İş Yerlerinde
Üretken Yapay Zekâ
Araçlarının Kullanımı
İçindekiler
- 01Yönetici Özeti
- 02ÜYZ Araçlarının İş Yerlerinde Kullanımı
- 03Gölge Yapay Zekâ: Boyutlar ve Riskler
- 04Uluslararası Düzenleyici Çerçeve
- 05Kurumsal Yönetişim: Stratejiler
- 06Sektörel Değerlendirmeler
- 07Kapsamlı Öneriler (0–3, 3–12, 12+ Ay)
- 08Sonuç & Kaynakça
Yönetici Özeti
Bu rapor, KVKK’nın (Kişisel Verileri Koruma Kurumu) Şubat 2026 tarihli İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı dokümanını temel alarak, uluslararası araştırma kuruluşları, düzenleyici otoriteler ve sektör uzmanlarının bulguları ile zenginleştirilmiş kapsamlı bir analize dönüştürmektedir.
Küresel ölçekte giderek hız kazanan üretken yapay zekâ (ÜYZ) kullanımı, iş süreçlerinde verimlilik artışı ve maliyet tasarrufu sağlarken eş zamanlı olarak kurumsal veri güvenliği, kişisel verilerin korunması, fikri mülkiyet ve mevzuata uyum alanlarında kritik riskler doğurmaktadır.
Palo Alto Networks, 2025
CybSafe/NCA, 2024
IBM, 2025
- ÜYZ araçlarının iş yerlerinde kullanımı 2023’ten 2025’e üç kattan fazla artmıştır.
- Çalışanların %38’i işveren izni olmaksızın hassas iş bilgilerini ÜYZ araçlarıyla paylaşmaktadır.
- Kurumsal ÜYZ’ye bağlı veri güvenliği olayları 2025’in ilk yarısında 2,5 kat artmış ve tüm SaaS veri güvenliği olaylarının %14’ünü oluşturmaktadır.
- Kuruluşların yalnızca %37’si bu riskleri yönetmek için resmi bir yapay zekâ yönetişim politikasına sahiptir.
- AB Yapay Zekâ Yasası (EU AI Act) 2025 yılından itibaren aşamalı yürürlüğe girmekte ve kuruluşlara ciddi uyum yükümlülükleri getirmektedir.
ÜYZ Araçlarının İş Yerlerinde Kullanımı: Genel Tablo
1.1 Tanım ve Kapsam
Üretken Yapay Zekâ (ÜYZ – Generative Artificial Intelligence), büyük ölçekli veri kümeleri üzerinde eğitilen ve kullanıcı komutlarına yanıt olarak metin, görsel, ses, video veya yazılım kodu gibi farklı formatlarda özgün içerik üretebilen yapay zekâ sistemlerini ifade etmektedir. Geleneksel yapay zekâ yaklaşımlarından farklı olarak ÜYZ, istatistiksel örüntülere dayalı biçimde insanın ürettiği içeriklere benzer yeni çıktılar oluşturabilme kapasitesine sahiptir.
McKinsey’in 2025 yılı araştırmasına göre kuruluşların %71’i en az bir iş fonksiyonunda düzenli olarak üretken yapay zekâ kullanmaktadır; bu oran 2023’teki %33 seviyesinden ve 2024 başındaki %65’ten kayda değer bir yükseliş sergilemektedir.
Kaynak: Palo Alto Networks, ‘The State of Generative AI in 2025’; McKinsey, ‘The State of AI’ 2025 Araştırması1.2 İş Yerlerinde Kullanım Alanları
ÜYZ araçlarının iş süreçlerine entegrasyonu belirli bir sektör veya meslek grubuyla sınırlı kalmamakta; farklı uzmanlık alanlarında yaygın biçimde benimsenmektedir:
- E-posta ve metin taslaklarının hazırlanması, içeriklerin düzenlenmesi
- Belge ve raporların özetlenmesi; içerik değerlendirmesi yapılması
- Toplantı notlarının otomatik oluşturulması
- Yazılım geliştirme süreçlerinde kod yazımı ve hata ayıklama
- Müşteri hizmetleri ve satış süreçlerinde destek sağlanması
- Eğitim içerikleri ile sunum materyallerinin hazırlanması
- Veri analizi ve raporlama süreçlerinin hızlandırılması
1.3 Kullanım Yaygınlığının Arkasındaki Etkenler
ÜYZ araçlarının hızlı benimsenmesini tetikleyen birden fazla etken söz konusudur. Kullanım kolaylığı ve teknik bilgi gerektirmemesi, ücretsiz veya düşük maliyetli erişim imkânı, iş süreçlerinde somut verimlilik artışı ve rutin görevlerin otomatikleştirilmesi bu etkenlerin başında gelmektedir.
