Çalışanların çoğu artık işte yapay zeka kullanıyor. Peki kurumların kaçı kimin neyi kullandığını biliyor? Salesforce'un 2026 araştırmasına göre çalışanların %67'si işte yapay zeka kullanıyor, ama kurumların yalnızca %18'inin resmi bir yapay zeka güvenlik politikası var.1 Araç her yere girdi, kural henüz gelmedi.
Yapay zekada asıl mesele bir süredir "kullanan çok, kazanan az" idi. 2026'da buna bir katman daha ekleniyor: kullanan çok, yöneten daha da az. Bu yazıda tam olarak o boşluğu, yani gölge yapay zekayı ve kurumsal yönetişimi ele alıyoruz.
Gölge yapay zeka, çalışanların kurumun onayı ve denetimi olmadan kullandığı yapay zeka araçlarının tümü. Eski "gölge BT"nin yapay zeka çağındaki hali; ama çok daha hızlı yayılıyor ve çok daha görünmez.
Ölçeği rakamlar anlatıyor. Bir araştırmaya göre kurumların %80'i iş gücünde orta ile yaygın düzeyde gölge yapay zeka kullanımı bildiriyor; ama yalnızca %25'i çalışanların yapay zekayı nasıl kullandığına dair tam görünürlüğe sahip.2 Çalışanların yaklaşık yarısı bu araçlara, kurumsal kontrolleri baypas ederek kişisel hesaplarından erişiyor.3 Farklı araştırmalar, onaysız araç kullanan çalışan oranını %55 ile %78 arasında buluyor.3
Burada önemli bir nokta var: Bu bir başkaldırı değil. Çalışanların %27'si onaysız araçları, kurumun sunduğu onaylı araçlardan daha iyi çalıştıkları için kullanıyor.4 Yani gölge yapay zeka çoğu zaman bir isyanın değil, bir eksikliğin sonucu. Üstelik sorun artık tek bir tarayıcı sekmesiyle sınırlı değil: Yapay zeka etkileşimlerinin yaklaşık %70'i, zaten onaylı SaaS uygulamalarının içine gömülü özellikler üzerinden gerçekleşiyor; bu da onaylıyla onaysızı ayırmayı iyice zorlaştırıyor.5
Gölge yapay zekanın en somut etkisi bütçede görülüyor, çünkü bu araçlar çoğunlukla masraf formları ve şirket kredi kartlarıyla, satın alma sürecinin dışından giriyor. Zylo'nun 2026 SaaS Yönetim Endeksi'ne göre masraf bazlı yazılım harcaması yıllık %267 arttı ve ChatGPT artık en çok masraflaştırılan uygulama.6 Yapay zekanın çekirdek olduğu uygulamalara yapılan harcama genel olarak %108, büyük kurumlarda ise yaklaşık %400 büyüdü.6
Sonuç, sürpriz faturalar oluyor. Aynı endekse göre BT liderlerinin %78'i son bir yılda kullanım bazlı ya da yapay zeka fiyatlandırmasına bağlı beklenmedik ücretlerle karşılaştı; %61'i ise plansız maliyet artışları yüzünden proje kesmek zorunda kaldı.6 Bunun bir sebebi de kontrolün dağılması: İş birimleri artık SaaS harcamasının %81'ini yönetirken, BT'nin doğrudan yönettiği pay yalnızca %15.6
Bir de yapay zekanın kendine has bir dalgalanması var. BetterCloud'un verisine göre 2025'te token fiyatları %80 düşmesine rağmen toplam harcama %320 arttı.7 Maaş gibi sabit ve öngörülebilir bir gideri düşünün; yapay zeka harcaması tam tersi, yani dinamik, dağınık ve çoğu zaman iş işten geçene kadar görünmez.
