Varjatud AI: miks töötajad IT-st mööda lähevad ja mis lõpetab

Kui töötajad kasutavad AI-tööriistu, mida nende ettevõte pole heaks kiitnud, näitavad nad, kus ametlikud tööriistad jäävad puudulikuks.

Diagram showing how workers’ preference for faster, less restricted personal AI tools can bypass approved company protections, creating data, visibility, and accuracy risks.

AI on nüüd paljude töötajate igapäevase töö osa, sageli mitu korda päevas. Kuid tööriistad, mille järele nad haaravad, ei ole alati need ametlikud, mida IT neile annab.

„Varjatud AI“ on heakskiitmata AI-toodete kasutamine tööl, sealhulgas:

  • Isiklik vestlusbot
  • AI agendid
  • AI-assistendi kontod

Umbes pooled töötajatest ütlevad, et nad on kasutanud AI-d viisidel, mis rikuvad nende organisatsiooni eeskirju ja juhiseid, selgub KPMG uuringust, mis hõlmas üle 48 000 inimese 47 riigis. Sageli kleepivad nad tundlikku ettevõtte teavet avalikesse AI-tööriistadesse.

Ümbersõidust on saanud hoiatus. BCG uuring, mis hõlmas üle 10 000 töötaja, juhi ja eestvedaja, leidis, et peaaegu neli kümnest ütleb, et nende ettevõte ei paku õigeid tööriistu.

Kui töötajad lähevad heaks kiidetud tööriistadest mööda, on põhjused järgmised:

  • Normeeritud
  • Piiratud
  • Halvem kui see, mida nad saavad ise hankida

Kui heakskiidetud tööriistad on piisavalt head, lõpetavad enamik töötajaid IT-st mööda minemise. Õppetund: nõudlus AI järele on suur, kuid varjatud AI on sageli märk pakkumise probleemist.

Mis on varjatud AI?

Varjatud AI tähendab, et töötajad kasutavad tööl oma AI-tööriistu nende asemel, mida nende organisatsioon pakub. See sisaldab:

  • Vestlusbotid, mis vastavad küsimustele
  • Agendid, mis teevad rutiinseid ülesandeid
  • Botid, mis salvestavad ja transkribeerivad koosolekuid
  • Assistendid, kes lahendavad terveid tööprotseduure

Tööriistad saavad luua ühenduse töösüsteemide ja rakendustega. Mõned on eraldiseisvad tooted, teised aga AI-funktsioonid, mis on sisse ehitatud tööriistadesse, seadmetesse ja platvormidesse, mis töötajatel juba olemas on, nagu Copilot, Gemini ja Apple Intelligence.

Turbeettevõtte BlackFog tellitud 2000 töötaja uuringus ütles 58% varjatud AI kasutajatest, et nad tuginevad tasuta versioonidele, millel sageli puuduvad:

  • Ettevõtlustasemel turvalisus
  • Andmehaldus
  • Privaatsuskaitse

peamiselt seetõttu, et nad hindasid kiirust. Vanemjuhid teatasid varjatud AI kasutamisest peaaegu kaks korda sagedamini kui nooremtöötajad.

Töötajate kasutust võib olla raske tuvastada. Cloud Security Alliance'i uuring leidis, et:

  • 82% vastanutest ütles, et nende organisatsioonide süsteemides töötasid tundmatud agendid
  • 65% oli kogenud agentidega seotud intsidente, sealhulgas andmete leket, tegevuse häireid ja rahalist kahju

Varjatud AI vs. varjatud IT

Varjatud IT oli enne. AWS-i pilveturbe spetsialist Aditya Patel nimetab varjatud AI-d selle „mässumeelseks nõbuks“.

Varjatud IT kirjeldab olukorda, kus töötajad lähevad mööda ettevõtte IT eelistatud tehnoloogiatoodetest ja kasutavad oma tooteid, mõnikord teadlikult ja mõnikord reegleid teadmata. Töötaja logib töökoha seadmes veebibrauseris sisse isiklikule Google'i, Dropboxi, WhatsAppi või Trello kontole või saadab dokumendi meili teel isiklikule aadressile, et seda kodus lõpetada.

Varjatud AI juures on uus asi selle ulatus ja püsivus. Mõned näited:

  • Avalikku tööriista kleebitud andmed võivad jääda müüja süsteemidesse määramata ajaks
  • Agendid ja assistendid töötavad edasi, samal ajal kui töötaja teeb midagi muud, töötades rakendustes, meilis ja platvormidel

Traditsiooniline turvaseiretarkvara ei olnud loodud neid nägema. Brauserivahekaardi sulgemine ei peata tööd, mis on sageli nähtamatu kõigile peale inimese, kes selle käivitas.

