Shadow AI: De ce angajații ocolesc IT-ul și ce o oprește

AI-ul face acum parte din activitatea zilnică a multor angajați, adesea de mai multe ori pe zi. Însă instrumentele la care apelează nu sunt întotdeauna cele oficiale oferite de departamentul IT.

„Shadow AI” reprezintă utilizarea de produse de AI neautorizate la locul de muncă, incluzând:

• Chatbot personal
• Agenți AI
• Conturi de asistenți AI

Aproape jumătate dintre angajați spun că au folosit AI în moduri care încalcă politicile și ghidurile organizației lor, potrivit unui sondaj KPMG efectuat pe mai mult de 48.000 de persoane din 47 de țări. Adesea, ei introduc informații sensibile despre companie în instrumente publice de AI.

Soluția alternativă a devenit un avertisment. Un sondaj realizat de BCG</g2] pe mai mult de 10.000 de angajați, manageri și lideri a arătat că aproape patru din zece spun că firma lor nu le oferă instrumentele potrivite.

Angajații apelează la instrumente neautorizate atunci când:

• Raționalizat
• Plafonat
• Mai slab decât ceea ce pot obține pe cont propriu

Când instrumentele aprobate sunt suficient de bune, majoritatea angajaților nu mai ocolesc departamentul IT. Lecția: Cererea pentru AI este puternică, dar shadow AI este adesea un indiciu al unei probleme de aprovizionare.

Ce este shadow AI?

Shadow AI înseamnă că angajații își folosesc propriile instrumente de AI la locul de muncă în locul celor furnizate de organizație. Aceasta include:

• Chatboți care răspund la întrebări
• Agenți care efectuează sarcini de rutină
• Boți care înregistrează și transcriu ședințe
• Asistenți care rezolvă rutine întregi de lucru

Instrumentele se pot conecta la sisteme și aplicații de la locul de muncă. Unele sunt produse independente, în timp ce altele sunt funcționalități de AI încorporate în instrumente, dispozitive și platforme pe care angajații le au deja, cum ar fi Copilot, Gemini și Apple Intelligence.

Într-un sondaj pe 2.000 de angajați comandat de BlackFog, o companie de securitate, 58% dintre utilizatorii de shadow AI au declarat că s-au bazat pe versiuni gratuite cărora le lipsesc adesea:

• Securitate de nivel enterprise
• Guvernanța datelor
• Protecția confidențialității

în principal pentru că au apreciat viteza. Liderii seniori au raportat că folosesc shadow AI de aproape două ori mai des decât personalul junior.

Utilizarea de către angajați poate fi dificil de detectat. Un sondaj al Cloud Security Alliance a constatat că:

• 82% dintre respondenți au declarat că organizațiile lor aveau agenți necunoscuți care rula pe sistemele lor
• 65% se confruntaseră cu incidente legate de agenți, inclusiv expunerea datelor, întreruperi operaționale și pierderi financiare

Shadow AI vs. shadow IT

Shadow IT a apărut primul. Aditya Patel, specialist în securitate în cloud la AWS, numește shadow AI „vărul său rebel”.

Shadow IT descrie situația în care lucrătorii ocolesc produsele tehnologice preferate de departamentul IT al corporației și le folosesc pe propriile lor, uneori în mod deliberat și alteori fără să cunoască regulile. Un angajat se conectează la un cont personal de Google, Dropbox, WhatsApp sau Trello dintr-un browser web pe un dispozitiv de serviciu sau trimite prin e-mail un document la o adresă personală pentru a-l finaliza acasă.

Ceea ce este nou în cazul shadow AI este amploarea și persistența. Câteva exemple:

• Datele introduse într-un instrument public pot rămâne în sistemele unui furnizor pe termen nelimitat
• Agenții și asistenții continuă să ruleze în timp ce un angajat face altceva, lucrând în paralel în aplicații, e-mailuri și platforme

Software-ul tradițional de monitorizare a securității nu a fost conceput pentru a le detecta. Închiderea unei file de browser nu oprește munca, care este adesea invizibilă pentruorine în afară de persoana care a introdus comanda.

Extinde

Exemple de shadow AI la locul de muncă

Shadow AI apare de obicei în câteva situații cheie:

De ce folosesc angajații AI neautorizat

Angajații au numeroase motive pentru a utiliza soluții IT neautorizate.

