Gölge AI Sayılarının Sakladıkları

Çoğu organizasyondaki çalışanlar, işverenlerinin hiç onaylamadığı AI araçlarını zaten kullanıyor. Şimdiye kadar bu kimseyi şaşırtmamalı. Çalışanlar, IT tarafından resmi olarak tanıtılsa da tanıtılmasa da, daha verimli çalışmalarına yardımcı olan teknolojilere her zaman yönelmiştir. AI bu davranışı sadece hızlandırdı.

AI benimsenme hızı sadece hikayenin bir parçası. Daha açıklayıcı olan, bu benimsenmenin gerçekleştiği ortamlar hakkında ne söylediği. Çalışanların kendi AI araçlarını seçmesi, genellikle IT’nin işin nasıl yapıldığına dair tam bir resme sahip olmadığının bir işaretidir. Onaylanmamış AI kullanımını belirlemekte zorlanan aynı organizasyonlar, daha yavaş yamalama, tutarsız şifreleme veya yerleşik güvenlik politikalarının dışındaki cihazlarla da mücadele ediyor olabilir. Gölge AI bu zayıflıkları yaratmaz, ancak onları daha net ortaya çıkarabilir.

Bizim State of Digital Workspace 2026 Report raporumuz, 17 sektördeki milyonlarca yönetilen cihazdan gelen telemetrileri analiz etti; çalışanların hangi araçları kullandıklarını hatırlamaları veya açıklamaları istenerek ortaya çıkan sınırlamaları ortadan kaldırdı. Rapor, 2025 yılı boyunca AI asistan kullanımının neredeyse %1.000 arttığını buldu ve bu, iş yerinde en hızlı büyüyen uygulama kategorisi oldu.

Bu rakam, çalışan davranışının ne kadar hızlı değiştiğini gösteriyor. Aynı zamanda daha az bilinen bir soru ortaya çıkıyor: Onaylanmamış uygulamalara yüksek maruziyeti olan organizasyonlar, cihaz yönetiminin daha köklü alanlarında zayıflıklar gösteriyor mu? Sağlık sektörü, bunun en net göstergesi gibi duruyor. Çalışmamızda, sağlık sektörünün onaylanmamış uygulamalardan kaynaklanan uyum riskine en çok maruz kalan sektörler arasında yer aldığını ve raporun başka bölümlerinde en yavaş yamalama oranları ve daha yüksek şifrelenmemiş masaüstü oranları kaydedildiğini gördük.

Benimsenme Resmin Sadece Bir Parçası

Çalışanların hangi AI araçlarını kullandığını anlamak sadece bulmacanın bir parçasıdır. Daha açıklayıcı soru, neden bu araçları seçtikleridir; çünkü bu kararlar genellikle IT’nin oluşturduğunu düşündüğü iş ortamı ile çalışanların her gün deneyimlediği ortam arasındaki boşluğu ortaya koyar.

Kabul edilen ve onaylanmamış AI araçları arasındaki dağılım, kullanım belirlendikten sonra daha açıklayıcı hâle gelir. Microsoft Copilot, IT’nin dağıtımı kontrol ettiği yönetilen mobil cihazlarda yaygın olarak kurulu; bu durum Microsoft 365 içindeki konumu sayesinde mümkün oluyor. Bu yönetilen ortamın dışında, ChatGPT büyük bir farkla lider konumda. Onaylanmamış iOS cihazların %91’inde ve onaylanmamış Android cihazların %61’inde görülürken, Gemini kalan Android kullanımının büyük bir kısmını oluşturur.

Kabul edilen ve çalışanların kendi seçtiği hizmetler aynı çalışma ortamında kolayca bir arada bulunabilir. Çalışanlar, kurumsal AI hizmetine erişime sahip olabilir ve yine de daha hızlı, daha tanıdık ya da belirli bir göreve daha uygun buldukları başka bir araca yönelir. Onların bakış açısından bu, işi hızlı ve pratik bir şekilde tamamlamanın en mantıklı yolu olur. IT ve uyum ekipleri için ise, hangi uygulamaların şirket bilgilerini işlediği ve mevcut yönetişim politikalarının uygulanıp uygulanmadığı konusunda belirsizlik yaratır.

İletişim yazılımları içinde de benzer bir desen görülür. Tüketici mesajlaşma uygulamaları, yönetilen masaüstü platformlarında kurulu iletişim araçlarının neredeyse yarısını, Teams, Zoom ve Slack ile birlikte oluşturur. Finans hizmetleri ve sağlık sektörü, sıkı kayıt tutma yükümlülüklerine rağmen istisna değildir. Uyum sorunu, bir organizasyonun hassas konuşmaların sadece onaylı kanallarda kalacağını varsaydığında başlar. Bir politika sorgusu, hasta tartışması ya da iç karar bir tüketici uygulamasına taşındığında, bu konuşma artık saklama, izleme ya da soruşturma için kullanılan sistemlerde yer almayabilir. İlgili çalışan, kontrolü atlatma niyeti taşımıyor olabilir; sadece bir meslektaşının en hızlı yanıt verdiği kanalı kullanıyor olabilir.