IBM’in 2024 X-Force Tehdit İstihbarat Endeksi’ne göre yöneticilerin %84’ü üretken yapay zekâya özgü siber güvenlik çözümlerini önceliklendireceklerini belirtmiş; bu yöneticilerin %48’i ise çalışanlarının yarısına yakınının rutin görevlerinde ÜYZ kullanacağını öngörmektedir.
Kaynak: IBM X-Force Threat Intelligence Index 2024; Cisco 2024 Data Privacy Benchmark StudyGölge Yapay Zekâ (Shadow AI): Boyutlar ve Riskler
2.1 Gölge YZ’nin Tanımı ve Kapsamı
Gölge YZ (Shadow AI), kurumsal bilgi, onay veya denetim mekanizmaları dışında çalışanlar tarafından iş süreçlerinde kullanılan ÜYZ araçlarını ifade etmektedir. Bu olgu, çalışanların bireysel inisiyatifiyle ortaya çıkmakta ve kurumsal BT altyapısı, yönetişim çerçeveleri ile denetim mekanizmalarının öngörmediği ya da yeterince izleyemediği biçimlerde gerçekleşmektedir.
Gölge YZ, Gölge BT (Shadow IT) olgusunun yeni nesil bir uzantısıdır; ancak çok daha derin bir risk profili taşımaktadır. Gölge BT kapsamındaki araçlar genellikle statik veri taşımacılığıyla sınırlıyken, ÜYZ araçları giriş olarak verilen bilgileri işleyebilmekte, bu verilerden yeni içerikler üretebilmekte ve bazı durumlarda bu verileri model eğitiminde kullanabilmektedir. Bu durum, veri denetiminin çok ötesine geçen bir risk boyutu yaratmaktadır.
Gartner’ın 2025 projeksiyonlarına göre kurumsal çalışanların %60’ına yakını, şirketlerinin onaylı ekosistemi dışında en az bir ÜYZ aracı kullanmaktadır. Cyberhaven’ın araştırması ise çalışanlar tarafından chatbotlara iletilen hassas veri miktarının 2023–2024 arasında %156 oranında arttığını ortaya koymuştur.
Kaynak: CybSafe/NCA 2024 Siber Güvenlik Tutum Araştırması; Cyberhaven 2024; Gartner 2025 CIO Report2.2 Gölge YZ Kullanımının Ortaya Çıkmasındaki Etkenler
- Verimlilik Baskısı ve Pratik İhtiyaçlar: Çalışanlar, zaman kazanmak, rutin görevleri azaltmak ve çıktı kalitesini artırmak amacıyla onaylı süreçlerin dışına çıkmaktadır.
- Politika ve Yönlendirme Boşluğu: IBM’in 2025 verisine göre kuruluşların yalnızca %37’si gölge yapay zekâyı yönetmeye yönelik resmi bir yönetişim politikasına sahiptir.
- Kolay Erişim ve Düşük Maliyet: Ücretsiz veya düşük maliyetli ÜYZ araçları, teknik bilgi gerektirmeksizin anında kullanılabilmektedir.
- Yerleşik Araçlara Gömülü Yapay Zekâ: Microsoft Teams, Salesforce ve Tableau gibi onaylı SaaS platformları artık yapay zekâ özellikleri sunmakta; bu durum görünmez ÜYZ kullanımını artırmaktadır.
- Yasak Yaklaşımlarının Yetersizliği: Araştırmalar, çalışanların yaklaşık yarısının kurumsal yasak sonrasında dahi kişisel ÜYZ hesaplarını kullanmayı sürdürdüğünü göstermektedir.
