Shadow AI Risk Analizi Nasıl Yapılır? Şirketler İçin Hukuki ve Teknik Değerlendirme Rehberi

Yapay zekâ araçlarının iş hayatında hızla yaygınlaşması, şirketler açısından önemli verimlilik avantajları sağlarken yeni hukuki, teknik ve kurumsal riskleri de beraberinde getirmektedir. Çalışanların şirket tarafından onaylanmamış yapay zekâ araçlarını kullanması veya izin verilen araçları belirlenen sınırların dışında kullanması, günümüzde Shadow AI olarak adlandırılan önemli bir risk alanını oluşturmaktadır.

Bir çalışan, şirket sözleşmesini kişisel yapay zekâ hesabına yükleyebilir, müşteri listesini analiz ettirebilir, kaynak kodunu üçüncü taraf bir yapay zekâ sisteminde inceletebilir veya çalışan verilerini üretken yapay zekâ aracına aktarabilir. Bu işlemler şirket yönetiminin bilgisi dışında gerçekleştiğinde hangi verilerin hangi sistemlerde işlendiğinin takip edilmesi zorlaşabilir.

Bu nedenle şirketlerin yalnızca bir yapay zekâ kullanım politikası hazırlaması yeterli değildir. Öncelikle şirket içerisinde mevcut ve potansiyel yapay zekâ kullanımlarını tespit eden kapsamlı bir Shadow AI risk analizi yapılmalıdır.

Shadow AI risk analizi; şirketin hangi yapay zekâ araçlarını kullandığını, hangi verilerin bu sistemlere aktarıldığını, bu verilerin hukuki niteliğini, ortaya çıkabilecek zararın büyüklüğünü ve uygulanması gereken hukuki ve teknik tedbirleri belirlemeyi amaçlar.

Shadow AI Risk Analizi Nedir?

Shadow AI risk analizi, şirket içerisinde kullanılan yapay zekâ araçlarından kaynaklanabilecek hukuki, teknik ve operasyonel risklerin sistematik biçimde belirlenmesi ve değerlendirilmesidir.

Risk analizinde temel olarak şu sorulara cevap aranır:

• Şirket içerisinde hangi yapay zekâ araçları kullanılıyor?
• Bu araçları hangi çalışan veya departmanlar kullanıyor?
• Yapay zekâ sistemlerine hangi veriler aktarılıyor?
• Aktarılan veriler kişisel veri içeriyor mu?
• Ticari sır veya gizli şirket bilgisi bulunuyor mu?
• Müşteri veya üçüncü kişilere ait bilgiler kullanılıyor mu?
• Veriler yurt dışında işleniyor olabilir mi?
• Kullanılan yapay zekâ sistemi şirket tarafından onaylanmış mı?
• Çalışanlar kişisel hesaplarını mı kullanıyor?
• Yapay zekâ sisteminin şirket uygulamalarına erişimi bulunuyor mu?
• Bir ihlal meydana gelirse şirket açısından nasıl bir zarar ortaya çıkabilir?

Bu sorulara verilen cevaplar şirketin Shadow AI risk haritasını oluşturur.

Shadow AI Risk Analizi Neden Gereklidir?

Şirketlerin önemli bir kısmında yapay zekâ kullanımı merkezi bir karar sonucu başlamamaktadır.

Çalışan, işini kolaylaştırmak amacıyla kendi inisiyatifiyle bir yapay zekâ uygulamasına üye olabilir.

Örneğin;

satış departmanı müşteri listelerini analiz etmek, hukuk departmanı sözleşmeleri özetlemek, insan kaynakları CV’leri değerlendirmek, yazılım departmanı ise kaynak kodlarını incelemek amacıyla farklı yapay zekâ araçları kullanabilir.

Bu durumda şirket yönetimi;

hangi aracın kullanıldığını, hangi verilerin sisteme aktarıldığını ve verilerin daha sonra nasıl işlendiğini

bilmeyebilir.

