Yeni bir küresel araştırma, kurumsal ortamdaki AI konuşmalarının neredeyse yarısının kurumun görüş alanı dışında, kişisel hesaplar üzerinden yürüdüğünü ortaya koydu: yani "yapay zekayı yasakladık" diyen kurumların çoğu da kör noktada. Aynı hafta KVKK, kamu kurumlarının internet ortamındaki veri paylaşımına sert bir ilke kararıyla girdi ve ders özel sektöre de düşüyor. Küresel ölçekte tedarik zinciri saldırıları en sık kullanılan üçüncü saldırı vektörü haline geldi. Ve Sayı 07'de öngördüğümüz AB AI Act takvimi bu hafta resmileşti: söylediğimiz gibi oldu, ayrıntılar içeride. Ortak payda: görünmeyen risk, ertelenmiş risk değildir.
Kurumsal ortamdaki AI konuşmalarının %47'si kurumsal değil, kişisel hesaplar üzerinden yapılıyor: yani kurumun görüş alanı ve denetimi tamamen dışında.
→ layerxsecurity.com · State of AI Usage Report 2026LayerX'in 2026 Kurumsal AI Kullanım Raporu, milyonlarca AI konuşmasını analiz ederek çarpıcı bir tablo ortaya koyuyor: kurumsal ortamdaki AI etkileşimlerinin %47'si kişisel hesaplar üzerinden yapılıyor. Daha kritik olanı: kurumsal e-posta ile giriş yapılan konuşmaların %14'ü aslında kişisel (kurumsal olmayan) lisanslar üzerinden yürütülüyor : yani çalışan kurumsal hesapla giriş yaptığını sanırken, veri hâlâ kurum dışı bir modelin eğitim döngüsüne girebiliyor.
Rapora göre tüm AI konuşmalarının %6,5'i hassas veri içeriyor; büyük kısmı kişisel veri (%5,8), geri kalanı finansal ve BT/güvenlik verisi. ChatGPT tek başına, hem en yoğun kullanılan hem de hassas veri sızıntısı oranı en yüksek (%8,4) platform. Bu, "yapay zekayı yasakladık" diyen kurumların bile aslında hiçbir şey bilmediği bir kör noktayı gösteriyor.
Sayı 07'de, Digital Omnibus'un yasama sürecini tamamlayacağını ve yüksek riskli sistemler Aralık 2027'ye ertelenirken Madde 50 şeffaflık yükümlülüklerinin 2 Ağustos 2026'da yürürlükte kalacağını öngörmüştük. Bu hafta öngörü resmileşti: metin 24 Temmuz'da Regülasyon (AB) 2026/1744 olarak Resmî Gazete'de yayımlandı, 27 Temmuz'da yürürlüğe girdi.
Sayı 07'deki kontrol listenizi uyguladıysanız bu kutuyu geçebilirsiniz. Uygulamadıysanız: AB'ye yönelik chatbot, üretken içerik veya deepfake sistemlerinizin Madde 50 bildirim metni bugün itibarıyla yürürlükte : gözden geçirme için geç kalınmış bir tarih değil.
Kaspersky'nin 2025 verilerine dayanan "Siber Dünyanın Anatomisi" raporuna göre, son yedi yılda saldırı vektörlerinde büyük bir kırılma yok ama üçüncü sırada önemli bir değişim var: kötü niyetli e-postaların yerini, 2021'den bu yana yükselişte olan tedarik zinciri ve iş ortağı odaklı saldırılar aldı. Geçerli kullanıcı hesapları ve internete açık uygulama zafiyetleri hâlâ birinci ve ikinci sırada; ama saldırganın kurumu değil, kurumun tedarikçisini hedef alması artık istisna değil, yöntem.
Kurumsal karşılığı basit: iç güvenlik kontrolleriniz ne kadar sağlam olursa olsun, en zayıf halka artık şirket sınırlarının dışında. Bulut hizmet sağlayıcısı, SaaS ortağı ya da küçük bir yazılım tedarikçisi üzerinden sızan bir saldırgan, sizin ağınıza kendi kapınızdan girmiş gibi erişebiliyor.
