ISO/IEC 42001 ve AB Yapay Zekâ Yasası: örtüşen alanlar ve kritik boşluklar

AB Yapay Zekâ Yasası'na (EU AI Act) hazırlanan kuruluşların önemli bir kısmı, ISO/IEC 42001:2023'e dayalı bir yapay zekâ yönetim sistemini halihazırda işletiyor ya da kuruyor. Bu durumda tek bir sistemin her iki ihtiyaca da hizmet edip edemeyeceğini sormak yerinde bir sorudur. Yanıt büyük ölçüde olumludur. Standart ve Tüzük risk temelli ortak bir bakış açısını paylaşır; Yasa'nın beklediği süreçlerin birçoğu da 42001 çerçevesi içinde konumlandırılabilir.

Her iki düzenleme de yakın zamanda değişti. "Yapay Zekâ için Dijital Omnibus" olarak bilinen (AB) 2026/1744 sayılı Tüzük, 24 Temmuz 2026'da AB Resmî Gazetesi'nde yayımlandı. Bu Tüzük, yüksek riskli sistemlere ilişkin son tarihleri erteledi. Ek III'te listelenen bağımsız yüksek riskli sistemlere yönelik yükümlülükler artık 2 Ağustos 2026 yerine 2 Aralık 2027'den itibaren uygulanıyor. Ek I Bölüm A kapsamındaki ürünlere gömülü yapay zekâya ilişkin yükümlülükler ise 2 Ağustos 2028'den itibaren geçerli. Yasaklar, yapay zekâ okuryazarlığı ve genel amaçlı yapay zekâ kuralları zaten 2025'ten bu yana yürürlükteydi. Dijital Omnibus, Madde 4'teki yapay zekâ okuryazarlığı yükümlülüğünü de yeniden düzenledi. Sağlayıcılar ve uygulayıcılar (deployer) artık belirli bir düzeyi güvence altına almak yerine, personelinin yapay zekâ okuryazarlığının gelişimini desteklemekle yükümlü. Ek süre değerlidir; ancak uygulayıcılar bu süreyi beklemek için bir gerekçe olarak değil, sağlam bir hazırlık fırsatı olarak görmelidir.

Daha teknik nitelikteki ikinci bir değişiklik de en az bunun kadar önemlidir. 14 Ekim 2026'da (AB) 2026/2274 sayılı Komisyon Uygulama Kararı, EN 18286:2026'ya AB Resmî Gazetesi'nde atıf yaptı. EN 18286, özellikle Yapay Zekâ Yasası amaçları doğrultusunda hazırlanmış bir kalite yönetim sistemi standardıdır ve Yasa kapsamındaki ilk uyumlaştırılmış standarttır (harmonised standard).

Yasa'nın, AB pazarında yapay zekâ sistemi piyasaya arz eden ya da sistem çıktıları AB'de kullanılan Türk şirketlerini de etkileyebileceğini hatırlatmakta fayda var.

ISO/IEC 42001'in iyi örtüştüğü alanlar

ISO/IEC 42001, bilinen yönetim sistemi yapısını (Madde 4–10) izler. Buna ek olarak Ek A'da referans kontroller, Ek B'de uygulama rehberi ve hedefler, risk kaynakları ve diğer yönetim sistemleriyle entegrasyon konularında bilgilendirici ekler sunar. Standardın birçok unsuru, Yasa'nın yüksek riskli sistemler ve bu sistemlerin işletenlerine yönelik gereklilikleriyle yakından örtüşür.

Uyum en çok kurumsal düzeyde güçlüdür: üst yönetimin hesap verebilirliği, tanımlı roller, risk ve etki değerlendirmesi, yaşam döngüsü kontrolleri, tedarikçi yönetimi, iç denetim ve düzeltici faaliyet. Yapay zekâ sistemi etki değerlendirmesine ilişkin ISO/IEC 42005:2025, Madde 27'deki temel haklar etki değerlendirmesi (FRIA) için yararlı bir yöntem sunar. Ancak FRIA'nın yerini almaz. Bu yükümlülük esas olarak kamu kurumlarına, kamu hizmeti sunan özel kuruluşlara ve belirli kredi skorlama ile sigorta fiyatlandırma sistemlerinin uygulayıcılarına düşer. Değerlendirme sonuçlarının piyasa gözetim otoritesine bildirilmesi zorunludur.

Yetersiz kaldığı alanlar

Konuların örtüşmesi, sistemin Yasa'ya uygun olduğu anlamına gelmez. Bazı boşluklar yapısaldır.

Uygunluk varsayımı. ISO/IEC 42001 sertifikası, Yapay Zekâ Yasası kapsamında uygunluk varsayımı (presumption of conformity) sağlamaz. Uygunluk varsayımı yalnızca Madde 40 uyarınca AB Resmî Gazetesi'nde atıf yapılan uyumlaştırılmış standartlardan doğar. EN 18286 bile dar bir varsayım sağlar; bu varsayım Madde 17(1)'i ve Madde 11(1)'in ilk cümlesini kapsar. Madde 9, 10 ve 12–15'teki esasa ilişkin gereklilikleri kapsamaz. Komisyon, EN 18286'nın ISO/IEC 42001 gibi uluslararası standartların yerini almak için değil, bunların üzerine inşa edilmek üzere tasarlandığını belirtmiştir. Risk yönetimi, veri yönetişimi, loglama, insan gözetimi, doğruluk, sağlamlık ve siber güvenlik dahil kalan alanlara yönelik uyumlaştırılmış standartlar hâlâ CEN-CENELEC JTC 21 bünyesinde hazırlanmaktadır.

Ürün düzeyinde uygunluk değerlendirmesi. ISO/IEC 42001, bir kuruluşun yönetim sistemini belgelendirir. Yasa ise sistemleri tek tek değerlendirir. Madde 43 uyarınca Ek III sistemlerinin çoğu, Ek VI kapsamındaki iç kontrol prosedürüne tabidir. Bazı biyometrik sistemler onaylanmış kuruluş (notified body) gerektirir; Ek I ürünleri ise mevcut sektörel prosedürlerinden geçer. Her esaslı değişiklik yeni bir değerlendirme gerektirir. ISO/IEC 42006'ya göre akredite bir belgelendirme denetimi, bunların hiçbiriyle aynı faaliyet değildir.

Teknik dokümantasyonun içeriği. Ek A.6.2.7 uygun teknik dokümantasyon ister. Madde 11 ve Ek IV ise gerekli içeriği çok daha ayrıntılı biçimde belirler. Genel bir dokümantasyon kontrolü bu dosyayı tek başına üretmez.

CE işareti, beyan ve kayıt. AB uygunluk beyanı, CE işareti ve AB veri tabanına kayıt, 42001'in ele almadığı düzenleyici çıktılardır.

Piyasa sonrası izleme ve ciddi olaylar. Madde 72 uyarınca sağlayıcıların belgelenmiş bir piyasa sonrası izleme sistemine ve planına sahip olması gerekir. Madde 73 sabit bildirim süreleri öngörür. Genel sınır, sağlayıcının ciddi olaydan haberdar olmasından itibaren 15 gündür. Bu süre, yaygın ihlallerde ve kritik altyapının ciddi ve geri dönüşü olmayan şekilde aksamasına yol açan olaylarda iki gün, ölüm meydana geldiğinde ise on gündür. Ek A.8.4 (olayların bildirilmesi) bir başlangıç noktasıdır; ancak herhangi bir süre belirlemez ve bildirimin kime yapılacağını tanımlamaz.

Veri yönetişimine özgü gereklilikler. Madde 10 somut uygulamaları sıralar. Bunlar arasında tasarım tercihlerinin ve veri kaynağının belgelenmesi, yanlılığın incelenmesi ve azaltılması, veri setlerinin temsil edici ve mümkün olduğunca hatasız olmasının sağlanması ve sistemin kullanılacağı ortamın yansıtılması yer alır. Dijital Omnibus ayrıca yanlılık tespiti amacıyla özel nitelikli verilerin işlenmesine ilişkin hukuki dayanağı yeni Madde 4a'ya taşımış ve bunu katı bir zorunluluk testine bağlamıştır. A.7 kontrolleri doğru yönü gösterir, ancak çok daha az belirleyicidir.

Pratik öneriler

• Önce sınıflandırın. Herhangi bir kontrol eşleştirmesine başlamadan önce, rolünüzü (sağlayıcı, uygulayıcı ya da her ikisi) ve her sistemin risk kategorisini kaydeden bir yapay zekâ envanteri oluşturun.
• 42001'i yanıtın kendisi değil, omurga olarak görün. Uygulanabilir her maddeyi belirli bir süreç, kontrol ve kanıtla ilişkilendiren bir düzenleyici gereklilikler kaydı tutun.
• EN 18286'yı kalite yönetim sisteminize karşı değerlendirin. Yüksek riskli sistem sağlayıcısıysanız, standardın bilgilendirici eşleştirme eklerinden yararlanarak 42001 süreçlerinizle EN 18286 arasındaki boşlukları kapatın.
• Düzenleyici çıktıları ayrıca oluşturun. Ek IV teknik dokümantasyonu, uygunluk beyanları, piyasa sonrası izleme planları ve Madde 73 sürelerini içeren ciddi olay müdahale kılavuzları için ürün düzeyinde şablonlar hazırlayın.
• Etki değerlendirmesini tek bir sürece dönüştürün. Madde 6.1.4'ü ve ISO/IEC 42005'i; FRIA'yı, GDPR kapsamındaki DPIA girdisini ve yapay zekâ sistemi etki değerlendirmesini üreten, aralarında açık çapraz atıflar bulunan tek bir süreç olarak kullanın.
• Mükerrerlik yerine entegrasyonu tercih edin. Madde 17, halihazırda sektörel kalite yönetimi yükümlülüklerine tabi olan sağlayıcıların yapay zekâ gerekliliklerini bu sistemlere dahil etmesine olanak tanır. Finansal kuruluşlar; risk yönetimi, piyasa sonrası izleme ve olay bildirimi dışında büyük ölçüde mevcut yönetişim kurallarına dayanabilir.
• Standart sürecini takip edin. Yeni uyumlaştırılmış standartlara atıf yapıldıkça referans noktanızı yeniden belirlemeyi planlayın.

Son değerlendirme

ISO/IEC 42001, kuruluşlara yapay zekâyı yönetmek için sağlam bir yönetim yapısı sunar ve Yapay Zekâ Yasası'nın beklentilerinin önemli bir kısmı bu yapı üzerinden yürütülebilir. Ancak Yasa yalnızca kurumsal disiplini değil, ürünleri ve bunların piyasaya arzını düzenler. Bu farkı açıkça ortaya koyan ve belgelendirilmiş bir yönetim sisteminin üzerine Yasa'nın gerektirdiği ürün düzeyindeki kanıtları inşa eden uygulayıcılar, bir sertifikayı uyumla eş tutanlara göre daha güçlü bir konumda olacaktır. Revize edilen takvim, bu çalışmayı özenle yürütmek için alan tanır. Yapılması gerekenleri ise değiştirmez.