Yapay Zekâ Etki Değerlendirmesi: FRIA, ISO 42005 ve VERBİS/DPIA Aynı Belge mi?

Bir yapay zekâ projesinde “etki değerlendirmesi yapmamız gerekiyor” cümlesi kurulduğunda, masadaki üç kişi genellikle üç farklı belgeden bahsediyor: hukukçu veri koruma etki değerlendirmesini, uyum ekibi ISO/IEC 42005’i, mevzuatı takip eden kişi ise AB Yapay Zekâ Yasası’nın temel haklar etki değerlendirmesini kastediyor. Bunlar aynı belge değil; kapsamları, muhatapları ve tarihleri farklı. Bu yazı üçünü ayırıyor ve tek bir çalışmayla üçünü birden nasıl besleyeceğinizi gösteriyor.

Üç belge, üç farklı soru#

En sade ayrım, her belgenin cevapladığı soruda:

• Veri koruma etki değerlendirmesi (DPIA): “Bu işleme faaliyeti kişisel veriler bakımından hangi riskleri doğuruyor?” Muhatabı veri sorumlusudur; dayanağı veri koruma mevzuatıdır.
• Temel haklar etki değerlendirmesi (FRIA): “Bu yüksek riskli sistemin etkilenen kişilerin temel hakları üzerindeki etkisi nedir?” Muhatabı belirli uygulayıcılardır; dayanağı AB Yapay Zekâ Yasası’nın 27. maddesidir.
• ISO/IEC 42005 etki değerlendirmesi: “Bu yapay zekâ sisteminin bireyler, gruplar ve toplum üzerindeki etkilerini hangi süreçle değerlendiriyoruz?” Muhatabı kuruluşun kendisidir; dayanağı gönüllü bir standarttır.

Üçü de risk değerlendirir ama farklı mercekle bakar. DPIA’in merkezinde veri vardır, FRIA’in merkezinde etkilenen kişi, 42005’in merkezinde ise kuruluşun süreci. Aynı projede üçünün de gerekli olması mümkündür ve bu bir tekrar değildir.

Aynı riski üç kez yazmak israftır; üç farklı riski tek belgede eritmek ise ihmaldir. Ayrım, hangisinin hangisi olduğunu bilmekte.

Bir de sık karıştırılan dördüncü bir şey var: VERBİS. Türkiye’de veri sorumlularının sicile kayıt yükümlülüğü olan VERBİS bir kayıt yükümlülüğüdür, etki değerlendirmesi değildir. Kayıt yapmış olmak bir risk analizinin yerine geçmez.

FRIA: kimi bağlar, ne zaman?#

AB Yapay Zekâ Yasası’nın 27. maddesi, temel haklar etki değerlendirmesini sağlayıcıya değil uygulayıcıya yükler; yani sistemi geliştiren değil, kullanan tarafa. Ve her uygulayıcıya değil:

• Kamu hukukuna tabi kuruluşlar ve kamu hizmeti sunan özel kuruluşlar, Ek III kapsamındaki yüksek riskli sistemleri kullanırken;
• Gerçek kişilerin kredi değerliliğini değerlendiren veya kredi puanı üreten sistemleri kullananlar;
• Hayat ve sağlık sigortasında risk değerlendirmesi ve fiyatlandırma yapan sistemleri kullananlar.

Değerlendirmenin içeriği tanımlıdır: sistemin hangi süreçte kullanılacağı, kullanım süresi ve sıklığı, etkilenmesi muhtemel kişi kategorileri, ilgili özel zarar riskleri, insan gözetimi düzenlemeleri ve risk gerçekleşirse alınacak önlemler — iç yönetişim ve şikâyet mekanizmaları dâhil.

Bir nokta daha: FRIA, DPIA’i ortadan kaldırmaz. Madde 27, gereken unsurların bir kısmı zaten DPIA’de karşılanmışsa FRIA’in onu tamamlayıcı nitelikte olacağını öngörür. Yani sıra önemlidir: önce DPIA yapılmışsa FRIA daha kısa olur.

DPIA: veri merceği#

Veri koruma etki değerlendirmesi, yapay zekâdan çok daha eski bir araç ve tam da bu yüzden ML bağlamında bazı kör noktaları var. Klasik DPIA, bir işleme faaliyetini tanımlar: hangi veri, hangi amaçla, hangi hukuki sebeple, ne kadar süreyle, kimlerle paylaşılarak.

Bir model eğitimi bu şablona tam oturmaz, çünkü:

• Eğitim verisi silinse bile modelde iz kalabilir. Modelin anonim sayılıp sayılamayacağı ayrı ve zor bir sorudur; ayrıntısı modeliniz anonim mi yazısında.
• Amaç, eğitim ile çıkarım arasında değişir: aynı veri kümesi bir modeli eğitir, sonra o model başka bir amaçla kullanılır.
• Saklama süresi, veri için tanımlanabilir ama model ağırlıkları için tanımlanması zordur.
• Silme talebi geldiğinde, veriyi silmek modeli düzeltmez. Makine unutması yazısı bu boşluğu ele alıyor.

