Şirkette gizli yapay zekâ (shadow AI): riskler ve kullanım politikası

Pazartesi sabahı, satış ekibinden biri elindeki müşteri listesini kişiselleştirilmiş bir e-posta dizisine dönüştürmek ister ve işi hızlandırmak için tüm cari listeyi — isimler, telefonlar, geçmiş siparişler — herkese açık bir sohbet botuna yapıştırır. Sonuç etkileyicidir: taslak on dakikada hazırdır ve kimse bunu fark etmez. Şirketin BT ya da yönetim tarafında bu işlemin gerçekleştiğine dair tek bir kayıt yoktur; ne hangi verinin dışarı çıktığı ne de nereye gittiği bilinir. İşte bu, "shadow AI" yani gizli yapay zekâ dediğimiz olgunun sıradan ama tehlikeli bir örneğidir.

Bu yazıda gizli yapay zekânın ne olduğunu, neden bu kadar hızlı yayıldığını ve hangi gerçek riskleri taşıdığını inceliyoruz; ardından yasaklamanın neden geri teptiğini ve bunun yerine uygulanabilir bir yapay zekâ kullanım politikasının nasıl kurulacağını adım adım anlatıyoruz. Amaç korkutmak değil; ekibin bulduğu üretkenliği kaybetmeden riski görünür ve yönetilebilir kılmak.

1Onaysız AI kullanımı2Veri & uyum riski3Kullanım politikası4Güvenli + onaylı araç

Gizli yapay zekâ (shadow AI) nedir?

Gizli yapay zekâ, çalışanların işlerini yapmak için ChatGPT, Gemini, Copilot ve benzeri yapay zekâ araçlarını BT veya yönetimin onayı, bilgisi ya da denetimi olmadan kullanması demektir. Terim, yıllar önce "shadow IT" — yani onaysız yazılım ve bulut hizmetlerinin sessizce kullanılması — kavramından türedi; gizli yapay zekâ, bunun yapay zekâ çağındaki hâlidir. Fark şu ki, bu kez dışarı sızabilen şey sadece bir dosya değil, modele yapıştırılan her cümlenin içindeki bilgidir.

Önemli bir ayrım var: burada kötü niyetli bir çalışan yoktur. Tam tersine, genelde işini iyi yapmaya çalışan, teslim tarihine yetişmek isteyen ve elindeki aracı en verimli şekilde kullanan biri vardır. Sorun niyet değil, görünürlük ve kontrol eksikliğidir. Kurum ne kullanıldığını bilmediği için ne koruyabilir ne de yönlendirebilir.

Gizli yapay zekâ neden bu kadar hızlı yayılıyor?

Bu yayılmanın arkasında üç güçlü neden var. Birincisi erişimin sürtünmesiz olması: bir tarayıcı sekmesi ve bir e-posta adresi, güçlü bir modele ulaşmak için çoğu zaman yeterli. İkincisi üretkenlik baskısı: aynı işi daha az kişiyle, daha kısa sürede yapması beklenen ekipler, önlerine çıkan her hızlandırıcıyı doğal olarak kullanır. Üçüncüsü kurumsal araçların geriden gelmesi: şirketin resmî olarak sunduğu, onaylı ve güvenli bir yapay zekâ seçeneği yoksa, çalışan boşluğu kendi bulduğu ücretsiz araçla doldurur.

Bu üç etken birleştiğinde sonuç kaçınılmazdır. Yasak olsun ya da olmasın, işi kolaylaştıran bir araç varsa kullanılır; tek soru, bunun kurumun görüşü dâhilinde mi yoksa tamamen görünmez bir şekilde mi olacağıdır. Kurumların çoğu bugün ikinci durumdadır: yapay zekâ zaten ekibin içinde, sadece kayıt dışı.

Gizli yapay zekânın gerçek riskleri

Bu araçların taşıdığı riskler soyut değil, çok somuttur. En büyüğü veri sızıntısıdır: gizli şirket bilgileri ve — daha da hassası — müşteri verileri harici bir modele yapıştırıldığında, bu verinin nasıl saklandığı, ne kadar tutulduğu ya da modelin eğitiminde kullanılıp kullanılmadığı çoğu zaman belirsizdir. Bir kez dışarı çıkan veriyi geri çağırmak mümkün değildir.

• Veri gizliliği ve saklama: müşteri listeleri, sözleşme metinleri veya finansal tablolar harici bir araca girildiğinde kontrol tamamen kaybolur; verinin nerede ve ne kadar saklandığı çoğu zaman şeffaf değildir.
• KVKK ve GDPR uyumu: kişisel verinin açık rıza ve uygun bir hukuki dayanak olmadan üçüncü bir tarafa aktarılması, ciddi bir uyum ve mevzuat riski yaratır.
• Yanlış veya uydurma çıktılar: modeller kendinden emin bir dille yanlış bilgi üretebilir; denetlenmeden gerçek kararlara giren bu halüsinasyon çıktılar hatayı büyütür.
• Fikrî mülkiyet ve gizlilik: lisans koşulları, gizlilik sözleşmeleri ve telif hakları farkında olunmadan ihlal edilebilir.
• Tutarsız kalite ve iz eksikliği: herkes farklı aracı farklı biçimde kullandığında çıktı kalitesi dalgalanır ve hiçbir işlemin denetim kaydı kalmaz.

Buna hesap güvenliği risklerini de eklemek gerekir: kişisel, iki adımlı doğrulaması olmayan hesaplarla kurumsal işlerin yapılması, temel siber güvenlik disiplinini de zayıflatır. En sinsi risk ise görünürlük eksikliğidir: ne olduğunu bilmediğiniz bir şeyi ne denetleyebilir ne de düzeltebilirsiniz.

Yasaklamak neden geri teper?

İlk refleks genelde yasaklamaktır: "Kurumsal veriyle yapay zekâ araçları kullanılamaz" diyen tek satırlık bir e-posta. Kulağa güvenli gelir ama pratikte tam tersini yapar. Yasak, kullanımı ortadan kaldırmaz; sadece görünmez kılar. Araçlar işe yaramaya devam ettiği için insanlar onları kullanmayı sürdürür, ama artık kimseye sormadan ve kimseye söylemeden.

Bir yasak riski yok etmez; onu yalnızca görebileceğiniz yerden göremeyeceğiniz yere taşır.

Sonuç en kötü senaryodur: hem üretkenlik kazancının kontrolü hem de riskin görünürlüğü kaybolur. Çalışan yardım istemekten çekinir, sorun çıktığında da geç öğrenilir. Bu yüzden olgun kurumlar yasak yerine yönlendirmeyi seçer: kullanımı yok saymak değil, güvenli bir çerçeveye almak.

Daha iyi yol: Yapay zekâ kullanım politikası

Yasağın alternatifi, açık ve uygulanabilir bir "Yapay Zekâ Kabul Edilebilir Kullanım Politikası"dır (AI Acceptable-Use Policy). İyi bir politika kuralları sıkılaştırmak için değil, insanların ne yapıp ne yapamayacağını tereddütsüz bilmesi için vardır. Dört temel bileşeni olmalıdır:

• Onaylı araçlar: hangi yapay zekâ araçlarının kurumsal işte kullanılabileceğini net bir listeyle belirleyin; tercihen veri denetimleri ve kurumsal gizlilik güvenceleri olan sürümleri seçin.
• Veri kuralı: hangi verinin girilebileceğini ve — daha önemlisi — hangisinin asla girilemeyeceğini açıkça yazın: müşteri kişisel verileri, kimlik bilgileri, sözleşme sırları ve finansal detaylar tipik olarak "asla" listesindedir.
• İnsan denetimi ve şeffaflık: yapay zekâ çıktısının bir insan tarafından gözden geçirilmesini zorunlu kılın; müşteriye giden ya da karar veren işlerde yapay zekâ kullanıldığının uygun biçimde açıklanmasını isteyin.
• Güvenli alternatif ve eğitim: insanların gizli araçlara ihtiyaç duymaması için onaylı ve güvenli bir seçenek sunun, nasıl kullanılacağını öğretin.

Son madde çoğu zaman en önemlisidir. Gizli yapay zekânın panzehiri sadece kural koymak değil, kuralı gereksiz kılacak kadar iyi bir onaylı alternatif sağlamaktır. İnsanlar güvenli yol kolay olduğunda gizli yolu tercih etmez.

Yönetişim ve mevzuat bağlamı

Bu politika tek başına duran bir belge değil; daha geniş bir yapay zekâ yönetişimi (AI governance) çerçevesinin parçasıdır. Dünyada düzenlemeler hızla olgunlaşıyor: örneğin Avrupa Birliği'nin AI Act'i, yapay zekâ sistemlerini risk düzeyine göre sınıflandıran ve kullanıma şeffaflık ile hesap verebilirlik yükümlülükleri getiren, aşamalı olarak yürürlüğe giren bir çerçeve sunuyor. Yapay zekâ yönetişimi ve EU AI Act'in çerçevesini ana hatlarıyla anlamak, iç politikanızı doğru zemine oturtmanıza yardımcı olur.

Buradaki yükümlülükler ülkeye, sektöre ve zamana göre değişir ve düzenli olarak güncellenir; bu nedenle belirli bir tarihe ya da maddeye bu yazıda kesin kural gibi bağlanmak yerine, kendi durumunuz için güncel yükümlülüklerinizi bir hukuk danışmanı veya uyum uzmanıyla teyit etmeniz gerekir. Amaç mevzuatı ezberlemek değil, verinin nereye gittiğini ve kimin sorumlu olduğunu bilerek hareket etmektir. Onaylı araçları seçerken, modeller arası bağlantıları standartlaştıran Model Context Protocol gibi açık standartlar da denetlenebilir bir altyapı kurmayı kolaylaştırır.

Başlangıç için politika kontrol listesi

Sıfırdan başlıyorsanız, kusursuz ama hiç yayımlanmayan bir politika yerine bir sayfalık ve hemen uygulanabilir bir metinle başlamak daha iyidir. Aşağıdaki kontrol listesi iyi bir başlangıç noktasıdır:

• Kapsam: politikanın kimleri ve hangi araçları kapsadığını tanımlayın.
• Onaylı araç listesi: kullanılabilecek araçları ve varsa kurumsal/güvenli sürümlerini belirtin.
• Veri sınıflandırması: "girilebilir" ve "asla girilemez" veri türlerini örneklerle listeleyin.
• İnsan denetimi: hangi çıktıların yayımlanmadan önce onaydan geçeceğini yazın.
• Şeffaflık: yapay zekâ kullanımının ne zaman açıklanacağını belirleyin.
• Olay bildirimi: bir veri yanlışlıkla paylaşıldığında kime ve nasıl haber verileceğini tanımlayın.
• Sahiplik ve güncelleme: politikanın sahibini ve gözden geçirme sıklığını belirleyin.

Bu listeyi ekibin diline ve gerçek iş akışına göre uyarlayın; kimsenin okumadığı uzun bir belge yerine herkesin hatırladığı kısa bir çerçeve her zaman daha güvenlidir.

Kısıtlama değil, güçlendirme ve korkuluk

Doğru kurulduğunda bir yapay zekâ politikası bir "hayır" listesi değil, "güvenle nasıl evet denir" rehberidir. Çerçeveyi, insanları yavaşlatan bir fren gibi değil, hız kazanırken uçurumdan düşmelerini engelleyen bir korkuluk gibi düşünün. Kısıtlama ile güçlendirme arasındaki denge, gizli yapay zekâyı görünür ve güvenli yapay zekâya dönüştüren şeydir.

Bu dengenin pratik karşılığı, araç seçiminde veri denetimlerine ve yönetişime öncelik vermektir. Yapay zekâ özelliklerini değerlendirirken verinin nerede işlendiğini, saklanıp saklanmadığını ve eğitimde kullanılıp kullanılmadığını sormak teknik bir ayrıntı değil, temel bir tercih kriteridir. Müşteri verisiyle çalışan sistemlerde KVKK uyumlu bir CRM gibi veri denetimleri baştan tasarlanmış araçları tercih etmek, güvenli alternatifi kolayca sunulabilir hâle getirir.

Sıkça sorulan sorular

Gizli yapay zekâ, kötü niyetin değil, iyi niyetin denetimsiz hâlidir; bu yüzden çözüm de cezalandırmak değil yönlendirmektir. Net bir kullanım politikası, güvenli bir onaylı alternatif ve biraz eğitim, riski büyütmeden üretkenliği korumanın en gerçekçi yoludur. Ekip bu çerçeveyi kurarken, birleşik gelen kutusu, pazarlama merkezi ve yapay zekâ satış asistanlarını veri denetimleriyle birlikte tek bir yerde toplayan Rocketly gibi bir CRM, onaylı ve güvenli yolu ekibin varsayılan tercihi hâline getirmeye yardımcı olabilir.