Gölge Yapay Zeka (Shadow AI): Kurumları Bekleyen Görünmez Risk ve Yönetim Rehberi

TL;DR — Gölge yapay zeka (Shadow AI), IT, güvenlik ve hukuk ekiplerinin onayı ve görünürlüğü olmadan kullanılan yapay zeka araçlarıdır: kişisel ChatGPT hesapları, tarayıcı uzantıları, onaysız API'ler. Kuruluşların yalnızca %37'sinde bir yapay zeka yönetişim politikası var (IBM, 2025) ve GenAI kullanıcılarının yaklaşık %47'si araçlara kişisel hesaplardan erişerek kurumsal kontrolleri baypas ediyor (Netskope, 2026). Yasaklamak işe yaramıyor; çalışanların neredeyse yarısı yasaktan sonra bile kişisel hesabını kullanmaya devam ediyor. Doğru yaklaşım "yönetişimli etkinleştirme": görünürlük, politika, veri koruma, erişim ve izlenebilirlik. Bu yazıda 90 günlük bir yönetişim planı, onaylı araç kataloğu mantığı ve KVKK ile EU AI Act bağını anlatıyorum.

Bir kurumda yapay zeka danışmanlığına başladığımda, yönetime sorduğum ilk sorulardan biri şu olur: "Şu anda çalışanlarınız hangi yapay zeka araçlarını kullanıyor?" Aldığım cevap neredeyse her zaman aynı: "Bizde henüz resmi bir kullanım yok." Sonra sahaya iniyoruz ve gerçek ortaya çıkıyor. Pazarlama ekibi metinlerini kişisel ChatGPT hesaplarında yazdırıyor, bir yazılımcı kodunu onaysız bir eklentiye yapıştırıyor, bir analist müşteri listesini bir çeviri aracına döküyor. "Bizde yok" dedikleri şey, aslında her yerde. İşte bu görünmez katmanın adı: gölge yapay zeka.

Gölge yapay zeka (Shadow AI), kurumun IT, güvenlik ve hukuk fonksiyonlarının bilgisi, onayı ve görünürlüğü dışında kullanılan tüm yapay zeka araçları, hizmetleri ve hesaplarıdır. Bu, bir öncekinin — "gölge IT"nin — yeni ve çok daha hızlı yayılan bir akrabası. Ama bir farkla: gölge IT'de genelde onaysız bir yazılım kurulurdu; gölge yapay zekada ise çoğu zaman hiçbir şey "kurulmaz", sadece bir web sitesine girilip veri yapıştırılır. Giriş engeli neredeyse sıfır, bu yüzden yayılımı çok daha hızlı.

Tipik gölge yapay zeka biçimleri şunlar:

• Kişisel hesaplar. Çalışanın kurumsal değil, kendi e-postasıyla açtığı ChatGPT, Claude, Gemini gibi hesaplar. Kurum bu trafiği ne görür ne denetler.
• Tarayıcı uzantıları. "Metni özetle", "e-postanı yaz" tarzı, verinizi arka planda üçüncü bir tarafa gönderen eklentiler.
• Onaysız API'ler ve entegrasyonlar. Bir ekibin kendi başına bağladığı, kurumsal veri işleme sözleşmesi olmayan servisler.
• Gömülü yapay zeka özellikleri. Zaten kullandığınız bir SaaS aracının, siz farkında olmadan devreye giren yeni yapay zeka özelliği.

Dikkat edin: bunların çoğu kötü niyetle yapılmıyor. Tam tersine, çalışan işini daha iyi ve daha hızlı yapmaya çalışıyor. Sorun niyette değil, görünürlük ve kontrol eksikliğinde.

Bu meselenin büyüklüğünü anlamak için birkaç doğrulanmış veriye bakalım. IBM'in 2025 verilerine göre kuruluşların yalnızca %37'sinde bir yapay zeka yönetişim politikası var. Yani her üç kurumdan ikisinde, çalışanların yapay zekayı nasıl kullanacağına dair yazılı bir kural bile yok. Kural yoksa, herkes kendi kuralını koyar; bu da tanımı gereği gölge yapay zeka demektir.

Netskope'un 2026 verilerine göre GenAI kullanıcılarının yaklaşık %47'si bu araçlara kişisel hesaplardan erişiyor ve böylece kurumsal kontrolleri baypas ediyor. Bu çok çarpıcı bir oran: kullananların neredeyse yarısı, kurumun göremediği bir kanaldan çalışıyor.

