Hukuk teknolojisi sağlayıcılarının tanıtım sayfalarında son dönemde iki ifade giderek daha sık yer alıyor: ISO 42001 sertifikası ve EU AI Act uyumu. ISO 42001, yapay zeka sistemlerini geliştiren veya kullanan kurumlar için hazırlanmış ilk uluslararası yönetim sistemi standardıdır. EU AI Act ise Avrupa Birliği’nde yapay zeka sistemlerini taşıdıkları risk düzeyine göre sınıflandıran ve bu sınıflara bağlayıcı yükümlülükler yükleyen bir tüzüktür. İkisi çoğu zaman aynı cümlede anılsa da nitelikleri birbirinden farklıdır: ilki gönüllü bir sertifikasyon çerçevesi sunarken ikincisi doğrudan hukuki sonuç doğurur. Bu nedenle hukuk bürolarının asıl sorusu, bu iki referansın kullandıkları yazılım hakkında gerçekte neyi söylediğidir.
Bu çalışma söz konusu soruya cevap ararken önce ISO 42001’in kapsamını ve ISO 27001’den ayrıldığı noktaları ele alıyor. Ardından AI Act’in risk sınıflandırmasında hukuk yazılımlarının nerede durduğunu ve Temmuz 2026’da yapılan değişiklikle yeniden şekillenen yürürlük takvimini inceliyor. Çalışmanın son bölümleri ise Türkiye’deki hukuk büroları üzerindeki etkilerine, bir sertifikanın sınırlarına ve geçerliliğinin nasıl doğrulanabileceğine ayrılıyor. Bilgiler Ekim 2026 itibarıyla derlenmiştir.
İki Düzenleme Neyi Garanti Eder, Neyi Etmez?
ISO 42001 sertifikası, bir şirketin yapay zeka sistemlerini belirli bir yönetim disiplini içinde ele aldığını ve bunun bağımsız bir denetçi tarafından tespit edildiğini gösterir. Ancak bu tespit, yazılımın her soruya doğru cevap verdiği anlamına gelmez. AI Act ise AB pazarına sunulan sistemlere yükümlülük getirir; bununla birlikte avukatların gündelik işlerinde kullandığı araştırma ve taslak araçlarının büyük bölümü tüzüğün yüksek riskli kategorisine girmez. Aşağıdaki tablo, iki düzenleme arasındaki temel farkları bir arada gösteriyor.
| Soru | ISO 42001 | EU AI Act |
|---|---|---|
| Niteliği | Gönüllü uluslararası standart | AB tüzüğü, bağlayıcı |
| Kime yönelik | Yapay zeka geliştiren, sunan veya kullanan her kurum | AB’de sisteme erişim sağlayan sağlayıcılar ve kullanıcılar |
| Neyi gösterir | Risk, etki değerlendirmesi ve insan gözetimi için kurulmuş bir yönetim sistemi | Sistemin risk sınıfına göre yasal yükümlülüklere tabi olduğu |
| Neyi göstermez | Çıktının doğruluğunu, hukuka uygunluğunu | Sistemin hatasız olduğunu, her ürünün denetlendiğini |
| Türkiye’deki büro için anlamı | Tedarikçi seçiminde güven göstergesi | AB bağlantılı işlerde dolaylı veya doğrudan yükümlülük |
Kısaca ifade etmek gerekirse ISO 42001 bir süreç güvencesi, AI Act ise bir yasal çerçeve sunar. Hangisi söz konusu olursa olsun, yazılımın ürettiği sonucu denetleme yükümlülüğü avukatta kalmaya devam eder.
ISO 42001 Nedir?
Resmî adıyla ISO/IEC 42001:2023, Aralık 2023’te yayımlanan ve bir kurumun yapay zeka yönetim sistemi kurarken karşılaması gereken gereklilikleri belirleyen standarttır. Standart, Uluslararası Standardizasyon Örgütü ile Uluslararası Elektroteknik Komisyonu’nun ortak çalışmasıyla hazırlanmıştır. Belgelendirmeye elverişli bir standart olduğu için şirketler, akredite bir belgelendirme kuruluşunun denetiminden geçtikten sonra ISO 42001 sertifikası alabilmektedir.
