Sztuczna inteligencja na dobre weszła do biur. Problem w tym, że w wielu organizacjach zrobiła to tylnymi drzwiami. Pracownicy korzystają z narzędzi generatywnej AI poza wiedzą działów IT, a zjawisko „shadow AI” zaczyna być jednym z najpoważniejszych ryzyk operacyjnych dla firm.
Skala jest znacząca, bo globalnie 78 proc. użytkowników AI przyznaje, że w pracy korzysta z własnych narzędzi (dane z raportu Microsoft). W Polsce niemal co piąty pracownik (19 proc.) udostępnił sztucznej inteligencji wrażliwe dane firmowe. To połączenie braku nadzoru i przesyłania poufnych informacji tworzy realną lukę w bezpieczeństwie.
Próżnia decyzyjna sprzyja „szarej strefie”
Jak działa shadow AI? Pracownicy dostrzegają, że ChatGPT, Gemini czy Claude pozwalają szybciej pisać raporty, analizować dane czy tworzyć kod. Organizacje z kolei często zwlekają z wdrożeniem jasnych polityk i bezpiecznych, autoryzowanych rozwiązań. W efekcie powstaje próżnia, którą użytkownicy wypełniają samodzielnie – motywowani chęcią zwiększenia efektywności i skrócenia czasu pracy.
– Z punktu widzenia bezpieczeństwa biznesowego sytuacja jest krytyczna, ponieważ żadna organizacja nie jest w stanie skutecznie chronić zasobów, których przepływu nie monitoruje. Korzystanie z publicznych modeli AI bez wykupionej subskrypcji biznesowej sprawia, że poufne raporty, strategie czy kody źródłowe mogą zostać wykorzystane do trenowania publicznych algorytmów. W praktyce może to oznaczać bezpowrotną utratę kontroli nad własnością intelektualną firmy i newralgicznymi danymi – mówi Kamil Sadkowski, analityk cyberzagrożeń ESET.
W praktyce oznacza to, że dane firmowe trafiają do systemów, nad którymi przedsiębiorstwo nie ma żadnej kontroli – ani prawnej, ani technologicznej.
AI ukryta w przeglądarce
Shadow AI to nie tylko popularne aplikacje. To także rozszerzenia do przeglądarek i nowe funkcje w znanym oprogramowaniu biznesowym. Pracownik aktywuje opcję „pomoc AI”, często nie zastanawiając się, gdzie i w jaki sposób przetwarzane są dane.
Kolejnym wyzwaniem są agenci AI. To autonomiczne systemy, które wykonują złożone zadania w imieniu człowieka, mogą uzyskiwać dostęp do baz danych i samodzielnie podejmować działania. Bez odpowiednich barier bezpieczeństwa skutki takich operacji mogą zostać zauważone dopiero wtedy, gdy szkoda już się wydarzy.
– Tempo rozwoju AI jest bezprecedensowe, ale nie może ono zwalniać nas z obowiązku stosowania zasad bezpieczeństwa. Udostępnienie służbowych wiadomości i skrzynek e-mail autonomicznej technologii zawsze wiąże się z ryzykiem. Jeśli nie rozumiemy w pełni tych mechanizmów, wchodzimy w erę, w której efektywność przedkładana jest nad bezpieczeństwo i prywatność. Środowisko AI musi być szczelne nie tylko w momencie wdrożenia, ale i w przyszłości, bo cyberprzestępcy będą nieustannie szukać luk w nowych systemach – mówi Kamil Sadkowski.
RODO i ryzyko kar
Każde zapytanie wpisane do publicznego modelu może oznaczać przekazanie danych na zewnętrzne serwery. Te z kolei często są zlokalizowane poza Unią Europejską, więc nie spełniają unijnych standardów ochrony prywatności. Z perspektywy RODO to sytuacja wysokiego ryzyka. Brak audytu dostawcy AI i odpowiednich umów powierzenia przetwarzania danych może oznaczać naruszenie przepisów, a w konsekwencji wysokie kary finansowe.
Dodatkowo pracownicy często nie odróżniają bezpiecznych narzędzi od złośliwych aplikacji podszywających się pod GenAI. Tymczasem tylko 53 proc. polskich pracowników uważa, że dobrze zna obowiązujące w ich firmach zasady bezpieczeństwa cyfrowego. To oznacza, że niemal połowa może nieświadomie zainstalować złośliwe oprogramowanie.
Milionowe koszty wycieku
Ryzyko ma wymiar finansowy i wizerunkowy. Według danych IBM 20 proc. organizacji doświadczyło w ubiegłym roku naruszenia bezpieczeństwa związanego z shadow AI. W firmach z wysokim poziomem niekontrolowanego użycia AI średni koszt wycieku danych rośnie o dodatkowe 670 tys. dolarów.
Co więcej, nieautoryzowane użycie AI do generowania kodu może wprowadzić krytyczne błędy do produktów. Natomiast decyzje biznesowe oparte na niezweryfikowanych analizach mogą przynieść straty, które ujawnią się dopiero po czasie.
Strategia zamiast zakazów
Eksperci podkreślają, że całkowite blokowanie dostępu do AI nie rozwiąże problemu. Pracownicy i tak będą szukać narzędzi, które zwiększają ich efektywność, dlatego kluczem jest stworzenie bezpiecznych, autoryzowanych alternatyw.
Odzyskanie kontroli wymaga kilku elementów. Pierwszy to jasne wytyczne dotyczące korzystania z AI, dopasowane do profilu działalności firmy i przyjętej strategii bezpieczeństwa. Drugim filarem jest weryfikacja dostawców pod kątem zgodności z regulacjami.
Równie ważna jest też edukacja pracowników, by pokazać, jakie konsekwencje niesie za sobą zjawisko shadow AI. Trzeba również wykorzystywać narzędzia i rozwiązania do monitorowania ruchu sieciowego w czasie rzeczywistym, co ułatwi pracę działowi IT.
Shadow AI nie jest chwilową modą. To efekt tempa innowacji, które wyprzedza procesy decyzyjne w organizacjach. Rolą liderów IT nie jest więc budowanie murów wokół nowych technologii, lecz stworzenie takich ram, w których sztuczna inteligencja stanie się narzędziem wzrostu, a nie źródłem niekontrolowanego ryzyka.
Przeczytaj także:
- Piątkowe L4, poniedziałkowy chaos. Zwolnienia wsteczne dezorganizują pracę firm
- DSA miało wzmocnić ochronę. Tymczasem 24 tys. Polaków walczy o swoją reputację w sieci
- Ustawa o działalności kosmicznej przyjęta. Polska porządkuje sektor space
