# ChatGPT'ye Şirket Verisi Girmek Güvenli mi? Gölge Yapay Zeka Riskleri ve 8 Adımlık Önlem Planı

> ChatGPT'ye şirket verisi girmenin KVKK ve sızıntı risklerini, 2026 verileriyle gölge yapay zekanın maliyetini ve yasaksız 8 adımlık önlem planını öğrenin.

Kaynak: https://digitalbridge.com.tr/blog/chatgpt-sirket-verisi-guvenligi.html
Yayıncı: Digital Bridge Teknoloji (https://digitalbridge.com.tr)
Konu: Yapay Zeka
Yayın: 2026-09-26 · Güncelleme: 2026-10-30

ChatGPT'ye şirket verisi girmek, müşteri bilgisi, teklif ya da kaynak kod gibi verileri kurum dışındaki bir yapay zeka servisine aktarmak demektir; kişisel hesapla yapıldığında kurumun bu veri üzerinde denetimi kalmaz. Risk araçtan çok kontrolsüz kullanımdadır. Çözüm yasak değil: onaylı araçlar, girilemeyecek veri listesi ve hassas işler için yetkiye bağlı kurumsal bir asistandır.

## Kısaca

- ChatGPT'ye girilen şirket verisi kurum dışındaki bir servise gider; kişisel hesapta saklama ve model eğitimi ayarlarını kurum denetleyemez.
- Verizon DBIR 2026'ya göre kullanıcıların %67'si yapay zeka servislerine kurumsal olmayan hesaplarla erişiyor.
- IBM'in 2025 veri ihlali raporunda her beş kuruluştan biri gölge yapay zeka kaynaklı bir ihlal bildirdi.
- KVKK'da veri sorumlusu çalışan değil şirkettir; yurt dışındaki bir servise kişisel veri girmek çoğu durumda yurt dışına aktarımdır.
- Etkili önlem yasak değil; veri sınıflandırması, onaylı araç listesi, kurumsal hesap zorunluluğu ve yetkiye bağlı güvenli bir asistandır.

## Çalışanlar ChatGPT'ye gerçekte neler yapıştırıyor?

OpenAI'ın geliştirdiği ChatGPT gibi üretken yapay zeka araçlarına şirket verisi çoğu zaman iyi niyetle girer.

Bir satış uzmanı teklif metnini düzeltmek için müşteri adı, iskonto oranı ve ürün listesiyle birlikte teklifi sohbet penceresine yapıştırır. Bir yazılımcı hata veren fonksiyonu, içindeki bağlantı bilgileriyle birlikte sorar. İK'dan biri performans değerlendirmelerini "daha kibar yazması" için yapay zekaya verir. Hiçbirinin kötü niyeti yoktur; hepsi işini daha hızlı yapmaya çalışıyordur.

Sorun şu üç noktada birleşir:

- **Hesap kişiseldir.** Kişisel e-postayla açılmış bir hesaptaki konuşmalar kurumun denetiminde değildir; çalışan işten ayrıldığında da o hesapta kalır.
- **Ayarlar bilinmez.** Konuşmaların saklanması ve model geliştirmede kullanılması, kullanılan sürüme ve hesap ayarlarına göre değişir. Çoğu çalışan bu ayarların nerede olduğunu bilmez.
- **Veri türü ayırt edilmez.** Müşteri verisi, ticari sır, kaynak kod ve kamuya açık bilgi aynı pencereye aynı rahatlıkla yapıştırılır.

Kurumun bilgisi ve onayı olmadan kullanılan bu araçlara **[gölge yapay zeka](https://digitalbridge.com.tr/sozluk.html#shadow-ai)** (shadow AI) deniyor. Gölge yapay zeka, gölge BT'nin yeni biçimidir ve çok daha hızlı yayılıyor.

## Gölge yapay zekanın şirketlere maliyeti nedir?

Gölge yapay zeka kullanımı 2026 itibarıyla istisna değil. [Verizon 2026 Data Breach Investigations Report](https://www.verizon.com/business/resources/T1ae/reports/2026-dbir-data-breach-investigations-report.pdf) verisine göre çalışanların %45'i kurumsal cihazlarında düzenli yapay zeka kullanıcısı (önceki yıl %15) ve kullanıcıların %67'si bu servislere kurumsal olmayan hesaplarla erişiyor. Aynı rapora göre onaysız üretken yapay zeka araçlarına en sık gönderilen veri türü kaynak koddu.

