Shadow AI: Çalışanların Gizli Yapay Zeka Kullanımını Yönetmek

TL;DR — Şirketinizde "yapay zeka kullanmıyoruz" diyorsanız, muhtemelen yanılıyorsunuz. Çalışanlarınızın büyük bir kısmı zaten ChatGPT, Claude, Gemini veya benzeri araçları kullanıyor — sadece siz görmüyorsunuz. Buna "gölge yapay zeka" (shadow AI) diyoruz ve bu, BT departmanının onayı, gözetimi veya bilgisi olmadan gerçekleşen bir kullanım biçimi. Bu yazıda gölge AI'ın neden bu kadar hızlı yayıldığını, gerçek risklerin ne olduğunu, yasaklamanın neden işe yaramadığını ve bunun yerine kurmanız gereken yönetişim-öncelikli yaklaşımı anlatıyorum. Onaylı araç seçiminden veri sınıflandırmasına, KVKK'nın Mart 2026'da yayımladığı "İş Yerlerinde Üretken Yapay Zeka Araçlarının Kullanımı" rehberine kadar somut bir yol haritası bulacaksınız. Amaç yasaklamak değil, güvenli ve şeffaf bir kullanım kültürü inşa etmek.

Danışmanlık yaptığım hemen her kurumda aynı sahneyi görüyorum. Yönetim kurulu toplantısında CIO veya CDO "yapay zeka stratejimiz henüz olgunlaşmadı, pilot aşamadayız" diyor. Sonra aynı gün, o şirketin pazarlama ekibinden bir arkadaşım bana WhatsApp'tan "bugün ChatGPT'ye kampanya metnini yazdırdım, harika oldu" diye yazıyor. İkisi de doğru. Kurumsal strateji hâlâ pilot aşamasında olabilir, ama saha gerçeği çoktan ilerlemiş durumda.

İşte "gölge yapay zeka" tam olarak bu boşlukta yaşıyor: çalışanların, kurumun resmi olarak onaylamadığı, satın almadığı veya bilgisi dahilinde olmayan yapay zeka araçlarını iş süreçlerinde kullanmasıdır. Tıpkı "gölge BT" (shadow IT) kavramında olduğu gibi — çalışanların kurumsal onay almadan kişisel Dropbox hesapları veya onaysız SaaS araçları kullanması gibi — burada da mesele aynı: ihtiyaç var, resmi çözüm yok veya yavaş, çalışan da kendi çözümünü buluyor.

Bu patlamanın arkasında birkaç somut dinamik var:

Erişim engeli neredeyse sıfıra indi. On yıl önce bir çalışanın "gölge" bir araç kullanabilmesi için IT'yi atlatması, bir yazılım kurması, belki de bir onay süreci gerekiyordu. Bugün bir tarayıcı sekmesi açmak ve ücretsiz bir hesap oluşturmak yeterli. Kurumsal güvenlik duvarları web tabanlı sohbet arayüzlerini genellikle engellemiyor, çünkü bunlar "zararlı" olarak sınıflandırılmıyor — sadece "onaysız" oluyorlar, ki bu ayrım çoğu güvenlik aracı için henüz net değil.

Prodüktivite baskısı gerçek ve artıyor. Yöneticiler ekiplerden "daha hızlı, daha az kaynakla, daha çok çıktı" bekliyor. Çalışan bir rapor taslağını iki saatte değil on dakikada bitirebiliyorsa ve elindeki araç bunu sağlıyorsa, o aracı kullanacaktır — kurumsal politika buna izin versin ya da vermesin. Ben bunu bir isyan olarak görmüyorum; bir hayatta kalma stratejisi olarak görüyorum. Çalışan, kendisinden beklenen performansı yakalamak için elindeki en etkili aracı kullanıyor.

Kurumsal çözümler yavaş kalıyor. BT ve güvenlik ekipleri, kurumsal düzeyde bir yapay zeka aracını değerlendirmek, güvenlik testinden geçirmek, sözleşme müzakere etmek ve devreye almak için aylar harcıyor — bazen haklı olarak, çünkü veri güvenliği ciddiye alınması gereken bir konu. Ama bu süre zarfında çalışan bekleyemiyor. İş hayatının temposu, kurumsal tedarik süreçlerinin temposunu geride bırakmış durumda.

Genel farkındalık ve merak da bir faktör. Yapay zeka araçları artık medyada, sosyal medyada, günlük sohbetlerde her yerde. Bir çalışan evde kişisel projesinde kullandığı bir aracı işe getirmesi çok doğal bir davranış biçimi — tıpkı kişisel telefonunu işe getirmesi gibi.

Sonuç: gölge AI, kötü niyetli bir davranış değil, çözülmemiş bir ihtiyacın doğal sonucu. Bunu bir disiplin sorunu gibi ele alan yöneticiler genellikle yanlış çözüme (yasaklama) yöneliyor ve durumu daha da kötüleştiriyor. Az sonra bunun neden işe yaramadığını detaylı anlatacağım.

Burada net olmak istiyorum: sorun, çalışanın yapay zeka kullanması değil. Sorun, bu kullanımın nerede, nasıl ve hangi veriyle gerçekleştiğinin görünür olmaması. Riskleri dört ana başlıkta topluyorum.

Veri Sızıntısı

Bu, benim gördüğüm en somut ve en sık karşılaşılan risk. Bir çalışan bir sözleşme taslağını özetletmek için tüketici sınıfı bir yapay zeka aracına yapıştırıyor. Bir müşteri temsilcisi, bir şikayet e-postasına daha iyi yanıt yazmak için müşterinin adını, telefon numarasını, şikayet detayını olduğu gibi kopyalayıp yapıştırıyor. Bir finans çalışanı, bütçe tablosunu "daha okunur hale getirmesi" için bir araca aktarıyor. Bir İK uzmanı, işten çıkarma sürecindeki bir çalışanın performans notlarını "profesyonel bir dille yeniden yazması" için kullanıyor.

Bu örneklerin hepsinde ortak nokta şu: kurumsal veri, kurumun kontrolü dışındaki bir üçüncü tarafın sunucularına gönderiliyor. Bu verinin nerede saklandığı, ne kadar süre tutulduğu, modelin eğitiminde kullanılıp kullanılmadığı, kimlerin erişebileceği — bunların hiçbiri çalışanın umurunda değil, çünkü çalışan sadece işini kolaylaştırmaya çalışıyor. Ama bu sorular, kurum için hayati önem taşıyor.

Uyum ve Regülasyon Riski

Türkiye'de faaliyet gösteren her kurum için KVKK (Kişisel Verilerin Korunması Kanunu) kapsamındaki yükümlülükler burada devreye giriyor. Bir çalışan, açık rıza veya başka bir hukuki dayanak olmadan bir müşterinin veya başka bir çalışanın kişisel verisini üçüncü taraf bir yapay zeka aracına aktardığında, kurum potansiyel olarak bir veri ihlali riskiyle karşı karşıya kalıyor. Bu konuya birazdan ayrı bir başlıkta daha derinlemesine gireceğim, çünkü Türkiye özelinde önemli bir gelişme var.

Sektöre göre değişen ek katmanlar da mevcut: finans sektöründe BDDK ve MASAK düzenlemeleri, sağlıkta hasta mahremiyeti yükümlülükleri, kamu kurumlarında ayrı veri güvenliği standartları. Avrupa pazarına hizmet veren şirketler için ise AB Yapay Zeka Yasası (EU AI Act) kapsamındaki şeffaflık yükümlülükleri de gündeme geliyor — özellikle yapay zeka ile üretilmiş içeriğin müşteriye veya kullanıcıya bildirilmesi gerekliliği.

Çıktı Kalitesinde Tutarsızlık

Bu risk daha az konuşuluyor ama ben sahada en az veri sızıntısı kadar sık görüyorum. Farklı departmanlar farklı araçlar, farklı promptlar, farklı doğrulama alışkanlıklarıyla çalışınca, kurumun ürettiği içerik ve kararlar tutarsızlaşıyor. Bir ekip yapay zekanın ürettiği metni olduğu gibi kullanıyor, bir başkası titizlikle düzenliyor. Bir analist yapay zekanın önerdiği sayıyı sorgulamadan rapora koyuyor — halüsinasyon riski gerçek ve model bazen kendinden emin bir şekilde yanlış bilgi üretebiliyor. Bu tutarsızlık, marka sesinden karar kalitesine kadar her şeyi etkiliyor ve fark edilmesi genellikle bir hata yaşandıktan sonra oluyor.

