शैडो AI: कर्मचारी आईटी को दरकिनार क्यों करते हैं, और इसे क्या समाप्त करता है

AI अब कई कर्मचारियों के दैनिक काम का हिस्सा बन गया है, जो अक्सर दिन में कई बार होता है। लेकिन जिन टूल्स तक वे पहुँचते हैं, वे हमेशा आईटी द्वारा दिए गए आधिकारिक टूल नहीं होते हैं।

“शैडो AI” काम पर अनधिकृत AI उत्पादों का उपयोग है, जिसमें शामिल हैं:

• व्यक्तिगत चैटबॉट
• AI एजेंट
• AI सहायक खाते

47 देशों में 48,000 से अधिक लोगों के KPMG सर्वेक्षण के अनुसार, लगभग आधे कर्मचारियों का कहना है कि उन्होंने ऐसे तरीकों से AI का उपयोग किया है जो उनके संगठन की नीतियों और दिशानिर्देशों का उल्लंघन करते हैं। अक्सर, वे संवेदनशील कंपनी की जानकारी सार्वजनिक AI टूल्स में पेस्ट करते हैं।

वर्कअराउंड एक चेतावनी बन गया है। 10,000 से अधिक कर्मचारियों, प्रबंधकों और नेताओं के एक BCG सर्वेक्षण से पता चला कि लगभग दस में से चार का कहना है कि उनकी कंपनी सही टूल प्रदान नहीं कर रही है।

जब कर्मचारी अधिकृत टूल्स से बाहर जाते हैं, तो वे:

• सीमित
• सीमित
• उससे भी बदतर जो वे अपने दम पर प्राप्त कर सकते हैं

जब स्वीकृत टूल काफी अच्छे होते हैं, तो अधिकांश कर्मचारी आईटी को दरकिनार करना बंद कर देते हैं। सबक: AI की मांग मजबूत है, लेकिन शैडो AI अक्सर आपूर्ति समस्या का संकेत है।

शैडो AI क्या है?

शैडो AI का मतलब है कि कर्मचारी अपने संगठन द्वारा प्रदान किए गए टूल के बजाय काम पर अपने स्वयं के AI टूल्स का उपयोग करते हैं। इसमें शामिल हैं:

• चैटबॉट्स जो सवालों के जवाब देते हैं
• नियमित कार्य करने वाले एजेंट
• बॉट जो मीटिंग को रिकॉर्ड और ट्रांसक्राइब करते हैं
• सहायक जो संपूर्ण कार्य रूटीन से निपटते हैं

टूल्स वर्क सिस्टम और ऐप्स से कनेक्ट हो सकते हैं। कुछ स्वतंत्र उत्पाद हैं, जबकि अन्य उन टूल्स, डिवाइस और प्लेटफॉर्म में बनाई गई AI सुविधाएँ हैं जो कर्मचारियों के पास पहले से मौजूद हैं, जैसे Copilot, Gemini और Apple Intelligence।

सुरक्षा कंपनी BlackFog द्वारा कमीशन किए गए 2,000 कर्मचारियों के सर्वेक्षण में, 58% शैडो AI उपयोगकर्ताओं ने कहा कि वे उन मुफ्त संस्करणों पर भरोसा करते हैं जिनमें अक्सर ये कमी होती है:

• एंटरप्राइज़-ग्रेड सुरक्षा
• डेटा गवर्नेंस
• गोपनीयता सुरक्षा

मुख्य रूप से क्योंकि वे गति को महत्व देते थे। वरिष्ठ नेताओं ने जूनियर स्टाफ की तुलना में लगभग दोगुनी बार शैडो AI का उपयोग करने की सूचना दी।

कर्मचारियों के उपयोग का पता लगाना मुश्किल हो सकता है। क्लाउड सिक्योरिटी अलायंस सर्वेक्षण में पाया गया कि:

• 82% उत्तरदाताओं ने कहा कि उनके संगठनों की प्रणालियों पर अज्ञात एजेंट चल रहे थे
• 65% ने डेटा एक्सपोज़र, ऑपरेशनल व्यवधान और वित्तीय नुकसान सहित एजेंट-संबंधित घटनाओं का अनुभव किया था

शैडो AI बनाम शैडो आईटी

शैडो आईटी पहले आया। AWS में क्लाउड सुरक्षा विशेषज्ञ Aditya Patel इसे इसका “विद्रोही चचेरा भाई” कहते हैं।

शैडो आईटी तब होता है जब वर्कर कॉर्पोरेट आईटी के पसंदीदा प्रौद्योगिकी उत्पादों को दरकिनार कर देते हैं और अपने खुद के उत्पादों का उपयोग करते हैं, कभी जानबूझकर और कभी नियमों को जाने बिना। कोई कर्मचारी किसी कार्य डिवाइस पर वेब ब्राउज़र में व्यक्तिगत Google, Dropbox, WhatsApp या Trello खाते में साइन इन करता है, या घर पर समाप्त करने के लिए किसी व्यक्तिगत पते पर कोई दस्तावेज़ ईमेल करता है।

शैडो AI में नया क्या है, वह है इसका पैमाना और निरंतरता। कुछ उदाहरण:

• सार्वजनिक टूल में पेस्ट किया गया डेटा अनिश्चित काल तक वेंडर के सिस्टम में रह सकता है
• जब कोई कर्मचारी कुछ और करता है तो एजेंट और सहायक चलते रहते हैं, एप्लिकेशन, ईमेल और प्लेटफॉर्म पर काम करते रहते हैं

पारंपरिक सुरक्षा निगरानी सॉफ्टवेयर उन्हें देखने के लिए नहीं बनाया गया था। ब्राउज़र टैब बंद करने से काम नहीं रुकता है, जो अक्सर अदृश्य होता है सिवाय उस व्यक्ति के जिसने इसे प्रॉम्प्ट किया था।

बड़ा करें

काम पर शैडो AI के उदाहरण

शैडो AI आमतौर पर कुछ प्रमुख स्थितियों में दिखाई देता है:

कर्मचारी अनधिकृत AI का उपयोग क्यों करते हैं

कर्मचारियों के पास अनधिकृत आईटी का उपयोग करने के कई कारण हैं।

• कुछ लोगों को AI का उपयोग करने का दबाव का सामना करना पड़ता है, जिसमें खराब प्रदर्शन समीक्षा या नौकरी छूटना शामिल है, जबकि उनके नियोक्ता द्वारा प्रदान किए जाने वाले टूल घर पर उपयोग किए जाने वाले टूल की तुलना में कम अच्छा काम करते हैं।
• वे काम को ठीक से पूरा करने के लिए बेहतर टूल तक पहुँचते हैं।
• अन्य लोगों को स्वीकृत टूल आने में बहुत धीमा, बहुत जटिल, बहुत अनम्य, या बहुत बार गलत लगता है।

भारी AI उपयोग महंगा हो सकता है, जिसके कारण कई प्रसिद्ध कंपनियों ने “टोकनमैक्सिंग” उपयोगकर्ताओं पर कैप लगा दी है। जून 2026 में, चार महीने में अपना वार्षिक AI बजट खर्च करने के बाद Uber ने प्रत्येक एजेंटिक कोडिंग टूल के लिए कर्मचारी खर्च को $1,500 प्रति माह पर सीमित कर दिया।

“टोकनोपocalypse” का सामना करने के बजाय राशनिंग कुछ कर्मचारियों को उपभोक्ता संस्करण के लिए खुद भुगतान करने के लिए मजबूर करती है। कुछ वही कंपनियाँ जो कर्मचारियों को AI का उपयोग करने के लिए कहती हैं, उस तक पहुँच को भी नियंत्रित कर रही हैं।

कर्मचारी सीमाओं के आसपास काम करते हैं।

• वे रिपोर्ट का मसौदा तैयार करने के लिए सार्वजनिक चैटबॉट में कंपनी का डेटा पेस्ट करते हैं।
• वे नियमित कार्यों को गति देने के लिए AI व्यक्तिगत सहायक या कोडिंग टूल का उपयोग करते हैं।

कुछ शोधकर्ता इसे “शैडो यूजर इनोवेशन” के रूप में वर्णित करते हैं। कई कर्मचारियों को कभी एहसास नहीं होता है कि वे कंपनी की नीति का उल्लंघन कर रहे हैं। और नियमों के खिलाफ AI का उपयोग करने वाले कर्मचारियों में से, PagerDuty सर्वेक्षण के अनुसार, केवल आधे ही पकड़े जाते हैं।

शैडो AI के साथ क्या गलत हो सकता है

जोखिम कम से कम पाँच समूहों में आते हैं:

1. सुरक्षा उल्लंघन: एक अनधिकृत टूल हमलावरों को आंतरिक प्रणालियों में एक रास्ता दे सकता है। वेब इन्फ्रास्ट्रक्चर प्रदाता Vercel ने अप्रैल 2026 में खुलासा किया कि एक कर्मचारी द्वारा Enterprise Google खाते से Context.ai से तृतीय-पक्ष ऐप कनेक्ट करने के बाद परिष्कृत हैकर्स ने इसकी प्रणालियों का उल्लंघन किया। हमलावर ग्राहक क्रेडेंशियल लेकर फरार हो गए, और चोरी किए गए डेटा की बाद में $2 मिलियन में पेशकश की गई।

2. बौद्धिक संपदा लीक: चैटबॉट में एक ही बार पेस्ट करने से मालिकाना डेटा कंपनी-नियंत्रित सर्वर से बाहर निकल सकता है। मार्च 2023 में, Samsung के कर्मचारियों ने ChatGPT में सोर्स कोड और गोपनीय आंतरिक ट्रांसक्रिप्ट पेस्ट किए। डर यह था कि अन्य उपयोगकर्ता डेटा तक पहुँच सकते थे। Samsung ने हफ़्तों बाद जनरेटिव AI टूल्स पर प्रतिबंध लगा दिया।

3. विनियामक प्रभाव: एक उल्लंघन या AI-निर्मित तथ्य विनियामक जाँच, जुर्माना और प्रतिष्ठा को नुकसान पहुँचा सकता है। Community Bank की मूल कंपनी CB Financial Services, ने मई 2026 में सिक्योरिटीज एंड एक्सचेंज कमीशन के साथ एक फॉर्म 8-K दायर किया जिसमें अनधिकृत AI एप्लिकेशन का उपयोग करके संवेदनशील ग्राहक जानकारी से जुड़ी एक आंतरिक घटना का खुलासा किया गया था। यह शैडो AI उपयोग के जवाब में दायर किया गया पहला ज्ञात 8-K था।

4. कानूनी जटिलताएँ: कंस्यूमर चैटबॉट में गोपनीय जानकारी पेस्ट करने से कंपनी के व्यापार रहस्य सुरक्षा को खतरा हो सकता है। अप्रैल 2026 के एक फैसले में, कैलिफोर्निया में एक संघीय न्यायाधीश ने व्यापार-रहस्य के दावे को “पूर्वाग्रह के साथ” खारिज कर दिया क्योंकि वादी ने ChatGPT के साथ सामग्री विकसित की थी और इसे गोपनीय रखने के लिए उचित कदम नहीं उठाए थे। एक अलग फैसले में, एक अदालत ने पाया कि प्रतिवादी की व्यक्तिगत AI चैट लॉग अटॉर्नी-क्लाइंट विशेषाधिकार या वर्क-प्रॉडक्ट सिद्धांत द्वारा सुरक्षित नहीं थे, जिससे वे अदालत में खोजने योग्य बन गए।

