| Kaynak | Üründe desteklenebilecek yön | Uyarı |
|---|---|---|
| NIST AI RMF + GenAI Profile | Govern/Map/Measure/Manage risk süreci; envanter, değerlendirme, aksiyon ve olay kanıtları. | Gönüllü risk çerçevesi; sertifika değildir. |
| ISO/IEC 42001:2023 | AI yönetim sistemi süreçleri, politika, risk ve gözetim kanıtları. | Yazılım kullanmak otomatik sertifika sağlamaz. |
| ISO/IEC 23894:2023 | AI risk yönetimi rehberine bağlanmış risk tanımlama ve müdahale kayıtları. | Kuruma göre uyarlanmalıdır. |
| OWASP GenAI LLM Top 10 (2026) | Prompt injection, supply chain, unsafe output, sensitive data vb. risk test kataloğu. | Riskler canlı kaynakta güncellenir. |
| OWASP Agentic Top 10 (2026) | Agent yetki/kimlik, multi-agent, tool ve dependency risk senaryoları. | Tam uyum garantisi değil teknik referans. |
| MITRE ATLAS | AI saldırı taktik/teknik eşlemesi, red team bulguları ve SOC olay sınıflandırması. | Yaşayan bilgi tabanı; sürümü kaydedilir. |
| MCP Authorization Spec 2026-07-28 | Audience binding, OAuth token doğrulama, yetki modeli ve server/client gereksinimleri. | Uygulanabilirlik transport/deployment tipine bağlı. |
| ISO/IEC 27001, NIST 800-53 | Erişim, log, güvenlik kontrolü, iş sürekliliği, denetim kanıtı. | Kurumsal kapsam/sözleşme ve uzman doğrulama gerekir. |
| EU AI Act (2026 durumu) | Rol, kullanım amacı, model türü ve risk kategorisine göre uygulanabilirlik kontrol listesi. | 2026 değişiklikleri nedeniyle yüksek riskli kurallar için 2027/2028 tarihleri dikkate alınır. |
| KVKK | Aydınlatma, veri işleme hukuki şartı, sınıflandırma, log saklama ve aktarım kontrolü. | Hukukî değerlendirme müşterinin veri işleme rolüne göre yapılır. |
MCP güvenlik kontrol örneği
HTTP tabanlı MCP authorization desteğinde OAuth güvenliği, resource parameter ve token audience doğrulaması önceliklidir; tokenın bir sunucudan başka servise olduğu gibi geçirilmesi sistem tasarımında engellenir. STDIO transport için kimlik bilgisi yönetimi farklıdır; aynı OAuth akışının her kurulum tipine kopyalanması doğru değildir.
AB düzenleyici zamanlama notu
Avrupa Komisyonu 2026 güncellemeleri uyarınca AI Act yükümlülükleri aşamalıdır. 2 Ağustos 2026’da çeşitli genel kurallar ve şeffaflık gerekleri uygulanmaya başlamış; belirli yüksek riskli Annex III kullanımları için 2 Aralık 2027, düzenlenmiş ürünlere entegre yüksek riskli sistemlerde 2 Ağustos 2028 tarihleri önemlidir. Bu tarihleri ürünün her müşteriye aynı zorunluluğu yüklediği şeklinde yorumlamamak gerekir.