Fikri Mülkiyet ve Gizlilik

Şirketinizin stratejik planını, henüz patenti alınmamış bir ürün tasarımını, rakip analizinizi veya fiyatlandırma modelinizi bir tüketici sınıfı yapay zeka aracına yapıştırdığınızda, bu bilginin gizliliğini koruma konusunda artık tam kontrolünüz yok demektir. Bazı araçların kullanım koşulları, girdilerin model eğitiminde kullanılabileceğini belirtiyor (ayarlarla kapatılabilse de, çalışan bunu bilmiyor veya değiştirmiyor olabilir). Bir danışmanlık müşterisiyle konuştuğumda, ekibin bir M&A görüşmesinin taslak koşullarını "daha profesyonel bir dille yazması" için genel amaçlı bir sohbet aracına yapıştırdığını öğrendiğimde gerçekten endişelenmiştim. O bilgi artık sadece o toplantı odasında değildi.

Birçok yönetici, bu riskleri duyduğunda ilk refleks olarak "o zaman yasaklayalım" diyor. Ben bu tepkiyi anlıyorum — sorumluluk hissi doğal. Ama saha deneyimim şunu gösteriyor: yasaklama, sorunu çözmüyor, sadece görünmez kılıyor. Ve görünmez olan risk, yönetilemeyen risktir.

Birkaç sebep var. Birincisi, teknik olarak yasaklamak neredeyse imkansız. Kurumsal ağda bir yapay zeka aracını engellerseniz, çalışan kişisel telefonundan, ev bilgisayarından veya VPN üzerinden erişir. Engellediğiniz araç yerine bir başkasını bulur — piyasada onlarca alternatif var ve her hafta yenisi çıkıyor. Bu bir kedi-fare oyunu ve fare her zaman kazanıyor, çünkü fare motivasyonu yüksek (işini bitirmek istiyor) ve kedi kaynakları sınırlı (güvenlik ekibi her yeni aracı takip edemez).

İkincisi, yasaklama en yetenekli ve en girişken çalışanlarınızı cezalandırıyor. Bir yapay zeka aracını verimli kullanmayı öğrenen çalışan genellikle işine en çok değer katan, en meraklı, en üretken kişidir. Onu yasakla köşeye sıkıştırırsanız iki şey olur: ya gizlice kullanmaya devam eder (ve şimdi bunu saklıyor, bu da riski artırıyor çünkü artık sizinle konuşmuyor) ya da gerçekten kullanmayı bırakır ve rekabet gücünü kaybeder. İkisi de kurumun çıkarına değil.

Üçüncüsü, ve bence en kritik olanı: yasaklama, şeffaflığı öldürüyor. Bir çalışan yapay zeka kullandığını itiraf ettiğinde disipline edileceğini biliyorsa, bir daha asla itiraf etmez. Bu da demek oluyor ki, en çok ihtiyaç duyduğunuz bilgi — kim, hangi aracı, hangi veriyle, hangi amaçla kullanıyor — sizden saklanıyor. Yönetişim kurmak için önce görünürlük gerekiyor, görünürlük için de güven gerekiyor, güven de cezalandırma korkusuyla bir arada var olamıyor.

Ben müşterilerime hep şunu söylüyorum: "Yasaklamak sizi güvende hissettirir, ama güvende olduğunuz anlamına gelmez." Gerçek güvenlik, kullanımı görünür kılmaktan ve yönlendirmekten geçiyor — engellemekten değil.

Buraya kadar anlattıklarımdan çıkan sonuç net: gölge AI'ı ortadan kaldıramazsınız, ama yönetebilirsiniz. Yönetişim-öncelikli (governance-first) yaklaşım, çalışanın ihtiyacını karşılayan, güvenli ve şeffaf bir alternatif sunarak "gölgeyi" "aydınlığa" çıkarmayı hedefliyor. Bunun altı somut bileşeni var.

