Yazısız Kurallar: Kurumsallaşan Shadow AI

Pazartesi sabahı bir IT yöneticisi ile sohbet ettim. Dedim ki:

“Şirketinizde kaç tane yapay zeka ajanı vardır?”

Cevap şöyledir:

“Herkez biliyor ama sayı yok. İK’nın bir Notion database’i var, orada CV’leri Claude’a yapıştırıp özet çıkarıyor. Pazar müdürü, yeni şunları yazarken ChatGPT kullanıyor. Veri ekibi, anomalileri bulmak için Python script’inde bir model var, onu kimse kurmuş değil, ama çalışıyor. Finance, faturalama otomasyonunda bir LLM endpoint’i çekiyor, bunu kim kurtardı? Aynı şey biliyor, ama belgesi yok.”

Dedim: “Politika var mı?”

“Hayır. Yasak da yok. Herkez yapıyor, kimse suç gibi görmüyor. Ama yazılı bir kurul kararı, sözleşme, hatta bir liste yok.”

Bu, yazılı olmayan kurumsallaşmadır. Shadow AI’nin en tehlikeli versiyonu.

İnsan Kuralları ve Yapay Zeka Kuralları Farklıdır

İnsan süreci şöyle işler: “Pazartesi toplantısında, projeler denetlenecektir.” Herkes biliyor. Yazılı değil, ama kurumsal hafıza var. Yarın birisi giderse, eski çalışan veya yeni müdür, bu işin ritimleri kalır. İnsan karar vericiler, yazılı olmayan kuralları otomatik aktarırlar.

Yapay zeka süreci şöyle çalışmamalıdır: “Finance’den birisi bir API anahtarı geçti, veri ekipte bir script var, çalışıyor, ama spesifikasyonu kimde? Modeli son ne zaman güncelledik? Şirket dış SaaS ücreti ödüyor mu? Veri paylaşım sözleşmesi imzalı mı?”

Bu sorulara cevap vermek için, birisi bu süreci yazması, belgelemesi, sorumluluğu tanımlaması gerekir.

Yazılı olmayan yapay zeka kuralı, bir krizi beklemenin kaynağıdır.

Kurumsallaşan Shadow: Bilinen Ama Belgelenmemiş

Gölge AI’nin iki versiyonu vardır:

Sürüyle Bilinenden: Herkes biliyor ki muhasebe müdürü, e-mail draft’ını ChatGPT’e yapıştırıyor. Bir sır değil. Ama yazılı bir kural yok. Eğer bu pratik, şirketin veri politikasına göre riskli ise veya müşteri verisi içeriyorsa, hiç kimse durduranamaz, çünkü yazılı bir yasaklama yok.

Kurumsal Öngeçmiş ile Yanındırım: Finance, yalnızca belirli veri setlerinde LLM kullandığını söylüyorsa, denetçiye açıklamak gerekir. Denetçi sorar: “Hangi LLM? Veriler şifreli mi gidiyor?” Yanıt: “Bilmiyorum.” Bu cevap, denetim raporu altında yazılabilir.

İkisi de, riskli.

Yazılı Olmayan Sorumluluğun Parçalanması

Yazılı olmayan kural, zaman içinde kim kimi yapar?

Gün 1: Bir veri analisti, bir model komut dosyasını bir private depo’ya koyuyor. İç kullanım.

Ay 2: Başka bir takım, bu script’i başka bir veri seti için uyarlıyor. Hâlâ private.

Ay 4: Genel amaç veritabanında, bu script’in output’ı saklanmaya başlanıyor. Şimdi 5 kişi buna bağlı.

Ay 6: Orijinal analisti şirketi bırakıyor. Script’in sahibi kim? Hiç kimse, resmi olarak.

Ay 8: Script, hata üretiyor. Veritabanında yanlış hesaplanan rakam, finansal raporta gidiyor. Kim cevap verir?

“Yazılı olmayan kural” denildiğinde, bu sırada kimse hesap veremiyor.

Riskin İçeri Gelmesi

Yazılı olmayan AI kuralı, üç riski taşır:

Veri Riski: Kuralsa yazılı değilse, hangi verinin hangi AI sistemine gidip gitmediyeceğini tanımlamak zordur. Sonuç: hassas veri, kendi başına meşru görmülebilecek bir pratiğe girmektedir.

Sorumluluk Riski: Bir sistem hata üretirse veya zarar verirse, meşru sahibi olmayan bir yapı, cezalandırılması açık kalmaktadır. Kurumsal bir tepki, bir isimle sonlandırılamaz.

Değişim Riski: Yazılı olmayan kuralları değiştirmek veya iyileştirmek neredeyse imkânsızdır. Çünkü hiç kimse, ilk kuralın tanımını duymuş değildir, dolayısıyla daha iyisini tasarlayamamaktadır.

Başlama: Envanter + Yazılı Form

Tek adım:

1. “Şu an kurumsallaşmış, herkez bilinen, ama yazılı olmayan AI rutini var mı?” sorusunu sor.
2. Her bir cevaba karşı, bir mini-dokümantasyon yaz: “Bu iş ne işler? Kim kullanır? Verisi nedir? Bir hata varsa, kim haberi alır?”
3. Bu belgeyi, risk kategorisine göre renklendir: yeşil (düşük risk), sarı (denetim gerekli), kırmızı (yazılı politika gerekli).

Yazılı olmayan kurallar, kurumsal olgunluğun bir işareti değildir. Tersine, denetim açığının bir işareti.

Yazı Hakkında: Bir kurumda yazılı olmayan, ama kurumsallaşmış AI kullanımı, gölge AI’nin en tehlikeli biçimi. İlk adım, “Bunu herkes biliyor” ile “Bunu yönetiyoruz” arasındaki uçurumu görmek.