Günümüz global ve yapay zekâ dünyasında hız, rekabet avantajından ziyade iş yapış biçiminin temelidir. Asıl farkı yaratan, yapay zekâyı doğru kullananlar ve bu kullanımın kurum içinde nasıl yönetildiğidir. Çünkü bugün yapay zekâ, aynı anda üç kapıyı açar. Veriye temas eder, kararları etkiler, dış tedarikçilere bağımlılık yaratır. Tam da bu yüzden, ilk sorular teknoloji ekiplerinden gelmez. Yönetimden, hukuktan, mevzuattan, denetimden gelir. Kurumda nerede kullanılıyor, hangi veriye dokunuyor, hangi riskleri doğuruyor, bir olay yaşandığında kim neyi nasıl kanıtlayacak.
Yapay zekâyı “proje” gibi ele alan kurumlar bir süre sonra aynı döngüye girer. Kayıtlar dağılır, riskler parça parça kalır, kanıt üretimi son dakikaya sıkışır. GRC bakışı ise farklıdır. Amaç, daha en başta izlenebilir bir düzen kurmak ve uyum, risk ve denetim ihtiyaçlarını aynı yönetim yapısına bağlamaktır. ISO 42001, bu düzeni yönetim sistemi yaklaşımıyla tarif eder ve kurumun hangi kayıtları tutacağını, hangi kuralları işletip hangi kanıtları düzenli üreteceğini netleştirir. Bu noktadan sonra konu uygulamaya taşınır. Kurum içinde net bir başlangıç seti kurulur. AB AI Act takvimi ve üretken yapay zekâ riskleri bu setin içine dahil edilir. İlk adım, üç temel kayıt düzenidir.
1- Kurulumun İlk Adımı Üç Kayıt
Kurulumun ilerlemesi için kayıt düzeni oluşturulur. Bu adım, denetimde belge toplama sürecini planlı hale getirir.
Yapay Zekâ Envanteri: Kullanım senaryosu, ilgili süreç, veri kaynakları, model türü, tedarikçi, etkilenen paydaşlar,
Risk Kaydı: Risk tanımı, etki ve olasılık, kabul kriteri, aksiyonlar, ilgili kontrol maddeleri,
Kanıt Listesi: Politika ve prosedürler, test sonuçları, izleme raporları, onay kayıtları, olay kayıtları.
Bu üç kayıt netleştiğinde yönetim ritmi ve raporlama akışı tasarlanır ve iyileştirme süreçleri ivme kazanır. Böylece hem maddi hem de kurumsal imaja yönelik farkındalıklar artar.
2- 2026 Uyum Gündemi AB AI Act Takvimi
AB AI Act kademeli uygulanıyor. Tam devreye giriş için 2 Ağustos 2027 tarihi öngörülüyor. Bu bilgi, Avrupa Komisyonu AI Act Service Desk zaman çizelgesinde yer alıyor. Kaynak
Bu takvim, GRC programında şu gereklilikleri doğurur;
Kullanım senaryosu bazlı sınıflandırma ve kayıt düzeni,
Tedarikçi sözleşmelerinde uyum ve kanıt paylaşımı beklentileri,
Değişiklik yönetimi tetikleyicileri,
Model güncellemesi, veri kaynağı değişimi, yeni kullanım alanı, yeni tedarikçi,
Bu aşamada genel amaçlı yapay zekâ için yayımlanan gönüllü Kod, uyum beklentilerine uygulama yönü verir. Kodun 10 Temmuz 2025 tarihinde yayımlandığı Komisyon sayfasında yer alır.
3- Üretken Yapay Zekâ İçin Güncel Risk Seti
Üretken yapay zekâ kullanımı, kontrol listesinde belirli başlıkların yer almasını gerektirir. NIST, 26 Temmuz 2024 tarihinde NIST AI 600 1 Generative AI Profile dokümanını yayımladı. Doküman, GenAI risklerini AI RMF yapısı ile ilişkilendirir.
GRC kontrol listesi doğrudan karşılığı olan maddeler;
Prompt ve çıktı kayıtlarının saklanması ve erişim kuralları,
Yanlış bilgi ve içerik güvenilirliği için doğrulama adımları,
Model sürüm takibi ve değişiklik onay akışı,
Hassas veri sızıntısı riskine karşı kullanım kuralları,
Bu maddeler uygulamaya alındığında yapay zekâ kullanımının denetlenebilirliği desteklenir ve risk raporlaması düzenli hale gelir.
4- Siber risk gündemi ENISA Threat Landscape 2025
ENISA Threat Landscape 2025 sayfasında Revizyon Notu olarak 09 Ocak 2026 güncellemesi bulunuyor. Bu yayın, yapay zekâ destekli saldırı eğilimlerini izlemek ve kontrol setini güncel tutmak için referans sağlar.Kaynak
Yapay Zeka Yönetim Sistemi (AIMS) entegrasyonunda siber tarafta odaklanan alanlar;
Sosyal mühendislik ve kimlik avı risklerine karşı süreç içi doğrulama adımları,
Olay yönetimi kayıt düzeni ve iyileştirme aksiyonları,
Tedarik zinciri riskleri ve üçüncü taraf izleme mekanizması.
5- Entegrasyon haritası mevcut sistemlere bağlama
Kurulumun sürdürülebilir olması için yönetim sistemi mevcut GRC ve yönetim sistemlerine bağlanır. Böylece aynı kanıt seti farklı denetim ihtiyaçlarını destekler.
ISO 27001 bağlantıları, erişim yönetimi, tedarikçi güvenliği, olay yönetimi,
ISO 9001 bağlantıları, değişiklik yönetimi, tasarım geliştirme kontrolleri, tedarikçi değerlendirme,
ISO 22301 bağlantıları, kritik süreç bağımlılıkları, kesinti senaryoları, geri dönüş planları.
Bu entegrasyon adımı tamamlandığında, günlük iş akışında veri üretimi ve kanıt üretimi birlikte yürütülür.
Sonuç olarak Yapay Zekâ Yönetim Sistemi Kurulumu ve Entegrasyonu, GRC tarafında üç çıktıya odaklanır;
Güncel yapay zekâ envanteri,
Risk kayıtları ve kontrol eşlemesi,
Denetimde kullanılabilir kanıt üretimi.
ISO 42001, yönetim sistemi kurgusu için referanstır. AB AI Act zaman çizelgesi 2 Ağustos 2027 hedefiyle takvim yönetimini gerektirir. NIST GenAI Profile, üretken yapay zekâ kontrollerine girdi sağlar. ENISA Threat Landscape 2025 ise 09 Ocak 2026 güncellemesiyle siber risk gündemine referans verir.Kaynak