Risk analizi yapılmasının amacı bu görünmeyen kullanım alanlarını ortaya çıkarmaktır.

İlk Aşama: Şirket İçindeki Yapay Zekâ Kullanımı Tespit Edilmelidir

Shadow AI risk analizinin ilk adımı şirket içerisinde hâlihazırda kullanılan yapay zekâ uygulamalarının tespit edilmesidir.

Bu süreçte yalnızca şirket tarafından satın alınan kurumsal yapay zekâ araçlarına bakılması yeterli değildir.

Çalışanların;

• kişisel ChatGPT hesapları,
• yapay zekâ destekli tarayıcı eklentileri,
• AI kodlama araçları,
• PDF özetleme sistemleri,
• AI tercüme araçları,
• toplantı kayıt ve özetleme botları,
• e-posta yardımcıları,
• görsel üretim sistemleri,
• AI destekli CRM ve pazarlama uygulamaları

kullanıp kullanmadığı da araştırılmalıdır.

Bu çalışma sonucunda şirketin bir yapay zekâ envanteri oluşturması yararlı olacaktır.

Yapay Zekâ Envanterinde Hangi Bilgiler Bulunmalıdır?

Şirket tarafından hazırlanacak yapay zekâ envanterinde her sistem için en azından;

uygulamanın adı, kullanım amacı, kullanıcı departmanı, kullanılan veri kategorileri, hesap türü, hizmet sağlayıcı ve sisteme verilen erişim yetkileri

belirlenebilir.

Örneğin:

Uygulama: AI kodlama asistanı
Departman: Yazılım
Kullanım amacı: Kod geliştirme
İşlenen veri: Kaynak kod
Risk seviyesi: Yüksek

Başka bir örnek:

Uygulama: Üretken yapay zekâ sohbet sistemi
Departman: Pazarlama
Kullanım amacı: Sosyal medya metni hazırlama
İşlenen veri: Kamuya açık ürün bilgileri
Risk seviyesi: Düşük

Bu yöntem şirketin yapay zekâ risklerini karşılaştırmasını kolaylaştırır.

İkinci Aşama: Yapay Zekâya Aktarılan Veriler Belirlenmelidir

Risk analizinde en önemli sorulardan biri yapay zekâ sistemine hangi verilerin girildiğidir.

Bir yapay zekâ uygulamasının kendisi düşük riskli olabilirken, sisteme girilen veri nedeniyle risk çok yüksek hâle gelebilir.

Örneğin aynı yapay zekâ sistemi;

kamuya açık şirket tanıtım metnini düzenlemek için kullanıldığında düşük riskli,

müşteri veri tabanını analiz etmek için kullanıldığında yüksek riskli

olabilir.

Bu nedenle risk değerlendirmesi yalnızca uygulama bazında değil, kullanım senaryosu bazında yapılmalıdır.

Veri Sınıflandırması Yapılmalıdır

Shadow AI risk analizinin sağlıklı yapılabilmesi için şirket verilerinin sınıflandırılması gerekir.

Şirket örneğin şu sınıflandırmayı kullanabilir:

Kamuya Açık

Şirketin internet sitesinde veya kamuya açık kaynaklarda bulunan bilgiler.

Şirket İçi

Yalnızca şirket çalışanlarının kullanımına açık ancak yüksek gizlilik taşımayan bilgiler.

Gizli

Açıklanması hâlinde şirkete veya üçüncü kişilere zarar verebilecek bilgiler.

Çok Gizli

Şirketin ticari sırları, kritik kaynak kodları, yatırım planları veya son derece hassas müşteri verileri gibi bilgiler.

Daha sonra her veri kategorisinin yapay zekâ sistemlerinde kullanılıp kullanılamayacağı belirlenebilir.

Kişisel Veri Riski Ayrıca Değerlendirilmelidir

Shadow AI kullanımında en önemli hukuki risklerden biri kişisel verilerin yapay zekâ sistemlerine aktarılmasıdır.

