Bilus Teknoloji
Önce ölçülür. Sonra kurulur. Sonra işletilir.
Bilus Teknoloji bu işi belge satarak yapmaz. Önce gerçek kullanımı çıkarırız, sonra güvenli kurumsal yolu ve teknik kontrolü kurarız, ardından bunu işletiriz. Aşağıda her adımın kapsamı yazılıdır. Hangisinin gerektiği keşif görüşmesinde netleşir.
BÖLÜM 1Hizmetler sıralıdır
Hizmetlerin sırası tercih değil, yöntem gereğidir. Kuruluşta hangi yapay zekâ araçlarının fiilen kullanıldığı ölçülmeden yazılan politika, kapsamı bilinmeyen bir taahhüt niteliğindedir. Teknik karşılığı kurulmayan politika ise denetimde ve müşteri sorgusunda kanıt üretmez. Bu nedenle sıra değişmez: önce ölçüm, sonra kural, sonra kontrol, sonra kanıt, sonra süreklilik.
Kişisel Verileri Koruma Kurumu, iş yerlerinde üçüncü taraf üretken yapay zekâ araçlarının kullanımını “gölge yapay zekâ” başlığı altında ele almakta ve bu kullanımın kurumsal düzeyde izlenmesinin güçleştiğini tespit etmektedir.[1] Ölçümün ilk adım olmasının pratik gerekçesi budur.
Sıralamanın tek istisnası AB Yapay Zekâ Yasası md.50 şeffaflık yükümlülüğüdür. Bu yükümlülük ertelenmemiş olup 2 Ağustos 2026 tarihinden beri uygulanmaktadır; kapsamdaki kuruluşlar bakımından ilgili hizmet, Görünürlük Taraması ile paralel yürütülür.[2]
BÖLÜM 2Karşılaştırma
Aşağıdaki tablo altı hizmetin tamamını aynı ölçütlerle karşılaştırmaktadır. Süreler, kapsamın tekil tüzel kişi ve tekil lokasyon varsayımı altında öngörülen aralıklardır; çok tüzel kişili yapılarda üst sınıra yaklaşılır.
| Hizmet | Kimin için | Süre | Ana teslimat | Önkoşul |
|---|---|---|---|---|
| Görünürlük Taraması | Yapay zekâ kullanımının kapsamını ve verinin nereye aktarıldığını bilmeyen kuruluş | 2–3 hafta | On dört alanlı yapay zekâ envanteri, veri akışı haritası ve doksan günlük eylem listesi | Yoktur. Giriş noktasıdır. |
| Güvenli Kullanım Kurulumu | Politikası olan ancak teknik karşılığı kurulmamış, kurumsal aracı devreye alacak kuruluş | 6–10 hafta | Çalışan durumda teknik kontrol seti, politika ve karar seti, eğitim kayıtları, kanıt paketi | Güncel envanter |
| Yapay Zekâ Aracısı Güvenliği | Sistemlere yazma yetkisi olan veya işlem başlatabilen otonom aracı çalıştıran kuruluş | 4–8 hafta | On iki kontrolün uygulanmış hâli, dolaylı istem enjeksiyonu test raporu, eylem kaydı, aracı kartı | Çalışan veya planlanan en az bir aracı ve isimli sistem sahibi |
| AB Yapay Zekâ Yasası Uygunluk | Avrupa Birliği’ne satış yapan veya çıktısı Birlik içinde kullanılan kuruluş | 3–4 hafta | Kapsam ve rol tespiti, risk sınıflandırması, md.50 uygulaması, tedarikçi anketi cevap paketi | Yoktur. Tek başına alınabilir. |
| ISO/IEC 42001 Hazırlık | Müşterisi veya şartnamesi belge talep eden, ISO/IEC 27001 altyapısı bulunan kuruluş | 3–6 ay | Kurulmuş yönetim sistemi, doküman ve kayıt seti, iç denetim raporu, kanıt matrisi | Envanter ve kurulmuş teknik kontroller |
| Yönetilen Yapay Zekâ Yönetimi | Kurulum işini tamamlamış, sahipliği ve güncelliği sürdürmek isteyen kuruluş | Aylık, asgari 6 ay | Güncel envanter, mevzuat brifingi, kontrol doğrulama kaydı, üç aylık yönetim raporu | Kurulum veya aracı güvenliği işinin tamamlanmış olması |
Görünürlük Taraması ve AB Yapay Zekâ Yasası Uygunluk hizmeti, başka bir çalışmaya bağlı olmaksızın tek başına alınabilir. Diğer dört hizmet için güncel bir envanter önkoşuldur; envanter yoksa önce tarama yapılır veya kuruluşun mevcut envanteri eşdeğerlik bakımından incelenir.
