„Shadow AI“: kodėl darbuotojai apeina IT ir kas tai baigia

Dirbtinis intelektas dabar yra kasdienio daugelio darbuotojų darbo dalis, dažnai kelis kartus per dieną. Tačiau įrankiai, kuriuos jie renkasi, ne visada yra oficialūs, kuriuos jiems duoda IT.

„Shadow AI“ – tai nesankcionuotų dirbtinio intelekto produktų naudojimas darbe, įskaitant:

• Asmeninis pokalbių robotas
• Dirbtinio intelekto agentai
• Dirbtinio intelekto asistento paskyros

Apie pusę darbuotojų teigia naudoję dirbtinį intelektą būdais, kurie pažeidžia jų organizacijos politiką ir gaires, rodo „KPMG“ apklausa, kurioje dalyvavo daugiau nei 48 000 žmonių 47 šalyse. Dažnai jie įklijuoja neskelbtiną įmonės informaciją į viešus dirbtinio intelekto įrankius.

Sprendimo būdas tapo įspėjimu. „BCG“ apklausa, kurioje dalyvavo daugiau nei 10 000 darbuotojų, vadovų ir lyderių, parodė, kad beveik keturi iš dešimties teigia, jog jų įmonė neteikia tinkamų įrankių.

Darbuotojai naudojasi nesankcionuotais įrankiais, kai jie:

• Normuota
• Apribota
• Blogiau nei tai, ką jie gali gauti patys

Kai patvirtinti įrankiai yra pakankamai geri, daugelis darbuotojų nustoja apeidinėti IT. Pamoka: Dirbtinio intelekto paklausa yra didelė, tačiau „shadow AI“ dažnai yra pasiūlos problemos požymis.

Kas yra „shadow AI“?

„Shadow AI“ reiškia, kad darbuotojai darbe naudoja savo dirbtinio intelekto įrankius, o ne tuos, kuriuos teikia jų organizacija. Tai apima:

• Pokalbių robotai, atsakantys į klausimus
• Agentai, atliekantys įprastas užduotis
• Botai, kurie įrašo ir transkribuoja susitikimus
• Asistentai, susidorojantys su visa darbine rutina

Įrankiai gali prisijungti prie darbo sistemų ir programų. Kai kurie yra atskiri produktai, o kiti yra dirbtinio intelekto funkcijos, įmontuotos į įrankius, įrenginius ir platformas, kurias darbuotojai jau turi, pavyzdžiui, „Copilot“, „Gemini“ ir „Apple Intelligence“.

Saugumo bendrovės „BlackFog“ užsakytos 2,000 darbuotojų apklausos duomenimis, 58 % „shadow AI“ vartotojų teigė pasikliaujantys nemokamomis versijomis, kurioms dažnai trūksta:

• Įmonės lygio saugumas
• Duomenų valdymas
• Privatumo apsauga

daugiausia todėl, kad jie vertino greitį. Vyresnieji vadovai pranešė naudojantys „shadow AI“ beveik du kartus dažniau nei jaunesnysis personalas.

Darbuotojų naudojimą gali būti sunku aptikti. „Cloud Security Alliance“ apklausa parodė, kad:

• 82 % respondentų teigė, kad jų organizacijose jų sistemose veikia nežinomi agentai
• 65 % patyrė su agentais susijusių incidentų, įskaitant duomenų atskleidimą, veiklos sutrikdymą ir finansinius nuostolius

„Shadow AI“ ir „shadow IT“

Pirmiausia atsirado „shadow IT“. Aditya Patel, debesų saugumo specialistas iš AWS, vadina „shadow AI“ jos „maištinguoju pusbroliu“.

„Shadow IT“ apibūdina atvejus, kai darbuotojai apeina įmonės IT pageidaujamus technologijų produktus ir naudoja savus, kartais tyčia, o kartais nežinodami taisyklių. Darbuotojas prisijungia prie asmeninės „Google“, „Dropbox“, „WhatsApp“ arba „Trello“ paskyros žiniatinklio naršyklėje darbiniame įrenginyje arba išsiunčia dokumentą el. paštu asmeniniu adresu, kad pabaigtų namuose.

