Kurumsal YZ Yasağı Dalgası
Son iki yılda dünyanın en büyük işletmelerinin önemli bir bölümü herkese açık YZ araçlarını yasakladı:
JPMorgan Chase, Deutsche Bank, Wells Fargo, Goldman Sachs, Bank of America, Apple ve Verizon, çalışanların ChatGPT ve benzer araçları kullanımını kısıtlayan kurumlar arasında yer alıyor.
Tetikleyici Samsung oldu. 2023'te Samsung dahili bir ChatGPT yasağını kaldırdı — ve yalnızca bir ay içinde üç ayrı kaynak kodu sızıntısı yaşandı. Çalışanlar yardım almak için yarı iletken veritabanı kodunu, arıza tespit programı kodunu ve dahili toplantı notlarını ChatGPT'ye yapıştırdı. Bir kez gönderilince veriler OpenAI sunucularında depolandı. Samsung'un bunu geri alacak ya da silecek hiçbir mekanizması yoktu. Yasak yeniden devreye sokuldu.
Samsung vakası, güvenlik ekipleri için her yerde başvurulan olay haline geldi: Özel güvenlik ekiplerine sahip gelişmiş bir teknoloji şirketi bile çalışanların fikri mülkiyeti YZ araçlarına sızdırmasını engelleyemiyorsa, tek seçenek araçları tamamen engellemektir.
En azından böyle düşünülüyordu.
Yasaklar Neden Başarısız Oldu
Kurumsal YZ sohbet robotlarına beslenen tüm içeriğin %27,4'ü hassas bilgi içeriyor — bu oran yıldan yıla %156 artış anlamına geliyor (Zscaler 2025 Data@Risk Raporu).
Bu rakam, yasakların ardından yaşananları yansıtıyor: çalışanlar YZ araçlarını kullanmaya devam etti. Sadece kurumsal olmayan hesaplara geçiş yaptılar.
Kurumsal YZ erişiminin %71,6'sı artık kurumsal DLP kontrollerini atlayarak kurumsal olmayan hesaplar üzerinden gerçekleşiyor (LayerX 2025 Enterprise GenAI Security Raporu).
Yasak YZ kullanımını durdurmadı. YZ kullanımını yeraltına itti; burası daha az görünür, daha az denetimli ve daha az denetlenebilir bir ortamdır. Kurumsal hesap üzerinden ChatGPT kullanan — log üreten, DLP uyarıları tetikleyen, en azından güvenlik operasyonlarına görünür olan — bir geliştirici, kurumsal cihazındaki kişisel hesabını kullanmaya geçiş yaptı. Tamamen aynı veri. Hiçbir görünürlük yok.
Bu, aynı hizmetin kişisel hesaplar aracılığıyla da erişilebilir olduğu bir çağda araç yasaklarının temel başarısızlık biçimidir: kurumsal hesabı yasaklamak davranışı yasaklamaz.
Zscaler Data@Risk Raporu: O Komutlarda Gerçekte Ne Var?
Zscaler 2025 Data@Risk Raporu, çalışanların kurumsal YZ sohbet robotlarına gerçekte ne gönderdiğine dair mevcut en ayrıntılı tabloyu ortaya koyuyor. %27,4 hassas veri rakamı kategorilere göre şöyle dağılıyor:
- Tescilli iş bilgileri ve ticari sırlar
- Müşteri verileri (isimler, iletişim bilgileri, hesap detayları)
- Çalışan kişisel bilgileri
- Kaynak kodu (gömülü kimlik bilgileri dahil)
- Finansal veriler (açıklanmamış kazançlar, anlaşma koşulları, sözleşme değerleri)
- Hukuki yazışmalar ve ayrıcalıklı bilgiler
YZ komutlarındaki hassas verinin yıldan yıla %156 artışı (Zscaler 2025), öncelikli olarak çalışanların daha dikkatsiz hale gelmesini yansıtmıyor. YZ aracı benimsemesinin büyümesini yansıtıyor. Daha fazla çalışan daha fazla görev için YZ araçlarını kullandıkça, bu araçlara giren hassas verinin mutlak hacmi de orantılı biçimde artıyor.
YZ Kısıtlamalarının Üretkenlik Maliyeti
YZ yasaklamanın güvenlik gerekçesi açıktır. Buna karşı üretkenlik gerekçesi de bir o kadar açıktır.
