Bir soru sorayım. Şirketinizde kaç kişi yapay zeka kullanıyor?

Cevabınız “birkaç kişi, kontrollü şekilde” ise muhtemelen yanılıyorsunuz. Gerçek cevap büyük ihtimalle şu: neredeyse herkes ve çoğu sizden habersiz.

Finans ekibiniz raporları ChatGPT’ye özetletiyor. Hukuk departmanınız sözleşme taslaklarını bir chatbot’a okutuyor. Satış ekibiniz müşteri verilerini kopyalayıp yapıştırarak teklif metni yazdırıyor. Bunların hiçbiri IT’nin onayından geçmedi. Hiçbiri bir politika dokümanında yazmıyor. Buna literatürde bir isim verildi: Shadow AI, yani gölge yapay zeka.

Ve bu, 2026’nın en az konuşulan en büyük kurumsal riski.

Herkes hızlanıyor, kimse frene bakmıyor

PeopleCert’in yeni yayımladığı ITIL AI Governance çalışmasının açılış tespiti tek cümlede özetlenebilir: kurumlar yapay zekayı, onu kontrol etmeyi öğrendiklerinden daha hızlı benimsiyor. Mevcut teknoloji yönetişimi bu iş için yetersiz.

Bunu ben söylemiyorum. Dünyanın en yaygın IT servis yönetimi çerçevesi olan ITIL’in yeni sürümü söylüyor. ITIL 5, tarihinde ilk kez “AI Native” olarak tasarlandı. Yani yapay zeka artık çerçeveye eklenen bir modül değil; değer zincirinin, yönetim pratiklerinin ve dört boyutun (insan, teknoloji, iş ortakları, süreçler) tamamına gömülü bir varsayım.

Bu ne demek? Şu demek: küresel standart artık “yapay zekayı kullanmalı mıyız” sorusunu kapattı. Yeni soru şu: onu kim, hangi yetkiyle, hangi güvenceyle yönetiyor?

Faturası kesilen altı risk

Yönetişimsiz yapay zekanın bedeli soyut değil. ITIL’in yeni risk çerçevesi altı kalemi net biçimde sıralıyor: itibar ve finansal hasar, iş ilişkilerinin zedelenmesi, hukuki maruziyet, negatif yatırım getirisi, fikri mülkiyet kaybı ve gölge yapay zeka.

Bu listede beni en çok düşündüren fikri mülkiyet kalemi. Çalışanınız iyi niyetle şirketin fiyatlama modelini bir chatbot’a yapıştırdığında, o veri artık sizin kontrolünüzde değil. Bunu geri alamazsınız. Sözleşmeyle, disiplin süreciyle, sonradan yazılan politikayla da geri alamazsınız. Tek çözüm, olay olmadan önce kurulmuş bir yönetişim yapısıdır.

“Bizde AI komitesi var” demek yetmiyor

Türkiye’de son bir yılda birçok kurumda AI komiteleri kuruldu. Güzel bir başlangıç. Ama ITIL 5’in yeni AI Capability Model’i işin komiteden çok daha derinde olduğunu gösteriyor. Model, yönetişimi iki eksende konumlandırıyor: yetki merkezî mi dağıtık mı, güvence yapılandırılmış mı kendiliğinden mi?

Çoğu Türk kurumu şu anda en riskli çeyrekte duruyor: yetki dağıtık, güvence kendiliğinden. Yani herkes bir şey yapıyor, kimse bir şeye kefil değil.

Döngü ise dört adımdan oluşuyor: önce mevcut yönetişim yapınızı stres testinden geçiriyorsunuz, sonra AI yönetişim gereksinimlerinizi belirliyorsunuz, ardından düzenlemeleri tasarlayıp uyguluyorsunuz ve son olarak yapının değişime duyarlı kalmasını sağlıyorsunuz. Bir kez yapılan denetim değil, yaşayan bir sistem.

Peki nereden başlamalı?

Dürüst cevap: nerede durduğunuzu bilmeden hiçbir yerden.

Yapay zeka yönetişiminde ilk adım politika yazmak değil, mevcut durumu ölçmektir. Hangi ekip neyi kullanıyor, hangi veri nereye akıyor, karar hakları kimde, güvence mekanizması var mı? Bu soruların cevabı olmadan yazılan her politika rafta kalmaya mahkûmdur.

Biz ITGT olarak tam bu ilk adım için ücretsiz bir araç geliştirdik: AI Governance Diagnostic. 20 soruluk öz değerlendirme, kurumunuzun yapay zeka yönetişim olgunluğunu ölçüyor ve yönetim kuruluna sunabileceğiniz bir yönetici özeti üretiyor. On dakikanızı alıyor; karanlıkta yönetmeye devam etmenin maliyetiyle kıyaslanamayacak kadar ucuz.

Gölge yapay zeka şirketinizde çoktan çalışmaya başladı. Soru şu: onu siz mi yöneteceksiniz, o mu sizi?

AI Governance Diagnostic ile kurumunuzun olgunluk seviyesini şimdi ölçün →