ISO 42001’in düzenlediği şey belirli bir teknoloji değil, kurumun yapay zekayı nasıl yönettiğidir. Bu yaklaşım, standardın uygulama alanını oldukça genişletir. Hukuk alanında yazılım geliştiren bir şirket kadar, yapay zekayı yalnızca kendi iç süreçlerinde kullanan bir hukuk bürosu da standardın kapsamına girebilir.
Yapay Zeka Yönetim Sistemi Standardının Kapsamı
ISO 42001, diğer ISO yönetim sistemi standartlarında da kullanılan uyumlaştırılmış yapıyı izler. Standardın gereklilikleri 4 ile 10. maddeler arasında düzenlenmiştir ve kuruluşun bağlamından liderliğe, planlamadan operasyona, performans değerlendirmesinden sürekli iyileştirmeye uzanan bir çerçeve çizer. Ekler ise kontrol hedeflerini, uygulama rehberini, yapay zekaya özgü risk kaynaklarını ve farklı sektörlerdeki kullanıma ilişkin açıklamaları içerir.
Yapay zeka yönetim sistemi kavramının hukuk teknolojisi açısından en somut karşılığını etki değerlendirmesinde bulmak mümkündür. ISO 42001, kurumdan yapay zeka sistemlerinin kişiler, kurumlar ve toplum üzerindeki etkisini sistematik biçimde değerlendirmesini ister. Bu değerlendirmenin nasıl yapılacağına dair ayrıntılı rehberlik ise ISO/IEC 42005 standardında yer alır. Standardın başlıklarının bir hukuk teknolojisi şirketinde nasıl karşılık bulduğu aşağıdaki tabloda özetlenmiştir.
| ISO 42001 başlığı | Hukuk teknolojisi şirketinde karşılığı |
|---|---|
| Yapay zeka politikası | Aracın hangi işler için kullanılabileceğinin ve sınırlarının yazılı olması |
| Risk ve etki değerlendirmesi | Hatalı atıf veya taraflı sonuç riskinin önceden analiz edilmesi |
| Veri yönetimi | Eğitim ve referans verisinin kaynağı, güncelliği ve kalitesi |
| İnsan gözetimi | Çıktının kullanıcıya hangi uyarılarla sunulduğu, kontrol mekanizmaları |
| Tedarikçi ilişkileri | Arka planda kullanılan dil modeli sağlayıcısının değerlendirilmesi |
| Sürekli iyileştirme | Hata bildirimlerinin kaydı ve düzeltici faaliyet |
Tablodaki başlıklar yalnızca yazılım şirketlerini ilgilendirmez. Birden fazla yapay zeka aracını bir arada kullanan, iç şablonlarla belge üreten ya da müvekkillerine yapay zeka destekli hizmet sunan büyük bir büro da standardı kendi iç yönetimi için rehber olarak kullanabilir. Sertifika alma zorunluluğu bulunmasa bile ISO 42001’deki politika, risk değerlendirmesi ve insan gözetimi başlıkları, büro içi bir yapay zeka kullanım yönergesi hazırlanırken işe yarar bir iskelet sunar.
Sertifika almak isteyen kurumlar için belgelendirme iki aşamalı bir denetimle yürütülür. İlk aşamada dokümantasyon ve hazırlık düzeyi incelenir, ikinci aşamada ise sistemin sahada işleyip işlemediği denetlenir. ISO 42001 sertifikası üç yıllık bir döngüye tabidir ve bu süre boyunca her yıl gözetim denetimi yapılır.
