Güvencenin Konusu

Yeni yapay zeka güvence pazarının neyi ölçtüğü ve alıcıya hâlâ neyi bıraktığı

Heather M. Grizzle Novara Consulting Group Eylül 2026

Yapay zeka güvencesi bir sektör haline geliyor. Bu cümle iki yıl önce bir tahmin olurdu, şimdi ise basitçe bir tespit niteliği taşıyor. Birleşik Krallık Bilim, Yenilik ve Teknoloji Bakanlığı, 2024 itibarıyla yerel güvence pazarında beş yüzden fazla firma ve kabaca bir milyar sterlinlik brüt katma değer saptamış, 2035 yılına kadar on dokuz milyar sterline yaklaşan bir pazar öngörmüş ve Eylül 2025'te devletin bu pazarın olgunlaşmasına nasıl yardımcı olmayı planladığını ortaya koyan bir Güvenilir Üçüncü Taraf Yapay Zeka Güvence Yol Haritası yayımlamıştır. Haziran 2026'da bu yol haritası bir kurum doğurdu: BCS'nin başkanlık ettiği, techUK'nin sektör danışma grubunu bir araya getirdiği bir konsorsiyum, ilk yıl görevi olarak güvence uygulayıcıları için gönüllü bir etik kod taslağı hazırlamak, bir beceri ve yetkinlik çerçevesi oluşturmak ve geliştiricilerin kendilerini denetleyen kişilere hangi bilgileri açıklaması gerektiğini haritalandırmakla yükümlü kılındı. Bunun yanı sıra, sertifikasyon rotası da pekişiyor. ISO/IEC 42001, yapay zeka için bir yönetim sistemi standardı sunarken, ISO/IEC 42006:2025 bu standarda göre denetim yapan kuruluşlar için gereklilikleri belirlemekte ve Birleşik Krallık'taki UKAS ile Amerika Birleşik Devletleri'ndeki ANAB dahil ulusal akreditasyon kuruluşları 2025 ve 2026 boyunca sertifikasyon kuruluşlarına akreditasyon vermektedir.

Bir mesleğin başlangıcı işte böyle görünür. Standartları, akreditasyonu, filizlenen bir yetkinlik çerçevesi, ortaya çıkmakta olan bir etik kodu ve kamu güvenine dair savunulabilir bir iddiası vardır. Bir yapay zeka sisteminin güvenilir olup olmadığını anlamanın yoluna dair kabul görmüş bir yanıtı bekleyen kurumların artık işaret edebileceği bir şey var.

Neye işaret ettiğine yakından bakmaları gerekir.

Yönetim sistemi, sistemin kendisi değildir

ISO/IEC 42001, yapısal olarak ISO/IEC 27001 ile paraleldir. Bu bir yönetim sistemi standardıdır; yani bir kuruluşun yapay zekayı yönetmek için bir dizi süreç kurduğunu, belgelediğini ve sürdürdüğünü, bu süreçlerin iç denetime ve sürekli iyileştirmeye tabi olduğunu onaylar. Bu yönetim sistemi içinde inşa edilen herhangi bir sistemin yeterli çıktı ürettiğini onaylamaz. Bu, standardın bir kusuru değildir. Bir yönetim sistemi standardının ne olduğu budur. Karışıklık, bir sertifikanın üreten kuruluş hakkında değil ürün hakkında bir ifade olarak okunduğu satın alma süreçlerinde ortaya çıkar.

Bu ayrım, çıktının satın almanın tüm amacı olduğu durumlarda en çok önem kazanır. Otomatik işaret dili çevirisi satan bir tedarikçi, iyi işleyen bir yapay zeka yönetim sistemini tasdik eden usulüne uygun şekilde akredite edilmiş bir sertifikaya sahip olabilirken, akıcı bir Sağır kullanıcının takip edemeyeceği bir çıktı sunabilir. Sertifikada yanlış hiçbir şey yoktur. İçinde, satın alan kurumun aslında yanıtlanmasını ihtiyaç duyduğu soruya, yani tezgahın başında, muayene odasında veya disiplin kurulunun önünde duran kişinin anlayabileceği bilgiyi alıp almadığına dair hiçbir şey yoktur.

Ölçek, bu noktayı çürütmek yerine doğrular. Sektör derlemelerine göre, 2026 ortası itibarıyla ISO/IEC 42001'e karşı dünya çapında sertifikasyon kabaca üç yüz elli kuruluşa ulaşmıştır. Karşılaştırma için, ISO 9001 bir milyondan fazla kuruluş tarafından tutulmaktadır. Standart gençtir ve benimsenme erken aşamadadır, bu da şaşırtıcı değildir. Şaşırtıcı olan, az sayıda sertifikanın satın alma görüşmelerinde şimdiden ne kadar yorumsal ağırlık taşımasının istenmesi ve bir alıcının sertifikanın neyin sertifikası olduğunu ne kadar nadiren sorgulamasıdır.