Peki yasaklasak? İşte en can alıcı nokta burada. Sahadan ve verilerden gördüğümüz şu: çalışanların neredeyse yarısı, yasaktan sonra bile kişisel yapay zeka hesabını kullanmaya devam ediyor. Yani yasak, aracı ortadan kaldırmıyor; sadece yeraltına itiyor. Görünür olan gölge yapay zeka bir sorundur; görünmez olan ise felakettir. Çünkü yasakladığınızda, elinizde kalan tek şey yanlış bir güvenlik hissi olur.

"

Yasak, gölge yapay zekayı yok etmez; onu göremeyeceğiniz bir yere taşır. Bir riski yönetmenin ilk şartı onu görebilmektir. Görünmezleştirdiğiniz an, yönetme şansınızı da kaybedersiniz.

Peki bu görünmez katman kurumun başına ne açar? Riskleri dört başlıkta topluyorum.

1. Veri sızıntısı. En büyük ve en sık risk bu. Bir çalışan, müşteri listesini, finansal tabloyu, sağlık verisini ya da henüz açıklanmamış bir stratejiyi halka açık bir chatbot'a yapıştırdığında, o veri kurumun kontrol sınırından çıkmış olur. Verinin nerede saklandığı, model eğitimi için kullanılıp kullanılmadığı, kimin eriştiği artık sizin elinizde değildir.

2. Fikri mülkiyet (IP) kaybı. Kaynak kodu, tasarım dosyaları, patent öncesi buluşlar, özgün içerik... Bunlar üçüncü taraf bir araca girdiğinde, fikri mülkiyet üzerindeki kontrolünüz zayıflar. Bazı senaryolarda gizlilik statüsü tartışmalı hale gelir.

3. Uyum ihlali. KVKK, sektörel düzenlemeler, EU AI Act... Kişisel verinin onaysız bir araca aktarılması, çoğu zaman doğrudan bir mevzuat ihlalidir. Bunu bir çalışanın iyi niyetle yapması, kurumu sorumluluktan kurtarmaz.

4. Doğruluk ve itibar riski. Denetlenmeyen bir araçtan gelen, doğruluğu kontrol edilmemiş bir çıktı, bir müşteri belgesine ya da resmi bir rapora girdiğinde itibar ve hukuki risk doğurur. Halüsinasyon, yanlış hesaplama, uydurma kaynak — bunların hiçbiri denetim süzgecinden geçmemiştir.

Bu risklerin somut bir maliyeti de var. IBM'in 2025 verilerine göre, bir veri ihlalinde gölge yapay zekanın rol oynaması, ihlal başına yaklaşık 670 bin dolar ek maliyet ve ihlali kapsama/çözme süresinde yaklaşık 10 gün daha uzun bir süreç anlamına geliyor. Yani gölge yapay zeka sadece bir "olabilir" riski değil; ölçülebilir, parayla ifade edilen bir maliyet kalemi.

Buraya kadar okuduysanız, doğal refleksiniz "o zaman hepsini yasaklayalım" olabilir. Ama az önce gördük: yasak işe yaramıyor, sadece riski görünmezleştiriyor. Ayrıca yasak, yapay zekanın getirdiği verimlilik kazancını da masadan kaldırıyor. Rakipleriniz bu araçlarla hızlanırken, siz çalışanınızı elleri bağlı bırakıyorsunuz.

Önerdiğim yaklaşımın adı yönetişimli etkinleştirme (governed enablement). Fikir basit: yapay zekayı yasaklamak yerine, güvenli ve denetlenebilir bir çerçevede resmen mümkün kılmak. Çalışana "kullanma" demek yerine, "işte onaylı araçlar, işte kurallar, işte güvenli yol" demek. Bu yaklaşımın beş sütunu var:

Sütun	Ne demek	Pratik karşılığı
Görünürlük	Kimin hangi aracı kullandığını görmek	Ağ/trafik keşfi, kullanım envanteri
Politika	Yazılı, anlaşılır kullanım kuralları	Kabul edilebilir kullanım politikası
Veri koruma	Hassas verinin araca gitmesini engellemek	Veri sınıflandırma, DLP, maskeleme
Erişim yönetişimi	Kurumsal, denetlenebilir hesaplar	SSO, rol bazlı erişim, kurumsal abonelik
İzlenebilirlik	Kim, ne zaman, ne yaptı kaydı	Loglama, denetim izi, gözden geçirme

Bu çerçeve, uluslararası kabul görmüş NIST AI RMF (Yapay Zeka Risk Yönetimi Çerçevesi) mantığıyla da uyumludur: riski yönet, haritalandır, ölç ve yönet döngüsü. Amaç sıfır risk değil — o zaten mümkün değil — kabul edilebilir, görünür ve yönetilen bir risk düzeyi.

