Shadow AI: Қызметкерлер IT бөлімін неге айналып өтеді

AI қазір көптеген қызметкерлердің күнделікті жұмысының, көбінесе күн сайын бірнеше рет қолданылатын бөлігіне айналды. Бірақ олар пайдаланатын құралдар әрқашан IT бөлімі беретін ресми құралдар бола бермейді.

“Shadow AI” — бұл жұмыста бекітілмеген AI өнімдерін пайдалану, соның ішінде:

• Жеке чат-бот
• AI агенттері
• AI көмекшісінің тіркелгілері

47 елдегі 48 000-нан астам адамды қамтыған KPMG сауалнамасына сәйкес, қызметкерлердің жартысына жуығы ұйымның саясаты мен нұсқауларын бұзатын жолдармен AI пайдаланғанын айтады. Жиі олар компанияның құпия ақпаратын қоғамдық AI құралдарына енгізеді.

Айналып өту әдісі ескертуге айналды. 10 000-нан астам қызметкерді, менеджерлер мен басшыларды қамтыған BCG сауалнамасы әрбір он адамның төртіне жуығы өз компаниясы дұрыс құралдармен қамтамасыз етпей отырғанын айтатынын көрсетті.

Қызметкерлер рұқсат етілмеген құралдарды пайдаланған кезде олар:

• Нормаланған
• Шектелген
• Өздігінен ала алатын нәрсесінен де нашар

Бекітілген құралдар жеткілікті деңгейде жақсы болған кезде, қызметкерлердің көпшілігі IT бөлімін айналып өтуді тоқтатады. Сабақ: AI-ге сұраныс жоғары, бірақ shadow AI көбінесе ұсыныс мәселесінің бар екенін көрсетеді.

Shadow AI дегеніміз не?

Shadow AI қызметкерлердің өз ұйымы ұсынған құралдардың орнына жұмыста өздерінің AI құралдарын пайдалануын білдіреді. Оған мыналар кіреді:

• Сұрақтарға жауап беретін чат-боттар
• Күнделікті тапсырмаларды орындайтын агенттер
• Жиналыстарды жазып алып, транскриптін жасайтын боттар
• Бүкіл жұмыс процесін реттейтін көмекшілер

Құралдар жұмыс жүйелері мен қолданбаларға қосыла алады. Кейбіреулері дербес өнімдер болса, басқалары Copilot, Gemini және Apple Intelligence сияқты қызметкерлерде бұрыннан бар құралдарға, құрылғылар мен платформаларға біріктірілген AI мүмкіндіктері болып табылады.

BlackFog қауіпсіздік компаниясы тапсырған 2000 қызметкер арасындағы сауалнамада shadow AI пайдаланушыларының 58%-ы жиі мыналар жетіспейтін тегін нұсқаларға сүйенетінін айтты:

• Кәсіпорын деңгейіндегі қауіпсіздік
• Деректерді басқару
• Құпиялылықты қорғау

негізінен олар жылдамдықты жоғары бағалады. Жоғары деңгейдегі басшылар shadow AI-ді қатардағы қызметкерлерге қарағанда шамамен екі есе жиі пайдаланатынын хабарлады.

Қызметкерлердің пайдалануын анықтау қиын болуы мүмкін. Cloud Security Alliance сауалнамасы мынаны анықтады:

• Респонденттердің 82%-ы өз жүйелерінде белгісіз агенттердің жұмыс істеп жатқанын айтты
• 65%-ы деректердің ашылып қалуы, операциялық жұмыстың бұзылуы және қаржылық шығындарды қоса алғанда, агентке қатысты оқиғаларды бастан өткерген

Shadow AI және shadow IT

Алдымен Shadow IT пайда болды. AWS бұлтты қауіпсіздік маманы Адитья Пател (Aditya Patel) shadow AI-ді оның «бүлікші немере ағасы» деп атайды.