ISO 27001’den Farkı
ISO 42001 ile en sık karıştırılan standart, bilgi güvenliğini düzenleyen ISO 27001’dir. ISO 27001 verinin gizliliğini, bütünlüğünü ve erişilebilirliğini korumaya odaklanır. ISO 42001 ise yapay zeka sisteminin yaşam döngüsü boyunca ortaya çıkan riskleri yönetmeyi amaçlar; şeffaflık, insan gözetimi ve sistemin insanlar üzerindeki etkisi bu risklerin başında gelir. Bir başka deyişle ISO 27001 “veri güvende mi” sorusuna, ISO 42001 ise “yapay zeka sorumlu biçimde yönetiliyor mu” sorusuna cevap arar.
| Karşılaştırma | ISO 27001 | ISO 42001 |
|---|---|---|
| Odak | Bilgi güvenliği | Yapay zeka yönetimi |
| Temel risk | Veri sızıntısı, yetkisiz erişim | Hatalı veya taraflı çıktı, şeffaflık eksikliği |
| Etki değerlendirmesi | Bilgi varlıklarına yönelik risk analizi | Kişi ve toplum üzerindeki etkinin değerlendirilmesi |
| Yapı | Uyumlaştırılmış yapı | Uyumlaştırılmış yapı |
| Birlikte uygulanma | Mümkün | ISO 27001’i tekrar etmez, ona atıf yapar |
İki standart aynı yapıyı paylaştığı için ISO 27001 sertifikasına sahip bir şirketin ISO 42001’e geçişi görece kolaydır. Bununla birlikte bir hukuk yazılımının ISO 27001 sertifikası taşıması, yapay zekaya özgü risklerinin de yönetildiği anlamına gelmez. Aynı durum tersinden de geçerlidir; ISO 42001 tek başına bir bilgi güvenliği güvencesi oluşturmaz. Müvekkil verisi işleyen bir araçta bu iki sertifikanın birlikte aranması, bu nedenle daha sağlıklı bir değerlendirme imkânı verir.
EU AI Act Nedir?
ISO 42001 gönüllü bir çerçeve sunarken EU AI Act, uyulması zorunlu kurallar koyar. Resmî adıyla (AB) 2024/1689 sayılı Yapay Zeka Tüzüğü 1 Ağustos 2024’te yürürlüğe girmiştir. Avrupa yapay zeka tüzüğü, yapay zeka sistemlerini taşıdıkları risk düzeyine göre kademelendirir ve yükümlülüklerin ağırlığını bu kademeye bağlar. Tüzüğün uygulama alanı yalnızca AB’de kurulu şirketlerle sınırlı değildir; AB pazarına sistem sunan ya da ürettiği çıktı AB’de kullanılan yabancı sağlayıcılar da kapsama girebilir. Bu geniş kapsam AI Act m. 2’de düzenlenmiştir.
Tüzüğe aykırılığın yaptırımları da kapsamı kadar geniştir. Yasaklanan uygulamalar için öngörülen idari para cezasının üst sınırı 35 milyon avro veya bir önceki mali yıla ait küresel yıllık cironun yüzde 7’sidir ve bu iki tutardan yüksek olanı uygulanır. Sağlayıcıların ve kullanıcıların şeffaflık kuralları da dahil olmak üzere diğer yükümlülüklerine aykırılıkta üst sınır 15 milyon avro veya cironun yüzde 3’üdür. KOBİ’ler bakımından ise iki tutardan düşük olanı esas alınır.
AI Act’in yürürlüğe girmesi GDPR’ın uygulanmasını ortadan kaldırmaz. Kişisel veri işleyen bir yapay zeka sisteminde GDPR yükümlülükleri varlığını sürdürür ve iki düzenlemenin birlikte değerlendirilmesi gerekir.
Risk Sınıflandırması ve Hukuk Yazılımlarının Yeri
Tüzük, yapay zeka sistemleri için dört temel kademe öngörür: yasaklanan uygulamalar, yüksek riskli sistemler, şeffaflık yükümlülüğüne tabi sistemler ve asgari riskli sistemler. Genel amaçlı yapay zeka modelleri için ise ayrıca kendine özgü kurallar getirilmiştir. Bir sistemin yüksek riskli sayılıp sayılmayacağı AI Act m. 6’da düzenlenmiş, yüksek riskli kullanım alanları da tüzüğün Ek III’ünde tek tek sayılmıştır.
