ISO/IEC 42001 Nedir? Yapay Zekâ Yönetim Sistemi Rehberi (2026)
ISO 42001yapay zeka yönetimiAIMSPECBsertifikasyonEU AI Act
ISO/IEC 42001 Nedir? Yapay Zekâ Yönetim Sistemi Rehberi (2026)
9 Ağustos 2026 · Güncelleme: 29 Ağustos 2026
Yapay zekâ artık deneme aşamasından çıkıp şirketlerin karar süreçlerine girdi: işe alım, kredi değerlendirme, müşteri hizmetleri, üretim planlaması. Bu da yeni bir soruyu gündeme getirdi — bu sistemleri kim, hangi kurala göre yönetiyor? ISO/IEC 42001 tam olarak bu boşluğu doldurmak için yayımlandı.
ISO/IEC 42001 nedir?
ISO/IEC 42001, yapay zekâ yönetim sistemi (AIMS — Artificial Intelligence Management System) için uluslararası standarttır. 2023'te yayımlandı ve yapay zekâya özel ilk yönetim sistemi standardı olma özelliğini taşıyor.
Standart, "yapay zekâ modeli nasıl eğitilir" gibi teknik bir reçete vermez. Bunun yerine kurumun yapay zekâyı nasıl yönettiğini çerçeveye oturtur: hangi risklerin değerlendirildiği, kimin sorumlu olduğu, kararların nasıl belgelendiği, sistemin nasıl izlendiği ve sürekli iyileştirildiği.
Mantığı ISO/IEC 27001 (bilgi güvenliği) veya ISO 9001 (kalite) ile aynıdır: bağlamı anla, politika kur, riski yönet, uygula, ölç, iyileştir.
Neden şimdi gündemde?
Üç etken aynı anda çalışıyor:
Düzenleme baskısı. AB Yapay Zekâ Yasası (EU AI Act) yüksek riskli yapay zekâ sistemleri için risk yönetimi, veri yönetişimi, kayıt tutma ve insan gözetimi zorunlulukları getiriyor. ISO/IEC 42001'in kurduğu yapı bu gerekliliklerle büyük ölçüde örtüşüyor — sıfırdan sistem kurmak yerine standart üzerinden ilerlemek daha hızlı bir yol.
Müşteri ve tedarik zinciri talebi. Kurumsal alıcılar tedarikçilerinden yapay zekâ kullanımına dair güvence istemeye başladı. "Yapay zekâ kullanıyoruz" demek yetmiyor; nasıl yönetildiğinin belgelenmesi isteniyor.
İç risk. Yanlı model, açıklanamayan karar, sızan veri — bunların hepsi itibar ve hukuki risk. Standart, bu riskleri tesadüfe bırakmayan bir yönetim disiplini kuruyor.
ISO/IEC 42001 neyi kapsıyor?
Standardın gerektirdiği temel başlıklar şunlar:
Kuruluşun bağlamı — yapay zekâyı nerede, hangi amaçla kullanıyorsunuz; ilgili taraflar kimler
Liderlik ve politika — üst yönetimin sahiplenmesi, yazılı yapay zekâ politikası
Risk yönetimi planlaması — yapay zekâya özgü risklerin (yanlılık, şeffaflık, güvenlik, veri kalitesi) belirlenmesi ve ele alınması
Destek — yetkinlik, farkındalık, iletişim, belgelenmiş bilgi
Operasyon — yapay zekâ sistemlerinin yaşam döngüsü boyunca kontrolü
Performans değerlendirme — izleme, ölçme, iç denetim, yönetimin gözden geçirmesi
İyileştirme — uygunsuzlukların ele alınması ve sürekli iyileştirme
Standardın kontrol yapısı: Ek A, B, C ve D
Madde 4–10 arasındaki ana gövde yönetim sisteminin gerekliliklerini tanımlar; kontroller eklerde toplanmıştır:
Ek A (normatif) — dokuz grup altında toplanmış 38 yapay zekâ kontrolü. Gruplar yapay zekâ politikaları, iç organizasyon ve roller, yapay zekâ sistemleri için kaynaklar, etki değerlendirmesi, sistem yaşam döngüsü, veri, ilgili taraflara sağlanan bilgi ve dokümantasyon, sistemlerin sorumlu kullanımı ve üçüncü taraf ile müşteri ilişkileri başlıklarını kapsar.
Ek B (normatif) — Ek A'daki her kontrol için uygulama rehberliği.
Ek C (bilgilendirici) — yapay zekâya ilişkin olası kurumsal hedefler ve risk kaynakları; risk değerlendirmesinde başlangıç noktası olarak kullanılır.
Ek D (bilgilendirici) — yönetim sisteminin farklı sektör ve kullanım alanlarında nasıl uygulanacağı.
Ek A'nın mantığı ISO/IEC 27001'in Ek A'sına benzer: kontroller topluca uygulanması gereken bir zorunluluk listesi değil, risk değerlendirmesinin çıktısına göre seçilir; seçilmeyenin gerekçesi yazılır. Uygulanan ve uygulanmayan kontrollerin kaydı, denetimde hesap verebilirliğin temel belgesidir.
KVKK ve GDPR'ın yerine geçer mi?
Geçmez ve bu ayrım önemlidir. ISO/IEC 42001 bir yönetim sistemi standardıdır; kişisel veri işleyen bir yapay zekâ sisteminde KVKK ve GDPR yükümlülükleri (hukuki dayanak, aydınlatma, veri sahibi hakları, veri minimizasyonu) aynen sürer. Standardın yaptığı, bu yükümlülükleri tesadüfe bırakmamaktır: veri kaynaklarının ve kullanım amaçlarının kayda geçmesi, etki değerlendirmesinin yapılması, sorumluların atanması, kararların izlenebilir olması.
