Bir pazarlama uzmanı kampanya metnini ChatGPT'de yazıyor. Bir finans analisti çeyrek sonu tablosunu ücretsiz bir yapay zekâ aracına yükleyip yorumlatıyor. Bir yazılımcı kurum kodunu bir kodlama asistanına yapıştırıyor. Hiçbiri kötü niyetli değil; hepsi işini daha hızlı yapmaya çalışıyor. Ama hiçbiri bu araçların kurum tarafından onaylanıp onaylanmadığını sormadı.
Buna gölge yapay zekâ (shadow AI) deniyor ve bugün neredeyse her kurumda var.
Gölge yapay zekâ neden ortaya çıkar?
- Araçlar çok kolay erişilebilir: Bir tarayıcı ve e-posta adresi yeterli.
- Fayda gerçek ve hemen görülüyor: Çalışanlar saatler kazanıyor.
- Kurumlar yavaş: Politika, onay süreci ve kurumsal lisanslar çoğu zaman kullanımın gerisinde kalıyor.
- Kurallar belirsiz: Çalışanlar neyin yasak olduğunu bilmiyor; çoğu zaman kimse söylememiş.
Yani gölge yapay zekâ çoğunlukla bir disiplin sorunu değil, karşılanmamış bir ihtiyacın göstergesidir.
Riskler
| Risk | Örnek |
|---|---|
| Kişisel veri ihlali | Müşteri bilgilerinin, işleme koşulları bilinmeyen ve yurt dışında çalışan bir servise girilmesi |
| Ticari sır sızıntısı | Strateji dokümanları, fiyatlar veya kaynak kodun dış servislere yüklenmesi |
| Model eğitiminde kullanım | Bazı bireysel sürümlerde girilen verilerin modeli geliştirmek için kullanılabilmesi |
| Hatalı kararlar | Doğrulanmamış çıktıların raporlara ve müşteri yazışmalarına girmesi |
| Uyum ve denetim | Kurumun hangi verinin nerede işlendiğini gösterememesi |
| Ajan riskleri | E-postaya veya sistemlere erişim izni verilen onaysız yapay zekâ ajanları |
Türkiye'de KVKK'nın Kasım 2025'te yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi de, bu araçlarla yapılan kişisel veri işlemenin 6698 sayılı Kanun kapsamında değerlendirilmesi gerektiğini vurguluyor.
Yasaklamak neden yetmez?
İlk refleks çoğu zaman yasaklamaktır. Ama güvenli bir alternatif sunmadan konan yasaklar, kullanımı ortadan kaldırmaz, görünmez hale getirir. Çalışanlar kişisel telefonlarına ve hesaplarına yönelir; risk azalmaz, sadece kurumun görüş alanından çıkar.
Etkili yaklaşım üç ayaklıdır: onaylı araçlar, açık kurallar ve eğitim.
10 temel kontrol
- Yazılı bir kullanım politikası: Kısa, anlaşılır ve neyin serbest olduğunu da söyleyen bir doküman.
- Onaylı ve erişilebilir araçlar: Çalışanların ihtiyacını karşılayan kurumsal araçlar.
- Sözleşme güvenceleri: Girilen verilerin model eğitiminde kullanılmadığının sözleşmeyle güvence altına alınması.
- Veri sınıflandırması: Hangi veri türünün hangi araçla kullanılabileceğini gösteren basit bir tablo.
- KVKK ve yurt dışı aktarım değerlendirmesi: Kişisel veri içeren senaryoların hukuk birimiyle değerlendirilmesi.
- Eğitim: Tüm çalışanlara kısa ve uygulamalı bir güvenli kullanım eğitimi.
- İnsan kontrolü: Dışarıya giden yapay zekâ çıktılarının bir insan tarafından kontrol edilmesi.
- Görünürlük: Hangi araçların kullanıldığının anket veya ağ verileriyle bilinmesi.
- Olay bildirimi: Yanlışlıkla paylaşılan veriler için kime ve ne kadar sürede bildirim yapılacağının tanımlı olması.
- Ajan ve araç yetkileri: Yapay zekâ araçlarına verilen sistem erişimlerinin sınırlandırılması ve kritik işlemlerde insan onayı.
Nereden başlamalı?
- Ölçün: Kısa ve anonim bir anketle hangi araçların ne için kullanıldığını öğrenin.
- İhtiyacı karşılayın: En çok kullanılan senaryolar için onaylı bir araç sunun.
- Kuralları yazın: 2–3 sayfalık bir kullanım politikası yayımlayın.
- Eğitin: Politikayı kısa bir eğitimle anlatın; yasaklardan çok "nasıl güvenle kullanılır" sorusuna odaklanın.
- Tekrarlayın: Araçlar hızla değiştiği için politikayı ve kontrolleri düzenli olarak gözden geçirin.
Risk seviyenizi 2 dakikada görün
MLTeam'in ücretsiz GenAI Kullanım Riski Analizi, bu yazıdaki 10 temel kontrolü değerlendirir; risk seviyenizi ve eksik kontrollerinizi, ne yapılması gerektiğiyle birlikte gösterir.
Kaynaklar