Varjatud IT

Varjatud AI

Mida see teeb

Salvestab ja liigutab andmeid

Loeb, kirjutab ümber ja genereerib andmeid

Riskid

Andmed asuvad kusagil, mida IT ei kontrolli

Andmed tulevad tagasi muudetuna, väljamõelduna või pole enam salajased

Kuidas tuvastada

Failiedastused ja rakenduste installid jätavad jälgi

Kleepimine, viip või agent töötab masinakiirusel läbi brauserite ja API-de, muutes tuvastamise keerulisemaks

Kes on ohus

Enamasti seda kasutanud inimene

Meeskonnad ja terved organisatsioonid, sealhulgas kliendid, kes ei valinud kunagi tööriista

Näited varjatud AI-st tööl

Varjatud AI ilmneb tavaliselt mõnes võtmeolukorras:

Kus see ilmneb

Milline see välja näeb

Reaalsed näited

Kiirustamine tähtaja täitmiseks

Reaalsete kliendikirjete, lähtekoodi või sisemise ärakirja kleepimine tarbijate vestlusbotisse. Keegi ei tegutse pahatahtlikult. Nad üritavad vastuse kiiremini kätte saada.

Pangatöötaja kleebib kliendi nimed, sotsiaalkindlustuse numbrid ja sünnikuupäevad volitamata AI-rakendusse; tarkvarainsenerid kleepivad vestlusbotisse varalise koodi ja konfidentsiaalse ärakirja.

Koosolekute ülekoormus

Üks osaleja lülitab sisse isikliku märkmete tegemise boti ja see salvestab ja transkribeerib salaja koosoleku. Boti ülemus ei pruugi mõelda tundlikule teabele, mida ärakiri sisaldab.

AI-märkmete tegemise ettevõte kaevatakse kohtusse privaatsuse rikkumise eest ilma eelneva nõusolekuta; veebikoosolekute platvorm tunnistab, et selle kontrollid ei ulatu mitteametliku botini, mille osaleja koosolekule toob.

„Kasulikud“ AI lisandmoodulid

Kolmanda osapoole AI laiend loob ühenduse meili, failide või kalendritega ja pääseb nüüd ligi ettevõtte andmetele. Kellelgi pole lisandmoodulit ega tea, mida see lugeda saab.

Turvarikkumine algab töötaja AI-tööriistast, mis on ühendatud ettevõtte Google Workspace'i kontoga; varjatud AI audit leiab kasutusel 47 AI-süsteemi seal, kus juhid ootasid kuut või seitsme, enamikul puudub omanik või võime öelda, kas need puudutasid kliendiandmeid.

Peidetud ettevõtte süsteemidesse

Skriptid, töövood ja teenusekontod suhtlevad vaikselt AI-mudelitega. Kohandatud agendid ei ilmu üheski inventaris, tehes autentimist ööpäev läbi mustrites, mida ükski inimene ei toodaks.

Üks platvormi ühekordne skannimine toob esile seitse registreerimata agenti, mille töötamisest keegi ei teadnud, ja identifitseerimata omanikuta mandaadi.

Kliendile suunatud ja reguleeritud töö

AI-loodud dokument, mida ei kontrollitud kordagi, esitatakse väljamõeldud faktidega. Tagajärgi kannab töötaja ja tööandja, mitte tööriist.

Rohkem kui 2000 kohtuasja maailmas hõlmavad AI-ga loodud viiteid, millest mõned sisaldavad märkimisväärseid trahve.

Kui tööriist on blokeeritud

Blokeering liigutab tööd selle peatamise asemel, nihutades ülesandeid isiklikku telefoni, väljalülitatud VPN-i, vestlusbotisse kleebitud tekstijupi asemel manuse üleslaadimisele või tekstiks teisendatud ekraanipildile.

Panga arendaja lülitab ettevõtte VPN-i välja ja kopeerib koodi edasi-tagasi vestlusbotti; kleepimis- ja ekraanipildimeetodid lähevad failipõhistest kontrollidest mööda.

Kui heakskiidetud tööriist saavutab kasutuslimiidi või jääb puudulikuks

Tööriist on ametlikult litsentsitud, kuid eelarvelimiit saabub kuu jooksul või sanktsioneeritud versioon ei tööta hästi. Inimesed maksavad tarbijatööriista eest ise.

Insenerid ammendavad kuumäära päevadega; tööandjad pidurdavad AI kasutust kõrge hinna tõttu.

Miks töötajad kasutavad heakskiitmata AI-d

Töötajatel on heakskiitmata IT kasutamiseks palju põhjuseid.

  • Mõned seisavad silmitsi survega kasutada AI-d, sealhulgas halvad tulemusvestlused või töökoha kaotus, samas kui tööriistad, mida nende tööandja pakub, töötavad halvemini kui need, mida nad kodus kasutavad.
  • Nad sirutuvad parema poole, et töö korralikult tehtud saada.
  • Teised leiavad, et heakskiidetud tööriist saabub liiga aeglaselt, on liiga keeruline, liiga paindumatu või liiga sageli vale.

Suur AI kasutus võib muutuda kalliks, mistõttu on mitmed tuntud ettevõtted piiranud „tokenmaxxing’u“ kasutajaid. 2026. aasta juunis piiras Uber töötajate kulutusi 1500 dollarile kuus iga agentse kodeerimistööriista kohta pärast oma aastase AI eelarve kulutamist nelja kuuga.

Normeerimine sunnib mõningaid töötajaid tarbijaversiooni eest ise maksma, selle asemel et seista silmitsi „tokenpokalüpsisega“.< /g1> Mõned samad ettevõtted, mis käsevad töötajatel AI-d kasutada, piiravad sellele ka juurdepääsu.

Töötajad töötavad piirangutest mööda.

  • Nad kleepivad ettevõtte andmed avalikku vestlusbotisse, et koostada aruande kavand.
  • Nad kasutavad rutiinsete ülesannete kiirendamiseks AI isiklikku assistenti või kodeerimistööriista.

Mõned teadlased kirjeldavad seda kui „varjatud kasutaja innovatsiooni.“ Paljud töötajad ei saa kunagi aru, et nad rikuvad ettevõtte eeskirju. Ja reeglite vastaselt AI-d kasutanud töötajate seas tabatakse PagerDuty uuringu kohaselt vaid umbes pooled.

Mis võib varjatud AI-ga valesti minna

Riskid jagunevad vähemalt viide rühma:

1. Turvarikkumised: Heakskiitmata tööriist võib anda ründajatele tee sisemistesse süsteemidesse. Veebi infrastruktuuri pakkuja Vercel avastas 2026. aasta aprillis, et kogenud häkkerid murdsid selle süsteemidesse pärast seda, kui töötaja ühendas kolmanda osapoole rakenduse Context.ai ettevõtte Google'i kontoga. Häkkerid said kliendiandmed endaga kaasa ning varastatud andmeid pakuti hiljem 2 miljoni dollari eest.

2. Intellektuaalomandi lekked: Varaline andmestik võib ettevõtte kontrolli all olevatest serveritest väljuda üheainsa vestlusbotisse tehtud kleepimisega. 2023. aasta märtsis kleepisid Samsungi töötajad ChatGPT-sse lähtekoodi ja konfidentsiaalseid sisesissekandeid. Karta oli, et teised kasutajad võisid andmetele ligi pääseda. Samsung keelas generatiivsed AI-tööriistad nädalaid hiljem.

3. Regulatiivsed mõjud: Rikkumine või AI-loodud fakt võib kaasa tuua regulatiivse kontrolli, trahvid ja maine kahjustamise. CB Financial Services, Community Banki emaettevõte, esitas 2026. aasta mais väärtpaberi- ja börsikomisjonile (Securities and Exchange Commission) vormi 8-K, milles avalikustas sisemise intsidendi, mis hõlmas tundlikku klienditeavet volitamata AI-rakenduse kasutamise kaudu. See oli esimene teadaolev vorm 8-K, mis esitati vastusena varjatud AI kasutamisele.

4. Juriidilised tüsistused: Konfidentsiaalse teabe kleepimine tarbijate vestlusbotisse võib ohustada ettevõtte ärisaladuse kaitset. 2026. aasta aprilli otsuses lükkas California föderaalkohtunik ärisaladuse nõude tagasi „eelarvamusega“, kuna hageja oli materjali välja töötanud ChatGPT-ga ega olnud astunud mõistlikke samme selle konfidentsiaalsena hoidmiseks. Eraldi otsuses leidis kohus, et kostja isiklikud AI vestluslogid ei ole kaitstud kliendi ja advokaadi konfidentsiaalsuse ega töövõtja doktriiniga, muutes need kohtus leitavaks.

