu veriyor. Açıklama sayfası gereklilikleri şöyle özetliyor:

  • Üst yönetimin rolü ve kuruluşun bağlamı
  • Yapay zekâ politikası ve hedefleri
  • Yapay zekâ sistemleri için risk yönetimi
  • Veri yönetişimi ve sistem yaşam döngüsü kontrolleri
  • Şeffaflık ve bilgilendirme
  • Performans değerlendirmesi ve izleme
  • Sürekli iyileştirme

Madde ve kontrol ayrıntısı standardın ücretli metninde.

İlgili standartlar

ISO kataloğundaki kayıtlara göre 42001'in çevresindeki başlıca standartlar şunlar:

  • ISO/IEC 22989:2022: Yapay zekâ kavramları ve terminolojisi (Temmuz 2022).
  • ISO/IEC 23894:2023: Yapay zekâ kullanan ürün ve hizmetleri geliştiren, üreten, devreye alan ya da kullanan kuruluşlar için yapay zekâya özgü risk yönetimi rehberi (Şubat 2023).
  • ISO/IEC 42005:2025: Yapay zekâ sistemlerinin bireyler, gruplar ve toplum üzerindeki etkisini değerlendirme rehberi (Mayıs 2025).
  • ISO/IEC 42006:2025: Yapay zekâ yönetim sistemlerini denetleyen ve belgelendiren kuruluşlar için gereklilikler (Temmuz 2025).
  • ISO/IEC 27090: Yapay zekâ sistemlerine özgü güvenlik tehditleri; Ağustos 2026'da yayım aşamasına geldi. Bu tehditlerden birini veri zehirlenmesi yazımızda anlattık.

ISO 27001 ile ilişkisi

ISO'nun yönetim sistemi standartları sayfasına göre bu standartlar Harmonized Structure (HS) adlı ortak bir yapıyla, konusu ne olursa olsun aynı biçimde kurgulanıyor. ISO bu yapının, iki ya da daha fazla standardın gerekliliklerini tek bir (entegre) yönetim sistemiyle karşılamak isteyen kuruluşlar için özellikle yararlı olduğunu belirtiyor. ISO/IEC 27001:2022 bilgi güvenliği yönetim sisteminin, 42001 ise yapay zekâ yönetim sisteminin gerekliliklerini tanımlıyor.

ISO 27001 belgelendirmesinin nasıl işlediğini ISO 27001 belgelendirme süreci yazımızda, kısa tanımını sözlüğümüzde anlattık. Yapay zekâ yönetim sistemini mevcut bir ISO 27001 yönetim sistemiyle birlikte yürütmeyi düşünen kurumlar için ISO 27001 tarafını ISO standartları hizmetimizde ele alıyoruz.

NIST AI RMF ile ilişkisi

NIST'in AI RMF 1.0 çerçevesi 26 Ocak 2023'te yayımlandı ve gönüllü kullanım için hazırlandı; NIST'e göre çerçeve Ekim 2026 itibarıyla Beyaz Saray'ın AI Action Plan'ı kapsamında revize ediliyor. ISO/IEC 42001 ise bağımsız denetimle belgelendirilebilen bir yönetim sistemi standardı. NIST'in eşleştirme (crosswalk) listesinde, Microsoft'un hazırladığı ve AI RMF alt kategorilerini ISO/IEC 42001'in nihai taslağının (FDIS) gereklilikleriyle eşleştiren bir tablo var. Aynı listede INCITS/AI'ın 14 Ağustos 2025 tarihli ISO/IEC 23894 ve ISO/IEC 42005 eşleştirmeleri de bulunuyor. NIST, listedeki bir eşleştirmenin onay anlamına gelmediğini ve iki kaynağın birbirini tümüyle kapsadığını ima etmediğini not ediyor.

EU AI Act ile ilişkisi

AB Yapay Zekâ Yasası, EUR-Lex'teki kaydıyla 13 Haziran 2024 tarihli (EU) 2024/1689 sayılı Tüzük; AB Resmî Gazetesi'nde 12 Temmuz 2024'te yayımlandı. Avrupa Komisyonu'na göre uyumlaştırılmış standartları uygulayan şirketler yasal gerekliliklere uygun kabul edilir (uygunluk karinesi) ve standart uygulamak gönüllüdür. Yüksek riskli yapay zekâ sistemleri için bu standartları CEN ile CENELEC'in ortak teknik komitesi JTC 21 geliştiriyor; uluslararası standartlar, AB gereklilikleriyle örtüştüğünde Avrupa uyumlaştırılmış standardı olabiliyor.

Komisyon'un standardizasyon SSS sayfası ISO/IEC 42001 için açık konuşuyor: standart bir yapay zekâ yönetim sistemi kurmaya yardım ediyor, ama hedefleri ve tanımları yasanın istediği kalite yönetim sistemiyle örtüşmüyor. Komisyon bu yüzden yasaya uyuma odaklanan yeni bir kalite yönetim sistemi standardı istedi. Komisyon'a göre bu amaçla hazırlanan prEN 18286, 30 Ekim 2025'te kamuoyu görüşüne giren ilk uyumlaştırılmış yapay zekâ standardı taslağı. Yasanın yükümlülüklerini ve takvimini yapay zekâ yönetişimi yazımızda ele aldık.

Belgelendirme nasıl işler?

ISO'nun belgelendirme sayfasına göre belgelendirme, bağımsız bir kuruluşun bir ürünün, hizmetin ya da sistemin belirli gereklilikleri karşıladığına dair yazılı güvence, yani sertifika vermesidir; ISO belgelendirme yapmaz, sertifika da vermez. Açıklama sayfasına göre 42001'de belgelendirme gönüllüdür ve işi, ulusal akreditasyon kuruluşlarınca akredite edilmiş olabilecek bağımsız belgelendirme kuruluşları yapar.

Denetleyen kuruluşların işi de standarda bağlandı. Temmuz 2025'te yayımlanan ISO/IEC 42006, yapay zekâ yönetim sistemlerini denetleyen ve belgelendiren kuruluşlara ek gereklilikler getiriyor ve yönetim sistemi belgelendirmesinin genel standardı ISO/IEC 17021-1'i yapay zekâya özgü kurallarla tamamlıyor. Hedef kitlesinde belgelendirme kuruluşlarının yanında onları değerlendiren akreditasyon kuruluşları da var. ISO, belgelendirme kuruluşu seçerken birkaç kuruluşu karşılaştırmayı ve akreditasyonunu kontrol etmeyi öneriyor; akreditasyon ise zorunlu değil.

Kurumda başlarken

Açıklama sayfası ilk adımları şöyle sıralıyor: yapay zekâ sistemlerinin nerede kullanıldığını belirlemek, gözetim için rolleri ve sorumlulukları tanımlamak, sistemlerin risklerini değerlendirmek, yapay zekâ kullanımı ve veri yönetişimi politikalarını yazmak, performansı ve etkileri izlemek, düzeltici faaliyetleri ve iyileştirmeleri planlamak. Envanter ve rol tanımının Türkiye'deki düzenleyici arka planını yapay zekâ yönetişimi yazımızda, risk değerlendirmesinin güvenlik tarafını veri zehirlenmesi yazımızda anlattık.

ISO'ya göre standart yasaların ve düzenlemelerin yerine geçmez; uyum yükümlülüklerini daha etkili karşılamaya yardım eden bir yönetim çerçevesi sunar. Yapay zekâ sistemi kişisel veri işliyorsa KVKK yükümlülükleri ayrıca geçerli; temel kavramlar KVKK yazımızda. Risk kaydı ve kontrol matrisi gibi araçları yönetişim, risk ve uyum (GRC) sayfamızda, modelin ve verinin nerede çalışacağına dair altyapı kararlarını AI stack tasarımı ve mühendisliği sayfamızda anlattık.

Sık sorulan sorular

ISO 42001 nedir? Bir kuruluşun yapay zekâ yönetim sistemini kurması, uygulaması, sürdürmesi ve sürekli iyileştirmesi için gereklilikleri belirleyen uluslararası standarttır; Aralık 2023'te yayımlandı.

ISO 42001 belgesi nasıl alınır? Bağımsız bir belgelendirme kuruluşunun denetimiyle; ISO belge vermez. Bu denetimi yapan kuruluşlara yönelik ek gereklilikleri ISO/IEC 42006 tanımlar.

Yapay zekâ yönetim sistemi (AIMS) nedir? Kuruluşun yapay zekâ sistemlerini nasıl tasarlayıp geliştirdiğini, devreye aldığını ve kullandığını yöneten politika, süreç ve kontrollerin bütünüdür.

ISO/IEC 42001 zorunlu mu? ISO'ya göre belgelendirme gönüllüdür. Standart yasaların yerine geçmez; uyum yükümlülüklerini karşılamaya yardım eden bir yönetim çerçevesidir.

ISO 42001 ile ISO 27001 arasındaki fark nedir? ISO 27001 bilgi güvenliği yönetim sisteminin, ISO 42001 yapay zekâ yönetim sisteminin gerekliliklerini tanımlar. ISO'nun yönetim sistemi standartları aynı yapıyla yazıldığı için ikisi tek bir entegre sistemde birlikte işletilebilir.

ISO 42001 EU AI Act uyumu sağlar mı? Avrupa Komisyonu'na göre standardın hedefleri ve tanımları, yasanın istediği kalite yönetim sistemiyle örtüşmüyor. Komisyon bu yüzden yasaya uyuma odaklanan ayrı bir standart istedi.

Kaynaklar