Gölge Yapay Zekâ (Shadow AI): kurumunuzdaki görünmez KVKK riski

Veri sorumlusu, bilgisi dışında gerçekleşen kişisel veri işlemelerinden sorumlu kalabilir. Denetimde “bilmiyorduk” savunması, gerekli tedbirleri almadığınız algısını güçlendirir. Özellikle müşteri hizmetleri, satınalma ve finans ekipleri hassas veriyi doğrudan modele taşıma eğilimindedir.

Gölge kullanımda m.9 (yurt dışı aktarım) ve m.12 (teknik-idari tedbir) birlikte devreye girer — çünkü ne aktarıldığı, kime gittiği ve hangi güvencenin geçerli olduğu belirsizdir. Hukuki çerçevenin tamamı için iş yerinde ChatGPT KVKK rehberimize bakın.

Pratik örnek: çağrı merkezi temsilcisi müşteri doğrulaması için TC kimlik son dört hanesini bile modele yazdığında kişisel veri işlenmiş olur. Kayıt yoksa olay müdahalesi yapılamaz; tekrarlayan kullanım sistematik ihlal profiline dönüşür.

Gölge AI yalnızca hukuki risk değildir. Aynı soruya farklı ekipler farklı modellerden farklı cevaplar alır; kurumsal bilgi bankası yoktur, kaynak gösterimi yoktur, maliyet dağılımı görünmez. Resmi pilot projeler yürürken asıl kullanım gölgede büyür — dijital dönüşüm stratejisi çarpılır.

Yönetim kurulu “AI bütçesi ne?” diye sorduğunda cevap verilemez: dağınık kişisel abonelikler, görünmeyen API anahtarları, faturalandırılmamış kullanım. Maliyet ile uyumluluk aynı görünürlük sorununu paylaşır.

İlk adım yasak değil, görünürlük sağlamaktır. Pratik envanter adımları aşağıdadır. Envanter mükemmel olmak zorunda değil; kabaca ölçek görmek karar için yeterlidir.

“%0 gölge” nadiren gerçektir. Hedef, gölgenin büyüklüğünü ve hangi birimlerde yoğunlaştığını görmektir. IT yalnızca URL engeli trafiğini ölçerse gerçeğin altında kalır — mobil ve kişisel cihaz envanter dışı kalır.

Envanter çıktısı üç kovaya ayrılmalı: (1) onaylı kurumsal kullanım, (2) bilinçli gölge — verimlilik baskısı, (3) bilinmeyen gölge — fark edilmemiş risk. Kovya 2 ve 3 alternatif kanal ve eğitimle; kova 3 acil politika + teknik tedbir gerektirir.

Envanter sonrası yapay zekâ kullanım politikası taslağı ve üst yönetim brifingi aynı hafta içinde planlanmalıdır. Envanter raporu çekmecede kalırsa gölge büyümeye devam eder.

Gölge AI'yı ortadan kaldırmanın yolu çoğu kurumda yasaklamak değildir; yasak gölgeyi büyütür. Merkezi, güvenli ve kullanımı kolay kurumsal alternatif sunulduğunda çalışan kişisel hesaba dönmek zorunda kalmaz. Gateway üzerinden erişim, rol bazlı yetkilendirme ve kullanım raporları gölgeyi görünür kılar.

Stratejik çerçeve: ChatGPT yasaklamak mı yönetmek mi. Teknik uygulama: merkezi gateway, maskeleme, denetim izi.

Alternatif kanalın “ChatGPT kadar iyi” hissi vermesi gölge azaltmada belirleyicidir. Yavaş, kısıtlı veya her istekte onay isteyen kanal, gölgeyi geri getirir. Pilot sırasında kullanıcı geri bildirimi toplanmalıdır.

Maskeleme ve log açıkken pilot yürütün — “sonra ekleriz” maskeleme gölge azaltma projesini denetim riski taşıyan kanala dönüştürür. TC kimlik maskeleme teknik özet için.

Hedef “sıfır gölge” değil; onaylı kanala kaydırmaktır. IT ve uyumluluk ekipleri şu metrikleri izlemeli: departman bazlı token tüketimi, model dağılımı, kişisel veri olay sayısı, politika ihlali uyarıları, aylık gölge trafik trendi.

Dashboard ve yönetici raporu olmadan yönetişim kağıt kalır. Gölge AI yönetimi, bu metrikleri sıfıra indirmekten çok kontrollü kullanıma kanalize etmektir.

Müşteri hizmetleri: yüksek kişisel veri yoğunluğu, hız baskısı — yapıştır-yapıştır kültürü. Satınalma: tedarikçi finansal verisi, IBAN, vergi no. Hukuk: sözleşme metni, taraf kimlik bilgisi. IK: aday özgeçmişi, sağlık, özel nitelikli veri — en hassas segment.

Her departman için ayrı politika kuralı ve gateway kotası tanımlanmalıdır. Tek tip “herkese aynı limit” gölgeyi azaltmaz; doğru kanalı cazip kılmak azaltır.

0–30 gün: envanter + üst yönetim brifingi + yasak genişletme (ters etki yaratmadan). 30–60 gün: gateway pilotu tek departmanda, duyuru “alternatif hazır”. 60–90 gün: metrik karşılaştırma — gölge trafik, olay sayısı, memnuniyet.

Başarı kriteri: gölge trafikte anlamlı düşüş + olay kaydı görünür + maliyet tek faturada. Başarısızlık: yasak sıkılaştı + gölge artışı — strateji değişimi gerekir (yasak vs yönetim).

Gölge yapay zekâ görünmez KVKK ve operasyon riskidir. Envanter, alternatif kanal ve ölçüm üçlüsü olmadan “kullanmıyoruz” varsayımı tehlikelidir. Hukuki çerçeve iş yerinde ChatGPT KVKK rehberinde; bu yazı operasyonel gölge yönetimine odaklanır.