Gölge AI: Şirketinizde Kimsenin Sorumlu Olmadığı Ajanlar

Bir müşteri teklifinizde yanlış fiyat çıktı. Kim düzeltti? Hangi veriyle hazırlandı? Kimse bilmiyor — çünkü o teklifi insan da yazmadı, sizin tanıdığınız bir sistem de üretmedi. Satış temsilcinizin tarayıcısında açık olan bir ChatGPT sekmesi yazdı. Bu yazıda bu duruma somut senaryolarla bakıyoruz: gölge AI, yani organizasyonun kayıtlarında olmayan ama her gün iş üreten ajanlar.

Daha önce şirketinizde kaç AI ajanının çalıştığını kimsenin bilemediğini anlatmıştık. Bugün aynı sorunun en tehlikeli yüzüne iniyoruz: sayısı bilinmeyen bu ajanların hiçbirinin arkasında sorumlu bir kimse yok.

Senaryo 1: İK’daki gizli filtre

İK departmanında bir uzman, gelen 140 özgeçmiş’i kendi Claude hesabına yapıştırıp “bu adaylardan ilk 10’u hangisi?” diye soruyor. Sistem 10 kişi seçiyor, mülakatlara o 10 kişi çağrılıyor.

Burada ne yanlış? Özgeçmişler şirket verisinin kurumsal dışına çıkıyor. Seçim kriterleri hiçbir dokümanda yok — model’in o günkü ruh hali kadar özgür bir “politika” var. Bir aday dava açsa “neden elendi?” sorusuna kimse cevap veremez. Kararı veren ajan, organizasyonda tanımlı bile değil. Sorumluluk boşlukta asılı kalıyor: uzman “ben sadece araç kullandım” diyor, yönetici “beni bilgilendirilmedim” diyor, araç’ın sahibi ise silik bir chatbot penceresi.

Senaryo 2: Finans’ta kendi kendine yazılan makro

Muhasebe uzmanı, aylık mutabakatı hızlandırmak için kendi hesabıyla bir AI’a Excel makrosu yazdırıyor. Makro çalışıyor, saatler kazandırıyor, patron memnun. Üç ay sonra makro bir satırı yanlış eşleştiriyor; fark ancak yıl sonu denetiminde ortaya çıkıyor.

O üç ay boyunca şirketin finansal raporlama zincirinde kayıt dışı bir otomasyon vardı. Ne bir test ortamı ne bir kod incelemesi ne bir geri alınabilir sürüm geçmişi. Kod’u kim yazdı? Teknik olarak bir AI yazdı — ama onu üretime süren, davranışından sorumlu olan kişi belli değildi. Gölge AI’ın en sinsi tarafı bu: çalıştığı sürece kimseyi rahatsız etmez, bozulduğu gün sahipsiz kalır.

Senaryo 3: Müşteri verisiyle konuşan destek botu

Destek ekibindeki biri, canlı müşteri sorunlarını daha hızlı çözmek için kendi API anahtarıyla küçük bir betik kuruyor. Betik müşteri e-postalarını okuyup bir modele gönderiyor, önerilen yanıtları ekrana basıyor. Haftalarca sorunsuz çalışıyor — ta ki müşteri verilerinin üçüncü taraf bir servise aktığı birinin aklına gelene kadar.

Bu noktada mesele artık verimlilik değil, uyum: KVKK ve GDPR gibi mevzuatlar açısından şirketin kontrol edemediği bir veri akışı var. Ama log’lara baktığınızda bu akışı kimin kurduğunu gösteren hiçbir organizasyon kaydı yok. Kişisel API anahtarı, kişisel hesap, kişisel prompt. Kurumun “AI politikası” diyebileceği tek şey, bir yıllık toplantıda söylenen “dikkatli olun” cümlesi.

Ortak desen: iş var, iz yok

Bu üç senaryonun kesiştiği nokta şu dört madde:

1. Tanım yok. Ajan, organizasyonun hiçbir listesinde, departmanında veya semasında yer almıyor.
2. Sorumluluk yok. İş yapıldığında başarı kimseye yazılmıyor, hata olduğunda hesap verecek kimse çıkmıyor.
3. Politika yok. Ajanın neyi yapıp yapamayacağına dair hiçbir doküman, sınır veya onay mekanizması bulunmuyor.
4. İz yok. Hangi veriyle, hangi modelle, ne zaman çalıştığına dair denetlenebilir bir kayıt tutulmuyor.

Sonuç, kurumun gerçek AI kapasitesinin resmi IT envanterinden kat kat büyük ama tamamen görünmez olduğu bir durum. Görünmeyen şey yönetilemez; yönetilmeyen şey de bir gün sizi müşteri kaybına, denetime veya dava’ya götürebilir.

Sorunu isimlendirmek yetmez mi?

Hayır — ama doğru isimlendirmek başlangıç. Bu durumun kökü, bir araç ile bir ajan arasındaki farkın kurumsal düzeyde tanınmaması. Tarayıcı sekmesindeki sohbet penceresi bir araçtır; kim kullanıyorsa sorumlusu odur. Ama bir ajan düzenli iş üretiyorsa, ona insan çalışana tanınan gibi bir rol, yetki ve raporlama hattı gerekir. Yani çözümün adresi organizasyon şemasının ajanları da kapsaması: her kayıtlı ajanın bir departmanı, bir sorumlusu ve bir politikası olmalı.

Haftanın devamındaki yazılarda bu yapıyı adım adım kuracağız. Bugün sadece teşhisi masaya koyduk: Şirketinizde çalışan ajanları sayabiliyor musunuz? Sayamıyorsanız, sorumlu olanı nasıl bulacaksınız?

Tüm seriyi tek sayfada okumak için AI Ajan Organizasyonu Rehberi’ne göz atabilirsiniz.