Hukuk teknolojileri açısından belirleyici olan, Ek III’ün 8. bendidir. Bu bent, yargı makamlarına veya alternatif uyuşmazlık çözümüne yardımcı olmak amacıyla kullanılması öngörülen sistemleri yüksek riskli kabul eder. Avrupa Komisyonu’nun AI Act hizmet masasında yer alan açıklamaya göre yargısal karar taslağı hazırlayan, benzer dosyaların ele alınmasını destekleyen ya da somut olaya uygulanacak içtihat ve mevzuatı seçen sistemler bu kapsamdadır. Buna karşılık gelişmiş arama motorları, üst veri çıkarımı ve dil düzeltme gibi yardımcı işlevler, belirli koşullar altında yüksek risk sınıfının dışında tutulabilmektedir.
| Kullanım | Muhtemel risk sınıfı | Not |
|---|---|---|
| Hâkime karar taslağı hazırlayan sistem | Yüksek risk | Ek III, 8. bent kapsamında |
| Hakem heyetine emsal ve uygulanacak hukuku seçen sistem | Yüksek risk olabilir | Alternatif uyuşmazlık çözümü de bentte sayılıyor |
| Avukatın kullandığı içtihat arama aracı | Genellikle yüksek risk değil | Yargı makamı adına kullanılmıyorsa ayrıca değerlendirilmeli |
| Dilekçe veya sözleşme taslağı üreten sohbet aracı | Şeffaflık yükümlülükleri | Kullanıcıya yapay zeka ile etkileşimde olduğu bildirilmeli |
| Belge sınıflandırma, üst veri çıkarımı | Asgari risk veya muafiyet | Destekleyici, yardımcı işlev |
Tablo genel bir yönelim sunmakla birlikte, bir aracın hangi sınıfa girdiği kullanım amacına ve fiilen nasıl kullanıldığına göre değişebilir. Avukatların kullanımına sunulan araştırma araçlarının kural olarak yüksek riskli olmadığı söylenebilir. Ne var ki aynı araç bir tahkim heyetine ya da mahkemeye sunulduğunda sınıflandırmanın değişmeyeceği varsayılmamalıdır.
Yürürlük Takvimi
Risk sınıflarının hangi tarihten itibaren uygulanacağı da en az sınıflandırmanın kendisi kadar önemlidir, çünkü AI Act’in yürürlük tarihi ile uygulama tarihleri birbirinden ayrılır. Tüzük 2024’te yürürlüğe girmiş olsa da yükümlülükler kademeli olarak devreye girmektedir. Bu takvim, Temmuz 2026’da kabul edilen “Dijital Omnibus” değişikliğiyle yüksek riskli sistemler bakımından ertelenmiştir. White & Case’in aktarımına göre değişiklik, (AB) 2026/1744 sayılı Tüzük olarak 24 Temmuz 2026’da AB Resmî Gazetesi’nde yayımlanmış ve 27 Temmuz 2026’da yürürlüğe girmiştir.
| Tarih | Ne başladı veya başlayacak |
|---|---|
| 1 Ağustos 2024 | Tüzük yürürlüğe girdi |
| 2 Şubat 2025 | Yasaklanan uygulamalar ve yapay zeka okuryazarlığı hükümleri |
| 2 Ağustos 2025 | Genel amaçlı yapay zeka modeli kuralları, yönetişim ve yaptırım hükümleri |
| 2 Ağustos 2026 | Şeffaflık yükümlülüklerinin büyük bölümü ve genel uygulama |
| 2 Aralık 2026 | 2 Ağustos 2026’dan önce piyasaya sunulmuş üretken yapay zeka sistemleri için içerik işaretleme süresinin sonu |
| 2 Aralık 2027 | Ek III’te sayılan yüksek riskli sistemlere ilişkin yükümlülükler |
| 2 Ağustos 2028 | Ürün mevzuatına bağlı yüksek riskli sistemlere ilişkin yükümlülükler |
Hukuk teknolojileri için takvimdeki en yakın ve en somut tarih 2 Ağustos 2026’dır. Bu tarihten itibaren kullanıcıyla doğrudan etkileşime giren bir yapay zeka sistemi, karşısındaki kişiye bir yapay zeka ile iletişim kurduğunu açıkça bildirmek zorundadır; bu durum bağlamdan zaten anlaşılıyorsa bildirim gerekmeyebilir. Yapay zeka ile üretilen içeriklerin makine tarafından okunabilir biçimde işaretlenmesi de aynı yükümlülükler arasında yer alır. Avukatın yalnızca kendisinin kullandığı bir taslak aracında bu bildirimin pratik etkisi sınırlı kalabilir. Buna karşılık müvekkillere yönelik sohbet asistanları ya da büro web sitesindeki otomatik ön görüşme araçları bakımından konunun ayrıca değerlendirilmesi gerekir.
