Rehber · Belgelendirme
ISO/IEC 42001 belgelendirme: kapsam, süre ve maliyet kalemleri
ISO/IEC 42001 belgelendirmesinin maliyeti, tek bir rakamla ifade edilebilecek bir büyüklük değildir; beş ayrı kalemin toplamıdır ve bu kalemlerin tamamı kapsam tanımına bağlı olarak değişir. Bu rehber, her kalemi neyin büyütüp neyin küçülttüğünü, kapsamın savunulabilir biçimde nasıl daraltılacağını, mevcut bir ISO/IEC 27001 yönetim sisteminin ne kadarının yeniden kullanılabileceğini ve belgenin hangi hâllerde gerçekten değerli olduğunu açıklamaktadır.
İçindekiler
ISO/IEC 42001 bir Avrupa harmonize standardı değildir ve AB Yapay Zekâ Yasası bakımından uygunluk karinesi sağlamaz.[1][2] Belgeye sahip olmak, Tüzük kapsamındaki hiçbir yükümlülüğün yerine getirildiği anlamına gelmez ve ceza kademeleri bakımından muafiyet doğurmaz. Belgelendirme kararının, Tüzük uygunluğu beklentisiyle verilmemesi gerekmektedir. Bu husus, satın alma sürecinde en sık yanlış aktarılan noktadır.
BÖLÜM 1Belgenin ne sağladığı ve ne sağlamadığı
ISO/IEC 42001, yapay zekâ yönetim sistemi standardıdır. Kuruluşun yapay zekâ ile ilgili faaliyetlerini planlama, uygulama, izleme ve iyileştirme döngüsüne bağlamasını öngörür.[1] Standart, belirli bir yapay zekâ sisteminin güvenli veya doğru olduğunu tespit etmez; kuruluşun bu tespiti yapabilecek bir yönetim düzenine sahip olduğunu gösterir. Bu ayrım, belgenin ne işe yaradığını anlamak bakımından belirleyicidir.
Belgelendirmenin sağladığı somut sonuç üçtür. Birincisi, bağımsız bir tarafın kuruluşun yönetim sistemini denetlemiş olmasıdır. İkincisi, müşteri tedarikçi değerlendirme süreçlerinde tekrar tekrar sorulan soruların tek bir belgeyle karşılanabilmesidir. Üçüncüsü, kuruluş içinde yapay zekâ ile ilgili sorumlulukların isimli kişilere bağlanmasını zorunlu kılmasıdır. Sağlamadığı sonuçlar ise şunlardır: herhangi bir mevzuata uygunluk karinesi, belirli bir sistemin performansına ilişkin güvence ve düzenleyici makam önünde bir savunma.
BÖLÜM 2Beş maliyet kalemi
Belgelendirmenin toplam maliyeti beş kalemden oluşur. Bu sayfada tutar verilmemektedir; verilen bilgi, her kalemin hangi değişkenlere bağlı olarak büyüdüğü ve küçüldüğüdür. Teklif alırken bu değişkenlerin bilinmesi, karşılaştırılabilir teklifler elde etmenin tek yoludur.