Kaynak: Kaspersky · Siber Dünyanın Anatomisi Raporu, 2025 VerileriÇoğu kurumun tedarikçi denetimi hâlâ bir sözleşme maddesi, bir güvenlik programı değil. ISO 27001 sertifikası istemek başlangıç ama yeterli değil: sertifika bir andaki durumu gösterir, sürekli izleme göstermez.
28 Temmuz 2026'da Resmî Gazete'de yayımlanan 2026/1301 sayılı İlke Kararı, belediyeler, üniversiteler ve diğer kamu tüzel kişiliğine sahip veri sorumlularının internet sitelerinde ve sosyal medyada paylaştığı kişisel verileri (T.C. kimlik numarası, sınav sonuçları, iletişim bilgileri) mercek altına aldı. KVKK, hukuki dayanağı ve ölçülülüğü bulunmayan bu tür paylaşımların açık bir kişisel veri işleme faaliyeti olduğunu ve idari yaptırıma tabi olduğunu net biçimde ortaya koydu.
Karar doğrudan kamu kurumlarını hedef alsa da ilke evrensel: bir belgeyi kurumsal web sitesinde, LinkedIn'de ya da yatırımcı sunumunda yayımlamak, gizli bir "iletişim" faaliyeti değil, kanun karşısında bir veri işleme faaliyetidir. Özel sektörde tedarikçi listeleri, referans müşteri vaka çalışmaları, İK duyuruları ve kurumsal içerik ekiplerinin paylaştığı görseller de aynı mantığa tabi : sadece kamu kurumları için değil.
Kaynak: KVKK · İlke Kararı 2026/1301, 28 Temmuz 2026AB AI Act'in yüksek riskli sistemlere ilişkin yükümlülükleri 2 Ağustos 2026'dan 2 Aralık 2027'ye ertelendi. Madde 50 şeffaflık yükümlülükleri (chatbot bildirimi, deepfake etiketleme) bu ertelemeden büyük ölçüde muaf: bugün yürürlükte. Sayı 07'de öngörmüştük, şimdi resmî metin bu şekilde.
→ Regülasyon (AB) 2026/1744 · Resmî Gazete, 24 Temmuz 2026Yazılım tedarik zincirindeki risk artık soyut değil, somut bir talep haline geliyor: SBOM (Software Bill of Materials : Yazılım Malzeme Listesi). Satın aldığınız yazılımın içinde hangi açık kaynaklı bileşenlerin, hangi versiyonlarda ve hangi bilinen zafiyetlerle bulunduğunu gösteren bu liste, artık "ileri seviye güvenlik" değil, temel bir tedarikçi durum tespiti sorusu.
Basit görünen bir araç : örneğin bir not alma uygulaması ya da PDF okuyucu : içinde yamanmamış, açık kaynaklı bir kütüphane barındırıyorsa, tüm kurumsal ağın anahtarını taşıyor olabilir. Tedarikçinizden SBOM istemek artık "iyi niyet göstergesi" değil, iç denetimin standart bir sorusu olmalı.
Kaynak: Yazılım Tedarik Zinciri Güvenliği · Sektör Analizi, 2026AI araçları bireysel ve kontrolsüz kullanılıyor. Kurumsal envanter, politika ve farkındalık yok.
Bir sorun ya da haber çıkınca harekete geçiliyor. "Ertelendi" haberiyle rahatlayıp hazırlığı durduran kurum bu seviyede.
AI envanteri çıkarıldı. Hangi yükümlülüğün ertelendiği, hangisinin yürürlükte olduğu ayırt ediliyor.
AI yönetişim çerçevesi aktif. Şeffaflık yükümlülükleri, tedarikçi riski ve üst yönetim raporlaması işliyor.
AI ve tedarik zinciri riski kurumsal risk iştahına entegre. Kurul seviyesinde izleme, düzenleyici takvimle tam hizalı.
AB AI Act'in Ek III yüksek riskli sistemlere ilişkin yükümlülüklerinin ertelendiği süre : 2 Ağustos 2026'dan 2 Aralık 2027'ye.
Kaynak · Regülasyon (AB) 2026/1744Kurumsal ortamdaki AI konuşmalarının, kurumsal değil kişisel hesaplar üzerinden yapılma oranı.
Kaynak · LayerX 2026 Kurumsal AI Kullanım RaporuTedarik zinciri ve iş ortağı saldırılarının, en sık kullanılan saldırı vektörleri arasındaki güncel yeri (2021'den bu yana yükselişte).
