Gölge Yapay Zeka: Fark Edilmeden Büyüyen Risk
KVKK'nın Şubat 2026 kılavuzu gölge YZ'yi tanımladı. Çalışanların izinsiz AI araçları şirketinizi nasıl riske atıyor, ne yapmalısınız?
Bir çalışanınız müşteri şikayet metnini ChatGPT’ye yapıştırıp “bunu daha profesyonel yaz” dediğinde, şirketinizin hiç onaylamadığı bir yapay zeka aracına müşteri verisi göndermiş oluyor. Bu, tek başına küçük bir olay gibi görünür. Ölçekte, adı olan bir sorun haline gelir: gölge yapay zeka.
KVKK’nın Şubat 2026 tarihli kılavuzu bu kavramı resmen tanımladı: kurum bünyesinde üretken yapay zeka araçlarının, kurumun bilgisi, onayı veya denetimi dışında çalışanlar tarafından iş süreçlerinde kullanılması.
Neden Bu Kadar Yaygın?
Basit bir sebepten: çalışanlar üretken olmak istiyor ve resmi araçlar genelde yavaş onaylanıyor veya hiç sağlanmıyor. Şirket bir AI aracı sunmadığında, çalışan kendi bulduğu ücretsiz aracı kullanmaya başlıyor — çoğunlukla iyi niyetle, riskin farkında olmadan.
Bu durum özellikle “power user” dediğimiz, işini hızlandırmak için araç arayan yetkin çalışanlarda yoğunlaşıyor. Yani gölge AI riski en çok, en üretken çalışanlarınızdan geliyor — bu da sorunu görmezden gelmeyi daha da cazip (ve daha da tehlikeli) hale getiriyor.
Somut Riskler
KVKK’nın kılavuzu riskleri altı başlıkta ele alıyor, ama üç tanesi özellikle kritik:
Veri sızıntısı. Çalışan, müşteri bilgisi, sözleşme detayı veya kaynak kodu gibi hassas veriyi kurumsal kontrol dışındaki bir platforma aktarıyor. Bu veri modelin eğitiminde kullanılabilir veya yetkisiz erişime açık hale gelebilir.
KVKK/GDPR ihlali. Kişisel veri, veri sorumlusunun (şirketin) bilgisi ve kontrolü dışında işlenmiş oluyor — bu, doğrudan bir uyumluluk ihlali.
Otonom ajan riski. Bazı çalışanlar artık sadece sohbet araçları değil, kurum içi ama resmi güvenlik kontrollerinin (guardrail) dışında çalışan otonom AI ajanları da devreye sokuyor. Bu, riski bir adım daha büyütüyor — artık tek bir yanlış prompt değil, denetimsiz bir otomasyon zinciri söz konusu.
Yasaklamak Çözüm Değil
İlk içgüdü genelde “tüm AI araçlarını yasaklayalım” oluyor. Bu genellikle işe yaramıyor — çalışanlar araçları kullanmaya devam ediyor, sadece artık gizli yapıyorlar. Yasak, gölgeyi ışığa çıkarmak yerine daha da derinleştiriyor.
Daha etkili yaklaşım, gölgeyi ortadan kaldırmak değil, onu görünür ve yönetilebilir hale getirmek.
Kurumsal Cevap: Dört Adım
Onaylı araç listesi oluşturun. Çalışanların ihtiyaç duyduğu işlevleri (metin düzenleme, kod tamamlama, özet çıkarma) karşılayan, veri işleme sözleşmesi incelenmiş, kurumsal katmanda çalışan araçları belirleyip resmileştirin. “Hayır” demek yerine “işte onaylı seçenek” deyin.
Hangi verinin gidebileceğini netleştirin. Genel bir “AI kullanmayın” kuralı yerine, “müşteri kişisel verisi, sözleşme içeriği ve kaynak kod hiçbir onaylanmamış araca girilemez” gibi somut, uygulanabilir kurallar yazın.
Görünürlük kurun. DLP (data loss prevention) araçları veya ağ düzeyinde izleme ile hangi AI platformlarına trafik gittiğini görün. Bunu bir “yakalama” aracı değil, riski erken görme mekanizması olarak konumlandırın.
Eğitim verin, tek seferlik değil sürekli. Çalışanların çoğu bilinçli olarak risk almıyor — riskin ne olduğunu bilmiyor. Somut örneklerle (“şu senaryo tehlikeli çünkü…”) gösterilen kısa, düzenli eğitimler, uzun politika dokümanlarından çok daha etkili.
Sonuç
Gölge yapay zeka, yasaklanacak bir davranış değil, yönetilecek bir gerçeklik. Çalışanlarınız zaten bu araçları kullanıyor — soru, bunu görünür ve güvenli bir çerçevede mi yapacaklar, yoksa karanlıkta mı devam edecek.
Şirketinizin AI kullanım politikasını ve veri güvenliği yaklaşımını birlikte değerlendirmek isterseniz, ücretsiz teknik görüşmeyle başlayabiliriz.
Bu yazı işe yaradı mı?
Teknoloji kararlarınızda somut adımlar atmak istiyorsanız görüşelim. İlk görüşme ücretsiz.
Ücretsiz Görüşme Ayarla