Yüksek riskli sistemlere ilişkin ertelemenin yükümlülükleri kaldırmadığını, yalnızca ileri bir tarihe taşıdığını da belirtmek gerekir. Omnibus değişikliği aynı zamanda yapay zeka okuryazarlığı yükümlülüğünü yumuşatmıştır: işletmelerden artık çalışanlarında “yeterli düzeyi sağlamaları” değil, bu okuryazarlığın gelişimini destekleyecek tedbirler almaları beklenmektedir. KOBİ’lere tanınan sadeleştirilmiş teknik dokümantasyon ve hafifletilmiş yaptırım imkânları da bu değişiklikle genişletilmiştir.
Türkiye’deki Hukuk Bürolarını Nasıl Etkiler?
Türkiye AB üyesi olmadığından AI Act Türkiye’de doğrudan uygulanan bir düzenleme değildir. Bununla birlikte tüzüğün sınır ötesi kapsamı ve Türkiye’deki hukuk teknolojisi sağlayıcılarının AB pazarına açılma eğilimi, etkinin büro düzeyine kadar ulaşmasına yol açmaktadır. Bu etki, büronun AB ile bağlantısına göre doğrudan ya da dolaylı bir biçim alır.
AB’ye Hizmet Veren Bürolar İçin Doğrudan Etki
AB’de müvekkili bulunan ya da AB’de faaliyet gösteren şirketlere danışmanlık veren bir hukuk bürosu, yapay zeka sistemini kullanan taraf sıfatıyla tüzüğün kapsamına girebilir. Bu durumda bürodan beklenen yükümlülükler, kullanılan sistemin risk sınıfına göre şekillenir. Yüksek riskli olmayan bir araştırma veya taslak aracında yükümlülükler görece sınırlıdır ve çalışanların yapay zeka okuryazarlığını destekleyen tedbirler ile şeffaflık kurallarına uyum öne çıkar.
Öte yandan AB’de müvekkil verisi işleyen bir büronun asıl yükü AI Act’ten değil, GDPR’dan kaynaklanır. GDPR ile yapay zeka arasındaki ilişki, AI Act’ten önce de vardı. Kişisel veri içeren bir dosyanın yapay zeka aracına yüklenmesi; hukuki dayanağın belirlenmesini, veri işleyen sözleşmesinin yapılmasını ve gerektiğinde veri koruma etki değerlendirmesini zorunlu kılabilir.
AB bağlantılı dosyalarda hangi yapay zeka aracının kullanıldığını, hangi tür verinin yüklendiğini ve çıktıyı kimin kontrol ettiğini dosya kaydına işlemek, ileride bir müvekkilin ya da denetim makamının talebi karşısında hızlı cevap vermeyi kolaylaştırır.
Dolaylı Etki: Tedarikçi Seçimi
Yalnızca yerel dosyalarla çalışan büroların çoğu için AI Act’in etkisi dolaylıdır ve kendini en açık biçimde tedarikçi seçiminde gösterir. AB pazarına açılan yerli hukuk teknolojisi şirketleri tüzüğe uyum sağlamak durumunda kalmaktadır. Bu uyum çabası, Türkiye’deki kullanıcılara sunulan ürünün dokümantasyonuna, şeffaflık bildirimlerine ve yönetim süreçlerine de yansıyabilir.
