Egyre komolyabb, ám gyakran még láthatatlan kockázatot jelent a vállalatok számára az úgynevezett shadow AI, vagyis az alkalmazottak engedély nélküli mesterséges intelligencia használata a cégen belül. A jelenség Magyarországon is rohamosan terjed.

A generatív AI megoldások, mint a ChatGPT, a Gemini vagy a Claude, gyors és hatékony segítséget nyújtanak nemcsak a hétköznapokban, hanem a munkavégzés során is, ezért sok munkavállaló önállóan kezdi el használni őket. Ez azonban komoly biztonsági és adatvédelmi problémákhoz vezethet, ha a cégek nem szabályozzák ezek alkalmazását.

A shadow AI egyik legnagyobb veszélye, hogy a szervezetnek nincs rálátása arra, mikor és milyen eszközöket használnak a munkatársak, és milyen adatokat osztanak meg velük. Így akár üzletileg kritikus információk is kikerülhetnek a vállalat kontrollja alól.

A kockázat nem pusztán elméleti: 2023-ban a Samsung mérnökei a munkafolyamatok gyorsítása és tesztelési célból belső vállalati dokumentumokat és bizalmas forráskódot töltöttek fel a ChatGPT-be, ami adatszivárgáshoz vezetett. Az eset különösen érzékeny, mivel az adatok külső szerverekre kerültek, ahol gyakorlatilag nem volt mód azok visszaszerzésére, és a vállalatnak arra sem volt érdemi ráhatása, hogy a kényes tartalmak eltávolításra kerüljenek.

A történtek hatására a Samsung megtiltotta munkavállalóinak a ChatGPT használatát. Az Amazon is hasonló lépéseket tett, miután olyan AI válaszokat észleltek, amelyek kísértetiesen emlékeztettek a saját, bizalmas adataikra.

Az esetek jól szemléltetik, milyen könnyen bekövetkezhet adatvesztés, ha a munkavállalók ellenőrizetlenül használják az AI eszközöket. Bár hasonló esetek ritkán kerülnek nyilvánosságra Magyarországon, a jelenség itthon is releváns. A hazai vállalatok jelentős része még nem rendelkezik átfogó AI stratégiával és szabályozással, miközben a dolgozók már aktívan használják ezeket az alkalmazásokat a mindennapi munkában.

Az ESET termékek hazai forgalmazója, a Sicontact Kft. nemrég úttörő kutatást készített, amely elsőként kapcsolja össze a mesterséges intelligenciát, az IT-biztonságot és a mentális egészséget. Korábban még nem vizsgálták e három kulcsfontosságú terület kölcsönhatását a munka világában.

A felmérés eredményeit összefoglaló "MI a baj? mesterséges intelligencia, IT-biztonság és mentális egészség" című iparági riport is megerősíti, hogy a shadow AI jelenség gyorsan terjed: a vállalatok jelentős része nincs felkészülve a munkavállalók által önállóan bevezetett mesterséges intelligencia-eszközök kezelésére.

A kutatás szerint a válaszadók 75%-a úgy véli, túl könnyelműen osztunk meg adatokat az AI-val, 63%-uk pedig úgy gondolja, hogy az emberek túlságosan megbíznak az AI javaslataiban.

A shadow AI több szinten is veszélyt jelenthet a szervezetek számára:
- Adatszivárgás: a chatbotokba beírt üzleti információk külső rendszerekbe kerülhetnek, ami jelentős üzleti kockázatot jelent.
- Jogszabályi kockázatok: az adatok akár az EU-n kívül is tárolódhatnak, ami GDPR problémákat vet fel.
- Hibás döntések: az AI által generált, de nem ellenőrzött tartalmak félrevezetők lehetnek, és hibás üzleti döntésekhez vezethetnek.
- Sérülékeny kód: fejlesztési feladatoknál hibás vagy biztonsági réseket tartalmazó kód keletkezhet.
- Kártékony alkalmazások: terjednek a hamis AI eszközök, amelyek célja adat- és pénzlopás.

A helyzetet tovább bonyolítja az úgynevezett autonóm AI ügynökök megjelenése, amelyek képesek önállóan feladatokat végrehajtani, akár érzékeny rendszerekhez hozzáférve. A shadow AI problémáját nem lehet pusztán tiltással kezelni. Az AI használata annyira elterjedt a vállalati környezetben, hogy már nem lehet megállítani, így a kérdés az, hogy a szervezetek szabályozott keretek között kezelik-e, vagy ellenőrizetlenül engedik tovább terjedni.

A munkáltatóknak kulcsszerepük van abban, hogy az AI használatát szabályozott mederbe tereljék. Ehhez szükséges a dolgozók képzése, hogy tisztában legyenek az AI korlátaival és hibalehetőségeivel, valamint az, hogy a fontos üzleti döntéseknél mindig biztosított legyen az emberi ellenőrzés. Emellett technikai megoldásokkal is érdemes csökkenteni a kockázatos használatot, hogy az AI alkalmazása átláthatóbb és biztonságosabb legyen.

A cél nem az, hogy megtiltsuk az AI használatát, hanem hogy biztonságos keretek közé tereljük. Ehhez világos irányelvekre, edukációra és megfelelő technológiai kontrollokra van szükség. Kulcsfontosságú a munkavállalók képzése, az engedélyezett eszközök kijelölése, valamint a hálózati forgalom és az adatkezelés folyamatos monitorozása.

A mesterséges intelligencia a következő évek üzleti növekedésének egyik motorja lehet, ugyanakkor új típusú kockázatokat is hoz magával. Azok a vállalatok kerülnek versenyelőnybe, amelyek képesek egyszerre támogatni az innovációt és biztosítani az adatok védelmét. A kutatás teljes anyagát itt lehet elolvasni.