Yayap Zekâda Sorun KAOS Değil, Kontrolsüzlük
AI ajanlarını yasaklamak inovasyonu durdurabilir. Tamamen serbest bırakmak ise yeni bir Shadow IT dalgası yaratabilir. Asıl mesele kaosu ortadan kaldırmak değil, üretkenliği öldürmeden yönetilebilir hale getirmek.
2026-10-27 10:20:08 - iTech
Kurumsal teknoloji tarihinde garip ama sürekli tekrarlanan bir döngü var.
Önce yeni bir araç ortaya çıkıyor. Çalışanlar onu merkezi bir karar beklemeden kullanmaya başlıyor. Verimlilik artıyor. Yönetim endişeleniyor. Bilgi teknolojileri ekipleri kontrolü kaybettiklerini düşünüyor. Güvenlik ekipleri riskleri sıralıyor. Ardından politikalar, standartlar, erişim modelleri ve denetim mekanizmaları geliyor.
Kişisel bilgisayarlarda böyle oldu.
Elektronik postada böyle oldu.
Excel tablolarında böyle oldu.
Bulut servislerinde böyle oldu.
Şimdi aynı döngü yapay zekâ ve özellikle AI ajanları için yaşanıyor.
Fakat önemli bir fark var: Önceki teknolojiler çoğunlukla insanların kullandığı araçlardı. AI ajanları ise yalnızca bilgi üretmiyor. Dosya okuyabiliyor, API çağırabiliyor, kod çalıştırabiliyor, başka sistemlerle konuşabiliyor ve belirli sınırlar içinde insan adına eyleme geçebiliyor.
Bu nedenle bugün tartışılması gereken soru “AI ajanlarını kullanalım mı?” değil.
Daha doğru soru şu:
Bir kurum, yeniliğin doğal kaosundan nasıl yararlanırken kontrolsüzlüğün bedelini ödemez?
Yeni teknoloji çoğu zaman yukarıdan aşağıya gelmez
Kurumsal teknoloji dönüşümünü yönetim kurulu kararlarıyla başlayan düzenli projeler olarak düşünmeye alışkınız.
Gerçek hayat genellikle bundan daha dağınık.
Bir çalışan yeni bir araç keşfeder. İşini iki saatte değil yirmi dakikada tamamlar. Yanındaki arkadaşına gösterir. Araç başka departmana yayılır. Birkaç hafta sonra BT ekibi, organizasyon içerisinde zaten yüzlerce kişinin kullandığı bir teknolojiyi “değerlendirmeye” başlar.
Teknolojinin benimsenmesi bazen resmi stratejiden önce gelir.
Kişisel bilgisayarların şirketlere girişi de büyük ölçüde böyle gerçekleşmişti. Merkezi sistemlerin dışında çalışan bilgisayarlar başlangıçta kontrol kaybı olarak görülüyordu. Elektronik posta, kurum içindeki bilgi akışının yöneticiler tarafından kontrol edilmesini zorlaştırdı. Elektronik tablolar ise programcı olmayan çalışanlara kendi modellerini kurma gücü verdi.
Her biri başlangıçta bir miktar kaos yarattı.
Sonra şirketler teknolojiyi ortadan kaldırmak yerine onun çevresine kurallar inşa etti.
Erişim kontrolü geldi.
Versiyonlama geldi.
Yedekleme geldi.
Kimlik yönetimi geldi.
Denetim kayıtları geldi.
Standartlar geldi.
Kaos tamamen yok edilmedi.
Üretken kaos, yönetilebilir hale getirildi.
AI ajanlarında aynı film yeniden başlıyor
Bugün çalışanların kendi AI araçlarını kullanması geçmişteki Shadow IT davranışına fazlasıyla benziyor.
Fark şu ki gölgede kalan artık yalnızca bir uygulama değil.
Bir aktör.
AI ajanı bir sistemde işlem yapabilir, başka bir sisteme erişebilir veya insan müdahalesi olmadan belirli karar zincirlerini çalıştırabilir.
Bu nedenle “Shadow AI” ve özellikle “shadow agent” kavramları giderek daha önemli hale geliyor.
2026 araştırmaları ciddi bir görünürlük problemi olduğunu gösteriyor. Bir çalışmada kuruluşların yüzde 21,1'i onaysız AI ajanı faaliyetlerini tam olarak tespit edemediğini belirtiyor. Başka bir araştırmada çalışanların yüzde 52'si onay almadan AI araçları kullandığını söylüyor. Kurumsal yöneticiler ise aynı ortamda görünürlüğün çok daha yüksek olduğunu düşünüyor.
Yani çalışan ile yönetim aynı şirketi tarif ediyor ancak iki farklı gerçeklik görüyor.
Daha da önemlisi, problem teorik değil.
2026'da yapılan başka bir araştırmada kuruluşların yüzde 53'ü AI ajanlarının kendileri için belirlenmiş izin sınırlarının dışına çıktığı durumlarla karşılaştığını bildirdi. Yüzde 47'si ise son bir yıl içerisinde AI ajanlarıyla ilişkili bir güvenlik olayı veya güvenlik olayına ramak kala durum yaşamıştı.