Hangi hizmetin gerektiği görüşmede belirlenir
Keşif görüşmesinin sonunda ya kapsamı yazılı bir teklif çıkar ya da bu işin henüz gerekmediği gerekçesiyle söylenir. İkinci cevap da işin parçasıdır.
BÖLÜM 3Hangisiyle başlamalıyım
Kuruluşlar bu hizmetlere genellikle somut bir tetikleyici nedeniyle yönelmektedir. Aşağıdaki liste, en sık karşılaşılan beş tetikleyici durumu ve her birinde önerilen ilk adımı göstermektedir.
- Bir müşteriden yapay zekâ soru listesi geldi. Soru listesi Avrupa Birliği’nde yerleşik bir müşteriden geliyorsa veya ürününüzün çıktısı Birlik içinde kullanılıyorsa AB Yapay Zekâ Yasası Uygunluk hizmeti ile başlanması önerilmektedir. Soru listesi envanter, kontrol ve politika kanıtı istiyorsa Görünürlük Taraması öncelik alır. Her iki hâlde de çıktı, cevaplanabilir bir kanıt paketidir.
- Microsoft 365 Copilot devreye alınacak. Devreye almadan önce aşırı paylaşım borcunun ölçülmesi gerekir. Copilot, yıllar içinde birikmiş yetki dağınıklığını arama yüzeyine taşır. Önce Görünürlük Taraması kapsamındaki hızlı bakış yapılır, ardından Güvenli Kullanım Kurulumu ile sertleştirme yürütülür.
- Çalışan bir yapay zekâ aracısı var. Aracı elektronik postayı okuyor, müşteri ilişkileri sistemine yazıyor veya dışarıya ileti gönderiyorsa Yapay Zekâ Aracısı Güvenliği hizmeti önceliklidir. Kurumun bütününe yönelik ölçüm bu işle paralel yürütülebilir.
- ISO/IEC 42001 belgesi isteniyor. Talep şartnameden veya müşteri yeterlilik değerlendirmesinden geliyorsa ISO/IEC 42001 Hazırlık hizmeti gündeme gelir. Ancak envanteri çıkarılmamış ve teknik kontrolleri kurulmamış bir kuruluşta yönetim sistemi dosyası kanıt değil, kanıt görüntüsü üretir. Bu durumda önce tarama ve kurulum önerilmektedir.
- Hiçbir şey bilinmiyor. Kullanılan araçların listesi yoksa, listeyi tutan isimli bir sahip yoksa ve verinin hangi ülkeye aktarıldığı cevaplanamıyorsa tek doğru başlangıç Görünürlük Taramasıdır. Bu, hizmetlerin olağan giriş noktasıdır.
BÖLÜM 4Hizmetlerin birbirine bağlanması
Görünürlük Taraması bir sonraki adımı kendisi belirler. Tarama sonunda ortaya çıkan envanter, kırmızı kademeye alınmış satırların niteliğine göre hangi hizmetin gerektiğini gösterir. Kişisel hesapla müşteri verisi işlendiği tespit edilirse Güvenli Kullanım Kurulumu; insan onayı olmadan işlem başlatan bir aracı tespit edilirse Yapay Zekâ Aracısı Güvenliği; Birlik içinde kullanılan çıktı tespit edilirse AB Yapay Zekâ Yasası Uygunluk hizmeti öne alınır.