2.3 Gölge YZ’nin Kurumsal Risk Matrisi
| Risk Kategorisi | Açıklama | Önem |
|---|---|---|
| Kişisel Veri İhlali | Kişisel verilerin üçüncü taraf ÜYZ sistemlerine izinsiz aktarılması; KVKK ve GDPR ihlali riski | Yüksek |
| Fikri Mülkiyet Kaybı | Kaynak kod, ticari sır ve rekabete duyarlı bilgilerin model eğitimine açılması | Yüksek |
| Siber Güvenlik Açıkları | Onaysız API entegrasyonları ve kişisel cihazlar aracılığıyla kurumsal saldırı yüzeyinin genişlemesi | Yüksek |
| Karar Kalitesi Riskleri | Halüsinasyon içeren ÜYZ çıktılarının doğrulanmadan iş kararlarına dahil edilmesi | Orta |
| Hukuki ve Mevzuat Uyumu | AB YZ Yasası, GDPR ve KVKK yükümlülüklerine aykırılık; para cezaları ve yaptırımlar | Yüksek |
| Kurumsal İtibar | Hatalı veya kalitesiz ÜYZ çıktılarının kamuoyuna yansıması; paydaş güveninin sarsılması | Orta |
| Denetlenebilirlik Eksikliği | Hangi verilerin hangi araçlarla işlendiğinin izlenememesi; uyum kanıtlamasının güçleşmesi | Yüksek |
2.3.1 Kişisel Verilerin Korunmasına İlişkin Riskler
Harmonic’in son araştırmasına göre, çalışanların ÜYZ araçlarına girdiği komutların %8,5’i hassas veri içermektedir. Bu verilerin dağılımına bakıldığında; müşteri bilgileri %46, çalışanlara ait kişisel bilgiler %27 ve hukuki/finansal detaylar %15 oranında yer almaktadır. Sızıntıların %54’ünün ücretsiz platformlar üzerinden gerçekleşmesi özellikle dikkat çekicidir.
Kaynak: Harmonic Security 2024 Araştırması; KVKK Şubat 2026; IAPP Veri Koruma Analizi2.3.2 Fikri Mülkiyet ve Ticari Sırlara İlişkin Riskler
IBM’in 2025 Veri İhlali Maliyet Raporu’na göre, yapay zekâyla ilişkili vakalarda kuruluşların ihlal başına ortalama 650.000 Dolar’ın üzerinde zarara uğradığı tespit edilmiştir. Kaynak kodun, ürün tasarımlarının ve iş stratejilerinin üçüncü taraf ÜYZ araçlarıyla paylaşılması bu riski doğrudan beslemektedir.
Kaynak: IBM Cost of a Data Breach Report 2025; ISACA Shadow AI Araştırması 20252.3.3 Otomasyon Yanlılığı ve Halüsinasyon Riskleri
Literatürde otomasyon önyargısı (automation bias) olarak da tanımlanan bu olgu, kullanıcıların otomatik sistemlerden gelen çıktıları yeterli sorgulama olmaksızın doğru kabul etme eğilimini ifade etmektedir. Knostic AI’ın 2025 araştırmasına göre, alan odaklı yapay zekâ araçları bile kaynak atıfı testlerinde %17 ile %34 arasında halüsinasyon oranı sergilemektedir.
Bir avukat, yapay zekânın ürettiği ve varlığı kanıtlanamayan içtihat atıflarını mahkeme belgelerine dahil etmiş; bu durum ciddi hukuki yaptırımlarla sonuçlanmıştır. Bu dava, halüsinasyon riskinin gerçek dünyaya yansımasının en somut örneğini oluşturmaktadır.
Uluslararası Düzenleyici Çerçeve
3.1 Avrupa Birliği Yapay Zekâ Yasası (EU AI Act)
AB Yapay Zekâ Yasası (EU AI Act), 2024 yılında yürürlüğe girerek risk temelli bir sınıflandırma yaklaşımı benimsemiştir. Yasanın uygulanması aşamalı bir zaman çizelgesine bağlıdır:
- Şubat 2025 “Kabul Edilemez Risk” kategorisindeki YZ uygulamalarına ilişkin yasaklar ve genel hükümler yürürlüğe girdi.
- Ağustos 2025 YZ yönetişim altyapısı işler hale geldi; genel amaçlı yapay zekâ (GPAI) modelleri için yükümlülükler başladı.
