Gölge Yapay Zeka (Shadow AI) Nedir? Riskler

Kısaca: Gölge yapay zeka (shadow AI), çalışanların bilgi işlem ya da güvenlik ekiplerinin onayı ve denetimi olmadan iş için kullandığı yapay zeka araçlarıdır. Kişisel bir sohbet botu hesabına yapıştırılan müşteri listesi, kimsenin haberi olmadan kurulan bir toplantı özeti uygulaması ya da kullanılan bir yazılıma sessizce eklenen yapay zeka özelliği bu kapsama girer.

Bir satış müdürü, teklifi hızlandırmak için müşteri sözleşmesini kişisel hesabındaki bir sohbet aracına yapıştırıyor. Bir İK uzmanı, mülakat notlarını ücretsiz bir özetleme uygulamasına yüklüyor. İkisi de iyi niyetli, ikisi de daha hızlı çalışmak istiyor. Ama şirketin ikisinden de haberi yok. Gölge yapay zekanın en tipik görüntüsü budur.

Terim, yıllardır bilinen “gölge BT” (shadow IT) kavramından türedi. Gölge BT, onaysız kullanılan bulut depolama ya da mesajlaşma uygulamalarını anlatır. Gölge yapay zekada ise risk bir adım ileri gider: Veri yalnızca bir yerde saklanmaz, bir modele girdi olarak verilir ve şirketin kontrol edemediği bir ortamda işlenir.

Neden şimdi konuşuluyor?

Çünkü kullanım, kurallardan hızlı büyüdü. Microsoft ve LinkedIn’in 31 ülkede 31.000 bilgi çalışanıyla yaptığı 2024 Work Trend Index araştırmasına göre, işte yapay zeka kullananların %78’i kendi araçlarını işe getiriyor. Yani şirketin sağlamadığı araçlarla çalışıyor.

Gartner’ın Mart-Mayıs 2025’te 302 siber güvenlik yöneticisiyle yaptığı ankette, kurumların %69’u çalışanların yasaklı ve herkese açık üretken yapay zeka araçlarını kullandığından şüphelendiğini ya da buna dair kanıtı olduğunu söyledi. Gartner, 2030’a kadar kurumların %40’tan fazlasının gölge yapay zekayla bağlantılı bir güvenlik ya da uyum olayı yaşayacağını öngörüyor.

Şirketinize etkisi

Risk artık ölçülebilir bir maliyet. IBM’in Temmuz 2025’te yayımladığı Cost of a Data Breach raporunda, incelenen kurumların %20’si gölge yapay zekayla ilgili güvenlik olayları nedeniyle veri ihlali yaşadığını bildirdi. Gölge yapay zeka kullanımı yüksek olan kurumlarda ihlalin ortalama maliyeti, kullanımı düşük olan ya da hiç olmayanlara göre 670.000 dolar daha yüksekti.

Bu olaylarda müşterilerin kişisel verileri (%65) ve fikri mülkiyet (%40), genel ortalamadan (%53 ve %33) daha sık ele geçirildi. Aynı rapora göre ihlal yaşayan kurumların %63’ünün yapay zeka yönetişim politikası ya yoktu ya da hâlâ hazırlanıyordu.

Yönetici açısından etki üç başlıkta toplanır:

Veri ve sır kaybı: Müşteri verisi, kaynak kod, fiyat listesi ya da yönetim kurulu notları şirketin dışına çıkar.
Uyum riski: Kişisel verinin onaysız bir hizmete aktarılması, veri koruma yükümlülüklerini doğrudan ilgilendirir.
Görünmeyen karar: Kimsenin bilmediği bir araçla üretilen analiz ya da metin, hatalı olsa bile resmi bir belgeye girebilir.

Türkiye açısı

TÜİK’in 2 Ekim 2026’da yayımladığı Yapay Zeka İstatistikleri dikkat çekici bir makas gösteriyor. 16-74 yaş arası bireylerin %37,6’sı üretken yapay zeka kullandığını söylüyor. En az 10 çalışanı olan girişimlerde ise yapay zeka teknolojilerinden en az birini kullananların oranı %14. Yapay zeka kullanan bireylerin %37,3’ü bu teknolojiyi mesleki amaçla kullandığını belirtiyor.

Bu iki oran farklı kitleleri ölçtüğü için doğrudan karşılaştırılamaz. Ama yön açık: Çalışanların önemli bir kısmı yapay zekayla şirketlerinden önce tanıştı.

Hukuki çerçeve de netleşiyor. KVKK, 24 Kasım 2025’te “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)”nı yayımladı. Rehber, bu sistemlerle yapılan kişisel veri işlemeyi 6698 sayılı Kanun çerçevesinde değerlendiriyor. Sunucuları yurt dışında olan bir hizmete müşteri ya da çalışan verisi girilmesi, 1 Haziran 2024’te yenilenen yurt dışına aktarım kurallarını da gündeme getirebilir. Her somut durum için hukuki değerlendirme gerekir.

Örnek: Samsung’un dersi

Nisan 2023’te Samsung’un yarı iletken biriminde, mühendislerin kaynak kodu ve toplantı notlarını iş için ChatGPT’ye yüklediği ortaya çıktı. Şirket, 1 Mayıs 2023’ten itibaren şirket cihazlarında ve iç ağında üretken yapay zeka araçlarının kullanımını geçici olarak yasakladı. Çalışanlara güvenli bir ortam hazırlanana kadar bu araçlara şirket bilgisi girmemeleri söylendi ve şirket kendi iç araçlarını geliştirmeye yöneldi.

Buradan çıkan ders şu: Yasak tek başına çözüm değil. Çalışanın ihtiyacı ortadan kalkmaz, araç yalnızca daha görünmez hale gelir. Gartner’ın önerisi de bu yönde: şirket genelinde net kullanım kuralları, düzenli gölge yapay zeka denetimi ve yazılım satın alma süreçlerine üretken yapay zeka risk değerlendirmesinin eklenmesi.

Ekibinize sormanız gereken 3 soru

Şirketimizde hangi yapay zeka araçları, hangi ekipler tarafından, hangi veriyle kullanılıyor ve bu listeyi kim tutuyor?
Çalışanlarımıza onaylı ve güvenli bir alternatif sunuyor muyuz, yoksa onları farkında olmadan gölgeye mi itiyoruz?
Hangi veriler hiçbir yapay zeka aracına girilmez ve bu kural herkes tarafından biliniyor mu?

İlgili terimler

Yapay zeka okuryazarlığı: Çalışanların yapay zekayı bilinçli ve güvenli kullanma becerisi. Gölge kullanımı azaltmanın ilk adımı.
Prompt enjeksiyonu: Yapay zeka sistemine gizlenmiş talimatlarla onu yönlendirme saldırısı.
Yapay zeka ajanı: Yalnızca cevap veren değil, sistemlere bağlanıp iş yapan yapay zeka. Onaysız ajanlar gölge yapay zekanın yeni cephesi.
Yönetişim: Kimin neye karar verdiği konusu Kurumsalda Yapay Zeka Yönetimi yazısında, şirket verisini güvenli biçimde modele bağlama yolu ise RAG Nedir? rehberinde ele alınıyor.
Yapay Zeka Yönetişimi

Siyah Tilki’de ilgili yazılar

Yapay Zeka Sözlüğü’ne dön

Gölge Yapay Zeka Nedir? Şirketinizde Kimsenin Onaylamadığı Yapay Zeka

Hakkımızda

Legal

Öne Çıkanlar

Samsung ve İştirakleri Helix’e 1 Milyar Dolar Yatırım

NVIDIA RTX Spark global lansmanı İstanbul’da