• Unii se confruntă cu presiunea de a utiliza AI, inclusiv evaluări slabe ale performanței sau pierderea locului de muncă, în timp ce instrumentele furnizate de angajatorul lor funcționează mai puțin bine decât cele pe care le folosesc acasă.
• Ei apelează la cel mai bun instrument pentru a duce treaba la bun sfârșit în mod corespunzător.
• Alții consideră că instrumentul aprobat durează prea mult să apară, este prea complex, prea puțin flexibil sau greșește prea des.

Utilizarea intensivă a AI-ului poate deveni costisitoare, ceea ce a determinat un număr de companii cunoscute să plafoneze utilizatorii care practică „tokenmaxxing”. În iunie 2026, Uber a plafonat cheltuielile angajaților la 1.500 de dolari pe lună pentru fiecare instrument de programare bazat pe agenți, după ce și-a epuizat bugetul anual pentru AI în patru luni.

Raționalizarea îi împinge pe unii angajați să plătească singuri pentru versiunea destinată consumatorilor, în loc să se confrunte cu un „tokenpocalips”. Unele dintre aceleași companii care le spun angajaților să folosească AI le și controlează strict accesul la acesta.

Angajații găsesc modalități de a ocoli limitele.

• Ei introduc date despre companie într-un chatbot public pentru a redacta un raport.
• Ei folosesc un asistent personal AI sau un instrument de programare pentru a accelera sarcinile de rutină.

Unii cercetători descriu acest fenomen drept „inovație generată de utilizatori din umbră” (shadow user innovation). Mulți angajați nu își dau seama niciodată că încalcă o politică a companiei. Iar dintre angajații care au folosit AI încălcând regulile, doar aproximativ jumătate sunt prinși, conform unui sondaj PagerDuty.

Ce poate merge prost cu shadow AI

Riscurile se împart în cel puțin cinci categorii:

1. Încălcări ale securității: Un instrument neaprobat le poate oferi atacatorilor o cale de acces către sistemele interne. Vercel, un furnizor de infrastructură web, a dezvăluit în aprilie 2026 că hackeri sofisticați i-au spart sistemele după ce un angajat a conectat o aplicație terta de la Context.ai la un cont Google enterprise. Atacatorii au plecat cu datele de autentificare ale clienților, iar datele furate au fost oferite ulterior pentru 2 milioane de dolari.

2. Scurgeri de proprietate intelectuală: Datele proprietare pot ieși de pe serverele controlate de companie printr-o simplă acțiune de tip „copiere-lipire” într-un chatbot. În martie 2023, angajații Samsung au introdus cod sursă și transcrieri interne confidențiale în ChatGPT. Teama a fost că alții ar fi putut obține acces la acele date. Samsung a interzis instrumentele de AI generativ câteva săptămâni mai târziu.

3. Impactul asupra reglementărilor: O breșă de securitate sau o informație inventată de AI poate atrage controverse din partea autorităților de reglementare, amenzi și daune aduse reputației. CB Financial Services, compania mamă a Community Bank, a depus un Formular 8-K în mai 2026 la Comisia pentru Valori Mobiliare și Burse (SEC), în care a dezvăluit un incident intern ce a implicat informații sensibile despre clienți utilizând o aplicație de AI neautorizată. Acesta a fost primul formular 8-K cunoscut depus ca răspuns la utilizarea shadow AI.

4. Complicații juridice: Introducerea de informații confidențiale într-un chatbot pentru consumatori poate periclita protecția secretului comercial al unei companii. Într-o decizie din aprilie 2026, un judecător federal din California a respins o cerere privind secretul comercial „cu prejudecată”, deoarece reclamantul dezvoltase materialul cu ajutorul ChatGPT și nu luase măsuri rezonabile pentru a-l menține confidențial. Într-o hotărâre separată, o instanță a constatat că jurnalele de chat AI personale ale unui pârât nu erau protejate de secretul profesional dintre avocat și client sau de doctrina privind munca efectuată pentru pregătirea unui proces, devenind astfel disponibile pentru descoperire în instanță.

