Shadow AI (теневой ИИ): что это и как контролировать риски

Shadow AI — это использование сотрудником генеративного ИИ-сервиса для решения рабочей задачи без согласования с ИТ- или ИБ-подразделением компании: через личный аккаунт, личное устройство или неутверждённое браузерное расширение. Термин образован по аналогии с Shadow IT — устоявшимся понятием для любого несогласованного софта и сервиса в компании — и закрепился в отраслевом обиходе по мере того, как публичные ИИ-модели стали массовым инструментом для повседневных офисных задач: написать письмо, обобщить документ, сгенерировать фрагмент кода, перевести текст.

Формально это нарушение внутренних правил компании, но с точки зрения сотрудника — просто самый быстрый способ закрыть задачу. Корпоративное решение по работе с ИИ либо ещё не согласовано, либо есть, но доступ к нему выдаётся дольше, чем открыть браузер и зайти в бесплатный публичный сервис.

Именно этот разрыв между скоростью решения и скоростью согласования и порождает теневой ИИ практически в любой компании, где формально ИИ не запрещён явным техническим ограничением.

Теневой ИИ проникает в компанию не через один канал, а через несколько параллельных путей — от браузерной вкладки на личном аккаунте до встроенного ИИ-помощника в уже разрешённом рабочем инструменте. Ниже — типичные сценарии.

Главный риск Shadow AI — не сам факт использования ИИ, а полная утрата видимости: компания не знает, какие данные покинули периметр, в каком объёме и на каких условиях провайдер модели их обрабатывает и хранит дальше. Это создаёт сразу несколько накладывающихся друг на друга проблем.

Прямых способов «увидеть» теневой ИИ немного, поэтому обнаружение обычно строится на косвенных сигналах и на технической видимости сетевого и почтового трафика, а не на честных признаниях сотрудников.

• Сетевой трафик на домены ИИ-сервисов — рост обращений к известным доменам публичных моделей с рабочих устройств и корпоративной сети виден на уровне сетевого шлюза, даже если содержимое запроса зашифровано.
• Аудит корпоративных карт и расходов — платные подписки на ИИ-сервисы, оформленные отделами в обход централизованной закупки, обычно всплывают при сверке трат.
• Опрос и добровольное анкетирование — прямой вопрос сотрудникам, каким ИИ они пользуются для работы, даёт грубую, но быструю оценку масштаба явления, если задан без угрозы наказания.
• DLP-контроль исходящих запросов — система защиты от утечек данных способна распознавать в исходящем трафике признаки чувствительной информации (маски карт, паттерны персональных данных, маркировку конфиденциальных документов) ещё до того, как запрос уйдёт наружу.

Полный запрет ИИ-сервисов на уровне политики почти никогда не решает проблему — он лишь загоняет использование глубже в тень, на личные устройства и личные аккаунты, где у компании вообще нет видимости. Рабочий подход строится на сочетании организационных и технических мер.

Организационные меры

• Политика допустимого использования ИИ — явный список, что можно вставлять в промпт (общие формулировки, публичная информация), а что нельзя (персональные данные, код с коммерческой логикой, финансовые показатели, содержимое договоров).
• Легальная корпоративная альтернатива — если у сотрудников есть быстрый и понятный способ получить доступ к ИИ-инструменту с контролируемой обработкой данных, стимул уходить в тень заметно снижается.
• Обучение без карательного тона — объяснение механики риска («куда уходят данные и почему это важно») работает эффективнее запрета без объяснений.

Технические меры

• DLP-системы — контроль содержимого исходящих запросов к внешним сервисам, включая ИИ-домены, по тем же принципам, что и контроль почты или облачных дисков.
• AI-шлюзы (AI gateway) — прокси-слой, через который проходят все обращения к внешним моделям: фильтрует чувствительные данные из промпта до отправки, ведёт журнал запросов и может перенаправлять трафик на согласованную корпоративную модель вместо публичной.
• Мониторинг сетевого трафика — базовая видимость обращений к доменам ИИ-сервисов на уровне веб-шлюза, без которой остальные меры работают вслепую.
• Классы решений AI Security — отдельное направление СЗИ, часть продуктов которого закрывает именно контроль передачи данных в модели и защиту периметра ИИ-инфраструктуры; смежная, но не тождественная тема — атаки на сами модели разбираются в статье «Безопасность ИИ».

Shadow AI — частный случай более широкого явления Shadow IT: любого софта, сервиса или устройства, которое сотрудники используют в обход согласования с ИТ-отделом. Отличие в характере риска. Shadow IT в классическом виде — это, например, личный облачный диск для рабочих файлов: данные покидают периметр и просто хранятся вовне.

Shadow AI устроен иначе — данные не просто хранятся, а становятся частью запроса к модели, и то, как провайдер модели использует этот запрос дальше (для дообучения, логирования, передачи третьим лицам), для компании-заказчика обычно непрозрачно и зависит от условий конкретного сервиса.