Skuggagervigreind: Af hverju starfsmenn fara framhjá IT og hvað enda það

Gervigreind er nú hluti af daglegri vinnu margra starfsmanna, oft margris á dag. En tólin sem þeir grípa til eru ekki alltaf þau opinberu sem upplýsingatæknideildin gefur þeim.

„Skuggagervigreind“ er notkun á óviðurkenndum gervigreindarvörum í vinnunni, þar á meðal:

• Persónulegt spjallmenni
• Gervigreindarumboðsmenn
• Aðgangar að gervigreindaraðstoðarmönnum

Um helmingur starfsmanna segist hafa notað gervigreind á þann hátt að það brýtur gegn reglum og leiðbeiningum stofnunar þeirra, samkvæmt könnun KPMG á meira en 48.000 manns í 47 löndum. Oft líma þeir viðkvæmar upplýsingar fyrirtækisins inn í opnar gervigreindarvörur.

Vinnubrögðin eru orðin viðvörun. Könnun frá BCG á meira en 10.000 starfsmönnum, stjórnendum og leiðtogum leiddi í ljós að næstum fjórir af hverjum tíu segja að fyrirtæki sitt útvegi ekki réttu tólin.

Þegar starfsmenn nota óviðurkennd tól gera þeir það vegna þess að:

• Skammtað
• Þakið
• Verri en það sem þeir getafengið upp á eigin spýtur

Þegar samþykktu tólin eru nógu góð hætta flestir starfsmenn að fara framhjá upplýsingatæknideildinni. Lærdómurinn: Eftirspurnin eftir gervigreind er mikil, en skuggagervigreind er oft merki um framboðsvandamál.

Hvað er skuggagervigreind?

Skuggagervigreind þýðir að starfsmenn nota sín eigin gervigreindartól í vinnunni í stað þeirra sem stofnun þeirra útvegar. Það felur í sér:

• Spjallmenni sem svara spurningum
• Umboðsmenn sem sinna venjubundnum verkefnum
• Vélmenni sem taka upp og skrá fundi
• Aðstoðarmenn sem takast á við heilar vinnurútínur

Tólin geta tengst vinnukerfum og öppum. Sum eru sjálfstæðar vörur, en önnur eru gervigreindareiginleikar innbyggðir í tól, tæki og palla sem starfsmenn hafa þegar, eins og Copilot, Gemini og Apple Intelligence.

Í könnun á 2.000 starfsmönnum sem unnin var fyrir BlackFog, öryggisfyrirtæki, sögðust 58% notenda skuggagervigreindar treysta á ókeypis útgáfur sem skortir oft:

• Öryggi á fyrirtækjastigi
• Gagnavernd
• Persónuvernd

aðallega vegna þess að þeir metu hraða mikils. Æðstu stjórnendur greindu frá því að nota skuggagervigreind nálgast tvöfalt oftar en yngra starfsfólk.

Notkun starfsmanna getur verið erfið að greina. Könnun Cloud Security Alliance leiddi í ljós að:

• 82% svarenda sögðu að stofnanir sínar væru með óþekkta umboðsmenn í gangi á kerfum sínum
• 65% höfðu lent í atvikum tengdum umboðsmönnum, þar á meðal gagnaútsetningu, truflun á starfsemi og fjárhagslegu tapi

Skuggagervigreind á móti skugga-IT

Skugga-IT kom fyrst. Aditya Patel, skýjaöryggissérfræðingur hjá AWS, kallar skuggagervigreind „uppreisnargjarna frænda hennar“.

Skugga-IT lýsir því þegar starfsmenn fara framhjá tæknivörum sem upplýsingatæknideild fyrirtækisins kýr og nota sínar eigin, stundum vísvitandi og stundum án þess að þekkja reglurnar. Starfsmaður skráir sig inn á persónulegan Google, Dropbox, WhatsApp eða Trello aðgang í vafra á vinnutæki, eða sendir skjal í tölvupósti á persónulegtfang til að klára heima.

Það sem er nýtt við skuggagervigreind er umfang og þrautseigja. Nokkur dæmi:

• Gögn sem eru lögð inn í opið tól geta verið í kerfum söluaðila um óákveðinn tíma
• Umboðsmenn og aðstoðarmenn halda áfram að keyra á meðan starfsmaður gerir eitthvað annað, vinna í gegnum forrit, tölvupóst og palla

Hefðbundinn öryggiseftirlitshugbúnaður var ekki gerður til að sjá þau. Að loka vafraflipa stöðvar ekki vinnuna, sem er oft ósýnileg öllum nema þeim sem kallaði hana fram.

