Kayıt dışı yapay zekâ kullanımı şirketler için ayrı bir denetim alanına dönüşüyor

Çalışanların şirketin onayı ve kaydı olmadan yapay zekâ araçlarını iş süreçlerinde kullanması, Türkiye’de ayrı bir girişimcilik alanı hâline geldi. Türkiye Yapay Zeka İnisiyatifi’nin (TRAI) 15 Ekim 2026’da açıkladığı Girişim Haritası güncellemesinde, “Altyapı ve Operasyonlar/Servis” kategorisine eklenen 3 yeni girişimin, kurum içi yapay zekâ kullanımını ve maliyetlerini izleyen ve kayıt dışı yapay zekâ kullanımını (shadow AI) görünür kılan yönetişim araçları geliştirdiği belirtildi.

TRAI açıklamasında bu tabloyu, “yapay zekâ uygulamaları yaygınlaştıkça altyapı, kontrol ve maliyet yönetiminin de ayrı bir girişimcilik alanına dönüştüğüne” işaret olarak değerlendirdi.

Kayıt dışı yapay zekâ ne demek?

Kayıt dışı yapay zekâ, bir çalışanın kurumun bilgi işlem ve güvenlik birimlerinin bilgisi dışında, kişisel hesabıyla bir sohbet botuna ya da yapay zekâ aracına iş verisi girmesidir. Bir müşteri listesini özetletmek, bir sözleşme taslağını düzelttirmek veya bir teklif dosyasını çevirtmek bu kapsama girer. İşi hızlandırır, ancak verinin nereye gittiği, nerede saklandığı ve kimlerin erişebildiği kurumun denetiminden çıkar.

Şirketler için risk nerede?

Kişisel veri içeren bir dosya kurum dışındaki bir araca aktarıldığında, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlusu olan şirket, verinin güvenliğinden sorumlu olmaya devam eder. Kanunun 12. maddesi, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek için gerekli teknik ve idari tedbirleri alma yükümlülüğü getiriyor. Kontrolsüz yapay zekâ kullanımı bu tedbirlerin dışında kalan bir veri akışı oluşturur.

Benzer bir risk, çalışanların müşteri verilerini kişisel mesajlaşma gruplarında paylaşmasında da görülüyor. Bu konuyu daha önce “Müşteri Verileri WhatsApp Grubunda: Şirketlerin Görmediği Risk” başlıklı yazımızda ele almıştık.

İlk adımlar

Yasaklamak çoğu zaman kullanımı ortadan kaldırmaz, yalnızca görünmez kılar. Kurumların atabileceği ilk adımlar şunlar:

1. Envanter: Hangi birimlerin hangi yapay zekâ araçlarını kullandığını tespit edin.
2. Onaylı araç listesi: Veri işleme koşulları incelenmiş, kurumsal hesapla kullanılabilecek araçları belirleyin.
3. Veri sınıfları: Hangi veri türlerinin (kişisel veri, ticari sır, müşteri sözleşmesi) hiçbir harici araca girilmeyeceğini yazılı hâle getirin.
4. Eğitim: Çalışanlara somut örneklerle neyin paylaşılıp neyin paylaşılmayacağını anlatın.
5. Kayıt: Onaylı araçlarda kullanımın kaydını tutun; bir olay yaşandığında neyin, ne zaman paylaşıldığı izlenebilsin.

Kaynak ve tarih notu: Girişim verileri TRAI’nin 15 Ekim 2026’da açıkladığı Girişim Haritası Ekim 2026 güncellemesine dayanır (TRAI, LOG). Mevzuat atfı 6698 sayılı Kanun metnine dayanır. Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir.