Gölge Yapay Zekâ (Shadow AI): KVKK Rehberi Sonrası Kurumlar Görünürlüğü Nasıl Kazanıyor?
Kişisel Verileri Koruma Kurumu, 5 Mart 2026 tarihinde "İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı" başlıklı rehberi yayımladı. Rehberin merkezinde tek bir kavram var: Gölge Yapay Zekâ (Shadow AI) — yani çalışanların kurumun bilgisi, onayı ve denetimi dışında üretken yapay zekâ araçlarını iş süreçlerine dahil etmesi.
Bu, klasik "Gölge BT" tartışmasının 2026 versiyonu ve çok daha hızlı yayılıyor. Bir çalışanın müşteri sözleşmesini özetletmek için harici bir sohbet aracına yapıştırması; bir satış temsilcisinin fiyat listesini kişisel hesabıyla analiz ettirmesi; bir İK uzmanının aday CV'lerini onaysız bir araca yüklemesi. Hepsi iyi niyetli, hepsi verimlilik amaçlı — ve hiçbiri kurumsal envanterde görünmüyor.
Rehberin kurumlara işaret ettiği tablo net: yapay zekâ kullanımı artık yalnızca bir verimlilik konusu değil, veri koruma, bilgi güvenliği ve kurumsal yönetişim başlığı altında ele alınması gereken bir uyum alanı. "Çalışanımın ne kullandığını bilmiyordum" cümlesi bir savunma değil, bir tespit eksikliği beyanı.
Peki bir kurum, yasaklamadan ve inovasyonu durdurmadan bu görünürlüğü nasıl kurar? İşte sahada karşılığı olan dört senaryo.
1. Yapay Zekâ Envanterinin Çıkarılması: Kim, Hangi Aracı, Ne Sıklıkta Kullanıyor?
Rehberin en pratik beklentisi, kurumun kendi kullanım envanterini bilmesi. Ancak çoğu kurumda bu bilgi hiçbir yerde durmuyor: satın alma kayıtları yalnızca faturası kesilen lisansları gösteriyor, ücretsiz planlar ve kişisel hesaplarla erişilen araçlar tamamen kör noktada kalıyor.
Senaryo: BT ekibi, kurumsal kimlik altyapısını (Microsoft Entra ID veya Google Workspace) uygulama izleme katmanına bağlıyor. Böylece çalışanların kurumsal hesaplarıyla oturum açtığı tüm SaaS ve yapay zekâ uygulamaları — satın alma departmanından geçmiş olsun ya da olmasın — tek bir listede toplanıyor.
Sonuç: "Hangi araçlar kullanılıyor?" sorusu tahminle değil veriyle yanıtlanıyor. Departman bazında kullanım yoğunluğu görünür hale geliyor ve KVKK envanter çalışması için somut bir başlangıç noktası oluşuyor.
ENORM'un kendi geliştirdiği Efficense, tam olarak bu katmanda çalışır: Google Workspace ve Microsoft Entra ID entegrasyonuyla uygulama kullanımını izler, aktif ve pasif lisansları ayrıştırır, kullanılmayan aboneliklerin maliyetini ortaya koyar.
2. Yasaklamak Yerine Yönlendirmek: Onaylı Araç Kataloğu
Rehberin altını çizdiği paradoks şu: katı yasak koyan kurumlar kullanımı ortadan kaldırmıyor, yalnızca görünmez hale getiriyor. Çalışan aracı kişisel telefonundan kullanmaya devam ediyor; bu sefer kurumun hiçbir kaydı olmadan.
Senaryo: Kurum, envanter çalışmasının ardından kullanımı üç kategoriye ayırıyor — onaylı, koşullu (yalnızca kişisel veri içermeyen girdiler için) ve yasaklı. Onaylı kategorideki araçlar kurumsal lisansa taşınıyor: veri işleme koşulları sözleşmeye bağlanmış, yönetici konsolu bulunan, model eğitimine veri aktarımı kapatılabilen kurumsal planlar tercih ediliyor.
Sonuç: Çalışan aynı verimliliği kurumun sözleşmesel koruması altında elde ediyor. Gölge kullanımın motivasyonu — "resmî araç yok veya yavaş" — ortadan kalkıyor.
Devreye giren çözümler: Microsoft 365 Copilot ve Adobe Acrobat Studio gibi kurumsal veri sınırları tanımlanmış platformlar, harici sohbet arayüzlerine olan ihtiyacı büyük ölçüde karşılar. ENORM, Adobe ve Microsoft ürünlerinde yetkili satıcı olarak lisans yapılandırmasını kurumun uyum gereksinimlerine göre kurgular.
