Shadow AI چیست؟ بررسی کامل خطرات، مزایا، نحوه شناسایی و مدیریت آن در سازمان‌ها

فرض کنید یکی از کارکنان برای تهیه گزارش ماهانه، فایل حاوی اطلاعات مشتریان را در یک ابزار هوش مصنوعی عمومی بارگذاری می‌کند تا در چند دقیقه خلاصه‌ای از آن تهیه شود. از نگاه کارمند، این کار تنها راهی برای افزایش سرعت انجام وظایف است؛ اما از نگاه تیم امنیت اطلاعات، همین اقدام می‌تواند آغاز یک حمله سایبری یا نقض الزامات قانونی باشد.
این شکاف میان سرعت پذیرش هوش مصنوعی و توانایی سازمان در مدیریت آن، زمینه شکل‌گیری Shadow AI را فراهم کرده است. Shadow AI تنها یک مسئله فناوری نیست؛ بلکه یک چالش امنیتی و مدیریتی است که می‌تواند بر محرمانگی داده‌ها، انطباق با مقررات و مدیریت ریسک سازمان تأثیر مستقیم بگذارد.
در ادامه، ابعاد مختلف  Shadow AI، خطرات آن برای سازمان‌ها و بهترین روش‌های شناسایی و کنترل این پدیده را بررسی خواهیم کرد.

Shadow AI چیست؟

Shadow AI به استفاده از ابزارها و سرویس‌های هوش مصنوعی در فعالیت‌های کاری بدون نظارت یا مدیریت سازمان گفته می‌شود. این وضعیت معمولاً زمانی ایجاد می‌شود که کارکنان برای افزایش سرعت و بهره‌وری، از ابزارهایی مانند چت‌بات‌ها، دستیارهای هوشمند یا سرویس‌های تولید محتوا استفاده می‌کنند، بدون آنکه سازمان از این موضوع آگاه باشد یا نحوه استفاده از این ابزارها را کنترل کند. در نتیجه، داده‌ها و اطلاعات سازمانی ممکن است خارج از دید واحد فناوری اطلاعات و امنیت اطلاعات پردازش یا به اشتراک گذاشته شوند.

چرا به آن Shadow AI گفته می‌شود؟

واژه Shadow در امنیت سایبری به فعالیت‌هایی اشاره دارد که خارج از کنترل و دید سازمان انجام می‌شوند. بنابراین، زمانی که کارکنان بدون هماهنگی با واحد فناوری اطلاعات یا امنیت اطلاعات از ابزارهای هوش مصنوعی استفاده می‌کنند، Shadow AI به وجود می‌آید. این وضعیت می‌تواند باعث کاهش شفافیت، افزایش ریسک‌های امنیتی و دشوار شدن مدیریت داده‌ها و الزامات منطبق شود. مثال‌های رایج Shadow AI:

• بارگذاری اسناد داخلی در ChatGPT برای خلاصه‌سازی
• استفاده از ابزارهای AI برای تولید کد بدون تأیید سازمان
• استفاده از سرویس‌های ترجمه مبتنی بر هوش مصنوعی برای اسناد محرمانه
• اتصال ابزارهای AI به داده‌های سازمانی از طریق API
• استفاده از دستیارهای کدنویسی مانند GitHub Copilot بدون سیاست مشخص امنیتی

Shadow AI چگونه به وجود می‌آید؟

برخلاف تصور رایج، Shadow AI معمولاً نتیجه یک اقدام مخرب یا عمدی نیست. این پدیده اغلب زمانی ایجاد می‌شود که کارکنان برای افزایش سرعت انجام کارها به سراغ ابزارهای هوش مصنوعی می‌روند، اما سازمان هنوز چارچوب مشخصی برای استفاده از این فناوری‌ها تعریف نکرده است.

۱. افزایش فشار برای بهره ‌وری

کارکنان به دنبال راه‌هایی هستند که وظایف خود را سریع‌تر انجام دهند. ابزارهای هوش مصنوعی این امکان را فراهم می‌کنند و همین موضوع باعث استفاده گسترده از آن‌ها می‌شود.

