Shadow AI
Shadow AI to wszystkie narzędzia sztucznej inteligencji używane w organizacji bez wiedzy IT, bezpieczeństwa i compliance. To jeden z największych, ale najczęściej niedoszacowanych obszarów ryzyka AI Governance.
Czym jest Shadow AI?
Shadow AI to wszystkie zastosowania sztucznej inteligencji w organizacji, które odbywają się poza oficjalnym nadzorem — czyli bez wiedzy działu IT, bezpieczeństwa informacji, compliance i prawnego.
To bezpośredni odpowiednik znanego od lat zjawiska Shadow IT, ale o znacząco większej skali ryzyka, bo o ile w Shadow IT często potrzebna jest "jako taka" wiedza techniczne, tak Shadow AI jest dla każdego ;)
No bo przecież każdy może zainstalować sobie ChatGPT, Gemini czy cokolwiek innego i wrzucić tam np. dane osobowe klientów czy nasze tajemnice przedsiębiorstwa.
Dlatego mam dla Was "instrukcję" JAK ZACZĄĆ SIĘ ZABEZPIECZAĆ, bo ten proces nigdy się nie kończy. Jest to coś na co musimy zwracać uwagę nieustannie, ale zanim do tego przejdziemy to jeszcze jedno!
Najczęstsze formy Shadow AI
- Darmowe chatboty GenAI (ChatGPT, Gemini, Claude, Copiloty) używane do zadań służbowych z osobistych kont.
- Wtyczki do przeglądarek z funkcjami AI — translatory (DeepL to też ryzyko!), rozwiązania do podsumowywania contentu).
- Rozszerzenia do IDE generujące kod i pozwalające na pracę nad nim, a nawet integracje (Copilot, Cursor, Codeium) z dostępem do prywatnego repozytorium.
- Generatory grafik i wideo zasilane treściami marketingowymi i materiałami klientów lub zdjęciami pracowników.
- Asystenci spotkań (np. Notion, Teams) podpinani do Zooma/Teams/Meet bez wiedzy uczestników.
- Automatyzacje typu no-code/low-code (Make, n8n, Zapier, Replit) wysyłające dane do zewnętrnzych LLM.
- Agenci instalowane ad hoc w narzędziach (CRM, ERP, e-commerce).
No więc przejdźmy do rzeczy
Shadow AI „czerpie garściami” z powszechnego zjawiska korzystania z nieautoryzowanych narzędzi przez pracowników organizacji. Wszyscy mamy świadomość tej powszechności, ale zazwyczaj przymykamy na to oko lub nie mamy odpowiednich mechanizmów „naprawy”.
W rezultacie nasza organizacja znajduje się w stanie permanentnego „napięcia” i ryzyka, które mogą nieoczekiwanie się zmaterializować. O ile korzystanie z bardziej zaawansowanych rozwiązań IT wymagać może większych kompetencji technicznych, o tyle narzędzia AI, jak asystenci (NotebookLM, ChatGPT, Claude) i systemy multiagentowe, zazwyczaj są po prostu… proste.
Ta prostota i obietnica szybkiej nagrody w postaci wykonanej (za nas) pracy powoduje, że coraz więcej pracowników korzysta z tych narzędzi nie tylko dla swoich potrzeb, ale także po to, aby skrócić czas na realizację obowiązków służbowych.
No bo skoro kolega czy koleżanka z pokoju korzysta, to czemu ja nie mogę?
I tu dochodzimy do ważnego momentu naszej „rozmowy”, czyli decyzji właśnie o tym „MOGĘ”. W wielu organizacjach jesteśmy dopiero na początku drogi do zrozumienia, że nie o „NIE MOGĘ” chodzi, ale o „MOGĘ” w ściśle określonych ramach. Zakazywanie wszystkiego nie doprowadzi do tego, że uchronimy się przed ryzykami. Taka natura ludzka. Nawet dla eksperymentu, który może zakończyć się bolesną lekcją.
Pracuję z wieloma organizacjami. Zarówno z tymi, które mają nad sobą „regulacyjny bicz”, jak i tymi, które po prostu dużo przetwarzają, ale także i tymi, które nie „widzą żadnych przeszkód, bo ich biznes jest bezpieczny”. Są więc też różne podejścia. Są takie, w których mamy politykę „no go” i pełen zakres ograniczeń – przysłowiowy „ban”. Są takie, które kształtują swoją politykę korzystania z narzędzi AI, ale na dość dużym poziomie ogólności i takie, które podchodzą do tego jako ważnej części budowania ich AI Governance, czyli swoistych szyn, po których pędzi pociąg z napisem „AI”.
Przejdźmy jednak do rzeczy. Co powinieneś zrobić jako osoba odpowiedzialna za obszar AI w organizacji?
nakreśl swoją strategię w zakresie wykorzystywania AI; musisz wiedzieć, gdzie płyniesz, a nie dryfować po wodach, które nie zawsze są dobrze rozpoznane i raczej nieprzewidywalne,
określ politykę, która jest „wykonalna” i nie stanowi absolutnego zakazu wszystkiego, ale racjonalne podejście do wykorzystywania narzędzi AI – jasne, nie możesz pozwolić na „wrzucanie” tajemnic przedsiębiorstwa, know-how czy danych osobowych klientów do „AI”, ale jest kilka opcji co może poprawić jakość pracy i nie narażać nas na ryzyka, a dodatkowo musimy „uczulić” ludzi na ograniczenia AI,
zakomunikuj tę politykę w odpowiedni sposób – daj wyraźny sygnał, że idziecie do przodu, ale w określonych i bezpiecznych ramach; uwzględnij sposób w jaki ludzie przyswajają wiedzę, np. jedni wolą „papier”, inni prezentację, a jeszcze inni mogą chcieć krótkiego „shorta” (wideo), które rozjaśni im „o co chodzi”,
monitoruj, bo każda polityka bez nadzoru jest tylko papierem; wyciągaj wnioski z niewłaściwego jej stosowania i w egzekwuj; nie chodzi o strach, ale o zapewnienie spójnego podejścia do AI,
wykorzystaj to, że ludzie korzystają z narzędzi AI do szukania innowacji i obszarów, w których można wprowadzić zmiany w samych procesach; stwórz kanał komunikacji do zbierania uwag, które potem przekujesz w dodatkową wartość.
Czy to brzmi sensownie?
To nie jest łatwa droga, bo wymaga ona, abyśmy zaakceptowali fakt występowania ryzyka i konieczność nim zarządzania na wielu poziomach organizacji. To jednak jedyna sensowna droga, jeżeli nie chcemy wypaść z obiegu i pozostać innowacyjni (a kto wie czy to nie będzie po prostu „new normal”).
To oczywiście nie wszystko, ale dajcie mi chwilę, żebym rozszerzył wątek!
Chcesz uporządkować Shadow AI w swojej organizacji?
Pomogę przeprowadzić inwentaryzację narzędzi, zaprojektować politykę dopuszczonych aplikacji i wdrożyć monitoring oraz program edukacyjny.
Shadow AI - niezarządzane systemy AI
Shadow AI to narzędzia AI używane poza wiedzą IT. Jak je wykrywać, mierzyć ryzyko i wprowadzać kontrolę bez blokowania innowacji.
Aktualizacja: