Kliknąłeś w wilka brawo !

Jesteście częścią Shadow AI? Trzy czwarte pracowników korzysta w pracy z rozwiązań sztucznej inteligencji nie oglądając się na przyzwolenie CIO czy CISO. Być może nie będą musieli wychodzić z cienia - to bezpieczeństwo i IT będą zmuszone nagiąć swoje żelazne zasady i ułożyć się z „ludźmi z cienia AI”.

Szacowne Institute of Electrical and Electronics Engineers Computer Society (IEEE CS) zwróciło uwagę na nowe oblicze zjawiska starego jak informatyka korporacyjna – Shadow IT.

Ekspansja generatywnej sztucznej inteligencji i przetwarzania w chmurze otwierają przed nim nowe wspaniałe perspektywy. Coraz bardziej złożone i dynamiczne środowiska technologiczne utrudniają nadzór IT. A nowe technologie i nowe platformy kuszą użytkowników rosnącą liczbą łatwo dostępnych pomocnych aplikacji, dodatków, a nierzadko i większych rozwiązań.

Shadow IT podnosi produktywność użytkowników zapewniając zwykle lepszą ergonomię. Odciąża też, a jakże, działy IT, które wreszcie przestają być zasypywane żądaniami nowych rozwiązań. Jest to jednak, przypominają autorzy opracowania, miecz obosieczny. Nieautoryzowane aplikacje będą otwierać luki w zabezpieczeniach i stanowić punkty wejścia dla cyberataków. Sprowadzają chaos, obciążają budżety i infrastrukturę IT.

Tropić i niszczyć, czy tolerować i cywilizować? IEEE CS opowiada się za tym, aby szukać bezpiecznych ram współistnienia autoryzowanych i nieautoryzowanych narzędzi.

CISO uwzględnią człowieka w strategiach cyberbezpieczeństwa

Czyżby miała nastąpić zmiana atmosfery wokół amatorskiej działalności wdrożeniowej w firmie? Gartner przewidywał jej oznaki w swoich prognozach technologicznych jeszcze na kończący się rok.

Do 2027 roku 50% Chief Information Security Officers (CISO) ma formalnie przyjąć w swoich programach cyberbezpieczeństwa praktyki projektowania zorientowanego na człowieka (human-centric design practices).

Dlaczego? Gartner ocenia, że ponad 90% pracowników, którzy przyznali się do podejmowania różnych nieautoryzowanych działań podczas pracy, wiedziało, że zwiększą ryzyko dla organizacji, ale i tak z nich nie zrezygnowali. Projektowanie zabezpieczeń zorientowane na człowieka, z uwzględnieniem jednostki, a nie tylko kwestii technologii, znajdzie się więc w centrum projektowania i wdrażania kontroli IT. Pozwoli minimalizować tarcia operacyjne i wprowadzić rzeczywistą kontrolę nad stosowanymi w firmie narzędziami.

Shadow AI wkracza na scenę

Wygląda na to, że firmowi bezpiecznicy trochę nie mają wyboru. Do 2027 roku 75% pracowników będzie kupować, modyfikować lub tworzyć technologie poza zasięgiem wzroku IT. To skokowy wzrost z poziomu 41% w 2022 roku. Rola i zakres odpowiedzialności CISO zmieniają się zatem z nadzorcy i kontrolera, w kogoś ułatwiającego podejmowanie decyzji dotyczących ryzyka. Gartner zaleca wyjście poza technologię i automatyzację, aby zaangażować pracowników, podnieść ich świadomość i możliwość wpływania na decyzje.

Tymczasem nastroje autonomiczne i rewolucyjne wśród pracowników narastają. Według raportu Work Trend Index firmy Microsoft 78% użytkowników AI wprowadza własne narzędzia AI do pracy, (w małych i średnich firmach nawet 80%). Dane te potwierdzają także inne badania i raporty. Według oszacowań firmy BetterCloud, około 65% aplikacji SaaS działających w przeciętnej firmie nigdy nie otrzymało zielonego światła na uruchomienie od działu IT.

Niestety oznacza to, że pracownicy omijają zasady organizacyjne i narażają na szwank bezpieczeństwo, nad którego utrzymaniem ciężko pracują ich działy IT oraz bezpieczeństwa. Czują pewien dyskomfort: według Microsoftu 52% osób korzystających ze sztucznej inteligencji w pracy niechętnie przyznaje się do używania jej do najważniejszych zadań.

Od swawoli do konsensusu – gotowi na BYOAI?

Shadow AI rozwija się wspaniale w erze generatywnej sztucznej inteligencji. Próg dostępności jest zdecydowanie niższy w porównaniu z technologiami chmurowymi lub “tradycyjną” sztuczną inteligencją, gdzie wymagana jest wiedza na temat korzystania z IDE lub programowania. Szybsze cykle wdrażania skracają cykle decyzyjne w przedsiębiorstwie, co utrudnia CIO i CISO opracowanie odpowiednich strategii ograniczania ryzyka. Na łamach Forbes, badacz i pisarz Bryan Robinson, opisując zjawisko Shadow AI zwrócił uwagę, że o ile prawie połowa kadry kierowniczej (45% według badania) stosuje wobec AI podejście “obserwujmy i czekajmy”, o tyle pracownicy najwyraźniej przegapili stosowne korporacyjne memo – ponad trzy czwarte z nich (tu przywołuje cytowany jż raport Microsoft) używa sztucznej inteligencji w pracy.

Aby w pełni wykorzystać zalety sztucznej inteligencji, decydenci muszą znaleźć równowagę pomiędzy prawem i innowacją. Pomiędzy umożliwieniem pracownikom korzystania z potrzebnych narzędzi a zapewnieniem, że zastosowanie sztucznej inteligencji pozostaje bezpieczne, zgodne z przepisami i zgodne z polityką firmy. Korzystanie z niezatwierdzonych narzędzi sztucznej inteligencji naraża firmę zarówno na błędy w zakresie bezpieczeństwa, jak i problemy prawne. Zamiast postrzegać Shadow AI jako zagrożenie, firmy mogą przekształcić ją w katalizator wzrostu, wspierając środowisko, w którym przybywa innowacji, ale w granicach silnego zarządzania. Na horyzoncie pojawia się więc być może wizja dobrego Shadow AI w ramach kultury otwartości. Czegoś na kształt BYOAI – Bring Your Own AI.