Yapay Zekâ Güvenliği Sertifikaları: Hangisi Kime Uygun?
Yapay zekâ güvenliği sertifikaları karşılaştırması: AIGP, AAISM, AAIA, SecAI+, GIAC ve ISO 42001 için veren kurum, sınav biçimi, ön koşul ve resmî ücret.
Yapay zekâ güvenliği sertifikaları role göre seçilir. Yönetişim ve uyum ekipleri için IAPP AIGP, güvenlik yöneticileri için ISACA AAISM, denetçiler için ISACA AAIA, teknik bir başlangıç için CompTIA SecAI+, uygulamalı güvenlik testi için GIAC'ın yapay zekâ sertifikaları öne çıkar. ISO/IEC 42001 ise kişiye değil, kurumun yönetim sistemine verilen bir belgedir. Hiçbir sertifika tek başına yetkinliği kanıtlamaz, ama doğru seçildiğinde öğrenmeyi yapılandırır.
Yapay zekâ güvenliği sertifikaları hangi gruplara ayrılır?
Piyasada "sertifika" kelimesi dört farklı şey için kullanılır. Bunları ayırmak, hem bireysel kariyer kararında hem de bir tedarikçinin teklifini okurken işe yarar.
- Kişisel sertifika: Bir kurumun sınavını geçen ve sürdürme şartlarını yerine getiren kişiye verilir. AIGP, AAISM, AAIA, SecAI+ ve GIAC sertifikaları bu gruptadır.
- Eğitim sonu belgesi (certificate): Bir eğitim programının sonunda verilir ve çoğu zaman sürdürme şartı yoktur. CSA'nın TAISE programı kendini bu şekilde tanımlar.
- Kurumsal belgelendirme: Kurumun yönetim sistemi bağımsız bir kuruluş tarafından denetlenir. ISO/IEC 42001:2023 bu türdendir.
- Çerçeve: Belge verilmez, kurum kendi içinde uygular. NIST AI RMF bunun örneğidir ve NIST AI RMF rehberinde ayrıntılı anlatılır.
Aşağıdaki karşılaştırma ilk iki gruba odaklanır. Kurumsal belgelendirme tarafı ve ISO 42001 ile AB Yapay Zekâ Yasası arasındaki madde eşlemesi için ISO 42001 eşleme tablosu yazısına bakabilirsiniz.
Yönetişim, risk ve denetim rolleri için hangisi uygun?
Yönetişim, uyum ve hukuk ekiplerinde çalışanlar için AIGP en doğrudan seçenektir. Resmî sayfasında ön koşul belirtilmez. Sorumlu yapay zekâ ilkeleri, yapay zekâya uygulanan mevzuat ve çerçeveler ve yaşam döngüsü boyunca risk yönetimine odaklanır. Kişisel veri koruma geçmişi olan uyum uzmanları için doğal bir sonraki adımdır.
Güvenlik yöneticileri için AAISM daha yakındır. ISACA'nın aday rehberine göre sınav üç alanı kapsar: yapay zekâ yönetişimi ve program yönetimi, yapay zekâ risk ve fırsat yönetimi, yapay zekâ teknolojileri ve kontrolleri. Aktif CISM ya da CISSP şartı, bu sertifikayı deneyimli güvenlik yöneticilerine yönelik bir ek uzmanlık haline getirir.
İç denetim ve BT denetimi ekipleri için AAIA uygundur. CISA sahiplerine ya da ISACA'nın kabul ettiği diğer denetim unvanlarına sahip, BT denetimi ya da danışmanlığı yapan kişilere açıktır.
Kurumunuz ISO/IEC 42001 belgelendirmesine hazırlanıyorsa ekipte standardı bilen biri gerekir. PECB'nin ISO/IEC 42001 Lead Implementer ve Lead Auditor programları bu ihtiyaca yöneliktir. Lead Auditor unvanı için PECB, sınavın yanında en az beş yıl iş deneyimi, bunun iki yılının yapay zekâ alanında olmasını ve 300 saat denetim deneyimini şart koşar. Daha az deneyimli adaylar için Provisional Auditor ve Auditor düzeyleri vardır.
Teknik güvenlik ekipleri için hangisi uygun?
