Son aylarda yapay zekâ sohbetinin odağı değişti. Artık masada “yapay zekâyı kullanacak mıyız” sorusu yok; “işe yaradığını nasıl ispatlayacağız” sorusu var. Satın alma kısa listeyi biliyor, hukuk model kullanım politikasının taslağını yarıladı, finans ekibinin birileri de kendi parasıyla aldığı bir chatbot’a yönetim kurulu notlarını zaten yapıştırmış durumda. Tüm bunları yakalayacak program ise hâlâ taslak hâlinde.
Bu, bizim işimizi satın alan taraf için soyut bir risk değil. Gölge yapay zekâ, bir sonraki yılın bütçesindeki sayılamayan satır: çalışanlar kendi cebinden ödediği için senin ödemediğin lisanslar, varlık envanterinde olmayan bir araç yüzünden üretemediğin denetim kanıtı ve güvenlik ekibinin göremediği bir sekmeden sızan veri. 2027’de yanında olmak isteyeceğim şirketler, bunu şimdi bir program olarak ele alanlar; sonra sürpriz yaşayanlar değil.
Yani bu yazı benim yüksek sesle fikir söylediğim bir yazı değil. Beş adlı pratisyenin bu yıl kurumsal gölge yapay zekâ yönetişiminin nerede tıkandığına dair yayımladıklarını okudum, boşluğu neyin kapattığını onların ağzından aktarıyorum. Sonuna da gerçek bir WordPress veya WooCommerce estate’inde bu önerinin ne göründüğünü ekliyorum. Çünkü yazının yarısını yazan herkes var, ama o yarıyı yazmayan hiç kimse yok.
Yazıdaki Beş Ses
- Ray Canzanese, Direktör, Netskope Threat Labs; Cloud and Threat Report 2026 (12 Ocak 2026).
- Todd Larsen, Başkan, Global Nexis Solutions, LexisNexis Legal & Professional; Future of Work Report 2026 (19 Mart 2026).
- Keith Bloomfield-DeWeese, Kıdemli Yönetici, AI Product Development, ISACA; ISACA 2026 AI Pulse Poll (5 Mayıs 2026).
- Ulrika Dellrud, Chief Privacy and Data Ethics Officer, Smarter Contracts; ISACA Emerging Trends Working Group üyesi (aynı bültende).
- Jared Spataro, Chief Marketing Officer, AI at Work, Microsoft; 2026 Work Trend Index (5 Mayıs 2026), CIO Africa aktarımıyla (12 Mayıs 2026).
Kullanım, Onu Yakalayacak Politikayı Geride Bıraktı
Beş sesin ortak noktası basit bir aritmetik. Kurum içinde üretken yapay zekâyı kullanan kişi sayısı, bu kullanımın nasıl yapılacağını söyleyen herhangi bir politikanın kapsadığı sayıdan fazla.
Bloomfield-DeWeese boşluğun şeklini belirliyor. ISACA 2026 AI Pulse Poll, 3.400’den fazla dijital güven profesyoneliyle yapılmış; yüzde 38 kurumun kapsamlı resmî bir yapay zekâ politikası var, 2025’teki yüzde 28’den yukarı. Yüzde 30’un sınırlı bir politikası var. Dörtte birinin aktif yapay zekâ politikası hiç yok. Katılımcıların yüzde 90’ı ise çalışanların yine de yapay zekâ kullandığını düşünüyor. Onun ifadesini seviyorum, çünkü kolay zafer ilanını reddediyor: “Çok erken zafer ilan etme dürtüsüne direnen kurumlar, oraya en çok ulaşabilecek olanlar.”
Larsen’ın tarafı LexisNexis Future of Work Report 2026‘dan geliyor; yirmiden fazla sektörden 1.400 profesyonel. Profesyonellerin yüzde 53’ü resmî onay olmadan üretken yapay zekâ kullandığını söylüyor. Yüzde 28’inin kurumunun resmî politikası yok. Yüzde 55’i araçlar için kendi parasını ödüyor ve ödeyenlerin yüzde 60’ı bunları işte kullanıyor. Onun kendi çerçevesi oldukça yalın: “Üretken yapay zekâ artık kurum çapında günlük iş akışlarına gömülü. Güvenilir, otoriter veri, net yönetişim ve insan hesap verebilirliği istiyor.”
