Egyre több vállalatnál jelenik meg a „shadow AI”, vagyis a dolgozók által saját kezdeményezésre használt mesterséges intelligencia(AI). A jelenség egyszerre javíthatja a hatékonyságot, és jelenthet komoly adatbiztonsági kockázatot, ezért a szakértők szerint a tiltás helyett inkább átlátható vállalati keretekre van szükség. A kihívás ugyanis már nem az, hogy használják-e a dolgozók az AI-t, hanem hogy a vállalat is tud-e róla.
A mesterséges intelligencia ma már sok munkahelyen a napi feladatok része. A dolgozók szöveget írnak vele, adatokat elemeznek, fordítanak, prezentációkat készítenek vagy programkódot generálnak. Csakhogy ezek az AI-eszközök gyakran nem a vállalat hivatalos informatikai környezetének részei, hanem a munkavállalók saját döntése alapján kerülnek be a napi munkába.
A szakértők ezt a jelenséget shadow AI-nak nevezik. Lényege, hogy a szervezetnek nincs pontos rálátása arra, milyen AI-eszközöket használnak a dolgozók, milyen adatokat töltenek fel ezekbe a rendszerekbe, illetve mi történik ezekkel az információkkal később. Ezek lehetnek nyilvános chatbotok, AI-alapú fordítóprogramok, prezentációkészítők vagy kódgeneráló alkalmazások.
Ez nemcsak informatikai, hanem üzleti és adatvédelmi kockázatokat is felvethet. A fő kockázat ugyanakkor nem maga az eszköz, hanem az, hogy a vállalat nem tudja, milyen adatok kerülnek ezekbe a rendszerekbe.
Az AI gyorsabban terjed, mint a vállalati szabályozás
A jelenséget több nemzetközi felmérés is alátámasztja. A McKinsey kutatása szerint a szervezetek 88 százaléka már legalább egy üzleti területen alkalmaz mesterséges intelligenciát. A KPMG felmérése szerint a munkavállalók 58 százaléka napi szinten használ AI-eszközöket, ugyanakkor 44 százalékuk ezt a vállalati irányelvekkel részben vagy teljesen ellentétes módon teszi. Még beszédesebb adat, hogy a dolgozók közel fele már érzékeny vállalati információt vagy szellemi tulajdont is feltöltött nyilvános AI-platformokra.
Miközben az AI használata rohamosan terjed, a belső szabályozás sok szervezetnél nem tart lépést ezzel. A KPMG szerint a munkavállalók alig több mint négytizede dolgozik olyan cégnél, ahol már létezik hivatalos generatív AI-iránymutatás, míg az ISACA európai felmérése alapján a vállalatok mindössze mintegy harmada rendelkezik átfogó AI-szabályzattal.
Nem az AI a legnagyobb probléma, hanem a láthatatlanság
Az Atos szakértői szerint sok vállalat ott követi el az első hibát, hogy az AI-stratégiát önmagában elegendőnek tekinti. Valójában a biztonsági kihívások jelentős része csak akkor jelenik meg, amikor a mesterséges intelligencia már beépül a napi működésbe.
A legkorábbi és egyben legveszélyesebb szakasz a szakemberek szerint az, amikor a munkatársak saját kezdeményezésre kezdenek AI-eszközöket használni. Ilyenkor a vállalat gyakran nem tudja, milyen alkalmazások futnak, milyen adatok hagyják el a szervezetet, illetve hogyan használják fel azokat. A legnagyobb kockázat ezért nem maga a technológia, hanem az, hogy az AI-használat gyakorlatilag láthatatlan marad.
Az Atos szerint a következő lépés nem újabb AI-eszközök bevezetése, hanem a meglévő környezet feltérképezése. A szervezetnek tudnia kell, milyen rendszereket használnak a dolgozók, milyen adatkapcsolatok jönnek létre, kik férnek hozzá az egyes alkalmazásokhoz, és hogyan mozognak az információk a vállalati infrastruktúrán belül. Csak ezután lehet valódi szabályozást és biztonsági kontrollt kialakítani.
Az AI már önmagában is támadási felület lehet
Az AI elterjedésével új típusú kibertámadások is megjelentek. Ilyen például a prompt injection, amikor egy látszólag ártalmatlan dokumentumba vagy adatforrásba olyan rejtett utasítás kerül, amelyet a mesterséges intelligencia végrehajtandó parancsként értelmez.
Az Atos szerint az ilyen helyzetek ellen már nem elegendő a hagyományos informatikai védelem. Szükség van az AI működésének folyamatos ellenőrzésére, az utasítások és adatok elkülönítésére, valamint olyan folyamatokra, ahol a kritikus műveletek előtt továbbra is emberi jóváhagyás szükséges.
A tiltás helyett biztonságos keretekre van szükség
A SUSE szakértői úgy vélik, hogy a shadow AI hosszú távon nem szüntethető meg egyszerű tiltásokkal. A dolgozók ugyanis éppen azért fordulnak ezekhez az eszközökhöz, mert gyorsabban és hatékonyabban szeretnék elvégezni a munkájukat.
Ezért sokkal célszerűbb olyan AI-környezetet kialakítani, amely átlátható, auditálható, és lehetővé teszi, hogy a szervezetek saját szabályaik szerint használják a mesterséges intelligenciát. Ez különösen azokban az iparágakban fontos, ahol érzékeny üzleti adatokkal, ügyfélinformációkkal vagy szellemi tulajdonnal dolgoznak.
A következő nagy feladat már nem az AI bevezetése
A vállalatok többségénél ma már nem az a kérdés, hogy megjelenik-e a mesterséges intelligencia a napi munkában, hanem az, hogy képesek-e átlátni és biztonságosan irányítani annak használatát. A shadow AI ugyanis nem elsősorban technológiai probléma, hanem annak a jele, hogy a munkavállalók gyorsabban alkalmazkodnak az új eszközökhöz, mint ahogyan a vállalati szabályozás követni tudja őket.
