Przewodnik CTO po shadow AI: od niewidzialnego do zarządzanego

czym naprawdę jest shadow AI w firmie z segmentu mid-market

Shadow AI obejmuje kilka odrębnych kanałów, z których każdy zostawia inny ślad, co po części tłumaczy, dlaczego trudno zobaczyć to zjawisko jako całość.

Konta prywatne używane do pracy. Ktoś zakłada konto w konsumenckim narzędziu AI, używając firmowego albo prywatnego maila, i wykorzystuje je do pisania, streszczania, debugowania albo analizowania firmowych materiałów. Nie ma żadnej instalacji. Często nie ma po twojej stronie żadnego śladu. To największy i najcichszy kanał.

Funkcje AI włączone wewnątrz SaaS, który już masz. Twój CRM, helpdesk, pakiet dokumentów, narzędzie projektowe. Wiele z nich w ostatnich dwóch latach dostało funkcje AI, a w wielu przypadkach zostały one włączone domyślnie. Dane, które te funkcje przetwarzają, to twoje dane, przechodzące przez ścieżkę modelu, której nie zatwierdziłeś osobno. Narzędzie było usankcjonowane. Funkcja AI wewnątrz niego nie została zweryfikowana jako osobny byt.

Connectory i asystenci z przyznanym dostępem. Narzędzie AI prosi o połączenie z twoim Google Workspace albo Microsoft 365, żeby czytać pocztę, pliki albo kalendarze. Pracownik klika zatwierdź na standardowym ekranie OAuth. Grant utrzymuje się długo po zakończeniu wersji próbnej. Są widoczne w twoim katalogu, jeśli tam zajrzysz, a większość zespołów nigdy tam nie zagląda.

Narzędzia i rozszerzenia w przeglądarce. Karta przeglądarki albo rozszerzenie, które siedzi w przeglądarce i może czytać treść otwartych stron, przechwytywać wpisywany tekst, a w niektórych konfiguracjach sięgać po tokeny sesji. Rozszerzenia instalują się w kilka sekund i niemal nigdy nie trafiają do inwentarza.

To narasta, bo dla osoby, która to robi, każde dodanie jest racjonalne. Deadline jest blisko, narzędzie pomaga, rejestracja jest darmowa, wartość jest natychmiastowa. Narastanie to suma wielu małych, sensownych decyzji, z których żadna nie trafiła na twoje biurko.

dlaczego zakazy nie działają

Odruchem, gdy shadow AI po raz pierwszy zostaje odnotowane jako ryzyko, jest jego zakazanie. Zablokować domeny. Dodać linijkę do polityki. Poczekać, aż ekspozycja się zmniejszy. Nie zmniejsza się. Zamiast tego dzieją się trzy rzeczy.

Użycie schodzi do podziemia. Narzędzia są naprawdę przydatne, więc ludzie dalej ich używają, tylko przestają ci o tym mówić. Aktywność, która była choć częściowo widoczna, staje się całkowicie niewidoczna. Zostajesz z mniejszą ilością tego, co chciałeś zyskać.

Produktywność dostaje cios, którego nie potrafisz zmierzyć. Praca, która szła szybciej, zwalnia, albo omija blokadę przez prywatne urządzenie czy domową sieć. Koszt jest realny i nie pojawia się w żadnym raporcie.

Tracisz widoczność, której potrzebujesz, żeby zarządzać. Zakaz odbiera ci powód, żeby budować inwentarz, bo oficjalnie nie ma czego inwentaryzować. Dane nadal płyną. Po prostu nie widzisz, dokąd. Ryzyko w shadow AI tkwi w danych, które trafiają do narzędzia, i w dostępie, jaki to narzędzie ma. Zakaz nie robi nic ani z jednym, ani z drugim. Odbiera ci tylko wgląd w oba.

model operacyjny

Cztery ruchy, w tej kolejności. Zobacz, sklasyfikuj, otocz guardrailami, umożliw. Kolejność ma znaczenie. Każdy ruch zależy od poprzedniego.

zobacz

Nie możesz zarządzać tym, czego nie widzisz. Zanim powstanie jakakolwiek polityka, zbuduj obraz tego, co AI jest faktycznie w użyciu. Trzy źródła zaprowadzą cię niemal do celu, a jedno ograniczenie trzyma cię w ryzach.

Katalog. Twój dostawca tożsamości trzyma rejestr grantów OAuth. Pobierz pełną listę i przefiltruj pod kątem aplikacji i connectorów związanych z AI. To ujawnia narzędzia, które poprosiły o dostęp do poczty, plików albo kalendarzy, łącznie z tymi, które nigdy nie zbliżyły się do IT. To pojedyncze źródło o najwyższym zwrocie, bo pokazuje nie tylko to, że narzędzie jest w użyciu, ale też do czego może sięgnąć.

Sygnały OAuth i connectorów szerzej. Poza sztandarowymi aplikacjami AI, spójrz na asystentów i integracje, które łączą dwa systemy. Narzędzie AI spięte z twoim CRM albo hostingiem kodu jest częścią twojej ścieżki danych, nawet jeśli w nazwie nie ma słowa AI.

