Yönetici özeti
- Shadow AI, çalışanların şirket tarafından onaylanmamış araçları veya onaylı araçları tanımsız amaçlarla kullanmasıdır.
- Yasak tek başına kontrol üretmez; kullanımın görünmezliğini artırabilir.
- İlk hedef bütün AI kullanımını durdurmak değil, kullanım senaryolarını görünür hale getirip risk sınıfına ayırmaktır.
- Politika; izin verilen kullanım, veri sınırı, insan kontrolü, kayıt, tedarikçi değerlendirmesi ve olay müdahalesini birlikte tanımlamalıdır.
- Başarı metriği “kaç kişi AI kullanıyor?” değil; onaylı kullanım oranı, riskli olaylar, süreç sonucu ve çalışan davranışıdır.
Kurumsal AI kullanım politikası, çalışanların hangi AI araçlarını hangi veriyle, hangi işlerde ve hangi insan kontrolü altında kullanabileceğini tanımlayan işletim çerçevesidir. Etkili politika yalnız yasak koymaz; görünürlük, risk sınıflandırması, onaylı alternatif, kayıt ve hesap verebilirlik üretir.
Shadow AI; bir çalışanın şirketin bilgisi, onayı veya tanımlı kontrolü dışında üretken AI, otomasyon ya da AI ajanı kullanmasıdır. Kişisel hesapla müşteri belgesi özetlemek, hassas veriyi herkese açık bir modele yüklemek, onaysız bir eklentiyi CRM’e bağlamak veya onaylı bir aracı izin verilmeyen bir karar için kullanmak bu kapsama girebilir.
Sorun çalışanın merakı değildir. Sorun; şirketin hangi verinin nereye gittiğini, hangi çıktının hangi kararı etkilediğini ve hata olduğunda kimin müdahale edeceğini bilmemesidir.
Görünmeyen AI kullanımı yönetilemez; yalnızca olaydan sonra fark edilir.
Neden yalnız yasaklamak yetmez?
Çalışanlar AI araçlarını çoğu zaman iş yükünü azaltmak, daha hızlı araştırma yapmak veya tekrar eden görevleri çözmek için kullanır. Şirket yalnız “kullanmayın” dediğinde ihtiyaç ortadan kalkmaz. Kullanım kişisel hesaplara, tarayıcı eklentilerine veya ekip içi gayriresmî yöntemlere kayabilir.
7 Ekim 2026 tarihli Reuters analizi, kurumların çalışanların mevcut üretken AI kullanımını varsayarak hareket etmesini; kullanım senaryolarını risk bazlı sınıflandırmasını, onaylı alternatifler sunmasını ve yüksek etkili kararlarda insan denetimini açıkça tanımlamasını öneriyor. Bu, yasak yerine sınırsız serbestlik anlamına gelmez. Kontrolün görünür ve uygulanabilir olması anlamına gelir.
Yönetimin görmesi gereken beş risk
| Risk | Tipik örnek | Yönetim kontrolü |
| Veri ve gizlilik | Müşteri, çalışan veya ticari sır niteliğindeki bilginin harici modele aktarılması | Veri sınıfları, izinli araçlar, saklama ve eğitim kullanım şartları |
| Doğruluk | AI çıktısının doğrulanmadan teklif, sözleşme veya yönetim raporuna girmesi | Kaynak kontrolü, insan onayı, kritik hata eşiği |
| Fikri mülkiyet | Telifli içeriğin ya da şirket varlıklarının belirsiz şartlarla kullanılması | Kullanım hakkı, lisans ve üretim kaydı |
| Güvenlik | Onaysız eklenti veya ajan üzerinden sistem erişimi | En az yetki, erişim kaydı, entegrasyon onayı |
| Hesap verebilirlik | Yanlış çıktıda kararın çalışana, araca veya tedarikçiye bırakılması | İş sahibi, teknik sahibi ve nihai karar sahibi |
ST GÖR Çerçevesi: politikayı belge değil işletim sistemi yapmak
Kurumsal AI politikası imzalanıp unutulan bir PDF olmamalıdır. ST GÖR Çerçevesi üç yönetim katmanı önerir: Görünürlük, Ölçekli kontrol ve Revizyon.
1. Görünürlük: Gerçekte ne kullanılıyor?
İlk adım araç listesi değil, kullanım senaryosu envanteridir. Hangi ekip, hangi problemi, hangi veriyle ve hangi çıktıyı üreterek çözüyor? Kişisel veriler, müşteri verileri, sözleşmeler, finansal bilgiler ve kaynak kod için ayrı işaretleme yapılmalıdır.
- Onaylı ve onaysız araçlar
- Kullanılan veri sınıfı
- Çıktının etkilediği karar
- İnsan onayı ve kayıt durumu
- İş sahibi ve teknik sahip
2. Ölçekli kontrol: Her kullanıma aynı kural uygulanmaz
Düşük etkili bir beyin fırtınası ile müşteriye giden fiyat teklifi aynı kontrol düzeyinde olmamalıdır. NIST AI Risk Management Framework’ün bağlama göre risk belirleme yaklaşımı burada yararlıdır: kullanım senaryosu haritalanır, etkisi ölçülür, kontrolü seçilir ve sonuç izlenir.
| Sınıf | Örnek | Varsayılan yaklaşım |
| Düşük risk | Genel fikir üretimi, hassas olmayan taslak | Onaylı araç + çalışan kontrolü |
| Orta risk | Müşteri iletişimi, analiz özeti, iç rapor | Kaynak/doğruluk kontrolü + kayıt |
| Yüksek risk | Hukuki, finansal, insan kaynakları veya müşteri hakkını etkileyen karar | Uzman onayı + sınırlı veri/erişim + denetim izi |
| Kabul edilemez | Yetkisiz hassas veri aktarımı veya tanımsız dış işlem | Engelleme + olay müdahalesi |
3. Revizyon: Politika yaşayan bir sistemdir
Modeller, entegrasyonlar, veri akışları ve düzenlemeler değişir. Bu nedenle politika en az üç tetikleyicide yeniden değerlendirilmelidir: yeni araç veya ajan devreye girdiğinde, kritik olay yaşandığında ve kullanım senaryosu daha yüksek etkili bir karara bağlandığında.
Bir AI kullanım politikasında bulunması gereken 10 karar
- Politikanın kapsamı ve sorumlu yönetici
- Onaylı araç ve hesap listesi
- Veri sınıfları ve paylaşım sınırları
- İzin verilen ve yasaklanan kullanım örnekleri
- İnsan onayı gereken kararlar
- Kaynak, doğruluk ve kalite kontrolü
- Model/tedarikçi değerlendirme kriterleri
- Erişim, kayıt ve saklama ilkeleri
- Hata, ihlal ve itiraz süreci
- Eğitim, ölçüm ve güncelleme takvimi
ISO/IEC 42001, AI yönetim sisteminin politika, sorumluluk, risk, izleme ve sürekli iyileştirme boyutlarını kurumsallaştırmak için yararlı bir referans sağlar. AB ile iş yapan şirketler ayrıca kendi rol ve kullanım senaryolarının AB AI Act kapsamındaki yükümlülüklerini hukuk uzmanıyla değerlendirmelidir.
İlk 30 gün için uygulama planı
| Dönem | Yapılacak iş | Çıktı |
| 1–7. gün | Anonim kullanım taraması, ekip görüşmeleri, araç/eklenti listesi | Mevcut kullanım haritası |
| 8–14. gün | Veri ve karar etkisine göre risk sınıflandırması | Risk matrisi ve kritik kullanım listesi |
| 15–21. gün | Onaylı araçlar, asgari kontroller ve sorumlular | Politika v0.1 + hızlı rehber |
| 22–30. gün | Rol bazlı eğitim, geri bildirim, olay akışı ve ölçüm | Pilot uygulama ve revizyon listesi |
Yönetim hangi metrikleri izlemeli?
- Onaylı araçlar üzerinden yürüyen kullanım oranı
- Risk sınıfı atanmış kullanım senaryosu oranı
- Hassas veri veya erişim ihlali sayısı
- İnsan onayı gereken adımlarda uyum oranı
- Rol bazlı eğitim sonrası doğru kullanım davranışı
- Seçilen süreçlerde kalite, süre ve ekonomik sonuç
Politikanın başarısı yalnız olay sayısının düşmesi değildir. Çalışanların güvenli ve faydalı alternatiflere yönelmesi, yüksek değerli senaryoların görünürleşmesi ve yönetimin hangi AI kullanımını ölçekleyeceğini bilmesidir.
Sonuç: yasaktan önce görünürlük, serbestlikten önce sorumluluk
Shadow AI, teknoloji ekibinin tek başına çözeceği bir yazılım sorunu değildir. İş yükü, süreç tasarımı, veri yönetimi, liderlik ve güven sorunudur. Yönetimin görevi çalışan merakını bastırmak değil; bu enerjiyi sınırları, sahibi ve ölçümü belli kurumsal kullanıma çevirmektir.
Doğru politika iki uçtan da kaçınır: her şeyi yasaklayıp kullanımı görünmez hale getirmekten ve her aracı serbest bırakıp sorumluluğu çalışana yüklemekten. Amaç daha az AI değil; görünür, hesap verebilir ve iş sonucuna bağlı AI kullanımıdır.
Kaynaklar
- Reuters — A framework for governing employees’ existing use of generative AI (7 Ekim 2026)
- NIST — AI Risk Management Framework
- ISO — ISO/IEC 42001 AI management systems
- European Commission — AI Act
- Anthropic — Enterprise Frontier Safeguards (1 Eylül 2026)
Editoryal not: Bu içerik yönetici perspektifi sunar; hukuki, siber güvenlik veya yatırım tavsiyesi değildir. Kuruma özel kararlar yetkili uzmanlarla doğrulanmalıdır.
Tamamen engelleme çoğu kurumda gerçekçi değildir. Ama onaylı araçlar, erişim kontrolleri, veri sınıfları, eğitim ve kayıt sayesinde riskli kullanımlar önemli ölçüde azaltılabilir ve görünür hale getirilebilir.
Hassas şirket verisi ve iş kararları için kişisel hesaplar açıkça sınırlandırılmalıdır. Bunun yanında çalışanlara iş ihtiyacını karşılayan onaylı alternatif sunulmalıdır; aksi halde ihtiyaç görünmez kanallara kayabilir.
Yönetici sponsor tek olmalıdır; uygulama ise iş birimleri, teknoloji, bilgi güvenliği, hukuk, insan kaynakları ve veri sahiplerinin ortak sorumluluğudur. Politika yalnız BT belgesi olmamalıdır.
Sabit bir süreye ek olarak yeni araç, yeni entegrasyon, yüksek etkili kullanım veya önemli bir olay sonrasında gözden geçirilmelidir. En az üç aylık erken dönem kontrolü pratik bir başlangıçtır.
