Nowości
Brytyjska agencja cyberbezpieczeństwa ostrzega przed AI używaną bez wiedzy pracodawców
National Cyber Security Centre alarmuje, że 71 procent brytyjskich pracowników korzysta z narzędzi AI niezatwierdzonych przez firmę, co otwiera drogę do wycieków danych i ataków. Agencja radzi nie blokować AI, tylko nim mądrze zarządzać.
Brytyjska National Cyber Security Centre (NCSC) opublikowała ostrzeżenie przed zjawiskiem "shadow AI" - używaniem przez pracowników narzędzi sztucznej inteligencji, o których dział bezpieczeństwa firmy nie ma pojęcia. Według danych przywołanych przez agencję, dotyczy to niemal trzech na czterech zatrudnionych.
Skala zjawiska
Shadow AI to odmiana znanego od lat problemu shadow IT, czyli używania w pracy oprogramowania i usług, które nie przeszły przez formalną weryfikację działu bezpieczeństwa. Różnica polega na tym, że narzędzia AI - chatboty, asystenci do pisania kodu, generatory tekstu czy transkrypcji - trafiają do firmowych komputerów i telefonów znacznie szybciej niż kiedykolwiek trafiało tam inne oprogramowanie, bo wystarczy przeglądarka i darmowe konto.
NCSC powołuje się na dane Microsoftu, według których 71 procent pracowników w Wielkiej Brytanii sięgało po narzędzia AI, których nie zatwierdził ich pracodawca. Autor wpisu na blogu agencji podkreśla, że wielu pracowników robi to w dobrej wierze, chcąc pracować szybciej i sprawniej, a nie w celu obejścia zabezpieczeń.
Trzy główne zagrożenia
Agencja wymienia trzy konkretne kategorie ryzyka. Pierwsza to wycieki danych wrażliwych i własności intelektualnej - gdy pracownik wkleja fragment kodu, umowy czy dokumentacji klienta do publicznego chatbota, informacje te mogą trafić poza kontrolę firmy, a w niektórych przypadkach zostać wykorzystane do dalszego trenowania modeli.
Druga kategoria to utrata kontroli nad przepływem danych - firma przestaje wiedzieć, gdzie fizycznie przechowywane są jej informacje i pod jakim prawem. Trzecia, najbardziej techniczna, dotyczy podatności samych narzędzi AI. NCSC zwraca uwagę, że luki bezpieczeństwa w popularnych systemach AI mogą dać atakującym dostęp do tych samych zasobów i uprawnień, do których dostęp ma legalny użytkownik korzystający z takiego narzędzia.
Zakaz nie zadziała
Kluczowy element rekomendacji NCSC to odejście od podejścia zakazowego. Agencja wprost pisze, że organizacje nie są w stanie zablokować dostępu do wszystkich możliwych narzędzi AI - liczba dostępnych chatbotów, wtyczek i asystentów rośnie szybciej, niż działy IT są w stanie je katalogować i blokować.
Organizacje nie mogą liczyć na zablokowanie dostępu do wszystkich możliwych narzędzi AI, więc muszą budować pozytywną kulturę cyberbezpieczeństwa, z otwartym dialogiem o narzędziach, których pracownicy chcieliby używać, i jasnymi zasadami bezpiecznego korzystania z AI - David Chismon, dyrektor ds. architektury, NCSC
Zamiast tego NCSC zaleca trzy działania. Po pierwsze, otwartą rozmowę z pracownikami o tym, jakich narzędzi faktycznie potrzebują do pracy, zamiast domyślnego zakazu. Po drugie, szybkie udostępnianie bezpiecznych, zatwierdzonych alternatyw, zanim pracownicy sami znajdą rozwiązanie w internecie. Po trzecie, jasne wytyczne co wolno wpisywać do narzędzi AI, a co powinno zostać w firmowych systemach.
Wielu pracowników czerpie korzyści z AI w pracy i słusznie są w tym wspierani przez pracodawców, ale zespoły bezpieczeństwa IT nie powinny zakładać, że widzą pełny obraz sytuacji - David Chismon, dyrektor ds. architektury, NCSC
Co to znaczy dla polskich firm
Choć ostrzeżenie dotyczy Wielkiej Brytanii, mechanizm jest identyczny w każdej organizacji, w której pracownicy mają dostęp do internetu i motywację, by pracować szybciej. Polskie firmy mierzą się z tym samym zjawiskiem, a wchodząca w życie unijna ustawa o AI dodatkowo wymaga od pracodawców wiedzy o tym, jakie systemy sztucznej inteligencji są u nich faktycznie wykorzystywane - trudno spełnić ten obowiązek, jeśli znaczna część użycia AI odbywa się poza radarem działu bezpieczeństwa.
Rekomendacja NCSC, by zamiast zakazów stawiać na dialog i szybkie dostarczanie legalnych alternatyw, jest też praktyczną wskazówką dla firm, które dopiero układają swoje polityki AI. Twarde blokady najczęściej skutkują tym, że pracownicy przechodzą na prywatne urządzenia i konta, co jeszcze bardziej utrudnia firmie kontrolę nad danymi.
NCSC nie podało planów dalszych działań regulacyjnych ani terminu kolejnych wytycznych, ale zapowiedziało, że temat shadow AI będzie wracał w kolejnych publikacjach agencji, w miarę jak rośnie liczba narzędzi dostępnych pracownikom bez zgody pracodawcy.