Çalışan yapay zekâ sistemine;

• müşteri isimleri,
• telefon numaraları,
• e-posta adresleri,
• çalışan bilgileri,
• CV’ler,
• kimlik bilgileri,
• ödeme kayıtları

girebilir.

Bu durumda 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında kişisel veri işleme faaliyetinin hukuki şartları ayrıca değerlendirilmelidir.

Risk analizinde;

verinin hangi amaçla işlendiği, işlemenin gerekli olup olmadığı ve sisteme gereğinden fazla veri girilip girilmediği

incelenmelidir.

Özel Nitelikli Kişisel Veriler İçin Risk Seviyesi Yükseltilmelidir

Yapay zekâ sistemi;

sağlık bilgileri veya diğer özel nitelikli kişisel veriler

üzerinde işlem yapıyorsa daha yüksek risk kategorisi uygulanmalıdır.

Örneğin insan kaynakları departmanının çalışan sağlık raporlarını yapay zekâ aracına yüklemesi ile kamuya açık ilan metni hazırlaması aynı risk seviyesinde değerlendirilemez.

Bu nedenle özel nitelikli kişisel veri içeren yapay zekâ kullanımlarının ayrıca onaya tabi tutulması düşünülebilir.

Yurt Dışına Veri Aktarımı Riski İncelenmelidir

Birçok yapay zekâ sistemi uluslararası teknoloji şirketleri tarafından sunulmaktadır.

Bu nedenle kişisel verilerin yapay zekâ aracına aktarılması hâlinde verilerin yurt dışında işlenmesi ihtimali değerlendirilmelidir.

Risk analizi sırasında;

• hizmet sağlayıcının bulunduğu ülke,
• veri merkezleri,
• alt hizmet sağlayıcılar,
• veri aktarım mekanizmaları

incelenmelidir.

Özellikle müşteri veya çalışan verilerinin yoğun şekilde işlendiği sistemlerde bu konu ayrı bir hukuki inceleme gerektirebilir.

Ticari Sır Riski Analiz Edilmelidir

Shadow AI risk analizinin başka bir önemli ayağı ticari sırlardır.

Şirket çalışanları yapay zekâ sistemlerine;

• müşteri listeleri,
• fiyatlandırma tabloları,
• maliyet hesapları,
• tedarikçi koşulları,
• kaynak kodları,
• üretim yöntemleri,
• yatırım planları,
• Ar-Ge projeleri,
• stratejik raporlar

yükleyebilir.

Bu bilgilerin şirket açısından ekonomik değer taşıması ve gizli tutulması hâlinde ticari sır niteliği gündeme gelebilir.

Risk değerlendirmesinde;

“Bu bilgi üçüncü kişilerin eline geçerse şirket ne kadar zarar görür?”

sorusu sorulmalıdır.

Kaynak Kodlar Yüksek Riskli Kategoriye Alınmalıdır

Yazılım ve teknoloji şirketleri bakımından kaynak kodlar özellikle önemlidir.

Kaynak kod;

şirketin algoritmalarını, sistem mimarisini ve güvenlik yapısını ortaya çıkarabilir.

Ayrıca kod içerisinde;

API anahtarları, bağlantı bilgileri veya gerçek kullanıcı verileri

bulunabilir.

Bu nedenle kaynak kodların şirket tarafından onaylanmamış yapay zekâ sistemlerine yüklenmesi genellikle yüksek veya kritik risk grubunda değerlendirilmelidir.

Sözleşmeler İçin Ayrı Risk Değerlendirmesi Yapılmalıdır

Şirket çalışanları sözleşmeleri özetlemek veya incelemek için yapay zekâ kullanabilir.

Ancak sözleşmeler;

• ticari sır,
• müşteri bilgisi,
• kişisel veri,
• özel fiyatlandırma,
• gizlilik hükümleri

içerebilir.