Kurumsal müvekkillerin beklentileri de bu tabloyu değiştirmektedir. AB’de faaliyet gösteren bir şirket, çalıştığı hukuk bürosuna hangi yapay zeka araçlarını kullandığını ve bu araçların hangi güvencelere sahip olduğunu sorabilir. Böyle bir görüşmede ISO 42001 veya ISO 27001 sertifikası, somut bir referans işlevi görür.
Bu gelişmeleri tedarikçi sözleşmesine yansıtmak da mümkündür. Hizmet sözleşmesine; sağlayıcının sertifika durumunda bir değişiklik olduğunda kullanıcıyı bilgilendirmesini, alt işleyen listesini güncel tutmasını ve ciddi bir hatayı belirli bir süre içinde bildirmesini öngören hükümler eklenebilir. Bu tür hükümler, ISO 42001 sertifikasının sağladığı süreç güvencesini büro açısından sözleşmesel bir taahhüde dönüştürür.
Türkiye’nin kendi mevzuatına bakıldığında, yapay zekaya özgü bir kanunun henüz yürürlükte olmadığı görülür. Kişisel veriler bakımından ise KVKK m. 12 uyarınca veri sorumlusunun gerekli teknik ve idari tedbirleri alma yükümlülüğü, yapay zeka araçları için de aynen geçerlidir. Kişisel Verileri Koruma Kurumu’nun 15 Eylül 2021’de yayımladığı “Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler” bağlayıcı olmasa da değerlendirmeye dahil edilebilir. Belge, yüksek riskli projelerde etki değerlendirmesi yapılmasını ve veri korumanın tasarım aşamasından itibaren gözetilmesini önermektedir.
Sertifikanın Garanti Ettikleri ve Etmedikleri
Tedarikçi seçiminde sertifikanın bu kadar önemli bir referans hâline gelmesi, onun neyi kanıtladığını doğru okumayı da gerekli kılar. ISO 42001 sertifikası, kurumun yapay zeka yönetim sistemini standardın gerekliliklerine uygun biçimde kurduğunu ve bu sistemin denetlendiğini gösterir. Başka bir ifadeyle sertifikalı bir kurumda yazılı politikaların, risk ve etki değerlendirmelerinin ve bunların fiilen uygulandığını gösteren kayıtların bulunması beklenir. Bu da sertifikası olmayan bir tedarikçiyle kıyaslandığında anlamlı bir farktır.
| Sertifikanın gösterdiği | Sertifikanın göstermediği |
|---|---|
| Yapay zeka politikası ve risk yönetimi süreçlerinin varlığı | Aracın her cevabının doğru olduğu |
| Bağımsız denetçi tarafından incelenmiş olma | Sertifika kapsamı dışındaki ürünlerin de aynı güvenceye sahip olduğu |
| Etki değerlendirmesi ve insan gözetimi kurgusu | AI Act’e veya KVKK’ya tam uyum |
| Düzeltici faaliyet ve iyileştirme döngüsü | Verinin Türkiye’de işlendiği |
Yapay zeka sertifikasyonu konusundaki bir başka karışıklık, “AI Act uyum belgesi” ifadesinden kaynaklanır. Tüzük, yüksek riskli olmayan sistemler için genel bir uyum belgesi öngörmez. Yüksek riskli sistemler ise ayrı bir uygunluk değerlendirmesinden geçer. ISO 42001 bu sürece hazırlık için yararlı bir çerçeve sunsa da tek başına tüzüğe uygunluk karinesi oluşturduğu varsayılmamalıdır; tüzükle uyumlaştırılmış Avrupa standartları ayrıca hazırlanmaktadır.
