Shadow AI: Kurum İçindeki Görünmeyen Tehdit

Shadow AI: Kurum İçindeki Görünmeyen Tehdit

Yapay zekâ artık hayatımızın her yerinde; evde, telefonda, sosyal medyada, günlük kararlarımızda. Zaman kazandırıyor, kolaylık sağlıyor, verimliliğimizi artırıyor. Toplantı notlarını otomatik çıkarıyor, alışveriş önerileri, rota planları, çevirilerini yapay zeka yapıyor. Bu alışkanlık doğal olarak iş hayatına da taşınıyor.

Bir çalışan raporu özetletiyor, sunum taslağı oluşturuyor. Bir diğeri bir geliştirici kodu optimize ettiriyor. Bir ekip, toplantı notlarını AI ile düzenliyor. Hepsi üretkenliği artırmak için, hepsi iyi niyetle, ancak çoğu zaman kurumun bilgisi, onayı veya kontrolü olmadan yapılıyor. İşte bu noktada karşımıza yeni bir kavram çıkıyor: Shadow AI.

Yapay zekâ artık sadece IT’nin konusu değil. ChatGPT, Copilot, Gemini ve benzeri araçlar iş yapış şekillerini dönüştürüyor. Ancak bu araçların kurumsal kontrol ve yönetişim mekanizmaları dışında kullanılması yeni ve görünmeyen bir risk alanı yaratıyor. Geçmişte “Shadow IT” vardı. Çalışanlar IT’den habersiz yazılım kullanırdı. Bugün ise risk daha karmaşık. Çünkü bu kez mesele sadece bir uygulama değil; veri, karar ve algoritma riski.

Shadow AI Nedir?

Shadow AI, kurumun resmi onayı, envanteri veya yönetişim çerçevesi olmadan çalışanlar tarafından kullanılan yapay zekâ araçlarını ifade eder.

• Kurum farkında değildir.
• Risk değerlendirmesi yapılmamıştır.
• Veri akışı kontrol edilmemektedir.

“Bireysel Verimlilik” ile “Kurumsal Güvenlik” arasındaki dengenin bozulduğu gri alandır. Ve çoğu zaman bu kullanım tamamen görünmezdir.

Shadow AI Nasıl Tespit Edilir?

Çoğu kurum riskleri biliyor ama nasıl görünür kılacağını bilmiyor. Aşağıdaki yöntemler tespit için kullanılabilecek yöntemlerden birkaçıdır.

• CASB / Secure Web Gateway log analizi
• DNS ve outbound trafik analizi
• API çağrı takibi
• Kurumsal endpoint’lerde AI tool keşfi
• Anket + öz beyan mekanizması (cezalandırma değil, görünürlük odaklı)

Tespit için kullanılabilecek yöntemlerdir. Ölçemediğiniz şeyi yönetemezsiniz. Shadow AI önce görünür hale getirilmelidir.

 Shadow AI Riskleri Nelerdir?

1. Veri Sızıntısı

Hassas verilerin kontrolsüz şekilde harici yapay zekâ sistemlerine aktarılması, veri gizliliği ve regülasyon ihlali riskini doğurur. Her veri tipi Yapay Zekaya verilemez. “Public / Internal / Confidential / Highly Confidential” sınıflandırması AI politikasıyla entegre olmalıdır. Veri sınıflandırması yoksa AI kontrolü mümkün değildir. Özellikle; KVKK kapsamındaki kişisel veri, Bankacılık sırrı, Müşteri verisi, Kaynak kod bilgileri yapay zekaya çıkmamalıdır.

2. Fikri Mülkiyet Kaybı

Stratejik dokümanlar, ürün taslakları veya kaynak kodun dış modellere aktarılması geri döndürülemez varlık kaybına yol açabilir.

3. Yanlış Karar Riski

Doğrulanmamış veya insan denetimi olmaksızın kullanılan yapay zeka çıktılarının doğru kabul edilmesi; operasyonel, finansal veya hukuki hatalara neden olabilir.

4. Regülasyon Uyumsuzluğu

Kurum içinde kullanılan yapay zekâ araçlarının envanteri yoksa, risk sınıflandırması ve insan gözetimi sağlanamaz; bu durum regülasyon ihlali anlamına gelebilir.

5. Güvenlik Açıkları

Kontrolsüz AI kullanımı, prompt injection, model manipulation ve veri zehirleme gibi yeni nesil saldırılara karşı savunmasızlık oluşturur.

6. Üçüncü Parti AI Riskleri (Vendor Risk)

Kurumsal AI kullanımı sadece açık kaynaklı chat uygulamaları değildir. Kurumların satın alacağı hizmetlerin içinde gömülü olabilecek AI modelleri ve süreçleri değerlendirilmelidir.

