Rehber · Teknik kontrol
Microsoft 365 Copilot devreye alma: teknik kontrol sırası
Microsoft 365 Copilot devreye alma projelerinin büyük kısmı bir yapay zekâ projesi değildir. Copilot yeni bir erişim yetkisi üretmez; kuruluşta zaten var olan aşırı yetkilendirmeyi anında keşfedilebilir hâle getirir. Bu nedenle yapılacak işin ağırlıklı bölümü, önceden mevcut olan aşırı paylaşımın giderilmesidir. Bu rehber, işin hangi sırayla yapılması gerektiğini ve her adımın hangi kanıtı ürettiğini açıklamaktadır.
İçindekiler
BÖLÜM 1Temel tespit: yetki değil, keşfedilebilirlik
Microsoft 365 Copilot, kullanıcının hâlihazırda erişim yetkisi bulunan içerik üzerinde çalışır. Kullanıcının erişemediği bir belgeyi kullanıcıya göstermez ve mevcut izin modelini değiştirmez. Bu doğru bir tespittir, ancak devreye alma riskini açıklamakta yetersizdir.
Değişen şey yetki değil, keşfedilebilirliktir. Kuruluş genelinde paylaşılmış bir maaş tablosuna, Copilot öncesinde erişmek için o tablonun varlığından haberdar olmak, adını bilmek ve doğru siteye gitmek gerekiyordu. Erişim yetkisi zaten vardı; ancak pratikte bir arama sürtünmesi koruma işlevi görüyordu. Doğal dilde sorulan bir soru bu sürtünmeyi ortadan kaldırır. Kuruluşlar bu nedenle devreye almanın ilk haftalarında, yıllardır mevcut olan izin sorunlarını ilk kez görürler.
Devreye alma sırasında ortaya çıkan bulguların büyük kısmı Copilot tarafından yaratılmamıştır. Bunlar, çoğu kuruluşta beş ilâ on yıllık işbirliği platformu kullanımının biriktirdiği yapılandırma borcudur. Projeyi bir yapay zekâ projesi olarak değil, gecikmiş bir erişim yönetimi projesi olarak konumlandırmak, hem bütçe hem de zaman beklentisini gerçekçi hâle getirir.
Bu tespitin hukuki karşılığı da bulunmaktadır. 6698 sayılı Kanun md.12, veri sorumlusunun kişisel verilere hukuka aykırı erişimi önlemeye yönelik uygun güvenlik düzeyini temin etmesini gerektirir.[1] Kuruluş içinde yetkisiz erişimi mümkün kılan bir izin yapısı, Copilot devreye alınmadan önce de bu yükümlülük bakımından bir eksikliktir. Copilot, eksikliği yaratmaz; görünür kılar. Kişisel Verileri Koruma Kurumu da iş yerlerinde üretken yapay zekâ araçlarının kullanımına ilişkin dokümanında, bu araçların kurumsal düzeyde izlenmesi ve yönetilmesi ihtiyacına işaret etmektedir.[2]
BÖLÜM 2On bir adımlık kontrol sırası
Sıralamanın kendisi bir kontroldür. Adımların yer değiştirmesi hâlinde, sonraki adımlar önceki adımların çıktısına dayandığı için iş tekrarı ortaya çıkar. Aşağıda her adım için ne olduğu, o konumda bulunma gerekçesi, ilgili yönetim yüzeyi, tamamlanma ölçütü ve tipik süre verilmektedir.
Adım 1. Kapsam, sahiplik ve başarı ölçütünün yazılı olarak belirlenmesi
Nedir: Hangi birimlerin pilot kapsamına alınacağı, projenin isimli sahibinin kim olduğu ve başarının hangi ölçütlerle değerlendirileceği yazılı hâle getirilir. Neden burada: Sahipliği belirlenmemiş bir devreye alma, bilgi teknolojileri ile bilgi güvenliği birimleri arasında sıkışır ve aşırı paylaşım giderimi kimsenin işi olmaz. Tamamlanma ölçütü: Pilot kullanıcı listesi, isimli sahip ve en az üç sayısal başarı ölçütü onaylanmıştır. Tipik süre: Bir hafta.
