Shadow AI w firmach: jak pracownicy omijają bezpieczeństwo

Pracownicy coraz częściej wykorzystują niezatwierdzane narzędzia sztucznej inteligencji w codziennej pracy, omijając kontrolę działów IT i cyberbezpieczeństwa — zjawisko określane mianem shadow AI stanowi rosnące zagrożenie dla bezpieczeństwa danych w przedsiębiorstwach.

Skala problemu: co pokazują dane?

Badanie Komprise „AI, Data & Enterprise Risk”, przytaczane przez firmę Fortinet zajmującą się bezpieczeństwem komputerowym, ujawnia alarmujące liczby. 43 proc. dużych przedsiębiorstw odnotowało przypadki ujawnienia danych firmowych lub osobowych w rozwiązaniach sztucznej inteligencji, a 90 proc. liderów IT obawia się ryzyka wynikającego z nieautoryzowanego korzystania z AI. Te statystyki pokazują, że problem nie jest marginalny — dotyka znacznej części korporacyjnego świata.

Zjawisko shadow AI różni się fundamentalnie od znanego od lat shadow IT (nieautoryzowanego oprogramowania). Problem polega na tym, że wiele systemów AI nie tylko odbiera przesyłane dane, ale również je analizuje, przekształca i — w zależności od modelu oraz dostawcy — przechowuje lub wykorzystuje do dalszego uczenia. Pracownicy, chcąc przyspieszyć swoje zadania, udostępniają wrażliwe informacje firmowe zewnętrznym serwisom bez wiedzy pracodawców, co prowadzi do utraty kontroli nad danymi o znaczeniu strategicznym.

Dlaczego pracownicy sięgają po nieautoryzowane narzędzia AI?

Odpowiedź jest prosta: efektywność. Publicznie dostępne narzędzia generatywnej AI rzeczywiście usprawnią wykonywanie codziennych zadań. Administratorzy systemów zakładają, że mają pełną kontrolę nad swoim środowiskiem cyfrowym, jednak pracownicy często omijają zabezpieczenia, aby usprawnić pracę. Klasyczne mechanizmy ochronne nie zostały zaprojektowane z myślą o monitorowaniu interakcji z narzędziami AI, dlatego wiele z nich pozostaje całkowicie niewidoczna dla działów IT.

Jak komentuje Joanna Chmielak, Enterprise Sales Manager w Fortinet: „Administratorzy w przedsiębiorstwach zakładają, że mają pełną kontrolę nad swoim środowiskiem cyfrowym. W rzeczywistości pracownicy często omijają zabezpieczenia, sięgając po publicznie dostępne narzędzia generatywnej AI, aby usprawnić sobie wykonywanie codziennych zadań”.

Czy zakazać pracownikom AI? Eksperci mówią: to błąd

Intuicyjną odpowiedzią na zagrożenie byłoby wprowadzenie całkowitego zakazu korzystania z narzędzi AI w pracy. Eksperci jednak ostrzegają, że takie podejście może być kontrskuteczne. Zamiast tego rekomendują skupienie się na zasadach odpowiedzialnego korzystania z AI.

Nikola Małecka, specjalistka ds. learning & employer branding w SmartLunch, wyjaśnia: „Równie ważne jest jasne wyjaśnienie ograniczeń związanych z tą technologią: zasad dotyczących ochrony danych osobowych, poufności informacji firmowych, weryfikacji treści generowanych przez narzędzia czy po prostu odpowiedzialności za sposób ich wykorzystania. Ta komunikacja musi zachować zdrową równowagę, bo nie chodzi o to, żeby stworzyć listę samych zakazów”.

Bartosz Szczęsny, country HR director w Accenture w Polsce, dodaje ważne rozróżnienie: „Jeśli pracownik działał bez odpowiedniej wiedzy lub w sytuacji niejasnych procedur, organizacja powinna potraktować to jako sygnał do wzmocnienia edukacji. Jeżeli natomiast zasady były znane, a mimo to zostały celowo ominięte, mamy do czynienia z naruszeniem zaufania i standardów odpowiedzialnego wykorzystania AI”. Najbardziej efektywne podejście łączy kulturę uczenia się z jasną odpowiedzialnością.

Transformacja ról zawodowych: nowa rzeczywistość na rynku pracy

Rosnące zagrożenia związane z shadow AI wymuszają na firmach przygotowanie się do zmian kadrowych. Dane z globalnego badania Fortinet pokazują, że:

Wskaźnik	Procent respondentów
Oczekiwany wzrost zapotrzebowania na specjalistów nadzorujących systemy AI w ciągu 3 lat	63%
Organizacje przewidujące konieczność tworzenia nowych stanowisk związanych z AI	49%
Firmy planujące przekwalifikowanie lub podniesienie kompetencji obecnych pracowników	57%
Liderzy IT mający trudności z pozyskaniem specjalistów cyberbezpieczeństwa z doświadczeniem w AI	60%
Zarządy rozumiejące problem niedoboru kadr w cyberbezpieczeństwie	50%

Szczególnie krytyczne jest, że 60 proc. liderów IT ma trudności z pozyskaniem specjalistów ds. cyberbezpieczeństwa, którzy mają doświadczenie w obszarze AI. Rynek pracownika w tej dziedzinie jest skrajnie wymagający, a firmy nie mogą polegać wyłącznie na rekrutacji ekspertów z zewnątrz.

Co to oznacza dla firm?

Przedsiębiorstwa muszą zmienić strategię. Zamiast czekać na pojawienie się specjalistów AI na rynku pracy, kluczowe staje się intensywne szkolenie wewnętrzne. Firmy powinny inwestować w przekwalifikowanie obecnych administratorów i inżynierów, aby potrafili rozpoznawać anomalie w ruchu AI i sprawnie zarządzać regułami polityki dostępu.

Joanna Chmielak z Fortinet zauważa, że przedsiębiorstwa coraz częściej postrzegają zarządzanie sztuczną inteligencją jako element szerszego ładu korporacyjnego, a nie wyłącznie zagadnienie techniczne. Blisko dwie trzecie respondentów badania Fortinet przewiduje wzrost zapotrzebowania na specjalistów odpowiedzialnych za nadzór nad wykorzystaniem AI w ciągu najbliższych trzech lat.

Ochrona danych w dobie upowszechnienia się systemów AI wymusza na zespołach ds. bezpieczeństwa nabycie zupełnie nowych umiejętności. To nie jest już tylko problem techniczny — to wyzwanie organizacyjne, edukacyjne i strategiczne.