# ISO/IEC 42001 mi, NIST AI RMF mi?

> ISO/IEC 42001, bir kuruluşun yapay zekayı nasıl yöneteceğini tanımlayan ve bağımsız kuruluşlarca belgelendirilebilen bir yönetim sistemi standardıdır. NIST AI RMF ise riskleri tanımlamak ve azaltmak için gönüllü, ücretsiz bir çerçevedir. Müşteriniz sertifika istiyorsa ISO/IEC 42001'e, iç risk yöntemi arıyorsanız NIST AI RMF'ye bakın; çoğu ekip ikisini birlikte kullanır.

URL: https://corrplus.net/tr/blog/iso-42001-nist-ai-rmf/
Güncellendi: 2026-10-26
Corrplus Ekibi

## ISO/IEC 42001 nedir, kimler için?

ISO/IEC 42001, kuruluşların yapay zeka yönetim sistemini kurması, işletmesi ve sürekli iyileştirmesi için gereklilikleri tanımlayan uluslararası standarttır. Aralık 2023'te ilk baskısıyla yayımlandı. Yapay zeka geliştiren, sağlayan veya yalnızca kullanan her büyüklükteki kuruluşa uygulanabilir.

Yapısı, ISO yönetim sistemi standartlarından tanıdık gelir: kuruluşun bağlamı, liderlik, planlama, destek, operasyon, performans değerlendirme ve iyileştirme. Planlama bölümünde yapay zeka risk değerlendirmesi, risk işleme ve yapay zeka sistemi etki değerlendirmesi yer alır. Ek A, referans kontrol setini verir. Belgelendirme, bağımsız belgelendirme kuruluşlarınca yapılır ve isteğe bağlıdır.

Kısacası ISO/IEC 42001, [yapay zeka yönetişimini](/tr/sozluk/yapay-zeka-yonetisimi-nedir/) denetlenebilir bir yönetim sistemine çevirir.

Belgelendirme genellikle bir boşluk analiziyle başlar: mevcut politika, süreç ve kayıtlarınız standardın maddeleriyle karşılaştırılır. Ardından kapsam belirlenir. Kapsam, şirketin tamamı olmak zorunda değildir; örneğin yalnız müşteriye sunulan yapay zeka özellikli bir ürün olabilir. Eksikler kapatıldıktan, iç denetim ve yönetim gözden geçirmesi yapıldıktan sonra seçtiğiniz belgelendirme kuruluşu denetimini gerçekleştirir. Sertifika verildikten sonra da gözetim denetimleri sürer; yani sistem bir kez kurulup bırakılamaz.

Standart tek başına durmaz. ISO, yapay zeka sistemi etki değerlendirmesi için ISO/IEC 42005'i ve bilgi güvenliği için ISO/IEC 27001'i ilişkili standartlar olarak birlikte sunuyor. Hangi standardın sizin için gerekli olduğu, müşterilerinizin ve sektörünüzün beklentisine bağlıdır.

## NIST AI RMF nedir ve dört işlevi neyi kapsar?

NIST AI Risk Management Framework (AI RMF 1.0), ABD Ulusal Standartlar ve Teknoloji Enstitüsü'nün 26 Ocak 2023'te yayımladığı gönüllü bir çerçevedir. Amacı, yapay zeka sistemlerinin risklerini tanımlamak, ölçmek ve yönetmek için ortak bir dil sunmaktır. NIST'in sayfasına göre çerçeve, ABD'nin yapay zeka eylem planı kapsamında revize ediliyor; güncel sürümü takip edin.

Çerçeve dört işlevden oluşur:

- **Govern (Yönetişim):** Politikalar, roller, sorumluluklar ve risk kültürü. Diğer üç işlevin zeminidir.
- **Map (Haritala):** Sistemin bağlamı, kullanım amacı, etkilediği kişiler ve olası zararlar.
- **Measure (Ölç):** Risklerin test, metrik ve değerlendirmeyle ölçülmesi.
- **Manage (Yönet):** Önceliklendirme, risk işleme, izleme ve olaylara müdahale.

NIST AI RMF Playbook, her işlev için önerilen eylemleri ayrıntılı listeler. Çerçeve ücretsizdir, belge vermez ve bir denetim mekanizması içermez.

