A cégek hiába próbálják szabályozni az AI használatát, a dolgozók jelentős része már most olyan eszközökkel dolgozik, amelyeket a munkahelye nem hagyott jóvá. A KnowBe4 friss brit kutatása szerint az Egyesült Királyságban a munkavállalók 55 százaléka használ engedély nélküli AI-eszközöket a munkájához, ami komoly adatvédelmi és kiberbiztonsági kockázatot jelenthet. A jelenséget árnyék-AI-nak nevezik, de a KnowBe4 értelmezése szerint itt nem feltétlenül arról van szó, hogy a használat teljesen láthatatlan a vezetés előtt. Inkább arról, hogy az alkalmazottak olyan AI-szolgáltatásokat, chatbotokat, automatizáló eszközöket vagy bővítményeket vetnek be, amelyek nem szerepelnek a cég által jóváhagyott rendszerek között. Vagyis nem biztos, hogy titokban dolgoznak velük, de a vállalatnak nincs felettük megfelelő kontrollja.
A legaggasztóbb adat, hogy a megkérdezettek tizede tudatosan osztott meg érzékeny vállalati információt ilyen engedély nélküli AI-eszközökkel. Ez lehet belső dokumentum, ügyféladat, szerződésrészlet, pénzügyi információ vagy akár forráskód is. A probléma nem az, hogy a dolgozók AI-t használnak, hanem az, hogy sokszor nem tudni, ezek az adatok hová kerülnek, milyen feltételekkel tárolják őket, és felhasználhatják-e őket későbbi modellképzéshez. A cégek egy része tisztában van a veszéllyel, mégsem tűnik felkészültnek. A kutatás szerint a brit kiberbiztonsági döntéshozók 58 százaléka már most az árnyék-AI-t tartja az egyik legnagyobb kockázatnak, de csak 16 százalék gondolja úgy, hogy a saját szervezete hatékonyan kezeli az AI biztonságos használatát. Ez elég nagy rés a felismerés és a tényleges cselekvés között.
A helyzetet tovább bonyolítja, hogy sok munkavállaló nem azért nyúl külső AI-eszközökhöz, mert meg akarja kerülni a szabályokat, hanem mert a céges megoldások nem elég jók vagy nem elég kényelmesek. A válaszadók 27 százaléka azt mondta, időnként saját AI-eszközökkel egészíti ki a munkahelye által biztosított rendszereket, mert azok jobban megfelelnek az adott feladatra. Ez azt jelzi, hogy a tiltás önmagában kevés: ha a biztonságos megoldás lassabb, rosszabb vagy körülményesebb, a dolgozók meg fogják találni a kerülőutat. Külön kockázatot jelentenek az AI-ügynökök, vagyis azok a rendszerek, amelyek már nem csak válaszolnak egy kérdésre, hanem önállóan hajtanak végre lépéseket több munkafolyamatban. A kutatásban a szervezetek 19 százaléka már arról számolt be, hogy náluk ilyen AI-ügynökök korlátozott emberi felügyelet mellett végeznek műveleteket. Ha ezek nincsenek megfelelően szabályozva, egy rossz döntés, hibás automatizmus vagy félreértett utasítás sokkal nagyobb kárt okozhat, mint egy egyszerű chatbotválasz.
A KnowBe4 vezető biztonsági szakértője, Javvad Malik szerint a brit cégek egyszerre próbálják kihasználni az AI termelékenységi előnyeit és kezelni azokat a fenyegetéseket, amelyek közben egyre kifinomultabbá válnak. Ide tartoznak a deepfake-ek, az AI-val megtámogatott adathalász támadások és azok a helyzetek is, amikor a dolgozók a nyomás miatt gyors, de nem biztonságos eszközökhöz fordulnak.
A megoldás nem az AI teljes tiltása lenne, mert az a gyakorlatban valószínűleg csak még több rejtett használathoz vezetne. A cégeknek inkább világos szabályokra, könnyen használható jóváhagyott eszközökre, oktatásra és olyan biztonsági kontrollokra van szükségük, amelyek nem bénítják meg a munkát. Ha a hivatalos AI-eszköz ugyanúgy gyors és kényelmes, mint a kockázatos alternatíva, a dolgozók sokkal kisebb eséllyel fognak saját megoldásokat keresni.
A kutatás alapján az árnyék-AI ma nagyjából ugyanazt a szerepet tölti be, mint évekkel ezelőtt az árnyék-IT: a dolgozók nem várják meg, amíg a vállalat minden új igényre szabályos megoldást ad, hanem használni kezdik azt, ami működik. A különbség az, hogy az AI-ba betöltött adatokból sokkal gyorsabban lehet bizalmas információ, jogi probléma vagy reputációs kár. A cégeknek ezért nem az a kérdésük, hogy használják-e az alkalmazottak az AI-t, hanem az, hogy látják-e, mit használnak, mire és milyen adatokkal.