1. Onaylı Araç Setini Belirleyin

İşe, "hiçbir şey kullanmayın" demekle değil, "şunları kullanabilirsiniz" demekle başlayın. Kurumunuzun ihtiyaçlarına göre bir veya birkaç kurumsal düzey yapay zeka aracını değerlendirin ve resmi olarak onaylayın. Kriterleriniz arasında şunlar olmalı: verinin model eğitiminde kullanılmaması garantisi, veri işleme sözleşmesi (DPA) imzalanabilmesi, verinin nerede barındırıldığının netliği, erişim kontrolü ve loglama imkânları, KVKK ve varsa sektörel regülasyonlara uyum beyanı.

Burada önemli bir nokta: tek bir araç dayatmak yerine, farklı iş birimlerinin farklı ihtiyaçları olabileceğini kabul edin. Yazılım ekibi bir kod asistanına ihtiyaç duyarken, pazarlama ekibi bir içerik aracına, müşteri hizmetleri ise bir konuşma asistanına ihtiyaç duyabilir. Onaylı liste esnek ama net olmalı.

2. Açık Bir Kabul Edilebilir Kullanım Politikası (AUP) Yazın

Politika, hukuk departmanının çekmecesinde kalan on sayfalık bir belge olmamalı. Çalışanın anlayacağı dilde, somut örneklerle yazılmış, iki sayfayı geçmeyen bir doküman olmalı. Şunları net olarak cevaplamalı: Hangi araçlar onaylı? Hangi veri türleri hiçbir koşulda dışarıya yapıştırılamaz? Yapay zeka çıktısı ne zaman ve nasıl doğrulanmalı? Bir çalışan onaylı olmayan bir araç kullanmak istediğinde ne yapmalı (ceza değil, başvuru süreci)? İhlal durumunda süreç nasıl işler?

Ben müşterilerime bu politikayı yazarken şu ilkeyi öneriyorum: politika, "hayır" demek için değil, "nasıl evet diyebiliriz" sorusuna cevap vermek için var olmalı.

3. Veri Sınıflandırması Yapın

Bu, belki de en somut ve en hızlı uygulanabilir adım. Çalışanların "bunu yapıştırabilir miyim?" sorusuna kendi başlarına cevap verebilmesi için basit bir sınıflandırma tablosu gerekiyor. Karmaşık bir sistem kurmaya çalışmayın — üç veya dört seviyeli basit bir model yeterli:

Sınıf	Örnek Veri	Onaylı Kurumsal Araçlarda Kullanım	Tüketici Sınıfı (Ücretsiz) Araçlarda Kullanım
Herkese Açık	Basın bültenleri, kamuya açık pazarlama metinleri	Serbest	Serbest
İç Kullanım	Genel şirket içi süreç dokümanları, kimliksiz istatistikler	Serbest	Dikkatli, isimsizleştirilmiş veri ile
Gizli	Müşteri sözleşmeleri, finansal projeksiyonlar, stratejik planlar	Sadece onaylı kurumsal araçlarda, gözden geçirmeyle	Kesinlikle yasak
Kişisel / Özel Nitelikli Veri	Müşteri/çalışan kimlik bilgileri, sağlık verisi, performans değerlendirmeleri	Sadece açık hukuki dayanak ve DPA olan araçlarda	Kesinlikle yasak

Bu tabloyu duvarınıza asın demiyorum ama çalışanların erişebileceği bir intranet sayfasında, tek tıkla ulaşılabilir olmalı. Karmaşık olursa kimse kullanmaz.

4. Kurumsal / Özel Dağıtım Modellerine Geçin

Tüketici sınıfı ücretsiz araçlarla kurumsal/API tabanlı dağıtımlar arasındaki fark çoğu yönetici için net değil, ama bu fark kritik. Kurumsal anlaşmalar genellikle veri saklama sürelerini sınırlama, model eğitiminde veri kullanmama taahhüdü, özel bulut örnekleri (private/dedicated instance) ve sözleşmesel güvenceler sunuyor. Mümkünse, hassas iş yükleri için modeli kendi bulut ortamınıza (Azure OpenAI, AWS Bedrock, Google Vertex AI gibi) entegre etmeyi veya en azından kurumsal seviye API sözleşmesi imzalamayı değerlendirin. Bu, "yapay zeka kullanmayalım" ile "herkes istediği aracı kullansın" arasındaki en makul orta yol.

