ISO 42001 ↔ EU AI Act Madde Eşleme Tablosu
AI yönetim sistemi ile yasal yükümlülük arasındaki köprü

ISO/IEC 42001 nedir?

ISO/IEC 42001:2023, bir kuruluşun yapay zeka sistemlerini kurma, işletme ve sürekli iyileştirme süreçlerini yönetmesi için tanımlanmış bir yapay zeka yönetim sistemi (AI Management System, kısaca AIMS) standardıdır. ISO 27001'in bilgi güvenliği için yaptığını bu standart yapay zeka yönetişimi için yapar: bir politika omurgası, roller, risk ve etki değerlendirmesi, yaşam döngüsü kontrolleri ve bir denetim/iyileştirme döngüsü kurar. SGS, TÜV SÜD, BSI ve LRQA gibi belgelendirme kuruluşları bu standardı ilk AI yönetim sistemi standardı olarak tanımlar.

Standardın kalbi iki katmandır: ana gövde (Madde 4–10, klasik ISO yönetim sistemi döngüsü — kapsam, liderlik, planlama, destek, işletim, performans değerlendirmesi, iyileştirme) ve Ek A (A.2–A.10 arası, yapay zekaya özgü kontroller — AI politikaları, etki değerlendirmesi, veri yönetimi, yaşam döngüsü, şeffaflık, üçüncü taraf ilişkileri). Sertifikasyonun teknik ağırlığı bu Ek A kontrollerinde toplanır; EU AI Act ile köprü tam da burada kurulur.

Önemli bir ayrım: ISO 42001 ürünü değil, kuruluşun yönetim sistemini belgeler. Yani "bu model güvenli" demez; "bu kuruluş yapay zeka risklerini yönetecek olgun bir sisteme sahip" der. Bu ayrım, yasal uyumla ilişkisini anlamanın anahtarıdır.

ISO 42001 ile EU AI Act neden aynı şey değil?

Kuruluşların en sık düştüğü yanılgı, ISO 42001 sertifikasını EU AI Act uyumuyla eşitlemektir. Bunlar farklı türde araçlardır ve farklı katmanlarda çalışır:

• ISO 42001 gönüllü, uluslararası, süreç odaklı bir standarttır. Bir belgelendirme kuruluşu tarafından denetlenir ve sertifikayla sonuçlanır.
• EU AI Act (Regülasyon 2024/1689) bağlayıcı bir Avrupa Birliği yasasıdır. Yüksek riskli sistemler için belirli teknik yükümlülükler (Madde 9–15), uygunluk değerlendirmesi ve idari para cezaları öngörür. Yasa, (AB) 2026/1744 sayılı Tüzük (yapay zekâ için Dijital Omnibus) ile değişti. Yeni takvime göre yüksek riskli sistem kuralları, Ek III kapsamındaki sistemler için 2 Aralık 2027'de, Ek I kapsamındakiler için 2 Ağustos 2028'de uygulanmaya başlar. Ayrıntıları EU AI Act 2026 takvimi yazımızda bulabilirsiniz.

Kritik cümle şudur: ISO 42001, EU AI Act uyumunu otomatik sağlamaz ama köprü kurar. Sertifika, yasanın gerektirdiği yönetişim omurgasının önemli bölümünü hazır hale getirir; ancak yasanın belirli maddelerini — örneğin ciddi olay bildirim süreleri veya belirli uygunluk değerlendirme yükümlülükleri — kendiliğinden karşılamaz. AI Act'in yükümlülüklerini uçtan uca anlatan EU AI Act uyum rehberimizi ve Türkiye'nin genel düzenleyici çerçevesini ele alan Türkiye yapay zeka düzenlemeleri 2026 yazımızı bu makaleyle birlikte okumanızı öneririz; bu yazı ise iki çerçeve arasındaki teknik eşleme katmanına odaklanır.

Türkçe kaynaklarda ISO 42001'in "ne olduğu" ve "nasıl alındığı" belgelendirme ve eğitim kuruluşlarınca yeterince işlenmiştir. Az işlenen alan, standardın kontrol maddeleri ile AI Act yükümlülüklerini birebir eşleyen teknik köprü tablosudur — bu yazının odağı budur.