Bu nedenle sözleşmenin tamamının sisteme yüklenmesi yerine yalnızca gerekli bölümlerin ve mümkünse maskelenmiş içeriklerin kullanılması tercih edilebilir.

Müşteri Verileri Kritik Risk Oluşturabilir

Müşteri veri tabanları Shadow AI açısından en yüksek riskli veri kategorilerinden biridir.

Örneğin satış çalışanının;

binlerce müşterinin adını, iletişim bilgisini ve satın alma geçmişini

bir yapay zekâ sistemine yüklemesi büyük ölçekli veri güvenliği riski yaratabilir.

Müşteri veri tabanlarının yapay zekâ sistemlerine aktarılması çoğu şirket bakımından özel onaya tabi tutulmalıdır.

Üçüncü Aşama: Kullanılan Yapay Zekâ Hizmeti İncelenmelidir

Risk analizi yalnızca şirket verilerine odaklanmamalıdır.

Kullanılan yapay zekâ hizmet sağlayıcısının özellikleri de incelenmelidir.

Özellikle;

• veri saklama süresi,
• kullanıcı girdilerinin kullanım amacı,
• kurumsal güvenlik seçenekleri,
• hesap yönetimi,
• çok faktörlü kimlik doğrulama,
• veri silme seçenekleri,
• entegrasyonlar

değerlendirilmelidir.

Şirket açısından aynı kullanım senaryosu farklı yapay zekâ hizmetlerinde farklı risk seviyelerine sahip olabilir.

Kişisel Hesap mı, Kurumsal Hesap mı?

Risk analizinde çalışanların kullandığı hesap türü önemli bir kriterdir.

Çalışanın kişisel hesabı üzerinden yaptığı işlemlerde şirket;

hesap güvenliğini ve veri saklama ayarlarını kontrol etmekte zorlanabilir.

Bu nedenle kişisel hesap kullanımı daha yüksek risk puanı ile değerlendirilebilir.

Kurumsal hesaplar ise;

merkezi hesap yönetimi, erişim kontrolü ve güvenlik politikaları

bakımından daha iyi kontrol imkânı sağlayabilir.

AI Entegrasyonları Risk Analizine Dahil Edilmelidir

Bazı yapay zekâ araçları yalnızca sohbet ekranından oluşmaz.

Sistem;

• e-posta,
• bulut depolama,
• CRM,
• takvim,
• veri tabanı,
• proje yönetim sistemi

ile entegre olabilir.

Bu durumda yapay zekâ uygulamasının erişebildiği veri miktarı önemli ölçüde artabilir.

Risk analizinde;

“Bu AI uygulaması hangi şirket sistemlerine erişebiliyor?”

sorusu mutlaka cevaplandırılmalıdır.

Yetki Seviyesi Risk Puanını Etkilemelidir

Yapay zekâ sistemine yalnızca okuma yetkisi verilmesi ile dosya silme, değiştirme veya e-posta gönderme yetkisi verilmesi aynı değildir.

Bu nedenle risk analizinde;

• okuma,
• yazma,
• silme,
• dışarıya gönderme,
• otomatik işlem yapma

yetkileri ayrı ayrı değerlendirilmelidir.

Geniş yetki verilen AI ajanları genellikle daha yüksek risk grubuna alınmalıdır.

Siber Güvenlik Riski Değerlendirilmelidir

Shadow AI yalnızca veri koruma ve ticari sır riski değildir.

Kullanılan yapay zekâ uygulamasının kendisi siber güvenlik riski oluşturabilir.

Örneğin güvenilirliği bilinmeyen bir AI tarayıcı eklentisi;

ziyaret edilen internet sayfalarına, formlara veya şirket hesaplarına erişebilir.

Benzer şekilde AI uygulamasına verilen e-posta veya bulut erişimi yeni saldırı yüzeyleri oluşturabilir.