5. गोपनीयता: एक मीटिंग बॉट बिना अनुमति या जानकारी के लोगों को रिकॉर्ड कर सकता है। Otter.ai के खिलाफ U.S. District Court में एक मामला पूछता है कि क्या एक स्वचालित नोट लेने वाला सभी पक्षों की सहमति के बिना प्रतिभागियों को रिकॉर्ड कर सकता है, और क्या Otter अपने मॉडल को प्रशिक्षित करने के लिए बातचीत का उपयोग कर सकता है। अलग से 2024 में, शोधकर्ता Alex Bilzerian ने The Washington Post को बताया कि उन्होंने एक सौदे से वॉक आउट कर दिया जब Otter ने उन्हें उस बैठक का पूरा ट्रांसक्रिप्ट ईमेल किया जिसे उन्होंने पहले ही छोड़ दिया था, जिसमें निवेशकों ने रणनीतिक गलतियों और हेरफेर किए गए मेट्रिक्स पर चर्चा की थी।

बड़ा करें

प्रतिबंध क्यों विफल होते हैं

कंपनियों ने विशिष्ट AI उत्पादों पर प्रतिबंध लगाया और फिर अपना रुख बदल लिया।

• Samsung ने 2023 में जनरेटिव AI टूल्स पर प्रतिबंध लगा दिया और 2026 में कंपनी स्तर पर ChatGPT, Gemini और Claude को अपना लिया।
• Citigroup ने 2023 में ChatGPT को प्रतिबंधित कर दिया और 2024 में कर्मचारियों के लिए अपने स्वयं के AI टूल्स पेश किए।
• 2023 में इटली द्वारा ChatGPT को ब्लॉक करने के बाद, इतालवी सॉफ्टवेयर डेवलपर्स का आउटपुट दो दिनों के लिए लगभग आधा हो गया और फिर ठीक हो गया, जबकि ब्लॉक को बायपास करने के टूल्स के डाउनलोड में तेजी से वृद्धि हुई, दो अर्थशास्त्रियों ने एक वर्किंग पेपर में पाया।
• Reddit पर, एक नेटवर्क सुरक्षा पेशेवर ने लिखा कि जिस कंपनी में वह काम करता था, उसने ChatGPT को ब्लॉक करने के बाद, कर्मचारियों ने स्वीकृत कंपनी ऐप्स के अंदर AI सुविधाओं पर स्विच किया, जिन्हें बंद नहीं किया जा सकता था।

प्रतिबंध अक्सर अनधिकृत AI उपयोग को रोकने के बजाय काम को अन्य स्थानों पर स्थानांतरित कर देते हैं।

• KPMG सर्वेक्षण में, सार्वजनिक AI टूल्स पर प्रतिबंध लगाने वाले 67% कर्मचारियों ने कहा कि उन्होंने किसी टूल में संवेदनशील या कॉपीराइट सामग्री डाली थी, जबकि औपचारिक नीति न रखने वाले संगठनों में यह 33% था।
• आक्रामक ब्लॉकिंग AI के उपयोग को व्यक्तिगत उपकरणों पर धकेल देती है और संगठन क्या देख सकता है उसे सीमित करती है, शोध से पता चलता है।
• वेबपेज का स्क्रीन कैप्चर या फोटो फ़ाइल-आधारित नियंत्रणों को हरा सकता है।

शैडो AI वर्कअराउंड को कैसे समाप्त करें

कम शैडो AI वाली कंपनियाँ अधिकृत रास्ते को आसान बनाती हैं। प्रभावी AI उपयोग नीतियाँ, चल रहे AI साक्षरता प्रशिक्षण, तकनीकी सुरक्षा उपाय और मानवीय जवाबदेही आधार रेखा हैं। चार प्रथाएँ और आगे जाती हैं:

• उस टूल को चुनें जिसे कर्मचारी वैसे भी चुनना पसंद करते। Recon Analytics के एक सर्वेक्षण में पाया गया कि केवल Copilot दिए जाने वाले 68% कर्मचारियों ने इसे अपना प्राथमिक AI टूल बताया, जबकि तीन प्रमुख टूल दिए जाने पर यह 8% था। Moderna ने उपयोगकर्ता परीक्षण में अपने स्वयं के सहायक की तुलना Copilot और ChatGPT Enterprise से की, फिर उस टूल को चुना जिसे कर्मचारियों ने सबसे अधिक रेटिंग दी।
• वर्कअराउंड को प्रतिबंधित करने से पहले विकल्प प्रदान करें। क्रिटिकल इंफ्रास्ट्रक्चर प्रैक्टिशनर्स के एक ऑस्ट्रेलियन अध्ययन में पाया गया कि कई संगठनों ने स्वीकृत विकल्प की पेशकश शुरू करने के बाद ही सार्वजनिक AI टूल्स को ब्लॉक कर दिया, एक ऐसा दृष्टिकोण जिसे लेखकों ने “substitution-first” कहा। एक प्रतिभागी ने कहा, “यदि आप उन्हें टूल नहीं देते हैं, तो वे टूल प्राप्त करने का रास्ता खोज लेंगे।” क्लाउड सुरक्षा प्रदाता की अनुसंधान शाखा Netskope Threat Labs ने बताया कि आधिकारिक समाधानों के साथ इसके वित्तीय सेवा ग्राहकों पर व्यक्तिगत AI खाते का उपयोग 76% से गिरकर 36% हो गया जबकि स्वीकृत उपयोग 33% से बढ़कर 79% हो गया।
• विभिन्न प्रकार के अनुकूलित प्रशिक्षण विकल्प प्रदान करें। ऑस्ट्रेलियन सरकार के Copilot ट्रायल में, तीन या अधिक प्रकार के प्रशिक्षण प्राप्त करने वाले तीन-चौथाई लोग टूल का उपयोग करने में आश्वस्त थे, जो एक प्रकार का प्रशिक्षण प्राप्त करने वालों से 28 प्रतिशत अंक ऊपर था। एक BCG सर्वेक्षण से पता चला कि कोई प्रशिक्षण प्राप्त न करने वाले 18% कर्मचारी नियमित AI उपयोगकर्ता थे, जबकि पाँच से दस घंटे का निर्देश, व्यक्तिगत सत्र और कोचिंग प्राप्त करने वाले 82% कर्मचारी थे। केवल 36% कर्मचारियों ने कहा कि वे अपने AI प्रशिक्षण से संतुष्ट थे, और इसे बहुत छोटा या सतही बताया।
• उन लोगों से शुरू करें जिन्हें पहले से ही टूल चाहिए। 250 लोगों वाली प्राइवेट इक्विटी फर्म IK Partners के तत्कालीन आईटी निदेशक Peter Tucker ने 190 ChatGPT Enterprise उपयोगकर्ताओं तक पहुँचने के लिए शून्य मैंडेट के साथ माँग-आधारित रणनीति का उपयोग किया। उन्होंने 20 स्वयंसेवकों से शुरुआत की, जो यह देखने के बाद आंतरिक समर्थक बन गए कि यह उनका समय कैसे बचा सकता है। उन्होंने Exchange, Egnyte और Notion सहित उन टूल्स के साथ कनेक्टर बनाए जिनके साथ लोग पहले से काम करते थे। और उन्होंने एक डेटा साइंटिस्ट के साथ स्वैच्छिक सत्र चलाए जिसमें फर्म के 250 कर्मचारियों में से 120 ने भाग लिया। BBVA ने अपने CEO सहित 250 नेताओं के लिए प्रशिक्षण के साथ 3,300 लाइसेंसों से बढ़कर 11,000 लाइसेंस कर लिए, और कंपनी के टूल को शैडो AI के अधिक सुरक्षित विकल्प के रूप में तैयार किया।

निष्कर्ष

जब कर्मचारी उन टूल्स के चक्कर में पड़ते हैं जो उनकी कंपनी उन्हें देती है, तो वे ठीक यही दिखाते हैं कि वे टूल्स कहाँ कम पड़ जाते हैं। उन्हें ब्लॉक करने से वह जानकारी छुप जाती है। सबसे कम शैडो AI का उपयोग करने वाली कंपनियाँ एक अच्छा टूल प्रदान करती हैं, उस टूल को चुनती हैं जिसे कर्मचारी वैसे भी चुनना पसंद करते हैं, और जो भी शैडो उपयोग बच जाता है उसे अभी भी गायब सुविधाओं की सूची के रूप में मानती हैं।

