Gölge kullanım bir disiplin sorunu değil, yasağın öngörülebilir sonucu

Tez#

Kurumsal yapay zekâ politikalarının ilk kuşağı çoğunlukla bir yasakla başladı: kurum verisi hiçbir dil modeline girilemez. Karar anlaşılır — veri nereye gidiyor, nasıl saklanıyor, eğitimde kullanılıyor mu soruları o dönemde cevaplanmamıştı ve en güvenli hamle beklemek gibi görünüyordu.

Ama yasağın çalışan davranışı üzerindeki etkisi öngörülebilirdi ve öngörülemedi. Araç, işi ölçülebilir biçimde hızlandırıyorsa ve erişimi bir tarayıcı sekmesi kadar kolaysa, yasak kullanımı durdurmuyor; kanalını değiştiriyor. Kurumsal hesap yerine kişisel hesap, kurumsal cihaz yerine telefon, denetlenen bir arayüz yerine hiç denetlenmeyen bir arayüz. Bu geçiş sonunda kurumun elinde iki şey kalıyor: kâğıt üzerinde temiz bir politika ve gerçekte hiç görünmeyen bir veri akışı.

Bağlam: yasağın ürettiği kaymalar#

Yasak tek bir sonuç üretmiyor. Aşağıdaki tablo, kullanımın hangi boyutlarda nasıl kaydığını ve her kaymanın kuruma ne bıraktığını gösteriyor.

Dördüncü satır uzun vadede en pahalıya çıkan. Yasak olan bir konu eğitilemiyor: kurum çalışanına "müşteri verisini yapıştırmayın, ama başlıkları özetletebilirsiniz" diyemiyor, çünkü resmî duruş kullanımın hiç olmaması. Sonuç, en riskli kullanım biçiminin en yaygın hâle gelmesi — kimse neyin sakıncalı olduğunu söylemediği için çalışan kendi sezgisiyle karar veriyor.

Kanıt: onaylı yolun asgari bileşenleri#

Yasağın alternatifi serbestlik değil, tanımlı bir yol. Aşağıdaki bileşenler bir kurumun gölge kullanımı görünür kılmak için kurması gereken asgari yapıyı veriyor.

• Kurumsal erişim: veri işleme koşulları sözleşmeyle bağlı, eğitimde kullanım kapalı bir kurumsal abonelik. Bu tek adım kaymanın büyük bölümünü geri getiriyor.
• Veri sınıflandırması: hangi sınıf veri hangi araca girebilir? Üç sınıf yeterli — kamuya açık, iç kullanım, hassas.
• Yasaklı örnekler listesi: soyut kural değil somut örnek. "Kimlik numarası, sağlık bilgisi, sözleşme metni, müşteri adı" gibi.
• Kayıt ve saklama açıklığı: çalışan ne kaydedildiğini bilmeli. Gizli izleme, güveni bitirip kullanımı yine kayıt dışına itiyor.
• Hızlı onay yolu: yeni bir araç talebi haftalarca beklerse çalışan beklemiyor. Onay süresi gölge kullanımın en güçlü belirleyicisi.
• Amnesti ile başlama: geçmiş kullanımı cezalandırmayan bir geçiş, envanteri çıkarmanın tek gerçekçi yolu.

Beşinci madde çoğu kurumda politikanın kaderini belirliyor. Onaylı yol varsa ama onay süreci bir aylıksa, çalışan o ay içinde işini yapmak zorunda ve gölge kullanıma dönüyor. Politikanın etkinliği yazılı içeriğiyle değil, alternatifin ne kadar hızlı erişilebilir olduğuyla ölçülüyor. Bu, güvenlik ekiplerinin alışık olduğu bir denklem değil ama burada belirleyici olan.

Mekanizma: yasağın neden ters çalıştığı#

Mekanizma bilgi güvenliğinde bilinen bir kalıp: bir kontrol, kullanıcının işini yapmasını engellediğinde kullanıcı kontrolü atlatmanın bir yolunu buluyor ve o yol tasarlanmamış olduğu için denetlenmemiş oluyor.

Dil modellerinde bu kalıp iki nedenle daha keskin işliyor. Birincisi, faydanın hemen ve kişisel olarak görülmesi: çalışan bir saatlik işi on dakikada bitirdiğinde bunu doğrudan deneyimliyor, riskse soyut ve kuruma ait. İkincisi, atlatmanın maliyetinin neredeyse sıfır olması: kişisel bir tarayıcı sekmesi açmak için ne bir araç indirmek ne bir izin almak gerekiyor. Klasik gölge bilişimde bir yazılım kurmak gerekiyordu ve bu bir sürtünme üretiyordu; burada o sürtünme yok. Bu iki koşul bir arada olduğunda yasağın uygulanabilirliği pratikte sıfıra yaklaşıyor ve kalan tek etkisi görünürlüğün kaybı.

