Shadow AI: ce este, ce riscuri aduce în companii și cum poate fi gestionat

Pe măsură ce inteligența artificială devine parte din activitatea profesională, companiile se confruntă cu o nouă provocare: utilizarea instrumentelor AI în afara cadrului oficial. Deși poate crește productivitatea, utilizarea necontrolată a instrumentelor AI poate crea riscuri importante pentru companii, mai ales în ceea ce privește protecția datelor, confidențialitatea informațiilor și securitatea cibernetică. 

Ce este Shadow AI? 

Shadow AI se referă la utilizarea instrumentelor de inteligență artificială de către angajați fără aprobarea, monitorizarea sau integrarea oficială din partea departamentelor IT, juridic sau de securitate. Fenomenul apare atunci când echipele folosesc aplicații precum chatboți, generatoare de text, instrumente de analiză sau automatizare AI pentru a lucra mai rapid, dar fără politici clare privind datele, confidențialitatea și riscurile operaționale.  

Pe scurt, Shadow AI se referă la folosirea instrumentelor de inteligență artificială de către angajați fără aprobarea sau supravegherea formală a departamentului IT. 

Shadow AI poate include:

• chatboți AI folosiți pentru redactarea de emailuri sau documente;
• instrumente AI pentru analizarea fișierelor interne;
• aplicații AI pentru generarea de cod;
• platforme AI pentru automatizarea sarcinilor repetitive;
• tool-uri AI pentru creare de conținut, imagini sau prezentări. 

De ce apare Shadow AI în companii? 

Shadow AI apare, de cele mai multe ori, dintr-o nevoie reală de eficiență. Angajații descoperă instrumente de inteligență artificială care îi ajută să lucreze mai rapid, să reducă sarcinile repetitive sau să găsească soluții într-un timp mai scurt. Problema apare atunci când aceste instrumente sunt folosite fără aprobarea companiei, fără reguli clare și fără ca echipele responsabile de IT, securitate sau conformitate să știe ce date sunt introduse în ele. 

Shadow AI apare și atunci când politicile interne nu țin pasul cu ritmul tehnologiei. În multe companii, angajații adoptă instrumente AI înainte ca organizația să definească ce este permis, ce este interzis și ce tipuri de date pot fi folosite. Lipsa unei politici clare nu oprește neapărat utilizarea AI, ci o împinge într-o zonă informală, greu de monitorizat. 

Cele mai frecvente cauze ale Shadow AI sunt:

• dorința angajaților de a lucra mai rapid și mai eficient;
• accesul ușor la instrumente AI gratuite sau ieftine;
• lipsa unei politici interne privind utilizarea AI;
• absența unor tool-uri AI aprobate de companie;
• procesele interne lente de aprobare a noilor tehnologii;
• lipsa trainingului privind riscurile AI;
• neclaritatea legată de ce date pot fi introduse în aplicații AI;
• presiunea pentru productivitate și rezultate rapide.

Exemple de Shadow AI în activitatea de zi cu zi 

Exemplele de mai jos arată cum se poate manifesta acest fenomen în activitatea de zi cu zi și ce riscuri poate aduce pentru companie. 

Principalele riscuri ale Shadow AI

Utilizarea necontrolată a instrumentelor AI poate părea, la început, o soluție rapidă pentru creșterea productivității. Totuși, atunci când angajații introduc informații interne în aplicații neaprobate, compania poate pierde vizibilitatea asupra datelor, proceselor și deciziilor generate cu ajutorul AI. Principalele riscuri apar în zone precum securitatea datelor, confidențialitatea informațiilor, conformitatea legală și calitatea rezultatelor folosite în activitatea de business.

Situații în care riscurile cresc:

• sunt folosite date personale, financiare sau confidențiale;
•  angajații introduc documente interne în instrumente AI neaprobate;
•  rezultatele generate de AI nu sunt verificate de un om;
• compania nu are o politică internă privind utilizarea AI;
• nu există un proces clar de aprobare pentru tool-uri AI noi.

Cum pot companiile identifica utilizarea necontrolată a AI?

Pentru a gestiona corect utilizarea AI în companie, primul pas este identificarea modului în care angajații folosesc deja aceste instrumente. De multe ori, aplicațiile AI sunt adoptate informal, la nivel de echipă sau individual, fără ca departamentele responsabile să aibă vizibilitate asupra lor. Companiile pot identifica utilizarea necontrolată a AI prin:

• sondaje interne anonime, pentru a înțelege ce instrumente AI folosesc angajații și în ce scopuri;
• discuții cu echipele, pentru a afla unde există nevoi reale de automatizare, analiză sau generare de conținut;
• audituri IT periodice, care pot evidenția aplicațiile, extensiile sau platformele externe folosite în activitatea zilnică;
• analizarea fluxurilor de date, pentru a vedea dacă informații interne sunt introduse în platforme externe;
• verificarea abonamentelor și a achizițiilor software, inclusiv tool-uri plătite individual sau la nivel de echipă;
• colaborarea dintre IT, legal, HR și management, pentru a identifica zonele în care folosirea AI poate crea riscuri;
• monitorizarea accesului la aplicații externe, mai ales atunci când acestea procesează documente, date personale sau informații confidențiale;
• evaluarea proceselor repetitive, deoarece acestea sunt adesea primele zone în care angajații caută soluții AI pe cont propriu;
• crearea unui canal intern de raportare sau recomandare, unde angajații pot propune instrumente AI pe care le folosesc sau ar vrea să le folosească.

Scopul acestor metode nu ar trebui să fie sancționarea angajaților, ci obținerea unei imagini clare asupra modului în care AI-ul este deja folosit în organizație. 

Ce ar trebui să includă o politică internă de utilizare AI?

O politică internă de utilizare AI ar trebui să ofere angajaților reguli clare, ușor de înțeles și aplicabile în activitatea de zi cu zi. Scopul ei nu este să blocheze folosirea inteligenței artificiale, ci să stabilească un cadru sigur prin care compania poate beneficia de AI fără a expune date, procese sau decizii importante.

O astfel de politică ar trebui să includă:

• instrumentele AI aprobate de companie, astfel încât angajații să știe ce aplicații pot folosi în mod oficial;
• scopurile permise de utilizare, de exemplu redactare, brainstorming, analiză, automatizare sau suport în documentare;
• tipurile de date care pot fi folosite în aplicații AI, cum ar fi informații publice, date anonimizate sau materiale fără caracter confidențial;
• tipurile de date interzise, precum date personale, informații financiare, documente confidențiale, cod proprietar, contracte sau date despre clienți;
• reguli privind confidențialitatea și securitatea datelor, pentru a preveni introducerea informațiilor sensibile în instrumente externe neaprobate;
• procedura de aprobare pentru tool-uri AI noi, astfel încât angajații să poată propune instrumente utile fără să le folosească informal;
• responsabilitățile angajaților, inclusiv obligația de a verifica rezultatele generate de AI înainte de a le folosi;
• reguli privind validarea umană, mai ales pentru decizii importante, documente oficiale, comunicări externe sau analize de business;
• cerințe privind transparența, adică situațiile în care angajații trebuie să menționeze că au folosit AI;
• recomandări pentru prompturi sigure, astfel încât angajații să știe cum să formuleze cereri fără să includă date sensibile;
• reguli pentru utilizarea AI în relația cu clienții, mai ales în customer support, vânzări, marketing sau comunicare;
• măsuri de training și educare, pentru ca angajații să înțeleagă atât beneficiile, cât și riscurile utilizării AI;
• procesul de raportare a incidentelor, în cazul în care date sensibile au fost introduse accidental într-un instrument AI;
• revizuirea periodică a politicii, deoarece instrumentele AI, riscurile și reglementările se schimbă rapid.

Recomandări pentru angajați: cum să folosești AI în siguranță 

Pentru a folosi AI în siguranță, angajații ar trebui să:

• folosească doar instrumente AI aprobate de companie;
• nu introducă date personale sau confidențiale;
• evite încărcarea contractelor, rapoartelor sau documentelor interne;
• anonimizeze informațiile înainte de a le folosi în AI;
• nu introducă date despre clienți, angajați sau parteneri;
• verifice întotdeauna răspunsurile generate de AI;
• nu ia decizii importante doar pe baza AI;
• respecte politica internă de utilizare AI;
• ceară aprobarea înainte de a folosi un tool AI nou;
• raporteze rapid orice incident sau utilizare greșită;
• folosească prompturi simple, fără informații sensibile.

O regulă simplă: dacă o informație nu ar trebui trimisă în afara companiei, nu ar trebui introdusă nici într-un instrument AI neaprobat.

Întrebări frecvente despre Shadow AI

Ce înseamnă Shadow AI?

Shadow AI înseamnă folosirea instrumentelor de inteligență artificială de către angajați fără aprobarea sau monitorizarea companiei.

De ce apare Shadow AI în companii?

Apare deoarece angajații vor să lucreze mai rapid, iar instrumentele AI sunt ușor de accesat și de folosit.

Este Shadow AI un risc pentru companii?

Da. Poate expune compania la riscuri legate de date sensibile, confidențialitate, securitate și conformitate legală.

Ce tipuri de date nu ar trebui introduse în instrumente AI?

Nu ar trebui introduse date personale, informații confidențiale, contracte, rapoarte financiare, cod intern sau date despre clienți.

Cum pot companiile preveni Shadow AI?

Prin politici clare, training pentru angajați, instrumente AI aprobate și reguli privind folosirea datelor.

Mic dicționar de termeni

De la utilizarea AI la protejarea datelor: rolul cybersecurity în companii ,

Utilizarea necontrolată a instrumentelor AI poate expune companiile la riscuri de securitate, mai ales atunci când angajații introduc date sau documente interne în aplicații neaprobate. De aceea, subiectul Shadow AI este strâns legat de cybersecurity, protecția datelor și prevenirea incidentelor digitale. La NewTech Academy, cursul de IT & Cybersecurity te ajută să înțelegi cum funcționează sistemele IT și cum pot fi protejate în fața riscurilor moderne.
👉 Descoperă cursul de Securitate Cibernetică și înscrie-te AICI.