Shadow IT жұмысшылардың корпоративті IT бөлімінің қалаулы технологиялық өнімдерін айналып өтіп, өздерінің өнімдерін пайдалануын білдіреді, кейде бұл әдейі, кейде ережелерді білмей жасалады. Қызметкер жұмыс құрылғысындағы веб-браузерде жеке Google, Dropbox, WhatsApp немесе Trello тіркелгісіне кіреді немесе үйде аяқтау үшін құжатты жеке электрондық пошта мекенжайына жібереді.

Shadow AI-дегі жаңалық — ауқымы мен тұрақтылығы. Кейбір мысалдар:

• Қоғамдық құралға енгізілген деректер жеткізушінің жүйелерінде белгісіз мерзімге қалуы мүмкін
• Қызметкер басқа нәрсемен айналысып жатқанда, агенттер мен көмекшілер жұмысын жалғастырып, қосымшаларда, электрондық поштада және платформаларда жұмыс істейді

Дәстүрлі қауіпсіздікті бақылау бағдарламалық құралы оларды көруге арналмаған. Браузер қойындысын жабу жұмысты тоқтатпайды, ол көбінесе оны іске қосқан адамнан басқа ешкімге көрінбейді.

Ұлғайту

Жұмыстағы shadow AI мысалдары

Shadow AI әдетте бірнеше негізгі жағдайларда пайда болады:

Қызметкерлер неге бекітілмеген AI пайдаланады

Қызметкерлердің рұқсат етілмеген IT құралдарын пайдалануының көптеген себептері бар.

• Кейбіреулері нашар өнімділік бағалаулары немесе жұмыстан босатылу сияқты AI пайдалану қысымына тап болады, ал жұмыс берушілері ұсынатын құралдар үйде пайдаланатын құралдарға қарағанда нашар жұмыс істейді.
• Олар жұмысты дұрыс орындау үшін жақсырақ құралға қол созады.
• Басқалары бекітілген құралдың келуін тым баяу, тым күрделі, тым икемсіз немесе тым жиі қате жасайтынын анықтайды.

AI-ді көп пайдалану қымбатқа түсуі мүмкін, бұл бірқатар танымал компанияларды «tokenmaxxing» пайдаланушыларына лимит қоюға мәжбүр етті. 2026 жылдың маусымында Uber жыл сайынғы AI бюджетін төрт айда жұмсап қойғаннан кейін әрбір агенттік кодтау құралына қызметкердің ай сайынғы шығынын 1500 доллармен шектеді.

Нормалау кейбір қызметкерлерді «токенпокалипсиске» тап болғанша, тұтынушылық нұсқа үшін өз қаражатымен төлеуге итермелейді. Қызметкерлерге AI пайдалануды айтатын кейбір компаниялардың өзі оған қол жеткізуді шектеп отыр.

Қызметкерлер шектеулерді айналып өтіп жұмыс істейді.

• Олар есепті жобалау үшін компания деректерін қоғамдық чат-ботқа енгізеді.
• Олар күнделікті тапсырмаларды жылдамдату үшін AI жеке көмекшісін немесе кодтау құралын пайдаланады.

Кейбір зерттеушілер мұны «көлеңкелі пайдаланушы инновациясы» деп атайды. Көптеген қызметкерлер компания саясатын бұзып жатқанын ешқашан түсінбейді. PagerDuty сауалнамасына сәйкес, ережеге қарсы AI пайдаланған қызметкерлердің тек жартысына жуығы ғана ұсталады.

Shadow AI арқылы не қате болуы мүмкін

Тәуекелдер кемінде бес топқа бөлінеді:

1. Қауіпсіздіктің бұзылуы: Бекітілмеген құрал шабуылдаушыларға ішкі жүйелерге кіру жолын бере алады. Веб-инфрақұрылымды провайдері Vercel 2026 жылдың сәуірінде қызметкер Context.ai үшінші тарап қолданбасын корпоративтік Google тіркелгісіне қосқаннан кейін тәжірибелі хакерлердің оның жүйелерін бұзғанын хабарлады. Шабуылдаушылар тұтынушының тіркелгі деректерін қолды етті, ал ұрланған деректер кейін 2 миллион долларға ұсынылды.