Araştırmalar tutarlı biçimde YZ yardımının bilgi çalışanları için önemli üretkenlik kazanımları sağladığını ortaya koyuyor:
- YZ kodlama asistanları kullanan geliştiriciler görevleri daha hızlı tamamlıyor
- Belge inceleme için YZ kullanan hukuk profesyonelleri saatte daha fazla belge işliyor
- Yanıt oluşturma için YZ kullanan müşteri destek ekipleri daha fazla talep çözümlüyor
İşletmeler rakiplerinin serbestçe kullandığı YZ erişimini geliştiricilerinden yasakladığında, rekabet dezavantajı somuttur. Analistler rakip şirketlerdeki emsallerinin rutin olarak kullandığı YZ yardımı olmadan çalışmak zorunda kaldığında, çıktı farkı zamanla birikim yapıyor.
%71,6'lık kişisel hesap bypass oranı, yalnızca bireysel kural ihlalini değil, aynı zamanda rasyonel ekonomik davranışı yansıtıyor: YZ'den elde edilen üretkenlik kazanımı o kadar büyük ki, çalışanlar aracı terk etmek yerine politika ihlali riskini kabul ediyor.
Yasaklamaya Teknik Alternatif
YZ yasaklarının altında yatan güvenlik endişesi meşrudur: harici YZ sağlayıcılarına akan hassas veri gerçek risk yaratır. Çözüm bu riski teknik olarak ortadan kaldırmaktır — zaten çalışanların görmezden geleceği bir yasak karşılığında üretkenlikten fedakarlık etmek değil.
Teknik yaklaşım: hassas veriyi YZ modeline ulaşmadan önce anonimleştirmek.
Müşteri tanımlayıcıları içeren bir veritabanı sorgusunu optimizasyon yardımı almak için Claude'a yapıştıran geliştiriciyi düşünün. Teknik kontroller yerinde olduğunda:
- Geliştirici sorguyu yapıştırır (müşteri kimlikleri, hesap numaraları, kişisel tanımlanabilir bilgiler içerir)
- Anonimleştirme katmanı iletimden önce devreye girer
- Müşteri kimlikleri "[ID_1]", hesap numaraları "[ACCT_1]", isimler "[MUSTERI_1]" olur
- Anonimleştirilmiş sorgu Claude'a ulaşır
- Claude'un yanıtı (aynı token'ları kullanarak) döndürülür
- Geliştirici token'larla yanıtı görür — optimizasyon önerisini anlamak için bu yeterlidir
Claude hiçbir gerçek müşteri verisi işlemedi. Hassas bilgiler kurumsal ağı hiç terk etmedi. Geliştirici ihtiyacı olan teknik yardımı aldı. Güvenlik ekibinin araştıracağı hiçbir şey yok.
Geliştiriciler için MCP Sunucusu Mimarisi
Claude Desktop veya Cursor IDE kullanan geliştiriciler için — birincil YZ kodlama araçları — Model Context Protocol (MCP) şeffaf bir proxy mimarisi sunar.
anonym.legal MCP Sunucusu, geliştiricinin YZ istemcisi ile YZ modeli API'si arasında konumlanır. MCP protokolü aracılığıyla iletilen tüm metin — dosya içerikleri, kod parçacıkları, hata mesajları, yapılandırma dosyaları ve doğal dil talimatları dahil — YZ modeline ulaşmadan önce anonimleştirme motorundan geçer.
Geliştirici perspektifinden bakıldığında, Claude veya Cursor'u normal şekilde kullanıyorlardır. Anonimleştirme görünmezdir.
Güvenlik ekibi perspektifinden bakıldığında ise hiçbir tescilli kod, kimlik bilgisi veya müşteri verisi tanımlanabilir biçimde ağı terk etmez. YZ modeli anonimleştirilmiş sürümleri işler; yanıtlar geliştirici için otomatik olarak anonim olmaktan çıkarılır.
Bu mimari Samsung sorununu doğrudan ele alıyor: kaynak kodu ChatGPT'ye yapıştıran çalışanlar, iletimden önce tescilli algoritma ayrıntılarının token'larla değiştirildiği anonimleştirilmiş kod göndermiş olacaktı.
Tarayıcı Tabanlı YZ için Chrome Uzantısı Mimarisi
MCP Sunucusu IDE entegreli YZ kullanımını ele alır. Claude.ai, ChatGPT, Gemini gibi tarayıcı tabanlı YZ kullanımı ise farklı bir teknik katman gerektirir.