Bunun bir ihlal faturası da var. [IBM Cost of a Data Breach Report 2025](https://newsroom.ibm.com/2025-07-30-ibm-report-13-of-organizations-reported-breaches-of-ai-models-or-applications,-97-of-which-reported-lacking-proper-ai-access-controls) bülteninde her beş kuruluştan biri gölge yapay zeka kaynaklı bir ihlal bildirdi; gölge yapay zeka kullanımı yüksek olanlarda ihlal maliyeti 670.000 dolar daha yüksekti. Aynı raporda ihlal yaşayan kuruluşların %63'ünün yapay zeka yönetişim politikası yoktu ya da hâlâ hazırlanıyordu.

Kaygı yalnızca güvenlik ekiplerinde değil. [Eurostat'ın yapay zeka istatistiklerine](https://ec.europa.eu/eurostat/statistics-explained/index.php?title=Use_of_artificial_intelligence_in_enterprises) göre AB'de yapay zekayı düşünüp kullanmayan işletmelerin %48,83'ü veri koruma ve gizlilik kaygısını gerekçe gösterdi (2025). Yani kontrolsüz kullanım hem risk yaratıyor hem de kontrollü kullanımın önünü tıkıyor.

## ChatGPT'ye kişisel veri girmek KVKK açısından ne anlama gelir?

Bir çalışanın müşteri adını, telefonunu ya da sağlık bilgisini içeren bir metni yurt dışında sunucusu bulunan bir yapay zeka servisine girmesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu açısından bir **kişisel veri işleme** ve çoğu durumda **yurt dışına aktarım** faaliyetidir. [Veri sorumlusu](https://digitalbridge.com.tr/sozluk.html#data-controller) çalışan değil, şirkettir. Bu nedenle:

- Aydınlatma metinlerinizde bu tür bir işleme öngörülmemişse, ilgili kişiler bilgilendirilmemiş olur.
- 2024'te değiştirilen KVKK'nın 9. maddesi, yurt dışına aktarımı belirli şartlara (yeterlilik kararı ya da standart sözleşme gibi uygun güvenceler) bağlar; bir çalışanın kişisel hesabıyla yaptığı aktarım bu şartların hiçbirine dayanmaz. Aktarım yollarını ve standart sözleşme bildirimini [KVKK yurt dışına veri aktarımı](https://digitalbridge.com.tr/blog/kvkk-yurt-disi-veri-aktarimi.html) rehberinde anlattık.
- Kanunun 12. maddesi veri sorumlusuna gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir; yazılı bir kullanım politikasının ve erişim kontrolünün olmaması bu yükümlülük açısından zayıf bir tablodur.

Kişisel veri içermese bile ticari sır, teklif fiyatı ya da kaynak kod gibi bilgiler sözleşmelerinizdeki gizlilik yükümlülüklerini ilgilendirir. Veriyi hiç dışarı göndermemek isteyen kurumlar için modeli şirket içinde çalıştırmanın yolunu [yerel LLM kurulumu](https://digitalbridge.com.tr/blog/yerel-llm-kurulumu.html) rehberimizde anlattık.

Bu yüzden ChatGPT kaynaklı veri sızıntısı riski ayrı bir konu gibi değil, [KVKK uyum sürecinizin](https://digitalbridge.com.tr/blog/kvkk-uyum-sureci.html) bir parçası olarak ele alınmalıdır: veri envanterine yapay zeka servisleri eklenir, aydınlatma metinleri güncellenir ve aktarım değerlendirmesi yazılı hale getirilir. Kurumun kendi yapay zeka projelerinde hukuki sebep, aktarım ve otomatik karar adımlarını [yapay zeka ve KVKK rehberimizde](https://digitalbridge.com.tr/blog/yapay-zeka-kvkk.html) ele aldık.