"Görünürlük" dedik; peki pratikte nasıl görünür kılınır? İşte kullandığım tespit yöntemleri:

• Ağ ve trafik analizi. Kurumsal ağdan hangi yapay zeka servislerine trafik gittiğini görün. Çoğu güvenlik aracı (CASB, güvenli web ağ geçidi) bunu raporlayabilir.
• Anonim anket. Cezalandırmayacağınızı net biçimde söyleyerek çalışanlara sorun: hangi araçları, hangi işler için kullanıyorsunuz? İnsanlar korkmadıklarında dürüst cevap verir. Bu, en hızlı ve en ucuz keşif yöntemidir.
• SaaS ve harcama denetimi. Kişisel kartla ya da departman bütçesiyle alınmış yapay zeka aboneliklerini fatura ve gider kayıtlarından tespit edin.
• Tarayıcı uzantısı envanteri. Kurumsal cihazlarda yüklü eklentileri listeleyin; veri gönderen yapay zeka uzantılarını işaretleyin.
• Gömülü özellik taraması. Zaten kullandığınız SaaS araçlarının hangi yapay zeka özelliklerinin açık olduğunu gözden geçirin.

Tespitte en önemli ilke şu: suçlamayın, keşfedin. Amacınız çalışanı cezalandırmak değil, gerçeği görmek. Cezalandırma refleksi, aracı yeraltına iter ve sizi başladığınız yerden daha kötü bir noktaya götürür.

Şimdi işin somut tarafına gelelim. Aşağıda, birçok kurumda uyguladığım üç aşamalı, 90 günlük bir yol haritası paylaşıyorum. Bu plan hem hızlı hem de sürdürülebilir olacak şekilde tasarlandı.

İlk 30 gün: gör ve anla

• Keşif yapın. Yukarıdaki tespit yöntemleriyle mevcut kullanımı haritalandırın. Amaç eksiksiz bir liste değil, gerçekçi bir resim.
• Anonim anketi başlatın. Çalışanlara cezasız, dürüst bir kanal açın. Hangi işleri yapay zekayla yaptıklarını öğrenin.
• Risk sınıflandırması yapın. Hangi veri türleri işleniyor? Kişisel veri, ticari sır, kamuya açık bilgi. Bu sınıflandırma sonraki kararların temeli.
• Paydaşları toplayın. IT, güvenlik, hukuk, İK ve işi yapan birim bir masaya otursun. Bu bir güvenlik projesi kadar bir kültür projesi.

30-60 gün: çerçeveyi kur

• Kabul edilebilir kullanım politikasını yazın. Kısa, anlaşılır, örneklerle dolu. "Şunu yapabilirsiniz, şunu asla yapmayın" netliğinde. Hukukçu diliyle değil, çalışanın anlayacağı dille.
• Onaylı araç kataloğunu oluşturun. Kurumun resmen desteklediği, kurumsal sözleşmeli, veri işleme güvencesi olan araçların listesi. Çalışana "işte güvenli seçenekler" deyin.
• Kurumsal hesap ve SSO kurun. Kişisel hesap kullanımını, kurumsal ve denetlenebilir hesaplarla ikame edin. İnsanlar zaten kullanıyorsa, güvenli kanalı cazip hale getirin.
• Veri koruma kontrollerini devreye alın. Hassas veri sınıfları için maskeleme, DLP ve gerektiğinde engelleme.

60-90 gün: eğit, izle, olgunlaştır

• Eğitim verin. Politika kâğıtta kalmaz; eğitimle hayata geçer. Somut örneklerle "neyi neden yapmıyoruz" anlatın. En etkili eğitim, gerçek kurum senaryoları üzerinden yapılanıdır.
• İzlenebilirliği kurun. Loglama ve denetim izini işletin; düzenli gözden geçirme ritmi oluşturun.
• Geri bildirim döngüsü açın. Çalışan yeni bir araca ihtiyaç duyduğunda başvurabileceği hızlı bir onay yolu tanımlayın. Aksi halde ihtiyaç, yine gölgeye kaçar.
• Ölçün ve raporlayın. Onaylı araç kullanımı arttı mı, gölge kullanım azaldı mı? Yönetime somut metriklerle gidin.

