ISO/IEC 42001, yapay zekâ sistemlerinin geliştirilmesi, sağlanması veya kullanılmasının bireyler, gruplar ve toplum üzerindeki olası sonuçlarını değerlendiren bir etki değerlendirme süreci tanımlanmasını ve bu değerlendirmenin planlı aralıklarla tekrarlanmasını ister. Bu değerlendirme, kuruluşun kendi risklerine odaklanan yapay zekâ risk değerlendirmesinden farklıdır; nasıl yapılacağına dair ayrıntılı rehberlik 2025’te yayımlanan ISO/IEC 42005’te yer alır.
Yapay zekâ sistemi etki değerlendirmesi, ISO/IEC 42001 yapay zekâ yönetim sistemini diğer yönetim sistemi standartlarından ayıran en önemli şartlardan biridir. Bilgi güvenliği veya kalite yönetim sistemlerinde risk değerlendirmesi ağırlıklı olarak işletmenin kendi hedeflerine yönelik riskleri ele alır. Yapay zekâ sistemlerinde ise bir kararın veya önerinin doğrudan bireyleri ve toplumu etkilemesi söz konusudur. Bir işe alım algoritmasının belirli bir grubu sistematik olarak elemesi, bir kredi skorlama modelinin açıklanamayan bir gerekçeyle başvuruyu reddetmesi veya bir sohbet asistanının yanıltıcı bilgi vermesi, işletmenin risk tablosunda düşük görünse bile etkilenen kişi için ciddi sonuçlar doğurabilir.
Bu rehberde ISO 42001’in etki değerlendirmesinden ne istediğini, risk değerlendirmesiyle farkını, ISO/IEC 42005’in sunduğu çerçeveyi ve değerlendirmeyi adım adım nasıl yapacağınızı anlatıyoruz. Standardın genel tanıtımı için ISO 42001 belgesi sayfamıza bakabilirsiniz.
ISO 42001 Etki Değerlendirmesinden Ne İster?
ISO/IEC 42001:2023’te etki değerlendirmesi iki yerde şart olarak geçer:
- Madde 6.1.4 Yapay zekâ sistemi etki değerlendirmesi: Kuruluş, yapay zekâ sistemlerinin geliştirilmesi, sağlanması veya kullanılmasının bireyler, birey grupları ve toplumlar üzerindeki olası sonuçlarını değerlendirmek için bir süreç tanımlamalıdır. Değerlendirme, sistemin teknik ve toplumsal bağlamını ve uygulandığı yetki alanlarını dikkate almalı, sonuçları dokümante edilmeli ve risk değerlendirmesine girdi olarak kullanılmalıdır.
- Madde 8.4 Yapay zekâ sistemi etki değerlendirmesi (operasyon): Etki değerlendirmeleri planlı aralıklarla veya önemli değişiklikler önerildiğinde ya da gerçekleştiğinde yapılmalı ve sonuçları saklanmalıdır.
Ayrıca standardın Ek A’sında yapay zekâ sistemlerinin etkilerinin değerlendirilmesine ayrılmış bir kontrol grubu bulunur. Bu grup; etki değerlendirme sürecinin kurulmasını, değerlendirmelerin dokümante edilmesini ve bireyler, gruplar ve toplum üzerindeki etkilerin ayrı ayrı değerlendirilmesini kapsar. Maddelerin tamamı için ISO 42001 standart maddeleri yazımıza bakabilirsiniz.
Etki Değerlendirmesi ile Risk Değerlendirmesi Arasındaki Fark
| Yapay zekâ risk değerlendirmesi (6.1.2) | Yapay zekâ sistemi etki değerlendirmesi (6.1.4) | |
|---|---|---|
| Odak | Kuruluşun yapay zekâ hedeflerine ulaşmasını etkileyen riskler | Sistemin bireyler, gruplar ve toplum üzerindeki olası sonuçları |
| Temel soru | Bu sistem bize ne gibi zarar verebilir? | Bu sistem etkilediği insanlara ne gibi sonuçlar doğurabilir? |
| Örnek | Model performansının düşmesi nedeniyle müşteri kaybı | Modelin belirli bir yaş grubuna karşı yanlı karar vermesi |
| İlişki | Etki değerlendirmesinin sonuçlarını girdi olarak kullanır | Sonuçları risk değerlendirmesine ve risk işleme kararlarına aktarılır |
Kısacası etki değerlendirmesi, risk değerlendirmesinin gözden kaçırabileceği insan odaklı sonuçları görünür kılar ve bunları yönetim sistemine taşır.
ISO/IEC 42005:2025 Ne Sağlar?
ISO/IEC 42005, yapay zekâ sistemi etki değerlendirmesi için rehberlik sağlayan ve Mayıs 2025’te yayımlanan bir standarttır. Değerlendirmenin ne zaman ve yapay zekâ yaşam döngüsünün hangi aşamalarında yapılacağını, nasıl dokümante edileceğini ve yapay zekâ risk yönetimi ve yönetim sistemiyle nasıl bütünleştirileceğini açıklar. Büyüklüğünden ve sektöründen bağımsız olarak yapay zekâ geliştiren, sağlayan veya kullanan her kuruluş için uygulanabilir. ISO/IEC 42005 bir belgelendirme standardı değildir; ancak ISO 42001’in etki değerlendirmesi şartını karşılamak için güçlü bir yöntem çerçevesi sunar.
Yapay zekâ sistemlerinizi, rolünüzü (geliştirici, sağlayıcı veya kullanıcı) ve çalışan sayınızı paylaşın; TÜRKAK akreditasyonu kapsamında ISO 42001 teklifimizi hazırlayalım.
Etki Değerlendirmesinde Ele Alınacak Konular
- Sistemin tanımı: Amacı, kullanım senaryoları, öngörülebilir kötüye kullanım, karar verme düzeyi (öneri mi, otomatik karar mı?), insan gözetiminin derecesi.
- Etkilenen taraflar: Doğrudan kullanıcılar, kararlardan etkilenen kişiler, hassas gruplar (çocuklar, yaşlılar, engelli bireyler), çalışanlar ve toplum.
- Veri: Eğitim ve çalışma verisinin kaynağı, temsil gücü, kişisel ve özel nitelikli veriler, veri kalitesi.
- Olası sonuçlar: Ayrımcılık ve adaletsizlik, mahremiyet ihlali, fiziksel veya psikolojik zarar, ekonomik kayıp, yanıltıcı bilgi, şeffaflık eksikliği, itiraz hakkının engellenmesi.
- Toplumsal etkiler: İstihdam, çevresel etki (enerji tüketimi), bilgi ekosistemi, demokratik süreçler.
- Hafifletici önlemler: İnsan gözetimi, açıklanabilirlik, itiraz mekanizması, yanlılık testleri, izleme ve geri bildirim.
Örnek Etki Değerlendirme Tablosu
Aşağıdaki örnek, bir insan kaynakları biriminin özgeçmiş ön eleme için kullandığı bir yapay zekâ sistemi için hazırlanmıştır.
| Etkilenen taraf | Olası sonuç | Olasılık | Ciddiyet | Mevcut önlem | Ek önlem |
|---|---|---|---|---|---|
| Başvuru sahipleri | Cinsiyet, yaş veya okul adına dayalı yanlı eleme | Orta | Yüksek | Yok | Eğitim verisinin yanlılık analizi, korunan özelliklerin modelden çıkarılması, periyodik adalet testleri |
| Başvuru sahipleri | Elenme gerekçesinin açıklanamaması | Yüksek | Orta | Yok | Kararın insan tarafından verilmesi, gerekçe özeti, itiraz yolu |
| Başvuru sahipleri | Kişisel verilerin amaç dışı kullanımı | Düşük | Yüksek | Erişim kısıtlaması | Saklama süresi, aydınlatma metninde yapay zekâ kullanımının belirtilmesi |
| İK çalışanları | Sisteme aşırı güven ve sorgulamadan onaylama | Orta | Orta | Yok | Kullanıcı eğitimi, rastgele örneklerin manuel incelenmesi |
| Toplum | Belirli grupların iş gücüne erişiminin daralması | Düşük | Yüksek | Yok | Yıllık etki raporu, demografik dağılım izleme |
Etki Değerlendirmesi Adım Adım
- Yapay zekâ sistemleri envanterini çıkarın: Geliştirdiğiniz, sağladığınız ve kullandığınız (üçüncü taraf hizmetler dahil) tüm yapay zekâ sistemlerini ve rolünüzü listeleyin.
- Değerlendirme kapsamını ve tetikleyicileri belirleyin: Hangi sistemlerin değerlendirileceğini, hangi derinlikte yapılacağını ve hangi değişikliklerin yeni bir değerlendirme gerektireceğini tanımlayın.
- Sistemi ve bağlamını tanımlayın: Amacı, kullanım senaryolarını, öngörülebilir kötüye kullanımı, veri kaynaklarını, karar düzeyini ve insan gözetimini yazın.
- Etkilenen tarafları belirleyin: Doğrudan ve dolaylı olarak etkilenen bireyleri, grupları ve toplumu, özellikle hassas grupları listeleyin.
- Olası sonuçları değerlendirin: Her taraf için olumlu ve olumsuz sonuçları, olasılıklarını ve ciddiyetlerini değerlendirin.
- Hafifletici önlemleri belirleyin: Kabul edilemez sonuçlar için teknik ve organizasyonel önlemleri tanımlayın ve sorumlularını atayın.
- Sonuçları risk sürecine aktarın: Değerlendirme sonuçlarını yapay zekâ risk değerlendirmesine ve risk işleme kararlarına girdi olarak kullanın.
- Dokümante edin ve onaylatın: Değerlendirmeyi, kararları ve kalan etkileri kayıt altına alın ve yetkili kişilerin onayını alın.
- İzleyin ve tekrarlayın: Sistemi kullanımda izleyin; planlı aralıklarla ve önemli değişikliklerde (yeni model sürümü, yeni veri, yeni kullanım alanı) değerlendirmeyi yenileyin.
Yasal Düzenlemelerle İlişki
Avrupa Birliği Yapay Zekâ Yasası, belirli yüksek riskli yapay zekâ sistemlerini kullanan bazı kuruluşlar için temel haklar etki değerlendirmesi yükümlülüğü getirir. Türkiye’de ise kişisel veri işleyen yapay zekâ sistemleri için KVKK kapsamındaki yükümlülükler (aydınlatma, açık rıza veya diğer hukuki sebepler, veri güvenliği) geçerlidir. ISO 42001 etki değerlendirmesi bu yasal değerlendirmelerin yerine geçmez. Ancak aynı bilgileri sistematik biçimde topladığı için yasal yükümlülükleri karşılamayı kolaylaştırır. AB düzenlemesiyle ilişkiyi ISO 42001 ve AB Yapay Zekâ Yasası yazımızda ayrıntılı ele aldık.
Denetimde Neler Sorulur?
- Etki değerlendirme süreci yazılı mı ve kapsamdaki tüm sistemlere uygulanmış mı?
- Etkilenen taraflar arasında hassas gruplar dikkate alınmış mı?
- Değerlendirme sonuçları risk değerlendirmesine ve kontrol seçimine yansımış mı?
- Önemli bir değişiklik sonrasında (model güncellemesi, yeni veri kaynağı) değerlendirme yenilenmiş mi?
- Hafifletici önlemlerin uygulandığına ve etkili olduğuna dair kanıt var mı?
İç tetkikte kullanabileceğiniz ayrıntılı sorular için ISO 42001 denetim soru listesi yazımıza, gerekli dokümanlar için ISO 42001 doküman listesi yazımıza bakabilirsiniz. Yapay zekâda etik ve güvenlik konusundaki genel çerçeve için yapay zekâda etik ve güvenlik yazımızı da okuyabilirsiniz.
Sık Sorulan Sorular
Yapay zekâ sistemi etki değerlendirmesi zorunlu mu?
ISO/IEC 42001’e göre belgelendirilmek isteyen kuruluşlar için zorunludur. Madde 6.1.4 bir etki değerlendirme süreci tanımlanmasını, madde 8.4 ise değerlendirmelerin planlı aralıklarla ve önemli değişikliklerde yapılmasını ve sonuçların saklanmasını ister.
Etki değerlendirmesi ile risk değerlendirmesi aynı şey mi?
Hayır. Risk değerlendirmesi kuruluşun yapay zekâ hedeflerini etkileyen risklere odaklanır. Etki değerlendirmesi ise yapay zekâ sisteminin bireyler, gruplar ve toplum üzerindeki olası sonuçlarını değerlendirir ve sonuçları risk değerlendirmesine girdi olarak aktarılır.
ISO/IEC 42005 nedir?
ISO/IEC 42005, yapay zekâ sistemi etki değerlendirmesi için rehberlik sağlayan ve Mayıs 2025’te yayımlanan bir standarttır. Değerlendirmenin ne zaman, nasıl yapılacağını ve yönetim sistemiyle nasıl bütünleştirileceğini açıklar; belgelendirme standardı değildir.
Hazır yapay zekâ hizmetleri kullanan bir işletme de etki değerlendirmesi yapmalı mı?
Evet. ISO 42001 yalnızca geliştiricileri değil, yapay zekâ sistemlerini sağlayan ve kullanan kuruluşları da kapsar. Üçüncü taraf bir yapay zekâ hizmetini müşterilere veya çalışanlara yönelik kararlarda kullanan işletme, bu kullanımın etkilerini değerlendirmelidir.
Etki değerlendirmesi ne zaman yenilenmelidir?
Planlı aralıklarla ve önemli değişiklikler önerildiğinde veya gerçekleştiğinde yenilenmelidir. Yeni model sürümü, yeni veri kaynağı, yeni kullanım alanı veya ciddi bir olay değerlendirmenin yenilenmesini gerektiren tipik durumlardır.
ISO 42001 etki değerlendirmesi AB Yapay Zekâ Yasası’ndaki temel haklar etki değerlendirmesinin yerine geçer mi?
Hayır, yerine geçmez. Ancak etkilenen taraflar, olası sonuçlar ve önlemler gibi bilgileri sistematik olarak topladığı için yasal değerlendirmenin hazırlanmasını önemli ölçüde kolaylaştırır.
İlgili Rehberler
- ISO 42001 Belgesi Yapay Zeka Yönetim Sistemi
- ISO 42001 Standart Maddeleri: Yapay Zekada Küresel Güvenin Temeli
- ISO 42001 Doküman Listesi
- ISO 42001 Denetim Soru Listesi
- ISO 42001 ve AB Yapay Zekâ Yasası (EU AI Act): Türk Şirketleri İçin Güncel Takvim ve Uyum Rehberi
- Yapay Zekada Etik ve Güvenlik: Neden ISO 42001?