۲.نبود AI Policy

در بسیاری از سازمان‌ها هنوز سیاست مشخصی برای استفاده از هوش مصنوعی وجود ندارد. این خلأ باعث می‌شود کارکنان بر اساس تصمیم شخصی از ابزارهای مختلف استفاده کنند.

۳.فقدان ابزارهای سازمانی هوش مصنوعی

زمانی که سازمان ابزارهای هوش مصنوعی مورد تأیید و متناسب با نیازهای کاری کارکنان را فراهم نکند، کاربران برای افزایش سرعت و بهره‌وری از سرویس‌های عمومی استفاده می‌کنند. این شکاف میان نیاز کاربران و امکانات ارائه‌شده توسط سازمان، زمینه‌ساز شکل‌گیری Shadow AI می‌شود.

۴.در دسترس بودن گسترده سرویس‌های AI

برخلاف بسیاری از نرم‌افزارهای سازمانی که قبل از استفاده نیاز به بررسی، تأیید و استقرار دارند، اکثر سرویس‌های هوش مصنوعی ابری در چند دقیقه قابل استفاده هستند. همین سادگی دسترسی باعث می‌شود کارکنان بدون طی کردن فرآیندهای سازمانی به سراغ این ابزارها بروند و از آن‌ها برای پردازش اطلاعات کاری استفاده کنند. این موضوع دید و کنترل سازمان بر استفاده از هوش مصنوعی را کاهش می‌دهد و زمینه شکل‌گیری Shadow AI را فراهم می‌کند.

تفاوت Shadow AI و Shadow IT

     
        
در واقع Shadow AI را می‌توان زیرمجموعه‌ای تخصصی از Shadow IT دانست که ریسک‌های مرتبط با هوش مصنوعی را نیز به همراه دارد.

مهم‌ترین خطرات Shadow AI

یکی از دلایل اصلی نگرانی سازمان‌ها دربارهShadow AI، ریسک‌هایی است که استفاده کنترل‌نشده از ابزارهای هوش مصنوعی ایجاد می‌کند. این ریسک‌ها می‌توانند از نشت اطلاعات حساس تا چالش‌های حقوقی، امنیتی و عملیاتی را شامل شوند.

نشت اطلاعات حساس (Data Leakage)

استفاده از ابزارهای هوش مصنوعی بدون نظارت سازمانی می‌تواند به نشت اطلاعات حساس منجر شود. بسیاری از کاربران برای انجام سریع‌تر وظایف خود، بخشی از داده‌ها، اسناد یا اطلاعات کاری را در این ابزارها وارد می‌کنند؛ در حالی که ممکن است از نحوه ذخیره‌سازی، پردازش یا اشتراک‌گذاری این اطلاعات آگاهی نداشته باشند. در چنین شرایطی، داده‌های ارزشمند سازمان در معرض افشا، دسترسی غیرمجاز یا سوءاستفاده قرار می‌گیرند. نمونه‌هایی از این اطلاعات عبارت‌اند از:

• اطلاعات مشتریان

• داده‌های مالی

• اطلاعات منابع انسانی

• اسناد محرمانه کسب ‌وکار

• اسرار تجاری

• کدهای فنی و اختصاصی 

• اطلاعات مربوط به محصولات و پروژه‌های در حال توسعه

افشای دارایی فکری (Intellectual Property Leakage)

بسیاری از سازمان‌ها دارایی‌های ارزشمندی مانند کدهای اختصاصی، مستندات فنی، طرح‌های محصول، الگوریتم‌ها و دانش فنی را در اختیار دارند. اگر این اطلاعات برای دریافت پاسخ یا تحلیل بهتر در ابزارهای هوش مصنوعی عمومی وارد شوند، ممکن است خارج از کنترل سازمان قرار بگیرند. این موضوع می‌تواند به افشای دارایی‌های فکری و اطلاعات اختصاصی کسب‌وکار منجر شود.

