Kada razmišljamo o sajber bezbednosti, prva asocijacija su obično sofisticirani hakerski napadi, ransomver virusi ili ukradene lozinke. IT timovi troše milione na zaštitne zidove i softvere za detekciju pretnji. Međutim, dok su oči uprte ka spolja, jedan potpuno novi, tihi i nevidljivi rizik preti iz samih kancelarija kompanije.
Ovaj fenomen, poznat u svetu tehnologije kao shadow AI, ne uključuje zlonamerne aktere. Naprotiv, glavni akteri su najvredniji i najproduktivniji zaposleni koji samo žele brže i efikasnije da obave svoj posao.
Šta zapravo predstavlja shadow AI fenomen u modernom poslovanju
Shadow AI (ili veštačka inteligencija u senci) odnosi se na praksu gde zaposleni samoinicijativno koriste javno dostupne alate veštačke inteligencije – poput raznih pametnih četbota, generatora koda ili softvera za analizu teksta – bez zvaničnog odobrenja ili nadzora IT odeljenja.
Privlačnost ovih alata je ogromna. Oni mogu da skrate sate napornog rada na svega nekoliko sekundi. Ipak, problem nastaje kada se u te javne sisteme unesu poverljivi poslovni podaci. Za razliku od tradicionalnog softvera koji instalirate na svoj računar, javni AI modeli se često konstantno obučavaju na podacima koje im korisnici unose.
Kako dobronamerni zaposleni postaju najveći bezbednosni rizik
Scenario je svakodnevan i deluje potpuno bezazleno. Pravnik treba da napravi sažetak ugovora od pedeset strana, programer traži način da ispravi deo osetljivog koda, ili HR menadžer želi da optimizuje tabele sa platama zaposlenih.
Da bi uštedeli vreme, oni jednostavno kopiraju te podatke i zalepe ih u polje za unos javnog AI alata. Sistem im daje savršen rezultat, posao je završen, ali ono što zaposleni ne shvataju jeste da su ti poverljivi podaci upravo napustili bezbedno okruženje kompanije.
Kada osetljive informacije postanu deo materijala za trening veštačke inteligencije, postoji realna opasnost da će taj isti AI alat sutra tu informaciju ponuditi vašoj konkurenciji kao deo odgovora na njihov upit. Poznati su slučajevi gde su procureli strateški planovi za lansiranje novih proizvoda, pa čak i čitavi delovi izvornog koda velikih tehnoloških firmi.
Zašto bezbednosni sistemi ne prepoznaju ovu pretnju
Klasična curenja podataka podrazumevaju preuzimanje velikih baza, sumnjiv mrežni saobraćaj ili neovlašćene upade. Nasuprot tome, shadow AI zaobilazi sve alarme.
-
Potpuno legitiman saobraćaj: Zaposleni pristupa poznatim i bezbednim sajtovima preko standardnih pregledača, što ni jedan zaštitni zid ne registruje kao pretnju.
-
Akcija koja se ne može poništiti: Jednom kada podatak uđe u jezički model, on se ugrađuje u njegove neuralne mreže. Ne postoji dugme za brisanje i nemoguće je izolovati vaš dokument iz milijardi drugih parametara.
-
Nevidljivost za nadzor: Većina kompanija nema adekvatne alate koji mogu da prepoznaju da li je u čet prozor unet recept za pitu ili najstroža poslovna tajna.
Pravne posledice i udar na reputaciju kompanije
Osim direktne poslovne štete zbog gubitka konkurentske prednosti, shadow AI nosi i stravične pravne rizike. Zakoni o zaštiti podataka, poput evropskog GDPR okvira, izuzetno su rigorozni.
Ukoliko zaposleni u javni AI alat unese podatke klijenata – njihova imena, finansijske detalje ili zdravstvene kartone – kompanija direktno krši zakon. To otvara vrata za višemilionske kazne, tužbe klijenata i reputacionu štetu koja može trajno uništiti poverenje na tržištu.
Kako uspostaviti bezbedno AI okruženje bez gušenja produktivnosti
Borba protiv ove pretnje ne sme da se svede na zabranu korišćenja inovacija. Pokušaj da se radnicima ukine pristup veštačkoj inteligenciji je unapred osuđen na propast, jer će oni uvek naći alternativni put do rešenja koje im olakšava posao. Pravi pristup zahteva balans.
-
Edukacija na prvom mestu: Radnici moraju da razumeju mehaniku AI alata. Kada im se objasni da svaki unos potencijalno postaje javno dobro, nivo svesti o riziku drastično raste.
-
Uvođenje kontrolisanih alata: Kompanije treba da investiraju u enterprise (poslovne) verzije AI softvera. Ovi ugovori garantuju da se uneti podaci ne koriste za trening modela i da ostaju zaključani u internom sistemu kompanije.
-
Pisanje jasnih smernica: Neophodno je kreirati jasan pravilnik koji eksplicitno navodi koji alati su dozvoljeni, a koji podaci su strogo zabranjeni za deljenje sa spoljnim sistemima.
-
Praćenje i zaštita podataka: Moderni CASB i DLP bezbednosni alati mogu pomoći u detekciji kada zaposleni pokušavaju da prenesu velike količine osetljivog teksta ka neodobrenim platformama.
Svet poslovanja se nepovratno promenio dolaskom generativne veštačke inteligencije. Kompanije koje uspeju da integrišu ovu tehnologiju na bezbedan i strukturiran način imaće neverovatnu prednost, dok će one koje zatvaraju oči pred fenomenom u senci vrlo brzo platiti previsoku cenu inovacija.