Ertelemenin değiştirdiği son tarihti, zorluk değil

Avrupa Birliği'nin takvimi artık önümüzdeki on sekiz ay boyunca kurumsal davranışı şekillendirecek şekilde değişti. Yapay zeka hakkındaki Dijital Omnibus, 24 Temmuz 2026'da yayımlanan ve 27 Temmuz'dan itibaren yürürlüğe giren (AB) 2026/1744 sayılı Tüzük olarak kabul edildi. Bağımsız Ek III sistemleri için yüksek riskli yükümlülükleri 2 Aralık 2027'ye, Ek I kapsamındaki düzenlenmiş ürünlere gömülü yapay zeka için ise 2 Ağustos 2028'e erteliyor. Madde 50 kapsamındaki şeffaflık yükümlülükleri ertelenmedi ve 2 Ağustos 2026'dan itibaren uygulandı; daha önceki tarihten önce piyasada zaten bulunan üretken sistemler için 2 Aralık 2026'ya kadar süren kısa bir ara dönem tanındı.

Ertelemenin nedeni asıl önemli olan kısımdır. Orijinal takvim, CEN-CENELEC'ten uyumlaştırılmış teknik standartların, görevlendirilmiş ve kaynak tahsis edilmiş ulusal piyasa gözetim otoritelerinin ve uygunluk değerlendirmesi yapabilen onaylanmış kuruluşların işleyen bir ekosistemini varsaymıştı. 2025 sonlarına doğru bu ekosistemin açıkça mevcut olmadığı görüldü. Yasa koyucular, standartların mevcudiyetine bağlı koşullu bir mekanizma yerine sabit yeni tarihleri tercih etti; gerekçe, öngörülebilirliğin değişken bir tetikleyiciden daha iyi uyum sağladığıydı.

Açıkça okunduğunda bu, yüksek riskli sistemler hakkında kanıt üretmek için gerekli mekanizmanın henüz kurulmadığının bir itirafıdır. Düzenleyici saat ilerledi çünkü kanıt altyapısı gecikmişti. Bu, kanıtın mevcut olduğu ve son tarihin yalnızca sakıncalı olduğu bir durumdan çok farklı bir durumdur.

Ancak satın alma süreçleri ertelenmez. Kurumlar bütçe döngülerine, hibe zaman çizelgelerine, birisinin bu mali yıl içinde kapatılmasını istediği bir hizmet açığının belirlediği takvime göre satın alım yapar. Şimdiden Aralık 2027'ye kadar, bir erişilebilirlik yapay zeka sistemi satın alan bir kamu kuruluşuna üç şey sunulacaktır: tedarikçinin varsa bir yönetim sistemi sertifikası, bir uygunluk öz beyanı ve bir erişilebilirlik uygunluk raporu. Birincisi üretici hakkında konuşur. İkincisi kendi adına konuşur, ki sorun da budur. Üçüncüsü, pazarın normalleştirdiği haliyle, bir ürünü, üretilen işaret dili göz önünde bulundurularak yazılmamış teknik kriterler kontrol listesiyle eşleştiren, tedarikçi tarafından yazılmış bir belgedir. Üçünden hiçbiri çıktının işe yarayıp yaramadığına dair kanıt değildir.

Yatay pazarın göremediği şey

Yol haritasının kendi teşhisi burada öğretici niteliktedir. Güvenilir bir üçüncü taraf güvence pazarının önündeki dört kısıtı tanımlamaktadır: güvence faaliyetinin kalitesinin kendisi, mevcut yapay zekâ yönetişim araçlarının önemli bir kısmının aktif olarak yanıltıcı olabilecek ölçütlere dayandığı gözlemi dahil; teknik, hukuki, etik ve sektöre özgü yetkinlikleri bir araya getiren uygulayıcı eksikliği; güvence sağlayıcılarının ihtiyaç duydukları eğitim verilerine, model ayrıntılarına ve iç belgelere erişiminin yetersizliği; ve yeni güvence yöntemlerinin işbirliğiyle geliştirilmesine yönelik zayıf teşvikler.

Bu dört unsurdan üçü, alan düzeyinde en sert şekilde etkisini gösterir. Yatay bir güvence çerçevesi, bir kuruma bir tedarikçinin risk kaydı tuttuğunu söyleyebilir. Ancak sistemin, işaret dilinde olumsuzlamayı, soru oluşturmayı, konu vurgulamayı ve koşul işaretlemesini taşıyan el dışı dilbilgisel özellikleri yeniden üretip üretmediğini kuruma söyleyemez, çünkü yatay güvencenin bu soru için ne bir kelime dağarcığı ne de bu konuya atanmış yetkin bir değerlendiricisi vardır. Bir eğitim derlemesinin, içindeki işaretçilerin rızasıyla, ticari kullanıma izin veren bir lisans altında ve akıcılığı doğrulanmış işaretçilerden derlenip derlenmediğini değerlendiremez. Düzenlenmiş bir gösterim ile gerçek bir dağıtımı birbirinden ayırt edemez. Bir tedarikçinin işaretleme kalitesinin kanıtı olarak öne sürdüğü otomatik ölçütün ilgili herhangi bir şeyi ölçüp ölçmediğini söyleyemez; üretilen işaret dili için şu anda geçerliliği doğrulanmış hiçbir otomatik kalite ölçütü bulunmamaktadır, bu da çeviriye yakın puanların anlaşılabilirliğin kanıtı olarak sunulmasını zayıf bir kanıt olmaktan çok bir kategori hatası hâline getirir.

Şu anda inşa edilmekte olan yetkinlik çerçevesi, zamanla bunun bir kısmına ulaşabilir. Henüz ulaşmamıştır ve yol haritasının kendi zaman çizelgesi, uygulayıcıların sertifikalandırılmasını tarihsiz bırakmaktadır. Bu süre zarfında, boşluk tam olarak sonucun en yüksek olduğu yerde durmaktadır. Sağlık hizmetleri kabulüne, acil durum bildirimine, toplu taşıma duyurularına ve istihdam süreçlerine dağıtılan sistemler, başarısızlıkları en geri döndürülemez olan sistemlerdir ve genel güvence pazarının incelemeye en az donanımlı olduğu sistemler de yine bunlardır.

Novara Consulting Group'ın benimsediği konum

Güvence bir nesne gerektirir. Soru, bir tedarikçinin soyut anlamda iyi yönetilip yönetilmediği değil, belirli bir sürümdeki belirli bir sistemin, ona güvenmek zorunda olan kişiler tarafından değerlendirildiğinde, belirli bir kullanım için yeterli çıktı üretip üretmediğidir. Geri kalan her şey bir vekildir ve vekiller, bir kurum kanıt satın aldığını düşünürken aslında yalnızca kâğıt işi satın almış olduğunu fark etmeden sessizce birikir.

Vekiller, bir kurum kanıt satın aldığını düşünürken aslında yalnızca kâğıt işi satın almış olduğunu fark etmeden sessizce birikir.

Heather M. Grizzle

Sign Language Access Trust Index bu öncül üzerine inşa edilmiştir. Beş güven alanı ve kırk puanlanmış gösterge etrafında düzenlenmiş, kanıt yeterliliğine ve sistem güvenine ayrı ölçekler uygulayan, kriter temelli bir değerlendirme aracıdır; böylece iyi belgelenmiş zayıf bir sistem ile kötü belgelenmiş bilinmeyen bir sistem aynı değerlendirmeye düşmez. Dağıtım riski sınıflandırması, sistemlere değil dağıtımlara bağlıdır; bunun gerekçesi, aynı çeviri motorunun bir müze açıklamasında ve bir taburcu talimatında tamamen farklı riskler taşımasıdır. Değerlendirme Standardı yayımlanmış ve alıntılanabilir durumdadır; Creative Commons atıf lisansı altında bir dijital nesne tanımlayıcısıyla tescillenmiştir, böylece bir alıcı, bir tedarikçi veya bir eleştirmen yöntemi okuyup onunla tartışabilir.

Bu aracı bir uygunluk egzersizinden ayıran üç taahhüt vardır. Bulgular, bir Deaf değerlendiricinin onayı olmadan yayımlanmaz; bu, yetersiz bir sistemin sonucuna katlanan topluluğun, yeterliliği değerlendirme yetkinliğine sahip olduğu ve bir tasarım kararından sonra sunulan danışmanın yönetişim sayılmayacağı ilkesine dayanır. Şirket, hiçbir işaret dili yapay zeka satıcısında mali çıkar taşımaz, değerlendirilen bir taraftan koşullu, yönlendirme veya hisse bazlı ödeme kabul etmez ve ücretini olumsuz bir bulguya göre değiştirmez; bu da, bugüne kadar bir güvence piyasası kurmuş her sektörü rahatsız eden çıkar çatışması sorununu doğrudan ele alır. Yöntem ayrıca kendi sınırlarını da belirtir: kamuya açık kanıt incelemesi, nelerin bulunduğunu ve nelerin bulunmadığını raporlar, materyal bulunsun bulunmasın kontrol edilen arama konumlarını kayıt altına alır ve kamuya açık biçimde kanıtlanması olası olmayan göstergeleri belirler; böylece okuyucu, satıcının bir başarısızlığını yöntemin bir sınırlamasından ayırt edebilir.

