Gölge Yapay Zeka: Çalışanlar BT'yi Neden Baypas Eder ve Bunu Ne Sonlandırır?

Yapay zeka artık birçok çalışan için günlük işlerin bir parçası, genellikle günde birkaç kez kullanılıyor. Ancak yöneldikleri araçlar her zaman BT'nin onlara verdiği resmi araçlar değildir.

“Gölge yapay zeka”, iş yerinde onaylanmamış yapay zeka ürünlerinin kullanılmasıdır; şunları içerir:

• Kişisel sohbet botu
• Yapay zeka aracuları
• Yapay zeka asistanı hesapları

47 ülkede 48.000'den fazla kişinin katıldığı KPMG anketine göre, çalışanların yaklaşık yarısı yapay zekayı kuruluşlarının politika ve yönergelerini ihlal edecek şekillerde kullandıklarını söylüyor. Genellikle hassas şirket bilgilerini genel yapay zeka araçlarına yapıştırırlar.

Geçici çözüm bir uyarı haline geldi. 10.000'den fazla çalışan, yönetici ve liderle yapılan bir BCG anketi, neredeyse onda dördünün şirketinin doğru araçları sağlamadığını söylediğini ortaya koydu.

Çalışanlar onaylanmış araçların dışına çıktıklarında şunlar gerçekleşir:

• Kısıtlı
• Üst sınırı olan
• Kendi başlarına elde edebileceklerinden daha kötü

Onaylanan araçlar yeterince iyi olduğunda, çalışanların çoğu BT'yi baypas etmeyi bırakır. Ders: Yapay zekaya olan talep güçlüdür, ancak gölge yapay zeka genellikle bir arz sorununun işaretidir.

Gölge yapay zeka nedir?

Gölge yapay zeka, çalışanların kuruluşlarının sağladıkları yerine iş yerinde kendi yapay zeka araçlarını kullanması anlamına gelir. Şunları içerir:

• Soruları yanıtlayan sohbet botları
• Rutin görevleri yerine getiren aracılar
• Toplantıları kaydeden ve yazıya döken botlar
• Tüm iş rutinlerini ele alan asistanlar

Araçlar iş sistemlerine ve uygulamalarına bağlanabilir. Bazıları bağımsız ürünlerken diğerleri Copilot, Gemini ve Apple Intelligence gibi çalışanların halihazırda sahip olduğu araçlara, cihazlara ve platformlara yerleştirilmiş yapay zeka özellikleridir.

Bir güvenlik şirketi olan BlackFog tarafından sipariş edilen 2.000 çalışanlı bir ankette, gölge yapay zeka kullanıcılarının %58'i genellikle şunlardan yoksun olan ücretsiz sürümlere güvendiklerini söyledi:

• Kurumsal düzeyde güvenlik
• Veri yönetişimi
• Gizlilik korumaları

esas olarak hıza değer verdikleri için. Üst düzey yöneticiler, kıdemsiz personele kıyasla neredeyse iki kat daha sık gölge yapay zeka kullandıklarını bildirdi.

Çalışan kullanımı tespit etmek zor olabilir. Bir Cloud Security Alliance anketi şunları ortaya koydu:

• Katılımcıların %82'si kuruluşlarının sistemlerinde bilinmeyen aracıların çalıştığını söyledi
• %65'i veri ifşası, operasyonel aksama ve finansal kayıplar dahil olmak üzere yapay zeka aracıyla ilgili olaylar yaşamıştı

Gölge yapay zeka ve gölge BT

Önce gölge BT vardı. AWS'de bulut güvenliği uzmanı olan Aditya Patel, gölge yapay zekayı onun “asi kuzeni” olarak adlandırıyor.

