EU AI Act & ISO-IEC 42001 Kurumsal Yapay Zeka Yönetim Sistemi (AIMS) Kurulumu ve Denetimi

• AIMS Kapsamının Belirlenmesi ve Politikaların Oluşturulması:ISO/IEC 42001 standardının Madde 4 (Kurumun Bağlamı) ve Madde 5 (Liderlik) gereksinimleri detaylı olarak incelenir. Kurumun iç ve dış hususlarının, ilgili taraf beklentilerinin haritalandırılması ve AIMS sınırlarının (Scope) çizilmesi açıklanır. Üst yönetim taahhüdü, Kurumsal AI Politikası (AI Governance Policy) ve AI Yürütme Komitesi görev tanımları üzerinde durulur.
• Kurumun iç ve dış hususlarının, ilgili taraf beklentilerinin haritalandırılması ve AIMS sınırlarının (Scope) çizilmesi.
• Üst yönetim taahhüdü, Kurumsal AI Politikası (AI Governance Policy) ve AI Yürütme Komitesi görev tanımları.
• Rol, sorumluluk ve yetki dağılımlarının (RACI) organizasyonel şemaya işlenmesi.

• AI Odaklı Risk Yönetim Metodolojisinin Kurulması:ISO/IEC 42001 standardının Madde 6 (Planlama) gereksinimleri ve ISO/IEC 42005 rehberliğinde Yapay Zeka Sistem Etki Değerlendirmesi (AI System Impact Assessment - AI SIA) adımları öğretilir. Yapay zeka sistemlerine özel tehdit, zafiyet, etik ve toplumsal etki risklerinin tanımlanması, analizi ve değerlendirilmesi için kurumsal bir risk yönetim metodolojisi oluşturulur.
• Yapay zeka sistemlerine özel tehdit, zafiyet, etik ve toplumsal etki risklerinin tanımlanması.
• ISO/IEC 42005 rehberliğinde Yapay Zeka Sistem Etki Değerlendirmesi (AI System Impact Assessment) adımları.
• Risk işleme seçenekleri ve AI Risk İşleme Planının (AI Risk Treatment Plan) hazırlanması.

• Kaynak Yönetimi, Farkındalık ve Altyapı Kontrolleri:ISO/IEC 42001 standardının Madde 7 (Destek) ve Madde 8 (Operasyon) gereksinimleri incelenir. Yetkinlik yönetimi, AI geliştirici ve kullanıcı farkındalık eğitimleri ele alınır. Yapay zeka sistemlerinin yaşam döngüsü (tasarım, veri toplama, eğitim, doğrulama, canlıya alma, izleme) boyunca operasyonel kontrol mekanizmaları açıklanır.
• Yetkinlik yönetimi, AI geliştirici ve kullanıcı farkındalık eğitimleri.
• Yapay zeka sistemlerinin yaşam döngüsü (tasarım, veri toplama, eğitim, doğrulama, canlıya alma, izleme) boyunca operasyonel kontrol mekanizmaları.

• Eğitim, Test ve Doğrulama Verilerinin Güvenilirliği:ISO/IEC 42001 Ek-A kontrolleri kapsamında veri yönetişimi ve model kalite kontrolleri detaylandırılır. Veri setlerinin kalitesi, temsil gücü, veri minimizasyonu ve PII maskeleme süreçlerinin denetimi ele alınır. Model önyargısı (bias), ayrımcılık ve adalet (fairness) testlerinin teknik doğrulaması ve bu kontrollerin AIMS'e entegrasyonu açıklanır.
• Veri setlerinin kalitesi, temsil gücü, veri minimizasyonu ve PII maskeleme süreçlerinin denetimi.
• Model önyargısı (bias), ayrımcılık ve adalet (fairness) testlerinin teknik doğrulaması.

• Model Kararlarının İzlenebilirliği ve İnsan Müdahalesi:Şeffaflık, Açıklanabilir Yapay Zeka (XAI) ve insan gözetimi kontrolleri incelenir. Açıklanabilir AI (XAI) gereksinimleri; model çıktılarının karar alıcılar için anlaşılabilir kılınması üzerinde durulur. İnsan Gözetimi (Human-in-the-Loop / Human-on-the-Loop) mimarilerinin kurulması ve kararları iptal etme (override) yetkisi ele alınır.
• Açıklanabilir AI (XAI) gereksinimleri; model çıktılarının karar alıcılar için anlaşılabilir kılınması.
• İnsan Gözetimi (Human-in-the-Loop / Human-on-the-Loop) mimarilerinin kurulması ve kararları iptal etme (override) yetkisi.

• EU AI Act Madde 11 Uyumlu Teknik Dosya Hazırlığı:Teknik dokümantasyon, loglama ve izlenebilirlik kontrolleri detaylandırılır. EU AI Act Madde 11'e uyumlu teknik dosya hazırlığı, yapay zeka sisteminin mimari yapısı, algoritma detayları ve veri akış şemalarının belgelendirilmesi üzerinde durulur. Otomatik loglama (Automatic Logging / Audit Trail) mekanizmaları ile olay ve karar izlerinin saklanması açıklanır.
• Yapay zeka sisteminin mimari yapısı, algoritma detayları ve veri akış şemalarının belgelendirilmesi.
• Otomatik loglama (Automatic Logging / Audit Trail) mekanizmaları ile olay ve karar izlerinin saklanması.

• ISO 19011 Standartlarına Göre AI İç Denetimi:ISO/IEC 42001 standardının Madde 9.2 (İç Denetim) gereksinimleri ve ISO 19011 standartlarına göre AIMS iç denetimi ele alınır. İç denetim programının planlanması, denetçi bağımsızlığı ve denetim kapsamı açıklanır. ISO 42001 maddeleri ve Ek-A kontrolleri için kurumsal iç denetçi soru listesinin (Audit Checklist) nasıl hazırlanacağı öğretilir.
• İç denetim programının planlanması, denetçi bağımsızlığı ve denetim kapsamı.
• ISO 42001 maddeleri ve Ek-A kontrolleri için kurumsal iç denetçi soru listesinin (Checklist) yazılması.

• Kurumsal Olgunluk Seviyesinin Ölçülmesi:Belgelendirme denetimi öncesi Boşluk (Gap) Analizi ve raporlama süreçleri incelenir. Mevcut AI uygulamalarının ISO 42001 ve EU AI Act kriterleriyle karşılaştırılması, kritik eksikliklerin tespiti ve Gap Analizi Raporunun hazırlanması üzerinde durulur.
• Mevcut AI uygulamalarının ISO 42001 ve EU AI Act kriterleriyle karşılaştırılması.
• Gap Analizi Raporunun hazırlanması, kritik eksikliklerin tespit edilmesi.

• Denetim Bulgularının Kapatılması ve Sürekli İyileştirme:ISO/IEC 42001 standardının Madde 9.3 (Yönetimin Gözden Geçirmesi) ve Madde 10 (İyileştirme) gereksinimleri ele alınır. Tespit edilen uygunsuzluklar için kök neden analizi (Root Cause Analysis) ve Düzeltici Faaliyet (CAPA) planının hazırlanması detaylandırılır. Yönetimin Gözden Geçirmesi (YGG / Management Review) toplantı girdileri ve karar çıktıları ile sürekli iyileştirme döngüsünün nasıl sağlanacağı açıklanır.
• Tespit edilen uygunsuzluklar için kök neden analizi (Root Cause Analysis) ve Düzeltici Faaliyet (CAPA) planı.
• Yönetimin Gözden Geçirmesi (YGG / Management Review) toplantı girdileri ve karar çıktıları.

• Kurum bünyesinde aktif olarak kullanılan veya geliştirilen AI projelerinin (örneğin İK özgeçmiş tarama, müşteri risk skorlama, üretken AI asistanları) EU AI Act kriterlerine göre risk kategorilerine ayrılması ve envantere işlenmesi. Bu çalıştay, katılımcıların teorik bilgilerini gerçek dünya senaryolarına uygulayarak, kurumlarının yapay zeka envanterini doğru bir şekilde oluşturmalarını sağlar.
• Yüksek riskli olarak değerlendirilen bir AI sistemi için ISO 42005 ilkelerine uygun etki değerlendirme formunun doldurulması ve risk işleme planının hazırlanması. Bu uygulama, katılımcıların AI SIA süreçlerini adım adım deneyimlemelerini ve riskleri proaktif bir şekilde yönetme becerilerini geliştirmelerini sağlar.

• Standardın yönetim maddeleri ve teknik Ek-A kontrolleri esas alınarak denetçilerin sahada kullanacağı teknik/yönetsel kontrol soru listesinin oluşturulması. Katılımcılar, bu çalıştayda kendi kurumlarına özel denetim kontrol listeleri tasarlayarak, iç denetim süreçlerine aktif olarak katkıda bulunma yetkinliği kazanır.

• Örnek bir kurum senaryosu üzerinden AIMS olgunluk seviyesinin test edilmesi, denetim kanıtlarının klasörlenmesi ve Boşluk Analizi Raporunun yazılması. Bu simülasyon, katılımcıları gerçek bir belgelendirme denetimine hazırlar ve kurumlarının uyum seviyesini objektif olarak değerlendirme becerisi kazandırır.

• Eğitimin tüm modülleri tamamlandıktan sonra, katılımcıların edindikleri tüm kazanımları somut bir kurumsal başarıya dönüştürmeleri amacıyla 3 farklı kulvarda seçmeli bitirme projesi sunulmaktadır:
• Seçmeli Proje 1 (Kurumsal Temel Mimari & Standartlar)::Derin iş mantığı, katmanlı mimari, veri bütünlüğü ve en iyi pratikler. Bu proje, katılımcıların ISO/IEC 42001'in temel prensiplerini ve EU AI Act'in yasal gerekliliklerini kurumsal bir yapay zeka sistemine nasıl entegre edeceklerini gösteren bir mimari tasarım ve politika dokümantasyonu hazırlamasını içerir. Odak noktası, güvenilir ve etik yapay zeka sistemlerinin temelini oluşturan sağlam bir yönetişim çerçevesi oluşturmaktır.
• Seçmeli Proje 2 (Dağıtık Sistemler, Ölçeklenebilirlik & Otomasyon)::Cloud-Native mimariler, asenkron akışlar ve otomasyon boru hatları. Bu proje, yüksek riskli bir yapay zeka sistemi için ISO/IEC 42005'e uygun bir AI Sistem Etki Değerlendirmesi (AI SIA) ve risk işleme planı geliştirmeyi hedefler. Katılımcılar, DevSecOps prensiplerini kullanarak yapay zeka yaşam döngüsü boyunca güvenlik ve operasyonel kontrol mekanizmalarını nasıl otomatize edeceklerini göstereceklerdir.
• Seçmeli Proje 3 (Yüksek Performans, Dayanıklılık & Modern Entegrasyon)::Gerçek zamanlı veri akışı, resiliency, gözlemlenebilirlik ve modern servis entegrasyonu. Bu proje, bir kurumun mevcut yapay zeka uygulamalarını ISO 42001 ve EU AI Act kriterleriyle karşılaştırarak kapsamlı bir Boşluk (Gap) Analizi Raporu hazırlamasını ve bu eksiklikleri gidermeye yönelik Düzeltici Faaliyet (CAPA) planları sunmasını içerir. Katılımcılar, denetim kanıtlarını toplama ve raporlama stratejilerini de bu proje kapsamında uygulayacaklardır.
• Her katılımcı ilgi alanına uygun projeyi seçerek; mimari şemaları (Mermaid), kapsamlı geliştirme yol haritaları ve GitHub README standartları doğrultusunda uluslararası portföy kalitesinde bir proje teslim edecektir. Bu projeler, katılımcıların teorik bilgilerini pratik becerilere dönüştürmelerini sağlayacak ve kariyerlerinde somut bir referans noktası oluşturacaktır.

• Eğitimin Ötesinde:Kurumunuzla Birlikte Çalışıyor, Denetimlere Hazırlıyor ve Eksiklikleri Gideriyoruz
• Vebende Akademi olarak, kurumsal regülasyon ve denetim uyumluluğunu yalnızca teorik eğitimlerle sınırlı değerlendirmiyoruz. Kurumunuzun faaliyet alanına, tabi olduğu yasal düzenlemelere (BDDK, TCMB, KVKK, SPK, ISO/IEC, SOC 2, EU AI Act), teknolojik altyapısına, organizasyonel yapısına ve mevcut kontrol mekanizmalarına göre kapsamlı bir ortak mühendislik çalışması yürütüyoruz.
• İhtiyaç duyulması halinde ilgili eğitim programıyla birlikte veya bağımsız bir kurumsal hizmet kapsamında; denetim ve teftiş öncesinde kurumunuzun ilgili ekipleriyle birlikte çalışıyor, mevcut durumunuzu analiz ediyor, regülasyonlara uygunluk kontrollerini gerçekleştiriyor ve tespit edilen eksikliklerin giderilmesi için teknik ve organizasyonel iyileştirme çalışmalarını yürütüyoruz.

• 1. Kurumsal Yetkinlik Geliştirme (Eğitim Modeli):40 saatlik modüler uzmanlık eğitimi, canlı uygulamalı laboratuvarlar, hands-on workshoplar, kurumsal mimari aktarımı ve ekip yetkinlik değerlendirmesi.
• 2. Kurumsal Denetim, Uyum ve Birlikte Mühendislik Çalışması (Danışmanlık ve Birlikte Çalışma):360° mevcut durum analizi, denetim simülasyonları, teknik kontroller, kurum ekipleriyle birlikte mühendislik ve altyapı iyileştirmesi, yeniden test ve 13 kurumsal rapor paketi.
• (Bu iki çalışma modeli kurumun ihtiyacına göre bağımsız olarak veya birbiriyle entegre bir program olarak tercih edilebilir).

• 1. 01 – Kurumsal Keşif ve Kapsam Analizi:Kurumun faaliyet alanı, iş modeli, tabi olduğu yasal düzenlemeler ve teknolojik envanterin incelenmesi. (Çıktı: Kapsam ve Mevcut Durum Raporu)
• 2. 02 – 360° Kurumsal Olgunluk ve Gap Analysis:Politika, prosedür, süreç ve teknik altyapının regülasyon standartlarına göre incelenmesi. (Çıktı: Kurumsal Olgunluk ve Eksiklik Analizi)
• 3. 03 – Denetim ve Kontrol Simülasyonu:Gerçekçi denetçi soru setleri, teknik test senaryoları ve mülakat simülasyonları. (Çıktı: Denetim Simülasyonu ve Bulgu Raporu)
• 4. 04 – Birlikte Geliştirme ve İyileştirme:Tespit edilen eksikliklerin kurumun teknik ve yönetim ekipleriyle birlikte kapatılması, kodlama ve altyapı iyileştirmeleri. (Çıktı: İyileştirilmiş Kontrol ve Altyapı Yapısı)
• 5. 05 – Yeniden Test ve Uygunluk Doğrulaması:Kapatılan bulguların yeniden kontrolü, kontrol etkinliği testleri ve kalan risk değerlendirmesi. (Çıktı: Retest ve Uygunluk Doğrulama Raporu)
• 6. 06 – Nihai Kurumsal 360° Raporlama:Yönetim kurulu ve teknik ekipler için kanıt dosyaları, sorumluluk matrisleri ve sürekli uyum planı. (Çıktı: Kurumsal 360° Sonuç ve İyileştirme Raporu)

#9508 EU AI Act & ISO-IEC 42001 Kurumsal Yapay Zeka Yönetim Sistemi (AIMS) Kurulumu ve Denetimi İçin Kurumsal Çalışma ve Denetim Hazırlık Haritası mimarisi, pratik kullanım detayları ve kurumsal standartlar.