3. Cihaz Katmanında Kontrol: Mobil ve Saha Ekipleri
Masaüstü tarafında politika uygulamak görece kolay. Asıl kör nokta mobil cihazlar, saha ekipleri ve BYOD senaryoları — yani kurumsal verinin, kurumun yönetmediği bir cihaz üzerinden harici bir uygulamaya aktığı durumlar.
Senaryo: Saha satış ekibinin tabletlerinde yalnızca onaylı uygulamalar çalışacak şekilde bir uygulama kataloğu tanımlanıyor. Kurumsal profil ile kişisel profil birbirinden ayrılıyor; kurumsal profildeki verinin kişisel uygulamalara kopyalanması engelleniyor. Cihaz kaybında kurumsal alan uzaktan siliniyor, kişisel veriler etkilenmiyor.
Sonuç: BYOD esnekliği korunurken kurumsal veri sınırı fiziksel olarak çiziliyor. KVKK açısından "teknik ve idari tedbir" başlığı somut bir uygulamaya dönüşüyor.
Devreye giren çözüm: ENORM'un çözüm ortağı olduğu Scalefusion, Android, iOS, Windows ve macOS cihazlarda uygulama beyaz listesi, iş profili ayrıştırması ve uzaktan yönetim yetenekleri sunar.
4. Veri Sızıntısının Ağ ve E-posta Katmanında Durdurulması
Envanter ve politika, kullanıcı davranışını yönlendirir. Ancak bilinçli olmayan bir aktarımı — örneğin bir Excel dosyasının harici bir analiz aracına yüklenmesini — teknik kontrolün yakalaması gerekir.
Senaryo: Ağ ve e-posta güvenlik katmanında, tanımlı hassas veri kalıplarını (TCKN, müşteri listesi formatları, sözleşme şablonları) içeren giden trafiğe kural uygulanıyor. Kural, aktarımı ya engelliyor ya da kayıt altına alıp bilgi güvenliği ekibine bildirim üretiyor.
Sonuç: İhlal, gerçekleştikten sonra tespit edilen bir olay olmaktan çıkıp önlenen bir denemeye dönüşüyor. Olay kayıtları, KVKK veri ihlali bildirim süreçlerinde kurumun tedbir aldığını gösteren kanıt niteliği taşıyor.
Devreye giren çözümler: Barracuda e-posta koruması, ESET uç nokta güvenliği ve Fortinet / Check Point ağ güvenlik çözümleri bu katmanda birlikte çalışır.
Kurumlar İçin 6 Adımlık Yol Haritası
Envanter çıkarın. Kimlik sağlayıcınıza bağlı tüm uygulama kullanımını görünür hale getirin.
Sınıflandırın. Hangi veri türünün hangi araca girebileceğini yazılı olarak tanımlayın.
Politika yazın. Üretken yapay zekâ kullanım politikasını kurumsal bir doküman haline getirin.
Onaylı alternatif sunun. Yasak tek başına çalışmaz; kurumsal lisanslı alternatifi hazır edin.
Teknik kontrolü kurun. Cihaz, ağ ve e-posta katmanlarında politikayı uygulanabilir kılın.
Eğitin ve tekrarlayın. Envanter üç ayda bir yenilenmeli; araç ekosistemi hızla değişiyor.
Görünürlük, Uyumun Ön Koşuludur
KVKK rehberi bağlayıcı bir düzenleme değil; ancak Kurum'un beklentilerini ve denetim yaklaşımını gösteren bir referans metin. Rehberin ardından bir kurumun konumu iki basit soruyla ölçülüyor: Çalışanlarınız hangi yapay zekâ araçlarını kullanıyor? Bu araçlara hangi veriler giriyor?
Bu iki soruya veriyle yanıt veremeyen kurumlar için uyum çalışması zaten başlamamış demektir. Yanıt verebilenler içinse gölge yapay zekâ bir tehdit değil, kurumun hangi süreçlerde otomasyona ihtiyaç duyduğunu gösteren bir haritadır.
ENORM Teknoloji; uygulama izleme ve lisans yönetiminden (Efficense) cihaz yönetimi ve uç nokta güvenliğine kadar bu haritanın her katmanında kurumsal çözümler sunar.
Kurumunuzdaki yapay zekâ ve SaaS kullanım envanterini çıkarmak için bizimle iletişime geçin.