Ce ascund cifrele Shadow AI

Angajații din majoritatea organizaţiilor folosesc deja instrumente AI pe care angajatorul nu le-a aprobat niciodată. Până acum, acest lucru nu ar trebui să surprindă pe nimeni. Angajații s-au orientat întotdeauna spre tehnologii care îi ajută să lucreze mai eficient, indiferent dacă acele instrumente au fost introduse formal de IT. AI a simplu accelerat acest comportament.

Viteza adoptării AI este doar o parte a poveştii. Ce este mai revelator este ce ne spune despre mediile în care are loc această adoptare. Angajații care îşi aleg propriile instrumente AI indică adesea faptul că IT nu are o imagine completă a modului în care munca este realizată. Aceleaşi organizaţii care se luptă să identifice utilizarea neautorizată a AI pot, de asemenea, să se confrunte cu patch‑uri mai lente, criptare inconsistentă sau dispozitive care nu se încadrează în politicile de securitate stabilite. Shadow AI nu creează aceste slăbiciuni, dar le poate aduce în prim‑plan.

Raportul nostru State of Digital Workspace 2026 Report a analizat telemetria din milioane de dispozitive gestionate în 17 industrii, evitând limitările interogării angajaţilor despre ce instrumente folosesc. S‑a constatat că utilizarea asistenţilor AI a crescut cu aproape 1.000 % în 2025, devenind cea mai rapidă categorie de aplicaţii în mediul de lucru.

Cifra arată cât de repede se schimbă comportamentul angajaților. Ea deschide și o direcție de analiză mai puțin obișnuită: organizațiile cu expunere ridicată la aplicații neaprobate au slăbiciuni și în domenii mai consacrate ale administrării dispozitivelor? Sănătatea oferă cel mai clar indiciu că acest lucru este posibil. În studiul nostru, sănătatea se numără printre industriile cele mai expuse riscurilor de conformitate generate de aplicații neautorizate; în alte părți ale raportului, sectorul înregistrează și unele dintre cele mai lente instalări de corecții și ponderi mai mari de calculatoare desktop necriptate.

Adoptarea este doar o parte din imagine

Înțelegerea instrumentelor AI folosite de angajați este doar o parte a problemei. Întrebarea mai revelatoare este de ce le aleg, deoarece aceste decizii evidențiază adesea decalajul dintre mediul de lucru pe care departamentul IT crede că l-a creat și cel pe care angajații îl trăiesc zilnic.

Distribuţia dintre instrumentele AI aprobate şi cele neaprobate devine mai revelatoare odată ce utilizarea este stabilită. Microsoft Copilot este instalat pe scară largă pe dispozitive mobile gestionate, unde IT controlează implementarea, beneficiind de poziţia sa în cadrul Microsoft 365. În afara acelui mediu gestionat, ChatGPT domină cu un avans considerabil. Apare pe 91 % dintre dispozitivele iOS neautorizate şi pe 61 % dintre dispozitivele Android neautorizate, în timp ce Gemini reprezintă cea mai mare parte a utilizării Android rămase.

Serviciile aprobate şi cele alese de utilizatori pot coexista cu uşurinţă într-un singur mediu de lucru. Angajaţii pot avea acces la serviciul AI corporativ şi totuşi să apeleze la un alt instrument pentru că îl consideră mai rapid, mai familiar sau mai potrivit pentru o anumită sarcină. Din perspectiva lor, aceasta este adesea cea mai practică şi rapidă modalitate de a‑şi îndeplini sarcina. Pentru echipele IT şi de conformitate, acest lucru creează incertitudine privind aplicaţiile care manipulează informaţiile companiei şi dacă politicile de guvernanţă existente sunt respectate.

Modelul din software‑ul de comunicare este similar. Aplicaţiile de mesagerie pentru consumatori reprezintă aproape jumătate din instrumentele de comunicare instalate pe platformele desktop gestionate, alături de Teams, Zoom şi Slack. Serviciile financiare şi sănătatea, în ciuda obligaţiilor stricte de păstrare a înregistrărilor, nu sunt exceptate. Problema de conformitate începe când o organizaţie presupune că discuţiile sensibile rămân în canalele aprobate. O întrebare de politică, o discuţie cu un pacient sau o decizie internă mutată într‑o aplicaţie de consum poate să nu mai fie stocată în sistemele folosite pentru retenţie, monitorizare sau investigaţie. Angajatul implicat poate să nu aibă intenţia de a ocoli controalele şi poate pur şi simplu să folosească canalul prin care un coleg răspunde cel mai rapid.