## ChatGPT'de şirket verisi nasıl korunur? 8 adımlık çerçeve

1. **Veriyi sınıflandırın.** Dört basit sınıf yeterlidir: kamuya açık, iç kullanım, gizli, kişisel veri. Çalışan hangi sınıfın hangi araca girebileceğini tek tabloda görmeli.
2. **Onaylı araç listesi yayınlayın.** Hangi yapay zeka araçları, hangi sürüm ve hangi ayarlarla kullanılabilir? Listede olmayan araç kullanılmaz. Bu kuralların hangi bölümlerle yazılı bir belgeye dönüşeceğini [şirket yapay zeka kullanım politikası](https://digitalbridge.com.tr/blog/sirket-yapay-zeka-kullanim-politikasi.html) yazısında ayrıca ele aldık; burada odak veri sızıntısını önlemek.
3. **Kurumsal hesabı zorunlu tutun.** Kişisel hesapla iş verisi işlenmemeli. Kurumsal hesaplar merkezi olarak açılıp kapatılabilir; [tek oturum açma (SSO)](https://digitalbridge.com.tr/blog/tek-oturum-sso-nedir.html) ile bağlanmaları yönetimi kolaylaştırır.
4. **Asla girilmeyecekleri yazın.** Müşteri kimlik ve iletişim bilgisi, sağlık verisi, parolalar ve erişim anahtarları, imzalanmamış teklif fiyatları, kaynak kodun gizli bölümleri. Parola ve anahtarların nasıl yönetileceğini [kurumsal parola güvenliği yazımızda](https://digitalbridge.com.tr/blog/kurumsal-parola-guvenligi.html) anlattık.
5. **Hassas işler için güvenli bir alternatif sunun.** Yasak tek başına işe yaramaz; çalışana "bunu nerede yapabilirim?" sorusunun cevabını verin. Kurum belgeleri üzerinde çalışan ve erişimi [yetkiye bağlı bir asistan](https://digitalbridge.com.tr/blog/yetki-bazli-yapay-zeka.html) bu boşluğu doldurur. Mimarisini [RAG nedir yazımızda](https://digitalbridge.com.tr/blog/rag-nedir-kurumsal-llm.html) açıkladık.
6. **Teknik kontrolleri ekleyin.** Web filtreleme, [DLP ile veri sızıntısı önleme](https://digitalbridge.com.tr/blog/dlp-veri-sizintisi-onleme.html) kuralları ve uç nokta yönetimiyle onaysız araçlara hassas veri yüklenmesini izleyin.
7. **Çıktıyı doğrulatın.** Yapay zeka çıktısı müşteriye, sözleşmeye ya da resmi yazışmaya girmeden önce bir kişi tarafından kontrol edilmeli. Nedenini [yapay zeka halüsinasyonu yazımızda](https://digitalbridge.com.tr/blog/yapay-zeka-halusinasyon.html) anlattık. Asistan e-posta ya da belge okuyorsa, içine gizlenmiş talimatla veri sızdırma riski için [prompt enjeksiyonu](https://digitalbridge.com.tr/blog/prompt-enjeksiyonu.html) yazısına bakın.
8. **Eğitin ve ayrılışı yönetin.** Kısa, örnekli bir eğitim verin; çalışan ayrıldığında kurumsal yapay zeka hesaplarını da e-posta ve dosya erişimiyle birlikte kapatın. Süreç için [işten ayrılan çalışanın e-posta erişimi yazımıza](https://digitalbridge.com.tr/blog/isten-ayrilan-calisan-e-posta-erisimi.html) bakabilirsiniz.

Dört veri sınıfı için örnek bir kullanım kuralı tablosu şöyle olabilir:

| Veri sınıfı | Örnek | Onaylı genel yapay zeka aracı (kurumsal hesap) | Yetkiye bağlı kurumsal asistan |
|---|---|---|---|
| Kamuya açık | Web sitesi metni, yayımlanmış katalog | Kullanılabilir | Kullanılabilir |
| İç kullanım | İç prosedür, toplantı notu | Yalnızca onaylı araçta | Kullanılabilir |
| Gizli | Teklif fiyatı, kaynak kod, sözleşme | Girilmez | Yalnızca yetkili kişilerle |
| Kişisel veri | Müşteri adı, telefon, sağlık bilgisi | Girilmez | KVKK değerlendirmesinden sonra, yetkiyle |

Onaylı araç listesine bir aracı alırken şu sorulara yazılı yanıt arayın:

- Konuşmalar nerede ve ne kadar süre saklanıyor?
- Girilen veri model geliştirmede kullanılıyor mu, bu kurumsal hesapta kapatılabiliyor mu?
- Hesaplar merkezi olarak açılıp kapatılabiliyor mu, kimin ne kullandığı raporlanabiliyor mu?
- Veri hangi ülkede işleniyor ve bu, kişisel veri için ayrı bir aktarım değerlendirmesi gerektiriyor mu?

Yanıtı belirsiz kalan araç, en azından gizli ve kişisel veri sınıfları için listeye alınmamalıdır.