Adım 2. Denetim kaydının ve saklama süresinin teyidi
Nedir: Kiracı genelinde denetim kaydının açık olduğu, Copilot etkileşimlerinin kaydedildiği ve saklama süresinin devreye alma takvimini kapsadığı doğrulanır. Neden burada: Denetim kaydı geriye dönük üretilemez. Üçüncü ayda bir sorun yaşandığında birinci aya bakılabilmesi, kaydın birinci ayda açık olmasına bağlıdır. Bu adımın sonraya bırakılması düzeltilemez bir boşluk yaratır. Yönetim yüzeyi: Microsoft Purview bünyesindeki denetim ve saklama yetenekleri. Tamamlanma ölçütü: Kaydın açık olduğu ve saklama süresinin en az devreye alma süresi kadar olduğu ekran görüntüsü veya dışa aktarımla belgelenmiştir. Tipik süre: Bir hafta.
Adım 3. Aşırı paylaşım tabanının ölçülmesi
Nedir: Kuruluş genelinde paylaşılmış içerik, herkese açık bağlantı sayısı, sahipsiz siteler ve hassas içerik barındıran geniş erişimli konumlar sayısallaştırılır. Neden burada: Öncelik sırası ancak ölçümle kurulabilir. Ölçüm yapılmadan başlatılan giderim çalışmaları, en çok şikâyet gelen yerlerden başlar ve en riskli yerler sona kalır. Yönetim yüzeyi: Microsoft Purview kapsamındaki yapay zekâ için veri güvenliği duruş yönetimi yetenekleri ve SharePoint gelişmiş yönetim kapsamındaki erişim ile paylaşım raporları. Tamamlanma ölçütü: Sayısallaştırılmış bir taban raporu üretilmiş ve en riskli konumlar öncelik sırasına konulmuştur. Tipik süre: İki ilâ dört hafta.
Adım 4. Sahipliğin atanması ve terk edilmiş içeriğin ele alınması
Nedir: Her siteye ve ekip alanına isimli sahip atanır; sahipsiz, uzun süredir erişilmeyen ve amacı kalmamış içerik arşivlenir veya erişimi daraltılır. Neden burada: İzin giderimi merkezi bir ekip tarafından tek başına yapılamaz; hangi içeriğe kimin erişmesi gerektiğini yalnızca içerik sahibi bilir. Sahiplik atanmadan yapılan toplu daraltma işlemleri iş kesintisi üretir. Tamamlanma ölçütü: Öncelikli konumların tamamında etkin bir sahip bulunmakta ve sahipsiz içerik için karar verilmiştir. Tipik süre: İki ilâ dört hafta, kuruluş büyüklüğüne göre uzayabilir.
Adım 5. Hassasiyet etiketi taksonomisinin sadeleştirilmesi
Nedir: Mevcut etiket seti gözden geçirilir, sayı azaltılır, tanımlar netleştirilir ve otomatik etiketleme kuralları önce yalnızca raporlama modunda çalıştırılır. Neden burada: Etiketler, sonraki adımlarda veri kaybı önleme kurallarının ve konteyner kurallarının dayanağıdır. Hatalı bir taksonomi üzerine kurulan kontroller de hatalı olur. Ayrıca kullanıcı tarafından uygulanacak etiket sayısı arttıkça doğru etiketleme oranı düşer. Yönetim yüzeyi: Microsoft Purview bilgi koruma yetenekleri. Tamamlanma ölçütü: Etiket seti onaylanmış, otomatik etiketleme kurallarının isabet oranı raporlama modunda ölçülmüş ve kabul edilebilir bulunmuştur. Tipik süre: Üç ilâ altı hafta.
Adım 6. Konteyner düzeyinde etiketleme
Nedir: Ekip, grup ve site düzeyinde etiketler uygulanarak dış paylaşım izni, yönetilmeyen cihazlardan erişim ve konteyner içindeki öğeler için varsayılan etiket gibi kurallar yerleştirilir. Neden burada: Öğe düzeyinde etiketleme yalnızca etiketlenmiş dosyaları korur; konteyner düzeyindeki etiket ise o alana sonradan konulacak içeriği de kapsar. Bu nedenle konteyner etiketlemesi, öğe etiketlemesinin kapsama boşluğunu kapatan tamamlayıcı bir kontroldür. Tamamlanma ölçütü: Hassas içerik barındıran tüm konteynerler etiketlenmiş ve dış paylaşım kuralları uygulanmıştır. Tipik süre: İki ilâ üç hafta.