Aceste tipare indică o schimbare mai amplă a modului în care se lucrează. Angajații trec tot mai des între aplicații, browsere și servicii AI care nu se încadrează întotdeauna clar în modelele tradiționale de administrare. Provocarea nu este doar identificarea unei noi aplicații, ci păstrarea unei înțelegeri clare a modului în care se desfășoară activitatea în întregul mediu, astfel încât guvernanța să țină pasul cu comportamentul angajaților.

Adoptarea AI și igiena dispozitivelor avansează în ritmuri diferite

Adoptarea rapidă a AI a scos la iveală o altă realitate a IT-ului de întreprindere: tehnologia nu evoluează în același ritm în întreaga organizație. Angajații pot începe să folosească un serviciu AI în câteva minute, fără un proces de achiziție sau o solicitare de asistență.

Închiderea unei lacune în gestionarea dispozitivelor poate dura luni, în special în medii mixte care includ laptopuri corporative, dispozitive partajate, hardware rezistent şi telefoane deținute de angajaţi. Telemetria arată o variație largă a vitezei de patch‑uire. Dispozitivele iOS ajung la cea mai recentă versiune aproximativ opt ori mai repede decât dispozitivele Android, în timp ce actualizările macOS sunt de aproximativ o dată şi jumătate mai rapide decât cele Windows.

Acoperirea prin criptare este, de asemenea, inegală; 23 % dintre desktopurile bancare nu sunt criptate, iar procentul creşte la aproximativ 27 % în sănătate şi tehnologie avansată, și la 28 % în media şi divertisment. Peste jumătate din dispozitivele desktop şi mobile din educație nu sunt criptate, în timp ce în sectorul guvernamental unul din cinci desktopuri nu are criptare.

Descompunerea pe industrii a actualizărilor de sistem de operare adaugă context. Sănătatea, farmaciile şi comerțul cu amănuntul şi en-gros au cele mai mari concentraţii de dispozitive Android care rulează patru sau cinci generaţii în urmă faţă de versiunea curentă. Informaţiile expuse de un patch ratat diferă în funcţie de mediu, de la dosare de pacienţi şi date clinice la cercetare farmaceutică şi informaţii de plată.

Dispozitivele mai vechi sunt adesea integrate în medii operaţionale în care înlocuirea şi mentenanţa sunt dificile. Un dispozitiv rezistent utilizat pe un turneu de spital sau pe podeaua unui depozit poate să ruleze în continuare o versiune de sistem de operare cu câteva versiuni majore învechite, în timp ce personalul din acel mediu are acces la cele mai noi servicii AI publice. Utilizarea AI poate atrage o preocupare imediată, deşi punctul final învechit reprezintă o cale de acces la informaţii sensibile de lungă durată.

Aici devine mai clară relația dintre adoptarea AI și administrarea dispozitivelor terminale. Raportul tratează riscul perimetrului neadministrat și igiena de securitate în capitole separate, dar sănătatea apare în ambele. Sectorul este evidențiat pentru expunerea la riscuri de conformitate cauzate de aplicații neautorizate, apoi reapare din cauza actualizărilor lente ale sistemelor de operare și a ponderii relativ ridicate a calculatoarelor desktop necriptate. Această suprapunere poate rămâne ascunsă când informațiile despre securitate, administrarea dispozitivelor și aplicații sunt în sisteme separate. Fiecare echipă poate avea o imagine exactă a propriei părți a infrastructurii, fără să observe concentrarea riscurilor dintre ele.

Calendarul de reglementare s-a schimbat

Unele organizații au așteptat ca reglementarea să creeze presiunea necesară pentru a acoperi aceste lacune, deși calendarul le oferă acum mai mult timp decât se anticipase. Conform acordului politic la care au ajuns negociatorii UE la 7 mai, obligațiile pentru sistemele independente cu risc ridicat prevăzute în anexa III la Regulamentul privind AI au fost amânate din august 2026 până în decembrie 2027. Este categoria în care se așteaptă să intre multe implementări AI din întreprinderi. Obligațiile de transparență se aplică în continuare din august 2026, în timp ce cerințele mai ample care ar determina multe organizații să creeze inventare AI și evaluări formale ale riscurilor intră acum în vigoare cu șaisprezece luni mai târziu.

