Yapay Zeka Etki Değerlendirmesi: DPIA, FRIA ve ISO 42005 Hangi Durumda Hangisi?
Üç çerçeveyi tek tabloda ayırmak

Yapay Zeka Etki Değerlendirmesi Nedir?

Yapay zeka etki değerlendirmesi (AI impact assessment), bir AI sisteminin devreye alınmadan önce bireyler, gruplar ve toplum üzerinde yaratabileceği zararların sistematik olarak tanımlandığı, ölçüldüğü ve azaltıldığı yapılandırılmış bir inceleme sürecidir. Amaç, sistemi durdurmak değil; riskleri karar alıcıların görebileceği bir belgeye dönüştürmek, azaltıcı kontrolleri tasarıma gömmek ve bu kararların denetlenebilir bir kaydını bırakmaktır.

Kafa karışıklığının kaynağı şudur: "yapay zeka etki değerlendirmesi" tek bir standart değil, en az üç ayrı çerçevenin ortak adıdır. Bunlar farklı hukuki köklerden gelir, farklı olaylarla tetiklenir ve farklı çıktı dokümanları üretir:

• DPIA — Veri Koruma Etki Değerlendirmesi (Data Protection Impact Assessment)
• FRIA — Temel Haklar Etki Değerlendirmesi (Fundamental Rights Impact Assessment)
• ISO/IEC 42005:2025 — AI sistem etki değerlendirmesi standardı

Bir kurum "biz DPIA yaptık, uyumluyuz" dediğinde çoğu zaman FRIA yükümlülüğünü ıskalamış olur; çünkü DPIA yalnızca gizlilik boyutunu kapsar. Bu yazı üçünü tek bir çerçevede ayrıştırıyor. Türkçe kaynaklarda bu üçlü ayrım henüz az işlendiği için, aşağıdaki tabloyu kanonik bir başvuru olarak tasarladık.

Üç Çerçeve: DPIA, FRIA, ISO/IEC 42005

DPIA — Veri Koruma Etki Değerlendirmesi

DPIA, AB Genel Veri Koruma Tüzüğü'nün (GDPR) 35. maddesinde tanımlanır. Bir veri işleme faaliyeti "gerçek kişilerin hak ve özgürlükleri açısından yüksek risk" taşıdığında zorunlu hâle gelir; örneğin geniş çaplı profilleme, hassas verilerin sistematik işlenmesi veya otomatik kararlar. Odağı dardır ve nettir: veri koruma ve gizlilik. Kişisel veri hangi amaçla, hangi hukuki dayanakla, ne kadar süre işleniyor; veri minimizasyonu sağlanıyor mu; ihlal hâlinde birey nasıl etkilenir? Bir AI sistemi kişisel veri işliyorsa, DPIA çoğunlukla ilk tetiklenen değerlendirmedir.

FRIA — Temel Haklar Etki Değerlendirmesi

FRIA, AB Yapay Zeka Yasası'nın (EU AI Act) 27. maddesiyle gelen daha yeni ve daha geniş bir yükümlülüktür. Belirli yüksek riskli AI sistemlerini devreye alan aktörler (özellikle kamu kurumları ve bazı özel sektör dağıtıcıları) için öngörülür. FRIA'nın DPIA'dan temel farkı kapsamdır: DPIA yalnızca gizliliğe bakarken, FRIA sistemin tüm temel haklara etkisini sorar — ayrımcılık yasağı, ifade özgürlüğü, adil yargılanma, insan onuru, çocuk hakları gibi. Kimlerin etkilendiği, hangi zarar kategorilerinin ortaya çıkabileceği, insan gözetimi tedbirleri ve zarar gerçekleşirse başvurulacak mekanizmalar belgelenir. FRIA, bir DPIA'yı tekrar etmez; onun bittiği yerden, hak temelli boyutu genişleterek devam eder.

ISO/IEC 42005:2025 — AI Sistem Etki Değerlendirmesi

ISO/IEC 42005, 2025'te yayımlanan ve bir AI sisteminin etki değerlendirmesinin nasıl yapılacağını tarif eden uluslararası standarttır. DPIA ve FRIA "neyi" değerlendirmeniz gerektiğini (hukuki yükümlülük) söylerken, ISO/IEC 42005 değerlendirmenin sürecini, ne zaman yapılacağını, dokümantasyon yapısını ve AI yönetim sistemine (ISO/IEC 42001) nasıl bağlanacağını verir. Yasal zorunluluk değil, gönüllü bir çerçevedir; ancak DPIA ve FRIA gibi zorunlu değerlendirmeleri tekrarlanabilir, denetlenebilir bir yönetim disiplinine oturtmak isteyen kurumlar için tutkal işlevi görür. Türkçe literatürde bu standart henüz neredeyse hiç işlenmemiştir.

Karşılaştırma Tablosu: Yasal Dayanak, Tetikleyici, Kapsam, Çıktı

Üç çerçevenin farkını tek bakışta gösteren karşılaştırma. Bu tablo, "hangi durumda hangisi" sorusuna hızlı yanıt vermek için tasarlandı.

Kritik nokta: bu üçü birbirinin alternatifi değildir. Tipik bir yüksek riskli AI dağıtımında DPIA gizlilik boyutunu, FRIA hak boyutunu kapatır; ISO/IEC 42005 ise her ikisini de aynı süreç iskeletine dizerek tekrar edilebilir kılar.

Türkiye ve KVKK Bağlamı: Resmî Zorunlu DPIA Var mı?

Burada Türkçe kaynaklarda sık yapılan bir hatayı düzeltmek gerekir. DPIA bir GDPR kavramıdır. KVKK'da (6698 sayılı Kanun), GDPR'ın 35. maddesindeki gibi ismen tanımlanmış, koşulları belirlenmiş resmî bir "zorunlu DPIA" yükümlülüğü bu şekilde yer almaz. Dolayısıyla "KVKK DPIA'yı zorunlu kılıyor" ifadesi teknik olarak yanıltıcıdır.

Doğru çerçeve şudur: KVKK, veri sorumlusuna veri güvenliği tedbirlerini alma, işleme faaliyetlerini kayıt altına alma (VERBİS) ve risk temelli bir yaklaşımla hareket etme sorumluluğu yükler. Bu, DPIA'nın yumuşak/işlevsel muadili olarak okunabilir: ismen bir DPIA prosedürü dayatılmasa da, yüksek riskli işleme faaliyetlerinde risk analizi yapıp belgelemek, KVKK'nın genel yükümlülük mantığıyla uyumludur. AB pazarına hizmet veren veya AB'de yerleşik aktörlerle çalışan Türk kurumları içinse GDPR ve AI Act doğrudan bağlayıcı hâle gelebilir.

Pratik sonuç: Türkiye'de faaliyet gösteren bir kurum, yapay zeka etki değerlendirmesini yasal bir kutu doldurma egzersizi olarak değil, hem KVKK'nın risk temelli beklentisini karşılayan hem de olası AB yükümlülüklerine hazırlık sağlayan çift amaçlı bir yönetişim aracı olarak konumlandırmalıdır. AltaySec'in KVKK ve LLM güvenliği çalışmalarında gözlemlediğimiz kadarıyla, çoğu kurum gizlilik değerlendirmesini yapıp hak boyutunu (FRIA'nın alanını) tümüyle atlıyor.

Hangi Durumda Hangisini Yaparsınız? Bir Karar Akışı

Aşağıdaki sıralama, çoğu AI dağıtımı için pratik bir karar akışıdır. Sırayı takip edin; birini yaptınız diye diğerini atlamayın.

1. Sistem kişisel veri işliyor mu ve bu işleme yüksek risk taşıyor mu? Evetse: DPIA yapın. LLM tabanlı sistemlerde bu neredeyse her zaman gündeme gelir; çünkü kullanıcı girdileri, loglanan promptlar ve model çıktıları kişisel veri içerebilir.
2. Sistem yüksek riskli bir AI kategorisine giriyor ve siz onu devreye alan bir aktör müsünüz? (Örneğin kamu hizmeti, kredi/istihdam kararı, biyometri.) Evetse: DPIA'ya ek olarak FRIA yapın. FRIA, DPIA'nın kapsamadığı ayrımcılık ve diğer hak risklerini ele alır.
3. Bu değerlendirmeleri tek seferlik değil, tekrarlanabilir ve denetlenebilir bir süreç olarak kurmak istiyor musunuz? Evetse: ISO/IEC 42005 çerçevesini benimseyin ve ideal olarak ISO/IEC 42001 AI yönetim sistemine bağlayın.

Örnek: Bir bankanın müşteri hizmetleri için kurduğu Türkçe LLM asistanı düşünün. Müşteri verisi işlendiği için DPIA tetiklenir. Sistem kredi veya limit kararını etkiliyorsa hak boyutu devreye girer ve FRIA gündeme gelir. Banka bu değerlendirmeleri her model güncellemesinde tekrarlanabilir kılmak isterse, ISO/IEC 42005 süreç iskeletini kullanır. Model güncellemelerinde etki değerlendirmesinin nasıl yenilenmesi gerektiğine dair pratikleri model yükseltmelerinde güvenlik regresyonu yazımızda ayrıca ele alıyoruz.

Etki Değerlendirmesini Teknik Kontrollere Bağlamak

Bir etki değerlendirmesi, kâğıt üzerinde kalan bir risk listesi olarak üretilirse denetimde çöker. Değerin ortaya çıktığı yer, belgede tanımlanan risklerin somut çalışma zamanı kontrollerine bağlanmasıdır. LLM tabanlı sistemler için tekrar eden birkaç eşleme:

• Veri sızıntısı riski (DPIA): Promptlarda ve çıktılarda kişisel verinin maskelenmesi, PII redaksiyonu ve log minimizasyonu. Bu kontrollerin ayrıntısı için KVKK ve PII maskeleme yazımıza bakın.
• Ayrımcılık/hak riski (FRIA): Model çıktılarının belirli gruplar için sistematik sapma gösterip göstermediğinin ölçülmesi ve insan gözetimi eşiklerinin tanımlanması.
• Manipülasyon ve enjeksiyon riski: Kullanıcıların sistemi amacı dışında yönlendirmesini engelleyen girdi/çıktı denetimi. Bir LLM güvenlik duvarı (örneğin AltaySec Guardian), etki değerlendirmesinde tanımlanan azaltıcı tedbirlerin çalışma zamanında uygulanmasını ve denetlenebilir biçimde loglanmasını sağlayabilir.

AltaySec'in kendi ölçümlerinde (AltayDuel Türkçe kırılma verisi ve guardrail-arena karşılaştırmaları), Türkçe girdilerde güvenlik kontrollerinin İngilizce'ye kıyasla belirgin biçimde daha zayıf çalışabildiğini gözlemledik. Bu, bir FRIA'da "model kararı belirli dil/grup için farklı sonuç veriyor mu?" sorusunun neden yalnızca İngilizce test edilerek yanıtlanamayacağını gösterir; Türkçe'ye özgü test, hak temelli değerlendirmenin ayrılmaz bir parçası olmalıdır.

Sonuç: Üçünü Karıştırmayın, Üst Üste Dizin

Yapay zeka etki değerlendirmesi tek bir belge değil, üç ayrı sorunun katmanlı yanıtıdır. DPIA "veri güvende mi?" diye sorar; FRIA "haklar güvende mi?" diye genişletir; ISO/IEC 42005 "bunu tekrar edilebilir biçimde nasıl yaparız?" diye disipline eder. Bir kurumun uyum olgunluğunu, hangi çerçeveyi yaptığından çok, bu üçünü doğru sırayla üst üste dizip dizemediği gösterir.

Türkiye bağlamında pratik tavsiye nettir: kişisel veri işleyen her AI sistemi için risk temelli bir değerlendirme (DPIA muadili) yapın, karar etkileyen yüksek riskli sistemlerde hak boyutunu (FRIA mantığı) ayrıca ele alın ve bu değerlendirmeleri model her güncellendiğinde tekrarlanabilir kılın. Kâğıttaki riskleri çalışma zamanı kontrollerine bağlamadığınız sürece, en zarif etki değerlendirmesi bile ilk denetimde dağılır.

Kaynaklar

• EU AI Act — Article 27: Fundamental Rights Impact Assessment
• GDPR — Article 35: Data Protection Impact Assessment
• ISO/IEC JTC 1/SC 42 — Artificial Intelligence (ISO/IEC 42005 dahil AI standartları komitesi)
• Securiti — EU AI Act Article 27 (FRIA) Rehberi
• NIST AI Risk Management Framework
• 6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK)

İlgili Yazılar

• EU AI Act Uyum Rehberi
• Türkiye Yapay Zeka Düzenlemeleri 2026
• Yapay Zeka ve KVKK: Kurumsal Sorular
• AI Yönetişim Komitesi Kurulması