## İkisi arasındaki fark ne: belgelendirilebilir standart mı, gönüllü çerçeve mi?

Temel fark, ne ürettikleridir. ISO/IEC 42001 bir yönetim sistemi ve sonunda dışarıya gösterilebilen bir sertifika üretir. NIST AI RMF bir risk yöntemi üretir; ne yaptığınızı içeride düzenler ama dışarıya bir belge vermez. AB Yapay Zeka Yasası (AI Act) ise üçüncü kategoridir: kapsamına giren şirketler için bağlayıcı bir yasa.

| Ölçüt | ISO/IEC 42001 | NIST AI RMF | AB Yapay Zeka Yasası |
|---|---|---|---|
| Niteliği | Uluslararası yönetim sistemi standardı | Gönüllü risk yönetimi çerçevesi | AB tüzüğü (Regulation (EU) 2024/1689) |
| Bağlayıcılık | Gönüllü; sözleşmeyle zorunlu hale gelebilir | Gönüllü | Kapsamdaki şirketler için bağlayıcı |
| Belgelendirme | Bağımsız kuruluşlarca belgelendirme var | Yok | Sistem türüne göre uygunluk değerlendirmesi |
| Yapısı | Yönetim sistemi maddeleri ve Ek A kontrolleri | Dört işlev: Govern, Map, Measure, Manage | Risk temelli yükümlülükler ve yasaklar |
| Kime uygun | Müşterisine sertifikayla kanıt sunmak isteyen kuruluşlar | Risk yöntemini hızlı kurmak isteyen her ekip | AB pazarında yapay zeka sunan veya kullanan şirketler |
| Kanıt türü | Sertifika, denetim raporları, politika ve kayıtlar | İç risk kayıtları, değerlendirme sonuçları | Teknik dokümantasyon, kayıtlar, uygunluk beyanı |

Pratikte ikisi birbirini dışlamaz. NIST AI RMF'nin Map ve Measure işlevleri, ISO/IEC 42001'in istediği risk değerlendirmesini yapmak için iyi bir yöntem sunar.

## AB Yapay Zeka Yasası ve KVKK ile nasıl ilişkilenir?

AB Yapay Zeka Yasası 1 Ağustos 2024'te yürürlüğe girdi ve kademeli uygulanıyor. Yasa, AB dışındaki şirketleri de kapsayabilir; örneğin AB pazarına yapay zeka sistemi sunan veya çıktısı AB'de kullanılan bir sistemi işleten Türk şirketi. Uygulama takvimindeki güncel durumu Avrupa Komisyonu kaynaklarından kontrol edin. Terimin özeti için [AB Yapay Zeka Yasası nedir](/tr/sozluk/ab-yapay-zeka-yasasi-nedir/) sayfamıza bakabilirsiniz.

ISO/IEC 42001 sertifikası Yasa'ya uyumu kendiliğinden göstermez. Ancak Yasa'nın istediği risk yönetimi, kayıt tutma, insan gözetimi ve dokümantasyon disiplinini kurmayı kolaylaştırır. KVKK ise kişisel veri boyutunu düzenler: yapay zeka sisteminiz kişisel veri işliyorsa aydınlatma, hukuki sebep ve yurt dışı aktarım kuralları ayrıca geçerlidir. Üç alanın kesişimini hukuk danışmanınızla birlikte değerlendirin.

## Üretken yapay zeka için NIST profili (AI 600-1) ne ekliyor?

NIST, Temmuz 2024'te AI RMF'nin üretken yapay zekaya uyarlanmış profilini, NIST AI 600-1'i yayımladı. Profil, üretken yapay zekaya özgü veya onunla ağırlaşan riskleri tanımlar. Bunlar arasında uydurma bilgi üretimi (confabulation), veri gizliliği, bilgi güvenliği, fikri mülkiyet ve değer zinciri ile bileşen entegrasyonu gibi başlıklar vardır.

Her risk için dört işleve bağlı önerilen eylemler listelenir. Bir LLM tabanlı asistan veya ajan kuruyorsanız, ISO/IEC 42001 risk değerlendirmenizin kontrol listesini bu profilden türetmek pratik bir yoldur.

