Gölge yapay zekâ (shadow AI): risk mi, fırsat mı?

Çalışanlarınızın yapay zekâ kullandığı kesin; asıl belirsizlik bu kullanımın ne kadarını görebildiğinizde. Türkiye'de yapılan bir araştırmaya göre her beş çalışandan biri yapay zekâ kullanımını şirketiyle ya hiç paylaşmıyor ya da beyan ettiğinden daha fazla kullanıyor. Bu yazıda "gölge yapay zekâ" olarak adlandırılan bu görünmez kullanımın neden ortaya çıktığını, kuruma hangi riskleri taşıdığını ve yasaklamak yerine nasıl değerlendirilebileceğini ele alıyoruz.

Gölge yapay zekâ nedir?

Gölge yapay zekâ (shadow AI), çalışanların kurumun bilgisi, onayı ve kontrol mekanizmaları dışında yapay zekâ araçları kullanmasıdır. Kişisel ChatGPT hesabına yapıştırılan müşteri e-postası, Claude'a özetletilen sözleşme taslağı, Gemini'ye düzelttirilen rapor bu kapsama girer. Gölge BT olarak bilinen olgunun yapay zekâ çağındaki karşılığıdır; ancak çok daha hızlı yayılır, çünkü kurulum gerektirmez. Bir tarayıcı sekmesi yeterlidir.

Araştırmalar ne gösteriyor?

• Kolay İK'nın LinkedIn üzerinden 254 katılımcıyla yaptığı araştırmada katılımcıların yüzde 61'i yapay zekâ kullanımında tamamen şeffaf olduğunu belirtti. Yüzde 14'ü beyan ettiğinden daha fazla kullandığını, yüzde 5'i ise şirketinin olumsuz tepkisinden çekindiği için hiç paylaşmadığını söyledi (Fortune Türkiye). Başka bir deyişle her beş çalışandan birinin kullanımı kurum için görünmez.
• Microsoft'un 164 bin çalışan ve 443 milyon çalışma saati üzerinde yaptığı analiz, yapay zekâ kullananların iletişim ve iş yönetimi araçlarında daha fazla vakit geçirdiğini, kesintisiz odak süresinin ise yüzde 9 azaldığını ortaya koydu (Teknoblog). Kullanım yaygınlaştıkça nasıl kullanıldığı, ne kadar kullanıldığından daha önemli hâle geliyor.

Çalışanlar neden gizliyor?

Kullanımın gölgede kalmasının üç yaygın sebebi var ve hiçbiri kötü niyetle ilgili değil:

• Politika boşluğu. Kurum izinli mi yasak mı olduğunu söylememiş; çalışan sormak yerine kullanmayı seçiyor.
• Algı kaygısı. "Yapay zekâ kullandığım anlaşılırsa işim değersiz görünür" endişesi.
• Hız baskısı. Teslim tarihleri sıkışık, araç işe yarıyor; resmî onayı beklemek lüks gibi geliyor.

Kuruma taşıdığı riskler

Veri sızıntısı

En büyük risk budur. Müşteri verisi, ticari sır ve iç operasyon bilgisi kişisel hesaplar üzerinden dış sistemlere akar. Kimse hangi verinin gittiğini, nerede tutulduğunu ve model eğitiminde kullanılıp kullanılmadığını bilmez.

KVKK ve GDPR uyumu

Kişisel veri içeren bir metnin onaysız bir üçüncü taraf sisteme girilmesi tek başına bir uyum ihlalidir. İşlenen verinin güvenli ve izlenebilir olması zorunluluğu, "çalışan kendi hesabından yaptı" açıklamasıyla ortadan kalkmaz.

Kalite ve önyargı

Kaynağı olmayan ve doğrulanmamış yapay zekâ çıktıları karara dönüştüğünde halüsinasyon ve önyargı da kurumun kararı hâline gelir. Kullanım görünmez olduğunda hata da görünmez olur; görünen yalnızca sonuçtur.

Maliyet ve mükerrerlik

Departmanlar kendi araçlarına ayrı ayrı abone olur, aynı iş için birden fazla araca ödeme yapılır; kullanım bazlı fiyatlandırmalar beklenmedik faturalar getirir.

Yasaklamak neden işe yaramıyor?

Yasak kullanımı bitirmez, yalnızca görünürlüğü bitirir. Yasaklanan araç kişisel telefona, ev bilgisayarına ve "ben kullanmıyorum" cevabına taşınır. Kurum hem faydayı kaybeder hem de riski ölçemez duruma gelir. Bu yüzden gölge yapay zekâya verilecek cevap daha fazla kısıt değil, daha fazla görünürlüktür.

Görünür kılmak, ölçmek, geliştirmek

Gölgedeki kullanım aslında kurumun elindeki en değerli verilerden biridir; çalışanların yapay zekâyı gerçekte ne için, nasıl ve hangi olgunlukta kullandığını gösterir. Bunu anketle öğrenemezsiniz, çünkü anket davranışı değil beyanı toplar. Bu veriyi işe yarar hâle getirmenin üç adımı var.

1. Güvenli ve rızaya dayalı biçimde görünür kılın. Çalışanlardan sohbetlerinin ham dökümünü değil, yapılandırılmış bir özetini isteyin: ne için kullandı, hangi aracı, kaç turda, hangi kaynakla. Açık rıza, denetlenebilir kayıt ve "bu seni etiketlemek için değil" mesajı şarttır; aksi hâlde kullanım yeniden gölgeye çekilir.
2. Hacmi değil, çeşitliliği ve kaliteyi ölçün. "Kim kaç kez kullandı" sorusu yanıltır, çünkü çok soru sormak olgunluk göstergesi değildir. Asıl gösterge farklı işlerde nitelikli ve bilinçli kullanımdır: promptun yapısı, kaynak kullanımı, gizlilik riski ve halüsinasyona karşı alınan önlem.
3. Bireyi değil, ekibi geliştirin. Bireysel sonuçlar yalnızca kişinin kendisine ve yöneticisine açık olsun; kurum raporunda departman ortalamaları yer alsın. Düşük bir sonuç kötü kullanıcı anlamına gelmez, gelişim alanını gösterir.

Bu hafta atılabilecek beş adım

1. Kısa ve açık bir yapay zekâ kullanım ilkesi yayınlayın: neye izin var, neye yok, hangi veri hiçbir zaman girilmez.
2. Çalışanlara "kullanıyorum" demenin bir bedeli olmadığını açıkça söyleyin; gölgeyi besleyen kaygıyı ortadan kaldırın.
3. Kurumsal hesaplı ve veri işleme sözleşmeli en az bir aracı resmen sunun; kişisel hesaba kaçışın sebebini giderin.
4. Kullanımı ölçmeye başlayın; beyanla değil, yapılandırılmış vaka özetiyle.
5. İlk departman tablosunu çıkarın ve konuşmayı "kim kullanıyor" sorusundan "nerede daha iyi olabiliriz" sorusuna taşıyın.

Gölge yapay zekâ bir disiplin sorunu olmaktan çok bir görünürlük sorunudur. Kullanım görünür hâle geldiğinde risk yönetilebilir, fayda ölçülebilir olur.