2. Зияткерлік меншіктің сыртқа кетуі: Меншікті деректер чат-ботқа бір рет қана көшіріп қою арқылы компания басқаратын серверлерден тыс шығып кетуі мүмкін. 2023 жылдың наурызында Samsung қызметкерлері бастапқы кодты және құпия ішкі транскрипттерді ChatGPT-ге енгізді. Басқа пайдаланушылар бұл деректерге қол жеткізе алды ма деген қауіп болды. Samsung бірнеше аптадан кейін генеративті AI құралдарына тыйым салды.

3. Реттеуші органдардың әсері: Ереже бұзу немесе AI ойлап тапқан дерек реттеуші тарапынан тексеруге, айыппұлдарға және беделдің түсуіне әкелуі мүмкін. Community Bank ұйымының бас компаниясы CB Financial Services 2026 жылдың мамыр айында Бағалы қағаздар және биржалар комиссиясына (SEC) рұқсат етілмеген AI қолданбасын пайдалану арқылы тұтынушылардың құпия ақпаратына қатысты ішкі оқиғаны ашатын 8-K пішінін тапсырды. Бұл shadow AI қолданысына жауап ретінде тапсырылған алғашқы белгілі 8-K құжаты болды.

4. Заңдық асқынулар: Құпия ақпаратты тұтынушылық чат-ботқа енгізу компанияның коммерциялық құпияны қорғауын қатерге тігуі мүмкін. Калифорния штатындағы федералды судья 2026 жылдың сәуіріндегі шешімінде коммерциялық құпия туралы талапты «сотқа қайта шағымдану құқығынсыз» қабылдамады, өйткені талапкер материалды ChatGPT көмегімен әзірлеген және оны құпия сақтау үшін ақылға қонымды шаралар қолданбаған. Жеке бөлек шешімде сот айыпталушының жеке AI чат журналдары адвокат пен клиент арасындағы құпиялылықпен немесе жұмыс өнімі доктринасымен қорғалмағанын, бұл оларды сотқа ұсынуға болатын етінін анықтады.

5. Құпиялылық: Жиналыс боты адамдардың рұқсатынсыз немесе хабарлауынсыз оларды жазып ала алады. Otter.ai-ге қарсы АҚШ-тың округтік сотындағы іс автоматты түрде жазба жасау құралы қатысушылардың барлығының келісімінсіз қатысушыларды жазып ала ала ма және Otter өз моделін оқыту үшін әңгімелерді пайдалана ала ма деген сұрақ қояды. Сонымен қатар 2024 жылы зерттеуші Алекс Билзериан The Washington Post басылымына инвестиция салушылар стратегиялық қателер мен манипуляцияланған көрсеткіштерді талқылаған, ол өзі кетіп қалған жиналыстың толық транскриптін Otter электрондық пошта арқылы жібергеннен кейін мәміледен бас тартқанын айтты.

Ұлғайту

Тыйымдар неге сәтсіз болады

Компаниялар кейбір AI өнімдеріне тыйым салып, кейін өз шешімінің бағытын өзгертті.

• Samsung 2023 жылы генеративті AI құралдарына тыйым салып, 2026 жылы компания бойынша ChatGPT, Gemini және Claude жүйелерін қабылдады.
• Citigroup 2023 жылы ChatGPT-ге шектеу қойып, 2024 жылы қызметкерлеріне өздерінің AI құралдарын ұсынды.
• Италия 2023 жылы ChatGPT-ге тыйым салғаннан кейін, италиялық бағдарламалық жасақтама әзірлеушілерінің өнімі екі күн бойы шамамен жартысына азайып, содан кейін қалпына келді, ал бұғаттауды айналып өту құралдарын жүктеу күрт өсті, деп анықтады екі экономист зерттеу жұмысында.
• Reddit желісінде желілік қауіпсіздік маманы ол жұмыс істейтін компания ChatGPT-ге тыйым салғаннан кейін, қызметкерлер өшіру мүмкін емес бекітілген компания қолданбаларының ішіндегі AI мүмкіндіктеріне ауысқанын жазды.

Тыйымдар рұқсат етілмеген AI пайдалануды тоқтатудың орнына жиі жұмысты басқа жерлерге ауыстырады.