Stækka

Dæmi um skuggagervigreind í vinnunni

Skuggagervigreind birtist venjulega í nokkrum lykilaðstæðum:

Hvers vegna starfsmenn nota óviðurkennda gervigreind

Starfsmenn hafa margar ástæður fyrir því að nota óviðurkennda upplýsingatækni.

• Sumir standa frammi fyrir þrýstingi um að nota gervigreind, þar á meðal slæmum frammistöðumati eða atvinnumissi, á meðan tólin sem vinnuveitandi þeirra útvegar virka minna vel en þau sem þeir nota heima.
• Þeir grípa í það betra til að klára verkið á réttan hátt.
• Aðrir finna að samþykkta tólið er of lengi að koma, of flókið, of óbeygjanlegt, eða of oft rangt.

Mikil notkun á gervigreind getur orðið dýr, sem hefur leitt til þess að fjöldi þekktra fyrirtækja hefur sett þak á notendur sem nota „tokenmaxxing“. Í júní 2026 setti Uber þak á útgjöld starfsmanna við 1.500 dali á mánuði fyrir hvert umboðsforritunarforrit eftir að hafa eytt árlegu gervigreindarfjárhagsáætlun sinni á fjórum mánuðum.

Skömmtun þrýstir á sumra starfsmanna að greiða fyrir neytendaútgáfuna sjálfir í stað þess að horfast í augu við „tokenpocalypse.“ Sum af sömu fyrirtækjunum sem segja starfsmönnum að nota gervigreind eru einnig að stýra aðgangi að henni.

Starfsmenn vinna framhjá mörkunum.

• Þeir líma gögn fyrirtækisins inn í opið spjallmenni til að draga upp skýrslu.
• Þeir nota gervigreindaraðstoðarmann eða forritunartól til að flýta fyrir venjubundnum verkefnum.

Sumir vísindamenn lýsa þessu sem „nýsköpun skuggaskotenda.“ Margir starfsmenn gera sér aldrei grein fyrir því að þeir eru að brjóta stefnu fyrirtækisins. Og samkvæmt könnun frá PagerDuty er aðeins um helmingur þeirra starfsmanna sem notuðu gervigreind gegn reglunum gripinn.

Hvað getur farið úrskeiðis við skuggagervigreind

Áhættan skiptist í að minnsta kosti fimm hópa:

1. Öryggisbrot: Ósamþykkt tól getur gefið árásarmönnum leið inn í innri kerfi. Vercel, vefinnviðaveitandi, tilkynnti í apríl 2026 að flóknir tölvuþrjótar hefðu brotist inn í kerfi sín eftir að starfsmaður tengdi forrit þriðja aðila frá Context.ai við Google-fyrirtækjareikning. Árásarmennirnir náðu í skilríki viðskiptavina og stolin gögn voru síðar boðin til sölu á 2 milljónir dollara.

2. Lekar á hugverkarétti: Eignargögn geta farið út úr netþjónum undir stjórn fyrirtækisins með einu límíti inn í spjallmenni. Í mars 2023 límdu starfsmenn Samsung upprunakóða og trúnaðarleg innri afrit inn í ChatGPT. Óttinn var sá að aðrir notendur gætu haft aðgang að gögnunum. Samsung bannaði gervigreindartól nokkrum vikum síðar.

3. Eftirlitsáhrif: Brot eða staðreynd búin til af gervigreind getur leitt til eftirlits, sekta og orðsporsmissis. CB Financial Services, móðurfélag Community Bank, skilaði inn Form 8-K í maí 2026 til Securities and Exchange Commission þar sem greint var frá innlendu atviki sem varðaði viðkvæmar upplýsingar viðskiptavina sem notuðu óheimilt gervigreindarforrit. Þetta var fyrsta þekkta 8-K skjalið sem skilað var vegna notkunar á skuggagervigreind.

4. Lagalegar flækjur: Að líma trúnaðarupplýsingar inn í spjallmenni neytenda getur stofnað viðskiptaleyndarmálum fyrirtækisins í hættu. Í úrskurði í apríl 2026 vísaði alríkisdómari í Kaliforníu frá kröfu um viðskiptaleyndarmál „með fordæmi“ vegna þess að stefnandi hafði þróað efnið með ChatGPT og hafði ekki gert sanngjarnar ráðstafanir til að halda því trúnaðarmáli. Í öðrum dómi komst dómstóður að því að persónuleg gervigreindarspjallskrár sakbornings væru ekki verndaðar af lögmanns- og umbjendaleynd eða vinnuafurðakenningunni, sem gerði þær uppgötvunarhæfar fyrir dómstólum.

