AI Ajanları Kontrol Etmek İmkânsız mıdır?

AI Ajanları Kontrol Etmek İmkânsız mıdır?

Bir muhasebe müdürü, insan kaynakları müdürü, veri analisti — hepsi aynı sorunu çıkıyor:

“Dün içeride, Claude’a bir e-mail draft’ı yapıştırdım, yazı tamamlasını istedim. Aynı hafta, ürün ekibi bir prompt yazarak, belirli özellikleri otomatik taradı. Bir yardımcı program, müşteri e-maillerini kategorize etmek için kullanılıyor, ama spesifikasyonu yok. İnsan kaynakları ise CV’leri özetlemek için birkaç kişinin dış hesabında Claude Plus var. Bunların tümü haftada birkaç kez, hiç çıkış metriği olmadan veriye dokunuyor.”

Bu bir kaza değil. Bu, küçük kararların akümülasyonu. Her karar, kendi başına makul, ama birleşince bir kütleye dönüşüyor.

Bir Haftada Kaç AI Kararı Alınıyor?

Orta ölçekli bir firmanın tipik haftasını düşün:

Haftasonu gelmede, açılan kaynaklar:

Hiçbirinin sorumluluk tanımı yok. Hiçbirinin sınırı tanımlı değil. Hiçbirinin verisi şifrelenmiş ve ayrılmış değil. Hiçbirinin metrikleri merkezi bir yerde tutulmuyor.

Bu haftanın sonucunu bir sonraki haftayla topla. Dört haftayı al: 8 yeni araç, 3 pilot proje, belki 15-20 gizli hesap aktivitesi. Üç ayda: 50+ yapay zeka touchpoint’i, hiçbiri eksplisit olarak organize edilmemiş.

Neden Bu Sorun Gözden Kaçıyor?

Üç sebep:

1. Mikro Ölçekte Mantıklı

Pazartesi günü bir webhook yazmak, o pazartesi için işe yarıyor. Haftanın sonuna kadar “yapmayı başaradı mı, başaramadı mı” sorusu cevapsız kalsa da, o haftanın içinde çalışıyormuş gibi görünüyor. Karar verici, o kararın başarı/başarısızlığını görmüyor. Ama o karar, sonraki hafta kimse tarafından kullanılmaya başlanıyor. Sonra üçüncü kişi bunu genişletiyor. Bu sırada, birinci karar verici projeyi almış bile.

2. Bölümsel Kararlar, Kurumsal Etki

Pazarlama bir SaaS denemesi yapıyor. IT bunu bilmiyor. Muhasebe, satılı midir bilmiyor. Üç ay sonra, pazarlama departmanı ortalama 3 bin müşteri verisi bu buluta göndermiş ve hiç kimse cevap verebilmiyor: veriler şifreli miydi? Yedekler alındı mı? Sözleşmeyi kim imzaladı?

Şimdiye kadar, bu mikro kararlar, makro bir veri sorunu haline gelmiş.

3. “İnsan Kullanıyor, Yani Sorun Var” Sezgisi Yok

İnsan kaynakları, CV’leri “Claude’a yapıştırıyor, iki dakikada özet alıyor” — bu sıradan bir iş gibi görünüyor. Ancak bu gün 50 CV üzerinde yapılıyor. Dış hesap, şifresiz, yedekleme yok, audit trail yok. HR müdürü, “Bu bilimin hızı, böyle çalışması lazım” düşüncesi taşıyor. Riskin boyutunu göremiyor.

Kurumsal Körlük ve Iz Eksikliği

Üç aylık birikme sonrası:

Bu durum, “Gölge AI” değildir. Bu durum, “Denetim Edilmeyen Karar Sistemi”dir. İnsan kararları, AI ile hızlandırılmış ve hiç kayıt bırakmadan gerçekleştirilmiş.

Kurumsal riskini anlamak için, bir senaryo:

Pazarlama SaaS’ı, bir siber saldırıya uğruyor. Müşteri verileri açığa çıkıyor. Şirket, tazminatla yüz yüze geliyor. Denetçiye açıklamayı yapması gerekiyor. Nasıl? “Üç aylık dönemde, birkaç kişi deneme amaçlı kullandığını biliyorum, ama tam sayısı yok, sözleşmeyi kimin imzaladığı yok, veriler şifreli miydi, yedek alınmış mıdır, hiçbir şey dokumente edilmemiş.”

Bu cevap, bir hukuk riski.

Başlama Noktası

Tek bir adım:

İçini gözlemle. Bir hafta, bütün yeni AI karar’larını topla. “Bu hafta, kaç tane insan, kaç tane AI sistemine erişti, ne için?” Yalnızca sormaklık başlat, cezalandırmak değil.

Çoğu kurum, bu basit envanterleri yapmıyor. Çünkü cevap, çoğu yöneticiyi huzursuz ediyor.

Gölge AI sorunu, yönetimin bir akışkan kaldığını gösteriyor: hızı tercih ediyor, kontrol ikinci planda. Bu kalınca, risklerin birikimi hızlandırıyor.

Sorunu kontrol etmek, yönetim kültürünü değiştirmektir. Ancak bu, çoğu kurumda, gelecek krize kadar beklenir.

Okuyucular için: Bu yazıda shadow AI’nin boyutundan bahsettim. Kurumsal körlük, bir yapı sorunu değil, bir karar sorunu. Eğer şirketinizde AI ajanları takip edilmiyor ise, gözlemle ve say — metriklerin hiçbiri, kendi başına riskli değildir, ancak birbiriyle birleştiğinde, kullanıcı onayı olmadan veri akmaya başlar.