Adım 7. Kısıtlı içerik keşfinin uygulanması
Nedir: Giderimi henüz tamamlanmamış yüksek riskli siteler, yapay zekâ araması ve kuruluş genelinde arama kapsamının dışına alınır. Neden burada: İzin giderimi haftalar sürer; bu süre boyunca devreye almanın beklemesi çoğu kuruluşta kabul edilmez. Kısıtlı içerik keşfi, giderim devam ederken maruziyeti sınırlayan cerrahi bir ara tedbirdir. Yönetim yüzeyi: SharePoint gelişmiş yönetim kapsamındaki kısıtlı içerik keşfi yeteneği. Tamamlanma ölçütü: Öncelikli riskli sitelerin listesi kapsama alınmış ve her site için giderim tarihi belirlenmiştir. Tipik süre: Bir ilâ iki hafta.
Bu tedbir, içeriğin arama ve yapay zekâ kapsamı dışında tutulmasını sağlar; erişim yetkisini değiştirmez. Yetkisi olan bir kullanıcı doğrudan bağlantıyla içeriğe erişmeye devam eder. Dolayısıyla kısıtlı içerik keşfi bir giderim yöntemi değil, giderim tamamlanana kadar süren bir maruziyet sınırlamasıdır. Her kapsama alınan site için bir giderim tarihi yazılmaması hâlinde, geçici tedbir kalıcı hâle gelir ve altındaki sorun hiç çözülmez.
Adım 8. Veri kaybı önleme kapsamının genişletilmesi
Nedir: Mevcut veri kaybı önleme kuralları, yapay zekâ istemleri ve çıktıları ile etiketli içeriğin yapay zekâ tarafından işlenmesini kapsayacak biçimde genişletilir. Neden burada: Kurallar etiketlere dayandığı için taksonominin sabitlenmesinden sonra kurulmalıdır. Daha erken kurulan kurallar, taksonomi değiştiğinde yeniden yazılmak zorunda kalır. Yönetim yüzeyi: Microsoft Purview veri kaybı önleme yetenekleri. Tamamlanma ölçütü: Kurallar en az otuz gün simülasyon modunda çalıştırılmış, yanlış pozitif oranı ölçülmüş ve kabul edilebilir düzeye indirilmiştir. Tipik süre: Dört ilâ altı hafta, otuz günlük simülasyon dâhil.
Adım 9. Pilot dağıtım ve ölçüm
Nedir: Sınırlı bir kullanıcı grubuna dağıtım yapılır; beklenmeyen içerik erişimleri, kullanıcı şikâyetleri ve kullanım örüntüleri kayıt altına alınır. Neden burada: Pilotun kontrollerden önce yapılması, en yüksek maruziyetin en hazırlıksız anda oluşmasına yol açar. Tamamlanma ölçütü: Pilot süresince beklenmeyen erişim bildirimi sayısı ölçülmüş ve her bildirim için kök neden belirlenmiştir. Tipik süre: Dört hafta.
Adım 10. Aracı ve bağlayıcı yönetişimi
Nedir: Copilot Studio ile oluşturulan aracıların ve dış veri kaynaklarını arama dizinine dâhil eden Graph bağlayıcılarının kayıt, onay ve yayımlama kuralları yürürlüğe konur. Neden burada: Aracılar ve bağlayıcılar, temel Copilot kullanımının veri sınırlarını genişletir. Temel kullanım sağlamlaştırılmadan bu genişletmeye izin verilmesi, kontrol edilmemiş bir yüzeyin üzerine ikinci bir kontrol edilmemiş yüzey ekler. Tamamlanma ölçütü: Aracı kaydı oluşturulmuş, yayım kapsamı onaya bağlanmış ve bağlayıcı ile getirilen kaynakların erişim kontrolü doğrulanmıştır. Tipik süre: İki ilâ dört hafta.
Adım 11. Yaygınlaştırma ve süreklilik düzeni
Nedir: Dağıtım genişletilir ve aşırı paylaşım ölçümü, etiket kapsama oranı, denetim kaydı gözden geçirmesi ile aracı kaydı doğrulaması dönemsel bir düzene bağlanır. Neden burada: Aşırı paylaşım, giderildikten sonra yeniden birikir. Ölçümün tekrarlanmadığı kuruluşlarda taban değerler bir yıl içinde eski seviyesine yaklaşır. Tamamlanma ölçütü: Aylık rapor seti tanımlanmış ve her raporun isimli sahibi belirlenmiştir. Tipik süre: Süreklidir.