Bu kalıplar, işin nasıl yapıldığına dair daha geniş bir kaymaya işaret eder. Çalışanlar, uygulamalar, tarayıcılar ve AI hizmetleri arasında giderek daha fazla geçiş yapıyor; bu araçlar her zaman geleneksel yönetim modellerine tam oturmayabiliyor. Zorluk sadece başka bir uygulamayı tespit etmek değil; ortam genelinde işin nasıl gerçekleştiğine dair net bir anlayışı sürdürmek ve yönetişimin çalışan davranışlarıyla aynı hızda ilerlemesini sağlamak.

AI Benimsenmesi ve Cihaz Hijyeni Farklı Hızlarda İlerliyor

AI’nın hızlı benimsenmesi, kurumsal IT’nin bir başka gerçeğini ortaya çıkardı: teknoloji organizasyon içinde aynı hızda evrimleşmiyor. Çalışanlar, bir AI hizmetini dakikalar içinde, satın alma süreci ya da destek talebi olmadan kullanmaya başlayabiliyor.

Bir cihaz yönetimi boşluğunu kapatmak aylar sürebilir; özellikle kurumsal dizüstü bilgisayarlar, ortak kullanılan cihazlar, dayanıklı donanımlar ve çalışanların kişisel telefonlarından oluşan karma bir altyapı söz konusu olduğunda. Telemetri, yamalama hızında geniş bir varyasyon olduğunu gösteriyor. iOS cihazlar, Android cihazlara göre yaklaşık sekiz kat daha hızlı en yeni sürüme ulaşıyor; macOS ise Windows’a göre yaklaşık bir buçuk kat daha hızlı güncelleniyor.

Şifreleme kapsamı da dengesiz; bankacılık masaüstlerinin %23’ü şifrelenmemiş, bu oran sağlık ve yüksek teknoloji sektörlerinde yaklaşık %27, medya ve eğlence sektöründe %28’e çıkıyor. Eğitimde masaüstü ve mobil cihazların yarısından fazlası şifrelenmemişken, hükümette beşte bir masaüstü şifreleme içermiyor.

İşletim sistemi güncellemeleri için sektör dağılımı daha fazla bağlam ekliyor. Sağlık, ilaç ve perakende/çoğaltma sektörleri, mevcut sürümden dört ya da beş nesil geride çalışan Android cihazların en yüksek yoğunluğuna sahip. Kaçırılan bir yamanın ortaya çıkardığı bilgi, bu ortamlar arasında değişiyor; hasta kayıtları ve klinik verilerden ilaç araştırması ve ödeme bilgilerine kadar.

Eski cihazlar genellikle değiştirilmesi ve bakımı zor olan operasyonel ortamlara gömülüdür. Bir hastane servisi ya da depo katında kullanılan dayanıklı el cihazı, hâlâ birkaç büyük sürüm geride bir işletim sistemi çalıştırıyor olabilir; aynı ortamda çalışan personel ise en yeni halka açık AI hizmetlerine erişebiliyor. AI kullanımı hemen endişe yaratabilir, ancak yaşlanan uç nokta uzun süredir hassas bilgilere giden bir yol sunar.

Bu noktada, AI benimsenmesi ile uç nokta yönetimi arasındaki ilişki daha netleşir. Rapor, gölge sınır riski ve güvenlik hijyenini ayrı bölümlerde ele alıyor, ancak sağlık sektörü her iki bölümde de yer alıyor. Öncelikle onaylanmamış uygulamalardan kaynaklanan uyum maruziyeti nedeniyle tanımlanıyor, ardından yavaş işletim sistemi güncellemeleri ve nispeten yüksek şifrelenmemiş masaüstü oranı nedeniyle tekrar ortaya çıkıyor. Güvenlik, cihaz yönetimi ve uygulama bilgileri ayrı sistemlerde tutulduğunda bu örtüşme gizli kalabilir. Her ekip, kendi bölümü hakkında doğru bir görüşe sahip olabilirken, risk yoğunluğunu tüm altyapı üzerinde kaçırabilir.

Regülasyon Takvimi Değişti

Bazı organizasyonlar, bu boşlukları kapatmak için düzenlemelerin gerekli baskıyı yaratmasını beklemişti; ancak takvim şimdi önceden tahmin edilenden daha uzun bir süre tanıyor. 7 Mayıs’ta AB müzakerecileri tarafından ulaşılan siyasi anlaşma kapsamında, Annex III altında bağımsız sistemler için AI Yasası’nın yüksek riskli yükümlülükleri Ağustos 2026’dan Aralık 2027’ye kaydırıldı. Bu, birçok kurumsal AI dağıtımının düşmesi beklenen kategori. Şeffaflık yükümlülükleri hâlâ Ağustos 2026’dan geçerli, daha geniş gereksinimler ise on altı ay sonra, yani Aralık 2027’de yürürlüğe girecek.

Gecikme, organizasyonlara hazırlık için daha fazla zaman tanırken, aynı zamanda yatırımları hızlandırabilecek acil bir dış tarih de ortadan kalkıyor.

Pazar, tanınmış bir yönetişim boşluğuna yanıt veriyor; ancak bu harcamanın değeri, platformların daha geniş uç nokta altyapısıyla ne kadar iyi bağlandığına bağlı olacak. Ayrı bir AI yönetişim panosu, hangi araçların kullanıldığını belirleyebilir; ancak cihaz durumu, şifreleme ve uygulama performansı başka bir yerde kalabilir. Düzenlemeler beklentileri belirleyebilir ve sorumluluğu tanımlayabilir, ancak temel veriler bir araya getirilemediği sürece tam bir operasyonel resim oluşturamaz.

Uç Nokta, AI Yayan Herkes İçin Önemlidir

Her organizasyonun AI stratejisi nihayetinde çalışanların her gün kullandığı cihazlara bağlı olacaktır. Bu, AI’nın bir tarayıcı üzerinden, bir iş uygulamasına gömülü ya da doğrudan uç noktada çalıştırılması fark etmeksizin geçerlidir.

Asistan, ajan ya da cihaz içi modelleri dağıtan geliştiriciler ve kurumsal ekipler, çalışanların zaten kullandığı cihazlarla çalışmak zorundadır. Bu cihazlar daha eski, yoğun yönetilen ya da performans baskısı altında olabilir. Windows masaüstlerinde, IT yönetimi, güvenlik ve sistem araçları kurulu yazılım yığınına yaklaşık üçte iki oranında hâkimdir. Uç nokta koruması, yama yönetimi, şifreleme ve varlık envanter ajanları, bir AI iş yükü başlamadan önce işlemci kapasitesi ve bellek için yarışır.

Bu ortama bir asistan eklemek, cihaz üzerindeki talepleri değiştirir. Bu, özellikle cihaz içi çıkarım ve ajan tabanlı iş akışları için geçerlidir; çünkü güvenilirlik ve mevcut bilgi işlem kaynakları, hizmetin beklendiği gibi yanıt verip vermediğini etkiler. The Digital Workspace 2026 Report Windows cihazların, Mac’lere göre 3,1 kat daha fazla zorunlu kapanış ve 7,5 kat daha fazla yanıt vermeyen uygulama durumu yaşadığını buldu. Çalışanlar rutin işlerinde AI asistanlarına güvenmeye başladıkça, bu güvenilirlik farkları benimsenme ve güven üzerinde doğrudan etki eder. İhtiyaç duyulduğu anda hizmet erişilemez, yavaş ya da tutarsız olursa, hızla atlanacaktır.

Yeni çıkarılmış bir yönetici dizüstü bilgisayarı ile ortak bir klinik cihaz aynı organizasyona ait olabilir, ancak yama, performans ve kontrol açısından tamamen zıt uçlarda yer alabilir. AI dağıtımını idealize edilmiş bir uç nokta etrafında tasarlamak, uygulanmasının en zor olacağı noktaları gözden kaçırma riskini taşır. Bu zayıflıklar genellikle düzenlenmiş ve operasyonel ortamlarda yoğunlaşır; cihazlar daha uzun süre kullanılır ve kesintiler ön hat çalışanlarını etkileyebilir. Aynı zamanda, düşük görünürlük en büyük sonuçları doğuran ortamlardır.

Tüm Ortamı Görmek

Politikalar hâlâ gerekli, ancak bir organizasyon çalışanların hangi araçları kullandığını ya da bu araçlara erişen cihazların durumunu göremediğinde kapsamları sınırlı kalır. Çalışanlar, bir görevi hızlı tamamlamalarına yardımcı olan hizmetleri seçmeye devam edecek. Bazıları onaylı bir asistan kullanırken, diğerleri daha kolay hissettiren ya da daha iyi sonuç üreten bir halka açık hizmeti tercih edecek. Yazılı kurallar tek başına IT ekiplerine bu davranışı doğru bir şekilde yansıtamaz.

Operasyonel zorluk, AI kullanımını bağlam içinde anlamaktır; bu bağlam cihazın yaşı, işletim sistemi, yama durumu, şifreleme kapsamı ve üzerinde çalışan uygulamaları içerebilir. Ayrı ayrı incelendiğinde her veri seti yönetilebilir görünebilir. Birleştirildiğinde ise aynı çalışanlar, cihazlar ya da iş süreçleri etrafında birden fazla zayıflığın biriktiği noktalar ortaya çıkabilir. Düzenlenmiş organizasyonlar, AI kullanımını, yama ve şifreleme bilgilerini ortak bir görünümde birleştirerek başlamalı, ardından bu veri setlerinde tekrar tekrar ortaya çıkan altyapı bölümlerini belirlemelidir. Gölge AI, sorunun en görünür işareti olabilir; ancak daha geniş risk, iş yerini yöneten sistemler arasındaki boşluklarda gizlidir.