Kurulum işleri tamamlandıktan sonra envanterin güncelliği bir işletme sorunu hâline gelir. Yeni araçlar kısa aralıklarla devreye girdiğinden, güncellenmeyen envanter kısa sürede kanıt değeri kaybeder. Yönetilen Yapay Zekâ Yönetimi hizmeti bu nedenle tanımlanmıştır ve bir defalık projelerin devamı olarak sunulur.
BÖLÜM 5Kapsam dışı olan işler
Aşağıdaki işler hiçbir hizmetin kapsamında değildir ve bu sınır sözleşmeye de yazılır:
- Belgelendirme. ISO/IEC 17021-1 tarafsızlık şartı, danışmanlık verilen yönetim sisteminin aynı taraf tarafından belgelendirilmesini engeller.[3]
- Kendi kurduğumuz sistem hakkında bağımsız güvence görüşü. İç denetim desteği verilir, güvence beyanı verilmez.
- Hukuki mütalaa. Avukatlık faaliyetidir; gereken hâllerde hukuk ortağına yönlendirme yapılır.
- Uygunluk garantisi. Uygunluğu düzenleyici makam takdir eder. Taahhüt, kontrol kurmak ve kanıt üretmektir.
- Lisans ticareti. Araç önerisinin bağımsız kalması için lisans satışı yapılmaz; lisans giderleri kuruluşa aittir.
BÖLÜM 6Yatırım
Hizmetlerin gerektirdiği yatırım kapsam tarafından belirlenir. Belirleyici üç değişken, kapsama alınan yapay zekâ aracı ve sistem sayısı, tüzel kişi ve lokasyon sayısı ile kuruluşun mevcut bilgi güvenliği olgunluğudur. Bu üç değişken bilinmeden verilecek bir sayı, kuruluşunuz açısından da tarafımız açısından da bağlayıcılık taşımaz.
Bu nedenle yayımlanmış bir liste sunulmamaktadır. Keşif görüşmesinin ardından, kapsamı, süresi, teslimat listesini, varsayımlarını ve kapsam dışı kalan işleri açıkça sayan yazılı ve sabit tutarlı bir teklif iletilir. Teklifin geçerlilik süresi ve teslimat takvimi aynı belgede yer alır; kapsam değişikliği ancak yazılı ek ile yapılır.
Görüşmeye ne getirmek gerekir
Varsa bir müşteriden gelen yapay zekâ soru listesi, mevcut bilgi güvenliği veya yapay zekâ politikanız ve kullanıldığını bildiğiniz araçların listesi yeterlidir. Bu üç belge, kapsamın ilk taslağını görüşme içinde çıkarmaya imkân verir.
Başlangıç noktası envanterdir
Kuruluşunuzda hangi yapay zekâ araçlarının kullanıldığını, hangi veri kategorilerinin bu araçlara girildiğini ve verinin hangi ülkeye aktarıldığını ölçülmüş biçimde görmek, sonraki her kararın önkoşuludur. Görünürlük Taraması bu ölçümü üç yöntemi birlikte kullanarak yapar ve doksan günlük öncelikli eylem listesiyle kapanır.
EKKaynaklar
Bu sayfadaki her hukuki iddia aşağıdaki birincil kaynaklara dayanır. Bağlantılar yayımlayan makamın kendi sitesine gider.
- KVKK İş Yerlerinde Üretken YZ — İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı. Kişisel Verileri Koruma Kurumu. Kaynak metin · PDF (Bağlayıcı değil)
- Digital Omnibus on AI — Regulation (EU) 2026/1744 amending Regulations (EU) 2024/1689, (EU) 2018/1139 and (EU) 2023/1230 as regards the simplification of the implementation of harmonised rules on artificial intelligence (Digital Omnibus on AI). Avrupa Birliği Resmî Gazetesi, 24 Temmuz 2026. Kaynak metin (Bağlayıcı (AB hukuku))
- ISO/IEC 17021-1 — ISO/IEC 17021-1 — Conformity assessment, Requirements for bodies providing audit and certification of management systems. Uluslararası Standardizasyon Örgütü (ISO/IEC). Kaynak metin (Belgelendirme kuruluşları için bağlayıcı)