Teknik ekipler için iki yol vardır: geniş bir temel ya da uygulamalı uzmanlık.
CompTIA SecAI+, 17 Şubat 2026'da yayımlanan ve CompTIA'nın yapay zekâ güvenliğine ayrılmış sertifikasıdır. Sınav çoktan seçmeli soruların yanında performans tabanlı sorular da içerir. CompTIA, Security+, CySA+ ya da PenTest+ düzeyinde bir temel önerir. Yapay zekâ sistemlerinin nasıl korunacağına dair ortak bir dil kurmak isteyen güvenlik ekipleri için uygun bir giriş noktasıdır.
GIAC tarafında yapay zekâ odaklı sertifikalar genişlemektedir. Uygulamalı LLM güvenliği için en ilgili olanlar GAIPS ve GOAA'dır. GAIPS, üretken yapay zekâ uygulamalarını ve LLM geliştirme hatlarını denetleme ve güvenli hale getirme becerisini ölçer. GOAA ise saldırı amaçlı yapay zekâ tekniklerinin güvenlik çalışmalarında kullanılmasına odaklanır. İkisi de CyberLive biçimindedir: aday, sanal makinelerde gerçek görevleri çözer. GIAC'ın GMLE sertifikası ise makine öğrenmesini SOC ve tehdit avcılığı işlerinde kullanmaya yöneliktir. Daha geniş bir öğrenme planı için AI security öğrenme rehberi ve LLM security roadmap yazıları seviyelere göre kaynak önerir.
ISO/IEC 42001 kurumsal belgesi kişisel sertifikalardan nasıl ayrılır?
ISO/IEC 42001:2023, yapay zekâ yönetim sistemi standardıdır. Belge, kurumun yönetim sisteminin belirli bir kapsamda standarda uygun olduğunu gösterir ve bağımsız belgelendirme kuruluşlarının denetimine dayanır. Bir çalışanın PECB Lead Auditor unvanı almış olması, kurumun ISO 42001 belgeli olduğu anlamına gelmez.
Bir tedarikçi "ISO 42001 sertifikalıyız" diyorsa şunları isteyin:
- Belgenin kapsamı: hangi hizmetler ve lokasyonlar dahil?
- Belgelendirme kuruluşunun adı ve akreditasyon durumu.
- Son gözetim denetiminin tarihi.
- Sizin kullanacağınız yapay zekâ hizmetinin kapsamda olup olmadığı.
Kurumsal belge ile bireysel sertifika birbirini tamamlar. Belgelendirme sürecinde ekipte standardı bilen kişiler olması işi hızlandırır. Ancak ikisi de bir modelin istem enjeksiyonuna dayanıklı olduğunu kanıtlamaz. Bu sorunun cevabı teknik testtir.
Sertifika seçerken hangi ölçütlere bakılmalı?
Seçim yaparken şu kontrol listesini kullanabilirsiniz:
- Rol uyumu: sertifikanın odağı günlük işinizle örtüşüyor mu?
- Ön koşul: mevcut bir CISM, CISSP ya da CISA şartı var mı?
- Sınav biçimi: yalnızca çoktan seçmeli mi, yoksa laboratuvar görevi içeriyor mu?
- Sürdürme maliyeti: yıllık ücret ve sürekli eğitim kredisi şartı nedir?
- Güncellik: müfredat ajanları, araç çağrılarını ve dolaylı istem enjeksiyonunu kapsıyor mu?
- İşveren ve müşteri talebi: ihalelerde ya da iş ilanlarında hangi sertifika isteniyor?
- Sınav dili ve merkezi: sınav Türkiye'den uzaktan gözetimle alınabiliyor mu, hangi dillerde sunuluyor?
Son madde pratik bir konudur. IAPP, ISACA ve GIAC sınavlarının uzaktan gözetimli seçenekleri vardır, ama dil seçeneklerini sınav kaydından önce resmî sayfadan kontrol edin.
Sertifika yetkinliği kanıtlar mı, ekip nasıl değerlendirilir?
Sertifika bir işarettir, kanıt değildir. Çoktan seçmeli sınav kavram bilgisini ölçer. Uygulama becerisi için başka bir değerlendirme gerekir.