ریسک‌های انطباق و قوانین (Compliance Risks)

در بسیاری از صنایع، نحوه جمع‌آوری، پردازش و نگهداری اطلاعات تحت قوانین و استانداردهای مشخصی قرار دارد. زمانی که کارکنان از ابزارهای هوش مصنوعی تأییدنشده استفاده می‌کنند، سازمان ممکن است نتواند الزامات مربوط به حفاظت از داده‌ها، حریم خصوصی، امنیت اطلاعات یا سیاست‌های داخلی خود را به‌درستی اجرا کند. این موضوع می‌تواند ریسک‌های قانونی و انطباقی قابل‌توجهی برای سازمان ایجاد کند؛ حتی در مواردی که هیچ نشت داده آشکاری رخ نداده باشد.

خطای توهم‌زایی هوش مصنوعی (AI Hallucination)

یکی از محدودیت‌های شناخته‌شده مدل‌های هوش مصنوعی، تولید پاسخ‌هایی است که ظاهری معتبر دارند اما از نظر حقیقی نادرست هستند. این پدیده که با عنوان AI Hallucination شناخته می‌شود، می‌تواند باعث تولید اطلاعات اشتباه، تفسیرهای نادرست یا استناد به منابع غیرواقعی شود. در محیط‌های سازمانی، اتکای بیش از حد به چنین خروجی‌هایی ممکن است بر تصمیم‌گیری، تحلیل داده‌ها، تولید محتوا و حتی فرآیندهای امنیتی تأثیر منفی بگذارد.

ریسک Agentهای هوشمند

برخلاف چت‌بات‌های معمولی، Agentهای هوشمند می‌توانند علاوه بر تولید پاسخ، اقداماتی را نیز به‌صورت خودکار انجام دهند؛ برای مثال ایمیل ارسال کنند، فایل‌ها را تحلیل کنند یا به ابزارهای سازمانی متصل شوند. در صورتی که این ابزارها بدون نظارت سازمان مورد استفاده قرار گیرند، ممکن است به اطلاعات حساس دسترسی پیدا کنند یا اقداماتی انجام دهند که خارج از کنترل سازمان باشد.

Shadow AI به یک ابزار خاص محدود نمی‌شود. هر ابزار هوش مصنوعی که بدون تأیید یا نظارت سازمان برای انجام فعالیت‌های کاری مورد استفاده قرار گیرد، می‌تواند مصداق Shadow AI باشد. از رایج‌ترین نمونه‌ها می‌توان بهChatGPT، Microsoft Copilot، Google Gemini، Claude، GitHub Copilot  و Perplexity اشاره کرد.

نکته مهم این است که این ابزارها ذاتاً خطرناک نیستند؛ ریسک زمانی ایجاد می‌شود که کارکنان بدون رعایت سیاست‌ها و کنترل‌های سازمانی از آن‌ها برای پردازش اطلاعات کاری استفاده کنند.

چگونه Shadow AI را شناسایی کنیم؟

یکی از بزرگ‌ترین چالش‌های Shadow AI این است که معمولاً خارج از دید تیم‌های فناوری اطلاعات و امنیت اطلاعات شکل می‌گیرد. به همین دلیل، شناسایی ابزارها و سرویس‌های هوش مصنوعی مورد استفاده در سازمان، اولین گام برای کنترل ریسک‌های ناشی از آن است.

مانیتورینگ ترافیک شبکه

بررسی ترافیک شبکه می‌تواند ارتباط کاربران با ابزارها و سرویس‌های هوش مصنوعی را آشکار کند. این روش به سازمان کمک می‌کند دید اولیه‌ای نسبت به میزان استفاده از AI در محیط خود به دست آورد.

استفاده از CASB

راهکارهای(Cloud Access Security Broker) CASB امکان مشاهده و کنترل استفاده از سرویس‌های ابری را فراهم می‌کنند. این ابزارها می‌توانند سرویس‌های هوش مصنوعی مورد استفاده کارکنان را شناسایی کرده و دید بهتری نسبت به ریسک‌های احتمالی ایجاد کنند.

راهکارهای DLP

راهکارهای (Data Loss Prevention)DLP  با پایش داده‌های در حال انتقال، می‌توانند ارسال اطلاعات حساس به ابزارهای هوش مصنوعی را شناسایی یا محدود کنند و از نشت داده‌ها جلوگیری کنند.

نظارت بر فعالیت مرورگرها (Browser Monitoring)

بسیاری از ابزارهای هوش مصنوعی از طریق مرورگر در دسترس هستند. راهکارهای نظارت بر مرورگر می‌توانند استفاده کاربران از این سرویس‌ها را شناسایی و الگوهای رفتاری مرتبط با Shadow AI را آشکار کنند.

تحلیل لاگ‌ها

بررسی لاگ‌های فایروال، پراکسی، DNS  و سامانه‌های SIEM می‌تواند نشانه‌هایی از استفاده کاربران از ابزارهای هوش مصنوعی را مشخص کند و به کشف فعالیت‌های خارج از دید سازمان کمک کند.

شناسایی دارایی‌های هوش مصنوعی (AI Asset Discovery)

سازمان باید فهرستی از ابزارها، سرویس‌ها و پلتفرم‌های هوش مصنوعی مورد استفاده کارکنان تهیه کند. این دید به سازمان کمک می‌کند ریسک‌ها را بهتر ارزیابی کرده و کنترل‌های مناسب را اعمال کند.

بهترین روش‌های مدیریت Shadow AI

مدیریت Shadow AI به معنای ممنوع کردن استفاده از ابزارهای هوش مصنوعی نیست. سازمان‌ها باید با ایجاد سیاست‌ها، کنترل‌ها و فرآیندهای مناسب، امکان استفاده امن و کنترل‌شده از این فناوری‌ها را فراهم کنند و در عین حال ریسک‌های امنیتی و انطباقی را کاهش دهند.

ایجاد حاکمیت هوش مصنوعی (AI Governance)

برای مدیریتShadow AI، سازمان باید چارچوب مشخصی برای استفاده از ابزارهای هوش مصنوعی داشته باشد. AI Governance به سازمان کمک می‌کند نحوه استفاده از AI را کنترل کرده، ریسک‌ها را کاهش دهد و الزامات قانونی و امنیتی را رعایت کند.  AI Governance چه اهدافی را دنبال می‌کند؟

• مدیریت و کاهش ریسک‌های مرتبط با هوش مصنوعی 
• مشخص کردن نقش‌ها و مسئولیت‌های افراد و واحدها 
• کنترل دسترسی به ابزارها و داده‌های مرتبط با AI 
• رعایت الزامات قانونی، امنیتی و انطباقی 
• پایش و ارزیابی مستمر نحوه استفاده از AI 

تدوین سیاست استفاده از هوش مصنوعی (AI Policy)

یکی از مهم‌ترین اقدامات برای کنترل Shadow AI، تدوین یک سیاست مشخص برای استفاده از ابزارهای هوش مصنوعی است. این سیاست به کارکنان کمک می‌کند بدانند چه استفاده‌ای از AI مجاز است و چه اقداماتی می‌تواند برای سازمان ریسک ایجاد کند.
یک AI Policy مؤثر باید مشخص کند:

• استفاده از چه ابزارهای هوش مصنوعی مجاز است 
• چه اطلاعات و داده‌هایی نباید در ابزارهای AI وارد شوند 
• مسئولیت کاربران هنگام استفاده از AI چیست 
• چه الزامات امنیتی و کنترلی باید رعایت شود

آموزش کارکنان

بسیاری از ریسک‌های Shadow AI به دلیل آگاهی ناکافی کاربران ایجاد می‌شوند. آموزش کارکنان درباره نحوه استفاده ایمن از ابزارهای هوش مصنوعی می‌تواند احتمال بروز خطاهای امنیتی را کاهش دهد.

ایجاد فهرست ابزارهای مجاز

ممنوع کردن کامل ابزارهای هوش مصنوعی معمولاً راهکار مؤثری نیست. بهتر است سازمان فهرستی از ابزارهای مورد تأیید را در اختیار کارکنان قرار دهد تا نیازهای کاری آن‌ها به‌صورت امن برطرف شود.

اجرای Zero Trust

در رویکرد Zero Trust هیچ کاربر یا سرویسی به‌صورت پیش‌فرض قابل اعتماد نیست. این مدل با اعتبارسنجی مداوم دسترسی‌ها، احتمال سوءاستفاده و دسترسی غیرمجاز را کاهش می‌دهد.