## Küçük bir ekip nereden başlamalı?

Küçük bir ekip için soru genellikle "hangisi" değil, "hangi sırayla" olur. Önerdiğimiz sıra şudur:

1. Kullandığınız ve geliştirdiğiniz yapay zeka sistemlerinin envanterini çıkarın.
2. NIST AI RMF'nin Map işleviyle her sistemin amacını, etkilediği kişileri ve olası zararlarını yazın.
3. En riskli bir veya iki sistem için Measure ve Manage adımlarını uygulayın: test, metrik, izleme, olay müdahalesi.
4. Müşterileriniz sertifika istiyorsa, bu kayıtları ISO/IEC 42001 yönetim sistemine taşıyın. ISO 27001 belgeniz varsa doküman yönetimi, iç denetim ve yönetim gözden geçirmesini genişletin.

Bu yaklaşım özellikle müşterilerine yapay zeka özellikli ürün satan [teknoloji ve yazılım](/tr/sektorler/teknoloji-yazilim/) şirketleri ile kredi kararlarında model kullanan [finans ve sigorta](/tr/sektorler/finans-sigorta/) kuruluşları için anlamlıdır. [Kredi risk skorlama](/tr/cozumler/kredi-risk-skorlama/) gibi kişiyi doğrudan etkileyen kararlarda risk değerlendirmesi ve insan gözetimi baştan tasarlanmalıdır.

Corrplus bir belgelendirme kuruluşu değildir ve sertifika vermez. Belgelendirme bağımsız kuruluşların işidir. Biz teknik tarafı kurarız: [yapay zeka danışmanlığı](/tr/hizmetler/yapay-zeka-danismanligi/) kapsamında sistem envanterini ve risk haritasını çıkarır, [KVKK ve yapay zeka uyum yönetişimi](/tr/hizmetler/kvkk-yapay-zeka-uyum-yonetisim/) çalışmasında kayıt, test ve insan gözetimi kontrollerini sistemlere yerleştiririz. Canlıya alınan sistemlerin izlenmesini ve risk kayıtlarının güncel kalmasını isterseniz [yönetilen hizmetler](/tr/hizmetler/yonetilen-hizmetler/) ile sürdürürüz. Hukuki yorum gerektiren her konuyu hukuk danışmanınızla birlikte ele alırız.

## Sık sorulan sorular

### ISO/IEC 42001 belgesi zorunlu mu?

Hayır. ISO/IEC 42001 gönüllü bir standarttır ve hiçbir yasa onu tek başına zorunlu tutmaz. Ancak kurumsal müşteriler ve kamu ihaleleri tedarikçilerden yapay zeka yönetişimine dair kanıt isteyebilir. Böyle bir talep varsa belgelendirme, bu kanıtı sunmanın yollarından biridir.

### NIST AI RMF yalnız ABD şirketleri için mi?

Hayır. NIST AI RMF ABD'de hazırlandı ama herkesin ücretsiz kullanabileceği gönüllü bir çerçevedir. Türkiye'deki veya Avrupa'daki bir ekip de risk tanımlama ve ölçme yöntemi olarak kullanabilir. Bir belge veya sertifika vermez.

### ISO/IEC 42001 sertifikası AB Yapay Zeka Yasası'na uyumu gösterir mi?

Kendiliğinden göstermez. Standart, Yasa'nın istediği risk yönetimi ve dokümantasyon disiplinine yardımcı olur, ama Yasa'nın sistem türüne göre değişen yükümlülükleri ayrıca değerlendirilmelidir. Kapsamı hukuk danışmanınızla birlikte belirleyin.

### ISO 27001 belgemiz varsa işimiz kolaylaşır mı?

Genellikle evet. İki standart aynı yönetim sistemi yapısını paylaşır: bağlam, liderlik, planlama, destek, operasyon, performans değerlendirme ve iyileştirme. Mevcut doküman yönetimi, iç denetim ve yönetim gözden geçirmesi süreçleriniz yapay zeka kapsamına genişletilebilir.

## Kaynaklar

- [ISO, ISO/IEC 42001:2023 AI management systems](https://www.iso.org/standard/42001)
- [NIST, AI Risk Management Framework](https://www.nist.gov/itl/ai-risk-management-framework)
- [NIST AI RMF Playbook](https://airc.nist.gov/airmf-resources/playbook/)
- [NIST AI 600-1, Generative Artificial Intelligence Profile, Temmuz 2024 (PDF)](https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf)
- [Regulation (EU) 2024/1689, Yapay Zeka Yasası (EUR-Lex)](https://eur-lex.europa.eu/eli/reg/2024/1689/oj)