5. SSO ve Loglama

Onaylı araçlara kurumsal tek oturum açma (SSO) ile erişim sağlanması hem güvenlik hem görünürlük açısından kritik. SSO sayesinde kim, ne zaman, hangi araca eriştiğini görebilir, işten ayrılan bir çalışanın erişimini anında kapatabilir, ve anormal kullanım paternlerini (örneğin bir hesabın gece yarısı büyük miktarda veri yüklemesi) tespit edebilirsiniz. Loglama, "büyük birader" hissi vermek için değil; bir olay olduğunda neyin nerede olduğunu bilebilmek için gerekli. Şeffaf olun: çalışanlara loglamanın var olduğunu ve neden gerekli olduğunu açıkça anlatın. Gizli izleme, güveni yeniden inşa etmeye çalıştığınız bir ortamda tam tersi etki yaratır.

6. Eğitim ve Yetkinlendirme

Politika yazmak yetmiyor, çalışanın onu içselleştirmesi gerekiyor. Ben eğitimlerimde şunu gözlemliyorum: çalışanların büyük kısmı kötü niyetli değil, sadece bilgisiz. "Müşteri adını yapay zekaya yapıştırmak neden sorun?" sorusunu hiç düşünmemişler, çünkü kimse onlara sormamış. Kısa, pratik, örnek vaka temelli eğitimler (bir saatlik bir oturum bile) bu farkındalığı büyük ölçüde artırıyor. Eğitimi bir kerelik "tık tık onaylandı" formalitesine indirgemeyin; yılda en az bir kez tekrarlayın ve yeni işe başlayanların oryantasyonuna dahil edin.

Yönetemediğiniz şeyi göremezsiniz, göremediğiniz şeyi de yönetemezsiniz. Bu yüzden gölge AI ile mücadelenin ilk pratik adımı, mevcut durumu haritalamak — yani bir "yapay zeka kullanım envanteri" çıkarmak.

Bunu yaparken cezalandırıcı bir tavırdan kesinlikle kaçının. Anonim bir anket, departman liderleriyle açık sohbetler, ağ trafiği analizi (hangi yapay zeka alan adlarına ne sıklıkla erişiliyor) ve satın alma/masraf kayıtlarının (kim hangi yapay zeka aboneliğine kişisel kartıyla ödeme yapıp masraf olarak yazdırıyor) taranması gibi yöntemleri birlikte kullanın. Amaç bir "kim suçlu" listesi çıkarmak değil, gerçek kullanım haritasını görmek.

Bu envanterde şunları öğrenmeye çalışın: Hangi araçlar en yaygın kullanılıyor? Hangi departmanlar en yoğun kullanıcı? Kullanım amacı ne (içerik yazımı, kod, veri analizi, müşteri iletişimi)? Ne tür veri paylaşılıyor? Çalışanlar neden onaylı araçları değil de bu araçları tercih ediyor (eksik özellik, yavaşlık, bilgisizlik)?

Bu son soru aslında en değerli olanı. Çünkü genellikle cevap şu çıkıyor: "onaylı araç bizim işimizi görmüyor" veya "onaylı araçtan haberimiz bile yoktu." Bu, sizin yönetişim stratejinizdeki boşlukları doğrudan gösteriyor.

Envanter bir başlangıç noktası, sürekli bir süreç değil. Yönetişimin kalıcı olması için düzenli ölçüm ve izleme mekanizmaları kurmanız gerekiyor. Ben müşterilerime şu göstergeleri takip etmelerini öneriyorum:

• Onaylı araç benimseme oranı: Çalışanların ne kadarı onaylı araçları aktif kullanıyor (SSO giriş logları üzerinden).
• Onaysız araç trafiği: Ağ üzerinden tespit edilen onaysız yapay zeka alan adlarına erişim eğilimi — zamanla azalıyor mu, artıyor mu?
• Politika farkındalık oranı: Eğitim tamamlama oranları, anket sonuçları.
• İhlal ve olay sayısı: Veri güvenliği ekibine bildirilen yapay zeka ile ilişkili olaylar (ne kadar erken tespit ediliyor, ne kadar hızlı çözülüyor).
• Kullanıcı memnuniyeti: Onaylı araçların çalışan ihtiyaçlarını gerçekten karşılayıp karşılamadığı.

