Η τεχνητή νοημοσύνη έχει γίνει καθημερινό εργαλείο για εκατομμύρια εργαζόμενους, όμως μαζί της εξαπλώνεται και ένα νέο φαινόμενο που προβληματίζει έντονα τις ομάδες κυβερνοασφάλειας: το Shadow AI. Πρόκειται για τη χρήση εφαρμογών και υπηρεσιών AI χωρίς την έγκριση ή την επίβλεψη του τμήματος πληροφορικής, δημιουργώντας σημαντικούς κινδύνους για τα εταιρικά δεδομένα και τη συμμόρφωση με τους κανονισμούς ασφαλείας.
Οι εργαζόμενοι χρησιμοποιούν καθημερινά εργαλεία όπως chatbots, AI assistants, εφαρμογές δημιουργίας εικόνων ή ακόμα και ενσωματωμένες λειτουργίες τεχνητής νοημοσύνης σε δημοφιλείς υπηρεσίες SaaS, πολλές φορές χωρίς να ενημερώνουν το τμήμα IT. Το αποτέλεσμα είναι ότι ευαίσθητα επιχειρησιακά δεδομένα μπορεί να καταλήγουν σε εξωτερικές πλατφόρμες, χωρίς κανείς να γνωρίζει ποια πληροφορία μοιράστηκε και με ποιον τρόπο χρησιμοποιείται.
Το πρόβλημα δεν αφορά μόνο εφαρμογές όπως το ChatGPT ή το Claude. Πλέον, η τεχνητή νοημοσύνη βρίσκεται ενσωματωμένη σε εκατοντάδες υπηρεσίες παραγωγικότητας, εργαλεία ανάπτυξης λογισμικού και cloud εφαρμογές, γεγονός που καθιστά πολύ δυσκολότερο τον εντοπισμό της πραγματικής έκτασης του φαινομένου.
Τι είναι το Shadow AI και γιατί είναι τόσο δύσκολο να εντοπιστεί
Ο όρος Shadow AI προέρχεται από το γνωστό Shadow IT, δηλαδή τη χρήση μη εγκεκριμένου λογισμικού μέσα σε έναν οργανισμό. Η βασική διαφορά είναι ότι στο Shadow AI το μεγαλύτερο πρόβλημα δεν είναι το ίδιο το λογισμικό, αλλά τα δεδομένα που εισάγουν οι χρήστες στα μοντέλα τεχνητής νοημοσύνης.
Για παράδειγμα, ένας υπάλληλος μπορεί να αντιγράψει ένα εμπιστευτικό συμβόλαιο σε ένα chatbot για να το συνοψίσει, να ανεβάσει πηγαίο κώδικα για να ζητήσει βοήθεια στον προγραμματισμό ή να χρησιμοποιήσει μια AI υπηρεσία για να αναλύσει οικονομικά στοιχεία της εταιρείας. Αν οι ενέργειες αυτές πραγματοποιούνται μέσω προσωπικών λογαριασμών ή μη εγκεκριμένων υπηρεσιών, ο οργανισμός χάνει κάθε δυνατότητα ελέγχου.
Η κατάσταση γίνεται ακόμη πιο περίπλοκη επειδή πολλές πλατφόρμες προσθέτουν λειτουργίες AI αυτόματα μέσω ενημερώσεων. Έτσι, ακόμη και μια ήδη εγκεκριμένη εφαρμογή μπορεί ξαφνικά να αποκτήσει δυνατότητες δημιουργικής τεχνητής νοημοσύνης που επεξεργάζονται εταιρικά δεδομένα, χωρίς να έχει προηγηθεί αξιολόγηση κινδύνου από το τμήμα ασφάλειας.
Οι ειδικοί επισημαίνουν ότι ο εντοπισμός του Shadow AI απαιτεί συνεχή παρακολούθηση των νέων υπηρεσιών που χρησιμοποιούνται, των λογαριασμών που δημιουργούνται και των εφαρμογών που αποκτούν πρόσβαση σε εταιρικά δεδομένα. Οι παραδοσιακές λύσεις ασφαλείας δεν σχεδιάστηκαν για να αναγνωρίζουν τέτοιου είδους δραστηριότητα, καθώς οι περισσότερες αλληλεπιδράσεις με AI πραγματοποιούνται μέσω κρυπτογραφημένων συνδέσεων και νόμιμων εφαρμογών.
Γιατί η απαγόρευση δεν είναι η λύση
Παρά την αυξανόμενη ανησυχία, οι ειδικοί συμφωνούν ότι η πλήρης απαγόρευση της τεχνητής νοημοσύνης μέσα στις επιχειρήσεις δύσκολα αποδίδει.
Στις περισσότερες περιπτώσεις, οι εργαζόμενοι καταφεύγουν σε μη εγκεκριμένα εργαλεία επειδή τα θεωρούν πιο γρήγορα ή πιο αποτελεσματικά από τις διαθέσιμες εταιρικές λύσεις. Όταν η επίσημη διαδικασία είναι πολύπλοκη ή δεν καλύπτει τις πραγματικές ανάγκες, οι χρήστες αναζητούν εναλλακτικούς τρόπους για να ολοκληρώσουν τη δουλειά τους.
Αντί για γενικές απαγορεύσεις, οι οργανισμοί καλούνται να δημιουργήσουν σαφείς πολιτικές χρήσης AI, να παρέχουν εγκεκριμένα εργαλεία με κατάλληλες δικλείδες ασφαλείας και να εκπαιδεύσουν τους εργαζομένους σχετικά με τα δεδομένα που επιτρέπεται να κοινοποιούνται σε υπηρεσίες τεχνητής νοημοσύνης.
Παράλληλα, οι ομάδες κυβερνοασφάλειας χρειάζεται να επενδύσουν σε λύσεις που προσφέρουν συνεχή ορατότητα στη χρήση AI, εντοπίζοντας νέες εφαρμογές, ύποπτες συνδέσεις και πιθανές διαρροές δεδομένων πριν αυτές εξελιχθούν σε σοβαρό περιστατικό ασφαλείας.
Το Shadow AI αναμένεται να αποτελέσει μία από τις μεγαλύτερες προκλήσεις για τις επιχειρήσεις τα επόμενα χρόνια. Καθώς η τεχνητή νοημοσύνη ενσωματώνεται σχεδόν σε κάθε ψηφιακή υπηρεσία, το ζητούμενο δεν θα είναι πλέον αν οι εργαζόμενοι χρησιμοποιούν AI, αλλά αν ο οργανισμός γνωρίζει πού, πώς και με ποια δεδομένα χρησιμοποιείται.
