Gölge Yapay Zeka (Shadow AI): Yönetişim Boşluğunu Kapatmak (2026)

TL;DR — Gölge yapay zeka (shadow AI), yani çalışanların şirketin onayı olmadan kullandığı yapay zeka araçları, 2026'nın en büyük yönetişim sorunu haline geldi. Rakamlar tartışmayı bitiriyor: çalışanların yüzde 80'inden fazlası onaysız yapay zeka araçları kullanıyor, kurumsal ortamlarda 665 farklı üretken yapay zeka uygulaması tespit ediliyor, ama kuruluşların yalnızca yüzde 25'i çalışan kullanımına dair kapsamlı görünürlüğe sahip olduğunu söylüyor. Sonuç ortada: gölge yapay zeka ortalama bir veri ihlalinin maliyetine yaklaşık 670.000 dolar ekliyor, yapay zeka ihmalinden kaynaklanan iç tehdit riski yıllık 10,3 milyon dolara ulaşıyor. Bu yazı, yasaklamadan boğmadan nasıl yöneteceğinizi anlatıyor: keşif, sınıflandırma, onaylı araç kataloğu, DLP, eğitim ve hızlı bir onay hattı. KVKK ve Ağustos 2026'da devreye giren EU AI Act baskısıyla birlikte, bu artık "sonra bakarız" konusu değil.

Son bir yılda girdiğim neredeyse her kurumsal görüşmede aynı sahne tekrar etti. Yönetim kurulu odasında, CTO ya da CISO karşımda oturuyor, "Biz yapay zekayı kontrollü kullanıyoruz, birkaç pilot projemiz var" diyor. Sonra aynı toplantıdan çıkıp kafeteryaya iniyorum, orada bir pazarlama uzmanıyla sohbet ediyorum ve o bana gururla anlatıyor: müşteri sunumlarını üç farklı yapay zeka aracıyla hazırlıyor, e-postalarını bir tanesine yazdırıyor, hatta geçen hafta satış rakamlarını bir chatbota yapıştırıp "bundan bir analiz çıkar" demiş. Hiçbiri BT'nin onayladığı araç değil.

İşte gölge yapay zeka tam olarak bu: yönetimin haberi olmadan, onay süreçlerinden geçmeden, çalışanların kendi inisiyatifiyle işe soktuğu üretken yapay zeka araçları. "Gölge BT"nin (shadow IT) yapay zeka çağındaki halefi. Ama bu sefer ölçek çok daha büyük, hız çok daha yüksek ve risk çok daha sinsi. Çünkü bir çalışanın izinsiz bir bulut depolama servisi kullanması ile bir çalışanın şirketin en hassas verisini halka açık bir dil modeline yapıştırması arasında büyük fark var.

Rakamlara bakalım, çünkü ben rakamsız konuşmayı sevmem. Çalışanların yüzde 80'inden fazlası işyerinde onaysız yapay zeka araçları kullanıyor. Kurumsal ortamlarda izlenen farklı üretken yapay zeka uygulaması sayısı 665'e ulaştı. Bunu bir düşünün: ortalama bir kurumun BT ekibi belki bir düzine uygulamayı "resmi araç" olarak biliyor, ama gerçekte çalışanlar yüzlerce farklı kapıdan yapay zekaya bağlanıyor. Ve kuruluşların yalnızca yüzde 25'i çalışan yapay zeka kullanımına dair kapsamlı görünürlüğe sahip olduğunu söylüyor. Yani dört kurumdan üçü, kendi çalışanlarının hangi araçlara hangi verileri verdiğini bilmiyor.

"

Gölge yapay zeka bir teknoloji sorunu değil, bir görünürlük sorunudur. Göremediğiniz şeyi yönetemezsiniz; yönetemediğiniz şeyin de sorumluluğunu almış olursunuz.

İlk refleks hep aynı: "O zaman yasaklayalım." CISO masaya vuruyor, "ChatGPT'yi güvenlik duvarında kapatın, iş bitsin" diyor. Kulağa mantıklı geliyor ama sahada bunun neredeyse hiç işe yaramadığını gördüm. Nedenini anlamak için önce çalışanların bu araçlara neden bu kadar hızlı sarıldığını anlamak lazım.