Görünmez araç, görünmez risk demek. Çalışanlar müşteri verisini, kodu ya da gizli belgeleri denetimsiz araçlara girdiğinde, veri sızıntısı ve uyum ihlali riski doğrudan artıyor. Dahası bu olayları fark etmek de zorlaşıyor: Veri akışlarını izlemek güçleştiği için yapay zeka kaynaklı güvenlik olaylarının tespiti yaklaşık %26 daha uzun sürüyor.5
Gartner, kurumsal üretken yapay zeka uygulamalarının %25'inin 2028'e kadar yılda en az beş küçük güvenlik olayı yaşayacağını öngörüyor; 2025'te bu oran %9'du.8 Buna karşılık hazırlık zayıf: Kurumların yalnızca %37'sinin bir yapay zeka yönetişim politikası var3 ve yalnızca %15'i kabul edilebilir kullanım politikalarını yapay zekayı kapsayacak şekilde güncellemiş.5 Düzenleme tarafı da yaklaşıyor: 2026'da yapılan uyum denetimlerinin dörtte birinin, yapay zeka araçlarının ve veri kullanımının yönetişimini sorgulaması bekleniyor.5 Kısacası gölge yapay zeka artık bir BT ayrıntısı değil, yönetim kurulu düzeyinde bir sorumluluk.
Buradaki en önemli çıkarım şu: Alternatif sunmadan yasaklamak, kullanımı azaltmaz; yalnızca görünürlüğü azaltır.4 Çalışan, onaylı araç işini görmüyorsa onaysız aracı kullanmaya devam eder; tek fark, artık bunu sizden gizli yapar. Nitekim araştırmalar, iyi ve onaylı alternatifler sunulduğunda onaysız kullanımın hızla düştüğünü gösteriyor.4
Yani yönetişim bir yasak listesi değil; bir görünürlük ve olanak sağlama meselesi. Amaç yapay zeka kullanımını durdurmak değil, onu görünür, güvenli ve yönetilebilir kılmak.
Pratikte işleyen çerçeve birkaç adımda özetlenebilir:
Zylo'nun vurguladığı gibi asıl risk toplam uygulama sayısı değil, hız: araçların ne kadar hızlı girip çıktığı. Giriş disiplini ve sahiplik netliği olmayan kurumlar, etkinleştirmeye çalıştıkları yeniliğe yetişemiyor.6
Türkiye'de resmi yapay zeka kullanımı görece düşük: TÜİK verilerine göre girişimlerin yaklaşık %7,5'i en az bir yapay zeka teknolojisi kullanıyor ve hukuki belirsizlik, benimsemenin önündeki en büyük engellerden biri.9 Ama gölge yapay zeka için resmi benimseme oranı yanıltıcıdır: Kurum kullanmıyor olsa bile, çalışanlar kişisel hesaplarından zaten kullanıyor olabilir. Yani düşük resmi oran, düşük risk anlamına gelmiyor; çoğu zaman sadece düşük görünürlük anlamına geliyor.
Dışa dönük çalışan kurumlar için ek bir baskı da düzenleme tarafından geliyor: AB Yapay Zeka Yasası'nın yükümlülükleri 2026 boyunca aşamalı olarak yürürlüğe giriyor ve Avrupa'ya ürün veya hizmet satan Türk şirketleri için şeffaflık ve yönetişim artık isteğe bağlı değil. Bu yüzden Türkiye'deki kurumlar için de doğru ilk adım aynı: önce görünürlük, sonra basit bir politika ve onaylı alternatifler.
Bir teknoloji holdingi olarak yazılım ve yapay zeka tarafında ürün geliştirirken izlediğimiz ilke net: Yönetişim, yapay zekayı yavaşlatmak için değil, ondan güvenle değer üretmek için var.
Kısacası fark, aracı yasaklamakta değil; kimin, neyi, hangi veriyle kullandığını görebilmekte.
Herkes yapay zeka kullanıyor. Kazanan ile kaybedeni ayıracak soru ise giderek netleşiyor: Kim yönetiyor? Görünmeyen araçlar, görünmeyen harcamalar ve görünmeyen riskler bir süre fark edilmeden birikir; sonra hepsi birden bir bütçe sürprizi, bir veri sızıntısı ya da bir uyum sorunu olarak geri döner. Yönetişim, bu dağınıklığı kalıcı bir değere çeviren şeydir. Kısacası önemli olan yapay zekayı ne kadar hızlı benimsediğiniz değil, onu ne kadar görünür ve yönetilebilir tuttuğunuz.