Bu nedenle siber güvenlik ekibi risk analizine mutlaka dahil edilmelidir.

Prompt Injection Riski İncelenmelidir

Şirket yapay zekâ sistemini dış kaynaklardan veri okuyacak şekilde kullanıyorsa prompt injection riskleri değerlendirilmelidir.

Örneğin yapay zekâ;

e-postaları veya dışarıdan gelen belgeleri otomatik okuyorsa, bu içerikler içerisinde sisteme yönelik kötü niyetli talimatlar bulunabilir.

Bu risk özellikle yapay zekâ sisteminin başka kurumsal uygulamalarda işlem yapma yetkisi varsa daha yüksek hâle gelir.

Fikrî Mülkiyet Riski Değerlendirilmelidir

Çalışan yapay zekâyı yalnızca şirket verilerini sisteme girmek için değil, içerik üretmek için de kullanabilir.

AI tarafından;

• yazılım kodu,
• görsel,
• reklam metni,
• rapor,
• tasarım

üretilmesi fikrî mülkiyet riskleri doğurabilir.

Risk analizinde AI çıktılarının ticari ürüne doğrudan dahil edilip edilmediği ve gerekli insan kontrollerinin bulunup bulunmadığı değerlendirilmelidir.

Sözleşmesel Gizlilik Yükümlülükleri Kontrol Edilmelidir

Şirketin müşteri veya iş ortaklarıyla imzaladığı sözleşmelerde gizlilik hükümleri bulunabilir.

Bu sözleşmeler;

bilgilerin üçüncü taraf sistemlere aktarılmasını yasaklıyor olabilir.

Dolayısıyla Shadow AI risk analizi sırasında şirketin önemli gizlilik sözleşmeleri ve NDA’ları da incelenmelidir.

Özellikle müşteri projelerinde kullanılan yapay zekâ araçları için sözleşmesel izin bulunup bulunmadığı değerlendirilmelidir.

İş Hukuku Riski Değerlendirilmelidir

Çalışanların yapay zekâ kullanımına ilişkin kuralları ihlal etmesi iş hukuku bakımından sonuç doğurabilir.

Ancak şirket çalışanı disiplin yaptırımına tabi tutmadan önce;

• açık bir politikanın bulunması,
• politikanın çalışana bildirilmesi,
• çalışanın gerekli eğitimleri alması,
• ihlalin ağırlığı

gibi unsurlar önem taşır.

Bu nedenle risk analizinde yalnızca teknik koruma değil, çalışan politikalarının yeterliliği de incelenmelidir.

Dördüncü Aşama: Risk Seviyesi Belirlenmelidir

Tespit edilen her Shadow AI kullanımının aynı önemde değerlendirilmesi doğru değildir.

Şirketler riskleri örneğin;

Düşük Risk

Orta Risk

Yüksek Risk

Kritik Risk

şeklinde sınıflandırabilir.

Risk seviyesi belirlenirken iki temel faktör kullanılabilir:

Olasılık: İhlalin gerçekleşme ihtimali nedir?

Etki: İhlal gerçekleşirse şirket ne kadar zarar görür?

Bu iki unsur birlikte değerlendirilerek risk puanı oluşturulabilir.

Düşük Riskli Shadow AI Kullanımına Örnek

Pazarlama çalışanının şirket internet sitesinde zaten yayımlanmış bir ürün açıklamasını daha akıcı hâle getirmek amacıyla onaylı bir yapay zekâ aracına girmesi düşük riskli olarak değerlendirilebilir.

Burada;

kişisel veri, ticari sır veya gizli şirket bilgisi bulunmayabilir.

Orta Riskli Kullanıma Örnek

Çalışanın şirket içi ancak kritik olmayan bir raporu yapay zekâ sisteminde özetlemesi orta riskli kullanım olabilir.

Bu durumda şirket içi bilgi dış sisteme aktarılmaktadır ancak önemli bir ticari sır bulunmayabilir.

