Niekontrolowana sztuczna inteligencja w firmach. Koszty Shadow AI mogą sięgać milionów dolarów
Zjawisko Shadow AI, czyli korzystanie z nieautoryzowanych narzędzi sztucznej inteligencji, staje się realnym zagrożeniem dla bezpieczeństwa firm. W Polsce co piąty pracownik udostępnił algorytmom wrażliwe dane, co zwiększa koszty wycieków i naraża biznes na straty liczone w milionach dolarów.
Wykorzystywanie przez pracowników narzędzi takich jak ChatGPT czy Gemini poza kontrolą działów IT tworzy lukę w systemach bezpieczeństwa. Jak wynika z dostępnych danych, aż 78% użytkowników AI na świecie korzysta w pracy z własnych, nieautoryzowanych rozwiązań. W polskim środowisku biznesowym 19% zatrudnionych przyznaje się do przekazywania sztucznej inteligencji poufnych informacji firmowych. Problem ten wynika często z braku oficjalnych wytycznych w organizacjach, co skłania pracowników do optymalizacji zadań na własną rękę.
Kamil Sadkowski, analityk cyberzagrożeń w firmie ESET, zwraca uwagę, że korzystanie z publicznych modeli AI bez subskrypcji biznesowych sprawia, że dane takie jak raporty czy kody źródłowe mogą służyć do trenowania publicznych algorytmów. Według eksperta sytuacja jest krytyczna, ponieważ organizacje nie są w stanie chronić zasobów, których przepływ nie jest monitorowany, co prowadzi do utraty kontroli nad własnością intelektualną.
Finansowe skutki braku kontroli
Brak nadzoru nad nowymi technologiami ma wymierny wpływ na budżety przedsiębiorstw. Jak podaje IBM, w ubiegłym roku 20% organizacji doświadczyło naruszenia bezpieczeństwa bezpośrednio powiązanego z zjawiskiem Shadow AI. W firmach, gdzie skala niekontrolowanego użycia tych narzędzi jest wysoka, średni koszt wycieku danych rośnie o około 670 tysięcy dolarów. Straty mogą być jednak wyższe, jeśli niezweryfikowane modele zostaną użyte do podejmowania kluczowych decyzji biznesowych lub tworzenia produktów obarczonych błędami.
Kolejnym wyzwaniem są kwestie prawne i zgodność z regulacjami o ochronie danych osobowych. Przetwarzanie informacji w modelach publicznych bez odpowiednich umów powierzenia stanowi naruszenie zasad RODO, co naraża firmy na wysokie kary administracyjne. Dodatkowym zagrożeniem są fałszywe aplikacje, które podszywają się pod narzędzia AI, a w rzeczywistości służą do kradzieży haseł lub szpiegowania użytkowników. Obecnie jedynie 53% polskich pracowników deklaruje znajomość firmowych zasad bezpieczeństwa cyfrowego.
Strategia zamiast zakazów
Eksperci wskazują, że proste blokowanie dostępu do narzędzi AI nie jest skutecznym rozwiązaniem. Zamiast restrykcji, organizacje powinny skupić się na zrozumieniu procesów, które pracownicy chcą usprawnić, i zaproponowaniu im bezpiecznych, zautoryzowanych alternatyw. Kluczowe jest wdrożenie jasnych wytycznych oraz regularny audyt dostawców pod kątem standardów ochrony danych.
Istotnym elementem ochrony jest również monitorowanie sieci w czasie rzeczywistym, co pozwala identyfikować nieautoryzowane oprogramowanie, zanim dojdzie do incydentu. Kamil Sadkowski podkreśla, że tempo rozwoju technologii nie zwalnia z obowiązku stosowania zasad bezpieczeństwa, zwłaszcza przy wdrażaniu autonomicznych agentów AI, którzy mogą zyskać dostęp do wrażliwych baz danych. Odpowiedzialnością liderów IT jest stworzenie ram, w których sztuczna inteligencja będzie wspierać wzrost firmy bez generowania niekontrolowanego ryzyka.