Gölge BT, çalışanların kurumsal BT'nin tercih ettiği teknoloji ürünlerini pas geçerek kendi ürünlerini kullanmasını ifade eder; bu bazen bilerek bazen de kuralları bilmeden yapılır. Bir çalışan bir iş cihazındaki bir web tarayıcısında kişisel bir Google, Dropbox, WhatsApp veya Trello hesabına giriş yapar veya evde bitirmek üzere kişisel bir adrese belge e-postayla gönderir.

Gölge yapay zeka ile ilgili yeni olan şey ölçek ve kalıcılıktır. Bazı örnekler:

• Halka açık bir araca yapıştırılan veriler, bir sağlayıcının sistemlerinde süresiz olarak kalabilir
• Aracılar ve asistanlar, bir çalışan başka bir şey yaparken çalışmaya devam eder; uygulamalar, e-posta ve platformlar arasında çalışır

Geleneksel güvenlik izleme yazılımı onları görecek şekilde oluşturulmamıştı. Bir tarayıcı sekmesini kapatmak çalışmayı durdurmaz; bu çalışma çoğunlukla bunu isteyen kişiden başka herkes için görünmezdir.

Büyüt

İş yerinde gölge yapay zeka örnekleri

Gölge yapay zeka genellikle birkaç kilit durumda ortaya çıkar:

Çalışanlar neden onaylanmamış yapay zeka kullanıyor?

Çalışanların onaylanmamış BT'yi kullanmak için birçok nedeni vardır.

• Bazıları, düşük performans değerlendirmeleri veya iş kaybı dahil olmak üzere yapay zeka kullanmaları için baskıyla karşılaşırken, işverenlerinin sağladığı araçlar evde kullandıklarından daha az iyi çalışıyor.
• İşi düzgün bir şekilde yapmak için daha iyi olana yönelirler.
• Diğerleri onaylanan aracın gelmesinin çok yavaş, çok karmaşık, çok esnek olmayan veya çok sık yanlış olduğunu düşünür.

Yoğun yapay zeka kullanımı pahalılaşabilir ve bu durum birçok tanınmış şirketin “tokenmaxxing” kullanıcılarına üst sınır getirmesine yol açmıştır. Haziran 2026'da Uber, yıllık yapay zeka bütçesini dört ayda harcadıktan sonra her ajansal kodlama aracı için çalışan harcamasını ayda 1.500 dolarla sınırladı.

Kısıtlama, bazı çalışanları bir “tokenpocalypse” ile karşı karşıya kalmaktansa tüketici sürümü için kendilerinin ödeme yapmaya iter. Çalışanlara yapay zeka kullanmasını söyleyen şirketlerin bazıları aynı zamanda ona erişimi de kısıtlamaktadır.

Çalışanlar sınırların etrafından dolaşır.

• Bir rapor taslağı hazırlamak için şirket verilerini halka açık bir sohbet botuna yapıştırırlar.
• Rutin görevleri hızlandırmak için bir yapay zeka kişisel asistanı veya kodlama aracı kullanırlar.

Bazı araştırmacılar bunu “gölge kullanıcı inovasyonu” olarak tanımlıyor. Birçok çalışan şirket politikasını ihlal ettiğinin asla farkına varmaz. PagerDuty anketine göre, kurallara aykırı olarak yapay zeka kullanan çalışanlar arasında ise yalnızca yaklaşık yarısı yakalanıyor.

Gölge yapay zeka ile ne yanlış gidebilir

Riskler en az beş gruba ayrılır:

1. Güvenlik ihlalleri: Onaylanmamış bir araç, saldırganlara dahili sistemlere giden bir yol verebilir. Bir web altyapısı sağlayıcısı olan Vercel, Nisan 2026'da yaptığı açıklamada, bir çalışanın Context.ai'dan üçüncü taraf bir uygulamayı kurumsal bir Google hesabına bağlamasının ardından gelişmiş korsanların sistemlerini ihlal ettiğini belirtti. Saldırganlar müşteri kimlik bilgileriyle kaçtı ve çalınan veriler daha sonra 2 milyon dolara satışa çıkarıldı.