طبقه‌بندی داده‌ها

سازمان باید اطلاعات حساس و محرمانه را شناسایی و طبقه‌بندی کند تا از ورود آن‌ها به ابزارهای هوش مصنوعی جلوگیری شود.

مدیریت هویت و دسترسی

محدود کردن دسترسی کاربران بر اساس نیاز واقعی آن‌ها، از دسترسی غیرضروری به داده‌ها و ابزارهای هوش مصنوعی جلوگیری کرده و ریسک‌های امنیتی را کاهش می‌دهد.

استانداردها و چارچوب‌های مرتبط با Shadow AI

مدیریت Shadow AI تنها به ابزارها و کنترل‌های امنیتی محدود نمی‌شود. سازمان‌ها می‌توانند با استفاده از استانداردها و چارچوب‌های معتبر، ریسک‌های مرتبط با هوش مصنوعی را به‌صورت ساختاریافته مدیریت کنند.

NIST AI RMF

NIST AI RMF یک چارچوب مدیریت ریسک هوش مصنوعی است که توسط مؤسسه ملی استاندارد و فناوری آمریکا (NIST) ارائه شده است. این چارچوب به سازمان‌ها کمک می‌کند ریسک‌های مرتبط با استفاده از ابزارهای هوش مصنوعی را شناسایی و مدیریت کنند.

ISO/IEC 42001

ISO/IEC 42001 اولین استاندارد بین‌المللی برای مدیریت سیستم‌های هوش مصنوعی است. این استاندارد به سازمان‌ها کمک می‌کند فرآیندها، مسئولیت‌ها و کنترل‌های لازم برای استفاده از AI را تعریف کنند.

ISO 27001

ISO 27001 یکی از شناخته‌شده‌ترین استانداردهای مدیریت امنیت اطلاعات است. این استاندارد با ارائه کنترل‌های امنیتی، از داده‌ها و اطلاعات سازمان در برابر تهدیدهای مختلف محافظت می‌کند.

NIST Cybersecurity Framework

NIST Cybersecurity Framework یک چارچوب امنیت سایبری است که برای مدیریت و کاهش ریسک‌های امنیتی طراحی شده است. سازمان‌ها می‌توانند از آن برای شناسایی و کنترل تهدیدهای مرتبط با هوش مصنوعی نیز استفاده کنند.

GDPR و EU AI Act

EU AI Act از مهم‌ترین مقررات اتحادیه اروپا در حوزه حفاظت از داده‌ها و هوش مصنوعی هستند. این قوانین الزامات مشخصی برای استفاده مسئولانه از داده‌ها و فناوری‌های هوش مصنوعی تعیین می‌کنند. 

آینده Shadow AI

در آینده، چالش Shadow AI فراتر از استفاده کارکنان از چند ابزار هوش مصنوعی خواهد بود. با گسترش Agentهای هوشمند و اتصال آن‌ها به سامانه‌ها و داده‌های سازمانی، شناسایی و کنترل فعالیت‌های مبتنی بر AI پیچیده‌تر می‌شود.

به همین دلیل، تمرکز سازمان‌ها از ممنوعیت ابزارهای AI به سمت مدیریت، نظارت و افزایش دید نسبت به نحوه استفاده از آن‌ها تغییر خواهد کرد. سازمان‌هایی که از امروز برای مدیریت Shadow AI برنامه‌ریزی کنند، آمادگی بیشتری برای مقابله با ریسک‌های آینده خواهند داشت.

جمع‌بندی

Shadow AI یکی از مهم‌ترین چالش‌های نوظهور امنیت سایبری و حاکمیت هوش مصنوعی در سازمان‌ها محسوب می‌شود. افزایش استفاده از ابزارهای هوش مصنوعی مولد باعث شده بسیاری از کارکنان بدون نظارت سازمانی از این فناوری‌ها استفاده کنند. این موضوع ریسک‌هایی مانند نشت داده، نقض الزامات قانونی، افشای مالکیت فکری و کاهش دید امنیتی را به همراه دارد.