ChatGPT için yazılan bu adımların çoğu, genel bir [KOBİ siber güvenlik kontrol listesinin](https://digitalbridge.com.tr/blog/kobi-siber-guvenlik-kontrol-listesi.html) yapay zekaya uyarlanmış halidir; mevcut güvenlik politikanıza ek bir sayfa olarak yazılabilir.

## Digital Bridge şirket verisini yapay zekadan nasıl korur?

Digital Bridge olarak yapay zeka kullanımını yasaklamak yerine güvenli bir kanala taşımayı hedefliyoruz:

- **Mevcut kullanımı görünür kılıyoruz.** [Siber güvenlik danışmanlığı](https://digitalbridge.com.tr/danismanlik/siber-guvenlik.html) kapsamında hangi yapay zeka araçlarının, hangi hesaplarla ve hangi veri türleriyle kullanıldığını çıkarıyor, veri sınıflandırması ve kullanım politikasını ekibinizle birlikte yazıyoruz.
- **KVKK tarafını netleştiriyoruz.** [KVKK uyum danışmanlığı](https://digitalbridge.com.tr/danismanlik/kvkk-uyum-danismanligi.html) ile yapay zeka kullanımını aydınlatma metinlerine, veri envanterine ve yurt dışına aktarım değerlendirmesine yansıtıyoruz.
- **Güvenli alternatifi kuruyoruz.** Belgeleriniz üzerinde çalışan, her yanıtta kaynak gösteren ve kullanıcının yalnızca yetkili olduğu belgelerden yanıt veren bir [kurumsal LLM asistanı](https://digitalbridge.com.tr/teknoloji-donanim/kurumsal-llm-asistan.html) kuruyoruz. Verinin kurum dışına çıkamadığı yapılarda asistan açık kaynak modellerle tamamen kurum sunucusunda çalışabiliyor.
- **Mevcut sistemlere bağlıyoruz.** Asistanı ERP, yardım masası veya intranetinize [yapay zeka entegrasyonu](https://digitalbridge.com.tr/teknoloji-donanim/yapay-zeka-entegrasyonu.html) ile ekliyoruz; çalışan yeni bir araç aramak zorunda kalmıyor.

## Kontrollü yapay zeka örneği: SmartMail ve SmartFiles

Çalışanların yapay zekaya en çok başvurduğu iki iş, e-postaları özetlemek ve belgeleri anlamaktır. Digital Bridge'in geliştirdiği [Smart360](https://digitalbridge.com.tr/smart360.html) ailesi bu iki işi kurumsal hesabın içinde, yönetici denetiminde yapar:

- **[SmartMail](https://digitalbridge.com.tr/smart360/smartmail.html)**'de mesaj özeti, otomatik sınıflandırma, mesaja soru sorma, yazım desteği ve 30 dile çeviri bulunur. Posta kutusu başına dokuz izin vardır; "yapay zeka ile yeniden yorumlama" ve "yapay zeka sohbeti" bunlardan ikisidir, yani yapay zekayı kimin kullanacağı kutu bazında belirlenir.
- **[SmartFiles](https://digitalbridge.com.tr/smart360/smartfiles.html)**'ta yapay zeka, sekiz bağımsız yetkiden biridir ve kişiye ya da departmana verilir. Yüklenen belge için dört bölümlü rapor üretilir, belgeye veya klasöre soru sorulabilir; yanıt yalnızca kullanıcının görme yetkisi olan dosyalardan üretilir. Aylık yapay zeka hak tavanı vardır; yönetici özelliği tamamen kapatabilir.

Her kurumun verisi, her ürün için ayrı veritabanında tutulur. Tüm ürünler tek kimlikle (SmartID) yönetildiği için ayrılan çalışanın erişimi tek işlemle kapanır; oturumlar cihaz bilgisiyle listelenir ve uzaktan kapatılabilir. İki ürün ayrı ayrı alınabilir: SmartMail'i [satın almak için](https://smart360.com.tr/satin-al?urun=smartmail) ve SmartFiles'ı [satın almak için](https://smart360.com.tr/satin-al?urun=smartfiles) Smart360 satın alma sayfasını kullanabilirsiniz.

## Şirket verisini korumaya nereden başlamalı?

Bu hafta basit bir anket yapın: ekip hangi yapay zeka araçlarını, hangi hesapla ve hangi iş için kullanıyor? Sonuçları dört veri sınıfıyla eşleştirin. Ardından [iletişim sayfamızdan](https://digitalbridge.com.tr/iletisim.html) bize ulaşın; kullanım politikanızı birlikte yazalım ve hassas işler için güvenli bir asistanın kapsamını çıkaralım. Yapay zekaya kontrollü biçimde nereden başlanacağını [şirketlerde yapay zeka yazımızda](https://digitalbridge.com.tr/blog/sirketlerde-yapay-zeka-nereden-baslamali.html), diğer konuları ise [Yapay Zeka rehberimizin tamamında](https://digitalbridge.com.tr/blog/konu/yapay-zeka.html) bulabilirsiniz.

## Sık Sorulan Sorular

### ChatGPT'ye girilen şirket verisi model eğitiminde kullanılır mı?

Bu, kullanılan sürüme, hesap türüne ve ayarlara göre değişir; sağlayıcıların koşulları da zaman içinde güncellenir. Bu yüzden kurum, hangi sürümün hangi ayarlarla kullanılacağını kendisi belirlemeli ve kurumsal hesabı zorunlu tutmalıdır. Kişisel hesapta ayarların doğru yapıldığından emin olmanın bir yolu yoktur.

### Çalışanların ChatGPT kullanmasını yasaklamak çözüm mü?

Genellikle değil. Yasak, kullanımı kişisel telefonlara ve hesaplara taşır; kurum görünürlüğünü tamamen kaybeder. Etkili yol; onaylı araçları belirlemek, girilemeyecek veri türlerini yazmak, kurumsal hesap zorunluluğu getirmek ve hassas işler için yetkiye bağlı, kurum belgeleriyle çalışan güvenli bir asistan sunmaktır. Böylece çalışan yasak yerine güvenli bir seçenek bulur.

### ChatGPT'ye kişisel veri girmek KVKK ihlali midir?

Kişisel veri içeren bir metnin yurt dışında sunucusu bulunan bir servise girilmesi, KVKK kapsamında veri işleme ve çoğu durumda yurt dışına aktarımdır. Kanunun aradığı hukuki sebep, aydınlatma ve aktarım şartları sağlanmadan yapılıyorsa uyum riski doğar. Her durum ayrı değerlendirilmeli; en güvenlisi kişisel veriyi bu araçlara hiç girmemektir.

### Gölge yapay zeka nasıl tespit edilir?

Önce sorun: kısa ve cezai sonuç içermeyen bir anket, kullanımın büyük kısmını ortaya çıkarır. Ardından web filtreleme ve güvenlik duvarı kayıtlarında yapay zeka servislerine giden trafiğe, uç nokta yönetimindeki tarayıcı eklentilerine ve veri kaybı önleme kurallarına bakılır. Amaç cezalandırmak değil, kullanımı onaylı kanala taşımaktır.

### Çalışanlar ChatGPT'ye hangi verileri girmemeli?

Müşteri kimlik ve iletişim bilgileri, sağlık verisi, parolalar ve erişim anahtarları, imzalanmamış teklif fiyatları ve kaynak kodun gizli bölümleri hiçbir genel yapay zeka aracına girilmemelidir. Bu liste yazılı olmalı ve kamuya açık, iç kullanım, gizli ve kişisel veri olarak dört sınıflı bir veri sınıflandırmasıyla birlikte çalışanlara tek sayfada gösterilmelidir.

### ChatGPT'nin kurumsal sürümünü kullanmak tek başına yeterli mi?

Hayır, tek başına yeterli değildir. Kurumsal hesap, hesapların merkezi olarak açılıp kapatılmasını ve ayarların kurumca belirlenmesini sağlar; ancak hangi verinin girilebileceğini belirlemez. Veri sınıflandırması, girilemeyecekler listesi, kişisel veri için yurt dışına aktarım değerlendirmesi, çıktının bir kişi tarafından kontrolü ve çalışan eğitimi yine gereklidir.

### Şirket içinde kendi yapay zeka asistanımızı kurabilir miyiz?

Evet. Kurum belgeleri üzerinde RAG mimarisiyle çalışan bir asistan, her yanıtta kaynak gösterir ve kullanıcıya yalnızca yetkili olduğu belgelerden yanıt verir. Verinin kurum dışına çıkmaması gereken yapılarda açık kaynak dil modelleriyle tamamen kurum sunucusunda çalıştırılabilir; kapsam ve bedel ihtiyaç analizinden sonra belirlenir.