Madde eşleme tablosu: ISO 42001 Ek A ↔ EU AI Act

Aşağıdaki tablo, ISO/IEC 42001 Ek A kontrol alanlarını EU AI Act'in yüksek riskli sistemlere ilişkin başlıca yükümlülüklerine eşler. Tablo, örtüşmenin nerede güçlü, nerede kısmi olduğunu gösterir; hukuki mütalaa değil, mühendislik ve uyum ekipleri için bir başlangıç haritasıdır.

Tablonun en kritik satırları son ikisidir: ISO 42001 size bir izleme kültürü verir, ama AI Act'in ciddi olay bildirim süreleri ve uygunluk değerlendirme adımları standardın kapsamı dışındadır. Köprü buraya kadar taşır; kalanı yasaya özgü süreçlerle tamamlanır.

ISO 42006 ve Türkiye'de belgelendirme manzarası

Sertifikanın güvenilirliği, sertifikayı veren kuruluşun akreditasyonuna bağlıdır. Burada ISO/IEC 42006:2025 devreye girer. 7 Temmuz 2025'te yayımlanan bu standart, yapay zekâ yönetim sistemlerini denetleyip belgelendiren kuruluşlar için ISO/IEC 17021-1'e ek şartlar getirir. Basitçe: 42001 kuruluşun yönetim sistemine uygulanır, 42006 ise o sistemi belgeleyen kuruluşa uygulanır. TSE bu standardı 14 Temmuz 2025'te TS ISO/IEC 42006 olarak kabul etti.

Türkiye'de akreditasyon ve standardizasyon tarafındaki başlıca adımlar şunlardır:

• TÜRKAK, 17 Şubat 2025'te ISO/IEC 42001 kapsamında akreditasyon hizmeti vermeye başladığını duyurdu. Kurum, bu standarda göre verdiği ilk akreditasyonu 7 Temmuz 2025'te duyurdu.
• TÜRKAK'ın yönetim sistemi belgelendirme sayfasına göre, 42001 belgelendirmesi yapan bir kuruluş akredite olmak isterse ISO/IEC 17021-1 ve ISO/IEC 42006 şartlarını karşılamalıdır.
• TSE, ISO/IEC 42001'i 21 Mayıs 2026'da TS EN ISO/IEC 42001 olarak kabul etti. 4 Mart 2024 tarihli TS ISO/IEC 42001 iptal edildi.
• Şirketler de belge duyurmaya başladı. Türkiye Sigorta ve Türkiye Hayat Emeklilik, Ocak 2026'da ISO/IEC 42001:2023 belgesi aldıklarını açıkladı. Logo Yazılım da aynı ay bir ISO/IEC 42001 yapay zekâ yönetim sistemi belgesi aldığını duyurdu. Bunlar şirket duyurularıdır ve haberlerde belgeyi veren kuruluşun adı geçmez.

DESEM gibi eğitim programları ve akademik yayınlar (örneğin Denetişim dergisindeki ISO 42001/42006 incelemesi) farkındalık tarafını besler.

Türk şirketleri için pratik sonuç şudur: Belgeyi alacağınız kuruluşun 42001 kapsamında akredite olup olmadığını sorun ve bunu bağımsız olarak doğrulayın. Akreditasyon gönüllüdür. Bu yüzden piyasada akreditasyonsuz 42001 belgeleri de bulunur. Türkiye'deki akredite kuruluşları TÜRKAK'ın sitesinde, akredite belgeleri ise IAF CertSearch veri tabanında arayabilirsiniz. IAF ve ILAC'ın görevlerini 1 Ocak 2026'dan itibaren Global Accreditation Cooperation Incorporated (Global ACI) üstlendi. IAF CertSearch ise akredite belgeleri listelemeye devam ediyor. EU pazarına ürün veya hizmet sunuyorsanız bu kontrol daha da önem kazanır. Sertifikanın kendisi kadar, sertifikayı verenin akreditasyon zinciri de yasal ve ticari ağırlığını belirler.

Bir de tarafsızlık kuralı vardır. ISO/IEC 17021-1, belgelendirme kuruluşunun ve kontrolündeki birimlerin yönetim sistemi danışmanlığı vermesini yasaklar. Belgelendirme, bir danışmanlık hizmetine bağlanarak da pazarlanamaz (European Accreditation açıklaması). Yani danışman hazırlar, bağımsız ve akredite bir kuruluş belgelendirir. AltaySec belge vermez. Sunduğumuz yapay zekâ güvenliği danışmanlığı ve LLM sızma testi hizmetleri belgelendirmeden ayrı işlerdir.

