Gölge Yapay Zeka: Kurumsal Güvenliğin Görünmeyen Çatlağı

Çalışanlarınızın 'sadece bir şey sorduğunu' sandığınız o sohbet, aslında şirketinizin en değerli verisini bir yabancı sunucuya gönderiyor olabilir.

Bir sabah, mühendislik departmanından bir çalışan, yeni projeye ait teknik çizimleri "sadece hızlıca özetletmek için" bir yapay zeka aracına yüklüyor. Pazarlama ekibi, müşteri listesini "daha iyi bir e-posta taslağı yazdırmak" amacıyla bir sohbet botuna yapıştırıyor. İK, aday değerlendirme notlarını "objektif analiz" için harici bir modele gönderiyor. Hiçbiri kötü niyetli değil. Hepsi verimlilik peşinde. Ama sonuç, şirketinizin bilgi varlıklarının kontrolsüz bir şekilde kurum dışına akması.

Bu, Gölge Yapay Zeka (Shadow AI) denen olgu. Ve bugün kurumsal bilgi güvenliğinin en hızlı büyüyen, en az anlaşılan tehdidi.

Gölge BT'nin Yeni Yüzü

Gölge BT (Shadow IT) kavramı yeni değil. Çalışanların onaylanmamış bulut depolama, mesajlaşma veya proje yönetim araçları kullanması yıllardır bilgi güvenliği ekiplerinin baş ağrısı. Ancak yapay zeka, bu riski birkaç katına çıkarıyor.

Neden? Çünkü geleneksel gölge BT araçları genellikle veriyi "saklar". Bir çalışan, kurumsal olmayan bir bulut hizmetine dosya yüklerse, en azından dosya orada kalır, erişimi sınırlıdır. Ama bir LLM'e (Büyük Dil Modeli) veri göndermek farklı bir hikaye. Bu veri, modelin eğitim veri havuzuna karışabilir, başka kullanıcıların sorgularına yanıt olarak geri dönebilir, veya hizmet sağlayıcının sunucularında kalıcı olarak depolanabilir. Kontrol, bir kez elden çıktığında, geri alınamaz.

Neden Engellenmiyor?

Üç temel neden var:

1. Farkındalık eksikliği. Çoğu çalışan, bir sohbet botuna yazdığının "veri" olduğunu düşünmez. Onlar için bu, sadece bir soru. Ama o sorunun içinde müşteri isimleri, proje kodları, finansal tahminler veya stratejik kararlar olabilir.

2. Sürtünmesizlik. Kurumsal onaylı araçlar genellikle yavaş, kısıtlı veya kullanışsızdır. Çalışan, işini hızlıca halletmek istiyor ve engel görmediği yoldan ilerliyor. Bu, güvenlik politikalarının "işi yavaşlatma" algısı yaratmasıyla daha da kötüleşiyor.

3. Yönetim katının kör noktası. Üst yönetim, yapay zeka kullanımını "dijital dönüşüm" olarak kutlarken, operasyonel katmanda neler döndüğünü göremeyebilir. Bir anket, bir rapor, bir denetim — ama gerçek kullanım desenleri genellikle görünmez kalır.

TISAX 27 Açısından Bakış

TISAX 27'de, özellikle "Yüksek" ve "Çok Yüksek" koruma ihtiyacı seviyelerinde, veri sınıflandırması ve üçüncü taraf erişim kontrolü daha da sıkı hale geliyor. Gölge yapay zeka kullanımı, bu gereksinimlerle doğrudan çatışıyor. Ancak TISAX 27'nin gölge yapay zekaya karşı en keskin kılıcı, dış IT hizmetleri başlığı altında toplanan maddelerde gizli.

6.1.3 Dış IT Hizmetlerinin Kullanımı (TISAX 6'da 1.2.4)

Dış IT hizmetlerinin kullanımı, TISAX 27'nin en dikkat çekici yeniliklerinden biri. TISAX 6'daki 1.2.4 maddesi, TISAX 27'de 6.1.3 numarasıyla tamamen yeniden yazılmış; yeni dönemin en kapsamlı değişikliklerinden biri sayılıyor. TISAX 27, bir kurumun dış IT hizmetlerini kullanmadan önce sistematik bir değerlendirme yapmasını gerektiriyor. Risk analizi, sözleşme yönetimi, veri işleme koşulları — hepsi önceden tanımlanmalı. Gölge yapay zeka ise tam tersi bir süreç: değerlendirme yok, sözleşme yok, risk analizi yok. Çalışan, tarayıcıyı açıyor, bir web sitesine giriyor ve veriyi gönderiyor. Bu, TISAX 27'nin 6.1.3 maddesinin ruhuna tamamen aykırı. Üstelik gölge yapay zeka, bu maddenin hedeflediği değerlendirme sürecinin gözden kaçması ihtimalini de artırıyor: En çok kullanılan servisler, en çok denetlenmeyen servisler oluyor.

1.3.3 Şirket Verilerinin Sadece Onaylı Dış IT Servislerince İşlenmesi

Bu madde, TISAX 27'nin gölge yapay zekaya karşı en net duruşu. Şirket verileri, yalnızca onaylı dış IT servislerinde işlenebilir. Peki bir çalışan, kurumsal onay almamış bir LLM'e müşteri verisi gönderdiğinde ne olur? Veri, onaylanmamış bir serviste işleniyor. Bu, TISAX 27'nin 1.3.3 maddesinin açık ihlali. Ve bu ihlal, teknik bir "ayar hatası" değil; organizasyonel bir kontrol zafiyeti.