5. Persónuvernd: Fundarvélmenni getur tekið upp fólk án leyfis eða vitneskju. Mál í héraðsdómi í Bandaríkjunum gegn Otter.ai spyr hvort sjálfvirkur minnismiðari geti tekið upp þátttakendur án samþykkis allra aðila, og hvort Otter geti notað samtöl til að þjálfa líkan sitt. Aðskilið árið 2024 sagði rannsakandinn Alex Bilzerian við The Washington Post að hann hafi hætt við samning eftir að Otter sendi honum í tölvupósti fullt afrit af fundi sem hann var þegar farinn frá, þar sem fjárfestar ræddu stefnumótandi misstíg og handhafa tölur.

Stækka

Af hverju bön mistakast

Fyrirtæki hafa bannað tilteknar gervigreindarvörur og síðan snúið við blaðinu.

• Samsung bannaði generative gervigreindartól árið 2023 og tók upp ChatGPT, Gemini og Claude í öllu fyrirtækinu árið 2026.
• Citigroup takmarkaði ChatGPT árið 2023 og kynnti sín eigin gervigreindartól fyrir starfsmönnum árið 2024.
• Eftir að Ítalía bannaði ChatGPT árið 2023 dróst framleiðsla ítalskra hugbúnaðarþróunaraðila saman um helming í tvo daga og náði sér svo aftur striki, á meðan niðurhal á tólum til að komast framhjá banni jókst skarpt, kom fram í vinnuskjali frá tveimur hagfræðingum.
• Á Reddit skrifaði netöryggissérfræðingur að eftir að fyrirtækið þar sem hann vann lokaði á ChatGPT, skiptu starfsmenn yfir í gervigreindareiginleikana inni í samþykktum öppum fyrirtækisins, sem ekki var hægt að slökkva á.

Bön færa vinnuna oft á aðra staði í stað þess að stöðva óheimilaða notkun gervigreindar.

• Í könnun KPMG sögðust 67% starfsmanna sem banna opinber gervigreindartól hafa sett viðkvæmt eða höfundarréttarvarið efni í tól, samanborið við 33% hjá stofnunum án formlegrar stefnu.
• Árásargjörn lokun þrýstir gervigreindarnotkun yfir á persónuleg tæki og takmarkar það sem stofnunin getur séð, kemur fram í rannsóknum.
• Skjáskot eða mynd af vefsíðu getur yfirbugað skráartengd stjórntæki.

Hvernig á að binda enda á vinnubrögð við skuggagervigreind

Fyrirtæki með minni skuggagervigreind gera hina samþykktu leið að þeirri auðveldari. Árangursríkar reglur um gervigreindarnotkun, áframhaldandi fræðsla um gervigreind, tæknilegar öryggisráðstafanir og ábyrgð einstaklinga eru grunnurinn. Fjórar starfsvenjur ganga lengra:

• Veldu tólið sem starfsmenn hefðu valið hvort eð er. Könnun frá Recon Analytics leiddi í ljós að 68% starfsmanna semfengu aðeins Copilot nefndu það sem sitt aðalgervigreindartól, samanborið við 8% þegar þeir fengu þrjú helstu tólin. Moderna bar saman sinn eigin aðstoðarmann við Copilot og ChatGPT Enterprise í notendaprófunum og valdi síðan það tól sem starfsmenn gáfu hæstu einkunn.
• Útvegaðu valkostinn áður en þú takmarkar vinnubrögðin. Áströlsk rannsókn á iðkendum mikilvægra innviða leiddi í ljós að nokkrar stofnanir lokuðu á opinber gervigreindartól aðeins eftir að þær fóru að bjóða upp á samþykktu lausnina, nálgun sem höfundar kölluðu „skiptiframboð fyrst“. „Ef þú gefur þeim ekki tólin munu þeir finna leið til að fá tólin,“ sagði einn þátttakandi. Netskope Threat Labs, rannsóknardeild skýjaöryggisveitunnar, greindi frá því að notkun persónulegra gervigreindarforrita hjá viðskiptavinum í fjármálaþjónustu féll úr 76% í 36% með opinberum lausnum á meðan samþykkt notkun jókst úr 33% í 79%.
• Bjóddu upp á úrval af sérsniðnum þjálfunarmöguleikum. Í Copilot-tilraun ástralísku ríkisstjórnarinnar voru þrír fjórðu hlutar þeirra sem fengu þrjár eða fleiri tegundir þjálfunar öruggir í notkun tólsins, 28 prósentustigum yfir þeim sem fengu eina tegund þjálfunar. Könnun frá BCG leiddi í ljós að 18% starfsmanna sem fengu enga þjálfun voru reglulegir gervigreindarnotendur, samanborið við 82% þeirra sem fengu fimm til tíu klukkustunda kennslu, fundi í eigin persónu og þjálfun. Aðeins 36% starfsmanna sögðust vera ánægðir með gervigreindarþjálfun sína og kölluðu hana of stutta eða yfirborðslega.
• Byrjaðu á því fólki sem vill þegar tól. Peter Tucker, sem þá var upplýsingatæknistjóri hjá IK Partners, 250 manna einkahlutafélagi, notaði eftirspurnarmiðaða stefnu með núll boðvaldi til að ná til 190 notenda ChatGPT Enterprise. Hann byrjaði með 20 sjálfboðaliðum, sem urðu innri talsmenn þegar þeir sáu hvernig það gæti sparað þeim tíma. Hann smíðaði tengingar við tólin sem fólk vann nú þegar með, þar á meðal Exchange, Egnyte og Notion. Og hann hélt sjálfboðaliðafundi með gagnafræðingi sem 120 af 250 starfsmönnum fyrirtækisins sóttu. BBVA fór úr 3.300 leyfum í 11.000 með þjálfun fyrir 250 stjórnendur, þar á meðal forstjóra þess, og setti tól fyrirtækisins fram sem öruggari valkost við skuggagervigreind.