İki araştırmayı yan yana okuduğunda tartışılacak bir şey kalmıyor. Politika ya kâğıt üstünde var ya yok; her iki durumda da iş gücü bunun kendisi için geçerli olmadığına çoktan karar vermiş.
Gölge Yapay Zekâ Teknik Bir Atlatma Değil, Olmayan Bir Programın Yerine Kurulmuş Bir Düzenek
Canzanese meseleye kurumun diğer tarafından, yani olayları sayan taraftan bakıyor. Netskope Cloud and Threat Report 2026, Ekim 2024-Ekim 2025 arası telemetrisine dayanıyor; ortalama bir kurumda ayda 223 yapay zekâ kaynaklı veri politikası ihlali kaydediliyor. En üst çeyrekte bu sayı ayda 2.100. İhlallerin yüzde 54’ü düzenlenmiş veriyi kapsıyor: perimetrenin dışına çıkmaması gereken kişisel, finansal veya sağlık verisi. Üretken yapay zekâ kullanıcılarının yüzde 47’si araçlarına hâlâ kişisel, yönetilmeyen hesaplarla ulaşıyor. İçeriden gelen tehdit vakalarının onda altısında kişisel uygulamalar var.
Bunun bir güvenlik ekibi için ne demek olduğuna dair okuması, politika sohbetinin genelde kaçırdığı yeri yakaladığı için uzun aktarılmaya değer:
“Kurumsal güvenlik ekipleri sürekli değişim ve yeni risk hâlinde yaşar; kurumlar evrilir, saldırganlar yenilenir. Ama üretken yapay zekâ benimseme kaleleri yerinden oynattı. Kapsamı ve karmaşıklığı birçok ekibi şaşırtan bir risk profili; o kadar ki ekipler hıza yetişmeye çalışırken bazı güvenlik temellerini kaçırıyormuş gibi görünüyor.”
Ray Canzanese, Direktör, Netskope Threat Labs, IT Pro aktarımı, 12 Ocak 2026
Canzanese’nin pozisyonunun bir alıcı için en işe yarayan kısmı, gölge yapay zekâyı “yaramaz çalışan” çerçevesinden çıkarması. İnsanlar kişisel hesap kullanıyor çünkü kurumsal araç henüz devreye alınmamış, ya ağır çalışıyor ya da ellerindeki kullanım senaryosuna uymayan tek bir seçeneğe kilitlenmiş. İhlal sayısı belirti. Olmayan program ise asıl koşul.
Liderlik Açığı, Teknoloji Açığı Kadar Gerçek
Dellrud, ISACA bülteninde Emerging Trends Working Group sıfatıyla şöyle söylüyor: “Liderlik açığı, teknoloji açığı kadar gerçek” ve “Yapay zekâda başarı yalnızca inovasyona değil, disiplinli yönetişime bağlı olacak.” Aynı araştırmadan bir yönetim kurulunu rahatsız etmesi gereken destekleyici rakamlar: katılımcıların yüzde 39’u kurumunda bir yapay zekâ sistemini kapatmak veya devre dışı bırakmak için belgelenmiş bir süreç olup olmadığını bilmiyor; yüzde 56’sı güvenlik olayı sonrası bir sistemi durdurmanın ne kadar süreceğini bilmiyor.
Spataro, Microsoft’un 2026 Work Trend Index bülgüsünde, on ülkede 20.000 çalışan araştırmasıyla, aynı noktaya adopsiyon tarafından geliyor. “Frontier Firm’ler yapay zekâyı etrafında bilinçli olarak iş akışları tasarlayarak uzun vadeli değer yaratan kurumlardır” diyor ve ekliyor: “Asıl ayırt edici, kurumların işi onun etrafında nasıl yapılandırdığı.” Raporun altındaki asıl sayı, slayta çivilenmeyi hak eden şu: yapay zekâ kullanıcılarının yalnızca yüzde 26’sı liderliklerinin yapay zekâda net ve tutarlı şekilde hizalandığını söylüyor. Yüzde 65 yeterince hızlı adapte olmazsa geride kalacağından korkuyor. Yüzde 13 işi yeniden icat etmek için ödüllendirildiğini söylüyor.