• KPMG сауалнамасында қоғамдық AI құралдарына тыйым салатын қызметкерлердің 67%-ы ресми саясаты жоқ ұйымдардағы 33%-бен салыстырғанда, құралға құпия немесе авторлық құқықпен қорғалған материалдарды енгізгенін айтты.
• Қатаң түрде бәрін бұғаттау AI пайдалануды жеке құрылғыларға ығыстырады және ұйымның нені көре алатынын шектейді, дейді зерттеушілер.
• Веб-беттің скриншоты немесе фотосуреті файлға негізделген басқару элементтерін айналып өте алады.

Shadow AI жұмыс әдістерін қалай тоқтатуға болады

Shadow AI қолданысы аз компаниялар рұқсат етілген жолды оңайырақ етеді. Тиімді AI пайдалану саясаттары, AI сауаттылығы бойынша үздіксіз оқыту, техникалық қорғаныс шаралары және адам жауапкершілігі — негізгі талаптар. Төрт тәжірибе одан әрі әрекет етеді:

• Қызметкерлер бастан өзі таңдайтын құралды таңдаңыз. Recon Analytics сауалнамасы тек Copilot берілген қызметкерлердің 68%-ы оны негізгі AI құралы ретінде атағанын көрсетті, ал үш негізгі құрал берілген кезде бұл көрсеткіш 8% болды. Moderna пайдаланушыны сынау кезінде өзінің көмекшісін Copilot және ChatGPT Enterprise жүйелерімен салыстырып, содан кейін қызметкерлер ең жоғары бағалаған құралды таңдады.
• Айналып өту әдісіне шектеу қоймас бұрын балама нұсқасын ұсыныңыз. Маңызды инфраструктура мамандарына қатысты австралиялық зерттеу бірнеше ұйымдардың қоғамдық AI құралдарын тек рұқсат етілген нұсқаны ұсына бастағаннан кейін ғана бұғаттағанын анықтады, бұл тәсілді авторлар «алдымен алмастыру» деп атады. «Егер сіз оларға құралдарды бермесеңіз, олар құралдарды табудың жолын табады», - деді бір қатысушы. Бұлтты қауіпсіздік провайдерінің зерттеу бөлімі Netskope Threat Labs қаржылық қызметтерді тұтынушылары арасында жеке AI тіркелгісін пайдалану ресми шешімдермен 76%-дан 36%-ға дейін төмендегенін, ал бекітілген пайдалану 33%-дан 79%-ға дейін өскенін хабарлады.
• Арнайы дайындалған оқыту опцияларының ауқымын ұсыныңыз. Австралия үкіметінің Copilot сынағында оқытудың үш немесе одан да көп түрін алған адамдардың төрттен үші бұл құралды пайдалануға сенімді болды, бұл бір оқыту түрін алғандардан 28 пайыздық тармаққа жоғары. BCG сауалнамасы ешқандай оқыту алмаған қызметкерлердің 18%-ы тұрақты AI пайдаланушылары болғанын анықтады, ал бес-он сағаттық нұсқаулық, бетпе-бет сеанстар мен коучинг алғандардың 82%-ы тұрақты пайдаланушы болған. Қызметкерлердің тек 36%-ы ғана AI оқытуына көңілі толатынын айтып, оны тым қысқа немесе үстірт деп атады.
• Құралды қазірдің өзінде қалайтын адамдардан бастаңыз. Сол кезде 250 адамдық IK Partners жеке капитал фирмасының IT диреторы болған Питер Такер (Peter Tucker) 190 ChatGPT Enterprise пайдаланушысына қол жеткізу үшін ешқандай міндеттемесі жоқ сұранысқа негізделген стратегияны қолданды. Ол 250 қызметкердің уақытын қалай үнемдей алатынын көріп, ішкі жақтаушыларға айналған 20 еріктінен бастады. Ол адамдар жұмыс істейтін құралдармен, соның ішінде Exchange, Egnyte және Notion қызметтерімен коннекторлар құрды. Және ол фирманың 250 қызметкерінің 120-сы қатысқан деректер ғалымымен ерікті сеанстар өткізді. BBVA компаниясы өзінің құрамын shadow AI-ге анағұрлым қауіпсіз балама ретінде көрсете отырып, 250 басшыға, соның ішінде бас директорына оқыту өткізу арқылы 3 300 лицензиядан 11 000 лицензияға дейін өсті.