Bu göstergeleri üç ayda bir yönetim kuruluna veya ilgili komiteye raporlayın. Amaç bir "suçlu bulma" panosu değil, "yönetişimimiz ne kadar etkili" sorusuna cevap veren bir gösterge paneli oluşturmak. Zamanla onaysız araç trafiğinin düşmesi ve onaylı araç benimsemesinin artması, stratejinizin işe yaradığının en somut kanıtı olacak.

Politika ve teknoloji tek başına yeterli değil; kültür olmadan hiçbiri kalıcı olmaz. Ben sahada gördüğüm en başarılı örgütlerde ortak bir şey var: yapay zeka kullanımını itiraf etmek bir risk değil, bir katkı olarak görülüyor.

Bunu nasıl başarabilirsiniz? Birincisi, "amnesty" (af) yaklaşımıyla başlayın. Yeni politikayı duyururken, geçmişteki onaysız kullanım için ceza olmayacağını, bunun yerine bir öğrenme fırsatı olduğunu açıkça belirtin. Çalışanlar "itiraf edersem başım belaya girer mi" korkusu taşırsa, hiçbir zaman size gerçeği anlatmazlar.

İkincisi, yapay zekayı verimli ve güvenli kullanan çalışanları görünür kılın. İç iletişimde, "şu ekip yapay zekayı şu şekilde kullanarak şu süreci hızlandırdı" gibi başarı hikayelerini paylaşın. Bu, hem doğru kullanım kültürünü teşvik eder hem de "gizli kullanmak" yerine "açıkça paylaşmak" davranışını ödüllendirir.

Üçüncüsü, orta kademe yöneticileri sürece dahil edin. Çoğu zaman gölge AI, üst yönetimin göremediği ama orta kademe yöneticilerin gayet iyi bildiği bir gerçek. Onları politika oluşturma sürecine erken dahil ederseniz, hem daha gerçekçi bir politika çıkar hem de uygulamada destekçi bulursunuz.

Dördüncüsü, "hızlı hayır" kültüründen kaçının. Bir çalışan yeni bir araç önerdiğinde, değerlendirme sürecinin makul bir sürede (haftalar, aylar değil) sonuçlanacağını garanti edin. Yavaş "evet" süreçleri, hızlı "hayır" kadar gölge kullanımı teşvik ediyor.

Türkiye'de faaliyet gösteren kurumlar için bu konunun ayrı bir boyutu var ve bunu es geçmek büyük bir hata olur. Kişisel Verileri Koruma Kurumu (KVKK), 2026'nın Mart ayının başında "İş Yerlerinde Üretken Yapay Zeka Araçlarının Kullanımı" başlıklı bir rehber yayımladı. Bu, KVKK'nın gölge AI konusunu doğrudan hedef alan ilk resmi rehberlerinden biri ve kurumların bu konuyu artık "belki ileride ele alırız" değil, "şimdi ele almamız gereken bir uyum konusu" olarak görmesi gerektiğinin açık bir sinyali.

Bu rehberin ruhu, benim bu yazıda anlattığım yönetişim-öncelikli yaklaşımla büyük ölçüde örtüşüyor: işverenlerin çalışanların üretken yapay zeka araçlarını kullanımını tamamen yasaklamak yerine, şeffaf kurallar, açık bilgilendirme ve uygun teknik/idari tedbirlerle yönetmesi bekleniyor. Kurumların dikkat etmesi gereken temel noktalar şunlar:

Hukuki dayanak zorunluluğu. Bir çalışanın müşteri veya başka bir çalışanın kişisel verisini üçüncü taraf bir yapay zeka aracına aktarması, KVKK'nın 6698 sayılı Kanun kapsamındaki kişisel veri işleme hükümlerine tabi. Açık rıza yoksa veya başka bir hukuki dayanak (sözleşmenin ifası, meşru menfaat gibi) net değilse, bu aktarım hukuka aykırı bir veri işleme faaliyeti olarak değerlendirilebilir.

