Kurumların yeni kör noktası: Şirketler ve çalışanlar ayrı AI araçları kullanıyor

Yapay zekanın kurumsal arenadaki benimsenme oranları artarken bugün artık pek çok şirket, verilerinin kontrollü bir ortamda kalması için çalışanlarına kurumsal bir yapay zeka hesabı sağlıyor. Fakat çalışanlar, bir sunum hazırlarken ChatGPT'yi, toplantı notlarını toparlarken Claude'u ya da raporlardaki verileri görselleştirirken Gemini’ı kullanmayı tercih edebiliyor. 

Birçok çalışan, bir görevi yerine getirirken daha iyi sonuç aldığı ya da belirli bir iş için daha kullanışlı bulduğu yapay zeka aracına yöneliyor. Ancak daha pratik bulunduğu için kişisel bir hesap üzerinden araca yüklenen o dosya; şirket içi finansal veriler, müşteri bilgileri veya henüz kamuya açıklanmamış stratejileri içeriyorsa bir anda şirketin en büyük kör noktalarından birine dönüşebiliyor. 

Gölge AI nedir?

İş dünyasında bu durum “gölge yapay zeka (shadow AI)” kavramıyla açıklanıyor. Çalışanların şirket tarafından onaylanmamış veya denetlenmeyen yapay zeka araçlarını iş süreçlerinde kullanmasını ifade eden bu kavram, “gölge IT” kavramının yapay zeka çağındaki karşılığı olarak görülüyor.

• Üstelik yakın tarihli araştırmalar, bu pratiğin düşünüldüğünden çok daha büyük bir problem teşkil edebileceğine işaret ediyor. 

Rakamlar: Microsoft ve LinkedIn’in 2024 yılında hazırladığı “İş Trendleri Endeksi” raporu, işyerinde yapay zeka kullanan çalışanların %78'inin şirketin sağladığı araçlarla yetinmeyip kendi yapay zeka araçlarını da iş ekosistemine getirdiğini ortaya koyuyor. Küçük ve orta ölçekli işletmelerde bu oran %80’e yükseliyor. 

• Üstelik kritik görevlerde yapay zeka kullananların %52'si, bu alışkanlığını söylemek konusunda isteksiz davranıyor. 

IBM’in geçen yıl Censuswide ile işbirliği içinde 3000 tam zamanlı çalışanla yaptığı bir araştırma ise ABD'deki ofis çalışanlarının %80'inin işinde yapay zeka kullandığına, fakat yalnızca %22'sinin sadece işvereninin sağladığı yapay zeka araçlarını tercih ettiğine işaret ediyor. 

• Çalışmaya katılan 18-24 yaş arasındaki Z kuşağı üyelerinde sorunun daha belirgin olduğu görülüyor. Bu katılımcıların %35’i, şirketin sağladığı yapay zeka araçları yerine, kendi tercih ettikleri bir yapay zeka aracını kullanma olasılıklarının daha yüksek olduğunu söylüyor. 

Bununla birlikte: Netskope’un geçen yıl yayımladığı “Üretken Yapay Zeka 2025” raporu, kurumsal üretken yapay zeka kullanımının %72'sinin kişisel hesaplardan yapıldığını ortaya koyuyor. Rapor ayrıca, çalışanların yapay zeka araçlarına gönderdiği veri miktarının yalnızca bir yılda 30 kattan fazla arttığına işaret ediyor. 

Benzer şekilde BlackFog’un Nisan ayında yayımladığı bir araştırma, çalışanların %86'sının en az haftada bir kez iş için yapay zeka kullandığını, fakat neredeyse yarısının işverenleri tarafından onaylanmamış araçlara başvurduğunu gösteriyor. Üstelik bu çalışanların büyük bir bölümü, şirketlerin bulunduğunu varsaydığı güvenlik önlemlerinden hiçbirini sunmayan ücretsiz sürümleri kullanıyor. 

• Cybernews’in bir araştırmasına göre de çalışanların %59’u, şirketleri tarafından onaylanmamış yapay zeka araçlarını düzenli olarak kullanıyor. Yönetici ve üst düzey yöneticiler arasında bu oran %93’e kadar çıkıyor. 

Dahası: BlackFog tarafından yapılan başka bir araştırma da çalışanların üçte birinin araştırma sonuçları ve veri setlerini, dörtte birinden fazlasının çalışanlara ait verileri, %23’ünün ise finansal tabloları ve satış verilerini yapay zeka araçlarıyla paylaştığını gösteriyor. 

Yasaklamak çözüm mü? 

Şirketler, çoğu zaman kurumsal hesaplar üzerinden Copilot ya da Gemini gibi tek bir yapay zeka çözümü sağlamanın kullanım ihtiyacını karşılayacağını varsayıyor. Fakat çalışanlar, farklı görevler için farklı araçlar kullanmayı tercih edebiliyor. Örneğin araştırma yapmak için Perplexity AI kullanan bir çalışan, yazı yazmak için ChatGPT, verileri raporlamak için Claude, kodlama için Cursor, sunum hazırlamak için ise Gemini’ı kullanabiliyor. 