Kaynak · Kaspersky, Siber Dünyanın Anatomisi RaporuKurumsal AI konuşmalarının hassas veri (kişisel, finansal veya BT/güvenlik) içerme oranı.
Kaynak · LayerX 2026 Kurumsal AI Kullanım RaporuNedir? LayerX verisine göre ChatGPT, hem en yoğun kullanılan hem de hassas veri sızıntısı oranı en yüksek (%8,4) AI aracı. Diğer platformlar farklı risk profilleri taşıyor: bazıları kod odaklı sızıntıya, bazıları belge yükleme davranışına daha yatkın.
Kurumsal etki: "AI kullanımını politika ile düzenledik" diyen kurumların çoğu, tüm araçlara tek bir kural uyguluyor. Ama risk dağılımı platform bazında eşit değil; tek tip politika, en yüksek riskli aracı yeterince sıkı, en düşük riskli aracı gereksiz yere katı hale getirebiliyor.
Temel gerçek: Etkili bir AI politikası araç-agnostik değil, araç-spesifik olmalı. Hangi platformun hangi veri türüyle en sık karşılaştığını bilmeden yazılan politika, kağıt üzerinde kalır.
Kritik tedarikçi listenizin başına şu dört soruyu ekleyin: (1) Bu tedarikçi hangi kurumsal veriye erişiyor ve bu erişim gerçekten gerekli mi? (2) Güvenlik sertifikası (ISO 27001 gibi) var mı, ne zaman yenilendi? (3) Kritik bileşenler listesi (SBOM) talep edildi mi? (4) Bu tedarikçi 48 saat hizmet veremezse hangi süreciniz durur? Bu dört sorunun cevabı yoksa, tedarikçi risk haritanız eksik demektir.
KVKK'nın 2026/1301 sayılı kararı doğrudan kamu kurumlarını bağlıyor ama gerekçesi evrensel: bir belgeyi internette yayımlamak, kişisel veri içeriyorsa, hukuki dayanağı ve ölçülülüğü sorgulanması gereken bir işleme faaliyetidir. Özel sektörde bu genellikle "iletişim" ya da "pazarlama" başlığı altında, KVKK gözünden hiç geçirilmeden yapılıyor.
İç denetçiler için pratik not: Bir sonraki denetim planına "Kurumsal Dijital İçerik ve Kişisel Veri" başlığını ekleyin. Kurumsal web sitesi, LinkedIn, yatırımcı sunumları ve basın bültenlerinde yayımlanan içerikleri kim, hangi onayla, hangi hukuki dayanakla yayımlıyor? Çoğu kurum bu soruya net bir cevap veremiyor.
AI Act'i değiştiren nihai metin. Yeni takvim, Madde 50 istisnaları ve yasak kategorileri için birincil kaynak : eur-lex.europa.eu
28 Temmuz 2026'da yayımlanan karar. Özel sektör için de bir uyarı niteliğinde : kvkk.gov.tr
Kurumsal AI kullanımına dair kapsamlı güncel veri seti. Kişisel hesap kullanımı ve hassas veri sızıntısı oranları için referans : layerxsecurity.com
2025 siber olaylarının kapsamlı analizi. Tedarik zinciri saldırı vektörünün yükselişi için kaynak : kaspersky.com
Daha önce ele aldığımız karar, birçok kurumda hâlâ uygulanmadı. Denetim planınıza eklemediyseniz şimdi tam zamanı : kvkk.gov.tr
The Governance'ı ekibinizle paylaşın, LinkedIn'de kaydedin ve sayfamızı takip edin. Kurumsal risk ve teknoloji yönetişiminde Türkiye'nin en nitelikli bültenini birlikte büyütelim.
Bu hafta ortak tema görünürlüktü. AI kullanımının neredeyse yarısı kurumun gözünden kaçıyor, tedarik zincirindeki risk şirket sınırlarının dışında yaşıyor, KVKK kamu kurumlarına "yayımladığınız her şey bir işleme faaliyetidir" diyor. Ve Sayı 07'de öngördüğümüz AB takvimi, tam öngördüğümüz gibi resmileşti: bu bize gösteriyor ki doğru soruyu erken sormak, sürprizi ortadan kaldırıyor. The Governance, görünmeyeni görünür kılmaya devam edecek.