| Kalem | Neyi kapsar | Büyüten unsurlar | Küçülten unsurlar |
|---|---|---|---|
| 1. Belgelendirme denetim ücreti | Belgelendirme kuruluşunun birinci ve ikinci aşama denetimleri, belge kararı ve belge düzenleme işlemleri. | Kapsam içindeki personel sayısı, lokasyon sayısı, yapay zekâ sistemi sayısı ve çeşitliliği, süreç karmaşıklığı, yerinde denetim gereksinimi ve seyahat. | Dar kapsam, tek lokasyon, mevcut yönetim sistemleriyle bütünleşik denetim, uzaktan denetim payının artırılması. |
| 2. Danışmanlık ve hazırlık | Boşluk analizi, yönetim sistemi tasarımı, doküman seti, risk ve etki değerlendirmesi metodolojisi, iç denetim desteği. | Sıfırdan başlama, mevcut yönetim sistemi bulunmaması, yapay zekâ envanterinin çıkarılmamış olması, dağınık sahiplik, çok sayıda özel geliştirme. | Mevcut ISO/IEC 27001 sistemi, hazır envanter, tanımlı sahiplik, hazır olan teknik kontroller. |
| 3. Teknik kontrol ve lisans | Standardın beklediği kontrollerin fiilen kurulması için gereken ürün, lisans ve yapılandırma emeği. | Denetim kaydı ve veri kaybı önleme yeteneklerinin mevcut lisans paketinde bulunmaması, ayrı izleme aracı gereksinimi, model ve istem sürüm yönetimi altyapısının kurulması. | Mevcut kurumsal paketin gerekli yetenekleri hâlihazırda içermesi, tek bir platform üzerinde yoğunlaşma. |
| 4. İç kaynak zaman maliyeti | Kuruluş personelinin görüşme, doküman gözden geçirme, kontrol uygulama, kayıt üretme, iç denetim ve denetime eşlik için ayırdığı zaman. | Çok sayıda birimin kapsama alınması, karar mekanizmalarının yavaş işlemesi, sahiplerin başka projelere bölünmüş olması. | Tek bir isimli sahip, sınırlı sayıda birim, haftalık sabit toplantı düzeni, hazır kayıt üretme alışkanlığı. |
| 5. Gözetim denetimleri | Belgelendirme çevrimi boyunca yapılan dönemsel gözetim denetimleri ve çevrim sonundaki yeniden belgelendirme. | Kapsamın genişletilmesi, lokasyon eklenmesi, çevrim içinde büyük değişiklikler, önceki denetimde uygunsuzluk bulunması. | Kapsamın sabit tutulması, uygunsuzluk çıkmaması, iç denetimin fiilen işletiliyor olması. |
Beş kalem arasında en sık göz ardı edilen dördüncüsüdür. İç kaynak zaman maliyeti bütçeye yazılmadığında, proje personelin mevcut işinin üzerine eklenir ve takvim kaçınılmaz olarak uzar. Takvimin uzaması ise birinci ve ikinci kalemleri de büyütür; çünkü hem danışmanlık süresi hem de denetim planlaması yeniden yapılır. Bütçenin, dördüncü kalem açıkça hesaplanmadan onaylanmaması önerilmektedir. Ayrıca beşinci kalemin çevrim boyunca tekrar eden bir gider olduğu, ilk yıl bütçesine bakılarak karar verilirken gözden kaçmaktadır.
BÖLÜM 3Kapsam: en güçlü maliyet kaldıracı
Kapsam tanımı, beş kalemin tamamını aynı anda etkileyen tek değişkendir. Denetim süresi kapsamdan hesaplanır, danışmanlık eforu kapsamdaki sistem sayısıyla artar, kurulacak teknik kontrollerin sayısı kapsama bağlıdır, iç kaynak zamanı kapsanan birim sayısıyla doğru orantılıdır ve gözetim denetimlerinin yükü kapsamla birlikte büyür. Bu nedenle maliyet tartışması, teklif kalemleri üzerinden değil, kapsam cümlesi üzerinden yürütülmelidir.
Kapsamın daraltılması, sistemin ciddiyetinden ödün vermek anlamına gelmez. Aksine, ilk çevrimde dar ve derin bir kapsam, geniş ve yüzeysel bir kapsamdan hem daha savunulabilir hem de daha az uygunsuzluk üretir. Kapsamın savunulabilir biçimde daraltılması için dört ölçüt önerilmektedir.
- İş sonucuna göre daraltma. Kapsam, belgenin hangi soruyu cevaplaması gerektiğinden geriye doğru kurulmalıdır. Belge bir müşteri talebini karşılamak için alınıyorsa, kapsamın o müşteriye hizmet veren yapay zekâ sistemlerini ve bunları işleten birimleri içermesi yeterlidir.
- Sistem sayısına göre daraltma. İlk çevrimde, kuruluşun tüm yapay zekâ kullanımının değil, sınırlı sayıda ve tanımlı bir sistem kümesinin kapsama alınması tercih edilmelidir. Kümeye, kuruluşun kendi geliştirdiği ve üzerinde fiilen kontrol sahibi olduğu sistemlerin öncelikle dâhil edilmesi önerilmektedir.