Krótka ankieta wśród pracowników. Trzy albo cztery pytania, wysłane do całej firmy, wprost pytające, jakich narzędzi AI ludzie używają do pracy i do czego. Bez obwiniania. Ludzie odpowiadają szczerze, gdy ramą jest ciekawość, a nie egzekwowanie, a ankieta dociera do kanału, do którego katalog nie sięga.

Ten ostatni punkt jest tym uczciwym. Duża część shadow AI nie zostawia żadnego śladu w katalogu. Konto prywatne otwarte w przeglądarce, używane do wklejenia akapitu i skopiowania przepisanej wersji, nie dotyka żadnego z twoich systemów w sposób, który da się wyciągnąć z logu. Katalog widzi granty. Nie widzi karty przeglądarki. Właśnie dlatego liczy się ankieta, a pisemna wytyczna liczy się jeszcze bardziej. Dla kanałów, których nie potrafisz monitorować, kontrolą są polityka i wspólne zrozumienie. Dajesz ludziom zasadę, którą rozumieją, i usankcjonowaną alternatywę, z której chętniej skorzystają.

To, co tu budujesz, to inwentarz: lista tego, co naprawdę działa, wraz z dostępem, jaki ma każda pozycja, zebrana z katalogu, sygnałów connectorów i ankiety razem. Ten inwentarz jest wsadem do wszystkiego, co następuje później. Polityka napisana bez niego będzie miała dziury, o których jej autor nawet nie wiedział.

sklasyfikuj

Gdy widzisz już, co jest w użyciu, posegreguj to według danych, których dotyka, i zdecyduj, które narzędzia są dopuszczalne dla jakich danych. Segregacja nie musi być rozbudowana. Musi być na tyle konkretna, żeby pracownik, patrząc na to, co za chwilę wklei, wiedział, czy jest to objęte zasadą. Przydatny zestaw kategorii na start:

• Dane osobowe. Rekordy klientów, dane pracowników, wszystko objęte RODO. Żadne narzędzie w wersji konsumenckiej bez umowy powierzenia.
• Materiały poufne i objęte NDA. Wszystko, co pochodzi z relacji z klientem albo dostawcą i podlega warunkom poufności.
• Kod źródłowy. Kategoria, która najczęściej trafia do zewnętrznego modelu bez świadomej decyzji kogokolwiek.
• Niepubliczne dane finansowe. Prognozy, nieopublikowane wyniki, wszystko wrażliwe cenowo.
• Strategia wewnętrzna. Roadmapy, plany organizacyjne, notatki konkurencyjne.

Na tle tych kategorii decyduj narzędzie po narzędziu. Narzędzie na planie enterprise z wyłączonym trenowaniem i podpisaną umową powierzenia może obsłużyć więcej niż darmowe konto konsumenckie, które wykorzystuje wprowadzane dane do trenowania. Wynikiem tego ruchu jest krótka tabela: które narzędzia są dopuszczalne dla jakich klas danych, z nazwanymi warunkami. Traktuj to jako mapę dopuszczalności, a nie listę zakazów.

guardraile

Mając mapę w ręku, ustaw bariery. Pięć elementów, żaden z nich nie jest ciężki.

Zasada klasyfikacji danych dla AI. Jednostronicowa wersja powyższych kategorii, napisana tak, żeby dało się ją stosować. Zasada, która wykonuje najwięcej roboty, jest tą najprostszą: które klasy danych nigdy nie trafiają do żadnego zewnętrznego narzędzia AI, z prostymi przykładami.

Lista zatwierdzonych narzędzi. Nazwany zestaw narzędzi AI dopuszczonych do pracy, każde ze swoimi warunkami, na przykład wymagany plan enterprise, brak danych osobowych, tylko użytek wewnętrzny. Żywa lista, przeglądana cyklicznie, a nie jednorazowy artefakt.

Ścieżka zgłoszenia i przeglądu. Co robi pracownik, gdy chce narzędzia, którego nie ma na liście. Wskaż, kto odbiera zgłoszenie i jak szybko dostanie odpowiedź, nawet jeśli pierwsza odpowiedź to tylko informacja, że sprawa jest sprawdzana. To zgłoszenia, które giną w kolejce, napędzają nieformalne wdrażanie narzędzi w pierwszej kolejności.

Plany enterprise z klauzulą braku trenowania. Tam, gdzie narzędzie jest naprawdę przydatne, wykup plan biznesowy albo enterprise, zamiast tolerować darmową wersję. To zwykle w planie enterprise wyłącza się trenowanie na wprowadzanych danych i dostępna jest umowa powierzenia. Zatwierdzenie narzędzia bez określenia planu zostawia ekspozycję danych otwartą.

Ściślejsza kontrola nad connectorami AI i ich scope'ami. Granty OAuth znalezione w kroku „zobacz" zasługują na stałą uwagę. Przeglądaj, do czego może sięgnąć każdy connector AI, wybieraj wąskie scope zamiast szerokich i cofaj granty przypisane do narzędzi, które nie są już w użyciu. Connector z szerokim dostępem do odczytu twojej poczty i dysków to stała ścieżka danych, niezależnie od tego, czy ktoś dzisiaj aktywnie używa tego narzędzia.

umożliw

Ostatni ruch jest sensem pierwszych trzech. Pozwól zespołowi szybko działać w ramach guardrailów. Dobrze zrobione zarządzanie umożliwia pewne i szybkie korzystanie z AI, bo ludzie nie muszą już zgadywać, czy dane narzędzie i dana wklejka są dopuszczalne. Wiedzą. Powiedziała im to mapa.

Elementem, który sprawia, że „umożliw" jest realne, są kompetencje AI. Nie długi kurs. Krótkie, jasne wyjaśnienie zasad dotyczących danych i tego, dlaczego istnieją. Zasada mówiąca „nie wklejaj danych osobowych do narzędzi AI" działa lepiej, gdy towarzyszy jej powód. Narzędzia konsumenckie powszechnie wykorzystują wprowadzane dane do trenowania swoich modeli. Dane osobowe wprowadzone bez umowy powierzenia tworzą ekspozycję na naruszenie RODO dla firmy i dla klienta, którego dane to były. Ludzie stosują się do wytycznych, które rozumieją, i podejmują lepsze decyzje na granicznych przypadkach, gdy pojmują mechanizm, a nie tylko zakaz. Celem wszystkich czterech ruchów jest firma, w której użycie AI jest widoczne, sklasyfikowane, otoczone guardrailami i szybkie, w tej właśnie kolejności, a nie firma, w której jest zakazane i niewidoczne.

rytm operacyjny CTO

Model jest tak dobry, jak rytm, który utrzymuje go na bieżąco. Warunki dostawców się zmieniają, funkcje trafiają na produkcję, a granty się dezaktualizują, więc jednorazowy projekt szybko się starzeje. Trzy rzeczy do ustalenia.

Kto to prowadzi. Jeden nazwany właściciel dla inwentarza AI, listy zatwierdzonych narzędzi i ścieżki zgłoszeń. W firmie liczącej od 50 do 500 osób to zwykle Head of IT albo bezpośrednio CTO, czasem dzielony z osobą, która ma bezpieczeństwo w zakresie szerszej roli. Zadaniem jest routing: każde pytanie o AI trafia do tej osoby, nawet gdy samą robotę wykonuje ktoś inny.

Cykl przeglądu. Kwartalne spojrzenie na listę zatwierdzonych narzędzi i inwentarz nadąża za tym, jak szybko zmieniają się narzędzia i warunki, a w firmach tej wielkości zespoły zwykle chętnie przyjmują nowości. Rozciągnij ten odstęp znacznie dłużej, a lista przestanie odpowiadać rzeczywistości.

Jak dodawane są nowe narzędzia. Mechanizmem jest ścieżka zgłoszenia i przeglądu, i działa tylko wtedy, gdy jest szybka i widoczna. Ktoś pyta. Właściciel przepuszcza narzędzie przez pytania weryfikacyjne. Decyzja wraca w określonym oknie czasowym, a narzędzie albo trafia na listę razem ze swoimi warunkami, albo zostaje odrzucone z podanym powodem. Decyzja i powód są zapisywane, co zamienia listę w audit trail, który możesz później pokazać. Ten rytm jest celowo lekki. Nazwany właściciel, kwartalny przegląd i działająca ścieżka zgłoszeń wystarczą, żeby inwentarz był uczciwy, a lista aktualna.

kilka liczb wartych zapamiętania

Te liczby opisują ogólny wzorzec; twój własny obraz powstaje w kroku „zobacz".

• 78% pracowników, którzy używają AI w pracy, przynosi własne, niezatwierdzone narzędzia, wzorzec, który Microsoft nazywa Bring Your Own AI (Microsoft Work Trend Index, 2024). Narzędzia są w użyciu niezależnie od tego, czy zostały zatwierdzone.
• Gdy shadow AI było zamieszane w naruszenie, dodawało średnio 670 000 USD do kosztu incydentu (IBM Cost of a Data Breach, 2025). Dodatkowy koszt wynika bardziej z utraty widoczności niż z samego narzędzia.
• 87% organizacji wskazuje podatności związane z AI jako jeden z najszybciej rosnących niepokojów (World Economic Forum, 2026).

uwaga na temat unijnego AI Act

To kontekst, nie powód do działania. Unijny AI Act oczekuje inwentarza systemów AI w użyciu i nakłada na deployerzy, czyli organizacje korzystające z AI w kontekście zawodowym, obowiązek dotyczący kompetencji AI. Ten obowiązek znajduje się w artykule 4 i obowiązuje od 2 lutego 2025. W praktyce oznacza to, że dwa z czterech powyższych ruchów już realizują to, czego wymaga Akt. Krok „zobacz" to inwentarz. Część dotycząca kompetencji w kroku „umożliw" to właśnie ten obowiązek. Dobre wdrożenie modelu operacyjnego stawia cię niemal w komplecie obowiązków deployera niejako przy okazji, co jest lepszą pozycją niż traktowanie Aktu jako osobnego ćwiczenia z compliance.