Kök nedenleri araştırmalar net gösteriyor. Birincisi hız: çalışanlar işlerini daha hızlı bitirmek istiyor. Örneğin sağlık sektörü yöneticilerinin yüzde 50'si onaysız yapay zeka kullanımının başlıca nedeni olarak hızı, yani daha hızlı iş akışlarını gösteriyor. İkincisi işlevsellik: çalışanların yüzde 27'si onaysız araçların, şirketin onayladığı araçlardan daha iyi işlev sunduğunu söylüyor. Yani mesele tembellik ya da kural tanımazlık değil; çalışan elindeki resmi araçla iki saatte yaptığı işi, kendi bulduğu araçla yirmi dakikada bitiriyor.

Şimdi bu tabloya yasak koyduğunuzda ne oluyor? Çalışan işten vazgeçmiyor, aracı gizlemeye başlıyor. Kurumsal ağda ChatGPT'yi kapattıysanız, kişisel telefonundan girer. Kurumsal hesabı kapattıysanız, kişisel Gmail'iyle kaydolur. Ve işte tam da o an, en tehlikeli senaryo devreye girer: veri, artık sizin hiçbir kontrolünüzün olmadığı, hiçbir log tutamadığınız, hiçbir sözleşmeyle bağlamadığınız bir kanaldan dışarı akar. Yasak, gölge yapay zekayı yok etmez; onu daha da derin bir gölgeye iter.

Bu yüzden ben müşterilerime hep şunu söylüyorum: gölge yapay zeka bir yasaklama problemi değil, bir arz-talep problemidir. Çalışanın bir ihtiyacı var (hız, işlevsellik), siz bu ihtiyacı güvenli bir kanaldan karşılamazsanız, o çalışan ihtiyacını güvensiz bir kanaldan karşılar. Yönetişimin işi talebi yok etmek değil, o talebi güvenli bir arza yönlendirmektir.

Yöneticilerle konuşurken soyut "risk" kelimesi kimseyi harekete geçirmiyor. Bilanço rakamı geçirir. O yüzden gölge yapay zekanın maliyetini somutlaştıralım.

Öncelikle ihlal maliyeti. Araştırmalar gölge yapay zekanın, ortalama bir veri ihlalinin maliyetine yaklaşık 670.000 dolar eklediğini gösteriyor. Yani zaten pahalı olan bir veri ihlali, içinde gölge yapay zeka faktörü varsa üstüne çeyrek milyon doların üzerinde ek yük bindiriyor. Neden? Çünkü izinsiz araçlar üzerinden sızan verinin nereye gittiğini, kimin eline geçtiğini, hangi modelin eğitim setine karıştığını tespit etmek çok daha zor ve uzun.

İkincisi iç tehdit riski. Yapay zeka ihmalinden kaynaklanan içeriden gelen risklerin kuruluşlara yıllık maliyeti yaklaşık 10,3 milyon dolar olarak hesaplanıyor. Dikkat edin, buradaki kelime "ihmal" — yani kötü niyetli bir sızıntıdan değil, iyi niyetli ama dikkatsiz çalışanların yaptığı hatalardan bahsediyoruz. En çok zararı kötü adam değil, işini iyi yapmaya çalışan iyi çalışan veriyor.

Üçüncüsü ihlal sıklığı. Ortalama bir kurumsal ortam, ayda yaklaşık 223 yapay zeka ilişkili veri politikası ihlali yaşıyor. Bunu günlük ortalamaya vurun: her iş günü, kurumunuzda ortalama on kez birisi bir veri politikasını yapay zeka aracılığıyla çiğniyor. Ve bunların çoğunu göremiyorsunuz bile.