- Organizasyonel sınıra göre daraltma. Kapsam, tanımlı bir hukuki veya organizasyonel sınıra oturtulmalıdır. Birden fazla tüzel kişiliğe veya coğrafyaya yayılan bir kapsam, denetim süresini ve seyahat maliyetini belirgin biçimde artırır.
- Yaşam döngüsü rolüne göre daraltma. Kuruluşun hem sağlayıcı hem uygulayıcı konumunda bulunduğu hâllerde, ilk çevrimde tek bir rolün kapsama alınması mümkündür. Kapsam cümlesinin bu rolü açıkça yazması gerekir.
Kapsam cümlesi, belgenin üzerinde yazılı olarak müşterilere gösterilecek metindir. Bu nedenle iki nitelikte olmalıdır: denetim karşısında sınırları belirli, müşteri karşısında ise anlaşılır. Aşırı dar yazılmış bir kapsam cümlesi, müşteri sorusunu karşılamayabilir ve belgenin alınma amacını boşa çıkarır. Kapsam cümlesinin, belgelendirme kuruluşuyla sözleşme imzalanmadan önce hedef müşteri kitlesinin beklentisi bakımından da değerlendirilmesi önerilmektedir.
BÖLÜM 4ISO/IEC 27001 örtüşmesi ve yapay zekâya özgü yeni alanlar
Yürürlükte bir ISO/IEC 27001 yönetim sistemi bulunması, hazırlık süresini ve danışmanlık kalemini belirgin biçimde azaltır. Bunun nedeni, iki standardın da aynı üst düzey yönetim sistemi yapısını kullanmasıdır. Ancak tasarrufun nerede olduğunun ve nerede olmadığının doğru bilinmesi gerekir; aksi hâlde “27001'imiz var, kolayca 42001 alırız” beklentisi takvimi bozar.
| Alan | Durum | Açıklama |
|---|---|---|
| Kuruluşun bağlamı ve ilgili tarafların belirlenmesi | Büyük ölçüde yeniden kullanılabilir | İlgili taraflar listesine, yapay zekâ sisteminden etkilenen kişilerin eklenmesi gerekir. |
| Liderlik, politika ve roller | Büyük ölçüde yeniden kullanılabilir | Yapay zekâya özgü bir politika ve isimli sahiplik eklenmesi yeterlidir. |
| Dokümante bilginin kontrolü | Doğrudan yeniden kullanılabilir | Aynı doküman kontrol düzeni kullanılır. |
| Yetkinlik, farkındalık ve iletişim | Büyük ölçüde yeniden kullanılabilir | Eğitim içeriğinin yapay zekâya özgü konularla genişletilmesi gerekir. |
| İç denetim ve yönetimin gözden geçirmesi | Doğrudan yeniden kullanılabilir | Denetim programına yeni kapsam eklenir; denetçi yetkinliğinin yapay zekâ konusunu kapsaması gerekir. |
| Uygunsuzluk ve düzeltici faaliyet | Doğrudan yeniden kullanılabilir | Aynı süreç işletilir. |
| Riskin yönü | Yeni | Bilgi güvenliği yönetim sisteminde risk, kuruluşun varlıklarına yönelik olarak değerlendirilir. Yapay zekâ yönetim sisteminde ise sistemin üçüncü kişilere ve bireylere yönelttiği risk de değerlendirilmelidir. Bu, risk metodolojisinin yeniden yazılmasını gerektirir ve en çok emek isteyen kalemdir. |
| Eğitim verisi üzerinde veri yönetişimi | Yeni | Verinin kaynağı, edinme yolu, kalitesi, hazırlanması, etiketlenmesi ve temsil ediciliği ele alınmalıdır. Mevcut bilgi güvenliği kontrolleri bu konuları kapsamaz. |
| Etki değerlendirmesi | Yeni | Risk değerlendirmesinden ayrı ve ona ek bir çalışmadır; sistemin bireyler ve toplum üzerindeki olası etkilerini konu alır. |
| Yaşam döngüsü kontrolleri | Yeni | Tasarım, doğrulama, geçerli kılma, devreye alma, işletim, izleme ve hizmetten çıkarma aşamalarının tanımlanması ve kayda bağlanması gerekir. |