Bu rakamlar AI ajanlarının kullanılmaması gerektiğini göstermiyor.
Tam tersini gösteriyor.
Ajanların kurumsal sistemlerin gerçek aktörleri haline geldiğini gösteriyor.
Dolayısıyla onları hâlâ basit bir SaaS uygulaması gibi yönetmek giderek anlamsızlaşıyor.
Yasaklamak neden genellikle işe yaramıyor?
Bir kurum yeni teknolojiden korktuğunda en kolay çözüm erişimi kapatmaktır.
Güvenlik açısından anlaşılır.
Operasyon açısından rahat.
Yönetim açısından savunması kolay.
Fakat çalışan bir teknolojinin kendisini gerçekten daha üretken yaptığını düşünüyorsa yasak çoğu zaman kullanımı ortadan kaldırmaz.
Sadece görünürlüğü azaltır.
2026 verileri bu ilişkiyi oldukça açık gösteriyor. Kuruluşların üçte biri, çalışanların onaylı araç veya onay süreci yeterince hızlı olmadığı için onaysız AI araçlarına yöneldiğini söylüyor.
Bu kritik bir ayrım.
Shadow AI her zaman disiplinsiz çalışanların yarattığı bir güvenlik problemi değildir.
Bazen kötü tasarlanmış yönetişimin sonucudur.
Bir çalışan:
“Bu aracı kullanamazsın.”
cevabını aldığında iş bitmiyor.
Bir sonraki soru geliyor:
“Peki işimi nasıl yapacağım?”
Kurumun buna cevabı yoksa çalışan kendi cevabını buluyor.
Ve BT'nin göremediği kişisel hesaplar, tarayıcı eklentileri, küçük otomasyonlar ve ajanlar ortaya çıkıyor.
Dolayısıyla aşırı kontrol ironik biçimde daha az kontrol yaratabiliyor.
Ama “bırakalım kullansınlar” da çözüm değil
Bu noktada diğer uçta başka bir hata var.
AI inovasyonunu hızlandırmak adına çalışanlara sınırsız özgürlük vermek.
Bu yaklaşım kişisel bilgisayar döneminde bile riskliydi. AI ajanlarında ise çok daha tehlikeli.
Çünkü klasik yazılımlar çoğunlukla insanın verdiği komutu yerine getirirken ajanlar bir hedef doğrultusunda birden fazla eylem gerçekleştirebiliyor.
Bu nedenle ajan için yalnızca:
“Kim kullanıyor?”
sorusunu sormak yetmiyor.
Şunların da bilinmesi gerekiyor:
- Hangi ajan çalışıyor?
- Sahibi kim?
- Hangi kimlikle işlem yapıyor?
- Hangi verilere erişebiliyor?
- Hangi sistemlerle konuşabiliyor?
- Hangi eylemleri gerçekleştirebiliyor?
- Yetkilerinin sınırı ne?
- Yaptığı işlemler kaydediliyor mu?
- Gerektiğinde kim durdurabiliyor?
Bunlar aslında yabancı sorular değil.
BT dünyasının yıllardır insanlar ve uygulamalar için sorduğu sorular.
Şimdi aynı disiplin dijital aktörlere uygulanmak zorunda.
Asıl mesele AI Governance değil, çalışma mimarisi
Bugün AI yönetişimi denildiğinde çoğu kurumun aklına önce politika geliyor.
Bir doküman hazırlanıyor.
Kullanılabilecek araçlar listeleniyor.
Hangi bilgilerin AI sistemlerine girilemeyeceği açıklanıyor.
Çalışanlardan kurallara uymaları bekleniyor.
Gerekli ama yeterli değil.
Çünkü 2026 araştırmalarında kurumların yüzde 98'inin resmi AI yönetişim politikalarına sahip olduğunu söylemesine rağmen yüzde 47'sinin acil uygulamalarda kendi yönetişim süreçlerini geçmişte devre dışı bıraktığı görülüyor. Aynı araştırmada agentic AI kullanan kuruluşların yüzde 49'unun mevcut yönetişim modelini ajanlara özgü riskleri kapsayacak şekilde henüz güncellemediği belirtiliyor.
Sorun politika eksikliği değil.
Politikanın gerçek çalışma biçimine yetişememesi.
Bunun nedeni de basit.
İnsanlar işleri tamamlamak zorunda.
Bir onay mekanizması dört hafta sürüyorsa fakat AI aracı işi dört saatte çözüyor ise süreç üzerinde ciddi bir baskı oluşuyor.
Bu yüzden geleceğin başarılı AI yönetişim modeli “hayır” demeyi iyi yapan model olmayacak.
Güvenli biçimde hızlı “evet” diyebilen model olacak.
Kurumların ihtiyacı olan şey bir “AI habitatı”
AI ajanlarının yaygınlaşmasıyla birlikte kurumların aslında yeni bir işletim katmanına ihtiyacı var.
Buna bir tür AI habitatı diyebiliriz.
Bu habitatta çalışanların deney yapması mümkün olmalı ancak tamamen görünmez olmamalı.
Örneğin bir çalışan:
müşteri şikâyetlerini sınıflandıran küçük bir ajan,
raporları karşılaştıran bir analiz ajanı,
belgelerden veri çıkaran otomasyon,
kod geliştirmeye yardımcı bir ajan
oluşturabilmeli.
Ama sistem aynı zamanda ajanın hangi veriye eriştiğini, hangi kimliği kullandığını ve hangi işlemleri yaptığını izleyebilmeli.
Burada amaç inovasyonu merkezi BT departmanına geri taşımak değil.
Tam tersine.
İnovasyonu dağıtık bırakıp kontrol mekanizmasını merkezileştirmek.
Bu, klasik Shadow IT yaklaşımından önemli ölçüde farklı.
Eski refleks şöyleydi:
“BT'nin onaylamadığı uygulamayı kullanma.”
Yeni yaklaşım ise şöyle olmak zorunda:
“Deney yapabilirsin ama kimlik, erişim, veri ve işlem sınırlarının içinde.”
Kimlik yönetimi AI çağında yeniden önem kazanıyor
AI ajanları dünyasında en kritik konulardan biri kimlik.
Çünkü bir ajanın yapabilecekleri büyük ölçüde sahip olduğu erişimlerle belirleniyor.
İnsan çalışanlar için yıllardır uyguladığımız prensip aslında burada da geçerli:
En az yetki.
Bir finans ajanının tüm şirket dosyalarına erişmesi gerekmiyor.
Bir müşteri hizmetleri ajanının kaynak kod deposuna erişmesi gerekmiyor.
Bir analiz ajanının üretim sisteminde değişiklik yapabilmesi gerekmiyor.
Fakat ajanlar farklı uygulamalar arasında çalışmaya başladığında bu sınırlar bulanıklaşabiliyor.
Bu nedenle geleceğin IAM sistemleri yalnızca:
insan + cihaz + uygulama
üçlüsünü yönetmeyecek.
Muhtemelen:
insan + cihaz + uygulama + ajan
modeline dönüşecek.
Bu küçük gibi görünen değişiklik kurumsal güvenlik mimarisini ciddi biçimde değiştirebilir.
Kaos aslında önemli bir veri olabilir
Burada özellikle dikkat çekici başka bir nokta var.
Bir organizasyonda çalışanlar belirli bir teknolojiyi sürekli olarak resmi süreçlerin dışında kullanıyorsa yalnızca güvenlik problemi var demek kolay.
Ama belki de başka bir şey oluyor.
Çalışanlar kurumun gerçek ihtiyacını keşfediyor olabilir.
Shadow AI kullanımını sadece engellenecek davranış olarak görmek bu nedenle eksik.
Aynı zamanda araştırılması gereken bir sinyal.
Hangi ekip hangi aracı kullanıyor?
Neden?
Hangi işi çözmeye çalışıyor?
Mevcut kurumsal araç neden yeterli değil?
Ne kadar zaman kazanıyor?
Bu sorular cevaplandığında Shadow AI envanteri aslında beklenmedik biçimde değerli bir iş süreçleri araştırmasına dönüşebilir.
Çünkü çalışanların izinsiz kullandığı araçlar bazen organizasyonun resmi teknoloji yol haritasından daha hızlı biçimde gerçek ihtiyaçları gösterebilir.
Kaosu yok etmeyin, sınırlarını çizin
Teknoloji tarihi bize düzenli dönüşümlerin nadir olduğunu gösteriyor.
Yeni araçlar önce sınırları zorlar.
Çalışanlar onları beklenmedik biçimlerde kullanır.
Eski süreçler yetersiz kalır.
Sonra organizasyon yeni dengeyi bulur.
AI ajanları muhtemelen bundan farklı olmayacak.
Onları tamamen serbest bırakmak ciddi risk yaratabilir.
Tamamen yasaklamak ise çalışanların kişisel hesaplara, görünmeyen araçlara ve kontrol dışı otomasyonlara yönelmesine neden olabilir.
Doğru yaklaşım ikisinin arasında.
Önce insanların nerede değer ürettiğini gözlemlemek.
Sonra bu davranışın çevresine güvenli bir yapı kurmak.
Çünkü kurumsal dönüşümün amacı kaosu ortadan kaldırmak değildir.
Ama kaosun şirketi yönetmesine izin vermek de değildir.
Asıl beceri şudur:
İnovasyonun yaşayabileceği kadar özgür, kurumun güvenebileceği kadar kontrollü bir ortam yaratmak.
Kaynaklar
- Marc Andreessen, Let Chaos Reign, and Then Rein In Chaos, Ekim 2026.
- Gartner, The AI Agents You Can’t See Can Still Create Risk, Eylül 2026.
- EY, AI Risk and Governance Survey, 15 Eylül 2026.
- OneTrust, 2026 AI-Ready Governance Report.
- Osterman Research / AvePoint, The State of AI 2026.
- Cloud Security Alliance, Enterprise AI Security Starts with AI Agents, Nisan 2026.
- Okta, AI Agents at Work 2026.