- Ağustos 2026 Yüksek riskli yapay zekâ sistemlerine ilişkin çoğu yükümlülük uygulanmaya başlayacaktır (Dijital Omnibus çerçevesinde Aralık 2027’ye ertelenme ihtimali mevcuttur).
Yasa kapsamında iş yerlerindeki ÜYZ kullanıcıları açısından özellikle dikkat çeken yükümlülükler şunlardır: chatbot ve yapay zekâ içeriklerinde şeffaflık zorunluluğu, yüksek riskli YZ sistemlerinde insan denetimine ilişkin gereklilikler ve iş yeri bağlamında duygu tanıma sistemlerine yönelik yasaklar.
Kaynak: TechClass, ‘EU AI Act 2025’; GDPR Local, EU AI Regulations Overview 2026; Secure Privacy, EU AI Act 2026 Compliance Guide3.2 Türkiye: 6698 Sayılı KVKK
KVKK’nın Şubat 2026 dokümanında açıkça belirtildiği üzere, 6698 sayılı Kişisel Verilerin Korunması Kanunu, teknolojiden bağımsız olarak kişisel verilerin işlendiği her türlü faaliyet için geçerlidir ve ÜYZ sistemleri aracılığıyla yürütülen veri işleme faaliyetlerini de kapsamaktadır.
Kurum, ÜYZ sistemlerinin kişisel veri koruma boyutundaki etkilerini değerlendirmek amacıyla “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)” başlıklı ek bir kaynak yayımlamıştır.
3.3 Diğer Uluslararası Düzenleyici Çerçeveler
- ABD’de Utah’ın Yapay Zekâ Politika Yasası (AIPA) ve Tennessee’nin ELVIS Yasası gibi eyalet düzeyinde düzenlemeler hayata geçirilmiştir.
- NIST Yapay Zekâ Risk Yönetimi Çerçevesi, kurumların yapay zekâ risklerini tespit etmesi, ölçmesi ve azaltması için standartlar sunmaktadır.
- ISO/IEC 42001:2023, yapay zekâ yönetim sistemlerine yönelik uluslararası standartları belirlemektedir.
- Gartner’ın projeksiyonlarına göre yapay zekâ yönetişim harcamalarının 2026’da 492 milyon Dolara ulaşması ve 2030’da 1 milyar Doları aşması beklenmektedir.
Kurumsal Yönetişim: Stratejik Yaklaşımlar
Ulusal ve uluslararası araştırmalar, ÜYZ araçlarını tamamen yasaklamaya dayalı yaklaşımların hem uygulamada gerçekçi sonuçlar vermediğini hem de gölge kullanımı tetiklediğini ortaya koymaktadır. Bu ikilem, inovasyonu desteklerken riski yöneten dengeli bir yönetişim anlayışını zorunlu kılmaktadır.
4.1 Kurumsal YZ Politikası ve Yönlendirme Çerçevesi
Etkili bir kurumsal yapay zekâ politikası aşağıdaki temel unsurları içermelidir:
- Araç Sınıflandırması: ÜYZ araçlarının onaylanmış, kısıtlı ve yasak olarak üç kademeli biçimde sınıflandırılması.
- Veri Sınıflandırması ve Kısıtlamaları: Hangi veri kategorilerinin hangi araçlarla paylaşılabileceğinin açıkça belirlenmesi; kişisel veri ve ticari sırlar için özel hükümler.
- Onay ve Risk Değerlendirme Süreçleri: Yeni araçların devreye alınması için standart tedarik, güvenlik ve uyum süreçlerinin işletilmesi.
- Çıktı Doğrulama Protokolleri: ÜYZ çıktılarının uygunluk, doğruluk ve bağlam açısından insan denetimine tabi tutulmasına ilişkin prosedürler.
- Eğitim ve Farkındalık Programları: Çalışanların teknik ve hukuki riskleri anlayabilmesi için kapsamlı eğitim içerikleri.
- Geri Bildirim Mekanizmaları: Çalışanların deneyimlerini ve karşılaştıkları sorunları paylaşabilecekleri yapılandırılmış kanallar.