"

90 günün sonunda hedefiniz "sıfır yapay zeka" değil; "görünür, kurallı ve güvenli yapay zeka" olmalı. Başarı ölçütünüz, çalışanların onaylı kanala ne kadar gönüllü geçtiğidir.

Bu planın iki bileşenini özellikle vurgulamak isterim, çünkü çoğu kurum bunları atlıyor.

Onaylı araç kataloğu, gölge yapay zekayı azaltmanın en etkili tek adımıdır. Neden? Çünkü çalışan yapay zekayı zaten kullanmak istiyor. Ona güvenli, resmi, kolay bir yol sunmazsanız, kendi yolunu bulur. Katalog, "şu araçlar kurumsal sözleşmeli ve güvenli, şu işler için bunları kullan" diyen net bir rehberdir. Katalogda olmayan bir ihtiyaç doğduğunda ise hızlı bir değerlendirme ve ekleme süreci olmalı — yoksa katalog, çalışanı yine gölgeye iten bir bürokrasiye dönüşür.

Eğitim ise politikanın kâğıttan gerçeğe geçtiği yerdir. Ben eğitimlerde teknik jargondan kaçınır, gerçek senaryolar kullanırım: "Bir müşteri e-postasını özetletmek istiyorsun, hangi araca hangi veriyle gidersin?" gibi. Çalışan yasakla değil, anlayışla davrandığında kural içselleşir. Korku kültürü değil, sorumluluk kültürü kurmak istiyoruz.

Türkiye'deki kurumlar için gölge yapay zeka, sadece bir güvenlik meselesi değil; doğrudan bir uyum meselesi. Birkaç noktayı netleştireyim.

KVKK açısından. 6698 sayılı KVKK, kişisel verinin hukuka uygun işlenmesini ve yurt dışına aktarımında belirli koşulları zorunlu kılar. Bir çalışanın müşteri adını, telefonunu, sağlık ya da finansal bilgisini halka açık bir chatbot'a yapıştırması, çoğu zaman veri sorumlusunun (yani kurumun) yükümlülüklerini ihlal eder. Üstelik bu araçların sunucuları çoğunlukla yurt dışında; bu da yurt dışı aktarım rejimini devreye sokar. Kurum "çalışan kendi yaptı" diyerek sorumluluktan kurtulamaz; veri sorumlusu olarak gerekli teknik ve idari tedbirleri almak zorundadır. Gölge yapay zeka, tam da bu tedbirlerin alınamadığı kör noktadır.

EU AI Act açısından. AB pazarına dokunuyor ya da AB'li veri özneleriyle çalışıyorsanız, EU AI Act'in şeffaflık yükümlülükleri sizi de ilgilendirir. Denetlenmeyen, kayıt altına alınmayan yapay zeka kullanımı, şeffaflık ve hesap verebilirlik beklentileriyle çelişir. Türkiye'nin AB müktesebatına uyum yönünde ilerlediğini düşünürsek, bugün kurduğunuz yönetişim yapısı yarının düzenlemelerine de bir hazırlıktır.

Pratik bağ şudur: yönetişimli etkinleştirmenin beş sütunu — görünürlük, politika, veri koruma, erişim, izlenebilirlik — aynı zamanda KVKK'nın "gerekli teknik ve idari tedbirler" beklentisinin ve EU AI Act'in şeffaflık ilkesinin somut karşılığıdır. Yani doğru yönetişim, hem riski azaltır hem de uyum yükümlülüğünüzü karşılar. Bir taşla iki kuş.

Danışmanlıklarda gördüğüm farklı vakaları harmanlayarak size tipik bir tablo çizeyim; belki tanıdık gelecek. Orta ölçekli bir hizmet şirketi düşünün. Yönetim, "bizde yapay zeka kullanımı yok" diye başlıyor söze. Keşif yapıyoruz.

Pazarlama ekibi, blog ve sosyal medya metinlerini kişisel ChatGPT hesaplarında üretiyor; çoğu zaman içine henüz açıklanmamış kampanya bilgilerini de yapıştırıyor. Müşteri hizmetleri, gelen şikâyetleri özetlemek için bir tarayıcı eklentisi kullanıyor; o eklenti, mesajların tamamını arka planda üçüncü bir sunucuya gönderiyor. Finans ekibinden bir kişi, bir raporu "düzelt ve özetle" diye halka açık bir araca yüklemiş; raporda çalışan maaş bilgileri var. Yazılım ekibinden bir geliştirici, kurumsal olmayan bir kod asistanına şirketin özel kod tabanından parçalar yapıştırıyor.

Bunların hiçbiri kötü niyetli değil. Herkes işini daha hızlı yapmaya çalışıyor. Ama tabloyu bir araya koyduğunuzda ortaya çıkan risk şu: kişisel veri, ticari sır, fikri mülkiyet ve maaş bilgisi — dört farklı hassas veri türü — kurumun hiç göremediği kanallardan dışarı akıyor. Ve yönetim bunların hiçbirinden haberdar değil, çünkü "bizde kullanım yok" varsayımıyla yaşıyor.

Bu tabloyu düzeltmek için yaptığımız ilk şey yasak olmadı; keşif ve şeffaflık oldu. Anonim anketle gerçeği ortaya koyduk, çalışanların hangi işleri neden yapay zekayla yaptığını anladık ve onlara güvenli, onaylı alternatifleri sunduk. Birkaç ay içinde gölge kullanım belirgin biçimde azaldı — çünkü artık daha kolay ve güvenli bir yol vardı.

Bazı yöneticiler "biz gölge IT'yi zaten yönetiyoruz, bu da onun bir türü" diyor. Kısmen doğru, ama önemli farklar var ve bu farklar riski büyütüyor.

Giriş engeli çok daha düşük. Gölge IT'de genelde bir yazılım indirilir, kurulur; bu bir iz bırakır ve bazı teknik beceriler gerektirir. Gölge yapay zekada ise bir web sitesine girip veri yapıştırmak yeterli. Herhangi bir çalışan, saniyeler içinde, hiçbir teknik bilgi olmadan başlayabilir.

Veri, iznin ötesine geçer. Klasik gölge IT'de risk genelde aracın kendisiyle sınırlıydı. Gölge yapay zekada asıl mesele, aracın içine akan veri: bir kez yapıştırdığınızda geri alamazsınız, nereye gittiğini bilemezsiniz.

Yayılım hızı çok yüksek. Yeni bir yapay zeka aracı çıktığında, kulaktan kulağa saatler içinde yayılabiliyor. Yönetişim, bu hıza ayak uydurabilecek şekilde tasarlanmalı — yani statik bir yasak listesi değil, yaşayan bir süreç.

Bu farklar bize şunu söylüyor: gölge yapay zekayı eski gölge IT reflekslerinizle yönetemezsiniz. Yeni bir zihniyet gerekir — engelleme değil, güvenli kanal açma zihniyeti.

Yönetişimin en sık takıldığı yer, "herkesin işi ama kimsenin sorumluluğu olmaması". Bu yüzden rolleri net paylaştırmak şart. Sahada kullandığım basit sorumluluk dağılımı şöyle:

Rol	Ana sorumluluk
Üst yönetim	Yönü belirler, bütçe ve öncelik verir, tonu kurar
IT / Güvenlik	Görünürlük, teknik kontroller, kurumsal hesap ve loglama
Hukuk / Uyum	KVKK ve EU AI Act değerlendirmesi, sözleşmesel güvenceler
İK	Politika iletişimi, eğitim, kültür
Birim yöneticileri	Kendi ekibinde uygulamayı sahiplenir, ihtiyaçları iletir
Çalışan	Onaylı araçları kullanır, hassas veriyi korur, ihtiyacını bildirir

Bu dağılımın kalbi şu: yönetişim tek bir departmanın işi değil. IT tek başına politika yazamaz, hukuk tek başına aracı kullandıramaz, İK tek başına teknik kontrol kuramaz. Çekirdek bir ekip ve net roller olmadan, plan kâğıtta kalır.

"Ölçemediğiniz şeyi yönetemezsiniz" sözü burada da geçerli. Yönetime giderken elinizde somut metrikler olmalı. Takip etmenizi önerdiğim başlıca göstergeler:

• Onaylı araç benimseme oranı. Yapay zeka kullanan çalışanların ne kadarı onaylı kanaldan çalışıyor? Bu oran arttıkça gölge küçülür.
• Tespit edilen gölge kullanım sayısı. Zaman içinde bu sayının düşmesi (yasakla değil, alternatif sunarak) başarının işareti.
• Politika farkındalık oranı. Çalışanlar kuralları biliyor mu? Kısa bir anketle ölçülebilir.
• Eğitim tamamlama oranı. Ekibin ne kadarı yapay zeka kullanım eğitimini tamamladı.
• Veri koruma tetiklenme sayısı. DLP/maskeleme kontrollerinin kaç kez devreye girdiği; hem risk hem de farkındalık göstergesi.
• Yeni araç onay süresi. Bir çalışan yeni bir araç talep ettiğinde ne kadar sürede cevap alıyor? Bu süre uzarsa, insanlar tekrar gölgeye kaçar.

Bu metrikleri çeyreklik olarak yönetime raporlamak, yönetişimi bir "proje" olmaktan çıkarıp sürekli bir kurumsal disipline dönüştürür. Ve unutmayın: hedef metrik "sıfır yapay zeka kullanımı" değil, "sıfır görünmez yapay zeka kullanımı" olmalı.

Bu planı yönetime sunduğumda, hep benzer itirazlarla karşılaşıyorum. Sizin de aklınıza gelmiş olabilir; en sık duyduklarımı ve verdiğim cevapları paylaşayım.

"Yasaklarsak sorun biter, neden bu kadar uğraşalım?" Yasak, sorunu bitirmez; görünmez kılar. Verilerden biliyoruz ki çalışanların neredeyse yarısı yasaktan sonra bile kullanmaya devam ediyor. Yasakladığınızda elinizde kalan, azalan bir kullanım değil, göremediğiniz bir kullanım oluyor. Yani riskiniz aynı, ama artık kör noktadasınız.

"Bizim sektörümüz çok hassas, yapay zekaya hiç girmemeliyiz." Hassasiyet, tam da yönetişimi zorunlu kılan şeydir; kaçınmayı değil. Rakipleriniz bu araçlarla hızlanırken tümden uzak durmak, hem rekabet dezavantajı yaratır hem de gölge kullanımı engellemez — çalışan yine kendi yolunu bulur. Doğrusu, hassas veriyi koruyan güvenli bir kanal kurmaktır.

"Bunun maliyeti yüksek olmaz mı?" Yönetişimin maliyeti, bir ihlalin maliyetinin yanında küçük kalır. Unutmayın: gölge yapay zeka, bir veri ihlalinde ihlal başına yaklaşık 670 bin dolar ek maliyet ve yaklaşık 10 gün daha uzun bir çözüm süreci getiriyor. Anonim anket, tek sayfalık politika ve mevcut güvenlik araçlarınızın raporlaması ile başlangıç, neredeyse bedava.

"Çalışanlar zaten kuralı takmıyor, politika ne işe yarayacak?" Kuralı takmamalarının sebebi çoğu zaman kuralın olmaması ya da uygulanabilir bir alternatifin bulunmaması. İnsanlar güvenli ve kolay bir yol gördüğünde onu tercih eder. Kural + kolay alternatif + eğitim üçlüsü, kuru bir yasaktan çok daha etkili.

"Hangi araçların güvenli olduğunu nereden bileceğiz?" İşte onaylı araç kataloğu tam da bunun için var. Kurumsal sözleşmesi, veri işleme güvencesi ve mümkünse uygun veri ikametgahı olan araçları hukuk ve güvenlik ekibinizle değerlendirip listeleyin. Çalışan "acaba bu araç güvenli mi" diye düşünmek zorunda kalmasın; siz onun için karar verin.

Teknik kontroller, politikalar, kataloglar önemli — ama gölge yapay zekanın kalıcı çözümü, aslında bir kültür meselesi. Şunu defalarca gördüm: en gelişmiş DLP aracını kursanız bile, çalışan güvenli kanalı zahmetli ve cezalandırıcı buluyorsa, yolunu bulup gölgeye kaçar. Tersine, açık ve destekleyici bir kültür kurduysanız, teknik kontrolleriniz eksik olsa bile çalışan doğru olanı yapmaya meyleder.