5. Confidențialitate: Un bot de ședințe poate înregistra persoane fără permisiunea sau cunoștința lor. Un caz la Tribunalul Districtual al S.U.A. împotriva Otter.ai întreabă dacă un instrument automat de luat note poate înregistra participanții fără consimțământul tuturor părților și dacă Otter poate folosi conversațiile pentru a-și antrena modelul. Separat, în 2024, cercetătorul Alex Bilzerian i-a declarat publicației The Washington Post că a renunțat la o înțelegere după ce Otter i-a trimis prin e-mail transcrierea completă a unei ședințe pe care o părăsise deja, în care investitorii discutau pași greșiți de strategie și valori manipulate.

Extinde

De ce eșuează interdicțiile

Companiile au interzis anumite produse de AI și apoi și-au schimbat decizia.

• Samsung a interzis instrumentele de AI generativ în 2023 și a adoptat ChatGPT, Gemini și Claude la nivelul întregii companii în 2026.
• Citigroup a restricționat ChatGPT în 2023 și a lansat propriile instrumente de AI pentru angajați în 2024.
• După ce Italia a blocat ChatGPT în 2023, producția dezvoltatorilor de software italieni a scăzut cu aproximativ jumătate timp de două zile și apoi și-a revenit, în timp ce descărcările de instrumente pentru ocolirea blocajului au crescut semnificativ, au descoperit doi economiști într-o lucrare de cercetare.
• Pe Reddit, un specialist în securitatea rețelelor a scris că, după ce compania la care lucra a blocat ChatGPT, angajații au trecut la funcționalitățile de AI din aplicațiile companiei aprobate, care nu au putut fi dezactivate.

Interdicțiile mută adesea munca în alte locuri în loc să oprească utilizarea neautorizată a AI.

• Într-un sondaj realizat de KPMG, 67% dintre angajații din companii care interzic instrumentele publice de AI au declarat că au introdus materiale confidențiale sau protejate de drepturi de autor într-un astfel de instrument, comparativ cu 33% în organizațiile fără o politică formală.
• Blocarea agresivă împinge utilizarea AI-ului către dispozitivele personale și limitează ceea ce poate vedea organizația, arată cercetările.
• O captură de ecran sau o poză a unei pagini web poate învinge controalele bazate pe fișiere.

Cum să opriți metodele alternative de shadow AI

Companiile cu mai puțin shadow AI fac ca calea autorizată să fie cea mai simplă. Politici eficiente de utilizare a AI-ului, instruire continuă privind alfabetizarea digitală în domeniul AI, măsuri tehnice de protecție și responsabilitate umană reprezintă baza. Patru practici merg mai departe:

• Alegeți instrumentul pe care angajații l-ar fi ales oricum. Un sondaj realizat de Recon Analytics a arătat că 68% dintre angajații cărora li s-a oferit doar Copilot l-au numit drept principalul lor instrument de AI, comparativ cu 8% atunci când li s-au oferit trei instrumente majore. Moderna și-a comparat propriul asistent cu Copilot și ChatGPT Enterprise în cadrul unor teste cu utilizatorii, apoi a ales instrumentul pe care angajații l-au cotat cel mai sus.
• Furnizați alternativa înainte de a restricționa soluția ocolitoare. Un studiu australian privind practicienii din infrastructura critică a constatat că mai multe organizații au blocat instrumentele publice de AI abia după ce au început să ofere opțiunea sancționată, o abordare numită de autori „mai întâi substituirea”. „Dacă nu le dați instrumentele, vor găsi o modalitate de a le obține”, a spus un participant. Netskope Threat Labs, brațul de cercetare al furnizorului de securitate în cloud, a raportat că utilizarea conturilor personale de AI la clienții săi din serviciile financiare a scăzut de la 76% la 36% odată cu soluțiile oficiale, în timp ce utilizarea aprobată a crescut de la 33% la 79%.
• Oferiți o gamă de opțiuni de instruire personalizate. În cadrul testului privind Copilot efectuat de guvernul australian, trei sferturi dintre persoanele care au beneficiat de trei sau mai multe forme de instruire s-au simțit în siguranță folosind instrumentul, cu 28 de puncte procentuale peste cele care au primit o singură formă de instruire. Un sondaj realizat de BCG a constatat că 18% dintre angajații care nu au primit nicio instruire erau utilizatori regulați de AI, comparativ cu 82% dintre cei care au beneficiat de între cinci și zece ore de instruire, sesiuni în persoană și coaching. Doar 36% dintre angajați au declarat că sunt mulțumiți de instruirea primită în domeniul AI, considerând-o prea scurtă sau superficială.
• Începeți cu persoanele care își doresc deja un instrument. Peter Tucker, pe atunci director IT la IK Partners, o firmă de capital privat cu 250 de angajați, a folosit o strategie bazată pe cerere, fără niciun mandat, pentru a ajunge la 190 de utilizatori de ChatGPT Enterprise. A început cu 20 de voluntari, care au devenit promotori interni când au văzut cum le poate economisi timp. A construit conectori cu instrumentele cu care oamenii lucrau deja, inclusiv Exchange, Egnyte și Notion. Și a organizat sesiuni voluntare cu un specialist în știința datelor la care au participat 120 dintre cei 250 de angajați ai firmei. BBVA a crescut de la 3.300 de licențe la 11.000, oferind instruire pentru 250 de lideri, inclusiv directorului general (CEO), prezentând instrumentul companiei ca o alternativă mai sigură la shadow AI.

Concluzia

Atunci când angajații ocolesc instrumentele puse la dispoziție de companie, ei arată exact unde acele instrumente dau greș. Blocarea lor ascunde aceste informații. Companiile cu cel mai redus nivel de shadow AI furnizează un instrument bun, îl aleg pe cel pe care angajații l-ar fi ales oricum și tratează orice utilizare „shadow” rămasă drept o listă de funcționalități care încă lipsesc.

Cum vă poate ajuta Perplexity

Perplexity Enterprise oferă companiilor un instrument sigur pe care angajații îl aleg pe merit, cu autentificare prin contul de serviciu pe care administratorii o pot impune; permisiuni bazate pe roluri, astfel încât utilizatorii să vadă doar ceea ce permite departamentul IT; jurnale de audit pentru datele introduse de utilizatori, etapele agenților și răspunsuri; informații despre companie care nu sunt folosite niciodată pentru antrenarea modelelor de AI; și linkuri către sursele acestora pentru fiecare răspuns, astfel încât oricine să poată verifica un fapt înainte de a-l transmite unui client. Iar browserul Comet for Enterprise respectă standardele de securitate și controalele pe care o companie le are deja implementate.

Întrebări frecvente

Cum pot să îți dau seama dacă folosesc shadow AI fără să vreau?

Verificați dacă un instrument de AI se află pe lista aprobată a companiei. Extensiile de browser, instrumentele de luat note și funcțiile automate de AI sunt toate incluse, iar majoritatea celor care încalcă politica nu își dau seama.

Ce ar trebui să fac dacă am introdus ceva confidențial într-un instrument de AI personal?

Informați pe cineva din echipa de IT sau de securitate în aceeași zi și precizați exact ce anume a fost partajat. Companiile și instanțele au tratat divulgarea promptă și voluntară diferit față de ascundere, iar daunele practice depind de obicei de cât de repede poate fi revocat accesul și schimbate datele de autentificare.

Ce se întâmplă dacă un coleg aduce un instrument AI de luat note la o ședință?

Întrebați înainte de începerea conversației, deoarece opțiunea unui participant înregistrează pe toată lumea. Regulile privind consimțământul pentru înregistrare variază în funcție de stat și acoperi toate persoanele dintr-o convorbire, nu doar gazda, așa că exprimați-vă acordul sau dezacordul din timp sau cereți ca porțiunile sensibile să nu fie transcrise.

Faptul că se oferă un instrument de AI aprobat face ca shadow AI să dispară?

Nu, și puține studii fiabile măsoară în mod direct utilizarea înainte și după lansarea unui instrument aprobat. Instrumentele sancționate eficiente elimină unul dintre cele mai mari motive de a ieși în afară, dar o parte dintre oameni vor continua întotdeauna să le folosească pe ambele, iar acest semnal merită luat în considerare în loc să fie pedepsit.

Cum poate un manager să facă diferența între o problemă de disciplină și o problemă legată de instrumente?

Analizați ce anume folosesc oamenii și de ce. Dacă soluția ocolitoare economisește timp real, aceasta arată ce lipsește din instrumentul aprobat. Cel mai practic răspuns este remedierea lipsurilor. Ascunderea semnalează de obicei teama de consecințe, nu rea-intenție.