Karşı görüş#

Üç itiraz ciddi. Birincisi: bazı sektörlerde yasak bir tercih değil, mevzuat gereği — ve orada bu tartışma geçersiz. İkincisi: onaylı yol açmak, kurumun riski üstlenmesi demek; gölge kullanımda sorumluluk çalışanda kalıyor. Üçüncüsü: geçici bir yasak, doğru araç seçimi yapılana kadar makul bir bekleme.

Yasağı kaldırıp kurumsal erişim açtık. İlk ay envanter çıktı: on yedi farklı araç, çoğu kişisel hesapla kullanılıyordu. Yasak döneminde bu listeyi hiç göremezdik.

Birinci itiraz doğru ve sınırı belirliyor: mevzuatın yasakladığı yerde tartışma politika değil uyum. Ama o durumda bile teknik engelleme kurulmalı — yalnızca yazılı yasakla bırakılan bir kısıt, mevzuat açısından da koruma sağlamıyor. İkinci itiraz hukuken zayıf: çalışanın kurum verisini kişisel bir hesaba yapıştırmasından doğan sorumluluk kurumdan kalkmıyor; veri sorumlusu yine kurum. Sorumluluğu devretmek değil, görünürlüğü kaybetmek oluyor. Üçüncü itiraz makul ama koşullu: geçici yasak bir takvimle ve bir alternatif taahhüdüyle birlikte gelmeliyse anlamlı. Takvimi olmayan geçici yasak, kalıcı gölge kullanım üretiyor.

Sınırlar ve belirsizlik#

Bu analiz sektör ve ölçek farklarını tek çerçeveye indiriyor; bazı bağlamlarda sonuç değişiyor.

• Gölge kullanımın yaygınlığı ölçülemiyor: kendi kurumunuzda oranı ancak amnesti ile çıkarabilirsiniz, dışarıdan bir sayı güvenilir değil.
• Mevzuat bağlı sektörlerde geçerli değil: yasağın zorunlu olduğu yerlerde tartışma uyum tartışması.
• Teknik engellemenin etkinliği ölçülmedi: ağ düzeyinde engelleme kişisel cihaz kullanımını durdurmuyor.
• Amnesti kurum kültürüne bağlı: cezasız envanter çıkarmak her kurumda uygulanabilir değil.

Sonuç#

Gölge kullanım bir disiplin sorunu olarak ele alındığında yanlış çözüme gidiliyor: daha sert yasak, daha çok hatırlatma, daha çok eğitim. Oysa sorun davranışsal değil yapısal — fayda hemen ve kişisel, risk soyut ve kurumsal, atlatma maliyeti sıfır.

Yasağın gerçek etkisi kullanımı durdurmak değil, kurumu kör bırakmak: hangi veri nereye gidiyor bilinmiyor, yanlış kullanım düzeltilemiyor, fayda da ölçülemiyor. Onaylı bir yol açmak riski sıfırlamıyor ama görünür kılıyor ve görünür bir risk yönetilebiliyor. Politikanın kalitesi yazılı metninde değil, alternatifin ne kadar hızlı erişilebilir olduğunda ölçülüyor.

Ne yapmalı?#

1. 1Kurumsal erişim açın

   Veri işleme koşulları sözleşmeyle bağlı, eğitimde kullanım kapalı bir abonelik. Kaymanın büyük bölümünü geri getiriyor.

2. 2Üç veri sınıfı tanımlayın

   Kamuya açık, iç kullanım, hassas. Daha fazla sınıf uygulanmıyor, daha azı ayrım üretmiyor.

3. 3Somut yasaklı örnek listesi yazın

   Soyut kural uygulanamıyor. "Kimlik numarası, sağlık bilgisi, sözleşme metni" gibi örnek listesi işe yarıyor.

4. 4Onay süresini günlerle ölçün

   Bir aylık onay süreci gölge kullanımı garanti ediyor. Politikanın etkinliği bu sürede belirleniyor.

5. 5Amnesti ile envanter çıkarın

   Geçmiş kullanımı cezalandırmayan bir geçiş, gerçek envanteri görmenin tek yolu.

6. 6Ne kaydedildiğini açıkça söyleyin

   Gizli izleme güveni bitirip kullanımı yine kayıt dışına itiyor.