Bir güvenlik satıcısı size "shadow AI çözümü" satıyorsa, ne aldığınızı iki soruyla anlarsınız: bu ürün hangi aracın kullanıldığını mı görüyor, yoksa o araca ne yazıldığını mı? İkisi çok farklı yetenekler ve çoğu şirket yanlış olanı satın alıyor.
Gölge AI: onaysız araç kullanımı
Gölge AI, çalışanların şirketin onaylamadığı yapay zeka araçlarını kullanmasıdır. Terim doğrudan "gölge BT"den (shadow IT) türedi — çalışanın BT departmanından habersiz kullandığı Dropbox hesabı neyse, kişisel ChatGPT hesabı da odur.
Tipik tespit yöntemi ağ katmanındadır: güvenlik duvarı, güvenli web ağ geçidi veya CASB, bilinen AI alan adlarına giden bağlantıları kaydeder. Bu size şunu söyler: 47 çalışan chatgpt.com'a bağlandı.
Söylemediği şey: ne yazdıkları.
Shadow prompting: görünmeyen talimat
Shadow prompting ise istem katmanıyla ilgilidir. Terimi ayrıntılı açtığımız yazıda dört ayrı anlamı olduğunu gösterdik, ama hepsinin ortak noktası şu: modele giden veya modelden gelen bir şey, ilgili taraftan gizlenmiş durumda.
Ağ katmanı bunu göremez. Trafik şifrelidir ve zaten görebilseniz bile bir HTTPS bağlantısında "bu istek meşru işti" ile "bu istek freelance müşteri projesiydi" ayrımını yapamazsınız.
Aradaki farkın pratik sonucu
| Soru | Gölge AI aracı | İstem seviyesi denetim |
|---|---|---|
| Hangi çalışan hangi AI aracını kullanıyor? | Evet | Kısmen |
| Onaysız bir araç kullanılıyor mu? | Evet | Hayır |
| Şirket koltuğu iş dışı kullanılıyor mu? | Hayır | Evet |
| Bir isteme API anahtarı yapıştırıldı mı? | Hayır | Evet |
| Tek hesabı kaç kişi paylaşıyor? | Kısmen | Evet |
| Onaylı bir araçtaki riskli kullanım | Hayır | Evet |
Son satır kritik. Gölge AI araçları tanım gereği onaysız kullanıma odaklanır. Şirket Claude Team aboneliğini kendisi satın aldıysa, o kullanım onaylıdır ve gölge AI radarına düşmez — çalışan onu ne için kullanırsa kullansın.
"Onaylı araç listemiz var, gölge AI sorunumuz yok" cümlesi yanıltıcıdır. Onaylı araçta yapılan onaysız iş, gölge AI araçlarının kör noktasıdır. Ödenen koltuğun iş dışı kullanımı tam olarak burada gerçekleşir.
İki ayrı kör nokta, iki ayrı çözüm
Gölge AI kör noktası: Çalışan kişisel hesabıyla, kişisel cihazından, kurumsal ağ dışından bir AI aracı kullanıyor. Ağ katmanı görmez, koltuk kayıtları görmez, hiçbir API bunu raporlamaz. Bunu ancak uç nokta ajanı veya tarayıcı uzantısı yakalar — ve bunlar da kişisel cihazlarda kurulamaz.
İstem seviyesi kör noktası: Çalışan şirketin ödediği koltukta, kurumsal ağdan, tamamen görünür biçimde çalışıyor. Her şey kayıtlı. Ama kimse ne yazdığına bakmıyor, çünkü bakmak için ya kurumsal plan API'si ya da export dosyası gerekiyor.
İkinci kör nokta daha kolay kapatılır ve genellikle daha büyüktür. Şirket zaten parayı ödemiştir; ölçmemek bir tercih meselesidir, imkânsızlık değil.
Hangi sıra doğru?
Deneyimimize göre şu sıra işe yarıyor:
- Önce ödediğinizi ölçün. Elinizdeki koltukların nasıl kullanıldığını görün. Veri zaten sizin, izin sorunu en az burada, sonuç en somut.
- Sonra onaylı alternatifi yaygınlaştırın. Sektör verileri, onaylı araç sağlandığında onaysız kullanımın belirgin biçimde düştüğünü gösteriyor. İnsanlar yasak olduğu için değil, iyi bir seçenek olmadığı için kişisel hesap açıyor.
- En son ağ ve uç nokta katmanına inin. Bu en pahalı, en çok direnç doğuran ve gizlilik açısından en hassas adım. İlk ikisi çözülmeden buraya geçmek gereksiz çatışma üretir.
Terminolojiyi neden önemsemelisiniz
Satın alma toplantısında "shadow AI çözümü arıyoruz" dediğinizde, karşınızdaki satıcı büyük olasılıkla size ağ keşif aracı gösterecek. Eğer sorununuz "ödediğim koltuk iş dışı kullanılıyor mu" ise o araç size cevap veremez.
Doğru cümle şu: "Onaylı AI koltuklarımızda yapılan işin ne kadarının şirket işi olduğunu görmek istiyoruz." Bu cümle satıcıyı doğru ürüne veya dürüst bir "bunu yapmıyoruz" cevabına zorlar.
shadowprompting onaysız araç keşfi yapmaz. Ödediğiniz koltuklarda ne yapıldığını ölçer ve istemlere yapıştırılmış kimlik bilgilerini yakalar. İkisi farklı işler; hangisine ihtiyacınız olduğunu bilerek karar verin.
Özet
Gölge AI hangi araç sorusudur, shadow prompting ne yazıldı sorusudur. Birincisi keşif, ikincisi denetim. Bir şirketin ikisine de ihtiyacı olabilir ama bunlar birbirinin yerine geçmez.
Paylaşımlı tek hesap senaryosu ikisinin de arasında kalıyor ve en sık gözden kaçan durum bu — ayrıntısı paylaşımlı hesap sorunu yazısında.