Bir şirkette yapay zekâ kullanımının BT’nin haberi olmadan başladığını görmek için anket yapmaya gerek yok. Pazarlama ekibi kampanya metnini, finans ekibi tablo formülünü, yazılım ekibi hata mesajını zaten bir sohbet asistanına soruyor. Bunların çoğu kişisel hesaplarla, şirketin hiçbir sözleşmesi olmayan servislere gidiyor. Buna gölge yapay zekâ (shadow AI) deniyor ve kurumsal BT’de yıllarca uğraştığımız gölge BT’nin çok daha hızlı yayılan bir sürümü.
2012–2021 arasında Civil Mağazacılık’ta BT’yi yönetirken gölge BT ile çok karşılaştım: departmanın kendi açtığı bulut depolama hesabı, bir Excel makrosuyla yürüyen kritik süreç, kimsenin envanterde görmediği bir SaaS aboneliği. Öğrendiğim ders şuydu: kullanıcı bir aracı BT’den gizli kullanıyorsa, çoğu zaman BT ona ihtiyacını karşılayan bir şey vermemiştir. Yapay zekâda da durum aynı.
Risk tam olarak nerede?
Gölge yapay zekânın riski aracın kendisinden çok, araca giren veride. Üç başlıkta toplanıyor:
- Veri sızıntısı: Müşteri listesi, personel bilgisi, fiyat çalışması ya da kaynak kod şirket dışındaki bir servise gönderiliyor. Servisin bu veriyi saklayıp saklamadığı, model eğitiminde kullanıp kullanmadığı kişisel hesabın kullanım koşullarına bağlı ve çoğu çalışan bunu okumamış oluyor.
- Mevzuat: Kişisel veri içeren her kullanım KVKK kapsamında bir işleme faaliyeti. Servis yurt dışındaysa aktarım ayrıca değerlendirilmesi gereken bir konu. Şirket bu işlemeyi bilmiyorsa aydınlatma metninde de, envanterde de yer almıyor.
- Hatalı çıktı: Asistanın ürettiği metin, kod ya da hesap kontrol edilmeden kullanıldığında hata şirket adına dışarı çıkıyor. Bu risk onaylı araçlarda da var, ama gölge kullanımda kimse çıktıyı denetleyecek bir süreç kurmamış oluyor.
Neden yasak işe yaramıyor?
İlk refleks genellikle yapay zekâ servislerini güvenlik duvarında engellemek oluyor. Bu birkaç hafta içinde şu sonucu veriyor: kullanım durmuyor, çalışanın kişisel telefonuna geçiyor. Veri artık kurumsal ağdan bile geçmiyor; BT’nin elindeki son görünürlük de kayboluyor. Üstelik yasak, yapay zekâdan gerçekten verim alan ekiplerde “BT işimizi zorlaştırıyor” algısını güçlendiriyor.
Engelleme tamamen gereksiz değil. Onaylı alternatif sunulduktan sonra, riskli olduğu bilinen belirli servisleri kapatmak makul bir adım. Ama sıra önemli: önce alternatif, sonra kısıt.
İşe yarayan sıra: ölç, alternatif sun, politika yaz
1. Ne kullanıldığını ölçün
Ağ geçidi ve güvenlik duvarı kayıtlarında bilinen yapay zekâ servislerine giden trafiğe bakın. Tarayıcı eklentileri envanterini çıkarın; yapay zekâ yazma asistanı eklentileri sayfadaki her metni okuyabildiği için ayrıca önemli. Kısa ve anonim bir anketle ekiplere ne için kullandıklarını sorun. Bu adımın amacı kişileri bulmak değil, hangi ihtiyacın karşılanmadığını görmek.
2. Güvenli ve onaylı bir alternatif sunun
Çalışanların en çok kullandığı iki üç senaryo için kurumsal sözleşmeli bir araç sağlayın: verinin model eğitiminde kullanılmadığı, saklama süresi tanımlı, kurumsal kimlikle giriş yapılan, kullanım kaydı tutulan bir hizmet. Şirket dokümanlarıyla çalışması gereken senaryolar için kurumsal RAG asistanı daha doğru bir cevap olabilir. Alternatif, gölge araçtan daha kullanışlı değilse kimse geçmez; bu yüzden ilk sürümü ekiplerle birlikte seçin.