4.2 Teknik Kontrol ve Erişim Yönetimi
- Ağ düzeyinde DNS filtreleme ile onaylanmamış ÜYZ platformlarına erişimin engellenmesi veya denetim altına alınması.
- Bulut Erişim Güvenlik Aracısı (CASB) çözümleri ile ÜYZ trafik izleme ve denetim kayıtlarının tutulması.
- Rol tabanlı erişim kontrolü; ÜYZ araçlarına yalnızca belirlenmiş cihazlar üzerinden erişim imkânı.
- Veri Kaybı Önleme (DLP) sistemleri ile ÜYZ girdilerinin kişisel veri içeriği açısından otomatik taranması.
- Yapay zekâ kullanım envanteri (AI Registry) oluşturulması; onaylı modeller, veri bağlantıları ve uygulama sahiplerinin kayıt altına alınması.
4.3 Veri Güvenliği İçin Operasyonel Önlemler
- ÜYZ araçlarıyla etkileşimde mümkün olduğunca anonimleştirilmiş, genelleştirilmiş ve soyut ifadelerin tercih edilmesi.
- Sağlık verileri, finansal bilgiler ve hukuki bilgiler gibi özel nitelikteki verilerin ÜYZ araçlarıyla asla paylaşılmaması.
- Üçüncü taraf ÜYZ hizmet sağlayıcılarının gizlilik politikaları ve kullanım şartlarının, veri saklama ve eğitim amacıyla kullanım hükümleri açısından dikkatle incelenmesi.
- Kurumsal ÜYZ çözümleri için veri işleme sözleşmelerinin ve tazminat hükümlerinin güvence altına alınması.
4.4 İnsan Denetimi ve Eleştirel Değerlendirme Kültürü
Springer Nature’ın 2025 meta-analizi, insan tarafından belirlenen hesap verebilirlik algısının otomasyon önyargısını azaltmada belirleyici bir etken olduğunu ortaya koymuştur. Bu kültürü desteklemek için önerilen yaklaşımlar:
- ÜYZ çıktılarının nihai karar dayanağı olarak değil, destekleyici girdi olarak değerlendirildiğine dair net bir organizasyonel tutumun benimsenmesi.
- Zincirleme Düşünce (Chain-of-Thought) gibi prompt mühendisliği tekniklerinin öğretilerek şeffaflığın artırılması.
- Alana özgü doğrulama gerektiren süreçlerde (hukuk, finans, sağlık) çift kontrol protokollerinin hayata geçirilmesi.
- Çalışanların yapay zekâ sınırlılıkları konusundaki farkındalık düzeyini artırmaya yönelik periyodik eğitimler.
4.5 YZ Yönetişim Komitesi Yapısı
- Çapraz Fonksiyonel Temsil: Güvenlik, hukuk, uyum, İK ve iş birimleri temsilcilerinden oluşan çok disiplinli yapı.
- YZ Araç Envanteri: Onaylı modeller, veri bağlantıları ve atanmış uygulama sahiplerini kapsayan yaşayan bir envanter.
- Basamaklı Risk Değerlendirmesi: Düşük riskli araçlar için hızlandırılmış onay; yüksek riskli sistemler için derinlemesine inceleme.
- YZ Denetim Döngüleri: Gelişen kullanım örüntüleri ve ortaya çıkan risklerin tespiti için düzenli denetim faaliyetleri.
- Geri Bildirim Kanalları: Çalışanların sorunları isimsiz olarak paylaşabilecekleri iletişim mekanizmaları.
Sektörel Değerlendirmeler
AB YZ Yasası’nın risk sınıflandırmasına göre sağlık, finans, hukuk ve insan kaynakları gibi alanlar “yüksek riskli” sektörler olarak öne çıkmaktadır.
Hasta verilerinin HIPAA ve KVKK kapsamında özel korumadan yararlandığı sağlık sektöründe ÜYZ kullanımı, tıbbi tavsiye halüsinasyonları ve otomasyon önyargısı nedeniyle yüksek risk barındırmaktadır. Doğrulanmamış yapay zekâ çıktılarına dayalı karar verilmesi hem hukuki hem de etik sonuçlar doğurabilmektedir.