5. Privaatsus: Koosoleku bot saab inimesi salvestada ilma nende loata või teadmuseta. Juhtum USA ringkonnakohtus Otter.ai vastu küsib, kas automaatne märkmete tegija saab osalejaid salvestada ilma kõigi osapoolte nõusolekuta ja kas Otter saab vestlusi kasutada oma mudeli treenimiseks. Eraldi teatas teadlane Alex Bilzerian 2024. aastal The Washington Postile, et ta loobus tehingust pärast seda, kui Otter saatis talle täieliku ärakirja koosolekust, mille ta oli juba lahkunud, kus investorid arutasid strateegilisi vigu ja manipuleeritud mõõdikuid.

Miks keelud ebaõnnestuvad

Ettevõtted on teatud AI-tooted keelanud ja seejärel oma otsuse ümber pööranud.

  • Samsung keelas generatiivsed AI-tööriistad 2023. aastal ja võttis 2026. aastal kogu ettevõttes kasutusele ChatGPT, Gemini ja Claude.
  • Citigroup piiras ChatGPT-d 2023. aastal ja võttis 2024. aastal töötajate jaoks kasutusele oma AI-tööriistad.
  • Pärast seda, kui Itaalia blokeeris ChatGPT 2023. aastal, langes Itaalia tarkvaraarendajate toodang umbes poole võrra kaheks päevaks ja taastus seejärel, samas kui ploki aitamiseks mõeldud tööriistade allalaadimised kasvasid järsult, leidsid kaks ökonomisti töödokumendis.
  • Redditis kirjutas võrguturbe spetsialist, et pärast seda, kui ettevõte, kus ta töötas, blokeeris ChatGPT, lülitusid töötajad ümber heakskiidetud ettevõtte rakenduste sisemistele AI-funktsioonidele, mida ei saanud välja lülitada.

Keelud nihutavad töö sageli teistesse kohtadesse, selle asemel et peatada volitamata AI kasutus.

  • KPMG uuringus ütles 67% töötajatest, kes keelavad avalikud AI-tööriistad, et nad on lisanud tööriista tundlikku või autoriõigusega kaitstud materjali, võrreldes 33%-ga organisatsioonides, kus puudub ametlik reeglistik.
  • Agresiivne blokeerimine suunab AI kasutuse isiklikele seadmetele ja piirab seda, mida organisatsioon näeb, leiavad uuringud.
  • Veebilehe ekraanipilt või foto võib failipõhistest kontrollidest mööda hiilida.

Kuidas lõpetada varjatud AI ümbersõidud

Ettevõtted, kus varjatud AI-d on vähem, teevad heakskiidetud tee lihtsamaks. Tõhusad AI kasutamise poliitikad, pidev AI-kirjaoskuse koolitus, tehnilised kaitsemeetmed ja inimlik vastutus on baastase. Neli tava lähevad kaugemale:

  • Valige tööriist, mille töötajad oleksid nagunii valinud. Recon Analyticsi uuring leidis, et 68% töötajatest, kellele anti ainult Copilot, nimetasid seda oma peamiseks AI-tööriistaks, võrreldes 8%-ga, kui neile anti kolm peamist tööriista. Moderna võrdles kasutajatestis oma assistenti Copiloti ja ChatGPT Enterprise'iga ning valis seejärel selle, mida töötajad hindasid kõige kõrgemalt.
  • Pakkuge alternatiivi enne ümbersõidu piiramist. Austraalia kriitilise taristu spetsialistide uuring leidis, et mitmed organisatsioonid blokeerisid avalikud AI-tööriistad alles pärast seda, kui nad hakkasid pakkuma heakskiidetud valikut, lähenemisviisi, mida autorid nimetasid „asendamiseks esikohale“. „Kui te neile tööriistu ei anna, leiavad nad viisi tööriistade hankimiseks,“ ütles üks osaleja. Pilveturvateenuse pakkuja uurimisharu Netskope Threat Labs teatas, et isikliku AI konto kasutus selle finantsteenuste klientide seas langes ametlike lahenduste abil 76%-lt 36%-le, samas kui heakskiidetud kasutus tõusis 33%-lt 79%-le.
  • Pakkuge erinevaid kohandatud koolitusvõimalusi. Austraalia valitsuse Copiloti katsetuses oli kolmveerand inimestest, kes said kolm või enam koolitusvormi, tööriista kasutamises enesekindlad, 28 protsendipunkti kõrgemalt kui need, kes said ühe koolitusvormi. BCG uuring leidis, et 18% koolitust mittesaanud töötajatest olid regulaarsed AI kasutajad, võrreldes 82%-ga nendest, kes said viis kuni kümme tundi õpet, kohapealseid seansse ja juhendamist. Ainult 36% töötajatest ütles, et nad olid oma AI-koolitusega rahul, nimetades seda liiga lühikeseks või pinnapealseks.
  • Alustage inimestest, kes juba soovivad tööriista. Peter Tucker, kes oli tol ajal 250 töötajaga erakapitalifirma IK Partners IT-direktor, kasutas nõudluspõhist strateegiat ilma ühegi mandaadita, et jõuda 190 ChatGPT Enterprise'i kasutajani. Ta alustas 20 vabatahtlikust, kellest said sisemised eestkõnelejad, kui nad nägid, kuidas see võib neil aega säästa. Ta ehitas konnektorid tööriistadega, millega inimesed juba töötasid, sealhulgas Exchange, Egnyte ja Notion. Ja ta korraldas andmeteadlasega vabatahtlikke seansse, milles osales 120 ettevõtte 250 töötajast. BBVA läks 3300 litsentsilt üle 11 000 litsentsile koos koolitusega 250 juhile, sealhulgas selle tegevjuhile, kujundades ettevõtte tööriista kui turvalisema alternatiivi varjatud AI-le.