Gölge yapay zeka tam olarak nedir? Çalışanların kurumun onayı ve denetimi olmadan kullandığı yapay zeka araçlarının tümüdür. Eski "gölge BT"nin yapay zeka çağındaki karşılığıdır; ChatGPT gibi araçların kişisel hesaplardan iş için kullanılması buna dahildir.
Neden bu kadar yaygın? Çünkü çalışanlar araçları, kurumlar politikaları hazırlayabildiğinden daha hızlı benimsiyor. Çoğu zaman sebep başkaldırı değil, onaylı araçların ihtiyacı karşılamaması. Çalışanların %27'si onaysız araçları daha iyi çalıştıkları için kullanıyor.4
Yasaklamak çözüm mü? Hayır. Alternatif sunmadan yasaklamak kullanımı azaltmaz, yalnızca görünürlüğü azaltır. İyi ve onaylı alternatifler sunulduğunda onaysız kullanım hızla düşüyor.4
En büyük riskler neler? Üç başlıkta toplanıyor: veri sızıntısı ve uyum ihlali, kontrolsüz ve öngörülemez harcama, bir de bu olayların geç fark edilmesi. Yapay zeka kaynaklı güvenlik olaylarının tespiti yaklaşık %26 daha uzun sürüyor.5
Nereden başlamalı? Görünürlükten. Hangi araçların gerçekten kullanıldığını envanterleyin, sonra basit bir politika yazıp onaylı alternatifler sunun ve maliyeti izleyin. Amaç yasaklamak değil, kullanımı görünür ve yönetilebilir kılmak.
RedTeam Partner, "Shadow AI: 67% of Employees Use AI Tools at Work" (Salesforce 2026 Workforce AI Survey aktarımı), Mart 2026. https://redteampartner.com/blog/shadow-ai-enterprise-risk/ ↩
Optro, "Shadow AI stats for 2026: The hidden adoption gap defining enterprise risk," Haziran 2026. https://optro.ai/blog/shadow-ai-stats ↩
Vectra AI, "Shadow AI explained: risks, costs, and enterprise governance" (Netskope 2026 ve IBM 2025 verileri), 2026. https://www.vectra.ai/topics/shadow-ai ↩ ↩2 ↩3
MarkTechPost, "Enterprise AI Governance in 2026: Why the Tools Employees Use Are Ahead of the Policies," Mayıs 2026. https://www.marktechpost.com/2026/05/13/enterprise-ai-governance-in-2026-why-the-tools-employees-use-are-ahead-of-the-policies-that-cover-them/ ↩ ↩2 ↩3 ↩4 ↩5
JumpCloud, "11 Stats About Shadow AI in 2026," Şubat 2026. https://jumpcloud.com/blog/11-stats-about-shadow-ai-in-2026 ↩ ↩2 ↩3 ↩4 ↩5
Zylo, "2026 SaaS Management Index," Ocak 2026. https://zylo.com/news/2026-saas-management-index ↩ ↩2 ↩3 ↩4 ↩5
BetterCloud (CoreStack), "AI and the SaaS industry in 2026," 2026. https://www.bettercloud.com/monitor/saas-industry/ ↩
Gartner, "Gartner Predicts 25% of All Enterprise GenAI Applications Will Experience At Least Five Minor Security Incidents Per Year By 2028," 9 Nisan 2026. https://www.gartner.com/en/newsroom/press-releases/2026-04-09-gartner-predicts-25-percent-of-all-enterprise-gen-ai-applications-will-experience-at-least-five-minor-security-incidents-per-year-by-2028 ↩
TÜİK, Girişimlerde Bilişim Teknolojileri Kullanım Araştırması, 2025. https://veriportali.tuik.gov.tr/tr/press/54012 ↩