Netskope raporuna göre ortalama bir kurumda yaklaşık altı farklı üretken yapay zeka uygulaması kullanılıyor. En yoğun kullanıma sahip %25'lik grupta bu sayı 13’e kadar çıkabiliyor. Dolayısıyla şirketin tek bir “resmî yapay zeka aracı” belirlemesi, çalışanların işlerini yaparken farklı araçlara yönelmesini engellemiyor. 

• Kurumların yapay zeka stratejisi tekilleşirken çalışanların yapay zeka kullanımı, giderek daha çoğul hâle geliyor.

Yine Netskope araştırması, kurumların %83'ünün bazı yapay zeka araçlarına erişimi engellediğini gösteriyor. Fakat rapora göre kapsamlı bir yasak, üretkenliği düşürebiliyor ve çalışanları kişisel cihaz veya mobil bağlantı gibi yollarla kısıtlamaları aşmaya itebiliyor. 

Dolayısıyla şirketlerin çalışanların yapay zeka kullanıp kullanmadığından ziyade, hangi verilerin, hangi araçlarda, hangi hesaplar üzerinden ve hangi amaçlarla kullanılabileceğinin sınırlarını belirlemeye odaklanması gerekiyor. 

Çözüm ne olabilir? 

Yasak getirmenin anlamlı bir çözüm sunmayacağına dikkat çeken sektör uzmanları, gölge yapay zeka probleminin araç, veri ve çalışan olmak üzere üç katmanda çözülebileceğine inanıyor. 

1. Araç katmanı: Uzmanlar, şirketlere çeşitlilik sunmayı ve kurumsal ihtiyaçlarla örtüşen birkaç onaylı yapay zeka aracı sağlamayı tavsiye ediyor. Çalışanların tek bir araca mahkum edilmemesi gerektiğine dikkat çeken uzmanlar, erişim sunulan araçların gerçekten ihtiyaç duyulan farklı kullanım senaryolarını kapsaması gerektiğini vurguluyor. 

2. Veri katmanı: Veri katmanında ise hangi tür verilerin hangi sistemlerde kullanılabileceğine ilişkin net sınırlar çizilmesi gerekiyor. Bu noktada uzmanlar, şirketlere çalışanlar için de anlamlı olabilecek bir veri sınıflandırması yapmalarını tavsiye ediyor. 

• Örneğin kamuya açık bilgilerin kullanımında çalışanlara daha geniş bir hareket alanı tanınırken şirket içi verilerin yalnızca kurumsal hesaplarda, müşteri bilgileri, kaynak kodları veya ticari sır gibi hassas verilerin ise yalnızca şirket tarafından belirlenen güvenli sistemlerde işlenmesine izin verilebileceği belirtiliyor. 

3. Çalışan katmanı: Çalışanlara verilen yapay zeka eğitimlerinin de yalnızca daha iyi prompt yazmaya veya araçları daha verimli kullanmaya odaklanmaması gerekiyor. Çalışanların hangi verileri hangi sistemlerle paylaşabileceklerini, hangi bilgilerin şirket dışına çıkarılmaması gerektiğini ve kişisel hesaplarla kurumsal hesaplar arasındaki güvenlik farklarını bilmesi büyük bir önem arz ediyor. 

Uzmanlar, bu eğitimlerin erişim kontrolleri ve riskli veri paylaşımı sırasında çalışanı uyaran gerçek zamanlı güvenlik mekanizmaları gibi teknik önlemlerle de desteklenebileceğine dikkat çekiyor. 

Daha önce de benzer bir süreç yaşandı

Esasında iş dünyası, daha önce de benzer bir süreç yaşadı. Bundan yalnızca 10 yıl önce çalışanların bir cebinde şirketin verdiği BlackBerry, diğer cebinde ise kişisel telefonları vardı. Şirketler, kurumsal cihazın yeterli olduğu konusunda ısrarcı olsa da çalışanlar iki telefonu birden taşımaya devam ederdi. Güvenlik ekipleri ise veri sızıntısı riskinden endişelenirdi. 

İş ve kişisel kullanım arasındaki bu ayrım bir süre korunabildi; fakat aradaki duvarlar takip eden yıllarda yıkıldı. Akıllı telefonların yaygınlaşmasıyla birlikte şirketler, çalışanların kişisel cihazlarını kullanacağı gerçeğini kabullenmek zorunda kaldı. 

Bugün aynı durum, yapay zeka araçlarında da yaşanıyor. Fakat “gölge yapay zeka” fenomeninin yükselişi, çalışanların yapay zeka kullanma isteğinden çok, kurumsal yapay zeka stratejilerinin çalışanların gerçek çalışma biçimlerine ayak uyduramamasından kaynaklanıyor. Bu nedenle şirketlerin, çalışanların farklı araçlara yönelmesini yasaklarla engellemeye çalışmak yerine, neden alternatif araçlara ihtiyaç duyulduğunu anlaması ve hassas verileri korurken kapsamlı bir kullanıma alan açabilecek sınırları belirlemesi gerekiyor. 

Yapay zeka kullanımını durdurmak giderek zorlaşsa da yapay zekanın nerede, nasıl ve hangi verilerle kullanılacağını belirleyen doğru sınırları çizmek, güvenlik ve değişen çalışma alışkanlıkları arasında bir denge kurmayı mümkün kılıyor.