Dellrud ile Spataro’nun yararlı biçimde ayrıştığı yer, nereden başlanacağı. Dellrud’un argümanı aşağıdan yukarı: standartları, kapatma prosedürünü, hesap verebilirlik zincirini sabitle. Spataro’nunki yukarıdan aşağı: kontrolleri yeniden şekillendirmeden önce işin kendisini yeniden şekillendir. Dürüst cevap şu: çoğu kurum ikisini de yapmıyor; işleyen yönetişim programı ise ikisini birden tutan oluyor.
Yetki Vermeyen Eğitim, Eğitim Değildir
Bir denetim komitesini yakalayacak bulgu da burada. Larsen’ın araştırması zorunlu yapay zekâ eğitiminden geçen insanlara ne yaptıklarını sormuş. Zorunlu eğitimi alanların yüzde 74’ü hâlâ yetkisiz üretken yapay zekâ kullanımı rapor ediyor. Yüzde 19 hiç eğitim almamış. Yüzde 64 kendini üretken yapay zekâyı sorumlu kullanmakta çok veya aşırı özgüvenli hissediyor; henüz kimsenin hak etmediği bir özgüven oranı. Kurumların yüzde 51’i iç yapay zekâ ajanları başlattığını söylüyor; çalışanların yalnızca yüzde 44’ü bu ajanların ne yaptığını net biliyor.
Dört sesi birleştirince gölge yapay zekâ yönetişim boşluğu belirli bir şekle giriyor: tam var olmayan bir politika, buna rağmen araçları kişisel hesaplarla kullanan bir iş gücü, tutarlı biçimde hizalanmamış bir liderlik ekibi ve davranışı değiştirmeyen eğitim programları. Dördünden hiçbiri tek başına açıklama değil. Hepsi ise ölçülmüş.
Bu, Gerçek Bir WordPress Estate’inde Nasıl Kurulur
Yukarıdaki önerilerin her biri bir yerde uygulama katmanına değiyor. İşte bunların bir WordPress veya WooCommerce estate’inde değdiği yer. Bir çeyreklik odaklanmış işle makul bir orta ölçekli veya kurumsal programın gönderebileceği kısa liste; eksiksiz bir katalog değil.
1. Sağlayıcı listesi, politika katmanında değil anahtar katmanında zorunlu kılınır. Politika “yalnızca onaylı sağlayıcı” diyorsa ve zorunlu kılma bir PDF’teki satır ise niyeti ölçüyorsundur. API anahtar yönetimini editöryal ve pazarlama ekibinin aşamayacağı bir secrets store’da merkezileştir (WordPress VIP’de ortam kapsamlı anahtarlar, yönetilen barındırmada eşdeğer izolasyon kullanıyoruz), yapay zekâ yeteneklerini editöre bu anahtarları sunucu tarafında çağıran ince bir iç eklentiyle sun, her çağrıyı logla. Orta ölçekli bir estate’te iki-üç sprint.
2. Editör ekibinin fiilen deneyimlediği bir tarayıcı tarafı DLP tutumu. Netskope raporundaki aylık 223 ihlal rakamı yalnızca bir aracın izlemesi sayesinde ölçülebiliyor. WordPress merkezli bir estate’teki karşılığı, kadronun içerik yazmak için kullandığı tarayıcılara kapsamlı, onaylı olmayan kaynaklara yapıştırmayı engelleyen veya uyaran bir CASB veya endpoint tutumu. Satın alma ve kurulum WordPress’in dışında ama entegrasyon listesini, yani hangi kaynaklara izin verildiğini, hangilerinde uyarıp logladığını, hangilerinin engellendiğini editöryal lider yazar; yalnızca güvenlik değil. Uçtan uca bir çeyrek, herhangi bir engellemeden önce iki haftalık taban ölçümü dahil.