Bu yüzden bir ML projesinde DPIA’i klasik şablonla doldurup geçmek yerine, bu dört maddeyi ayrı başlıklar olarak eklemek çok daha faydalıdır. Gizlilik korumalı yöntemlerin bu risklerin bir kısmını nasıl azalttığını gizlilik korumalı öğrenme yazısında ele almıştık.

ISO/IEC 42005: süreci standartlaştıran belge#

ISO/IEC 42005:2025, 28 Mayıs 2025’te yayımlandı (kaynak ↗) ve yapay zekâ sistemi etki değerlendirmesi için rehberlik sağlıyor. Diğer ikisinden farkı, bir yükümlülük değil bir yöntem olması: ne zaman değerlendirme yapılacağı, kimin katılacağı, çıktının nasıl belgeleneceği ve ne sıklıkla gözden geçirileceği.

Pratikte en çok işe yarayan yanı, değerlendirmeyi yaşam döngüsüne bağlaması. Etki değerlendirmesi tek seferlik bir kapı değil; sistem önemli ölçüde değiştiğinde, yeni bir kullanım alanına girdiğinde veya izleme yeni bir zarar sinyali ürettiğinde tekrarlanması gereken bir adımdır.

Tek bir çalışmayla üçünü birden beslemek#

Ortak omurga şu altı sorudan oluşuyor. Bunları bir kez, doğru düzgün cevaplarsanız üç belgenin de gövdesi hazır olur.

• Sistem ne yapıyor ve hangi kararı etkiliyor? Karar cümlesini yazın: “bu model, X hakkında Y kararının Z aşamasında kullanılıyor.”
• Kim etkileniyor? Yalnızca kullanıcı değil; kararın öznesi, kararın dışında kalanlar, ve etkilenen ama sistemi hiç görmeyen kişiler.
• Hangi mekanizmayla zarar doğar? Yanlış pozitif mi, yanlış negatif mi, sistematik alt grup farkı mı, geri besleme döngüsü mü?
• Zararın büyüklüğü ve geri döndürülebilirliği nedir? Reddedilen bir kredi başvurusu ile yanlış işaretlenen bir e-posta aynı ağırlıkta değildir.
• İnsan nerede devrede? Ve o insan gerçekten farklı bir karar verebilecek bilgiye ve zamana sahip mi?
• Nasıl anlarız? Hangi ölçüm, hangi sıklıkla, hangi eşikle bu zararın gerçekleştiğini gösterecek?

Son madde, bu yazının en çok atlanan kısmı. Bir zarar senaryosu, onu tespit edecek bir ölçüm tanımlanmadan yazıldığında temenniden ibarettir. Alt gruplara ayrılmış ölçümün nasıl yapıldığını adalet denetimi yazısında, ölçümün kendisinin ne zaman anlamlı olduğunu güven aralığı ve bootstrap yazısında ele alıyoruz.

Ölçümü tanımlanmamış bir risk, kaydedilmiş bir endişedir. Kayıt iyi bir şeydir ama koruma sağlamaz.

Türkiye’de durum ve pratik sıra#

Türkiye’de yürürlükte bir yapay zekâ kanunu bulunmuyor. Kişisel veri tarafında KVKK mevzuatı geçerli; Kurum ayrıca yapay zekâya özgü rehberler yayımladı — 15 Eylül 2021 tarihli Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler ↗ ve 24 Kasım 2025 tarihli Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi ↗.

AB pazarına ürün sunan bir Türk ekibi için pratik sıra şudur:

• Önce kapsam. Sistem AB Yasası bakımından yüksek riskli mi, siz sağlayıcı mısınız uygulayıcı mı? Bu iki cevap, FRIA’in size düşüp düşmediğini belirler.
• Sonra veri. Kişisel veri işleniyorsa KVKK ve gerekiyorsa GDPR tarafındaki değerlendirmeyi yapın; bu, FRIA’i de kısaltır.
• Sonra zarar kaydı. Yukarıdaki altı soruyu tek bir tabloda cevaplayın.
• En son belge. Belgeleri kayıttan üretin, kaydı belgeden değil.

Bu çalışmanın çıktısı, aynı zamanda model kartınızın “sınırlar” ve “etik değerlendirmeler” bölümlerini de doldurur; ve önyargı ve adalet yazısındaki kavramsal çerçeve, zarar mekanizmalarını adlandırırken en çok işinize yarayacak referanstır.

Özetle: üç belgenin varlığı bir bürokrasi sorunu değil, üç farklı mercek meselesi. Aynı zarar kaydından beslendiklerinde iş yükü üçe katlanmaz; aksine, her biri diğerinin gözden kaçırdığını yakalar. Karışıklık, belgeler çoğaldığı için değil, hangisinin neye baktığı yazılmadığı için çıkıyor.