Sertifika Doğruluk Garantisi Değildir
Hukuk bürolarında en sık rastlanan yanılgı, ISO 42001 sertifikasının aracın hukuki doğruluğunu da belgelediğinin düşünülmesidir. Oysa standart, tek tek çıktıların doğruluğunu değil, sürecin nasıl yönetildiğini denetler. Bu nedenle sertifikalı bir araç da gerçekte var olmayan bir karar künyesi üretebilir ya da yürürlükten kalkmış bir hükmü güncelmiş gibi sunabilir.
Uygulamada bu yanılgının nasıl ortaya çıktığını tahmin etmek zor değildir. Tanıtım sunumunda sertifika logosunu gören bir ekip, ilk haftalarda araçtan gelen atıfları denetlemeyi kendiliğinden gevşetebilir. Hatalı bir atıf çoğu zaman tam da böyle bir dönemde, bir itiraz dilekçesinin son okumasında fark edilir. O noktada sorgulanan şey sertifikadan çok, kontrol alışkanlığının ne kadar kolay aşındığıdır.
Bu nedenle ISO 42001 sertifikası, tedarikçinin hatayı nasıl ele aldığına dair bir güvence olarak okunmalıdır. Her atfın birincil kaynakta doğrulanması ise avukatın kendi özen yükümlülüğünün bir parçası olmayı sürdürür.
Yazılım Sağlayıcısına Sorulacak 6 Soru
Sertifikanın neyi gösterip neyi göstermediği netleştikten sonra sıra, tedarikçiden doğru bilgiyi almaya gelir. Yapay zeka denetimi ve sertifika konusu konuşulurken “uyumlu musunuz” gibi genel bir soru yeterli bilgi vermez. Aşağıdaki altı soru, alınacak cevabın somut bir belgeye dayanmasını sağlamak amacıyla hazırlanmıştır.
| Soru | Beklenen cevap |
|---|---|
| 1. ISO 42001 veya ISO 27001 sertifikanız var mı, kapsamı hangi ürünleri içeriyor? | Sertifika numarası, belgelendirme kuruluşu ve kapsam metni |
| 2. Sertifikayı veren kuruluş hangi akreditasyon kurumu tarafından akredite edildi? | Akreditasyon kurumunun adı ve tescil bilgisi |
| 3. Ürününüz AI Act kapsamında hangi risk sınıfında değerlendiriliyor? | Yazılı bir risk sınıflandırması ve gerekçesi |
| 4. Hangi dil modeli sağlayıcılarını kullanıyorsunuz, veriler hangi ülkede işleniyor? | Alt işleyen listesi ve sunucu konumları |
| 5. Hatalı çıktı bildirildiğinde nasıl bir süreç işliyor? | Kayıt, inceleme ve düzeltme süreci, geri bildirim süresi |
| 6. Yüklenen belgeler model eğitiminde kullanılıyor mu, ne kadar süre saklanıyor? | Yazılı veri işleme sözleşmesi ve saklama politikası |
Bu soruların cevaplarının yazılı olarak alınması önemlidir. Satış görüşmesinde sözlü olarak verilen bir güvence, bir sorun ortaya çıktığında dayanak olarak kullanılamayabilir.
Büro notu: Tedarikçiden gelen cevapları, sertifika kopyasını ve veri işleme sözleşmesini tek bir “tedarikçi dosyası” klasöründe toplamak ve bu klasörü yılda bir güncellemek, hem müvekkil taleplerinde hem de iç denetimde işi kolaylaştırır.
Sertifika Nasıl Doğrulanır?
Tedarikçinin ilk sorudaki sertifika bilgisini paylaşması, sürecin yalnızca başlangıcıdır; bu bilginin doğruluğunu kontrol etmek ise birkaç dakikanızı alır. Burada bilinmesi gereken ilk nokta, ISO’nun kendisinin sertifika vermediğidir. Sertifikalar belgelendirme kuruluşları tarafından düzenlenir, bu kuruluşlar da ulusal akreditasyon kurumları tarafından akredite edilir. Türkiye’de bu görevi TÜRKAK yürütmektedir.
Doğrulama için şu adımlar izlenebilir:
- Sertifika üzerindeki numarayı, belgelendirme kuruluşunun adını ve geçerlilik tarihlerini not edin.
- Belgelendirme kuruluşunun internet sitesindeki sertifika sorgulama ekranından kaydı kontrol edin.
- Uluslararası Akreditasyon Forumu’nun IAF CertSearch veri tabanında, akredite sertifikalar arasında kaydın yer alıp almadığına bakın.
- Kapsam metnini okuyun ve sertifikanın kullanmayı düşündüğünüz ürünü kapsayıp kapsamadığını kontrol edin.
- Kayıt bulunamıyorsa ya da durum belirsizse belgelendirme kuruluşuna veya ilgili akreditasyon kurumuna doğrudan başvurun.
Doğrulama sırasında bazı işaretlere ayrıca dikkat etmek gerekir. Sertifikada belgelendirme kuruluşunun adı yerine yalnızca bir logonun bulunması, geçerlilik tarihine yer verilmemesi ya da kapsamın “yapay zeka hizmetleri” gibi aşırı genel bir ifadeyle yazılmış olması sorgulanmalıdır. ISO 42001 Aralık 2023’te yayımlandığı için bu tarihten önceye dayanan bir sertifika tarihi de dikkat çekici bir işarettir.
Akreditasyonu bulunmayan bir kuruluşun verdiği sertifika hukuken geçersiz sayılmaz, ancak sunduğu bağımsız denetim güvencesi zayıf kalır. Yapay zeka sertifikası gibi görece yeni bir alanda akreditasyonsuz “uyum belgeleri” ile karşılaşma ihtimali de daha yüksektir. Bu nedenle ISO 42001 sertifikasının akredite bir kuruluştan alınıp alınmadığı ayrıca kontrol edilmelidir.
Sık Sorulan Sorular
ISO 42001 zorunlu mu?
Hayır. ISO 42001 gönüllü bir standarttır ve ne Türkiye’de ne de AB’de genel bir yasal zorunluluk olarak öngörülmüştür. Bununla birlikte kurumsal müvekkiller veya ihale şartnameleri, tedarikçilerden bu sertifikayı talep edebilir. AI Act kapsamında yüksek riskli sistem sunan sağlayıcılar için ISO 42001, tüzüğün gerektirdiği risk ve kalite yönetimi süreçlerine hazırlıkta yararlı bir çerçeve olarak görülmektedir. Ancak tüzük, ISO 42001 sertifikasını bir şart olarak aramaz.
Sertifikasız araç kullanmak risk mi?
Sertifikanın bulunmaması, tek başına aracın güvensiz olduğu anlamına gelmez. Özellikle küçük ve yeni kurulmuş şirketler, süreçleri olgun olsa bile maliyet nedeniyle henüz belgelendirmeye başvurmamış olabilir. Böyle bir durumda risk değerlendirmesinin, yukarıdaki altı sorunun cevaplarına ve yazılı veri işleme sözleşmesine dayanması gerekir. Sertifikası bulunmayan bir araca müvekkil verisi yüklenmesi konusunda daha temkinli bir büro kuralı benimsemek de makul bir tercih olabilir.
KVKK uyumu ile ilişkisi nedir?
ISO 42001 bir KVKK uyum belgesi değildir. KVKK kişisel verilerin işlenmesini düzenleyen bir kanun, ISO 42001 ise yapay zekanın yönetimine ilişkin bir standarttır. ISO 42001 kapsamında yürütülen veri yönetimi ve etki değerlendirmesi çalışmaları, KVKK m. 12’deki teknik ve idari tedbir yükümlülüğünün yerine getirilmesine katkı sağlayabilir. Ancak aydınlatma, açık rıza veya yurt dışına aktarım gibi yükümlülüklerin karşılanıp karşılanmadığı ayrıca değerlendirilmelidir. Bu nedenle ISO 42001 sertifikası bulunan bir tedarikçi söz konusu olduğunda da KVKK yükümlülüklerinin ayrıca kontrol edilmesi gerekir.
Bir yanıt yazın