Bu rehberde Microsoft ürün yetenekleri genel ve kalıcı terimlerle tanımlanmıştır. Yeteneklerin hangi lisans paketinde sunulduğu, yönetim arayüzlerinin düzeni ve özellik adları zaman içinde değişmektedir. Uygulamaya geçmeden önce güncel resmî ürün belgelerinin kontrol edilmesi gerekmektedir.
BÖLÜM 3Otuz günlük simülasyon kuralı
Engelleyici nitelikteki hiçbir kontrol, ölçüm yapılmadan doğrudan devreye alınmamalıdır. Uygulanan kural şudur: kural önce yalnızca kayıt üreten ve kullanıcıyı etkilemeyen simülasyon modunda en az otuz gün çalıştırılır. Bu süre boyunca üç ölçüt izlenir: tetiklenme sayısı, tetiklenmelerin ne kadarının gerçekten hassas içerik olduğu ve etkilenen kullanıcı ile iş akışı sayısı.
Otuz günlük sürenin gerekçesi, iş süreçlerinin aylık döngülerle çalışmasıdır. Ay sonu kapanışı, bordro dönemi, dönemsel raporlama ve fatura kesimi gibi faaliyetler yalnızca ayın belirli günlerinde gerçekleşir. Yirmi günlük bir simülasyon, ayın son haftasında yoğunlaşan işlemleri hiç görmeyebilir ve kural bu işlemleri engellediğinde sorun ilk gerçek kullanımda ortaya çıkar.
Geri alınmak zorunda kalınan bir kontrol, hiç kurulmamış bir kontrolden daha zararlıdır. Bunun üç nedeni bulunmaktadır. Birincisi, iş birimlerinde güvenlik kontrollerinin iş engelleyici olduğu algısını pekiştirir. İkincisi, aynı kontrolün ikinci kez devreye alınması için gereken onay süreci belirgin biçimde uzar. Üçüncüsü, geri alma kararı çoğu zaman kuralın tamamının kaldırılması biçiminde uygulanır ve isabetli çalışan bölümü de kaybedilir. Bu nedenle simülasyon süresi kısaltılmamalıdır.
Devreye almanın bağımsız olarak yürütülmesi
Aşırı paylaşım ölçümü, etiket taksonomisi, veri kaybı önleme simülasyonu ve aracı yönetişiminin kurulması tanımlı bir uygulama işi olarak yürütülmektedir. Teslimat, çalışan yapılandırma ve mevzuat maddeleriyle eşlenmiş kanıt paketidir.
BÖLÜM 4Adımların ürettiği kanıtın eşlenmesi
Her teknik adım, aynı zamanda bir kanıt üretir. Kanıtın hangi yükümlülüğe karşılık geldiğinin baştan belirlenmesi, denetim veya müşteri sorusu geldiğinde belge üretme ihtiyacını ortadan kaldırır. Aşağıdaki tablo, adımları 6698 sayılı Kanun md.12 ile ISO/IEC 42001 yapısı bakımından eşlemektedir.[1][3]
| Adım | Üretilen kanıt | KVKK md.12 bakımından | ISO/IEC 42001 bakımından |
|---|---|---|---|
| 1. Kapsam ve sahiplik | Onaylı kapsam belgesi, isimli sahiplik kaydı | İdari tedbir; sorumluluğun tanımlanmış olması | Liderlik, roller ve sorumluluklar; yapay zekâ politikası |
| 2. Denetim kaydı | Kayıt yapılandırması ve saklama süresi kanıtı | Erişimin izlenebilirliği; ihlal tespitinin ön koşulu | İzleme, ölçme ve kayıtların kontrolü |
| 3. Aşırı paylaşım ölçümü | Taban raporu ve önceliklendirilmiş risk listesi | Hukuka aykırı erişimin önlenmesine yönelik risk tespiti | Risk değerlendirmesi ve yapay zekâ sistemi etki değerlendirmesi girdisi |
| 4. Sahiplik ve terk edilmiş içerik | Site sahipliği listesi, arşivleme kararları | Saklama ve imha politikasının fiilen uygulanması | Yapay zekâ sistemleri için veri yönetimi kontrolleri |
| 5. Etiket taksonomisi | Onaylı etiket seti ve isabet oranı ölçümü | Verinin sınıflandırılmasına dayalı teknik tedbir | Veri kaynaklarının ve veri kalitesinin yönetimi |
| 6. Konteyner etiketleme | Konteyner etiket kapsama raporu | Dış paylaşımın sınırlanması | Yapay zekâ sistemi kullanımına ilişkin işletim kontrolleri |
| 7. Kısıtlı içerik keşfi | Kapsama alınan site listesi ve giderim tarihleri | Geçici risk azaltıcı tedbirin belgelenmesi | İşletimsel planlama ve kontrol |
| 8. Veri kaybı önleme | Simülasyon raporu, yanlış pozitif oranı, kural seti | Uygun güvenlik düzeyini temine yönelik teknik tedbir | İşletim kontrolleri ve performans değerlendirmesi |
| 9. Pilot ölçümü | Beklenmeyen erişim bildirimleri ve kök neden kayıtları | Md.12(3) kapsamındaki denetim faaliyetinin kanıtı | İç denetim ve düzeltici faaliyet girdisi |
| 10. Aracı ve bağlayıcı yönetişimi | Aracı kaydı, onay akışı, veri kaynağı listesi | İşleme faaliyetinin kapsamının belirlenmiş olması | Yapay zekâ sistemi yaşam döngüsü ve üçüncü taraf ilişkileri kontrolleri |
| 11. Süreklilik | Dönemsel rapor seti ve gözden geçirme kayıtları | Denetimlerin sürekliliği | Yönetimin gözden geçirmesi ve sürekli iyileştirme |
ISO/IEC 42001 gönüllü bir yönetim sistemi standardıdır. Yukarıdaki eşleme, kanıtın hangi başlık altında kullanılabileceğini gösteren bir yönlendirmedir; belgelendirme kapsamının veya denetçi değerlendirmesinin yerine geçmez.[3]
BÖLÜM 5Copilot Studio aracılarının yönetişimi
Copilot Studio, teknik olmayan kullanıcıların da belirli veri kaynaklarına bağlı aracılar oluşturabilmesini sağlar. Bu yetenek, devreye alma sonrasında en hızlı büyüyen ve en az izlenen yüzeydir. Bir aracı, oluşturan kişinin bilgi tabanı olarak seçtiği içeriği kullanır ve yayımlandığında bu içeriği başka kullanıcılara aktarabilir. Dolayısıyla aracı, bir erişim genişletme mekanizması hâline gelebilir.
Aracı yönetişiminin altı unsuru bulunmalıdır. Birincisi kayıt: her aracı, envanterde bir kayıt olarak yer almalı ve isimli bir sahibi bulunmalıdır. İkincisi veri kaynağı sınırı: aracının erişebildiği kaynakların, aracıyı oluşturan kişinin kendi yetkisiyle sınırlı kalması ve bu kaynakların kayıtta açıkça listelenmesi gerekir. Üçüncüsü yayım kapsamı: yalnızca oluşturan kişiye açık aracılar ile kuruluş genelinde veya dışarıya yayımlanan aracılar farklı onay eşiklerine tabi olmalıdır. Dördüncüsü kimlik: aracının hangi kimlikle çalıştığı ve kullanıcı yetkisini mi yoksa ayrı bir hizmet kimliğini mi kullandığı belirlenmelidir; ayrı kimlik kullanımı yetki yükseltmesi anlamına gelebilir. Beşincisi kayıt tutma: aracının etkileşimleri ve eriştiği içerik denetim kaydına düşmelidir. Altıncısı yaşam döngüsü: her aracı için gözden geçirme tarihi tanımlanmalı ve kullanılmayan aracılar kaldırılmalıdır.
Dışa açık yayımlanan aracılar bakımından ayrıca bir husus bulunmaktadır. Kullanıcının bir yapay zekâ sistemiyle etkileşimde olduğunu bilmesi gerektiği yönündeki şeffaflık beklentisi, aracının kuruluş dışındaki kişilerle etkileşime girdiği hâllerde ayrıca değerlendirilmelidir. Avrupa Birliği pazarına dönük hizmet veren kuruluşlar bakımından bu husus, ayrı bir rehberde ele alınan Yapay Zekâ Yasası md.50 şeffaflık yükümlülüğüyle doğrudan ilgilidir.
BÖLÜM 6Beş yaygın başarısızlık biçimi
1. Pilotun üst yönetimle başlatılması
Devreye almanın üst yönetimle başlatılması, görünürlük ve destek sağladığı gerekçesiyle sık tercih edilmektedir. Ancak üst yönetim, kuruluştaki en geniş erişim yetkisine sahip gruptur ve dolayısıyla en yüksek maruziyeti taşır. Kontroller tamamlanmadan yapılan böyle bir pilot, ilk günlerde beklenmeyen içerik erişimleriyle sonuçlanır ve proje çoğu zaman durdurulur. Erişim yetkisi orta düzeyde olan ve iş akışı ölçülebilir bir birimle başlanması önerilmektedir.
2. Etiket taksonomisinin karmaşık tutulması
Çok sayıda etiket ve alt etiket içeren bir taksonomi, teoride daha ince ayrım sağlar. Uygulamada ise kullanıcı doğru etiketi seçemez, yanlış etiketleme oranı yükselir ve bu etiketlere dayanan veri kaybı önleme kuralları güvenilmez hâle gelir. Sonuç, etiketleme sisteminin tamamına duyulan güvenin kaybedilmesidir. Az sayıda, tanımı açık ve aralarındaki farkın bir cümleyle anlatılabildiği bir set önerilmektedir.
3. Kısıtlı içerik keşfinin kalıcı çözüm olarak kullanılması
Arama kapsamından çıkarma işlemi hızlı ve kesintisizdir; bu nedenle giderim çalışmasının yerine geçmeye elverişlidir. Ancak altındaki izin sorunu çözülmediği için maruziyet devam eder ve doğrudan bağlantıyla erişim mümkün kalır. Kapsama alınan her site için bir giderim tarihi yazılması ve bu tarihlerin dönemsel olarak izlenmesi gerekmektedir.
4. Denetim kaydı saklama süresinin yetersiz kalması
Bir olay yaşandığında geriye dönük inceleme yapılabilmesi, kaydın olay tarihine kadar uzanmasına bağlıdır. Saklama süresinin lisans yapılandırmasına göre değiştiği ve varsayılan sürenin devreye alma takviminden kısa olabildiği sıkça gözden kaçmaktadır. Sürenin projenin başında teyit edilmemesi, sonradan düzeltilemeyen tek eksikliktir.
5. Aracı ve bağlayıcı yayılımının izlenmemesi
Temel Copilot kullanımı sağlamlaştırıldıktan sonra dikkat dağılır ve Copilot Studio aracıları ile dış veri kaynaklarını arama dizinine ekleyen bağlayıcılar kayıt dışı olarak çoğalır. Bu, gölge yapay zekânın kurumsal platform içinde yeniden üremesidir. Aracı kaydının devreye alma ile aynı anda kurulması ve dönemsel olarak doğrulanması önerilmektedir.
Son bir husus, projenin ölçülmesine ilişkindir. Devreye almanın başarısı, dağıtılan lisans sayısıyla değil, dört ölçütün zaman içindeki seyriyle değerlendirilmelidir: kuruluş genelinde paylaşılan hassas içerik sayısı, etiket kapsama oranı, veri kaybı önleme kurallarının yanlış pozitif oranı ve beklenmeyen içerik erişimi bildirimlerinin sayısı. Bu dört ölçüt, aynı zamanda denetim ve müşteri sorularında kullanılabilecek en somut kanıt setidir.
EKKaynaklar
Bu sayfadaki her hukuki iddia aşağıdaki birincil kaynaklara dayanır. Bağlantılar yayımlayan makamın kendi sitesine gider.
- 6698 sayılı KVKK — Kişisel Verilerin Korunması Kanunu (Kanun No. 6698). Resmî Gazete, 7 Nisan 2016, sayı 29677. Kaynak metin (Bağlayıcı)
- KVKK İş Yerlerinde Üretken YZ — İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı. Kişisel Verileri Koruma Kurumu. Kaynak metin · PDF (Bağlayıcı değil)
- ISO/IEC 42001:2023 — ISO/IEC 42001:2023 — Information technology, Artificial intelligence, Management system. Uluslararası Standardizasyon Örgütü (ISO/IEC). Kaynak metin (Gönüllü standart)