3. Yayımlanan her içerik parçası için bir açıklama taksonomisi. Bu WordPress-yerli bir çalışma ve en çok ihmal edilen parça. Human-written, AI-assisted ve AI-generated terimleriyle bir content_provenance taksonomisi kaydet. Yayımlayan her içerik tipine ekle. Editörde zorunlu alan olarak göster; alan dolmadan yazıyı yayımlamayı reddeden bir publish-gate filtresi kur. Ön yüzde küçük, dürüst bir etiket olarak göster. Bir block theme’de dört-altı günlük iş; Larsen’ın önerisini (“insan hesap verebilirliği”) ve Dellrud’un önerisini (izlenebilirlik) tek bir nesnede taşıyor.
4. Confluence sayfası olmayan bir kill switch. Dellrud’un bulgusu, katılımcıların yüzde 56’sının bir yapay zekâ sistemini durdurmanın ne kadar süreceğini bilmemesi; ateşi yakması gereken bulgu bu. WordPress estate’inde karşılığı yetenek bazında (eklenti bazında değil) bir feature flag; wp_options veya bir feature-flag servisi üstünden telli, bir shift lead’in beş dakika altında icra edebileceği belgelenmiş bir runbook’la birlikte. Çeyrekte bir, süreli bir tatbikatla test et ve sonucu sakla. Yarım sprintlik kurulum, sonrasında ayakta duran bir maliyet.
5. Davranışla ölçülen bir eğitim programı; tamamlama ile değil. Larsen’ın yüzde 74 rakamı, eğitim programının gün ışığında başarısız olmasıdır. Kimsenin hatırlamadığı zorunlu kursu, onaylı araca erişim iş akışıyla değiştir: kayıt, bir editörün onaylı yapay zekâ yeteneğini kullanmasının tek yolu olsun. Davranış değişimi DLP log’u ve content_provenance taksonomisi üzerinden izlensin. Kadro Q2’de eğitilip Q3’te yetkisiz-yapıştırma sayısı düşmediyse eğitim tiyatroydu ve bütçe kalemi kapanır. Ölçüm, 2. ve 3. adım gönderildiğinde ucuz.
Dürüstçe kapsanmış toplam efor, orta ölçekli bir estate için odaklanmış bir çeyrek; ortak bir yönetişim katmanı altında dört-beş marka sitesi işleten bir grup için iki. Bütçeyi Netskope’un en üst çeyrek 2.100 aylık ihlal rakamına karşı yap; bu rakam, o ölçekteki bir kurumsan muhasebe defterinin sayılmayan tarafının sana zaten maliyeti.
Hâlâ Çözülmeyen Ne
İki şey, dürüstçe. Birincisi, beş sesin hiçbirinin içerik sisteminin sınırını aşıp hareket eden ajanlar konusunda ikna edici bir cevabı yok. Netskope’un Temmuz 2026 takip raporu, kullanıcının erişmemesi gereken veriyi bir yapay zekâ servisinin geri döndürdüğü downstream politika ihlalini kurumsal yapay zekânın en sık ikinci ihlali olarak öne çıkarıyor. Bu çeyrekte okuduğum hiç kimsenin üretimde oturmuş bir yönetişim deseni yok. Biz ilgiyle izliyoruz ve henüz güvenli bir öneri taşımıyoruz.
İkincisi ölçüm sorusu; Spataro’nun kendi raporu bile çözmekten kaçınıyor. Çalışanların yüzde 65’i geride kalmaktan korkuyorsa ve yalnızca yüzde 13’ü işini yeniden icat ettiği için ödüllendirildiğini söylüyorsa, gölge yapay zekâ yönetişim programı ihlal sayısını bastırmakta başarılı olup değer yakalamakta başarısız olabilir. Bu güvenlik ekibinin değil, yönetim kurulunun sohbeti; önümüzdeki on iki ayın bütçe döngüleri bunu beton gibi döküp sabitlemeden yapılması gereken sohbet. Kurumunda bu sohbet gecikmişse, WordPress VIP ajansı sayfamız genellikle sohbetin başladığı yer.
Last modified: Ekim 28, 2026
