Jeszcze niedawno największym problemem działów bezpieczeństwa było tzw. Shadow IT. Pracownicy instalowali aplikacje, korzystali z prywatnych dysków w chmurze i przesyłali firmowe dokumenty poza firmowe środowisko. Dziś ten sam problem wraca w nowej odsłonie. Nazywa się Shadow AI i rozwija się znacznie szybciej niż większość organizacji jest w stanie go zauważyć.
Najbardziej niepokojące jest to, że Shadow AI nie zaczyna się od cyberprzestępcy ani zaawansowanego ataku. Zaczyna się od pracownika, który chce szybciej wykonać zadanie. Wkleja reklamację klienta do chatbota, prosi o streszczenie raportu, analizę CV kandydata albo przygotowanie odpowiedzi na skargę. Z jego perspektywy to oszczędność czasu. Z perspektywy organizacji może być to niekontrolowane przekazanie danych osobowych, informacji poufnych lub tajemnicy przedsiębiorstwa do zewnętrznego systemu.
To właśnie dlatego największe ryzyko związane ze sztuczną inteligencją bardzo często nie znajduje się w modelu, lecz w sposobie jego wykorzystania.
AI jest wszędzie. Governance często nie ma nigdzie
Wiele organizacji posiada już polityki bezpieczeństwa, procedury obsługi incydentów, zarządzania dostępami czy ochrony danych osobowych. Znacznie rzadziej posiada jednak zasady korzystania ze sztucznej inteligencji. W efekcie pracownicy samodzielnie decydują, kiedy użyć AI, jakie dane do niej przesłać i które narzędzia uznać za bezpieczne.
Problem polega na tym, że organizacja często nie wie, że takie procesy w ogóle istnieją. W rejestrach nie ma informacji o wykorzystywanych chatbotach, ocena ryzyka nie obejmuje nowych zastosowań, a procedury nie nadążają za rzeczywistością. Powstaje luka, której nie widać na diagramach procesowych, ale która może mieć ogromne znaczenie podczas audytu, kontroli lub incydentu bezpieczeństwa.
„To tylko prompt” może być najdroższym zdaniem w organizacji
Jednym z najbardziej niebezpiecznych mitów jest przekonanie, że prompt nie zawiera danych. W praktyce prompty bardzo często zawierają imiona i nazwiska klientów, informacje o szkodach, numery polis, treść korespondencji, dane finansowe, a czasem nawet dokumentację medyczną.
Pracownik nie myśli o tym jak o przekazywaniu danych osobowych. Myśli o wykonaniu zadania. Chce szybciej przygotować odpowiedź dla klienta albo przeanalizować problem zgłoszony przez kontrahenta. To właśnie dlatego Shadow AI rozwija się tak dynamicznie. Nie jest wynikiem złej woli, lecz chęci zwiększenia efektywności.
Problem pojawia się wtedy, gdy nikt nie potrafi odpowiedzieć na podstawowe pytania. Gdzie trafiły dane? Jak długo są przechowywane? Czy służą do trenowania modeli? Kto ma do nich dostęp? Czy można je usunąć?
Jeżeli organizacja nie zna odpowiedzi na te pytania, nie ma kontroli nad procesem.
Dlaczego zakazy nie działają
Naturalną reakcją wielu organizacji jest próba całkowitego zakazania korzystania z AI. W praktyce takie podejście rzadko przynosi oczekiwane efekty. Pracownicy nadal szukają sposobów na szybszą realizację zadań. Jeżeli nie otrzymają zatwierdzonych narzędzi, znajdą własne rozwiązania. To właśnie wtedy Shadow AI zaczyna rozwijać się poza kontrolą organizacji.
Znacznie skuteczniejsze okazuje się stworzenie jasnych zasad. Pracownik powinien wiedzieć, z jakich narzędzi może korzystać, jakie dane można przetwarzać, kiedy konieczna jest konsultacja i jakie działania są niedopuszczalne. Bez takich reguł nawet najlepszy system bezpieczeństwa nie będzie skuteczny.
Jak rozpoznać, że Shadow AI już działa
Wiele organizacji jest przekonanych, że problem ich nie dotyczy. Tymczasem wystarczy zadać kilka prostych pytań.
Czy pracownicy korzystają z AI do przygotowywania treści? Dokonują analizy dokumentów? Czy tłumaczą korespondencję? Wykorzystują chatboty do podsumowywania informacji? Czy kopiują wyniki AI do dokumentów służbowych?
Jeżeli odpowiedź na którekolwiek z tych pytań brzmi „tak”, warto sprawdzić, czy organizacja faktycznie kontroluje ten proces. Najczęściej okazuje się, że wykorzystanie sztucznej inteligencji jest znacznie większe, niż wynika to z dokumentacji.
Największy problem pojawia się wtedy, gdy wszystko działa
Paradoksalnie największym zagrożeniem nie są spektakularne awarie ani głośne wycieki danych. Największym problemem jest sytuacja, w której AI działa skutecznie i zwiększa efektywność pracy. To właśnie wtedy pracownicy zaczynają korzystać z niej coraz częściej. Bez procedur, bez oceny ryzyka i bez świadomości konsekwencji.
Dlatego organizacje powinny postrzegać sztuczną inteligencję nie jako kolejne narzędzie IT, ale jako zmianę sposobu pracy. Taka zmiana wymaga nadzoru, zasad i odpowiedzialności. Bo największe ryzyko związane z AI bardzo rzadko siedzi w samym modelu… najczęściej siedzi po drugiej stronie klawiatury.
analiza bezpieczeństwa analiza ryzyka aplikacje i programy bezpieczeństwo informacji compliance cyberbezpieczeństwo cyberzagrożenia definicje inżynieria bezpieczeństwa kariera ochrona danych OSINT podstawowe narzędzia sieciowe protokoły ryzyko ICT teoria sieci testowanie typowe ataki ubezpieczenia usługi sieciowe wiadomości windows zadania zarządzanie i regulacje zarządzanie ryzykiem zarządzenia i regulacje zasady bezpieczeństwa