Metrik	Değer	Ne anlama geliyor
Onaysız araç kullanan çalışan	%80+	Sorun istisna değil, norm
İzlenen üretken YZ uygulaması	665	Kontrol yüzeyi devasa
Kapsamlı görünürlüğe sahip kurum	%25	Dördün üçü karanlıkta
Gölge YZ'nin ihlale eklediği maliyet	~670.000 $	İhlal daha pahalı
YZ ihmali kaynaklı iç tehdit	~10,3 M$/yıl	En büyük zarar iyi niyetli
Aylık YZ veri politikası ihlali	~223	Günde ~10 ihlal

Bu rakamlara bir de yönetişim boşluğunu ekleyin, tablo iyice netleşiyor. Kuruluşların yalnızca yüzde 37'sinin yapay zeka yönetişim politikası var. Yüzde 80'i üretken yapay zeka üzerinden veri sızmasından endişe ediyor ama yüzde 60'ının bu konuda hiçbir özel stratejisi yok. Ve yalnızca yüzde 40'ı yapay zeka destekli tehditlere tam anlamıyla hazır hissediyor kendini. Yani ortada büyük bir farkındalık var ama farkındalıkla eylem arasında dev bir uçurum duruyor. Herkes endişeli, çok azı hazırlıklı.

Şimdi meseleyi Türkiye zeminine oturtalım, çünkü küresel rakamlar güzel ama sahada oynadığımız oyun yerel kurallarla oynanıyor.

KVKK açısından gölge yapay zekanın en sinsi noktası şu: veri sorumlusu olarak siz, çalışanınızın halka açık bir chatbota yapıştırdığı her kişisel veriden sorumlusunuz. Bir müşteri hizmetleri temsilcisi, şikayeti çözmek için müşterinin adını, telefonunu, sipariş geçmişini bir yapay zeka aracına yapıştırıp "buna nazik bir yanıt yaz" dediğinde, o an bir veri aktarımı gerçekleşiyor. Çoğu zaman yurt dışına, çoğu zaman açık rıza olmadan, çoğu zaman hiçbir aydınlatma metni sunulmadan.

KVKK'nın gözünde bu durum birden fazla ihlal doğurabilir. Bir, verinin işlenme amacı dışında bir üçüncü tarafa aktarılması söz konusu. İki, yurt dışına aktarım kuralları çiğnenmiş olabilir. Üç, veri güvenliğini sağlama yükümlülüğü ihlal edilmiş sayılabilir; çünkü verinin nereye gittiğini bilmiyorsunuz. Ve unutmayın, KVKK'da idari para cezaları verinin sızıp sızmadığına değil, gerekli tedbirlerin alınıp alınmadığına bakar. Yani "hiçbir şey olmadı, veri kötüye kullanılmadı" savunması sizi kurtarmaz; "verinin izinsiz araca gitmesini engelleyecek tedbiri almadınız" tespiti yeter.

"

KVKK'da mesele "kötü bir şey oldu mu" değil, "kötü bir şey olmasını engelleyecek tedbiri aldınız mı" sorusudur. Gölge yapay zeka, tam da bu tedbir yükümlülüğünün en zayıf halkasıdır.

Buraya EU AI Act baskısını da ekleyin. Ağustos 2026'da devreye giren denetim ve yaptırım rejimiyle birlikte, Avrupa'ya hizmet ve ürün satan Türk şirketleri için yapay zeka kullanımının şeffaflığı ve hesap verebilirliği artık bir tercih değil, bir zorunluluk. Bir sisteminizin çıktısı Avrupa pazarına dokunuyorsa, o sistemin nasıl çalıştığını, hangi verilerle beslendiğini belgelendirebilmeniz gerekiyor. Ama çalışanlarınız gölge araçlarla iş yapıyorsa, siz bu belgelendirmeyi asla yapamazsınız; çünkü hangi verinin hangi araca gittiğini bilmiyorsunuz. Gölge yapay zeka, EU AI Act uyumunun altını sessizce oyar.

Bu tabloda en çarpıcı değişimlerden biri CISO rolünün dönüşümü. Eskiden CISO bir güvenlik kapı bekçisiydi: "hayır" demek onun işiydi, riskli olanı engellemek, kapatmak, izin vermemek. Ama gölge yapay zeka çağında bu rol artık işlemiyor. Çünkü "hayır" diyen CISO, gölge yapay zekayı görünürlükten çıkarıp derinleştiren CISO oluyor.

