Yapay Zeka Etki Değerlendirmesi (AIIA), Algoritmik Şeffaflık ve ISO 42001 Ek-A Kontrolleri

Teknik Kontrol Özeti: ISO/IEC 42001:2023 standardını klasik BT standartlarından ayıran en özgün zorunluluk, kurumun iç risklerinin ötesine geçerek yapay zeka sisteminin bireyler, kullanıcı grupları ve toplum üzerindeki sonuçlarını analiz eden Yapay Zeka Etki Değerlendirmesi (AIIA — Madde 6.1.4) mekanizmasıdır. Bu değerlendirme çıktıları, Ek-A'da yer alan 9 kontrol alanı ve 38 normatif kontrol üzerinden veri yönetişimi, MLOps yaşam döngüsü, algoritmik şeffaflık ve insan gözetimi tedbirlerine bağlanır.

Klasik Risk Analizi ile Yapay Zeka Etki Değerlendirmesi (AIIA) Arasındaki Fark Nedir?

ISO 27001 risk analizinde temel soru "Bu zafiyet şirketimizin veri gizliliğine veya iş sürekliliğine ne zarar verir?" iken; ISO 42001 Madde 6.1.4 ve Ek-A.5 (ISO/IEC 42005 uyumlu) Yapay Zeka Etki Değerlendirmesinde temel soru "Geliştirdiğimiz veya kullandığımız bu AI modeli son kullanıcının haklarına, güvenliğine, ekonomik fırsatlarına, mahremiyetine veya çevreye nasıl etki eder?" sorusudur.

Proxy Danışmanlık projelerinde her AI kullanım senaryosu (use-case) için oluşturduğumuz AIIA dosyası şu 6 boyutu puanlar:

• Adillik ve Ayrımcılık Önleme (Fairness & Non-Discrimination): Modelin yaş, cinsiyet, bölge, gelir düzeyi veya dil varyasyonlarına göre sistematik önyargı (algorithmic bias) üretip üretmediğinin demografik parite ve eşit fırsat metrikleriyle test edilmesi.
• Emniyet ve Fiziksel / Psikolojik Güvenlik: Yanlış pozitif veya yanlış negatif (false negative) tahminlerin sağlık, finansal itibar veya iş güvenliği üzerinde doğurabileceği zararların analizi.
• Mahremiyet ve Kişisel Veri Koruması: Eğitim verilerinden kişisel bilginin ezberlenip sızdırılması (model inversion / membership inference) risklerinin ISO/IEC 27701 ve KVKK ilkeleriyle değerlendirilmesi.
• Açıklanabilirlik ve İtiraz Hakkı (Explainability & Contestability): Otomatik bir kararın hangi girdi ağırlıklarıyla üretildiğinin (SHAP, LIME, dikkat haritaları veya karar gerekçesi kayıtları) açıklanabilmesi ve kullanıcının insan incelemesi talep edebilmesi.
• Doğruluk, Halüsinasyon ve Güvenilirlik: Büyük dil modellerinde (LLM) kaynak gösterimli üretim (RAG grounding), doğruluk eşiği (confidence threshold) ve kapsam dışı soruları reddetme (guardrails) kontrolleri.
• Çevresel ve Hesaplama Kaynağı Etkisi: Model eğitimi ve çıkarım (inference) süreçlerinin enerji ve karbon etkisinin değerlendirilmesi (ISO 50001 sürdürülebilirlik hedefleriyle uyumlu).

ISO/IEC 42001 Ek-A: 9 Kontrol Alanı ve 38 Kontrolün Tam Haritası

Uygulanabilirlik Bildirgesinde (SoA) tek tek ele aldığımız 9 Ek-A kontrol alanının mühendislik karşılıkları aşağıdaki tabloda özetlenmiştir:

MLOps ve Yazılım Ekipleriniz İçin Hazır Şablon Kütüphanesi

Danışmanlık projelerimizde veri bilimi ve yazılım ekiplerinizi sıfırdan doküman tasarlama yükünden kurtarıyoruz; uluslararası denetimlerden geçmiş AI Sistem Envanteri, AIIA Değerlendirme Matrisi, Model Kartı (Model Card) ve Veri Seti Kartı (Datasheet for Datasets) şablonlarını, LLM Guardrail/Prompt Güvenlik Kontrol Listelerini ve Üçüncü Taraf AI Tedarikçi Değerlendirme Formlarını kurumunuza özel uyarlayarak teslim ediyoruz.

Model Kartı (Model Card) ve AIIA Dosyasında Bulunması Gereken Zorunlu Alanlar

Uluslararası AIMS başdenetçilerinin 2. Aşama tetkikinde doğrudan görmek istediği teknik Model Kartı ve Etki Değerlendirmesi başlıkları şunlardır:

• Model Kimliği ve Sahipliği: Model adı, versiyonu, mimari türü (Transformer / Gradient Boosting / CNN / RAG), sorumlu ürün yöneticisi ve teknik model sahibi.
• Amaçlanan Kullanım ve Kapsam Dışı (Out-of-Scope) Kullanımlar: Modelin hangi iş problemi için tasarlandığı ve kesinlikle kullanılmaması gereken yasaklı karar senaryoları.
• Veri Kaynağı ve Ön İşleme Özeti: Eğitim/doğrulama verisinin toplanma yöntemi, anonimleştirme tekniği, zaman aralığı ve temsil edilen alt gruplar.
• Performans, Güvenlik ve Önyargı Test Sonuçları: Precision, Recall, F1, ROC-AUC veya LLM doğruluk/halüsinasyon/jailbreak test skorları ile alt grup performans karşılaştırması.
• İnsan Gözetimi ve Geri Dönüş (Fallback) Planı: Model beklenmedik sapma gösterdiğinde kural tabanlı sisteme veya manuel uzman onayına geçiş prosedürü.