Perplexity कैसे मदद कर सकता है

Perplexity Enterprise कंपनियों को एक सुरक्षित टूल देता है जिसे कर्मचारी अपनी खूबियों के आधार पर चुनते हैं, जिसमें वर्क-अकाउंट साइन-इन होता है जिसे एडमिन लागू कर सकते हैं; रोल-आधारित अनुमतियाँ होती हैं ताकि लोग केवल वही देख सकें जो आईटी अनुमति देता है; उपयोगकर्ता इनपुट, एजेंट चरणों और उत्तरों में ऑडिट लॉगिंग; कंपनी की जानकारी जिसका उपयोग AI मॉडल को प्रशिक्षित करने के लिए कभी नहीं किया जाता; और हर उत्तर पर उसके स्रोतों के लिंक होते हैं ताकि कोई भी व्यक्ति किसी क्लाइंट को भेजने से पहले तथ्य की जाँच कर सके। और Comet for Enterprise ब्राउज़र उन सुरक्षा मानकों और नियंत्रणों का पालन करता है जो कंपनी के पास पहले से मौजूद हैं।

अक्सर पूछे जाने वाले प्रश्न

मैं कैसे बता सकता हूँ कि क्या मैं अनजाने में शैडो AI का उपयोग कर रहा हूँ?

जाँच करें कि क्या कोई AI टूल कंपनी की स्वीकृत सूची में है। ब्राउज़र एक्सटेंशन, नोट्स लेने वाले टूल्स और स्वचालित AI सुविधाएँ सभी इसमें शामिल हैं, और नीति तोड़ने वाले अधिकांश लोगों को इसका कभी एहसास नहीं होता है।

यदि मैंने किसी व्यक्तिगत AI टूल में कुछ संवेदनशील पेस्ट कर दिया है तो मुझे क्या करना चाहिए?

उसी दिन आईटी या सुरक्षा टीम के किसी व्यक्ति को बताएं, और उन्हें विशेष रूप से बताएं कि क्या साझा किया गया था। कंपनियों और अदालतों ने त्वरित, स्वैच्छिक खुलासे को छिपाने से अलग माना है, और व्यावहारिक नुकसान आमतौर पर इस बात पर निर्भर करता है कि एक्सेस को कितनी जल्दी निरस्त किया जा सकता है और क्रेडेंशियल बदले जा सकते हैं।

क्या होगा यदि कोई सहकर्मी मीटिंग में AI नोट लेने वाला लाता है?

बातचीत शुरू होने से पहले पूछें, क्योंकि एक प्रतिभागी की पसंद सभी को रिकॉर्ड करती है। रिकॉर्डिंग सहमति के नियम राज्य के अनुसार भिन्न होते हैं और कॉल पर मौजूद प्रत्येक व्यक्ति को कवर करते हैं, न कि केवल होस्ट को, इसलिए जल्दी बोलें या संवेदनशील हिस्सों को ट्रांसक्राइब न करने के लिए कहें।

क्या एक स्वीकृत AI टूल प्रदान करने से शैडो AI समाप्त हो जाता है?

नहीं, और कुछ ही विश्वसनीय अध्ययन स्वीकृत टूल लॉन्च होने से पहले और बाद में सीधे उपयोग को मापते हैं। प्रभावी स्वीकृत टूल बाहर जाने के सबसे बड़े कारणों में से एक को हटा देते हैं, लेकिन लोगों का एक हिस्सा हमेशा दोनों का उपयोग करना जारी रखेगा, और उस संकेत पर ध्यान देने लायक है न कि सजा देने के।

कोई प्रबंधक अनुशासन की समस्या को टूलिंग की समस्या से कैसे अलग बता सकता है?

देखें कि लोग किस तक पहुँचते हैं और क्यों। यदि वर्कअराउंड वास्तविक समय बचाता है, तो यहrevealing कर रहा है कि स्वीकृत टूल में क्या कमी है। सबसे व्यावहारिक प्रतिक्रिया अंतर को ठीक करना है। छिपाना आमतौर पर परिणामों के डर का संकेत देता है, बुरे इरादे का नहीं।