| Etkilenen kişilere şeffaflık | Yeni | Sistemin yetenekleri, sınırları ve amaçlanan kullanımı hakkında kullanıcıların ve etkilenen kişilerin bilgilendirilmesi beklenir. Bilgi güvenliği yönetim sisteminde karşılığı bulunmayan bir başlıktır. |
| Yapay zekâya özgü tedarikçi ilişkileri | Kısmen yeni | Tedarikçi yönetimi süreci mevcuttur; ancak model sağlayıcıları, veri sağlayıcıları ve sürüm değişikliği bildirimlerine ilişkin hükümlerin eklenmesi gerekir. |
Yukarıdaki karşılaştırma, alan bazında yapılmıştır. Standardın ek bölümündeki kontrollerin numaralandırması ve gruplanması için standardın kendi metninin esas alınması gerekmektedir; standart metni telife tabidir ve resmî satın alma kanalından temin edilmelidir.[1]
BÖLÜM 5Altı ilâ on iki aylık gerçekçi takvim
Sıfırdan başlayan bir kuruluş için altı ilâ on iki aylık bir süre gerçekçidir. Sürenin alt sınıra yaklaşması, mevcut bir yönetim sisteminin bulunmasına, kapsamın dar tutulmasına ve karar mekanizmalarının hızlı işlemesine bağlıdır. Takvimin kısaltılamayan bölümü, denetimin kanıt görebilmesi için sistemin fiilen bir süre çalışmış olması gereğidir: iç denetimi yapılmamış ve hiç kayıt üretmemiş bir yönetim sistemi denetlenemez.
| Aşama | Çıktı | Tipik süre |
|---|---|---|
| 1. Kapsam tanımı ve boşluk analizi | Onaylı kapsam cümlesi, mevcut duruma göre eksik listesi, bütçe ve takvim taslağı | Üç ilâ altı hafta |
| 2. Yapay zekâ envanterinin çıkarılması | Kapsam içindeki sistemlerin envanteri; sahipler, veri kategorileri ve yaşam döngüsü konumu | Dört ilâ sekiz hafta, gölge kullanımın yaygınlığına göre değişir |
| 3. Yönetim sistemi tasarımı | Politika, rol yapısı, risk ve etki değerlendirmesi metodolojisi, uygulanabilirlik beyanı | Dört ilâ sekiz hafta, ikinci aşamayla kısmen paralel yürütülebilir |
| 4. Kontrollerin uygulanması | Teknik ve idari kontrollerin fiilen kurulması ve yapılandırmanın belgelenmesi | Sekiz ilâ on altı hafta |
| 5. İşletim ve kayıt üretimi | Sistemin çalıştığını gösteren kayıtlar: gözden geçirmeler, kararlar, olay kayıtları, eğitim kayıtları | En az sekiz hafta; bu süre kısaltılamaz |
| 6. İç denetim ve yönetimin gözden geçirmesi | İç denetim raporu, tespit edilen uygunsuzluklar ve düzeltici faaliyetler, yönetim gözden geçirme tutanağı | Üç ilâ dört hafta |
| 7. Belgelendirme kuruluşu seçimi ve sözleşme | Akreditasyonu doğrulanmış kuruluşla sözleşme ve denetim planı | Dört ilâ sekiz hafta, önceki aşamalarla paralel yürütülmelidir |
| 8. Birinci aşama denetim | Dokümantasyon ve hazırlık düzeyinin değerlendirilmesi, ikinci aşamaya hazır olma kararı | Bir ilâ iki hafta |
| 9. Bulguların giderilmesi | Birinci aşamada tespit edilen eksikliklerin kapatılması | İki ilâ altı hafta |
| 10. İkinci aşama denetim ve belge kararı | Yerinde denetim, uygunsuzlukların kapatılması ve belge kararı | İki ilâ altı hafta |
Belge alındıktan sonra süreç bitmez. Belgelendirme genellikle üç yıllık bir çevrim olarak yürütülür; çevrim içinde dönemsel gözetim denetimleri yapılır ve çevrim sonunda yeniden belgelendirme denetimi gerçekleştirilir. Bu nedenle karar verilirken tek yıllık bir bütçe değil, çevrimin tamamını kapsayan bir bütçe değerlendirilmelidir.