Қорытынды

Қызметкерлер компания берген құралдарды айналып өткенде, бұл сол құралдардың қай жерден жетіспейтінін дәл көрсетеді. Оларға тыйым салу бұл ақпаратты жасырады. Shadow AI қолданысы ең аз компаниялар жақсы құрал ұсынады, қызметкерлер әйтпесе өздері таңдайтын құралды таңдайды және қалған shadow қолданысты әлі де жетіспейтін мүмкіндіктер тізімі ретінде қабылдайды.

Perplexity қалай көмектесе алады

Perplexity Enterprise компанияларға әкімшілер қоса алатын жұмыс тіркелгісіне кіру мүмкіндігі бар; IT бөлімі рұқсат еткен нәрселерді ғана көруге арналған рөлдік рұқсаттарды; пайдаланушы енгізген деректер, агент қадамдары мен жауаптар бойынша аудит журналдарын; AI модельдерін оқыту үшін ешқашан пайдаланылмайтын компания ақпаратын; кез келген адам клиентке бермес бұрын деректі тексере алуы үшін әрбір жауапта оның көздеріне сілтемелерді ұсынатын, қызметкерлер өз еркімен таңдайтын қауіпсіз құралды береді. Ал Comet for Enterprise браузері компанияда бұрыннан бар қауіпсіздік стандарттары мен бақылау шараларын сақтайды.

Жиі қойылатын сұрақтар

Өз білместігіммен shadow AI пайдаланып жатқанымды қалай білуге болады?

AI құралының компанияның бекітілген тізімінде бар-жоғын тексеріңіз. Браузер кеңейтімдері, жазба жасау құралдары және автоматты AI мүмкіндіктері — бәрі есепке алынады, ал саясатты бұзатын адамдардың көбі мұны тіпті түсінбейді.

Жеке AI құралына маңызды деректерді енгізіп жіберсем, не істеуім керек?

Дәл сол күні IT немесе қауіпсіздік тобындағы біреуге хабарлаңыз және не бөліскенін нақты айтыңыз. Компаниялар мен соттар дереу, ерікті түрде ашуды жасырудан басқаша қабылдайды, ал іс жүзіндегі залал әдетте қол жеткізуді қаншалықты тез жоюға және тіркелгі деректерін өзгертуге болатынына байланысты болады.

Әріптесіңіз жиналысқа AI жазба жасау құралын әкелсе, не істеу керек?

Әңгіме басталар алдында сұраңыз, өйткені бір қатысушының таңдауы барлығын жазып алады. Жазуға келісім беру ережелері штатқа байланысты өзгереді және тек ұйымдастырушыны емес, қоңыраудағы әрбір адамды қамтиды, сондықтан ертерек айтыңыз немесе маңызды бөліктерін жазбауды сұраңыз.

Бекітілген AI құралын ұсыну shadow AI-дің жоғалып кетуіне әкеле ме?

Жоқ, және бірнеше сенімді зерттеулер бекітілген құрал іске қосылғанға дейін және одан кейін пайдалануды тікелей өлшейді. Тиімді санкцияланған құралдар сыртқа шығудың ең үлкен себептерінің бірін жояды, бірақ адамдардың белгілі бір бөлігі әрқашан екеуін де пайдалануды жалғастыра береді және бұл сигналды жазалаудың орнына назар аударған жөн.

Менеджер тәртіп бұзу мәселесін құралмен байланысты мәселеден қалай ажырата алады?

Адамдардың не нәрсеге қол созатынын және не үшін екенін қараңыз. Егер бұл шұғыл шешім нақты уақытты үнемдесе, бұл бекітілген құралдың не жетіспейтінін көрсетеді. Ең тиімді шешім — ол олқылықты жою. Жасыру әдетте жаман ниетті емес, салдарынан қорқуды білдіреді.