Veri minimizasyonu ilkesi. Çalışanların yapay zeka araçlarına ihtiyaç duyulandan fazla kişisel veri girmemesi, mümkün olduğunda verinin anonimleştirilmesi veya takma ad kullanılarak (pseudonymization) işlenmesi bekleniyor. Pratikte bu, "müşterinin adı yerine 'müşteri A' yazın" gibi basit ama etkili alışkanlıklara dönüşebiliyor.

Yurt dışına veri aktarımı boyutu. Çoğu popüler yapay zeka aracının sunucuları yurt dışında bulunuyor. Bu durum, KVKK'nın yurt dışına veri aktarımına ilişkin hükümlerini (açık rıza, yeterli koruma kararı veya uygun güvencelerin varlığı) devreye sokuyor. Kurumların, kullandıkları araçların veri barındırma coğrafyasını bilmesi ve buna göre hukuki değerlendirme yapması gerekiyor.

İşverenin bilgilendirme ve şeffaflık yükümlülüğü. Rehber, işverenlerin çalışanlarına hangi yapay zeka araçlarının kullanılabileceği, hangi veri türlerinin bu araçlara aktarılamayacağı ve gözetim/loglama uygulamalarının kapsamı konusunda açık ve anlaşılır şekilde bilgi vermesi gerektiğini vurguluyor. Bu, tam olarak yukarıda anlattığım Kabul Edilebilir Kullanım Politikası'nın neden bu kadar kritik olduğunu bir kez daha teyit ediyor.

Veri işleyen (processor) ilişkisinin netleştirilmesi. Kurumsal düzeyde bir yapay zeka aracı kullanılıyorsa, sağlayıcı ile veri sorumlusu-veri işleyen ilişkisinin sözleşmeyle netleştirilmesi, KVKK uyumu açısından beklenen bir adım. Tüketici sınıfı ücretsiz araçlarda böyle bir sözleşme ilişkisi genellikle mevcut değil — bu da bu araçların gizli/kişisel veri için neden uygun olmadığının bir başka kanıtı.

Bunun yanında, özellikle Avrupa pazarına hizmet veren veya AB merkezli müşterileri olan kurumlar için AB Yapay Zeka Yasası'nın (EU AI Act) şeffaflık yükümlülüklerini de göz ardı etmemek gerekiyor. Yasa, belirli durumlarda kullanıcıların bir içerikle veya kararla etkileşime girdiklerinde bunun yapay zeka tarafından üretildiğinin veya desteklendiğinin bildirilmesini talep ediyor. Bir müşteri hizmetleri temsilcisinin yapay zeka destekli yanıtları müşteriye "insan yazdı" gibi sunması, hem etik hem de düzenleyici açıdan risk taşıyor.

Benim müşterilerime önerim şu: KVKK rehberini bir uyum kontrol listesi olarak değil, mevcut yönetişim çalışmanızın hukuki çerçevesi olarak okuyun. Zaten yukarıda anlattığım altı adımı (onaylı araçlar, AUP, veri sınıflandırma, kurumsal dağıtım, SSO/loglama, eğitim) uygulayan bir kurum, KVKK rehberinin beklentilerinin büyük kısmını doğal olarak karşılamış oluyor. Hukuk ve BT ekiplerinizin bu rehberi birlikte, satır satır gözden geçirmesini ve mevcut politikanızla karşılaştırmasını şiddetle tavsiye ederim.

Bu kadar teoriyi okuduktan sonra "peki nereden başlayayım" diye sorduğunuzu tahmin ediyorum. İşte somut bir yol haritası:

İlk 30 gün — Görünürlük kazanın:

• Anonim bir yapay zeka kullanım anketi yapın; cezalandırıcı olmadığını açıkça belirtin.
• Ağ trafiği ve masraf kayıtları üzerinden mevcut kullanım envanterini çıkarın.
• Hukuk ve BT ekiplerini bir araya getirip KVKK'nın Mart 2026 rehberini birlikte inceleyin.
• Üst yönetime "biz nerede duruyoruz" özet raporunu sunun.

