Lina Dabit, 执行董事和现场首席信息安全官，Optiv Canada Lina Dabit 执行董事和现场首席信息安全官，Optiv Canada

暗影AI：组织不能忽视的治理差距

在当前的AI发展阶段，商业领袖普遍认识到AI治理的重要性。然而，组织制定政策和防护措施的速度仍然落后于员工将AI融入日常工作的速度。等待治理框架“完成”后才启用AI的组织必须面对一个残酷的现实：在没有明确的AI使用规则的情况下，员工将自行定义这些边界。而这些决定可能会直接与组织标准、风险承受能力或监管义务相冲突。这种治理差距导致了暗影AI成为许多组织的默认运营模式。广泛且日益增长的问题暗影AI并不仅限于个人贡献者在边缘进行实验。它遍及整个组织，包括领导层。随着AI被嵌入日常工作流程中，甚至高级决策者也在绕过正式的审批流程以利用其优势。事实上，最近的一项研究发现，68%的安全领导者，包括CISO，承认他们在工作流程中加入了一定程度的未经授权的AI。与此同时，79%的IT领导者报告称，他们的组织已经经历了与AI工具共享企业数据的负面后果。分析师预测这个问题将会加剧。 Gartner估计，到2030年，超过40%的组织将由于使用未经授权的AI工具而经历安全或合规事件。扩大的风险表面暗影AI带来了广泛的风险，包括： 数据控制和潜在的数据泄露 扩大的安全漏洞和攻击面 合规和监管风险 对AI使用情况的可见性不足 知识产权的丧失 声誉损害 不准确或有偏见的输出 这些风险的重要驱动因素是对AI系统处理数据的基本误解。许多员工假设使用“免费”工具，尤其是那些不需要登录凭证的工具，可以提供匿名或保护。实际上，这些工具通常依赖于用户输入来训练和改进其模型，并且在某些情况下，将数据与第三方共享。这些数据可能包括高度敏感的信息，例如个人身份信息（PII）、医疗或法律数据、财务记录、知识产权和其他机密商业信息。更令人担忧的是，意识到这一点并不总是能改变行为。 研究表明，38%的员工故意与AI工具共享敏感信息，而没有获得组织的批准。为什么暗影AI持续存在要有效地解决暗影AI问题，组织必须首先了解其根源。在大多数情况下，员工并不是出于恶意的意图。他们是在对环境做出理性的反应。他们面临着更快、更好、更高效地完成任务的压力。AI使这一切成为可能。暗影AI出现是因为组织系统未能跟上这些期望。常见的驱动因素包括： 严格禁止在工作场所使用AI工具 批准的工具功能较差或用户体验较差 压力要求按紧迫的截止日期完成任务 采购流程缓慢或复杂 政策不明确、不一致或不存在 培训或指导有限 过度自信于个人判断或低估风险 暗影AI的核心是一个权衡。当感知到的生产力收益大于感知到的风险时，员工每次都会选择速度和效率。在不扼杀创新情况下管理AI员工已经在使用AI。忽视这一事实或延迟行动只会加大政策与实践之间的差距。组织应该从控制转向赋能的方法。这始于建立明确、实用和透明的指南，即使它们还不够成熟。早期的防护措施提供方向，减少模糊性，并对可接受的使用创建共享的理解。但是，仅凭政策是不够的。组织还需要可见性。这需要建立基于信任的机制，允许员工安全地披露他们正在使用哪些工具以及为什么使用它们。例如，“暗影AI特赦”期或匿名报告可以在不立即惩罚行为的情况下提供关键见解。同时，组织必须保持问责制。在数据泄露严重或疏忽的情况下，后果可能仍然是必要的。目标不是完全消除风险，而是以智能的方式管理风险。从暗影到战略暗影AI是创新发展速度超过组织结构能够容纳的信号。组织不能等待。现在建立治理，即使不完善，也是减少风险和恢复可见性的关键。但是，治理本身是不够的。明确的防护措施必须与赋能、教育和易于使用的替代方案相结合，赋予员工安全有效地使用AI的能力。目标不是限制AI的采用，而是塑造它。当组织实现这种平衡时，暗影AI从隐藏的负担转变为受管理的战略能力。通过这样做，他们可以在差距演变成漏洞之前弥合AI的使用方式与应该使用的方式之间的差距。