Sahada gördüğüm dönüşüm şu: CISO, güvenlik kapı bekçiliğinden yapay zeka yönetişim sahipliğine geçiyor. Yani artık işi "engellemek" değil, "güvenli kullanımı mümkün kılmak." Bu çok farklı bir zihniyet. Kapı bekçisi trafiği durdurur; yönetişim sahibi trafiği güvenli şeritlere yönlendirir. Ve bununla birlikte hesap verebilirlik yönetim kurulu seviyesine çıkıyor. Artık "BT bir şey yapsın" denip geçilemiyor; yapay zeka yönetişimi bir üst düzey yönetim sorumluluğu haline geliyor.

Bu, CTO, CDO, CISO ve CEO arasında yeni bir iş bölümü gerektiriyor. CISO riski ve güvenliği sahipleniyor; CDO veri sınıflandırması ve veri yönetişimini; CTO onaylı araç altyapısını ve entegrasyonu; CEO ise hesap verebilirliğin en tepedeki sahibi oluyor. Bu roller birbirine geçtiğinde gölge yapay zeka yönetilebilir hale geliyor; ayrıştığında herkes bir diğerinin bir şey yapmasını bekliyor ve kimse bir şey yapmıyor.

Şimdi işin can alıcı kısmına gelelim. Gölge yapay zekayı boğmadan nasıl yönetirsiniz? Sahada işe yaradığını gördüğüm çerçeveyi altı adımda anlatayım. Bu adımların sırası önemli; birçok kurum ortadan başlıyor ve bu yüzden başarısız oluyor.

1. Keşif ve envanter: önce göreni yönet

Her şey görünürlükle başlar. Hangi araçların, kimler tarafından, hangi verilerle kullanıldığını bilmeden hiçbir politika işe yaramaz. Bu yüzden ilk adım keşiftir: ağ trafiğini, bulut erişim loglarını, tarayıcı eklentilerini, ödeme kayıtlarını (birçok çalışan yapay zeka aboneliğini kişisel kartıyla alıp masraf olarak yazdırıyor) tarayarak kurumunuzda gerçekte hangi yapay zeka araçlarının kullanıldığını çıkarın. Çoğu yöneticinin bu envanteri ilk gördüğünde verdiği tepki hep aynı: "Bu kadar çok mu?" Evet, o kadar çok. Ve göremediğinizi yönetemezsiniz.

2. Kabul edilebilir kullanım politikası: kuralı netleştir

Envanteri çıkardıktan sonra, net bir kabul edilebilir kullanım politikası (acceptable use policy) yazın. Ama dikkat: bu politika bir yasak listesi değil, bir rehber olmalı. Neyin serbest, neyin onaya tabi, neyin kesinlikle yasak olduğunu somut örneklerle anlatın. "Müşteri kişisel verisini hiçbir halka açık yapay zeka aracına yapıştırmayın" gibi net, uygulanabilir kurallar koyun. Soyut "dikkatli olun" cümleleri kimseyi yönlendirmez; somut senaryolar yönlendirir.

3. Veri sınıflandırması: neyin nereye gidebileceğini tanımla

Politikanın kalbi veri sınıflandırmasıdır. Hangi veri hangi araca gidebilir? Halka açık pazarlama metni bir chatbota gidebilir; müşteri kişisel verisi gidemez; finansal tablolar gidemez; kaynak kod belki sadece kurumsal sözleşmeli bir araca gidebilir. Bu sınıflandırmayı yapmadan hiçbir DLP kuralı anlamlı olmaz. Çalışan da böylece net bilir: "Bu veri yeşil, şu veri kırmızı." Belirsizlik en büyük düşman; netlik en büyük dost.

4. Onaylı araç kataloğu: talebi güvenli arza yönlendir

İşte en kritik adım, çünkü diğer her şeyin başarısı buna bağlı. Çalışanların kendi buldukları araçlarla eşleşen, hatta onlardan daha iyi olan onaylı araçlar sunun. Yasaklamak yerine, güvenli bir alternatif koyun masaya. Kurumsal sözleşmeli, veri işleme garantili, log tutulabilir, denetlenebilir bir yapay zeka araç kataloğu oluşturun. Çalışan hız istiyorsa hızlı bir araç verin; işlevsellik istiyorsa işlevsel bir araç verin. Unutmayın, çalışanların yüzde 27'si onaysız araçları "daha iyi işlev sunduğu" için kullanıyor. Onlara daha iyisini verirseniz, gölgeye kaçmalarına gerek kalmaz.

"

Gölge yapay zekayı yasakla yenemezsiniz; onu daha iyi bir alternatifle yenersiniz. Çalışan güvenli araç ile güvensiz araç arasında seçim yaparken, güvenli olanı daha kullanışlı bulursa gölge kendiliğinden erir.

5. DLP ve teknik kontroller: güvenlik ağını ger

Politika ve katalog yerindeyse, teknik kontrolleri devreye alın. Veri kaybı önleme (DLP) araçları, hassas verinin onaysız kanallara akmasını gerçek zamanlı yakalar ve engeller. Tarayıcı tabanlı kontroller, çalışanın bir chatbota müşteri verisi yapıştırmaya çalıştığı anda uyarı verebilir ya da engelleyebilir. Ama dikkat: DLP tek başına çözüm değil, güvenlik ağıdır. Önce kültürel ve süreçsel çözümü kurun, sonra teknik ağı gerin. Sadece DLP'ye güvenen kurumlar, çalışanların yaratıcı kaçış yolları bulduğunu görüyor.

6. Eğitim ve hızlı onay hattı: insanı yanınıza al

Son ve belki en önemli adım: eğitim ve hızlı bir onay hattı. Çalışanlara neden bazı verilerin riskli olduğunu, bir chatbota yapıştırdıkları verinin nereye gidebileceğini gerçek örneklerle anlatın. Korkutarak değil, anlayarak. Ve kritik olan şu: yeni bir araç kullanmak isteyen çalışan için hızlı bir onay hattı kurun. Eğer bir çalışan yeni bir yapay zeka aracını kullanmak için altı hafta beklemek zorundaysa, o beklemez, gölgeye kaçar. Onay süreci ne kadar hızlıysa, gölge yapay zeka o kadar azalır. Bürokrasi gölgeyi besler; çeviklik gölgeyi kurutur.

Gölge yapay zeka her sektörde var ama her sektörde farklı bir yüzle karşınıza çıkıyor; bunu görmek doğru önceliklendirme için şart. Finans sektöründe en büyük risk müşteri finansal verisinin ve içeriden bilgi niteliğindeki analizlerin halka açık araçlara sızması. Bir portföy yöneticisi bir yatırım tezini bir chatbota yazdırdığında, hem KVKK hem de sektörel gizlilik yükümlülükleri aynı anda tehlikeye giriyor. Burada onaylı, kurumsal sözleşmeli araçlara geçiş öncelik olmalı.

Sağlık sektöründe tablo daha da hassas, çünkü söz konusu olan özel nitelikli kişisel veri, yani sağlık verisi. Yöneticilerin yüzde 50'sinin hız gerekçesiyle onaysız araç kullandığı bir ortamda, bir hasta kaydının özetlenmek üzere bir chatbota yapıştırılması hem KVKK'nın en ağır cezalarını hem de ciddi bir güven kaybını tetikleyebilir. Sağlıkta çözüm, hızı öldürmeden hız sağlayan onaylı araçlar sunmaktan geçiyor; çünkü çalışanın ihtiyacı gerçek ve acil.

Üretim ve teknoloji şirketlerinde ise en kritik risk fikri mülkiyet: kaynak kodu, tasarım dosyaları, patent öncesi bilgi. Bir mühendis bir kod parçasını bir yapay zeka aracına yapıştırıp "bunu optimize et" dediğinde, şirketin en değerli varlığı kontrolsüz bir kanaldan dışarı çıkabiliyor. Burada veri sınıflandırması ve teknik kontroller özellikle sıkı olmalı.

Ortak nokta şu: her sektörde çalışan aynı sebeple gölgeye kaçıyor — işini daha hızlı ve daha iyi yapmak istiyor. Farklı olan, sızması halinde en çok neyin acıtacağı. Doğru yönetişim, kendi sektörünüzün en hassas veri türünü tanımlamakla ve önceliği oraya vermekle başlar. Genel bir politika herkese uyar ama hiçbir sektörü tam korumaz; sektörünüze özel risk haritası ise sizi gerçekten korur. Bu yüzden ben danışmanlıkta her zaman kurumun kendi sektörel gerçeğinden yola çıkmasını öneriyorum: önce hangi verinin sizin için hayati olduğunu netleştirin, sonra o verinin gölge araçlara akmasını engelleyecek özel kontrolleri kurun. Kopyala-yapıştır bir yönetişim çerçevesi kâğıt üzerinde iyi durur ama sahada ilk ciddi olayda çöker; sektörünüzün diline ve riskine göre uyarlanmış bir çerçeve ise gerçek koruma sağlar.

Danışmanlıkta en sık aldığım soru şu: "Bunu yönetim kuruluna nasıl anlatırım?" Çünkü teknik ekip riski görüyor ama yönetim kurulu bütçe ayırmıyor. İşte kullandığım anlatım.

Yönetim kuruluna gölge yapay zekayı bir güvenlik sorunu olarak değil, bir yönetişim ve rekabet sorunu olarak sunun. Şöyle deyin: "Çalışanlarımızın yüzde 80'i zaten yapay zeka kullanıyor. Soru 'kullanacaklar mı' değil, 'kontrollü mü kontrolsüz mü kullanacaklar' sorusudur. Şu an kontrolsüz kullanıyorlar ve bu bize ihlal başına 670 bin dolar ek maliyet, yılda 10 milyon doların üzerinde iç tehdit riski getiriyor. Biz bu enerjiyi yasaklayarak yok edemeyiz; ama güvenli bir çerçeveye alarak hem riski düşürür hem de verimliliği artırırız."

Bu anlatım işe yarıyor çünkü yönetim kurulunun diline konuşuyor: risk ve fırsat. Gölge yapay zeka hem bir risktir hem de bastırılmış bir verimlilik talebinin işaretidir. Doğru yönetilirse, o talep kurumun en büyük yapay zeka dönüşüm motoruna dönüşür. Yanlış yönetilirse, en büyük yasal ve itibar riskine.

Yöneticiler bana sık sık "biz gölge BT'yi yönetmeyi öğrenmiştik, bunu da benzer şekilde yönetiriz" diyor. Kısmen haklılar ama önemli bir farkı gözden kaçırıyorlar. Gölge BT çağında bir çalışan izinsiz bir yazılım kullandığında, o yazılımın ne yaptığı az çok belliydi: bir dosya paylaşım servisi dosya paylaşıyordu, bir proje aracı görev takip ediyordu. Riskin sınırları çizilebiliyordu.

Gölge yapay zekada durum farklı. Bir çalışan bir dil modeline veri yapıştırdığında, o verinin nereye gittiği, saklanıp saklanmadığı, modelin eğitim setine karışıp karışmadığı çoğu zaman belirsiz. Aynı araç bir gün bir metni özetliyor, ertesi gün bir kararı otomatikleştiriyor, sonraki gün müşteriyle doğrudan konuşuyor. Kullanım alanı akışkan, çıktı öngörülemez, risk yüzeyi sürekli değişiyor. Gölge BT statik bir riskti; gölge yapay zeka dinamik bir risk.

İkinci fark benimseme hızı. Gölge BT yıllara yayılan bir olguydu; bir servis popülerleşiyor, yavaş yavaş yayılıyordu. Yapay zeka araçları ise haftalar içinde bir kurumun her köşesine sızıyor. Bir çalışan bir aracı beğeniyor, ekip toplantısında bahsediyor, iki hafta sonra tüm departman kullanıyor. Bu hızda, yıllık BT denetim döngüleriyle yetişmek imkânsız. Yönetişimin de bu hıza ayak uydurması, yani sürekli ve gerçek zamanlı olması gerekiyor.

Üçüncü fark hesap verebilirliğin ağırlığı. Gölge BT'de en kötü senaryo genellikle bir veri sızıntısıydı. Gölge yapay zekada ise buna bir de otomatik karar verme riski ekleniyor: izinsiz bir araç bir işe alım kararına, bir kredi değerlendirmesine, bir müşteri sınıflandırmasına karışırsa, artık sadece veri güvenliği değil, ayrımcılık ve temel haklar da masaya geliyor. Ve EU AI Act tam da bu noktaya odaklanıyor.

Sahada gördüğüm en büyük hatalardan biri, kurumların gölge yapay zeka programını başlatıp sonra hiç ölçmemesi. Oysa yönetişim bir kerelik proje değil, sürekli bir disiplin. İzlemenizi önerdiğim birkaç somut metrik var.

Birincisi görünürlük oranı: kullanımda olduğunu tespit ettiğiniz araç sayısının, gerçekte kullanıldığını tahmin ettiğiniz araç sayısına oranı. Bu oran yükseldikçe karanlık alan küçülür. Başlangıçta kurumların çoğu yüzde 25 civarında; hedef bunu zamanla yükseltmek.

İkincisi onaylı araç benimseme oranı: çalışanların, onaysız araçlar yerine onaylı kataloğdaki araçları kullanma oranı. Bu oran gölge yapay zeka stratejinizin gerçek başarı ölçütüdür. Yüksekse, çalışanlar güvenli arza yöneliyor demektir; düşükse, katalogunuz çalışanın ihtiyacını karşılamıyor demektir.

Üçüncüsü onay hızı: bir çalışanın yeni bir araç talep etmesiyle onay alması arasında geçen ortalama süre. Bu süre uzadıkça gölgeye kaçış artar. Günlerle ölçülüyorsa iyisiniz; haftalarla ölçülüyorsa gölge yapay zeka büyüyor demektir.

Dördüncüsü politika ihlali eğilimi: aylık yapay zeka veri politikası ihlallerinin zaman içindeki trendi. Ortalama kurum ayda 223 ihlal yaşıyor; sizin hedefiniz bu sayıyı ay ay düşürmek. Trend düşüyorsa program çalışıyor, yükseliyorsa bir şeyler ters gidiyor.

Metrik	Neyi gösterir	İyi yön
Görünürlük oranı	Karanlık alanın büyüklüğü	Yükseliş
Onaylı araç benimseme	Güvenli arza geçiş	Yükseliş
Onay hızı	Bürokrasi baskısı	Düşüş (gün)
İhlal eğilimi	Program etkinliği	Düşüş

Bu metrikleri üç ayda bir yönetim kuruluna raporlayın. Çünkü ölçülen şey yönetilir, raporlanan şey ciddiye alınır. Gölge yapay zeka programınızın sürdürülebilir olması, ancak bu ölçüm disiplinini kurmanızla mümkün.

Teoriyi bırakıp somut bir başlangıç planı vereyim, çünkü en çok ihtiyaç duyulan şey ilk adımın ne olduğu.

İlk 30 gün: keşif. Kurumunuzda gerçekte hangi yapay zeka araçlarının kullanıldığını çıkarın. Ağ loglarını, bulut erişimini, masraf kayıtlarını tarayın. Envanteri yönetim kuruluna sunun; çünkü tablonun gerçek boyutunu görmeden kimse bütçe ayırmaz.

30-60 gün: politika ve sınıflandırma. Kabul edilebilir kullanım politikasını yazın, veri sınıflandırmasını netleştirin. Hangi veri hangi araca gidebilir, somut olarak tanımlayın. KVKK ve EU AI Act yükümlülüklerini bu politikaya gömün.

60-90 gün: onaylı katalog ve hızlı onay hattı. Çalışanların bulduğu araçlarla eşleşen onaylı bir araç kataloğu yayınlayın. DLP kontrollerini devreye alın. Ve en önemlisi, yeni araç onayı için haftalar değil günler süren bir hızlı hat kurun. Eğitimi başlatın.

Bu 90 günün sonunda gölge yapay zeka tamamen bitmez; hiçbir zaman bitmez. Ama görünür hale gelir, yönetilebilir hale gelir ve en tehlikeli kanallardan güvenli kanallara kayar. Ben sahada defalarca gördüm: doğru çerçeve kurulduğunda çalışanlar gölgeden çıkmaktan memnun oluyor, çünkü çoğu zaten kural çiğnemek değil, sadece işini iyi yapmak istiyordu. Onlara güvenli bir yol gösterdiğinizde o yolu seçiyorlar. Gölge yapay zekayı yönetmek, aslında çalışanlarınızın zaten yapmak istediği şeyi güvenli hale getirmektir. İşte bu yüzden bu bir yasaklama değil, bir liderlik meselesidir; ve liderlik, ilk adımı atmakla başlar.