Kokkuvõtteks

Kui töötajad lähevad ringi tööriistadest, mida nende ettevõte neile annab, näitavad nad täpselt, kus need tööriistad jäävad puudulikuks. Nende blokeerimine varjab seda teavet. Ettevõtted, kus varjatud AI kasutus on kõige väiksem, pakuvad hea tööriista, valivad selle, mille töötajad oleksid nagunii valinud, ja käsitlevad ülejäänud varjatud kasutust nimekirjana funktsioonidest, mis on veel puudu.

Kuidas Perplexity aitab

Perplexity Enterprise pakub ettevõtetele turvalist tööriista, mille töötajad valivad selle eeliste põhjal, koos töökonto sisselogimisega, mida administraatorid saavad jõustada; rollipõhiste õigustega, et inimesed näeksid ainult seda, mida IT lubab; auditeerimislogidega kasutaja sisestuste, agendi sammude ja vastuste kohta; ettevõtte teabega, mida ei kasutata kunagi AI mudelite treenimiseks; ja linkidega oma allikatele igal vastusel, et igaüks saaks fakti enne kliendile edastamist kontrollida. Ning brauser Comet for Enterprise järgib turvastandardeid ja -kontrolle, mis on ettevõttel juba olemas.

Korduma kippuvad küsimused

Kuidas ma saan teada, kas ma kasutan varjatud AI-d ilma seda tahtmata?

Kontrollige, kas AI-tööriist on ettevõtte heakskiidetud nimekirjas. Brauserilaiendid, märkmete tegemise tööriistad ja automaatsed AI-funktsioonid loevad kõik, ja enamik inimesi, kes eeskirja rikuvad, ei saa sellest kunagi aru.

Mida peaksin tegema, kui kleepisin midagi tundlikku isiklikku AI-tööriista?

Teatage sellest IT- või turvameeskonnale samal päeval ja öelge täpselt, mida jagati. Ettevõtted ja kohtud on kohevat vabatahtlikku avalikustamist varjamisest erinevalt kohelnud ning praktiline kahju sõltub tavaliselt sellest, kui kiiresti saab juurdepääsu tühistada ja mandaate muuta.

Mis siis, kui töökaaslane toob koosolekule AI märkmete tegija?

Küsige enne vestluse algust, sest ühe osaleja valik salvestab kõik. Kõne salvestamise nõusoleku reeglid erinevad osariigiti ja hõlmavad kõiki kõnes osalejaid, mitte ainult hosti, seega andke varakult märku või paluge, et tundlikke osi ei transkribeeritaks.

Kas heakskiidetud AI-tööriista pakkumine paneb varjatud AI kaduma?

Ei, ja vähesed usaldusväärsed uuringud mõõdavad otseselt kasutust enne ja pärast heakskiidetud tööriista käivitamist. Tõhusad sanktsioneeritud tööriistad eemaldavad ühe suurimatest põhjustest väljapoole minekuks, kuid osa inimestest jätkab alati mõlema kasutamist ja seda signaali tasub karistamise asemel tähele panna.

Kuidas saab juht eristada distsipliiniprobleemi tööriistaprobleemist?

Vaadake, mille järele inimesed sirutuvad ja miks. Kui ümbersõit säästab reaalselt aega, paljastab see, mis heakskiidetud tööriistal puudub. Kõige pragmaatilisem vastus on lünk parandada. Varjamine annab tavaliselt märku tagajärgede hirmust, mitte halbadest kavatsustest.