3. Kısa bir politika yayımlayın
Politikanın merkezinde veri sınıflandırması durmalı. Çoğu şirkette zaten bir sınıflandırma var; yapay zekâ için ona tek bir sütun eklemek yeterli.
| Veri sınıfı | Örnek | Onaylı kurumsal araç | Kişisel hesapla genel araç |
|---|---|---|---|
| Kamuya açık | Web sitesindeki ürün bilgisi | Serbest | Serbest |
| İç kullanım | Toplantı notu, süreç dokümanı | Serbest | Yasak |
| Gizli | Fiyat çalışması, sözleşme, kaynak kod | İzinle, kayıtlı | Yasak |
| Kişisel veri | Müşteri, personel, aday bilgisi | Yalnız onaylı senaryoda | Yasak |
Bunun yanına onaylı araçların listesi, yasak kullanımlar (ör. kişisel veriyi genel servise yapıştırmak, çıktıyı kontrol etmeden müşteriye göndermek) ve “emin değilsem kime soracağım” satırı eklenir. Bir iki sayfayı geçen politika okunmuyor.
Yönetişime nasıl bağlanır?
Gölge yapay zekâ ayrı bir proje olarak kalırsa birkaç ay sonra unutulur. Kalıcı olması için mevcut yönetişime bağlanması gerekiyor: yeni yapay zekâ aracı talepleri BT’nin değişiklik ve satın alma sürecinden geçer, onaylı araçlar uygulama envanterinde yer alır, kişisel veri işleyen kullanımlar KVKK envanterine girer. Risk tarafında NIST AI RMF iyi bir çerçeve sunuyor; aynı mantığı 90 günlük yapay zekâ yol haritası yazımda COBIT ve ITIL ile nasıl eşleştirdiğimi anlattım.
Üç ayda ne değişmeli?
Bu çalışmanın başarısı yasakların sayısıyla ölçülmüyor. Bakılacak üç şey var: onaylı araçların aktif kullanıcı sayısı artıyor mu, bilinen genel yapay zekâ servislerine giden trafik azalıyor mu, ekiplerden gelen yeni senaryo talepleri BT’ye ulaşıyor mu? Üçüncüsü en değerlisi; çünkü gölge kullanımın asıl sebebi, ihtiyacın BT’ye hiç ulaşmamasıydı.
Sık sorulan sorular
Gölge yapay zekâ nedir?
Çalışanların BT'nin onaylamadığı yapay zekâ araçlarını, çoğunlukla kişisel hesaplarla, iş verisi üzerinde kullanmasıdır. Sohbet asistanına müşteri e-postası yapıştırmak, sözleşme taslağını özetletmek ya da kaynak kodu hata ayıklamaya göndermek tipik örneklerdir.
Yapay zekâ araçlarını yasaklamak çözüm müdür?
Genellikle değildir. Yasak kullanımı durdurmaz, kurumsal ağdan kişisel cihazlara taşır ve BT'nin görünürlüğünü tamamen kaybettirir. Daha etkili yol, onaylı ve güvenli bir alternatif sunup hangi verinin nereye girebileceğini açıkça tanımlamaktır.
Gölge yapay zekâ kullanımı nasıl ölçülür?
Web ağ geçidi ya da güvenlik duvarı kayıtlarında bilinen yapay zekâ servislerine giden trafik, tarayıcı eklentileri envanteri, SaaS keşif araçları ve kısa bir anonim çalışan anketi birlikte kullanılır. Amaç kişileri cezalandırmak değil, hangi ihtiyacın karşılanmadığını görmektir.
Yapay zekâ kullanım politikası ne kadar uzun olmalı?
Çalışanların gerçekten okuyacağı kadar kısa: bir iki sayfa. Veri sınıflarına göre izin tablosu, onaylı araçlar listesi, yasak kullanımlar ve şüphe durumunda kime sorulacağı yeterlidir. Ayrıntılı teknik kontroller ayrı bir BT standardında tutulur.