Shadow AI: appky, ktoré si ľudia postavili s AI mimo IT

Shadow AI sú appky a AI nástroje, ktoré si ľudia vo firme postavili alebo zapli bez vedomia IT. Je to novšia podoba shadow IT: kolega si s AI za popoludnie spraví nástroj na ponuky alebo reporty a beží na jeho osobnom účte. Zákaz to nezastaví. Prvý krok je zoznam a pri každej appke tri otázky: na čí účet beží, aké dáta do nej idú a kto ju vypne.

Nižšie je, prečo shadow AI vzniká, čo s ňou robiť namiesto zákazu a ako spraviť zoznam za jeden týždeň. Článok je pre vedúceho IT aj pre vedúceho oddelenia, ktorého ľudia si appky stavajú.

Čo je shadow AI a prečo vzniká?

Ešte pred pár rokmi si človek mimo IT vedel spraviť nanajvýš zložitý Excel. Dnes si s AI postaví appku: formulár, malý systém na objednávky, nástroj, ktorý číta e-maily. Funguje, šetrí mu čas a chce ju poslať kolegom.

Väčšinou beží na jeho osobnom účte. Jeho AI predplatné, jeho hosting, jeho heslo. IT o nej nevie, alebo vie, ale nemá kapacitu ju preveriť.

Ľudia to nerobia preto, aby obchádzali IT. Robia to, lebo zrazu môžu a práca sa musí urobiť. Britské národné centrum kybernetickej bezpečnosti to pri shadow IT hovorí rovno:

Pri AI to platí ešte viac. Rozdiel oproti starému shadow IT je rýchlosť. Appka vznikne za popoludnie a v ten istý deň pracuje so skutočnými dátami zákazníkov.

Aké tri otázky položiť pri každej appke?

Netreba hneď audit každého riadku kódu. Na prvé rozhodnutie stačia tri otázky:

1. Na čí účet beží? Firemný, alebo osobný účet toho, kto ju postavil. Osobný účet znamená, že firemné dáta dnes ležia mimo firmy.
2. Aké dáta do nej idú? Ukážkové, alebo skutočné údaje zákazníkov, faktúry, ceny. Čím citlivejšie dáta, tým skôr to treba riešiť.
3. Kto ju vypne? Meno človeka, ktorý za ňu zodpovedá, a dátum, kedy skončí, ak ju nikto nepredĺži.

Z odpovedí vyjde jedno z troch rozhodnutí. Appka môže ostať, ako je. Môže sa presunúť na firemný účet a dostať majiteľa. Alebo sa vypne, lebo ju už nikto nepotrebuje.

Tretia otázka je najčastejšie bez odpovede. Appky s AI vznikajú rýchlo a zanikajú nikdy. Nikto ich nevypne, lebo nikto nevie, či ich ešte niekto používa. A tak bežia ďalej, s prístupom k dátam a bez človeka, ktorý sa o ne stará.

Zákaz, schvaľovanie, alebo spoločné pravidlá?

Keď IT zistí, že ľudia si stavajú appky, má tri možnosti. Každá niečo stojí:

Spoločné pravidlá nemusia byť zložité. Appka začína zo šablóny, ktorú pripravilo IT, nie z prázdneho priečinka. Beží na firemnom účte. K dátam má prístup len na čítanie a len cez jedno miesto, ktoré IT vidí. A je v zozname s menom majiteľa a dátumom konca.

Dáta sú najcitlivejší bod. Keď appka nesmie k dátam nikam, ľudia si ich zoženú inou cestou. Bezpečnejšie je pustiť ich k dátam len na čítanie, so záznamom, kto sa na čo pýtal. Viac o tom, ako obmedziť, čo AI smie, píšeme v článku AI guardrails: aké mantinely potrebuje AI agent vo firme.

Ako spraviť zoznam AI appiek za jeden týždeň?