Hazırlığın yürütülmesi
Kapsam tanımı, boşluk analizi, yönetim sistemi kurulumu, iç denetim ve belgelendirme kuruluşu koordinasyonu tanımlı bir hazırlık işi olarak yürütülmektedir. Tarafsızlık şartı gereği belgelendirme faaliyeti yürütülmemektedir.
BÖLÜM 6Belgenin değerli olduğu ve olmadığı hâller
Belgelendirme kararı, maliyet kalemlerinin bilinmesinden önce bir gereklilik değerlendirmesini gerektirir. Aşağıda, belgenin gerçekten karşılığı olan üç durum ile karşılığı olmayan üç durum ayrı ayrı gösterilmektedir.
Değerli olduğu hâl 1: belge, satış sürecinin önünde bir engel olarak duruyorsa
Kurumsal alıcıların tedarikçi değerlendirme süreçlerinde yapay zekâ yönetimine ilişkin sorular giderek standartlaşmaktadır. Belge, bu soruların önemli bölümünü tek seferde karşılar ve her müşteri için ayrı ayrı kanıt üretme yükünü ortadan kaldırır. Bu durumda belgelendirmenin getirisi doğrudan ölçülebilir niteliktedir.
Değerli olduğu hâl 2: kuruluş yapay zekâ sistemini ürün olarak sunuyorsa
Yapay zekâ işlevini kendi ürününe gömerek satan bir kuruluş, alıcının tedarik zinciri değerlendirmesine tabi olur. Bu durumda belge, yalnızca bir pazarlama unsuru değil, ürünün arkasındaki geliştirme ve izleme düzeninin bağımsız olarak denetlenmiş olduğunun göstergesidir.
Değerli olduğu hâl 3: yapay zekâ portföyü dağınık ve çok sahipliyse
Farklı birimlerin birbirinden habersiz yapay zekâ girişimleri yürüttüğü kuruluşlarda, yönetim sisteminin kurulması bir belgelendirme faaliyetinden çok bir iç koordinasyon aracıdır. Belgelendirmenin getirdiği dış denetim baskısı, iç koordinasyonun kurulmasını hızlandırır.
Değerli olmadığı hâl 1: AB Yapay Zekâ Yasası uygunluğu amaçlanıyorsa
Belge, Tüzük bakımından uygunluk karinesi doğurmaz ve yüksek riskli sistem yükümlülüklerinin hiçbirini karşılamaz.[1][2] Tüzük uygunluğu amaçlanıyorsa yapılması gereken iş, kapsam ve rol tespitiyle başlayan ayrı bir çalışmadır. Bu iki çalışma birbirini destekler; ancak biri diğerinin yerine geçmez.
Değerli olmadığı hâl 2: kullanım tekil ve düşük riskliyse
Yapay zekâ kullanımı birkaç hazır aracın günlük işlerde kullanılmasından ibaret olan bir kuruluşta, bir yönetim sistemi kurmanın maliyeti sağladığı faydayı aşar. Bu kuruluşlar bakımından envanterin çıkarılması, kullanım kurallarının yazılması ve temel teknik kontrollerin kurulması yeterli ve orantılı bir yaklaşımdır.
Değerli olmadığı hâl 3: temel kontroller henüz kurulmamışsa
Envanteri bulunmayan, kimlik ve yetki düzeni oturmamış, denetim kaydı tutmayan bir kuruluşta belgelendirmeye başlanması, çalışmayan bir sistemin üzerine belge konulması sonucunu doğurur. Bu durumda ya denetim uygunsuzlukla sonuçlanır ya da belge, iç gerçeklikle bağı olmayan bir doküman setine dayanır. Sıra, temel kontrollerin kurulmasından sonra belgelendirmedir.
BÖLÜM 7Tarafsızlık şartı ve akreditasyonun doğrulanması
Yönetim sistemi belgelendirmesi yapan kuruluşlar ISO/IEC 17021-1 şartlarına tabidir. Standart, belgelendirme faaliyetinin tarafsız yürütülmesini sağlamak amacıyla, danışmanlık verilen bir yönetim sisteminin aynı taraflarca belgelendirilmesini engellemektedir.[3] Bunun pratik sonucu, hazırlık danışmanlığı ile belgelendirmenin ayrı taraflarca yürütülmesinin zorunlu olmasıdır.
Bu şart, kuruluş bakımından bir kısıt gibi görünse de fiilen bir korumadır: kendi kurduğu sistemi denetleyen bir tarafın vereceği belge, alıcı gözünde bağımsız bir güvence taşımaz. Aynı gerekçeyle, hazırlık danışmanlığı veren tarafın iç denetimi de yürütmesi bakımından dikkatli olunmalıdır; iç denetim desteği ile bağımsız güvence görüşü birbirinden ayrılmalıdır.
Belgelendirme kuruluşunun akreditasyon durumu, Türk Akreditasyon Kurumunun akredite kuruluş sorgulama kaydından doğrulanmalıdır. [4] Doğrulamanın kapsam düzeyinde yapılması gerekmektedir: bir belgelendirme kuruluşunun ISO/IEC 27001 veya ISO 9001 kapsamında akredite olması, ISO/IEC 42001 kapsamında da akredite olduğu anlamına gelmez. Akreditasyon kapsamları standart bazında verilir. Yurt dışında yerleşik bir akreditasyon kurumu tarafından akredite edilmiş kuruluşlarla çalışılması hâlinde, ilgili akreditasyon kurumunun kaydından aynı doğrulamanın yapılması gerekir.
Belgelendirme kuruluşu seçilirken doğrulanması önerilen hususlar şunlardır: ISO/IEC 42001 kapsamında geçerli bir akreditasyonun bulunması; denetçi kadrosunun yapay zekâ sistemleri bakımından yetkinliğinin gösterilebilmesi; denetim adam-gün hesabının hangi değişkenlere göre yapıldığının şeffaf biçimde açıklanması; çevrim boyunca yapılacak gözetim denetimlerinin planının baştan verilmesi; ve mevcut yönetim sistemi belgeleriyle bütünleşik denetim yapılabilirliğinin teyit edilmesi. Bu beş husus, farklı kuruluşlardan alınan tekliflerin karşılaştırılabilir hâle gelmesini sağlar.
Belgelendirme ücretleri, danışmanlık bedelleri ve lisans fiyatları kuruluşa, kapsama, tarihe ve tedarikçiye göre değişmektedir. Doğrulanmamış bir rakamın yayımlanması, bütçe kararlarını yanlış yönlendirir. Bu nedenle bu sayfada tutar verilmemekte; bunun yerine teklif alırken hangi değişkenlerin sorgulanması gerektiği gösterilmektedir. Karşılaştırılabilir teklif almanın yolu, aynı kapsam cümlesini ve aynı sistem listesini tüm taraflara vermektir.
EKKaynaklar
Bu sayfadaki her hukuki iddia aşağıdaki birincil kaynaklara dayanır. Bağlantılar yayımlayan makamın kendi sitesine gider.
- ISO/IEC 42001:2023 — ISO/IEC 42001:2023 — Information technology, Artificial intelligence, Management system. Uluslararası Standardizasyon Örgütü (ISO/IEC). Kaynak metin (Gönüllü standart)
- AB Yapay Zekâ Yasası — Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act). Avrupa Birliği Resmî Gazetesi, 12 Temmuz 2024. Kaynak metin (Bağlayıcı (AB hukuku))
- ISO/IEC 17021-1 — ISO/IEC 17021-1 — Conformity assessment, Requirements for bodies providing audit and certification of management systems. Uluslararası Standardizasyon Örgütü (ISO/IEC). Kaynak metin (Belgelendirme kuruluşları için bağlayıcı)
- TÜRKAK — Türk Akreditasyon Kurumu — Akredite Kuruluş Sorgulama. Türk Akreditasyon Kurumu. Kaynak metin (—)