Yüksek Riskli Kullanıma Örnek

Çalışanın müşteri sözleşmesini kişisel yapay zekâ hesabına yüklemesi yüksek riskli kabul edilebilir.

Çünkü sözleşme;

kişisel veriler, ticari sırlar ve gizlilik hükümleri

içerebilir.

Kritik Riskli Kullanıma Örnek

Şirketin bütün müşteri veri tabanının veya kritik kaynak kod deposunun şirket tarafından onaylanmamış yapay zekâ sistemine aktarılması kritik risk olarak değerlendirilebilir.

Bu durumda ortaya çıkabilecek zarar çok yüksek olabilir.

Risk Matrisi Oluşturulabilir

Şirketler olasılık ve etki değerlerini bir matris içerisinde değerlendirebilir.

Örneğin;

Düşük olasılık + düşük etki = düşük risk

Yüksek olasılık + yüksek etki = kritik risk

şeklinde bir model kurulabilir.

Bu yöntem hangi risklere öncelikle müdahale edilmesi gerektiğini gösterir.

Beşinci Aşama: Risk Azaltıcı Tedbirler Belirlenmelidir

Risk tespit etmek tek başına yeterli değildir.

Her yüksek risk için somut bir tedbir planı hazırlanmalıdır.

Tedbirler;

hukuki, teknik ve idari

olarak üç grupta değerlendirilebilir.

Hukuki Tedbirler

Şirketler;

• yapay zekâ kullanım politikası,
• gizlilik taahhütnameleri,
• çalışan sözleşmeleri,
• müşteri sözleşmeleri,
• tedarikçi sözleşmeleri

üzerinde gerekli düzenlemeleri yapabilir.

Özellikle üçüncü taraf hizmet sağlayıcıların yapay zekâ kullanımına ilişkin sözleşmesel hükümler eklenebilir.

Teknik Tedbirler

Teknik tedbirler arasında;

• yasaklı AI uygulamalarına erişim kontrolü,
• veri kaybı önleme sistemleri,
• çok faktörlü kimlik doğrulama,
• erişim yetkilerinin sınırlandırılması,
• gizli dosya etiketleme sistemleri,
• kurumsal AI hesapları

yer alabilir.

İdari Tedbirler

İdari tedbirler arasında;

• çalışan eğitimleri,
• AI kullanım onay süreçleri,
• veri sınıflandırma sistemi,
• olay bildirim prosedürü,
• düzenli iç denetimler

bulunabilir.

Risk seviyesine göre bu tedbirlerin birlikte uygulanması gerekebilir.

Yeni Yapay Zekâ Araçları İçin Onay Mekanizması Oluşturulmalıdır

Shadow AI’nin en önemli nedenlerinden biri çalışanların yeni uygulamaları kendi başlarına kullanmaya başlamasıdır.

Bu nedenle şirket içerisinde basit bir AI onay süreci oluşturulabilir.

Çalışan yeni bir AI aracı kullanmak istediğinde;

uygulamanın adı, kullanım amacı ve kullanılacak veri türlerini

ilgili birime bildirebilir.

Hukuk ve bilgi güvenliği değerlendirmesi sonrasında kullanım onaylanabilir.

Onaylı ve Yasaklı AI Listeleri Hazırlanabilir

Risk analizi sonucunda yapay zekâ araçları;

Onaylı

Kurumsal kullanımına izin verilen sistemler.

Koşullu Onaylı

Yalnızca kamuya açık veya anonimleştirilmiş verilerle kullanılabilecek sistemler.

Yasaklı

Şirket işleri bakımından kullanılmasına izin verilmeyen sistemler.

şeklinde sınıflandırılabilir.

Bu sistem çalışanların hangi aracı kullanabileceklerini kolayca anlamasını sağlar.

Çalışan Eğitimleri Risk Analizinin Parçası Olmalıdır

Shadow AI vakalarının önemli bir kısmı kötü niyetten değil, farkındalık eksikliğinden kaynaklanabilir.

Çalışan;

“Ben yalnızca sözleşmeyi özetlettim.”

diyebilir.

Ancak sözleşmede ticari sır bulunabilir.

Başka bir çalışan;

“Yalnızca hata mesajını gönderdim.”

diyebilir.

Ancak hata mesajında erişim tokenı bulunabilir.

Bu nedenle eğitimlerde gerçek kullanım senaryolarına yer verilmelidir.

Departman Bazlı Risk Analizi Yapılmalıdır

Her departmanın Shadow AI riski aynı değildir.

Örneğin;

İnsan Kaynakları

CV, sağlık raporu, performans verileri.

Hukuk

Sözleşmeler, dava dosyaları, gizli belgeler.

Yazılım

Kaynak kodları, API anahtarları, sistem mimarisi.

Finans

Banka bilgileri, bütçe ve mali tablolar.

Satış

Müşteri listeleri, fiyatlandırma bilgileri.

Ar-Ge

Patent öncesi buluşlar ve teknik projeler.

Bu nedenle şirket genel risk analizine ek olarak departman bazlı değerlendirme yapılması daha sağlıklı olabilir.

Üçüncü Tarafların Shadow AI Kullanımı da İncelenmelidir

Şirket yalnızca kendi çalışanlarına odaklanmamalıdır.

Dışarıdan hizmet veren;

• yazılım şirketleri,
• danışmanlar,
• çağrı merkezi şirketleri,
• muhasebe firmaları,
• dış kaynak çalışanları

şirket verilerini kendi yapay zekâ sistemlerinde kullanabilir.

Bu nedenle tedarikçi ve hizmet sağlayıcıların yapay zekâ kullanım politikaları da değerlendirilmelidir.

Shadow AI Risk Analizi Ne Sıklıkla Yapılmalıdır?

Yapay zekâ teknolojileri çok hızlı değiştiği için risk analizinin tek seferlik yapılması yeterli değildir.

Yeni araçlar ve yeni entegrasyonlar ortaya çıktıkça şirketin risk profili değişebilir.

Bu nedenle risk analizinin;

• belirli periyotlarla,
• önemli yeni AI aracı kullanılmaya başlandığında,
• ciddi güvenlik olayı meydana geldiğinde,
• yeni müşteri veya proje gereklilikleri ortaya çıktığında

yenilenmesi gerekir.

Shadow AI Risk Analizi Kim Tarafından Yapılmalıdır?

Shadow AI risk analizi yalnızca bilgi teknolojileri departmanına bırakılmamalıdır.

Sağlıklı bir değerlendirme için;

hukuk, KVKK, bilgi teknolojileri, siber güvenlik, insan kaynakları ve ilgili iş birimleri

birlikte çalışmalıdır.

Teknik ekip uygulamanın güvenliğini değerlendirirken hukuk ekibi;

kişisel veriler, ticari sırlar, sözleşmeler ve iş hukuku

bakımından inceleme yapmalıdır.

Shadow AI Risk Analizi Sonucunda Hangi Belgeler Hazırlanabilir?

Risk analizi sonucunda şirket içerisinde;

• Yapay Zekâ Envanteri,
• Shadow AI Risk Haritası,
• Yapay Zekâ Kullanım Politikası,
• Onaylı AI Araçları Listesi,
• Yasaklı AI Araçları Listesi,
• AI Olay Müdahale Prosedürü,
• Çalışan AI Eğitim Dokümanı,
• Tedarikçi AI Uyum Prosedürü

hazırlanabilir.

Bu belgeler şirketin yapay zekâ yönetişim sisteminin temelini oluşturabilir.

Shadow AI Risk Analizi İçin Örnek Kontrol Listesi

Şirketler risk analizi sırasında şu soruları kullanabilir:

Şirket içerisinde hangi yapay zekâ araçları kullanılıyor?