2. Fikri mülkiyet sızıntıları: Tescilli veriler, bir sohbet botuna tek bir yapıştırma işlemiyle şirket kontrollü sunucuların dışına çıkabilir. Mart 2023'te Samsung çalışanları kaynak kodunu ve gizli dahili transkriptleri ChatGPT'ye yapıştırdı. Korku, diğer kullanıcıların verilere erişmiş olabileceğiydi. Samsung, haftalar sonra üretken yapay zeka araçlarını yasakladı.

3. Düzenleyici etkiler: Bir ihlal veya yapay zeka tarafından üretilen bir gerçek, düzenleyici incelemelere, para cezalarına ve itibar zedelenmesine yol açabilir. Community Bank'in ana şirketi CB Financial Services, Menkul Kıymetler ve Borsa Komisyonu'na Mayıs 2026'da, yetkisiz bir yapay zeka uygulaması kullanılarak hassas müşteri bilgilerini içeren dahili bir olayı ifşa eden bir Form 8-K sundu. Bu, gölge yapay zeka kullanımına yanıt olarak verilen bilinen ilk 8-K başvurusuydu.

4. Yasal karmaşalar: Gizli bilgileri bir tüketici sohbet botuna yapıştırmak, bir şirketin ticari sır korumalarını tehlikeye atabilir. Kaliforniya'daki federal bir yargıç, Nisan 2026 kararında, davacının materyali ChatGPT ile geliştirdiği ve gizli tutmak için makul adımlar atmadığı gerekçesiyle ticari sır idaresini “ön yargılı olarak” reddetti. Ayrı bir kararda mahkeme, bir sanığın kişisel yapay zeka sohbet günlüklerinin avukat-müvekkil ayrıcalığı veya iş ürünü doktrini tarafından korunmadığını ve bunun da onları mahkemede incelenebilir kıldığını tespit etti.

5. Gizlilik: Bir toplantı botu insanları izni veya bilgisi olmadan kaydedebilir. Otter.ai'a karşı ABD Bölge Mahkemesinde açılan bir dava, otomatik bir not alıcının katılımcıları tüm tarafların rızası olmadan kaydedip kaydedemeyeceğini ve Otter'ın modelini eğitmek için konuşmaları kullanıp kullanamayacağını soruyor. Ayrıca 2024 yılında araştırmacı Alex Bilzerian The Washington Post'a, Otter'ın yatırımcıların stratejik yanlış adımları tartıştığı ve manipüle edilmiş metrikleri ele aldığı, daha önce ayrıldığı bir toplantının tam transkriptini kendisine e-postayla göndermesinin ardından bir anlaşmadan vazgeçtiğini söyledi.

Büyüt

Yasaklar neden başarısız olur?

Şirketler belirli yapay zeka ürünlerini yasakladı ve ardından kararlarından vazgeçti.

• Samsung, 2023 yılında üretken yapay zeka araçlarını yasakladı ve 2026'da şirket genelinde ChatGPT, Gemini ve Claude'u benimser.
• Citigroup, 2023 yılında ChatGPT'yi kısıtladı ve 2024 yılında çalışanlarına kendi yapay zeka araçlarını sundu.
• İtalya 2023 yılında ChatGPT'yi engelledikten sonra, İtalyan yazılım geliştiricilerinin çıktısı iki gün boyunca yarı yarıya düştü ve ardından yeniden toparlandı; iki iktisatçının hazırladığı bir çalışma kağıdına göre engellemeyi atlatma araçlarının indirilme sayıları ise keskin bir şekilde arttı.
• Reddit'te bir ağ güvenliği uzmanı, çalıştığı şirket ChatGPT'yi engelledikten sonra çalışanların, kapatılamayan onaylanmış şirket uygulamalarındaki yapay zeka özelliklerine geçtiğini yazdı.

Yasaklar genellikle yetkisiz yapay zeka kullanımını durdurmak yerine işi başka yerlere kaydırır.

• KPMG anketinde, halka açık yapay zeka araçlarını yasaklayan çalışanların %67'si, resmi politikası olmayan kuruluşlardaki %33'lük oranla karşılaştırıldığında, bir araca hassas veya telif haklı materyal koyduklarını söyledi.
• Araştırmalar, agresif engellemenin yapay zeka kullanımını kişisel cihazlara ittiğini ve kuruluşun görebildiklerini sınırladığını gösteriyor.
• Bir web sayfasının ekran görüntüsü veya fotoğrafı, dosya tabanlı denetimleri geçersiz kılabilir.

Gölge yapay zeka geçici çözümleri nasıl sonlandırılır

Daha az gölge yapay zekaya sahip şirketler, onaylanmış yolu daha kolay hale getirir. Etkili yapay zeka kullanım politikaları, devam eden yapay zeka okuryazarlığı eğitimi, teknik korumalar ve insani hesap verebilirlik temel oluşturur. Dört uygulama daha da ileri gider:

• Çalışanların zaten seçeceği aracı seçin. Recon Analytics tarafından yapılan bir anket, yalnızca Copilot verilen çalışanların %68'inin bunu bir numaralı yapay zeka aracı olarak adlandırdığını ortaya koydu; bu oran üç ana araç verildiğinde %8 idi. Moderna, kullanıcı testlerinde kendi asistanını Copilot ve ChatGPT Enterprise ile karşılaştırdı ve ardından çalışanların en yüksek puanı verdiği aracı seçti.
• Geçici çözümü kısıtlamadan önce alternatifi sağlayın. Kritik altyapı uygulayıcıları üzerinde yapılan bir Avustralya çalışması, çeşitli kuruluşların halka açık yapay zeka araçlarını yalnızca onaylanmış seçeneği sunmaya başladıktan sonra engellediğini buldu; yazarlar bu yaklaşıma “önce ikame” adını verdi. Bir katılımcı, “Onlara araçları vermezseniz, araçları almanın bir yolunu bulurlar” dedi. Bulut güvenliği sağlayıcısının araştırma kolu olan Netskope Threat Labs, finansal hizmetler müşterilerindeki kişisel yapay zeka hesabı kullanımının resmi çözümlerle %76'dan %36'ya düştüğünü, onaylanmış kullanımın ise %33'ten %79'a yükseldiğini bildirdi.
• Çeşitli özel eğitim seçenekleri sunun. Avustralya hükümetinin Copilot denemesinde, üç veya daha fazla biçimde eğitim alan kişilerin dörtte üçü aracı kullanırken kendinden emin hissediyordu; bu oran, tek biçimde eğitim alanların 28 yüzde puan üzerindeydi. Bir BCG anketi, eğitim almayan çalışanların %18'inin düzenli yapay zeka kullanıcısı olduğunu ortaya koyarken, bu oran beş ila on saat arası eğitim, yüz yüze oturumlar ve koçluk alanların %82'sini oluşturuyordu. Çalışanların yalnızca %36'sı yapay zeka eğitiminden memnun olduğunu belirtti ve eğitimi çok kısa veya yüzeysel olarak nitelendirdi.
• Zaten bir araç isteyen insanlarla başlayın. 250 kişilik bir özel sermaye şirketi olan IK Partners'ta o dönem BT direktörü olan Peter Tucker, 190 ChatGPT Enterprise kullanıcısına ulaşmak için sıfır yetkiyle talebe dayalı bir strateji kullandı. Zaman kazanmalarını nasıl sağlayabileceğini gördüklerinde dahili savunuculara dönüşen 20 gönüllü ile başladı. Exchange, Egnyte ve Notion dahil olmak üzere insanların halihazırda birlikte çalıştığı araçlarla bağlayıcılar oluşturdu. Ve şirketin 250 çalışanından 120'sinin katıldığı bir veri bilimi uzmanıyla gönüllü oturumlar düzenledi. BBVA, şirket aracını gölge yapay zekaya daha güvenli bir alternatif olarak konumlandırarak, CEO'su dahil 250 lidere verdiği eğitimle lisans sayısını 3.300'den 11.000'e çıkardı.

