Tylko 29% zespołów ds. bezpieczeństwa potrafi regularnie raportować, jakie wrażliwe dane pracownicy wysyłają do narzędzi AI

Ten artykuł opiera się na ustaleniach zawartych w raporcie z badania Cloud Security Alliance (CSA) z 2026 r., DLP w erze AI, zleconego przez Jazz.

W czerwcu i lipcu CSA zapytało 433 specjalistów IT i ds. bezpieczeństwa, czy ich zespół może przygotować raport pokazujący, ile razy w ciągu ostatnich 30 dni wysłano wrażliwe dane do narzędzi GenAI. Dwadzieścia dziewięć procent odpowiedziało, że potrafi przygotować taki raport regularnie.

Ten wynik miałby mniejsze znaczenie, gdyby respondenci uważali GenAI za nieistotny kanał. Uznali go za największe zagrożenie związane z eksfiltracją danych, a 48% umieściło go w pierwszej trójce.

Kieruję działem inżynierii w firmie tworzącej rozwiązania DLP, a większość mojej pracy dotyczy tego, gdzie w systemie można znaleźć dowody przepływu danych i skąd bierze się związane z nim ryzyko. Z tej perspektywy rozbieżność między tym, co zespoły sądzą, że widzą, a tym, co potrafią wykazać, wynika bezpośrednio ze sposobu zaprojektowania zabezpieczeń GenAI.

Pewność co do widoczności GenAI znacznie wyprzedza to, co zespoły potrafią wykazać

Nieco ponad połowa respondentów oceniła swoją widoczność w zakresie GenAI na 4 lub 5 w skali od 1 do 5. Jednak tylko 29% potrafiło regularnie potwierdzić tę ocenę raportem, który po prostu zlicza, ile razy wrażliwe dane trafiły do narzędzia AI.

Źródło: Cloud Security Alliance, DLP w erze AI (2026), n=433. Opracowano na podstawie wykresów w raporcie na s. 22 i 23.

Egzekwowanie zasad przebiega podobnie. Tylko 22% respondentów ściśle blokuje wrażliwe dane w kanale GenAI. Nośniki wymienne, które respondenci uznali za najmniejsze zagrożenie związane z eksfiltracją danych, mają najwyższy odsetek ścisłego blokowania — 31%. Ścisłe blokowanie najczęściej stosuje się w kanałach obsługiwanych przez najstarsze narzędzia.

Źródło: Cloud Security Alliance, DLP w erze AI (2026), n=433. Opracowano na podstawie wykresów w raporcie na s. 23 i 26; słupki przeskalowano do 100%, jeśli wskutek zaokrągleń wiersz osiągał 99% lub 101%.

Oprócz wyników badania Jazz opublikował również dane telemetryczne ze środowisk swoich klientów. Przeciętna organizacja uwzględniona w tych danych korzystała z 169,5 różnych narzędzi AI, z których 9,8 było zatwierdzonych, co oznacza, że 94,2% nie znajdowało się na liście zatwierdzonych narzędzi.

Dlaczego istnieje ta rozbieżność: lista narzędzi nie rejestruje zdarzeń

Standardową reakcją na zagrożenia związane z GenAI jest zatwierdzenie kilku usług AI w ramach umów korporacyjnych oraz zniechęcanie do korzystania z pozostałych lub ich blokowanie. Wartość 94,2% pokazuje, jak bardzo taka lista rozmija się z praktyką. Inżynier, któremu gonią terminy, skorzysta z narzędzia, które rozwiąże bieżący problem, ponieważ zakup zatwierdzonego narzędzia zajmuje kilka tygodni.

Nawet kompletna lista nie pozwoliłaby przygotować raportu, o który zapytała CSA. Zespół ds. incydentów lub audytor zapyta o konkretne zdarzenie, podczas którego doszło do wyprowadzenia danych, a lista narzędzi nie zawiera informacji o zdarzeniach.

Aby ustalić, co wydarzyło się w takim przypadku, potrzebne są cztery informacje: jakie wrażliwe dane były zaangażowane, które narzędzie je otrzymało, za pośrednictwem którego konta je przesłano oraz dlaczego dana osoba je wysłała.

Zarządzanie narzędziami najpierw zawodzi na poziomie konta. Ta sama witryna obsługuje zarówno firmowe konto przedsiębiorstwa, z jego ustawieniami przechowywania danych i warunkami umowy, jak i bezpłatne konto osobiste pracownika, które nie ma ani takich ustawień, ani warunków. Korzystanie z zatwierdzonego narzędzia za pośrednictwem prywatnego konta dostarcza mniej więcej tyle samo dowodów, co użycie narzędzia niezatwierdzonego.

Ustalenie celu jest trudniejsze, a to właśnie ono rozstrzyga, czy doszło do nieprawidłowości. Analityczka finansowa, która wkleja model przychodów do chatbota, by naprawić błędną formułę, po prostu wykonuje swoją pracę. Taki sam tekst wklejony przez osobę, która w piątek złożyła wypowiedzenie, wymaga zupełnie innej rozmowy. Różnicę stanowi kontekst dotyczący danej osoby, który nigdy nie jest widoczny w przesyłanych danych.

Stosowane zabezpieczenia widzą tylko pojedyncze miejsca

Badanie wykazało, że nie ma jednej dominującej metody kontrolowania wrażliwych danych wysyłanych do narzędzi AI. Blokowanie domen AI na poziomie sieci, inspekcja treści w przeglądarce oraz same zasady dopuszczalnego użytkowania uzyskały po 21–23%, a platformy AI dla przedsiębiorstw z wbudowanym DLP — 10%.

Każde z tych zabezpieczeń zaprojektowano z myślą o jednym punkcie kontroli. Blokada domeny zezwala na połączenie lub je blokuje i rejestruje, z którą witryną nawiązano połączenie. Rozszerzenie przeglądarki widzi, co wpisano w tej przeglądarce, ale nie wykrywa niczego, co wysłano z aplikacji na komputerze, asystenta programistycznego w edytorze kodu ani narzędzia wiersza poleceń. Wbudowane DLP na platformie AI dla przedsiębiorstw widzi to, co trafia na tę platformę. Każde z tych rozwiązań wybiera jedno miejsce do monitorowania i zakłada, że właśnie tam trafią dane.

Pojedynczy punkt kontroli wyjaśnia również wyniki dotyczące egzekwowania zasad. Jeśli zabezpieczenie nie potrafi odróżnić konta firmowego od prywatnego ani zwykłego wklejenia od ryzykownego, musi blokować oba przypadki albo żaden. Ścisłe blokowanie zatrzymuje więc legalną pracę razem z tą ryzykowną. Zapytani o główny powód, dla którego nie zdecydowali się na szersze stosowanie aktywnego blokowania, respondenci wskazywali obawę przed zakłóceniem procesów biznesowych (46%) oraz niewystarczające zaufanie do dokładności DLP (39%).

Zastrzeżenia, o których warto pamiętać

Wyniki ankiety opierają się na samoocenie, a w badaniu nie sprawdzano, czy oceny widoczności odpowiadają rzeczywistemu zakresowi monitorowania. Wśród respondentów przeważali mieszkańcy obu Ameryk (80%) oraz osoby z organizacji zatrudniających mniej niż 5 000 pracowników (67%), dlatego wyniki mogą nie przekładać się w równym stopniu na duże globalne przedsiębiorstwa. Dane telemetryczne pochodzą z organizacji, które zdecydowały się wdrożyć ten rodzaj monitorowania, co może oznaczać nadreprezentację tych już zaniepokojonych niekontrolowanym rozpowszechnianiem narzędzi AI.

Zatwierdzone narzędzia i agenci jeszcze bardziej osłabią tę listę

Gdy zatwierdzone produkty SaaS dodają asystentów AI, na pytanie, które narzędzie otrzymało dane, często są dwie odpowiedzi: aplikacja otwarta przez pracownika oraz dostawca modelu AI, który za nią stoi. Agenci jeszcze bardziej komplikują tę sytuację. Gdy agent pobiera plik i wysyła go gdzieś w imieniu pracownika, odpowiedź na pytania „kto?” i „dlaczego?” zależy teraz częściowo od oprogramowania. Jak wskazuje niedawny artykuł Unite.AI na temat wstrzykiwania promptów w agentach działających w środowisku produkcyjnym, agentem można sterować za pomocą odczytywanych przez niego treści, dlatego jego własna relacja z tego, co zrobił, nie może zastąpić dowodów wskazujących na cel działania.

Test, który możesz przeprowadzić w tym miesiącu

Weź pod uwagę ostatnie 30 dni i wybierz najbardziej wrażliwe dane, które — jak sądzisz — trafiły do narzędzia AI. Następnie sprawdź, czy Twój zespół potrafi bez ręcznego przygotowywania zestawienia ustalić:

• Czym były te dane i skąd pochodziły
• Które narzędzie je otrzymało, w tym narzędzia spoza zatwierdzonej listy
• Czy przesłano je za pośrednictwem konta firmowego, czy prywatnego
• Nad czym pracowała ta osoba, gdy je przesyłała

Jeśli szybko uzyskasz odpowiedzi na dwa pierwsze pytania, a dwa ostatnie będą wymagały rozmowy z pracownikiem, oznacza to, że Twoje zasady zarządzania obejmują listę narzędzi, ale bardzo niewiele mówią o Twoich danych.