Nauja „shadow AI“ yra mastas ir atkaklumas. Keletas pavyzdžių:

• Duomenys, įklijuoti į viešą įrankį, gali neribotą laiką pasilikti teikėjo sistemose
• Agentai ir asistentai veikia tol, kol darbuotojas daro kažką kito, darbuodamiesi per programas, el. paštą ir platformas

Tradicinė saugumo stebėjimo programinė įranga nebuvo sukurta tam, kad juos matytų. Naršyklės skirtuko uždarymas nenutraukia darbo, kuris dažnai yra nematomas visiems, išskyrus tą asmenį, kuris pateikė raginimą.

Padidinti

„Shadow AI“ pavyzdžiai darbe

„Shadow AI“ paprastai pasirodo keliose pagrindinėse situacijose:

Kodėl darbuotojai naudoja nesankcionuotą dirbtinį intelektą

Darbuotojai turi daug priežasčių naudoti nesankcionuotą IT.

• Kai kurie susiduria su spaudimu naudoti dirbtinį intelektą, įskaitant prastus veiklos vertinimus arba darbo praradimą, o darbdavių teikiami įrankiai veikia prasčiau nei tie, kuriuos jie naudoja namuose.
• Jie siekia geresnio, kad darbas būtų atliktas tinkamai.
• Kiti mano, kad patvirtintas įrankis atvyksta per lėtai, yra per sudėtingas, per mažai lankstus arba per dažnai klysta.

Intensyvus dirbtinio intelekto naudojimas gali tapti brangus, todėl grupė žinomų įmonių apribojo „tokenmaxxing“ vartotojus. 2026 m. birželį „Uber“ apribojo darbuotojų išlaidas iki 1 500 USD per mėnesį kiekvienam agentiniam kodavimo įrankiui, išleidusi savo metinį dirbtinio intelekto biudžetą per keturis mėnesius.

Normavimas verčia kai kuriuos darbuotojus patiems susimokėti už vartotojų versiją, o ne susidurti su „tokenpokalipse“. Kai kurios iš tų pačių įmonėse, kurios liepia darbuotojams naudoti dirbtinį intelektą, taip pat riboja prieigą prie jo.

Darbuotojai apeina ribas.

• Jie įklijuoja įmonės duomenis į viešą pokalbių robotą, kad parašytų ataskaitą.
• Jie naudoja dirbtinio intelekto asmeninį asistentą arba kodavimo įrankį, kad pagreitintų įprastas užduotis.

Kai kurie tyrėjai tai apibūdina kaip „šešėlinį vartotojų diegimą naujovėse“. („shadow user innovation“) Daugelis darbuotojų nesuvokia, kad pažeidžia įmonės politiką. O tarp darbuotojų, kurie naudojo dirbtinį intelektą nesilaikydami taisyklių, sugaujama tik apie pusę, rodo „PagerDuty“ apklausa.

Kas gali nutikti blogai su „shadow AI“

Rizika skirstoma į bent penkias grupes:

1. Saugumo pažeidimai: Nepatvirtintas įrankis gali suteikti užpuolikams kelią į vidines sistemas. Žiniatinklio infrastruktūros teikėja „Vercel“ 2026 m. balandį atskleidė, kad patyrę įsilaužuliai įsiveržė į jos sistemas po to, kai darbuotojas prijungė trečiosios šalies programą iš „Context.ai“ prie įmonės „Google“ paskyros. Užpuolikai pasisavino klientų prisijungimo duomenis, o vėliau pavogti duomenys buvo siūlomi už 2 milijonus dolerių.

