Denetimde Yapay Zeka Kullanımı: Sınırlar, Gizlilik, ISO 42001

Yapay zekâ denetimde veriyi derler, tekrar eden kalıpları bulur ve rapor taslağı çıkarır. Karar vermez. Bir uygunsuzluğun var olup olmadığına, ne kadar ağır olduğuna ve belgenin verilip verilmeyeceğine denetçi, bağımsız kuruluş ya da yönetim karar verir. PusulaNorm'un yaklaşımı da budur: yapay zekâ karar vermez, uzmanın analizini hızlandırır. Denetçi sahada görür, dinler, kanıtı doğrular; yapay zekâ ise denetimden önce ve sonra gelen yoğun kâğıt, tablo ve metin işini kısaltır.

Bu yazı, otel ve gıda işletmelerinde denetimin hangi aşamalarında yapay zekâ kullanılabileceğini, nerede kullanılmaması gerektiğini ve gizliliğin nasıl korunacağını anlatıyor.

Yapay zekâ denetimin hangi aşamasında yardım eder?

Denetim; planlama, saha, raporlama ve takip olarak dört parçaya ayrılır. Her parçada yapay zekânın rolü farklıdır.

Tablodan okunacağı gibi "karar" sütununda hiçbir satırda yapay zekâ yok. Bu bilinçli bir ilkedir.

Dijital kontrol listeleri

Kâğıt kontrol listesi denetçinin elinde birkaç sayfa, sonra klasör, sonra arşivdir. Dijital kontrol listesi ise soruları ekranda tutar, fotoğrafı doğrudan maddeye bağlar, saat ve konum kaydı ekler, bulguyu otomatik olarak sorumluya atar. Yapay zekâ bunun üstüne üç yardım ekler:

• Soru önerisi. İşletmenin bir önceki denetim sonuçlarına ve tesis tipine göre hangi maddelerde daha fazla zaman harcanacağını önerir.
• Eksik kanıt uyarısı. "Bu maddeye fotoğraf ya da kayıt eklenmedi" der.
• Tutarsızlık işareti. Aynı depo için iki farklı sıcaklık kaydı girilmişse uyarır.

Bir otelde örnek akış şöyle kurulabilir: kat hizmetleri denetçisi odayı tablet üzerinden değerlendirir; her madde için "uygun / uygun değil / uygulanamaz" seçer; uygun değilse fotoğraf çeker ve kısa not yazar. Sistem fotoğrafları madde altında toplar, gün sonunda notları düzenler. Denetçi taslağı gözden geçirir, hatalı sınıflandırmayı düzeltir, imzalar. Kontrol listesi içeriği için otel hizmet kalitesi denetimi kontrol listesi yazısına bakın.

İpucu: Kontrol listesinde "açık metin notu" alanını zorunlu yapmayın. Denetçi her madde için paragraf yazmak zorunda kalırsa listeyi doldurmaktan vazgeçer. Seçmeli cevap, fotoğraf ve isteğe bağlı kısa not dengesi çalışır.

Analiz: veriden ne çıkar?

Denetimlerin asıl değeri tek bir raporda değil, raporlar arasındaki ilişkide ortaya çıkar. Yapay zekâ destekli analiz şu sorulara cevap vermeyi kolaylaştırır:

• Hangi bölüm, hangi madde en sık uygunsuz çıkıyor?
• Bir sorun belirli bir vardiyada ya da belirli bir blokta mı yoğunlaşıyor?
• Düzeltici faaliyetler kapandıktan sonra aynı bulgu tekrar ediyor mu?
• Misafir yorumlarındaki şikâyet konuları denetim bulgularıyla örtüşüyor mu?
• Gizli müşteri puanları ile iç denetim puanları arasında fark var mı?

Bu analiz veri kalitesine bağlıdır. Madde adları her ay değişen bir kontrol listesinde trend çıkmaz. Aynı olayı üç farklı şekilde adlandıran bir kayıtta kümeleme yanılır. Önce veriyi düzenlemek, sonra yapay zekâ kullanmak gerekir. Gizli müşteri programı kuruyorsanız gizli müşteri denetimi nasıl yapılır yazısındaki puanlama mantığı, analiz için temiz bir girdi sunar.

Metin analizi: yorumlar ve notlar

Yapay zekâ, yüzlerce misafir yorumunu ve denetçi notunu konulara ayırabilir: temizlik, gürültü, sıcak su, personel tutumu, yemek çeşidi. Bu bir özet çıkarır, ama özet kanıt değildir. Yorumdaki "odada kötü koku vardı" cümlesi, denetçinin sahada koku kaynağını bulmasının yerini almaz. Analiz hipotez üretir, saha doğrular.

Yapay zekâ nerede yanılır? Sınırlar

Bu bölüm bir denetim ekibinin en çok tartışması gereken kısımdır. Yapay zekâ modelleri akıcı, kendinden emin ve bazen yanlış üretir. Denetimde yanlışın bedeli yüksektir: yanlış bir uygunsuzluk işletmeyi gereksiz yere yorar, kaçan bir uygunsuzluk ise misafir sağlığına zarar verebilir.

Başlıca sınırlar:

1. Uydurma bilgi. Model, var olmayan bir madde numarası, tarih ya da mevzuat atfı üretebilir. Her mevzuat atfı kaynağından doğrulanmadan rapora girmemelidir.
2. Sahayı görmez. Yapay zekâ, fotoğrafta görünenle sınırlıdır. Soğuk odanın kapı contasının bozukluğunu sezemez, mutfaktaki koku ya da kat görevlisinin acelesini fark etmez.
3. Bağlamı kaçırır. Bir uygunsuzluk, o tesisteki geçici renovasyon yüzünden olabilir. Bunu bilen denetçidir.
4. Önyargı taşır. Eğitim verisi ya da geçmiş kayıtlardaki eğilimler sonuçlara yansır. Hep aynı bölümü riskli gösteren bir model, o bölümde fazla bulgu üretir ve bu kendini doğrulayan bir döngüye dönüşebilir.
5. Sorumluluk üstlenemez. Denetim raporunu imzalayan insandır. Hata olduğunda "yapay zekâ öyle dedi" cevabı kabul edilmez.
6. Tutarsızlık. Aynı soruya iki ayrı çalıştırmada farklı cevap verebilir. Denetim izlenebilir ve tekrarlanabilir olmalı; bu yüzden sürüm ve komut kayıtlarını tutmak gerekir.

Bu nedenle üç temel kural koyuyoruz: hiçbir yapay zekâ çıktısı doğrulanmadan rapora girmez; uygunluk kararı yalnızca insan tarafından verilir; yapay zekâ kullanıldığı yerde bu açıkça not edilir.

Gizlilik: hangi veri yapay zekâya girmez?

Denetim verisi hassastır. Misafir adı, oda numarası, çalışan sicil bilgisi, sağlık notu, kamera görüntüsü ve işletmenin ticari sırrı bu kapsamdadır. Halka açık bir yapay zekâ aracına yapıştırılan metnin nasıl saklandığı ve eğitim verisi olarak kullanılıp kullanılmadığı ürüne ve sözleşmeye göre değişir. Emin olmadığınız yere veri yüklemeyin.

Pratik kurallar:

• Veriyi minimize edin. Analiz için gereken en az bilgiyi verin. Oda numarasını koda çevirin, isimleri çıkarın.
• Anonimleştirin. Kişi adlarını ve kimlik bilgilerini kaldırın. Fotoğraflardaki yüzleri ve belge numaralarını bulanıklaştırın.
• Hangi aracın hangi veriyi alabileceğini yazın. Kurum içi liste: "bu araç yalnızca anonim metinle", "bu araç hiçbir kişisel veriyle".
• Sözleşmeyi okuyun. Sağlayıcının veriyi hangi ülkede işlediğini, saklama süresini ve eğitimde kullanıp kullanmadığını öğrenin.
• KVKK ile birlikte düşünün. Kişisel veri içeren bir analiz, KVKK kapsamında bir işleme faaliyetidir. Aydınlatma ve yurt dışı aktarım hükümlerini hukuk danışmanıyla değerlendirin. İlgili çerçeveyi ISO 27001 ve KVKK yazısında anlattık.
• Erişimi sınırlandırın. Kim hangi analiz çıktısını görebilir? Denetim raporu herkese açık paylaşılan klasörde durmamalı.
• Kayıt tutun. Hangi araç, hangi tarihte, hangi veriyle kullanıldı?

Müşterinin denetim verisi, müşterinin sırrıdır. Denetçi ya da danışman, o veriyi kendi rahatlığı için genel bir araca yüklemez.

ISO/IEC 42001: yapay zekâ yönetim sistemi

ISO/IEC 42001:2023, kuruluşların yapay zekâ sistemlerini sorumlu biçimde geliştirmesi, sağlaması ya da kullanması için yazılmış bir yönetim sistemi standardıdır. Diğer ISO yönetim sistemleriyle aynı yapıyı izler: bağlam, liderlik, risk, destek, operasyon, performans değerlendirme, iyileştirme. İçeriğinde yapay zekâya özgü başlıklar vardır: etki değerlendirmesi, veri kalitesi, şeffaflık, insan gözetimi, yaşam döngüsü yönetimi ve tedarikçi ilişkileri.

Bir otel ya da danışmanlık firması için bunun anlamı şudur: yapay zekâ aracı kullanıyorsanız, bu kullanım da yönetilebilir bir süreçtir. Sorulacak sorular basittir.

• Hangi yapay zekâ araçları kullanılıyor, kim onayladı?
• Hangi amaç için? Karar destek mi, otomatik karar mı?
• Veri kaynağı nedir, kalitesi nasıl kontrol ediliyor?
• Çıktıyı kim doğruluyor? İnsan gözetimi nerede?
• Hata olursa nasıl düzeltilir, kime bildirilir?
• Tedarikçi sözleşmesinde veri ve sorumluluk maddeleri var mı?

ISO 42001 zorunlu değildir ve her işletmenin belge alması gerekmez. Ancak yapay zekâ kullanımını dışarıdan denetlenebilir hale getirmek isteyen kuruluşlar için çerçeve sunar. Belgelendirmeyi akredite bir belgelendirme kuruluşu yapar; PusulaNorm belge vermez, hazırlık ve eğitim sağlar. ISO 27001 ile birlikte kurulursa veri güvenliği ve yapay zekâ yönetimi aynı risk değerlendirmesini paylaşabilir. Avrupa Birliği'nin yapay zekâ düzenlemesi gibi dış gelişmeler de müşterilerinizin taleplerini etkileyebilir; güncel hukuki durumu hukuk danışmanınızla kontrol edin.

ISO 19011:2026 ne diyor?

ISO 19011, yönetim sistemi denetimi için rehber standarttır; belgelendirme standardı değildir ve geçiş süresi yoktur. Dördüncü baskısı Mayıs 2026'da ISO 19011:2026 olarak yayımlandı. Belgelendirme kuruluşlarının ve uzman kuruluşların açıklamalarına göre yeni baskı; uzaktan denetimi, yapay zekâ ve dijital araçların denetimde kullanımını, denetçi yeterliliğini ve risk temelli denetim planlamasını daha açık ele alıyor. Madde madde değişiklikleri satın alınmış resmî metinden okuyun; burada özetlemiyoruz.

Bu yaklaşımın bizim için anlamı şudur: yapay zekâ ve uzaktan araçlar denetimin meşru araçlarıdır, ama denetim ilkeleri değişmez. Bağımsızlık, kanıta dayalı yaklaşım, gizlilik, dürüst raporlama ve adil sunum ilkeleri yapay zekâ kullanıldığında da geçerlidir. Yapay zekâyla üretilmiş bir özet, denetim kanıtının kendisi değil, kanıta giden yoldur. Denetçinin yeterliliği ise aracı kullanabilmeyi ve çıktısını eleştirel okuyabilmeyi de kapsar.

Uzaktan denetimde de aynı mantık sürer. Video görüşmeyle belge incelemek, kamera ile alan gezdirmek mümkündür; fakat görüntü kalitesi, bağlantı, işletmenin sahneleme riski ve gizlilik sınırları baştan konuşulmalıdır. Yüksek riskli alanlar, örneğin mutfak hijyeni ve su sistemleri için sahada fiziksel doğrulama hâlâ tercih edilir. Uygulama yöntemini iç denetim nasıl yapılır yazısında bulabilirsiniz.

Denetim ekibi için yapay zekâ kullanım politikası

Bir sayfalık yazılı politika çoğu işletme için başlangıçtır. İçinde şunlar olmalı:

1. Amaç ve kapsam. Yapay zekâ hangi görevlerde yardımcıdır?
2. Yasak kullanım. Uygunluk kararı, puan verme, kişisel veriyle halka açık araç kullanımı.
3. Onaylı araç listesi. Hangi araçlar, kim yönetiyor?
4. Veri kuralları. Anonimleştirme, saklama, silme.
5. Doğrulama zorunluluğu. Mevzuat atıfı ve sayılar kaynağından kontrol edilir.
6. Kayıt. Araç, tarih, amaç, doğrulayan kişi.
7. Eğitim. Ekip aracın sınırlarını ve gizlilik kurallarını bilir. Yapay zekâ eğitimlerimiz bu ihtiyaç için tasarlandı.
8. Gözden geçirme. Politika yılda en az bir kez güncellenir.

Sahada karşılaşılan örnek durumlar

Aşağıdaki iki durum varsayımsaldır ve yöntemi göstermek için yazıldı.

Durum 1. Bir denetçi mutfak denetim notlarını sesli kaydeder. Araç kaydı metne çevirir ve maddelere dağıtır. Denetçi dağıtımı kontrol eder, "buzdolabı sıcaklığı uygun" ifadesinin aslında soğuk oda için söylendiğini fark eder ve düzeltir. Araç zaman kazandırdı, hata kontrol sayesinde yakalandı.

Durum 2. Bir ekip, son altı ayın bulgularını tabloya aktarıp yapay zekâya tekrar eden konuları sorar. Araç "çamaşırhane" kategorisinde belirgin bir yığılma gösterir. Ekip yığılmanın aslında kategori adının iki farklı yazılışından kaynaklandığını fark eder, verisini düzeltir ve analizi yeniden çalıştırır. Ders: önce veri temizliği.

Denetlenen işletme yapay zekâ kullanırsa

Denetçi yalnızca aracı kullanan taraf değildir; denetlediği işletmede de yapay zekâ çıktısıyla karşılaşır. Otelin gıda güvenliği kayıtları bir yazılımın otomatik ürettiği sıcaklık çizelgesi olabilir, alerjen listesi bir araçla hazırlanmış olabilir. Böyle bir kaydı kabul ederken şunu sorun: veri nereden geldi, kim doğruladı, sensör kalibre mi? Otomatik üretilmiş kayıt, sahadaki ölçümle örtüşmüyorsa kanıt değeri düşer. Denetçi örnekleme yaparak kaydın gerçek durumla eşleştiğini kontrol eder.

Eğitimde ve danışmanlıkta ne değişiyor?

Denetçi ve kalite müdürü rolü küçülmüyor, kayıt yükünü taşıyan kısım küçülüyor. Gelecekte değerli olan beceriler; doğru soruyu sormak, veriyi eleştirel okumak, sahada kanıtı toplamak ve bulguyu işletmeye anlaşılır biçimde anlatmaktır. Danışmanlık hizmetlerimizde kalite sistem denetimleri ve gizli müşteri denetimi bu çerçevede yürür: yapay zekâ veriyi hazırlar, uzman analizi yapar.

Yeni düzenlemeler de dijital kayıt kültürünü güçlendiriyor. Türkiye Çevresel ve Kültürel Sürdürülebilirlik Programı'nın güncellenen usul ve esaslarında kanıt ve dijital kayıt yönetiminin yıl boyu sürmesi gerekir; belge ya da görselle doğrulanabilen uygunsuzluklar sahaya gitmeden kapatılabilir. Güncel hükümleri TGA metninden doğrulayın. Türkiye Yeşil Taksonomisi ve sürdürülebilirlik raporlama standartları da veri izlenebilirliğini gündeme getiriyor. Bunlara ilişkin ayrıntıyı güncel yönetmelik ve KGK kararlarından kontrol edin.

Başlamak için basit yol haritası

1. En çok vakit yiyen tek bir işi seçin (örneğin denetim raporu taslağı).
2. Kontrol listenizi dijitale taşıyın; madde adlarını sabitleyin.
3. Anonimleştirme kuralını yazın.
4. Küçük bir pilot yapın: bir tesis, bir denetçi, bir ay.
5. Çıktıları insanla karşılaştırın; hata türlerini kaydedin.
6. Sonuca göre kapsamı genişletin ya da durdurun.

Bu yazı Kasım 2026 itibarıyla genel bilgilendirme amaçlıdır; işlem öncesi güncel mevzuatı kontrol edin.

Sık Sorulan Sorular