سازمان‌ها باید به جای ممنوعیت کامل ابزارهای هوش مصنوعی، بر ایجاد AI Governance، تدوینAI Policy، آموزش کارکنان، پیاده‌سازی  Zero Trust و استفاده از چارچوب‌هایی مانند NIST AI RMF و ISO/IEC 42001 تمرکز کنند. تنها در این صورت می‌توان از مزایای هوش مصنوعی بهره‌مند شد و در عین حال ریسک‌های Shadow AI را کنترل کرد.

سوالات متداول

Shadow AI چیست؟

Shadow AI به استفاده از ابزارها، سرویس‌ها یا فناوری‌های هوش مصنوعی بدون تأیید، نظارت یا مدیریت رسمی سازمان گفته می‌شود. این وضعیت معمولاً زمانی ایجاد می‌شود که کارکنان برای انجام فعالیت‌های کاری از ابزارهای AI استفاده کنند، بدون اینکه واحد فناوری اطلاعات یا امنیت اطلاعات از آن آگاه باشد.

تفاوت Shadow AI و Shadow IT چیست؟

Shadow IT به استفاده از نرم‌افزارها، سرویس‌ها یا تجهیزات فناوری بدون تأیید سازمان اشاره دارد، در حالی که Shadow AI به استفاده غیرمجاز از ابزارها و فناوری‌های هوش مصنوعی مربوط می‌شود. هر دو می‌توانند ریسک‌های امنیتی ایجاد کنند، اما Shadow AI  علاوه بر این خطرات، ریسک‌هایی مانند نشت داده در ابزارهای هوش مصنوعی و تولید اطلاعات نادرست را نیز به همراه دارد.

آیا ChatGPT نمونه‌ای از Shadow AI است؟

خیر ChatGPT به‌خودی‌خود Shadow AI محسوب نمی‌شود. اما اگر کارکنان بدون رعایت سیاست‌های سازمانی یا بدون اطلاع واحد فناوری اطلاعات از آن برای پردازش اطلاعات کاری استفاده کنند، می‌تواند مصداق Shadow AI باشد.

مهم‌ترین خطرات Shadow AI چیست؟

نشت اطلاعات حساس، افشای دارایی‌های فکری، نقض الزامات قانونی و انطباقی، افشای پرامپت‌ها، تولید اطلاعات نادرست و استفاده کنترل‌نشده از Agentهای هوشمند از مهم‌ترین ریسک‌های Shadow AI هستند.

آیا Shadow AI باعث نشت اطلاعات می‌شود؟

بله. یکی از مهم‌ترین ریسک‌های Shadow AI وارد کردن اطلاعات حساس، داده‌های مشتریان، اسناد محرمانه یا کدهای اختصاصی در ابزارهای هوش مصنوعی است که می‌تواند منجر به افشای اطلاعات شود.

چگونه Shadow AI را شناسایی کنیم؟

سازمان‌ها می‌توانند با استفاده از راهکارهایی مانند مانیتورینگ شبکه، CASB، DLP، تحلیل لاگ‌ها، نظارت بر مرورگرها و تهیه فهرست ابزارهای هوش مصنوعی مورد استفاده کارکنان، Shadow AI را شناسایی کنند.

چگونه Shadow AI را مدیریت کنیم؟

مدیریت Shadow AI نیازمند ترکیبی ازAI Governance، سیاست استفاده از هوش مصنوعی (AI Policy)، آموزش کارکنان، مدیریت دسترسی‌ها، طبقه‌بندی داده‌ها و نظارت مستمر بر استفاده از ابزارهای AI است.

آیا ممنوع کردن ChatGPT برای کنترل Shadow AI کافی است؟

خیر. تمرکز صرف بر ممنوع کردن یک ابزار خاص معمولاً مؤثر نیست. سازمان‌ها باید چارچوب مشخصی برای استفاده از هوش مصنوعی ایجاد کنند و بر مدیریت ریسک و نظارت مستمر تمرکز داشته باشند.

AI Governance چه نقشی در مدیریت Shadow AI دارد؟

AI Governance مجموعه‌ای از سیاست‌ها، فرآیندها و کنترل‌هاست که به سازمان کمک می‌کند استفاده از ابزارهای هوش مصنوعی را مدیریت کند، ریسک‌ها را کاهش دهد و الزامات امنیتی و قانونی را رعیت کند.