Zoznam je prvý krok, bez ktorého sa nedá rozhodnúť nič ďalšie. Dá sa spraviť bez nového nástroja:

Najdôležitejší je prvý krok. Ak sa ľudia boja priznať, čo si postavili, zoznam bude prázdny a appky budú bežať ďalej. Tón správy rozhodne viac ako jej obsah.

Kedy appku prevziať do IT?

Niektoré appky prerastú toho, kto ich postavil. Používa ich celé oddelenie, pracujú so skutočnými dátami zákazníkov a ich výpadok by zastavil prácu. Vtedy už nestačí presunúť ich na firemný účet. Treba vedieť, čo je pod povrchom.

Kód od AI býva nekonzistentný. Bezpečnostnú kontrolu spraví raz dobre a na ďalšom mieste ju vynechá. Presne to sme videli pri audite aplikácie, ktorú si zakladateľ postavil sám s AI. Kód nebol zlý, len nikto nevedel, kde má diery.

Prepis od nuly je zriedka správna odpoveď. Väčšinou stačí spevniť pár miest a doplniť, čo AI nenastavila. Čo také appke zvyčajne chýba, rozoberáme v článku Vibe coding do produkcie: čo prototypu chýba.

Viete, čo u vás beží?

Zaškrtnite, čo o appkách postavených s AI vo vašej firme dnes naozaj viete:

Kedy to neriešiť

• Ľudia AI len píšu texty. Kto používa AI na e-maily a zhrnutia a appky nestavia, potrebuje skôr pravidlá, aké dáta do AI nedávať, nie zoznam appiek.
• Appky sú dve a obe na firemnom účte. Netreba nič stavať. Stačí zoznam raz za štvrťrok.
• Chcete hneď celý systém schvaľovania. Bez zoznamu neviete, čo schvaľujete. Najprv zoznam, potom pravidlá.

Chcete vedieť, či vaša appka vydrží?

Ak vo firme beží appka postavená s AI, na ktorej už závisí práca, napíšte nám, čo robí a kto ju používa. Pri audite aplikácie postavenej s AI do 10 pracovných dní viete, či ju spevniť, alebo prepísať, a prvú opravu z verdiktu urobíme priamo vo vašom repozitári.

Ak sa chcete najprv porozprávať, dohodnite si úvodný hovor na 15 minút.

Koľko appiek postavených s AI by ste dnes vedeli vymenovať bez toho, aby ste sa niekoho pýtali?

Časté otázky

Čo je shadow AI?

Shadow AI sú AI nástroje a appky, ktoré ľudia vo firme používajú alebo si postavili bez vedomia IT. Napríklad appka na ponuky, ktorú si niekto spravil s AI a beží na jeho osobnom účte. Je to novšia podoba shadow IT.

Aký je rozdiel medzi shadow IT a shadow AI?

Shadow IT je akýkoľvek nástroj mimo IT, napríklad súkromné úložisko alebo aplikácia na zdieľanie súborov. Shadow AI je jeho časť: AI účty a appky, ktoré si ľudia s AI postavili sami. Rozdiel je v rýchlosti. Appka s AI vznikne za popoludnie a hneď pracuje s firemnými dátami.

Treba shadow AI vo firme zakázať?

Zákaz zvyčajne nepomôže. Ľudia potrebujú prácu urobiť, a tak appky presunú tam, kde ich nikto nevidí. Lepšie funguje zoznam všetkých appiek a jednoduchá cesta, ako appku dostať na firemný účet.

Ako zistiť, aké AI appky vo firme bežia?

Spýtajte sa ľudí priamo a bez trestu: čo si postavili alebo zapli, na akom účte to beží a kto to používa. Pri každej appke zapíšte tri veci: na čí účet beží, aké dáta do nej idú a kto ju vypne.

Kedy má appku postavenú s AI prevziať IT?

Keď ju používa viac ľudí, pracuje so skutočnými dátami zákazníkov alebo by jej výpadok zastavil prácu. Vtedy by mala bežať na firemnom účte, mať majiteľa a prejsť kontrolou kódu a bezpečnosti.