İşe alımda ya da ekip değerlendirmesinde şu yaklaşım işe yarar:
- Adaydan küçük bir LLM uygulamasında tehdit modeli çıkarmasını isteyin.
- Hazırlanmış bir test ortamında dolaylı istem enjeksiyonu ya da aşırı yetki bulgusu aramasını isteyin.
- Bulguyu şiddet, olasılık ve iş etkisiyle raporlamasını isteyin.
- Sertifikanın alındığı tarihi ve sonrasındaki güncel çalışmalarını sorun.
Kurumsal ekipler için en iyi sonuç genellikle karma bir yapıdan gelir: yönetişim tarafında bir AIGP ya da AAISM sahibi, teknik tarafta uygulamalı sertifikaya ya da kanıtlanmış test deneyimine sahip mühendisler. Sertifika bütçesini, gerçek sistemler üzerinde yapılan iç tatbikat ve testlerle dengeleyin.
Sık Sorulan Sorular
Yapay zekâ güvenliğine yeni başlayan biri hangi sertifikayla başlamalı?
Teknik geçmişi olan biri için CompTIA SecAI+ uygun bir giriş noktasıdır. CompTIA, Security+ ya da benzeri bir temel ve birkaç yıllık deneyim önerir, ama zorunlu bir ön koşul koymaz. Yönetişim tarafına geçmek isteyenler için IAPP AIGP'nin resmî sayfasında da bir ön koşul belirtilmez. ISACA'nın AAISM ve AAIA sertifikaları ise mevcut bir CISM, CISSP ya da CISA gerektirdiği için başlangıç sertifikası değildir.
AIGP ile AAISM arasındaki fark nedir?
AIGP, IAPP'nin yapay zekâ yönetişimi sertifikasıdır. Odak noktası sorumlu yapay zekâ, mevzuat ve kurumsal yönetişimdir. Resmî sayfasında bir ön koşul belirtilmez. AAISM ise ISACA'nın güvenlik yöneticilerine yönelik sertifikasıdır. Yapay zekâ yönetişimi, risk ve fırsat yönetimi ve teknik kontroller alanlarını kapsar ve aktif bir CISM ya da CISSP ister. Kısaca AIGP uyum ekibine, AAISM güvenlik yönetimine yakındır.
ISO 42001 sertifikası bir kişiye verilir mi?
ISO/IEC 42001 belgesi kişiye değil, kurumun yapay zekâ yönetim sistemine verilir ve bağımsız belgelendirme kuruluşlarının denetimine dayanır. Kişiler ise PECB gibi kuruluşların ISO/IEC 42001 Lead Implementer ya da Lead Auditor programlarıyla bu standardı uygulama veya denetleme yetkinliği belgesi alabilir. İkisi farklı şeylerdir ve teklif ya da özgeçmiş okurken karıştırılmamalıdır.
Sertifika ücretleri neden bazı satırlarda yazmıyor?
Yalnızca veren kurumun resmî sayfasında açıkça yayımlanan ücretler tabloya alındı. CompTIA ücreti bölgeye göre değişiyor, GIAC ücreti sepet aşamasında görünüyor, PECB ise sınav ücretini eğitim paketinin içinde ve eğitim ortağına göre fiyatlıyor. Bu satırlarda güncel fiyat için resmî sayfaya ya da yetkili eğitim ortağına bakın. Yazılan ücretler Ekim 2026 itibarıyla kontrol edilmiştir.
Sertifika, yapay zekâ güvenliği yetkinliğini kanıtlar mı?
Kısmen. Çoktan seçmeli bir sınav kavram bilgisini ölçer. GIAC'ın CyberLive biçimi gibi laboratuvar ortamında görev veren sınavlar uygulama becerisine daha yakındır. İşe alımda sertifikayı bir işaret olarak kullanın, ama adaydan gerçek bir LLM uygulamasında bulgu çıkarmasını ve raporlamasını isteyen uygulamalı bir değerlendirme de yapın. Alan hızlı değiştiği için sertifika tarihi de önemlidir.
Kaynaklar
İlgili Yazılar
Bu yazı, Türkiye odaklı Yapay Zekâ Güvenliği Rehberi'nin destek makalelerinden biridir.