Çalışanlar kişisel hesap kullanıyor mu?

Yapay zekâ sistemlerine kişisel veri aktarılıyor mu?

Özel nitelikli kişisel veriler işleniyor mu?

Ticari sırlar sisteme giriliyor mu?

Kaynak kod kullanılıyor mu?

Müşteri bilgileri aktarılıyor mu?

Sözleşmeler AI sistemlerine yükleniyor mu?

AI uygulamalarının kurumsal sistemlere erişimi var mı?

Yurt dışına veri aktarımı gerçekleşiyor mu?

Kullanılan AI araçları şirket tarafından onaylandı mı?

Çalışanlara AI eğitimi veriliyor mu?

Bir ihlal durumunda uygulanacak prosedür mevcut mu?

Tedarikçilerin AI kullanımı kontrol ediliyor mu?

Bu sorulara verilen cevaplar şirketin risk seviyesini belirlemede önemli bir başlangıç noktasıdır.

En Büyük Hata: Shadow AI’nin Bulunmadığını Varsaymak

Şirketlerin yapabileceği en büyük hatalardan biri;

“Biz yapay zekâ kullanmıyoruz.”

demektir.

Şirket kurumsal olarak herhangi bir yapay zekâ aracı satın almamış olabilir.

Ancak çalışanlar kendi hesaplarından çok sayıda yapay zekâ uygulaması kullanıyor olabilir.

Bu nedenle risk analizinin başlangıç varsayımı;

“AI kullanılmıyor.”

değil;

“AI nerelerde ve nasıl kullanılıyor?”

olmalıdır.

Sonuç

Shadow AI risk analizi, şirketlerin kontrolsüz yapay zekâ kullanımından kaynaklanan hukuki ve teknik riskleri tespit edebilmesi için giderek daha önemli hâle gelmektedir.

Etkili bir Shadow AI risk analizi yalnızca kullanılan yapay zekâ uygulamalarının listesini çıkarmaktan ibaret değildir.

Şirketin;

hangi yapay zekâ araçlarının kullanıldığını, hangi verilerin sisteme aktarıldığını, bu verilerin kişisel veri veya ticari sır içerip içermediğini, kullanılan uygulamanın güvenlik seviyesini ve olası bir ihlalin şirkete vereceği zararı

birlikte değerlendirmesi gerekir.

Riskler daha sonra düşük, orta, yüksek ve kritik gibi kategorilere ayrılabilir ve her risk için uygun hukuki, teknik ve idari tedbirler belirlenebilir.

Özellikle müşteri verileri, özel nitelikli kişisel veriler, kaynak kodları, ticari sırlar ve gizli sözleşmeler yüksek risk kategorisinde değerlendirilmelidir.

Şirketlerin ayrıca onaylı yapay zekâ araçlarını belirlemesi, çalışanların kişisel hesap kullanımını sınırlandırması, veri sınıflandırması yapması ve düzenli eğitimler vermesi önemlidir.

Shadow AI risk analizi tek seferlik bir uyum çalışması olarak görülmemelidir. Yapay zekâ araçları ve iş süreçleri değiştikçe analiz de düzenli olarak güncellenmelidir.

Yapay zekânın iş hayatında giderek daha fazla kullanılacağı düşünüldüğünde şirketlerin temel sorusu artık;

“Yapay zekâ kullanıyor muyuz?”

değildir.

Asıl soru şudur:

“Şirketimizde hangi yapay zekâ araçları kullanılıyor, hangi veriler bu sistemlere aktarılıyor ve bu kullanımların hukuki ve teknik risklerini ne ölçüde kontrol edebiliyoruz?”

Bu soruya sistematik biçimde cevap veren bir Shadow AI risk analizi, şirketlerin KVKK uyumunu, ticari sırlarını, bilgi güvenliğini ve kurumsal itibarını koruması açısından önemli bir yapay zekâ yönetişimi aracı hâline gelmektedir.