A munkahelyi mesterséges intelligencia eszközök használata mára mindennapossá vált, ám egy veszélyes jelenség terjed a vállalatoknál: az árnyék-MI (Shadow AI). Ez azt jelenti, hogy a dolgozók engedély nélkül, a cég IT részlegének tudta nélkül használnak MI-alapú megoldásokat – chatbotokat, kódolási asszisztenseket vagy nagy nyelvi modelleket. Az UpGuard friss felmérése megdöbbentő eredményt hozott: a munkavállalók több mint 80%-a használ nem engedélyezett MI eszközöket munkája során.
A munkahelyi Shadow AI használat veszélye
A helyzet pikantériája, hogy pont azok használják a legtöbbet az engedélyezetlen eszközöket, akiknek a biztonsági kockázatokat kellene kezelniük. A biztonsági szakemberek 90%-a beismerte, hogy jogosulatlan MI-t használ, és közülük sokkal többen teszik ezt rendszeresebben, mint az átlagdolgozók. A felsővezetők pedig szintén az élen járnak: bár az alsó és középszintű dolgozók használják a legtöbbször összességében az árnyék-MI-t, a rendszeres használatban a vezetők viszik a prímet.
Az igazán aggasztó fordulat az, hogy a dolgozók egynegyede már jobban megbízik az MI eszközeiben, mint a kollégáiban vagy akár a keresőmotorokban. Ez a bizalom különösen magas a gyártásban, a pénzügyekben és az egészségügyben dolgozók körében. Az UpGuard kutatása szerint minél inkább megbízik valaki az MI-ben mint információforrásban, annál valószínűbb, hogy rendszeresen használ árnyék-MI eszközöket.
Miért veszélyes ez a gyakorlat?
Az árnyék-MI (Shadow AI) több szempontból is komoly fenyegetést jelent a vállalatok számára. Az IBM 2025-ös jelentése szerint az MI-hez kapcsolódó adatszivárgások átlagosan több mint 650 ezer dollár kárt okoznak vállalatoknak incidensenként. Amikor egy dolgozó például személyes GitHub Copilot előfizetését használja vállalati kód írására, tudtán kívül olyan információáramlást hoz létre, amely teljesen kikerüli a monitoring rendszereket.
A vállalati adatok és szellemi tulajdon könnyen szivároghatnak ki, ha a dolgozók bizalmas információkat osztanak meg külső MI-szolgáltatásokkal. Ezek az eszközök ugyanis nincsenek tesztelve, nem felelnek meg az adatvédelmi keretrendszereknek – mint például a NIST MI Kockázatkezelési Keretrendszere vagy az EU MI-törvénye –, és védtelenek a kiberfenyegetésekkel szemben is.
További probléma, hogy a nem engedélyezett eszközök gyakran hamis vagy pontatlan válaszokat adnak, úgynevezett hallucinációkat vagy elfogult eredményeket produkálnak.
A tudás paradoxona
Az UpGuard kutatása egy különösen érdekes összefüggést tárt fel: minél inkább úgy érzi valaki, hogy érti az MI biztonsági kockázatait, annál nagyobb valószínűséggel használ nem engedélyezett eszközöket. Ez azt jelenti, hogy ahogy növekszik a dolgozók tudása az MI-ről, úgy nő a magabiztosságuk is abban, hogy saját belátásuk szerint kezelik a kockázatokat – a vállalati szabályzat ellenére.
A dolgozók kevesebb mint fele ismeri és érti a cége MI-használati szabályzatát, miközben 70%-uk már szemtanúja volt annak, hogy kollégák érzékeny adatokat osztottak meg MI eszközökkel. A biztonsági vezetők körében ez az arány még magasabb. Ajelenség minden iparágban és minden céges osztályon jelen van, bár a marketing és értékesítési csapatok használják valamivel gyakrabban ezeket az eszközöket.
Mit tehetnek a vállalatok?
A probléma kezelésére szakértők szerint nem elegendő a hagyományos biztonsági tudatosítási tréning. Alex Mathew szerint a vállalatoknak átfogó MI-irányítási keretet kell kiépíteniük, amely rendszeres auditálást, világos szabályzatokat és kultúraépítést egyaránt tartalmaz.
- Az első lépés egy átfogó leltár készítése a vállalaton belül használt MI eszközökről – akár engedélyezettek, akár nem. Ehhez olyan technológiák használhatók, mint az adatvesztés-megelőző rendszerek vagy a biztonsági információkezelő eszközök.
- Ezt követően létre kell hozni egy hivatalos katalógust a jóváhagyott, tesztelt MI megoldásokról.
A dolgozók képzése kulcsfontosságú, de ez már nem lehet egyszerű jelszóhigiéniai tréning. A World Economic Forum 2025-ös jelentése hangsúlyozza, hogy az alkalmazottaknak meg kell érteniük az etikai szempontokat, az adatvédelmi kérdéseket és a szabályozási követelményeket is.
Az MI-irányítás nem lehet egyedül az IT-osztály feladata. Keresztfunkcionális csapatokra van szükség, amelyben az IT, a jogi és compliance osztály, a HR és a kiberbiztonsági szakértők együtt dolgoznak. Ezeket a csapatokat be kell integrálni a meglévő vállalati kockázatkezelési keretrendszerbe, hogy folyamatos monitoring és gyors alkalmazkodás váljon lehetővé.
A vállalatok számára az árnyék-MI kezelése már nem opció, hanem létszükséglet. Bár a szervezetek 26%-a fejleszt innovatív MI-megoldásokat, csak 4%-uk ér el megfelelő megtérülést – nagyrészt azért, mert az ellenőrizetlen eszközhasználat biztonsági réseket és megfelelési problémákat okoz. Aki most nem lép, az nemcsak pénzügyi veszteségeket kockáztat, hanem a vállalati bizalom és hírnév felépítésére fordított évek munkáját is kockára teszi.