Mevcut durumla ilgili iki husus ima edilmek yerine açıkça belirtilmelidir. Novara Consulting Group akredite bir sertifikasyon kuruluşu değildir ve Index bir sertifikasyon şeması değildir; işaret dili yapay zekasının alan odaklı değerlendirmesi için şu anda hiçbir akreditasyon şeması mevcut değildir ve aksini öne sürmek yanlış beyan olur. Index'in ürettiği şey, satın alan bir kurumun güvenebileceği, bir ihale kaydında savunabileceği ve avukatına teslim edebileceği, belgelenmiş, tekrarlanabilir bir kanıt konumudur. İkincisi, bu aracın bugüne kadar değerlendirilen satıcılara uygulanması tutarlı bir bulgu ortaya çıkarmıştır: hiçbiri en yüksek güven katmanına ulaşmamıştır ve bunun nedeni rastlantısal değil, sistematiktir. Sonuçta ticari çıkarı olmayan taraflarca yürütülen bağımsız çıktı doğrulaması, piyasada genel olarak yoktur. Bu, alandaki herhangi bir şirkete değil, alanın kendisine dair bir bulgudur.

Bir alıcının şimdi ile Aralık 2027 arasında talep etmesi gerekenler

Erteleme bir pencere açmıştır ve pencereler ya iyi ya da kötü kullanılır. Kötü kullanıldığında, bu dönem, denetlenmemiş satıcı iddialarına dayalı on sekiz aylık bir satın alma sürecine dönüşür ve uygunluk hesaplaşması sistemler zaten taşıyıcı hale geldikten sonra gelir. İyi kullanıldığında ise, bu dönem kurumların daha sonraki yükümlülüklerin zaten sahip oldukları varsayacağı kanıta dayalı alışkanlıkları inşa ettiği süre olur.

Pratik gereklilik, bir ihaleye yazılabilecek kadar dardır. Sertifikanın neyi onayladığını sorun ve satıcıdan, bunun yönetim sistemini mi yoksa satılan sistemin performansını mı kapsadığını yazılı olarak beyan etmesini isteyin. Bir gösterim ortamında değil, önerilen ortamda üretilmiş kanıt isteyin ve çalıştırma koşullarının adlandırılmasını talep edin. Eğitim külliyatının kökenini, bu külliyatın hangi lisans altında tutulduğunu ve içinde kaydedilen kişilerin bu kullanıma hangi temelde rıza gösterdiğini isteyin. İlgili dilin akıcı konuşucularından elde edilmiş, yöntemiyle birlikte raporlanan anlama kanıtı isteyin ve bunun yerine sunulan otomatik bir kalite puanını bir yanıt değil, yanıtlanmamış bir soru olarak değerlendirin. Satıcıdan, bir çıktı hatasından sorumlu rolü adlandırmasını isteyin. Konuşlandırmanın yasal ağırlık taşıdığı veya geri döndürülemez sonuçlar doğurduğu durumlarda, nitelikli bir insanın süreçte kalmasını şart koşun, çünkü mevcut kanıtlara göre bu kategorideki hiçbir sistem son karar mercii olmaya hazır değildir.

Bunların hiçbiri uyumlaştırılmış bir standardı, onaylanmış bir kuruluşu veya henüz var olmayan bir mesleki sertifikasyon şemasını beklemez. Yalnızca kurumun, güvencenin satın aldığı şeyle ilgili olması gerektiğine karar vermesini bekler.

Kaynakça

Bilim, Yenilik ve Teknoloji Bakanlığı, Trusted Third-Party AI Assurance Roadmap (Eylül 2025).

BCS ve techUK, AI Assurance Consortium tanıtım materyalleri (Haziran 2026).

Regulation (EU) 2026/1744 (Yapay Zeka Hakkında Dijital Omnibus), 24 Temmuz 2026'da yayımlanmış, 27 Temmuz 2026'da yürürlüğe girmiş, Regulation (EU) 2024/1689'u değiştirmektedir.

ISO/IEC 42001:2023, Information technology, Artificial intelligence, Management system.

ISO/IEC 42006:2025, Requirements for bodies providing audit and certification of artificial intelligence management systems.

Grizzle, H. M., SLAT Index Evaluation Standard, sürüm 2.0, Novara Press, 24 Temmuz 2026. DOI 10.5281/zenodo.21537271.