Chrome Uzantısı, metin tarayıcı arayüzü üzerinden YZ hizmetine gönderilmeden önce yakalar. Aynı anonimleştirme motoru devreye girer: isimler, şirket tanımlayıcıları, kaynak kodu sırları, finansal rakamlar ve diğer hassas içerikler, komut YZ sağlayıcısının sunucularına ulaşmadan önce token'larla değiştirilir.
MCP Sunucusu (IDE) + Chrome Uzantısı (tarayıcı) kombinasyonu, kurumsal ortamdaki YZ temas noktalarının tüm spektrumunu kapsar.
İş Gerekçesi Oluşturmak
Bu yaklaşımı yönetim ekiplerine öneren CISO'lar için iş gerekçesinin üç bileşeni vardır:
1. Yasağa eşdeğer güvenlik — Harici YZ sağlayıcılarına gerçekte ne ulaştığı açısından, anonimleştirilmiş komutlar kurtarılabilir hassas bilgi içermez. YZ sağlayıcısının sistemlerinin ihlali, kuruluşun müşterileri, fikri mülkiyeti veya operasyonları açısından değerli hiçbir şey vermez.
2. Sıfır üretkenlik kaybı — Geliştiriciler, analistler ve bilgi çalışanları YZ araçlarını normal şekilde kullanmaya devam eder. Anonimleştirme şeffaftır. YZ modelleri takma ad kullanılmış içerik üzerinde de aynı etkinlikle çalıştığından çıktı kalitesi değişmez.
3. Bypass sorununu ortadan kaldırır — %71,6'lık kişisel hesap bypass oranı, çalışanların politika uyumu yerine üretkenliği seçmesini yansıtır. Çalışanlar kurumsal hesaplar üzerinden risksiz biçimde YZ araçlarını kullanabildiklerinde bypass güdüsü ortadan kalkar. Güvenlik ekipleri YZ kullanımına görünürlüğü yeniden kazanır.
Yasak Sonrası Eylem Planı
Halihazırda YZ yasağı uygulayan ve yeniden değerlendirme yapan işletmeler için geçiş planı:
1. Aşama (1-2. Haftalar): Chrome Enterprise politikası aracılığıyla tüm kurumsal cihazlara Chrome Uzantısını dağıtın. Bu, kısıtlamaları kişisel hesaplar üzerinden zaten atlayan çalışanlar için tarayıcı düzeyinde anında KKB müdahalesini sağlar.
2. Aşama (3-4. Haftalar): MCP Sunucusunu geliştirici iş istasyonlarına dağıtın. Kuruluşa özgü hassas tanımlayıcılar için özel varlık kalıpları yapılandırın (dahili ürün kodları, müşteri hesap formatları, tescilli teknik terimler).
3. Aşama (2. Ay): Kurumsal hesaplar için YZ kullanım politikası yasağını kaldırın. Çalışanlar artık teknik kontroller yerinde olarak kurumsal hesaplar üzerinden YZ araçlarını kullanabilir.
4. Aşama (Sürekli): Güvenlik eğitimi önceliklerini belirlemek ve varlık tespiti yapılandırmalarını ayarlamak için anonimleştirme aktivitesini izleyin (en sık hangi veri kategorilerinin anonimleştirildiğini).
Kurumsal YZ yasağı dalgasını tetikleyen Samsung olayı bir güvenlik başarısızlığını yansıtıyordu, YZ araçlarının kaçınılmaz bir özelliğini değil. Samsung'un yasağı uyguladığı dönemde mevcut olmayan teknik kontroller artık var. Soru, güvenlik ekiplerinin bunları devreye alıp almayacağı ya da çalışanlarının %71,6'sının zaten atladığı yasaklara güvenmeye devam edip etmeyeceğidir.
anonym.legal'in MCP Sunucusu ve Chrome Uzantısı, kurumsal YZ benimsemesini veri güvenliğiyle uyumlu kılan teknik kontrol katmanını sağlar. Her iki araç da şeffaf çalışır — çalışanlar YZ'yi normal şekilde kullanır; hassas veriler harici YZ sağlayıcılarına ulaşmadan önce anonimleştirilir.
Ayrıca bakınız:
- ChatGPT, Claude ve Gemini için Tarayıcı DLP — 2026 Araç Karşılaştırması
- Nightfall ile anonym.legal — Engelleme ve Anonimleştirme Karşılaştırması
- Chrome Uzantısı: YZ Araçları için Tarayıcı DLP
Kaynaklar: