ISO/IEC 42001, bir kurumun yapay zekâ sistemlerini geliştirme, tedarik ve işletme süreçlerini sorumlu bir çerçevede yönetmesi için gereksinimleri tanımlayan uluslararası yönetim sistemi standardıdır. 2023 yılında yayımlanan bu standart, yapay zekâya özgü riskleri (önyargı, açıklanabilirlik, otomatik karar etkisi) bir yönetim döngüsü içine oturtur. Amacı, YZ kullanımını yasaklamak değil, öngörülebilir ve hesap verebilir kılmaktır.

ISO/IEC 42001, yapay zekâyı bir kara kutu olmaktan çıkarıp yönetilen, denetlenen ve hesabı verilen bir sisteme dönüştürür.

Yönetim Sistemi Yaklaşımı

Standart, tek seferlik bir kontrol listesi değil, süreklilik gösteren bir yönetim döngüsü kurar. Kurumdan bir YZ politikası belirlemesini, roller ve sorumluluklar atamasını, riskleri düzenli değerlendirmesini ve sonuçları gözden geçirerek iyileştirmesini bekler. Bu yapısı, Bilgi güvenliği yönetim sistemi kuran kurumlara tanıdık gelir; iki standart aynı yönetim iskeletini paylaşır ve entegre biçimde işletilebilir.

Yapay Zekâya Özgü Riskler

42001’in ayırt edici yanı, klasik güvenlik risklerinin ötesine geçip modelin kendisinden doğan riskleri ele almasıdır. Eğitim verisindeki yanlılık, model çıktısının açıklanamaması, veri zehirleme ve düşmanca girdilerle modelin kandırılması bu kapsamdadır. Bu tehditlerin teknik boyutu, daha geniş bir Yapay zekâ güvenliği disipliniyle örtüşür; standart ise bu teknik gerçekleri yönetsel bir gözetim çerçevesine bağlar.

Yaşam Döngüsü Boyunca Kontrol

Standart, bir YZ sisteminin doğumundan emekliliğine kadar her aşamada beklenti koyar. Bu bütünlük, kontrolün tek bir noktada değil, tüm yaşam döngüsüne yayılmasını sağlar.

• Veri toplama ve etiketlemede kaynak ve mahremiyetin gözetilmesi
• Model geliştirmede yanlılık ve performans testleri
• Devreye almada insan gözetimi ve karar sınırlarının tanımı
• İşletmede sürüklenme (drift) izleme ve olay yönetimi
• Emeklilikte model ve veri elden çıkarma kuralları

Mahremiyetle Kesişimi

YZ sistemleri çoğu zaman hassas kişisel veriyle eğitilir; bu da standardı mahremiyet mühendisliğiyle doğrudan temas ettirir. Gizlilik koruyan makine öğrenmesi teknikleri (diferansiyel gizlilik, federe öğrenme gibi) 42001’in beklediği veri koruma kontrollerini teknik düzeyde karşılamanın yollarından biridir. Standart, hangi tekniğin kullanılacağını dayatmaz ancak riskin yönetildiğinin kanıtlanmasını ister.

Bir YZ yönetim sistemini kağıttan sahaya taşımak, altındaki veri hatlarının, model servislerinin ve erişim sınırlarının gerçekten güvenli kurulmuş olmasını gerektirir. Bağımsız bir altyapı ve mimari gözden geçirme çalışması, 42001’in soyut gereksinimlerini somut sistem zayıflıklarıyla eşleştirir ve standardın belge düzeyinde kalmasını engeller.