Ticaret sırları ve müşteri finansal verileri, ÜYZ sızıntılarında en yüksek yoğunlukta gözlemlenen kategoriler arasındadır. Avrupa’da DORA (Dijital Operasyonel Dayanıklılık Yasası) kapsamında ek uyum yükümlülükleri geçerlidir.
Mata v. Avianca davası, halüsinasyon içeren hukuki atıfların mahkeme belgelerine dahil edilmesinin ciddi yaptırımlara yol açabileceğini göstermiştir. Kaynak doğrulaması her zaman zorunludur.
İşe alım ve performans değerlendirmede kullanılan yapay zekâ, AB YZ Yasası kapsamında “yüksek riskli” kategoridedir. Çalışan verilerinin ÜYZ araçlarıyla paylaşılması KVKK kapsamında en hassas veri kategorisini oluşturmaktadır.
Kapsamlı Öneriler
- ÜYZ Araç Envanteri Çıkarma: Kuruluş genelinde hangi ÜYZ araçlarının hangi amaçlarla kullanıldığını tespit etmeye yönelik envanter çalışması başlatılmalıdır.
- Acil Politika Çerçevesi Hazırlama: Kapsamlı bir politika geliştirilene dek çalışanlara yönelik temel ÜYZ kullanım rehberi yayımlanmalıdır.
- Hassas Veri Farkındalığı Eğitimi: Kişisel veri ve ticari sırların ÜYZ araçlarıyla paylaşılmasındaki riskleri ele alan acil farkındalık programı düzenlenmelidir.
- Kritik Sistemlerde Denetim: Halihazırda ÜYZ araçlarının dahil edildiği yüksek riskli süreçler tespit edilmeli ve uyum değerlendirmesi gerçekleştirilmelidir.
- Kapsamlı YZ Politikası Geliştirilmesi: Tüm bileşenleri kapsayan resmi kurumsal YZ kullanım politikası hazırlanmalı ve tüm çalışanlara duyurulmalıdır.
- Teknik Altyapı Yatırımı: DLP çözümleri ve CASB araçları değerlendirilmeli; ÜYZ trafiğinin izlenmesi için güvenlik altyapısı güçlendirilmelidir.
- YZ Yönetişim Komitesi Kurulması: Güvenlik, hukuk, uyum ve iş birimlerinden temsilcilerin katılımıyla çapraz fonksiyonel yapı oluşturulmalıdır.
- Tedarikçi Değerlendirme Çerçevesi: Kurumsal onaylı ÜYZ araçlarının güvenlik ve uyum standartlarını karşılaması için denetim süreci hayata geçirilmelidir.
- AB YZ Yasası Uyum Haritası: Kuruluşun yapay zekâ kullanım örneklerinin yasa kapsamındaki risk sınıflandırmalarıyla eşleştirildiği uyum analizi yürütülmelidir.
- Sorumlu YZ Kültürü Geliştirme: Şeffaflık, sorgulayıcılık ve insan denetimine dayalı organizasyonel yapay zekâ kültürü oluşturulmalıdır.
- Sürekli İzleme ve Denetim: ÜYZ araç kullanımı, veri erişim örüntüleri ve ortaya çıkan riskler için otomatik izleme mekanizmaları kurulmalıdır.
- Çalışan YZ Okuryazarlığı Programı: ÜYZ güvenli kullanımı, prompt mühendisliği ve eleştirel çıktı değerlendirmesi konularında kapsamlı eğitim programları geliştirilmelidir.
- Mevzuat Takip Mekanizması: AB YZ Yasası, KVKK ve diğer uluslararası düzenlemelerdeki gelişmeleri izlemek için güncel tutulmuş bir süreç kurulmalıdır.
- Paylaşılmış Öğrenme Ekosistemi: Sektör kuruluşları ve düzenleyici otoritelerle yapay zekâ yönetişimi alanındaki iyi uygulamaların paylaşılmasına katkı sağlanmalıdır.
Sonuç
Üretken yapay zekâ araçlarının iş yerlerinde kullanımı, geri döndürülemez biçimde büyümekte olan bir ivme kazanmıştır. Bu gerçeklik karşısında kuruluşların tercih edeceği yaklaşım iki uç arasında sıkışmamalıdır: ne köklü bir yasak ne de denetimsiz bir kabullenme.