5.3.3 Hizmet Sonunda Dış IT Servisindeki Verinin İadesi

Bir dış IT hizmeti sonlandırıldığında, o serviste kalan verinin kuruma iade edilmesi veya güvenli bir şekilde imha edilmesi gerekiyor. Peki gölge yapay zeka kullanımında bu nasıl sağlanır? Hangi verinin hangi modele gönderildiğini bilmiyorsanız, iade talep edemezsiniz. Hangi sunucuda, hangi veri merkezinde, hangi yedekleme bandında durduğunu bilmiyorsanız, imha edemezsiniz. Gölge yapay zeka, verinin yaşam döngüsü yönetimini tamamen imkansızlaştırıyor.

5.3.4 Dış IT Servislerinde Müşteri Ayrımı

TISAX 27, bir dış IT servis sağlayıcının farklı müşterilerinin verilerini birbirinden ayırmasını ve bu ayrımın teknik ve organizasyonel olarak garanti altına alınmasını istiyor. Ancak popüler yapay zeka servisleri, verileri model eğitiminde kullanma politikalarına sahip. Bugün gönderdiğiniz bir teknik doküman, yarın başka bir kullanıcının sorgusuna yanıt olarak — belki de bir rakibinizin sorgusuna — geri dönebilir. Müşteri ayrımı, burada sadece bir veri merkezi izolasyonu değil; bir fikri mülkiyet riski.

ISO 27001 ve KVKK Bağlamı

ISO/IEC 27001:2022'nin A.5.7 (Tehdit istihbaratı) ve A.5.24 (Bilgi güvenliği olay planlaması ve hazırlığı) kontrolleri, bu tür yeni nesil tehditlerin sistematik olarak izlenmesini zorunlu kılıyor. Gölge yapay zeka, artık "teknik bir ayrıntı" değil; bir uyum meselesi.

KVKK açısından da durum farklı değil. Kişisel verilerin yurt dışına aktarımı, açık rıza veya yeterli korumaya sahip ülkeler listesi şartlarına tabi. Ama bir çalışan, aday değerlendirme notlarını veya müşteri temsilcisi bilgilerini bir yabancı sunucuya gönderdiğinde, bu şartların hiçbiri karşılanmıyor. Veri sorumlusu olarak siz, bu aktarımdan sorumlusunuz — farkında olsanız da olmasanız da.

Stratejik Yaklaşım: Engellemek Değil, Yönlendirmek

En kötü strateji, yapay zeka kullanımını tamamen yasaklamak. Çalışanlar, zaten yasakları aşıyor. Daha iyisi, güvenli bir koridor oluşturmak:

Keşif. Ağ trafiği analizi, endpoint yazılımları ve kullanıcı davranış analitiği ile hangi AI araçlarının kullanıldığını tespit edin. Bu, sadece bir envanter değil; bir risk haritasıdır.

Eğitim, değil farkındalık. "Yapay zeka kullanmayın" demek yerine, "şu verileri şu araçlara göndermek şu riski yaratır" demek. Somut örnekler, somut senaryolar. Özellikle TISAX 27'nin 1.3.3 maddesini somutlaştırın: onaylı olmayan bir servise veri göndermek, sadece bir ihlal değil; bir sızıntı riskidir.

Onaylı alternatifler. Kurumsal lisanslı, veri işleme anlaşması imzalanmış, içeride veya güvenli bölgede çalışan AI araçları sunun. Çalışanın ihtiyacını karşılayan, güvenliği de riske atmayan bir araç seti. Böylece 6.1.3'ün gerektirdiği değerlendirme süreci, onaylı kanallar için işlerken, gölge kanallar kendiliğinden azalır.

Politika, değil kültür. Yazılı bir politika yeterli değil. "Veri, sadece onaylı kanallardan akar" anlayışı, kurum kültürünün bir parçası olmalı. Bu, liderlikten örnek davranışlarla beslenir. Ayrıca, hizmet sonlandırma senaryolarında (5.3.3) verinin nasıl iade edileceği veya imha edileceği, sözleşmelerde netleştirilmeli.

Son Söz

Gölge yapay zeka, teknik bir zafiyet değil; organizasyonel bir kör nokta. Çalışanlarınız kötü niyetli değil, sadece verimli olmak istiyor. Ama bu verimlilik arzusu, bilgi güvenliğinizin en zayıf halkası olabilir.

TISAX 27, ISO 27001, KVKK — tüm bu çerçeveler, verinin nerede, nasıl ve kiminle paylaşıldığını bilmenizi istiyor. Gölge yapay zeka, bu bilginin tam olarak karşıtı. Kontrolsüz, görünmez ve hızla yayılıyor.

Sormanız gereken soru şu: Şirketinizde bugün, hangi veri, hangi sohbet penceresinden geçiyor?

Bu yazı, Tutulemma'nın "Düşünce Deneyleri" serisinin bir parçasıdır. Farklı bir açıdan bakmak, farklı sorular sormak ister misiniz?