2. Intelektinės nuelatyvės nutekėjimas: Nuosavybės teise saugomi duomenys gali palikti įmonės kontroliuojamus serverius vieną kartą įklijus į pokalbių robotą. 2023 m. kovą „Samsung“ darbuotojai įklijavo pirminį kodą ir konfidencialius vidinius nuorašus į „ChatGPT“. Buvo baiminamasi, kad kiti vartotojai galėjo pasiekti duomenis. „Samsung“ uždraudė generatyvaus dirbtinio intelekto įrankius po kelių savaičių.

3. Poveikis reguliavimui: Pažeidimas arba dirbtinio intelekto išgalvotas faktas gali sukelti reguliavimo institucijų dėmesį, baudas ir reputacijos žalą. „CB Financial Services“, „Community Bank“ patronuojanti įmonė, 2026 m. gegužę pateikė „Form 8-K“ Vertybinių popierių ir biržų komisijai, kurioje atskleidė vidinį incidentą, susijusį su jautria klientų informacija naudojant nesankcionuotą dirbtinio intelekto programą. Tai buvo pirmasis žinomas „8-K“, pateiktas reaguojant į „shadow AI“ naudojimą.

4. Teisinės komplikacijos: Konfidencialios informacijos įklijavimas į vartotojų pokalbių robotą gali pakenkti įmonės komercinės thelpas apsaugai. 2026 m. balandžio mėn. sprendimu federalinis teisėjas Kalifornijoje atmetė komercinės thelpas ieškinį „su išankstiniu nusistatymu“, nes ieškovas medžiagą sukūrė naudodamas „ChatGPT“ ir nesiėmė pagrįstų veiksmų jos konfidencialumui užtikrinti. Atskirame sprendime teismas nustatė, kad atsakovų asmeniniai dirbtinio intelekto pokalbių žurnalai nebuvo apsaugoti advokato ir kliento privilegijos ar darbo produkto doktrinos, todėl jie gali būti atskleisti teisme.

5. Privatumas: Susitikimų botai gali įrašyti žmones be jų leidimo arba žinios. Byla JAV apygardos teisme prieš „Otter.ai“ kelia klausimą, ar automatinis užrašų darytojas gali įrašyti dalyvius be visų šalių sutikimo ir ar „Otter“ gali naudoti pokalbius savo modeliui apmokyti. Atskirai 2024 m., tyrėjas Alexas Bilzerianas pasakė „The Washington Post“, kad jis pasitraukė iš sandorio po to, kai „Otter“ jam atsiuntė el. paštu viso susitik kurį jis jau buvo palikęs, nuorašą, kuriame investuotojai aptarė strategines klaidas ir manipuliuojamus metrikus.

Padidinti

Kodėl draudimai žlunga

Įmonės uždraudė tam tikrus dirbtinio intelekto produktus ir vėliau pakeitė nuomonę.

• „Samsung“ uždraudė generatyvaus dirbtinio intelekto įrankius 2023 m. ir visoje įmonėje pritaikė „ChatGPT“, „Gemini“ bei „Claude“ 2026 m.
• „Citigroup“ apribojo „ChatGPT“ 2023 m. ir 2024 m. pristatė savo dirbtinio intelekto įrankius darbuotojams.
• Italijai 2023 m. uždraudus „ChatGPT“, italų programinės įrangos kūrėjų produkcija dvi dienas sumažėjo maždaug per pusę, o vėliau atsistatė, tuo tarpu įrankių, skirtų blokavimui apiti, atsisiuntimai smarkiai išaugo, nustatė du ekonomistai darbiniame dokumente.
• „Reddit“ tinkle tinklo saugumo profesionalas rašė, kad po to, kai įmonė, kurioje jis dirbo, užblokavo „ChatGPT“, darbuotojai perėjo prie dirbtinio intelekto funkcijų patvirtintose įmonės programose, kurių nebuvo galima išjungti.

Draudimai dažnai perkelia darbą į kitas vietas, o ne sustabdo nesankcionuotą dirbtinio intelekto naudojimą.