Amânarea oferă organizațiilor mai mult timp să se pregătească, dar elimină și un termen extern apropiat care ar fi putut accelera investițiile.

Piața răspunde unei lacune de guvernanță recunoscute, însă valoarea acestor cheltuieli va depinde de cât de bine se conectează platformele la ansamblul dispozitivelor terminale. Un tablou de bord separat pentru guvernanța AI poate identifica instrumentele folosite, lăsând în altă parte starea dispozitivelor, criptarea și performanța aplicațiilor. Reglementarea poate stabili așteptări și responsabilități, dar nu poate crea o imagine operațională completă dacă datele de bază nu pot fi reunite.

Punctul final contează pentru oricine implementează AI

Strategia AI a fiecărei organizații va depinde, în cele din urmă, de dispozitivele pe care angajații le folosesc zilnic. Acest lucru rămâne valabil indiferent dacă AI este oferită printr-un browser, integrată într-o aplicație de afaceri sau rulează direct pe dispozitivul terminal.

Dezvoltatorii şi echipele enterprise care implementează asistenţi, agenţi sau modele on‑device trebuie să lucreze cu dispozitivele pe care angajaţii le folosesc deja. Aceste dispozitive pot fi mai vechi, intens gestionate sau deja supuse presiunii de performanţă. Pe desktopurile Windows, administrarea IT, securitatea şi instrumentele de sistem reprezintă aproape două treimi din stiva de software instalată. Protecţia endpoint‑ului, gestionarea patch‑urilor, criptarea şi agenţii de inventariere a activelor concurează pentru capacitatea procesorului şi memoria disponibile înainte ca o sarcină AI să înceapă.

Adăugarea unui asistent în acel mediu modifică cerinţele impuse dispozitivului. Acest aspect este deosebit de relevant pentru inferenţa on‑device şi fluxurile de lucru agentice, unde fiabilitatea şi resursele de calcul disponibile influenţează dacă serviciul răspunde conform aşteptărilor. The Digital Workspace 2026 Report a constatat că dispozitivele Windows experimentează de 3,1 ori mai multe opriri forţate şi de 7,5 ori mai multe stări de aplicaţii ne‑responsive decât Mac‑urile. Pe măsură ce angajaţii încep să se bazeze pe asistenţi AI în munca de zi cu zi, aceste diferenţe de fiabilitate au un efect direct asupra adoptării şi încrederii. Un serviciu indisponibil, lent sau inconsistent în momentul în care este necesar va fi rapid ocolit.

Un laptop recent oferit unui director și un dispozitiv clinic partajat pot aparține aceleiași organizații, dar se pot afla la extreme opuse în privința actualizărilor, performanței și controlului. Proiectarea unei implementări AI în jurul unui dispozitiv terminal idealizat riscă să ignore locurile în care aplicarea va fi cea mai dificilă. Aceste slăbiciuni se concentrează adesea în medii reglementate și operaționale, unde dispozitivele rămân în uz mai mult timp, iar întreruperile pot afecta activitatea din prima linie. Tot aici lipsa vizibilității are cele mai mari consecințe.

Văzând întregul mediu

Politicile rămân necesare, dar impactul lor este limitat când o organizație nu poate vedea ce instrumente folosesc angajații sau starea dispozitivelor prin care le accesează. Angajații vor continua să aleagă servicii care îi ajută să termine rapid o sarcină. Unii vor folosi un asistent aprobat, iar alții vor alege un serviciu public care pare mai simplu sau produce un rezultat mai bun. Regulile scrise, singure, nu vor oferi echipelor IT o imagine exactă a acestui comportament.

Provocarea operațională este înțelegerea utilizării AI în context, care poate include vechimea dispozitivului, sistemul de operare, starea actualizărilor, acoperirea criptării și aplicațiile deja instalate. Privit separat, fiecare set de date poate părea gestionabil. Împreună, ele pot arăta unde se acumulează mai multe slăbiciuni în jurul acelorași angajați, dispozitive sau procese de afaceri. Organizațiile reglementate ar trebui să înceapă prin reunirea informațiilor despre utilizarea AI, actualizări și criptare într-o imagine comună, apoi să identifice părțile infrastructurii care apar repetat în aceste seturi de date. AI-ul din umbră poate fi cel mai vizibil semn al problemei, în timp ce riscul mai amplu se află în golurile dintre sistemele folosite pentru administrarea mediului de lucru.