ISO/IEC 42001 ile ISO/IEC 27090 arasındaki ilişki nedir?

ISO/IEC 27090:2026, yapay zekâ sistemlerine yönelik güvenlik tehditlerini ve bunlara karşı önlemleri anlatan bir rehberdir. Bu standarda dayalı bir belgelendirme şeması yoktur. ISO/IEC 42001 ise kuruluşun yapay zekâ yönetim sistemini tanımlar ve belgelendirilebilir. Kısaca 42001 yönetim çerçevesini kurar, 27090 ise yapay zekâya özgü saldırı türlerini ve önlemleri ayrıntılandırır. İkisi birbirinin yerine geçmez, birlikte kullanılabilir.

ISO/IEC 27090, 14 Ekim 2026'da yayımlandı ve ISO/IEC JTC 1/SC 27 komitesinde hazırlandı. Standart, yapay zekâya özgü dokuz tehdidi ayrı başlıklarda ele alır: veri zehirleme (data poisoning), kaçınma (evasion), üyelik çıkarımı (membership inference), model sızdırma (model exfiltration), model tersine çevirme (model inversion), doğrudan model zehirleme, hassas model çıktısı, prompt injection (istem enjeksiyonu) ve çıktıda enjeksiyon saldırısı. Her tehdit için açıklama, olası sonuçlar, tespit ve azaltım yolları verir. 18 Ekim 2026 itibarıyla TSE, 27090'ı henüz Türk standardı olarak kabul etmedi. Standart, TSE'nin iş programında yer alıyor.

ISO, iki standardın görev dağılımını şöyle çizer: 42001 yapay zekânın kurumsal yönetimini, 27090 ise yapay zekâ sistemlerine yönelik güvenlik tehditlerini ve bunlarla başa çıkma yollarını ele alır. 27090, yapay zekâ yönetişiminin uygulanması için 42001'e yönlendirir. Ayrıca ISO/IEC 27001 ve 27002'yi tamamlar. Yapay zekâya özgü önlemler bu bilgi güvenliği temeline eklenir, onun yerine geçmez.

AltaySec yorumu: 42001'in risk değerlendirmesi ve risk işleme adımlarında 27090'daki tehdit listesi girdi olarak kullanılabilir. Örneğin müşteri hizmetleri için kurulan bir RAG asistanının risk kaydında prompt injection, hassas model çıktısı ve model sızdırma satırları bu listeden gelebilir. Seçilen önlemler de 42001 Ek A kontrollerine bağlanabilir. Tehdit modelleme ve test kanıtı yaşam döngüsü (A.6) kontrollerine, veri zehirlemeye karşı önlemler veri (A.7) kontrollerine, kayıt ve izleme ise yukarıdaki tablodaki loglama satırına (A.4/A.6) oturur. Bu eşleme ISO'nun resmî bir eşlemesi değildir, AltaySec eşlemesidir.

Dokuz tehdidin ayrıntılı açıklaması, belgelendirme durumu ve KVKK ile ilişkisi için ISO/IEC 27090 rehberi yazımıza bakabilirsiniz.

Köprüyü nasıl kurarsınız: uygulanabilir kontrol listesi

Eşleme tablosu bir harita; asıl iş kontrollerin teknik kanıtını üretmektir. AltaySec'in açık kaynaklı eu-ai-act-technical-checklist reposu, AI Act yükümlülüklerini sekiz mühendislik kontrol alanına indirger ve her birini OWASP LLM Top 10 (2025) ile MITRE ATLAS tehdit kategorilerine bağlar. Bu sekiz alan, yukarıdaki ISO 42001 satırlarının teknik karşılığını üretmek için doğrudan kullanılabilir:

• Saldırgan test ve red-teaming (A.6 ↔ Madde 15): prompt injection, jailbreak ve çok dilli saldırı senaryoları.
• Loglama ve kayıt saklama (A.4/A.6 ↔ Madde 12): değiştirilemez denetim izleri.
• Şeffaflık (A.8 ↔ Madde 13/50): yapay zeka etkileşim bildirimi ve sentetik içerik işaretleme.
• Veri yönetişimi (A.7 ↔ Madde 10): eğitim kaynakları ve önyargı azaltımı dokümantasyonu.
• Sağlamlık ve siber güvenlik, insan gözetimi, teknik dokümantasyon, ciddi olay tespiti — kalan dört alan A.6/A.9 ve Madde 14/15/72/73 ile eşleşir.