• Remiantis „KPMG“ apklausa, 67 % darbuotojų, kurie uždraudė viešus dirbtinio intelekto įrankius, teigė įkėlę neskelbtiną arba autorių teisių saugomą medžiagą į įrankį, palyginti su 33 % organizacijose, neturinčiose formalios politikos.
• Tyrimai rodo, kad agresyvus blokavimas nukreipia dirbtinio intelekto naudojimą į asmeninius įrenginius ir apriboja tai, ką organizacija gali matyti.
• Tinklalapio ekrano kopija arba nuotrauka gali įveikti failų valdiklius.

Kaip baigti „shadow AI“ apėjimus

Įmonės, kurios naudoja mažiau „shadow AI“, padaro sankcionuotą kelią lengvesniu. Veiksminga dirbtinio intelekto naudojimo politika, nuolatiniai dirbtinio intelekto raštingumo mokymai, techninės apsaugos priemonės ir atskaitomybė yra pagrindas. Keturios praktikos eina toliau:

• Pasirinkite įrankį, kurį darbuotojai būtų pasirinkę bet kuriuo atveju. „Recon Analytics“ apklausa parodė, kad 68 % darbuotojų, gavusių tik „Copilot“, įvardijo jį kaip savo pagrindinį dirbtinio intelekto įrankį, palyginti su 8 %, kai buvo duoti trys pagrindiniai įrankiai. „Moderna“ vartotojų testavimo metu palygino savo asistentą su „Copilot“ ir „ChatGPT Enterprise“, o tada pasirinko tą, kurį darbuotojai įvertino aukščiausiai.
• Pateikite alternatyvą prieš apribodami sprendimą. Australijos kritinės infrastruktūros specialistų tyrimas parodė, kad kelios organizacijos užblokavo viešuosius dirbtinio intelekto įrankius tik po to, kai pradėjo siūlyti sankcionuotą parinktį – autoriai šį požiūrį pavadino „pirmiausia pakeitimas“. „Jei nesuteiksite jiems įrankių, jie ras būdą gauti įrankius“, – sakė vienas dalyvis. „Netskope Threat Labs“, debesų saugumo teikėjo tyrimų padalinys, pranešė, kad asmeninių dirbtinio intelekto paskyrų naudojimas finansinių paslaugų klientams sumažėjo nuo 76 % iki 36 % su oficialiais sprendimais, o patvirtintas naudojimas išaugo nuo 33 % iki 79 %.
• Pateikite įvairių pritaikytų mokymų parinkčių. Australijos vyriausybės „Copilot“ bandomuoju laikotarpiu trys ketvirtadaliai žmonių, gavusių tris ar daugiau mokymų formų, jautėsi užtikrinti naudodamiesi įrankiu – 28 procentiniais punktais daugiau nei tie, kurie gavo vieną mokymų formą. „BCG“ apklausa parodė, kad 18 % darbuotojų, negavusių jokių mokymų, reguliariai naudojo dirbtinį intelektą, palyginti su 82 % tų, kurie gavo nuo penkių iki dešimties valandų instrukcijų, asmeninių sesijų ir konsultacijų. Tik 36 % darbuotojų teigė esantys patenkinti savo dirbtinio intelekto mokymais, vadindami juos per trumpais arba paviršutiniškais.
• Pradėkite nuo žmonių, kurie jau nori įrankio. Peteris Tuckeris, tuo metu IT direktorius „IK Partners“, 250 darbuotojų turinčioje privataus kapitalo įmonėje, naudojo paklausa pagrįstą strategiją be jokio mandato, kad pasiektų 190 „ChatGPT Enterprise“ vartotojų. Jis pradėjo nuo 20 savanorių, kurie tapo vidaus šalininkais, kai pamatė, kaip tai gali sutaupyti jų laiką. Jis sukūrė jungtis su įrankiais, su kuriais žmonės jau dirbo, įskaitant „Exchange“, „Egnyte“ ir „Notion“. Jis organizavo savanoriškas sesijas su duomenų mokslininku, kuriose dalyvavo 120 iš 250 įmonės darbuotojų. „BBVA“ padidino licencijų skaičių nuo 3 300 iki 11 000, surengdama mokymus 250 vadovų, įskaitant jos generalinį direktorių, pristatydama įmonės įrankį kaip saugesnę alternatyvą „shadow AI“.

Esmė

Kai darbuotojai apeina įrankius, kuriuos jiems duoda įmonė, jie tiksliai parodo, kur šie įrankiai pasirodo esantys netobuli. Jų blokavimas slepia šią informaciją. Įmonės, kurios mažiausiai naudoja „shadow AI“, pateikia gerą įrankį, pasirenka tą, kurį darbuotojai būtų pasirinkę bet kuriuo atveju, ir bet kokį likusį „shadow AI“ naudojimą laiko vis dar trūkstamų funkcijų sąrašu.

Kaip „Perplexity“ gali padėti

„Perplexity Enterprise“ suteikia įmonėms saugų įrankį, kurį darbuotojai renkasi dėl jo privalumų, su darbo paskyros prisijungimu, kurį administratoriai gali užtikrinti; vaidmenimis pagrįstais leidimais, kad žmonės matytų tik tai, ką leidžia IT; audito žurnalu visose vartotojo įvestyse, agento veiksmuose ir atsakymuose; įmonės informacija, kuri niekada nenaudojama dirbtinio intelekto modeliams treniruoti; ir nuorodomis į šaltinius prie kiekvieno atsakymo, kad kiekvienas galėtų patikrinti faktą prieš perduodamas jį klientui. O naršyklė „Comet for Enterprise“ atitinka saugumo standartus ir valdiklius, kuriuos įmonė jau turi.

DUK

Kaip sužinoti, ar aš naudoju „shadow AI“ to nenorėdamas?

Patikrinkite, ar dirbtinio intelekto įrankis yra įmonės patvirtintų sąraše. Naršyklės plėtiniai, užrašų rašymo įrankiai ir automatinės dirbtinio intelekto funkcijos – viskas skaičiuojasi, o dauguma žmonių, kurie pažeidžia politiką, to niekada nesuvokia.

Ką turėčiau daryti, jei įklijavau ką nors jautraus į asmeninį dirbtinio intelekto įrankį?

Praneškite kam nors iš IT arba saugumo komandos tą pačią dieną ir tiksliai pasakykite, kas buvo bendrinta. Įmonės ir teismai greitą, savanorišką atskleidimą vertino kitaip nei slėpimą, o praktinė žala paprastai priklauso nuo toho, kaip greitai galima panaikinti prieigą ir pakeisti prisijungimo duomenis.

Ką daryti, jei bendradarbis į į susitikimą atsineša dirbtinio intelekto užrašų darytoją?

Paklauskite prieš prasidedant pokalbiui, nes vieno dalyvio pasirinkimas įrašo visus. Įrašymo sutikimo taisyklės skiriasi priklausomai nuo valstijos ir apima kiekvieną skambučio dalyvį, o ne tik pagrindinį vartotoją, todėl praneškite anksti arba paprašykite, kad jautrios dalys būtų neperrašomos.

Ar patvirtinto dirbtinio intelekto įrankio suteikimas panaikina „shadow AI“?

Ne, ir nedaugelis patikimų tyrimų tiesiogiai matuoja naudojimą prieš ir po patvirtinto įrankio paleidimo. Veiksmingi sankcionuoti įrankiai pašalina vieną didžiausių priežasčių eiti į lauką, tačiau dalis žmonių visada naudosis abu, ir į šį signalą verta atkreipti dėmesį, o ne bausti.

Kaip vadovas gali atskirti drausmės problemą nuo įrankių problemos?

Pažiūrėkite, ko žmonės siekia ir kodėl. Jei apėjimo būdas sutaupo realaus laiko, jis atskleidžia, ko trūksta patvirtintam įrankiui. Praktiškiausias atsakas – ištaisyti spragą. Slėpimas dažniausiai reiškia pasekmių baimę, o ne blogus ketinimus.