• SaaS ürünlerinin içine gömülü AI modülleri
• CRM, HR, ERP içinde çalışan AI servisleri
• Otomatik özet çıkarma, analiz etme özellikleri
• Model nerede host ediliyor?
• Veri, eğitim için kullanılıyor mu?
• Log tutma/saklama süresi nedir?
• Alt yüklenici kim?

 7. Hukuki Sorumluluk ve Telif Hakları

Yapay zekâ tarafından üretilen içeriklerin (kod, tasarım veya metin) telif hakları kime ait? Shadow AI kullanımıyla üretilen bir çıktının ileride bir telif davasına konu olması, kurumu hukuki bir çıkmaza sokabilir.

Neden Shadow IT’den Daha Tehlikeli?

Shadow IT’de sistem görünürdü; IP adresi vardı, lisansı vardı, network trafiği vardı. Shadow IT statik bir risk sunarken, Shadow AI (öğrenen yapılar nedeniyle) dinamik ve her etkileşimde büyüyen bir risk sunar. Shadow AI’ de ise; veri görünmez, model görünmez, karar mekanizması görünmez. Risk soyuttur, ama etkisi somuttur.

Kurumlar Ne Yapmalı?

1. AI Envanteri Oluşturmalı

Hangi birim hangi aracı kullanıyor, hangi veri tipi işleniyor ve veri nerede tutuluyor soruları net şekilde cevaplanmalıdır.  

2. Açık ve Net AI Kullanım Politikası Yayınlamalı

Hangi verilerin paylaşılabileceği, hangi araçların onaylı olduğu ve hangi kullanım senaryolarının yasak olduğu açıkça tanımlanmalıdır.

3. Onaylı ve Güvenli Alternatif Sunulmalı

Çalışanlara kurumsal kontrollü AI ortamı sağlanmadığı sürece dış araç kullanımı engellenemez. Kurumlar kendi LLM modellerini oluşturabilir.

4. Ağ ve Erişim Seviyesinde Teknik Kontroller Uygulanmalı

DLP, veri maskeleme, erişim kontrolü ve prompt filtreleme gibi teknik önlemler devreye alınmalıdır. Shadow AI çoğu zaman web tabanlı araçlar üzerinden gerçekleşir. Bu nedenle:

• Secure Web Gateway üzerinden AI servis kategorilerinin izlenmesi
• DNS sinkhole ile bilinmeyen AI domainlerinin kontrolü
• CASB ile SaaS AI kullanım görünürlüğü
• Proxy loglarında AI endpoint pattern analizi
• Kurumsal cihazlarda AI uygulama discovery

AI trafiği diğer web trafiği gibi değerlendirilmemelidir. Ayrı bir risk kategorisi olarak ele alınmalıdır.

• Web upload DLP kuralları AI domainlerine özel tanımlanmalı
• Regex tabanlı KVKK, müşteri numarası, IBAN, TCKN kontrolleri yapılmalı
• Clipboard monitoring uygulanmalı
• Endpoint DLP ile dosya upload izlenmeli veya engellenmeli
• Hassas veri AI prompt alanına yapıştırıldığında uyarı mekanizması devreye girmeli

AI riskini azaltmanın yolu, veri çıkışını kontrol etmektir.

5. Eğitim ve Farkındalık Sağlanmalı

Çalışanlar yapay zekânın karar verici değil, destekleyici bir araç olduğunu ve halüsinasyon riskini bilmelidir.

6. AI Governance Yapısı Kurulmalı

AI komitesi, risk sınıflandırma modeli, performans izleme ve model yaşam döngüsü yönetimi kurumsal çerçevede tanımlanmalıdır.

7. Loglama ve İzlenebilirlik Sağlanmalı

AI kullanımı denetlenebilir olmalıdır.

• Prompt ve response logları tutulmalıdır
• Kim, ne zaman, hangi veriyi kullandı takibi yapılmalıdır
• Kritik işlem yapan AI çağrıları denetlenmelidir
• Anomali tespiti için kurallar yazılmalı ve izlenmelidir.

AI aktiviteleri SIEM’e entegre edilmelidir.

Shadow AI sadece bir teknoloji problemi değil, aynı zamanda yönetişim problemidir. Görünmeyeni görünür kılmadan güvenliği sağlayamayız.

Güvenli AI kullanımı; yasaklamakla değil, mimari, kontrol ve yönetişim tasarımıyla mümkündür.

İlişkili yazılarım:

Finans Sektöründe Yapay Zekâ Kullanımı – PinarInfoSec

Yapay Zekâ Riskleri Neden Klasik IT Risklerine Benzemez? – PinarInfoSec