KVKK’nın Şubat 2026 tarihli dokümanı, doğru çerçeveyi öz olarak ortaya koymaktadır: yönlendirme, denge ve farkındalık. Bu yaklaşımı uluslararası araştırma bulguları, Gölge YZ’ye ilişkin veriler ve gelişen düzenleyici ortam tamamlamaktadır.
Sonuç olarak kuruluşlar; açık politikalar, güvenli alternatifler, insan denetimini esas alan kültür, sürekli izleme ve güncel mevzuat uyum çerçevesine dayalı bütüncül bir strateji oluşturmalıdır. Bu stratejinin hayata geçirilmesi, yalnızca risk azaltma değil; inovasyonu denetim altında tutma, çalışan güvenini artırma ve rekabetçi avantaj elde etme fırsatı da sunmaktadır.
Kaynakça
- KVKK – Kişisel Verileri Koruma Kurumu (Şubat 2026). İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı. www.kvkk.gov.tr
- Palo Alto Networks (2025). The State of Generative AI in 2025.
- Palo Alto Networks (2025). GenAI’s Impact — Surging Adoption and Rising Risks in 2025.
- IBM (2024). X-Force Threat Intelligence Index 2024. IBM Security.
- IBM (2025). Cost of a Data Breach Report 2025. IBM Security/Ponemon Institute.
- Cisco (2024). 2024 Data Privacy Benchmark Study.
- CybSafe & National Cybersecurity Alliance (2024). Oh Behave! The Annual Cybersecurity Attitudes and Behaviors Report 2024.
- Cyberhaven (2024). Data Exposure Report: Sensitive Data Submitted to AI Tools, 2023–2024.
- Harmonic Security (2024). Enterprise Prompt Security Research 2024.
- McKinsey & Company (2025). The State of AI: How Organizations Are Rewiring to Capture Value.
- Gartner (2025). Gartner 2025 CIO Report.
- PwC (2025). Managing the Risks of Generative AI. PwC Technology Insights.
- ISACA (2025). The Rise of Shadow AI: Auditing Unauthorized AI Tools in the Enterprise.
- ISACA (2025). From Shadow IT to Shadow AI: Navigating the New Frontier of Enterprise Risk. AtISACA, Volume 19.
- EY (2024). EY 2024 Responsible AI Principles. Ernst & Young LLP.
- Zylo (2025). 2025 SaaS Management Index.
- Vectra AI (2025). Shadow AI Explained: Risks, Costs, and Enterprise Governance.
- IT Resources (2025). Shadow AI in the Workplace: Governance, Risks and Solutions.
- CIO (2025). Shadow AI: The Hidden Agents Beyond Traditional Governance.
- DNSFilter (2025). Generative AI Security Risks in AI-Driven Workplaces.
- IAPP (2024). Data Protection Issues for Employers to Consider When Using Generative AI.
- Whiteford, Taylor & Preston LLP (2024). Client Alert: Avoiding Legal Pitfalls and Risks in Workplace Use of Artificial Intelligence.
- TechClass (2025). EU AI Act 2025: What HR & IT Leaders Must Know.
- Secure Privacy (2026). EU AI Act 2026 Compliance Guide: Key Requirements Explained.
- GDPR Local (2026). EU AI Regulations Overview: Risks, Obligations, and Enforcement.
- Springer Nature/AI & Society (2025). Exploring Automation Bias in Human–AI Collaboration: A Review.
- Knostic AI (2025). Solving the Very-Real Problem of AI Hallucination.
- NIST (2023). AI Risk Management Framework, Version 1.0. National Institute of Standards and Technology.
- ISO/IEC 42001:2023 – Information Technology — Artificial Intelligence — Management System.
- World Economic Forum (2024). AI Governance Alliance: Briefing Paper Series.
- Check Point Software (2024). The Five Most Common Data Risks in Generative AI.
- Netskope (2026). Cloud and Threat Report.
- Komprise (2025). 2025 IT Survey: AI, Data & Enterprise Risk.
- CXC Global (2025). When AI Hallucinates Compliance and Why Human Oversight Matters.
- MIT Sloan Teaching & Learning Technologies (2025). When AI Gets It Wrong: Addressing AI Hallucinations and Bias.