Pratik faydası şudur: bir denetimde veya kurumsal müşteri sorusunda "kişisel veriyi bu sistemde nasıl yönettiğinizi gösterin" dendiğinde, yönetim sistemi bu kanıtı zaten üretmiş olur. Yani 42001 bir uyum belgesi değil, uyumu kanıtlanabilir hâle getiren düzendir.
Kimler için uygun?
ISO/IEC 42001 yalnız yapay zekâ geliştiren şirketler için değil. Yapay zekâ kullanan her kurum kapsama girer:
Yapay zekâ ürünü geliştiren yazılım şirketleri
Karar süreçlerinde yapay zekâ kullanan bankalar, sigorta ve sağlık kurumları
Yapay zekâ tedarik eden kamu kurumları
Müşterisine yapay zekâ güvencesi vermek zorunda kalan tedarikçiler
Sertifikasyon nasıl işliyor?
Burada iki ayrı kavramı karıştırmamak gerekir:
Kurum belgelendirmesi — kuruluşun yapay zekâ yönetim sisteminin ISO/IEC 42001'e uygunluğunun akredite bir belgelendirme kuruluşu tarafından denetlenmesi.
Kişi sertifikasyonu — bir profesyonelin bu sistemi kurma veya denetleme yetkinliğinin belgelenmesi. PECB gibi ISO/IEC 17024 akreditasyonuna sahip kuruluşlar bu sertifikaları verir.
Kişi sertifikasyonunda üç düzey vardır:
Düzey
Kimin için
Süre
Foundation
Temel kavramları öğrenmek isteyenler
2 gün · 14 CPD
Lead Implementer (baş uygulayıcı)
Sistemi kuracak ve yönetecekler
5 gün · 31 CPD
Lead Auditor (baş denetçi)
Sistemi denetleyecekler
5 gün · 31 CPD
Foundation için ön koşul yoktur; yapay zekâ veya yönetim sistemi deneyimi gerekmez.
Nereden başlamalı?
Kurumunuzda yapay zekâ yönetimini kurmayı düşünüyorsanız sıra genellikle şudur: önce temel kavramları oturtan Foundation, ardından rolünüze göre Lead Implementer (kuracaksanız) veya Lead Auditor (denetleyeceksiniz).
Yapay Zeka Okulum, PECB Yetkili Eğitim Ortağı olarak ISO/IEC 42001 programlarının üçünü de sunuyor. Sertifikayı PECB düzenler; ISO/IEC 17024 kapsamında IAS ve UKAS tarafından akreditedir ve 150'den fazla ülkede tanınır.
Program ayrıntıları, katılım biçimleri ve güncel fiyatlar için eğitim sayfalarımızı inceleyebilirsiniz:
Sertifikaya giden yolu planlıyorsanız iki yazı daha işinizi görür: sınavı geçmenin tek başına
yetmediğini ve deneyimin hangi kimlik bilgisine denk geldiğini anlattığımız
ISO/IEC 42001 deneyim şartı yazısı ve
ISO 27001 mi ISO 42001 mi, hangisi önce
karşılaştırması.
Kurum belgelendirmesinin nasıl işlediğini (Aşama 1/Aşama 2 tetkik, yıllık gözetim, zorunlu dokümante bilgi) somut adımlarla görmek için ISO/IEC 27001 belgesi nasıl alınır yazısına bakabilirsiniz; mantık 42001 tarafında da aynıdır.
Standarda geçmeden önce kurumda atılacak adımları — envanter, risk sınıflandırması, politika, veri kuralları ve farkındalık eğitimi — kurumlar için güvenli yapay zekâ yazısında sekiz adımlık bir tabloya döktük.
Sıkça Sorulan Sorular
ISO/IEC 42001 yasal olarak zorunlu mu?
Hayır, gönüllü bir standarttır ve tek başına hiçbir ülkede yasal zorunluluk değildir. Ancak AB Yapay Zekâ Yasası'nın yüksek riskli sistemler için istediği risk yönetimi, veri yönetişimi, kayıt tutma ve insan gözetimi kanıtlarını üretmeyi kolaylaştırır. Kurumsal alıcılar ve kamu alımları da bu güvenceyi sözleşme şartı olarak isteyebilir.
Belge kuruma mı kişiye mi verilir?
İkisi ayrı süreçtir. Kurumun yapay zekâ yönetim sistemi akredite bir belgelendirme kuruluşu tarafından denetlenerek belgelendirilir. Kişi sertifikasyonu ise bir profesyonelin yetkinliğini belgeler ve PECB gibi ISO/IEC 17024 akreditasyonuna sahip kuruluşlar tarafından verilir. Kişisel sertifikanız kurumunuzu belgelendirmiş saymaz.
ISO/IEC 27001 olmadan ISO/IEC 42001 kurulabilir mi?
Evet, ISO/IEC 27001 ön koşul değildir. Yine de iki standart ISO'nun uyumlaştırılmış yapısını paylaştığı için bağlam, liderlik, risk yönetimi, iç denetim ve yönetimin gözden geçirmesi gibi iskelet unsurlar yeniden kullanılabilir; 27001'i kurmuş bir kurum 42001'de daha hızlı ilerler.
Kurumsal hukuk ve sözleşme süreçlerinde yapay zekâ standartlarının uygulanması hakkında detaylar için Hukukta Yapay Zekâ analizimize göz atabilirsiniz.