Kjarninn í málinu

Þegar starfsmenn fara framhjá tólunum sem fyrirtæki þeirra útvegar, sýna þeir nákvæmlega hvar þau tól skorta á. Að loka á þau felur þær upplýsingar. Fyrirtækin með minnstu skuggagervigreindina útvega gott tól, velja það sem starfsmenn hefðu valið hvort eð er, og meðhöndla þá skuggavinnslu sem eftir stendur sem lista yfir eiginleika sem enn vantar.

Hvernig Perplexity getur hjálpað

Perplexity Enterprise veitir fyrirtækjum öruggt tól sem starfsmenn velja á verðleikum, með innskráningu á vinnuaðgangi sem stjórnendur geta framfylgt; hlutverkamiðuðum heimildum þannig að fólk sjái aðeins það sem upplýsingatæknideildin leyfir; skoðunarskrám (audit logging) yfir notendainntak, skref umboðsmanna og svör; fyrirtækiupplýsingum sem eru aldrei notaðar til að þjálfa gervigreindarlíkön; og tenglum í uppruna í hverju svari svo hver sem er staðre rayosse áður en það er sent til viðskiptavinar. Og Comet for Enterprise vafrinn fylgir þeim öryggisstöðlum og stjórntækjum sem fyrirtækið hefur þegar komið á fót.

Algengar spurningar

Hvernig get ég séð hvort ég sé að nota skuggagervigreind án þess að vilja það?

Athugaðu hvort gervigreindartól sé á samþykktum lista fyrirtækisins. Vafraviðbætur, minnismiðatól og sjálfvirkir gervigreindareiginleikar teljast allir með, og flestir sem brjóta reglurnar gera sér ekki grein fyrir því.

Hvað á ég að gera ef ég límdi eitthvað viðkvæmt inn í persónulegt gervigreindartól?

Láttu einhvern í upplýsingatækni- eða öryggisteyminu vita sama dag og tilgreindu nákvæmlega hverju var deilt. Fyrirtæki and dómstólar hafa meðhöndlað skjóta, sjálfboðuga uppljóstrun öðruvísi en fylni, og raunverulegt tjón fer venjulega eftir því hve fljótt hægt er að afturkalla aðgang og breyta skilríkjum.

Hvað ef samstarfsmaður kemur með gervigreindarminnismiðara á fund?

Spyrðu áður en samtalið hefst, þar sem ákvörðun eins þátttakanda skráir alla. Reglur um samþykki fyrir upptökum eru mismunandi eftir ríkjum og ná til allra á fundinum, ekki bara stjórnandans, svo talaðu tímanlega eða biddu um að viðkvæmir hlutar séu ekki skráðir.

Hverfur skuggagervigreind ef boðið er upp á samþykkt gervigreindartól?

Nei, og fáar áreiðanlegar rannsóknir mæla beint notkun fyrir og eftir að samþykkt tól er kynnt til sögunnar. Skilvirk samþykkt tól fjarlægja eina af stærstu ástæðunum fyrir því að fara út fyrir svæðið, en hluti fólks mun alltaf halda áfram að nota hvort tveggja, og það merki er þess virði að veita athygli í stað þess að refsa.

Hvernig getur stjórnandi greint á milli agavandamáls og tólavandamáls?

Skoðaðu hvað fólk sækist í og hvers vegna. Ef vinnubrögðin spara raunverulegan tíma leiða þau í ljós hvað það er sem vantar í samþykkta tólið. Hagnýtasta viðbragðið er að laga bilið. Fjulun gefur venjulega til kynna ótta við afleiðingar, ekki vondan ásetning.