A „shadow AI” kifejezés arra a jelenségre utal, amikor munkavállalók cégen belül, a munkáltató ellenőrzése nélkül használnak generatív mesterséges intelligencia-eszközöket, például ChatGPT-t, Geminit vagy Claude-ot. Ezek az alkalmazások gyors és hatékony segítséget adnak a mindennapi munkavégzésben, ezért sok dolgozó önállóan kezdi el beépíteni őket a folyamataiba. Magyarországon a jelenség gyorsan terjed, miközben a vállalati szabályozás gyakran elmarad.
Komoly, de gyakran láthatatlan kockázatok
A shadow AI egyik fő veszélye, hogy a szervezetnek nincs rálátása arra, mikor és milyen eszközöket használnak a munkatársak, és milyen adatokat osztanak meg ezekkel az eszközökkel. Béres Péter, a Sicontact Kft. IT-vezetője rámutat: „A shadow AI egyik legnagyobb veszélye, hogy a szervezetnek nincs rálátása arra, mikor és milyen eszközöket használnak a munkatársak, és milyen adatokat osztanak meg velük. Így akár üzletileg kritikus információk is kikerülhetnek a vállalat kontrollja alól.”
A kockázat nem csak elméleti: 2023-ban a Samsung mérnökei belső vállalati dokumentumokat és bizalmas forráskódot töltöttek fel a ChatGPT-be a munkafolyamatok felgyorsítása és tesztelési célból, ami adatszivárgáshoz vezetett. Az adatok külső szerverekre kerültek, ahonnan a vállalatnak gyakorlatilag nem volt módja visszaszerezni vagy eltávolíttatni az érzékeny tartalmakat; ennek hatására a Samsung megtiltotta munkavállalóinak a ChatGPT használatát. Hasonlóan az Amazon is korlátozásokat vezetett be, miután AI-válaszokban véltek felfedezni saját, bizalmas adataikra emlékeztető tartalmakat.
A Sicontact / ESET-kutatás eredményei
A hazai piac egyik szereplője, a Sicontact Kft. — amely az ESET termékeket forgalmazza Magyarországon — úttörő kutatást végzett, amely elsőként kapcsolja össze a mesterséges intelligenciát, az IT-biztonságot és a mentális egészséget vállalati környezetben. A „MI a baj? mesterséges intelligencia, IT-biztonság és mentális egészség” című, ingyenesen letölthető iparági riport rávilágít, hogy a shadow AI gyorsan terjed, miközben a vállalatok jelentős része nincs felkészülve az alkalmazások kezelésére.
A felmérés szerint a válaszadók 75%-a úgy látja, hogy túl könnyelműen osztunk meg adatokat az AI-val, és 63% gondolja úgy, hogy az emberek túlságosan megbíznak abban, amit az AI javasol. Ezek az arányok azt jelzik, hogy az üzleti környezetben komoly kockázatot jelent az ellenőrizetlen AI-használat.
Milyen konkrét kockázatokat hordoz a shadow AI?
A riport és a szakmai tapasztalatok többféle veszélyt emelnek ki:
- Adatszivárgás: üzleti információk és belső dokumentumok kerülhetnek külső rendszerekbe, amelyek felett a vállalat elveszítheti az irányítást.
- Jogszabályi kockázatok: az adatok tárolása az EU-n kívül GDPR-problémákat okozhat.
- Hibás döntések: ellenőrizetlen AI-javaslatok félrevezetőek lehetnek, és emberi felülvizsgálat nélkül rossz üzleti döntésekhez vezethetnek.
- Sérülékeny kód: fejlesztési feladatoknál az AI által generált kód hibákat vagy biztonsági réseket tartalmazhat.
- Kártékony alkalmazások: növekszik a hamis vagy rosszindulatú AI-eszközök száma, amelyek adat- vagy pénzlopásra törekednek.
A helyzetet tovább bonyolítja az autonóm AI-agentek megjelenése, amelyek képesek önállóan végrehajtani feladatokat, akár érzékeny rendszerekhez való hozzáféréssel.
Tiltás helyett szabályozás: mit tehetnek a munkáltatók?
A szakértők szerint a shadow AI problémáját nem tiltással, hanem szabályozott bevezetésével és kontrollal kell kezelni. Mivel az AI használata már széles körben elterjedt, a kérdés az, hogy a szervezetek képesek-e irányelvekkel, képzéssel és technológiai kontrollokkal biztonságossá tenni az alkalmazást.
A Sicontact Kft. IT-vezetője hangsúlyozza: „A cél nem az, hogy megtiltsuk az AI használatát, hanem hogy biztonságos keretek közé tereljük. Ehhez világos irányelvekre, edukációra és megfelelő technológiai kontrollokra van szükség. Kulcsfontosságú a munkavállalók képzése, az engedélyezett eszközök kijelölése, valamint a hálózati forgalom és az adatkezelés folyamatos monitorozása.”
Gyakorlati lépések lehetnek:
- Céges AI-szabályzat kialakítása, amely megadja, mely eszközök használhatók és milyen adattípusok tilosak megosztani.
- Rendszeres képzések az AI korlátairól és a biztonságos használatról.
- Technikai megoldások — például hálózati szűrés és adatvesztés-megelőzés (DLP) — alkalmazása az érzékeny információk védelmére.
- Emberi jóváhagyási folyamatok a kritikus döntések előtt.
Miért számít ez hosszabb távon?
A mesterséges intelligencia a következő évek üzleti növekedésének egyik hajtóereje lehet, ugyanakkor új, vállalati szintű kockázatokat hoz magával. Azok a cégek lesznek versenyelőnyben, amelyek egyszerre támogatják az innovációt és megteremtik az adatvédelemhez szükséges kontrollokat. A shadow AI kezelése tehát nem csupán biztonsági kérdés, hanem stratégiai feladat is a digitális munkakörnyezetekben.
