Ce înseamnă Riscul „Shadow AI” în companii
Ca la shadow IT, angajații folosesc chatboți, extensii de browser sau asistenți de cod ca să lucreze mai repede, fără aprobarea firmei. Datele introduse (documente, cod, informații despre clienți) ajung la un furnizor cu care firma nu are contract.
Riscuri: dezvăluirea de informații sensibile (OWASP LLM02:2025), prelucrarea datelor personale fără temei legal sau fără contract de prelucrare (art. 6 și art. 28 GDPR), pierderea secretelor comerciale și decizii luate cu unelte pe care nimeni nu le-a evaluat.
Cum funcționează
Inventar: NIST AI RMF 1.0 (GOVERN 1.6) cere mecanisme pentru inventarierea sistemelor AI ale organizației.
Politică de utilizare acceptabilă: ce unelte sunt aprobate, ce date pot fi introduse și cine aprobă unelte noi.
Control tehnic: DLP (Data Loss Prevention), filtrarea domeniilor, conturi pentru firme cu contract și reguli clare de păstrare a datelor.
Instruire: art. 4 din AI Act, în forma modificată prin Regulamentul (UE) 2026/1744, cere furnizorilor și implementatorilor să ia măsuri pentru dezvoltarea alfabetizării AI a personalului.
Pe înțelesul tuturor
Un angajat care trimite documente interne printr-un serviciu personal de transfer de fișiere: lucrează mai repede, dar firma nu mai știe unde sunt datele și cine le poate citi.
Exemplu
Un programator lipește un fragment de cod intern, împreună cu o cheie API, într-un chatbot gratuit ca să găsească o eroare. Codul ajunge la un furnizor fără contract cu firma, iar cheia trebuie considerată compromisă și revocată.
De reținut
- Combină restricțiile cu o alternativă aprobată; altfel folosirea se mută în conturi personale, unde nu o mai vezi.
- Inventarul include și funcțiile AI activate în aplicațiile deja folosite (suite de birou, CRM, platforme de suport).
Nu confunda
- Shadow AI vs. shadow IT: pe lângă problema de evidență, la AI datele introduse pot fi păstrate de furnizor, iar rezultatele pot fi greșite fără ca cineva să le verifice.
Termeni înrudiți
- Confidențialitatea datelor și GDPR în AI: Ce cere GDPR când date personale ajung în datele de antrenare sau în prompturile trimise unui serviciu AI.
- Prompt injection indirect prin fișiere și web: Instrucțiuni ascunse în documente, pagini web sau e-mailuri, pe care modelul le citește și le execută ca și cum ar veni de la utilizator.
- Supravegherea umană (human-in-the-loop): Cerința ca sistemele AI cu risc ridicat să poată fi monitorizate, contrazise și oprite de oameni cu competența necesară.
- EU AI Act – Regulamentul (UE) 2024/1689: Regulamentul UE care stabilește reguli pentru sistemele și modelele AI în funcție de risc, aplicat etapizat între 2025 și 2028.