Obecnie coraz więcej pracowników firm używa aplikacji wykorzystujących sztuczną inteligencję (AI), które funkcjonują poza wiedzą i kontrolą działów IT oraz cyberbezpieczeństwa. Tak powstaje zjawisko shadow AI, czyli stosowania narzędzi sztucznej inteligencji bez zgody lub świadomości przedsiębiorstwa. Skala problemu staje się wyraźnie widoczna. Według opublikowanego przez firmę Komprise badania[1] już 43 proc. dużych przedsiębiorstw odnotowało przypadki ujawnienia danych firmowych lub osobowych w rozwiązaniach sztucznej inteligencji. Dodatkowo 90 proc. liderów IT obawia się ryzyka, jakie niesie nieautoryzowane korzystanie z AI.
Głównym zagrożeniem płynącym z shadow AI jest utrata kontroli nad wrażliwymi informacjami firmowymi, które pracownicy udostępniają zewnętrznym serwisom bez wiedzy pracodawców. Problem, w przeciwieństwie do znanego od lat zjawiska shadow IT, nie sprowadza się jednak wyłącznie do korzystania z ogólnodostępnych aplikacji. Wiele systemów AI nie tylko odbiera przesyłane dane, ale również je analizuje, przekształca i – w zależności od modelu oraz dostawcy – może je przechowywać lub wykorzystywać do dalszego uczenia. W ten sposób przedsiębiorstwo traci możliwość zweryfikowania, co dzieje się z poufnymi danymi po ich przekazaniu do zewnętrznego modelu AI, a także naraża się na upublicznienie własności intelektualnej oraz informacji o znaczeniu strategicznym.
W obliczu tak powszechnego, a jednocześnie trudnego do monitorowania wykorzystania AI, dotychczasowe sposoby podejścia do ochrony danych przestają być wystarczające. Tradycyjne systemy bezpieczeństwa bazują na założeniu, że firma wie, jakie aplikacje wykorzystują dane i w jaki sposób. Shadow AI podważa ten model, tworząc niewidoczne dla administratorów IT kanały przetwarzania informacji. Aby ograniczyć ryzyko wycieku kluczowych danych biznesowych oraz zachować kontrolę nad ich przepływem, firmy muszą dostosować strategie cyberbezpieczeństwa do realiów powszechnego wykorzystywania sztucznej inteligencji.
– Administratorzy w przedsiębiorstwach zakładają, że mają pełną kontrolę nad swoim środowiskiem cyfrowym. W rzeczywistości pracownicy często omijają zabezpieczenia, sięgając po publicznie dostępne narzędzia generatywnej AI, aby usprawnić sobie wykonywanie codziennych zadań. Klasyczne mechanizmy ochronne nie zostały zaprojektowane z myślą o monitorowaniu tego typu interakcji, dlatego wiele z nich pozostaje całkowicie niewidocznych dla działów IT – zauważa Joanna Chmielak, Enterprise Sales Manager w firmie Fortinet.
Sytuację komplikuje fakt, że identyfikowanie wykorzystywanych narzędzi AI to jedno, ale przedsiębiorstwa muszą również wiedzieć, jakie informacje są do nich przesyłane. Dlatego coraz większego znaczenia nabierają rozwiązania klasy Data Loss Prevention (DLP) oraz mechanizmy kontroli aplikacji, które pozwalają monitorować przepływ danych w czasie rzeczywistym i ograniczać ryzyko udostępnienia poufnych informacji niezależnie od tego, czy pracownik korzysta z aplikacji lokalnie, czy w środowisku chmurowym.
Shadow AI a nowe obowiązki przedsiębiorstw
Jeszcze do niedawna przedsiębiorstwa mogły traktować nieautoryzowane korzystanie z narzędzi AI przede wszystkim jako wyzwanie dla zespołów odpowiedzialnych za cyberbezpieczeństwo. Obecnie takie podejście przestaje być wystarczające, a dodatkowego znaczenia nabierają również kwestie zgodności z regulacjami. Przepisy, takie jak unijny AI Act, wymagają od firm identyfikowania wykorzystywanych systemów AI, oceny związanego z nimi ryzyka oraz wykazania, że nad ich wykorzystaniem sprawowany jest odpowiedni nadzór. W przypadku zjawiska shadow AI spełnienie tych wymagań staje się szczególnie trudne, ponieważ nie da się skutecznie zarządzać mechanizmami, których użycie pozostaje poza wiedzą przedsiębiorstwa.
– Widzimy, że przedsiębiorstwa coraz częściej postrzegają zarządzanie sztuczną inteligencją jako element szerszego ładu korporacyjnego, a nie wyłącznie zagadnienie techniczne. Wyniki globalnego badania Fortinet wykazały, że blisko dwie trzecie respondentów przewiduje, iż w ciągu najbliższych trzech lat wzrośnie zapotrzebowanie na specjalistów odpowiedzialnych za nadzór nad wykorzystaniem AI. To wyraźny sygnał, że skuteczne wdrażanie sztucznej inteligencji wymaga obecnie nie tylko odpowiednich narzędzi, ale również jasnych zasad zarządzania i odpowiedzialności – mówi Joanna Chmielak z firmy Fortinet.
Nowa rzeczywistość, nowe kompetencje
Do ograniczania ryzyka, jakie shadow AI niesie dla bezpieczeństwa firm oraz zgodności z regulacjami, potrzebne jest dogłębne zrozumienie sposobu działania systemów bazujących na sztucznej inteligencji. Tymczasem, jak wynika z opublikowanego przez Fortinet raportu „2026 Cybersecurity Skills Gap”, aż 60 proc. liderów IT ma trudności z pozyskaniem specjalistów ds. cyberbezpieczeństwa posiadających doświadczenie w obszarze AI. Z tego powodu wiele firm musi rozwijać kompetencje własnych zespołów, przygotowując je do ochrony środowisk, w których sztuczna inteligencja staje się elementem codziennych procesów biznesowych.
– Ochrona danych w dobie upowszechnienia się systemów AI wymusza na zespołach ds. bezpieczeństwa nabycie zupełnie nowych umiejętności. Jednocześnie firmy nie mogą polegać wyłącznie na próbach rekrutacji ekspertów z zewnątrz, gdyż rynek jest w tym zakresie skrajnie wymagający. Kluczową strategią staje się zatem intensywne szkolenie wewnętrzne, czyli przekwalifikowanie lub podnoszenie kompetencji dotychczasowych administratorów oraz inżynierów, aby potrafili rozpoznawać anomalie w ruchu AI i sprawnie zarządzać regułami polityki dostępu w obliczu nowej rzeczywistości – tłumaczy ekspertka Fortinet.
Shadow AI nie jest przejściowym trendem, lecz nową rzeczywistością operacyjną, która wymaga zintegrowanego podejścia łączącego pełną widzialność sieci z kontrolą na poziomie użytkowników końcowych. Firmy, które zaktualizują swoje modele bezpieczeństwa o zaawansowane mechanizmy ochrony danych oraz zainwestują w systematyczne szkolenia wewnętrzne, znacząco podniosą swoją odporność na ryzyko niekontrolowanego wycieku informacji. Skuteczna strategia obronna to taka, w której rozwiązania techniczne oraz rozwój kompetencji zespołu stają się spójnym, proaktywnym elementem codziennej kultury bezpieczeństwa firmy.
[1] Komprise IT Survey: AI, Data & Enterprise Risk, 2025