31-60 gün — Temel yapıyı kurun:

• En az bir kurumsal düzey yapay zeka aracını onaylayın ve SSO entegrasyonunu tamamlayın.
• İki sayfalık, sade bir Kabul Edilebilir Kullanım Politikası taslağı hazırlayın.
• Basit bir veri sınıflandırma tablosu oluşturun ve intranet üzerinden erişilebilir hale getirin.
• Orta kademe yöneticilerle politika taslağını gözden geçirin, geri bildirim toplayın.

61-90 gün — Yaygınlaştırın ve ölçün:

• Politikayı şirket genelinde duyurun; "af" mesajını net verin.
• Tüm çalışanlara zorunlu, kısa bir eğitim oturumu düzenleyin.
• İlk ölçüm gösterge panelini (onaylı araç benimsemesi, onaysız trafik eğilimi) kurun.
• 90 günün sonunda yönetim kuruluna ilerleme raporu sunun ve bir sonraki çeyreğin hedeflerini belirleyin.

Bu takvim agresif görünebilir ama kasıtlı olarak öyle kurgulandı. Gölge AI riski her geçen ay büyüyor; "mükemmel politikayı" beklerken geçen her hafta, kontrolsüz kullanımın derinleşmesine izin veriyor demektir. İlk versiyon kusursuz olmayacak — olması da gerekmiyor. Önemli olan hareket etmeye başlamak ve süreci canlı tutmak.

Son olarak, kurmanız gereken yönetişim çerçevesinin özetini bir kontrol listesi halinde paylaşıyorum. Bunu ekibinizle paylaşın, hangi maddelerin tamamlandığını, hangilerinin eksik olduğunu birlikte işaretleyin.

Alan	Kontrol Maddesi	Durum
Araç Yönetimi	En az bir kurumsal düzey yapay zeka aracı resmi olarak onaylandı	☐
Araç Yönetimi	Onaylı araçlar SSO ile entegre edildi	☐
Araç Yönetimi	Veri işleme sözleşmesi (DPA) imzalandı	☐
Politika	Kabul Edilebilir Kullanım Politikası yazıldı ve yayımlandı	☐
Politika	Politika sade, anlaşılır dilde ve iki sayfayı geçmiyor	☐
Politika	İhlal bildirimi için ceza-değil, af-esaslı bir süreç tanımlandı	☐
Veri Yönetimi	Veri sınıflandırma tablosu oluşturuldu ve erişilebilir	☐
Veri Yönetimi	Kişisel/özel nitelikli veri için hukuki dayanak süreci netleştirildi	☐
Veri Yönetimi	Yurt dışına veri aktarımı riskleri değerlendirildi	☐
KVKK Uyumu	KVKK'nın Mart 2026 rehberi hukuk ekibi tarafından incelendi	☐
KVKK Uyumu	Veri minimizasyonu ve anonimleştirme uygulamaları tanımlandı	☐
İzleme	Loglama ve anormal kullanım tespiti kuruldu	☐
İzleme	Üç aylık ölçüm gösterge paneli yönetim kuruluna raporlanıyor	☐
Eğitim	Zorunlu farkındalık eğitimi tüm çalışanlara verildi	☐
Eğitim	Yeni işe başlayan oryantasyonuna yapay zeka eğitimi eklendi	☐
Kültür	Başarılı kullanım hikayeleri iç iletişimde paylaşılıyor	☐
Kültür	Orta kademe yöneticiler politika sürecine dahil edildi	☐

Bu kontrol listesinin tamamını bir günde tamamlamayı beklemiyorum sizden. Ama her madde işaretlendikçe, kurumunuz gölgeden aydınlığa doğru bir adım daha atmış oluyor.

Gölge AI, aslında bir teknoloji sorunu değil, bir güven ve hız sorunu. Çalışanlarınız zaten yapay zeka kullanıyor; asıl soru, bunu sizinle birlikte mi yoksa sizden gizli mi yaptıkları. Ben saha deneyimimde şunu defalarca gördüm: yasaklayan kurumlar riski büyütüyor, yönlendiren kurumlar ise hem riski azaltıyor hem de çalışanlarının gerçek potansiyelini ortaya çıkarıyor. Hangi tarafta olmak istediğinize karar vermek size kalmış — ama karar vermeyi ertelemek de aslında bir karar, ve muhtemelen en riskli olanı.