Bu kontrollerin birçoğunun çalışma zamanında (runtime) kanıta ihtiyacı vardır: sağlamlık, girdi doğrulama ve değiştirilemez loglama statik dokümanla değil, canlı bir savunma katmanıyla gösterilir. AltaySec'in LLM güvenlik duvarı Guardian bu noktada A.6/A.9 ile Madde 12/15'in çalışma zamanı karşılığını üretir — saldırgan girdi filtreleme ve denetlenebilir kayıt. Türkçe saldırı yüzeyinin buradaki payı küçümsenmemeli: AltaySec'in kendi ölçümleri (AltayDuel ve guardrail-arena verileri), İngilizce'ye ayarlı bazı jailbreak sınıflandırıcılarının Türkçe saldırıları belirgin oranda kaçırdığını gösteriyor. Yani AI Act Madde 15 sağlamlık kanıtınız, yalnızca İngilizce test edilmişse Türk pazarı için eksik kalır. Bir yönetişim komitesinin bu kanıt zincirini sahiplenmesi için AI yönetişim komitesi kurulması rehberimize bakabilirsiniz.

Sınırlar ve sık yapılan hatalar

Köprü metaforunu abartmamak gerekir. Kaçınılması gereken üç yaygın hata:

1. Sertifikayı yasal muafiyet sanmak. ISO 42001 sertifikası, EU AI Act kapsamında bir "uygunluk karinesi" (presumption of conformity) sağlamaz. ISO/IEC 27090 de uyumlaştırılmış standart değildir ve uygunluk karinesi vermez. Uyumlaştırılmış standartlar (harmonised standards) ayrı bir rejimdir. AI Act'in siber güvenlik tarafı için CEN-CENELEC'te hazırlanan prEN 18282, Ekim 2026 itibarıyla hâlâ taslak aşamasındadır.
2. Türkiye'de faaliyet ile EU pazarına sunumu karıştırmak. AI Act, ürününüzü EU pazarına sunduğunuzda tetiklenir. Yalnızca Türkiye'de faaliyet gösteren bir şirket için yükümlülük profili farklıdır; bunun için yerel yasal çerçeveyi ayrıca değerlendirin.
3. Statik dokümanı canlı kanıtla eşitlemek. Ek A kontrollerinin çoğu, tek seferlik bir politika belgesiyle değil, sürekli çalışan izleme ve test kanıtıyla karşılanır.

Özetle: ISO 42001 sertifikası, EU AI Act uyumu için mükemmel bir başlangıç iskeletidir — yükümlülüklerin büyük bölümünü kapsayan bir yönetişim omurgası kurar. Ama son metreyi, yasaya özgü süreçler (uygunluk değerlendirmesi, olay bildirim süreleri, temel haklar etki değerlendirmesi) ve teknik kanıt üretimi tamamlar. Bu yazının eşleme tablosu, o son metreyi görünür kılmak için bir haritadır. Kurumsal bir yol haritası çıkarmak isterseniz bize ulaşabilirsiniz.

Sık Sorulan Sorular

ISO 42001 sertifikası EU AI Act uyumu için yeterli mi?

Tek başına yeterli değildir. ISO 42001, AI Act'in gerektirdiği yönetişim omurgasının önemli bölümünü (risk yönetimi, veri yönetişimi, kayıt tutma, şeffaflık, insan gözetimi) hazırlar ve iki çerçeve arasında güçlü bir köprü kurar. Ancak yasaya özgü uygunluk değerlendirmesi, ciddi olay bildirim süreleri ve temel haklar etki değerlendirmesi gibi maddeleri kendiliğinden karşılamaz.

ISO 42001 ile ISO 42006 arasındaki fark nedir?

ISO/IEC 42001:2023, kuruluşların kurduğu yapay zeka yönetim sistemi (AIMS) için şartları tanımlar. ISO/IEC 42006:2025 ise bu sistemleri denetleyip belgelendiren kuruluşlar için ISO/IEC 17021-1'e ek şartlar getirir. Akreditasyon kurumu, belgelendirme kuruluşunu bu şartlara göre değerlendirir. Kısaca 42001 kuruluşa, 42006 ise belgeleyene uygulanır.

Türkiye'de ISO 42001 sertifikası nereden alınır?

ISO 42001 belgesini bağımsız bir belgelendirme kuruluşu verir. TÜRKAK, 17 Şubat 2025'ten beri bu kapsamda akreditasyon hizmeti sunuyor. Verdiği ilk akreditasyonu 7 Temmuz 2025'te duyurdu. Akreditasyon gönüllü olduğu için akreditasyonsuz belgeler de vardır. Teklif aldığınız kuruluşun 42001 akreditasyonunu TÜRKAK'ın sitesinden ya da IAF CertSearch üzerinden doğrulayın. ISO/IEC 17021-1'e göre belgelendirme kuruluşu aynı zamanda yönetim sistemi danışmanlığı veremez.

ISO 42001 hangi EU AI Act maddelerine karşılık gelir?

Ek A kontrolleri kabaca şöyle eşleşir: veri (A.7) ile Madde 10, yaşam döngüsü (A.6) ile Madde 15 sağlamlık, loglama ile Madde 12 kayıt tutma, şeffaflık (A.8) ile Madde 13, kullanım/gözetim (A.9) ile Madde 14 insan gözetimi, izleme döngüsü ile Madde 72 pazara sunum sonrası izleme. Yazıdaki eşleme tablosu tüm satırları içerir.

ISO 42001 ürünü mü yoksa kuruluşu mu belgeler?

Kuruluşun yönetim sistemini belgeler, tek bir modeli veya ürünü değil. Yani "bu model güvenli" demez; "bu kuruluş yapay zeka risklerini yönetecek olgun bir sisteme sahip" der. Ürün düzeyindeki güvenlik kanıtı ayrıca üretilmelidir.

ISO 27090 sertifikası var mı?

Hayır, akredite bir ISO 27090 sertifikası alınamaz. ISO/IEC 27090:2026 rehber niteliğinde bir standarttır. Bu standarda dayalı bir belgelendirme şeması yoktur. TÜRKAK'ın yönetim sistemi belgelendirme sayfasında da 27090 için bir akreditasyon şartı yer almaz. Kurumlar 27090'ı tehdit değerlendirmesi ve önlem seçimi için rehber olarak kullanabilir. Belgelendirilebilir bir yönetim sistemi arıyorsanız ISO/IEC 42001'e bakın.

Kaynaklar

• ISO/IEC 42001:2023 — Artificial intelligence management system (resmi standart sayfası)
• Regulation (EU) 2024/1689 — Artificial Intelligence Act (EUR-Lex resmi metin)
• AltaySec — eu-ai-act-technical-checklist (açık kaynak kontrol listesi)
• OWASP Top 10 for LLM Applications (2025)
• NIST AI Risk Management Framework (AI RMF 1.0)
• Denetişim Dergisi (DergiPark) — ISO 42001/42006 ve Türkiye değerlendirmesi
• Regulation (EU) 2026/1744: AI Act'i değiştiren Dijital Omnibus tüzüğü (EUR-Lex)
• TÜRKAK: Yönetim sistemi belgelendirme kuruluşları için akreditasyon şartları
• TÜRKAK: "TÜRKAK Yapay Zekaya HAZIR" duyurusu (17 Şubat 2025)
• TÜRKAK: ISO/IEC 42001'e göre ilk akreditasyon haberi (7 Temmuz 2025)
• TSE standart arama: TS EN ISO/IEC 42001 ve TS ISO/IEC 42006 kayıtları, ISO/IEC 27090 iş programı girdisi
• IAF CertSearch: akredite belge doğrulama veri tabanı
• European Accreditation: ISO/IEC 17021-1 madde 5.2.5 tarafsızlık açıklaması
• Ekonomi Gazetesi: Türkiye Sigorta'ya yapay zekâ yönetim sistemi sertifikası (5 Ocak 2026)
• Ekonomi Gazetesi: Logo Yazılım'a yapay zekâ yönetim sistemi sertifikası (15 Ocak 2026)

İlgili Yazılar

• EU AI Act Uyum Rehberi
• Türkiye Yapay Zeka Düzenlemeleri 2026
• AI Yönetişim Komitesi Kurulması
• 7545 Kanun ve Yapay Zeka
• ISO/IEC 27090 Nedir? 9 Tehdit, Sertifika Durumu ve KVKK Eşlemesi