Bu kültürün özü güven. Çalışana "seni izliyoruz ve yakalayacağız" demek yerine, "sana güvenli araçlar sunuyoruz, kafan karışırsa sor, hata yaparsan birlikte düzeltiriz" demek. Cezalandırma kültürü, insanları saklanmaya iter; sorumluluk kültürü ise şeffaflığa davet eder. Ve şeffaflık, gölge yapay zekanın panzehiridir.

Pratikte bunu şöyle besliyorum: yöneticiler onaylı araçları görünür biçimde kendileri kullanır (örnekle liderlik), yeni araç talepleri hızlı ve olumlu karşılanır, bir hata olduğunda odak suçlamak değil öğrenmek olur. Bu üç davranış, bir kurumda "yapay zekayı konuşmak güvenli" hissini yaratır. O his oluştuğunda, çalışanlar gölgeye kaçmak yerine kapınızı çalar — ve işte o an, gölge yapay zeka sorununu gerçekten çözmeye başlamışsınız demektir.

Beş sütun arasında en çok ihmal edileni izlenebilirlik. Kurumlar görünürlük ve politikayı kolay benimsiyor, ama "kim ne zaman ne yaptı" kaydını çoğu zaman lükse yoruyor. Oysa bir sorun yaşandığında — bir veri ihlali şüphesi, bir denetim, bir müşteri şikâyeti — elinizde kayıt yoksa, ne olduğunu anlatamaz, sorumluluğu yönetemez ve tekrarını engelleyemezsiniz.

İzlenebilirlik hem hukuki hem operasyonel bir zorunluluk. KVKK açısından, veri sorumlusu olarak işleme faaliyetlerini hesap verebilir biçimde ortaya koyabilmeniz beklenir. EU AI Act de şeffaflık ve kayıt tutma ilkeleriyle aynı yöne bakar. Bir denetçi karşınıza geçtiğinde "çalışanlarımız yapay zekayı şu araçlarla, şu kurallarla, şu kayıtlar altında kullanıyor" diyebilmek, "bilmiyoruz" demekten çok farklı bir konumdur.

Pratikte izlenebilirliği ağır bir gözetim sistemi gibi kurmaya gerek yok. Kurumsal hesaplar ve SSO üzerinden gelen doğal kayıtlar, onaylı araçların sunduğu yönetim panelleri ve güvenlik araçlarınızın logları çoğu ihtiyacı karşılar. Amaç çalışanı fişlemek değil; sorun anında geriye dönüp bakabileceğiniz, denetimde gösterebileceğiniz ve iyileştirme için öğrenebileceğiniz bir iz bırakmak. Bu izi baştan tasarlarsanız, sonradan kurmaya çalışmanın maliyetinden ve telaşından kurtulursunuz.

Bütün bunları büyük bir proje gibi görüp ertelemeyin. Bu hafta içinde şu üç adımı atabilirsiniz ve ivme kazanırsınız:

• Bir keşif başlatın. Anonim, cezasız bir anketle "kim neyi kullanıyor" sorusunu sorun. Muhtemelen tahmininizden fazlasını bulacaksınız.
• Bir sayfalık geçici kural yayınlayın. Tam politika hazır olana kadar, "kişisel veriyi asla halka açık araca yapıştırmayın, onaylı araçlar için IT'ye başvurun" gibi net bir ara kural bile büyük fark yaratır.
• Bir sahip atayın. Bu işin bir sahibi olmalı; IT, güvenlik ve hukuktan bir çekirdek ekip. Sahipsiz iş, ilerlemez.
• Yönetime bir başlangıç raporu sunun. Keşifte bulduklarınızı, taşıdıkları riski ve önerdiğiniz ilk adımları tek sayfada özetleyin. Somut bir tabloyla masaya oturmak, konuyu soyut bir kaygı olmaktan çıkarıp bütçe ve öncelik alan bir karara dönüştürür. Yöneticiler gördükleri riske bütçe ayırır; görmedikleri riske değil.

Gölge yapay zeka, kurumların bugün yüzleşmek zorunda olduğu görünmez bir gerçek. Onu görmezden gelmek onu yok etmez; yalnızca daha da görünmez, dolayısıyla daha da tehlikeli kılar. İyi haber şu: çözüm, yasaklamanın yarattığı gerilimde değil, etkinleştirmenin yarattığı güvende. Çalışanınıza güvenli bir yol açtığınızda, o yolu gönüllü kullanır. Sizin işiniz o güvenli yolu inşa etmek; gerisi, doğru kurgulandığında, kendiliğinden gelir.