• | Çalışma Alanı | Yapılacak Kapsamlı Çalışmalar |
• |---|---|
• | Kapsam ve Bağlam | ISO/IEC 42001 standart gereksinimleri, iç/dış hususlar ve paydaş beklentilerinin analizi |
• | AIMS Politikası ve Hedefleri | Ölçülebilir yapay zeka hedefleri ve kurumsal taahhütlerin oluşturulması |
• | AI Sistem Envanteri | Kurum içi geliştirilen, özelleştirilen ve hazır alınan tüm yapay zeka sistemleri |
• | AI Etki Değerlendirmesi | Toplumsal, etik, yasal ve operasyonel etki değerlendirmelerinin yapılması |
• | AI Risk Değerlendirmesi | Algoritmik önyargı, veri kalitesi, siber güvenlik ve drift risk metodolojisi |
• | EU AI Act Eşleştirmesi | Yüksek riskli (High-Risk) AI sistemleri gereksinimleri ve CE uygunluk adımları |
• | Tedarikçi AI Kontrolleri | Temel modeller (Foundation Models), API servisleri ve açık kaynak AI bileşenleri |
• | Model ve Veri Yaşam Döngüsü | Tasarım, veri toplama, eğitim, test, dağıtım ve devreden çıkarma kontrolleri |
• | İnsan Gözetimi ve Şeffaflık | Karar gerekçelendirme, açıklanabilirlik ve denetlenebilir log yapıları |
• | İç Denetim ve YGG | AIMS iç denetim programı, uygunsuzluk yönetimi ve yönetimin gözden geçirmesi |

• ISO 42001 Madde 4-10 gereksinimleri ve Ek A kontrolleri doküman ve kayıt denetimi simülasyonu
• Kurumdaki yapay zeka kullanım senaryolarının EU AI Act risk kategorilerine göre sınıflandırılması
• Yüksek riskli bir AI sisteminin teknik dosya (Technical File) ve uygunluk beyanının denetimi
• Dışarıdan alınan üçüncü taraf bir AI modelinin bağımsız güvenlik ve etik denetimi
• Model değişiklik yönetimi (Change Management) ve yeniden eğitim (Retraining) süreç testi
• Algoritma kararlarında açıklanabilirlik ve insan müdahale yetkisinin doğrulanması
• AIMS iç denetim tatbikatı ve örnek majör/minör uygunsuzluk kapatma simülasyonu

• Kurumsal ISO/IEC 42001 AIMS sisteminin uçtan uca kurulması ve dokümante edilmesi
• Yapay Zekâ Yönetişim Komitesi ve Sorumluluk Prosedürlerinin oluşturulması
• AI Risk Değerlendirme ve Kontrol Kataloğunun operasyonel hale getirilmesi
• AI Sistem Yaşam Döngüsü (System Lifecycle) kontrol yönergelerinin hazırlanması
• Üçüncü taraf yapay zeka sağlayıcıları için teknik ve yasal değerlendirme kriterleri
• Sürekli model izleme, performans takibi ve yönetim raporlama altyapısının kurulması

• İncelenecek Sistemler:Kurumsal AI/ML platformları, LLM API geçitleri, model registry (MLflow vb.), veri hatları, feature store, AI ajan orkestratörleri, RAG mimarileri ve model observability araçları

• ISO/IEC 42001 AIMS Kapsamlı Gap Analysis Raporu:
• AIMS Temel Dokümantasyon Paketi (Politikalar, Prosedürler, Kontrol Listeleri):
• Kurumsal AI Risk Kütüğü ve Risk İşleme Planı:
• EU AI Act Uygulanabilirlik ve Yükümlülük Matrisi:
• AIMS İç Denetim Raporu ve Çalışma Kağıtları:
• Akredite Belgelendirme Denetimi Hazırlık Dosyası:

• 1. Executive Summary:Üst yönetim için genel durum, kritik riskler ve yönetim özeti
• 2. Regulatory Compliance Assessment:Tabi olunan regülasyon ve standart bazında detaylı uygunluk analizi
• 3. Gap Analysis:Eksik, yetersiz veya henüz uygulanmamış kontrollerin ayrıntılı dökümü
• 4. Risk Assessment:Olasılık, etki, risk seviyesi ve kontrol sonrası kalıntı (residual) risk analizi
• 5. Technical Infrastructure Audit:Sistem, ağ, bulut, uygulama ve güvenlik altyapısının teknik inceleme raporu
• 6. Governance Assessment:Yönetim organizasyonu, kurumsal politikalar, süreçler ve görev sorumlulukları incelemesi
• 7. Control Effectiveness Report:Kontrollerin tasarımı ile fiili çalışma etkinliğinin ölçüm raporu
• 8. Audit Simulation Report:Gerçekleştirilen denetim senaryoları, simülasyonlar ve teknik test sonuçları
• 9. Evidence Register:Teftiş kuruluna sunulacak kanıtlar, dokümanlar, loglar ve doğrulama kayıtları kütüğü
• 10. Remediation Roadmap:Tespit edilen eksikliklerin giderilmesi için önceliklendirilmiş mühendislik planı
• 11. Retest Report:İyileştirme çalışmaları sonrasında gerçekleştirilen yeniden doğrulama test sonuçları
• 12. Competency Assessment:Kurumsal ekiplerin denetim ve regülasyon farkındalık ve yetkinlik değerlendirmesi
• 13. Continuous Compliance Plan:Denetim sonrasında sürdürülebilir, yaşayan sürekli uyumluluk ve izleme takvimi

• Her kontrol bulgusu için şu kurumsal yapı kullanılır:Bulgu ID, Regülasyon, Kontrol Referansı, Mevcut Durum, Beklenen Durum, Kanıt, Risk Seviyesi, İş Etkisi, İyileştirme Çözümü, Sorumlu, Hedef Tarih, Yeniden Test Sonucu, Nihai Durum (Açık, İyileştirildi, Doğrulandı, Kabul Edilmiş Risk).

• > Sorumlu Güvence Beyanı:Denetim öncesinde tespit edilen uygunsuzlukların giderilmesi, kritik risklerin azaltılması ve ilgili kontrollerin doğrulanması için kapsamlı hazırlık çalışmaları yürütülür. Hedef, açık bulguların mümkün olan en yüksek oranda kapatılması ve denetlenebilir bir kontrol ortamının oluşturulmasıdır. Nihai denetim sonucu, yetkili denetim heyetinin takdirindedir.
• >
• > Yetkili Denetim Sınırları:9508 doğrudan kurumsal AIMS sisteminin kurulması, işletilmesi ve denetlenmesi üzerine konumlandırılmıştır. Vebende hazırlık ve mühendislik ortağıdır; nihai ISO 42001 sertifikasyonu akredite belgelendirme kuruluşlarınca gerçekleştirilir.

• Denetim öncesinde yapılan hazırlık çalışmasıyla sınırlı kalmayıp; kurumlar için yıllık veya dönemsel kontrol etkinliği takibi, regülasyon ve mevzuat değişikliklerinin değerlendirilmesi, üçüncü taraf tedarikçi denetimleri ve periyodik teknik güvenlik kontrolleri düzenli olarak sunulmaktadır.