Özetle

Çalışanlar, şirketlerinin kendilerine sunduğu araçları baypas ettiğinde, bu araçların nerede yetersiz kaldığını açıkça gösterirler. Onları engellemek bu bilgiyi gizler. En az gölge yapay zeka kullanımına sahip şirketler iyi bir araç sağlar, çalışanların zaten seçeceği aracı seçer ve geriye kalan her türlü gölge kullanımı hala eksik olan özelliklerin bir listesi olarak ele alır.

Perplexity nasıl yardımcı olabilir

Perplexity Enterprise, şirketlere çalışanların kendi tercih ettiği, yöneticilerin zorunlu kılabileceği iş hesabı ile oturum açma özelliğine sahip güvenli bir araç sunar; kişilerin yalnızca BT'nin izin verdiği şeyleri görmesini sağlayan rol tabanlı izinler; kullanıcı girdileri, aracı adımları ve yanıtlar genelinde denetim günlüğü kaydı; Yapay zeka modellerini eğitmek için asla kullanılmayan şirket bilgileri; ve herkesin bir müşteriye iletmeden önce bir gerçeği kontrol edebilmesi için her yanıtın üzerinde kaynaklarına bağlantılar bulunur. Ayrıca Comet for Enterprise tarayıcısı, bir şirketin halihazırda mevcut olan güvenlik standartlarına ve denetimlerine uygundur.

SSS

Farkında olmadan gölge yapay zeka kullandığımı nasıl anlarım?

Bir yapay zeka aracının şirketin onaylı listesinde olup olmadığını kontrol edin. Tarayıcı uzantıları, not alma araçları ve otomatik yapay zeka özellikleri dahildir ve politikayı ihlal eden çoğu kişi bunu asla fark etmez.

Kişisel bir yapay zeka aracına hassas bir şey yapıştırdıysam ne yapmalıyım?

Aynı gün BT veya güvenlik ekibinden birine haber verin ve tam olarak neyin paylaşıldığını söyleyin. Şirketler ve mahkemeler, hızlı ve gönüllü açıklamayı gizlemeden farklı ele almıştır ve pratik zarar genellikle erişimin ne kadar hızlı iptal edilebileceğine ve kimlik bilgilerinin ne kadar çabuk değiştirilebileceğine bağlıdır.

Ya bir iş arkadaşı bir toplantıya yapay zeka not alıcısı getirirse?

Görüşme başlamadan önce sorun, çünkü bir katılımcının tercihi herkesi kaydeder. Kayıt izni kuralları eyalete göre değişir ve sadece sunucuyu değil aramadaki herkesi kapsar; bu nedenle erken konuşun veya hassas kısımların transkriptinin çıkarılmamasını isteyin.

Onaylanmış bir yapay zeka aracının sağlanması gölge yapay zekayı ortadan kaldırır mı?

Hayır, ve onaylanmış bir araç piyasaya sürülmeden önce ve sonra kullanımı doğrudan ölçen güvenilir çalışmalar azdır. Etkili onaylanmış araçlar dışarı çıkmanın en büyük nedenlerinden birini ortadan kaldırır, ancak insanların bir kısmı her zaman ikisini de kullanmaya devam edecektir ve bu sinyali cezalandırmak yerine dikkate almaya değer.

Bir yönetici, disiplin sorununu araç sorunundan nasıl ayırt edebilir?

İnsanların neye uzandığına ve nedenine bakın. Geçici çözüm gerçekten zaman kazandırıyorsa, onaylanan aracın nerede eksik olduğunu ortaya koyuyor. En pratik yanıt boşluğu doldurmaktır. Gizleme genellikle kötü niyeti değil, sonuçlardan korkulduğunu gösterir.