Bilinçsiz ve yetkisiz kullanım sonucu gizli özel bilgilerimiz nerede, kimlere teslim ediyoruz?..
Kamu, sağlık, savunma ve reel sektörde büyüyen görünmez risk: Gölge YZ
Bir kamu görevlisi ihale dosyasını kişisel hesabındaki sohbet robotuna yüklüyor. Bir hekim hasta notlarını rapora dönüştürüyor. Savunma sanayisindeki mühendis bir yazılım hatasını yabancı kodlama aracına gönderiyor.
Hiçbiri kurumuna zarar vermek istemiyor; işini hızlandırmaya çalışıyor. Ancak saniyeler içinde kamu bilgileri, hasta verileri, ticari sırlar veya kaynak kodları kurumun denetiminden çıkabiliyor.
Oysa YZ çoktan kurumun içine girdi. Bunun da adı “Gölge YZ”
Görünmeyen kullanım, görünür risk
Gölge YZ; çalışanların kurumun bilgisi, onayı, sözleşmesi ve güvenlik denetimi dışında kullandığı YZ araçlarıdır. Sohbet robotlarının yanında tarayıcı eklentileri, toplantı botları, çeviri, belge özetleme ve kodlama araçları da bu kapsama giriyor.
Bu kullanım yalnızca ChatGPT, Claude, Gemini, Grok veya DeepSeek gibi sohbet robotlarıyla sınırlı değil. Tarayıcı eklentileri, toplantıları kaydeden ve özetleyen robotlar, çeviri araçları, PDF özetleyicileri, kodlama yardımcıları, görsel ve video üretim uygulamaları, müşteri hizmetleri yazılımları ve e-posta uygulamalarına eklenen yapay zekâ özellikleri de bu kapsama giriyor.
Onaylanmış bir aracın izin verilmeyen veri veya amaç için kullanılması da gölge kullanımdır. Kim, hangi veriyi, hangi araçta ve hangi yetkiyle kullanıyor?
Metin düzeltme, çeviri, sunum hazırlama, toplantı özetleme ve kod hatası çözme… Fakat sözleşmeyi özetletmek için sözleşme, toplantıyı özetletmek için ses kaydı, kodu düzeltmek için kaynak kod sisteme aktarılıyor.
2025 WalkMe araştırmasına göre çalışanların yüzde 78’i onaylanmamış YZ araçları kullandığını, yüzde 49’u da bunu kurumundan gizlediğini belirtmiş.
TÜİK’e göre on ve üzeri çalışanlı girişimlerin yüzde 7,5’i 2025’te YZ kullandığını beyan etmiş. Kişisel hesaplardaki gölge kullanımı ise bu orana bütünüyle yansımıyor.
Hassas alanlarda bedel ağır olabilir
Kamuda tek bir belge, başka bilgilerle birleştiğinde kurumun karar yöntemlerini, tedarikçilerini, güvenlik açıklarını ve planlarını gösterebilir. ABD siber güvenlik kurumu CISA’da üst düzey bir yönetici hassas sözleşme belgelerini ChatGPT’ye yüklemiş. CISA, kullanımın kontrollü ve geçici bir istisna olduğunu açıklamış. Yani yönetici istisnalarının dahi denetlenmesi gerekiyor.
Sağlıkta risk daha doğrudan. İngiltere 2025 hakemli bir araştırmaya göre aile hekimlerinin yaklaşık dörtte biri üretken YZ kullanıyor, ancak yüzde 95’i eğitim almamış.
Savunma sanayinde bir satır kod, hata kaydı veya teknik çizim bile sistem mimarisi, kabiliyet, zafiyet ve üretim planı hakkında ipucu verebilir. Pentagon personelinin DeepSeek’i izinsiz kullandığı haberleri ve sonrasındaki kısıtlamalar, önlemlerin çoğu zaman kullanımdan sonra geldiğini gösteriyor.
Sağlayıcının tabi olduğu hukuk, verinin işlendiği ülke, alt yükleniciler, saklama şartları ve stratejik bağımlılık değerlendirilmeli. Savunmada temel ilke, hassas veriyi genel YZ’ya götürmek değil; denetlenmiş YZ’yı güvenli ortamdaki veriye götürmektir.
Reel sektörde müşteri listeleri, fiyat formülleri, üretim reçeteleri ve kaynak kodları kişisel hesaplara taşınıyor. Samsung’un, çalışanların kurum içi bilgi ve kodları ChatGPT’ye girmesinin ardından kullanımı sınırlandırması bilinen bir örnek.
Önlemler neler olmalı?
Kurumlar kullanılan YZ araçlarının envanterini çıkarmalı; verileri kamuya açık, kurum içi, hassas ve gizli olarak sınıflandırmalı. Yalnızca yasak koymak yerine güvenli kurumsal alternatif sunulmalı. Kişisel hesaplarla iş yapılmamalı. Hassas alanlarda izole, yetkilendirilmiş ve denetlenebilir sistemler kullanılmalı. YZ çıktıları insan kontrolünden geçmeli; ihlaller hızla bildirilebilmelidir.
Yasaklanan fakat alternatifi sunulmayan YZ ortadan kalkmıyor; sadece görünmez hâle geliyor.
Kim, hangi YZ’yı, hangi veriyle, hangi amaçla ve kimin sorumluluğunda kullanıyor?
Sözün özü kurum kuruluşlarda yapay zekaYZ kullanım politikaları ve kuralları bir an önce oluşturulmalı, önlemler alınmalı ve denetlenmeli.