შედოუ AI (Shadow AI) ეხება ხელოვნური ინტელექტის ინსტრუმენტების გამოყენებას კომპანიის ან ორგანიზაციის შიგნით — IT ან უსაფრთხოების გუნდის ცოდნის, შემოწმების ან თანხმობის გარეშე. თანამშრომელი, რომელიც კლიენტის ხელშეკრულებას პირად ChatGPT ანგარიშში აჯამებინებს, დეველოპერი, რომელიც დაუმტკიცებელ კოდირების ასისტენტს იყენებს, ან გაყიდვების მენეჯერი, რომლის ბრაუზერის დამატებაც პოტენციური კლიენტის მონაცემებს ჩუმად გარე მოდელს უგზავნის — ეს ყველაფერი შედოუ AI-ის მაგალითია. თავად ინსტრუმენტები ხშირად სავსებით ლეგიტიმურია; პრობლემა ისაა, რომ ორგანიზაციის მონაცემებსა და შესაბამისობაზე პასუხისმგებელმა არავინ იცის მათი გამოყენების შესახებ.
ძველი პრობლემა, ახალი სახელით
ტერმინი მომდინარეობს „შედოუ IT“-დან (shadow IT) — ათწლეულების წინანდელი პრაქტიკიდან, როცა თანამშრომლები იყენებდნენ პროგრამებს ან მოწყობილობებს, რომლებსაც IT განყოფილება არასდროს ამოწმებდა (მაგალითად, დაუმტკიცებელი ღრუბლოვანი საცავები ან პირადი მესენჯერები სამუშაო მიმოწერისთვის). შედოუ AI იმავე პრობლემის უფრო მკვეთრი ვერსიაა, რადგან გენერაციული AI ინსტრუმენტები არა მხოლოდ ინახავენ მონაცემებს — მათ შეუძლიათ მისი შენარჩუნება წვრთნისთვის, მისი გამოვლენა შემდგომ პასუხებში, ან მისი გადაცემა მესამე მხარეებისთვის საკუთარი მომწოდებლების ჯაჭვის მეშვეობით. ცხრილის ჩატბოტისთვის გადაცემა განსხვავებული რისკია, ვიდრე იმავე ცხრილის დაუმტკიცებელ ღრუბლოვან დისკზე შენახვა.
როგორ ვლინდება პრაქტიკაში
შედოუ AI იშვიათად ჰგავს ერთ „არასანქცირებულ“ აპლიკაციას. ის ვლინდება, როგორც კორპორაციული ინსტრუმენტის პირადი ვერსია (უფასო ChatGPT კომპანიის მიერ ლიცენზირებულის ნაცვლად), როგორც IDE-ის მაღაზიიდან პირდაპირ დაყენებული კოდირების ასისტენტი, როგორც ბრაუზერის დამატება, რომელიც ელფოსტას აჯამებს, ან — სულ უფრო ხშირად — როგორც AI ფუნქცია, რომელიც უკვე გამოყენებულ პროგრამულ უზრუნველყოფაში ჩუმად ირთვება, ისე, რომ IT-ს არავინ ატყობინებს. სწორედ ეს უკანასკნელი კატეგორია განაპირობებს პრობლემის ზრდას იმ ორგანიზაციებშიც კი, რომლებსაც ჰგონიათ, რომ ყველაფერი კონტროლის ქვეშაა: SaaS პროდუქტის დამტკიცება აღარ ნიშნავს მასში ჩაშენებული ყველა AI ფუნქციის დამტკიცებას.
რატომ არის ეს რეალური რისკი და არა უბრალოდ პოლიტიკის დამატებითი თავის ტკივილი
რისკი ჰიპოთეტური არ არის. IBM-ის 2025 წლის მონაცემთა გაჟონვის ღირებულების ანგარიშმა დაადგინა, რომ გაჟონვის მსხვერპლ ორგანიზაციათა ყოველი მეხუთე შემთხვევა შედოუ AI-სთან იყო დაკავშირებული, ხოლო ორგანიზაციები, სადაც შედოუ AI ფართოდაა გავრცელებული, საშუალოდ დაახლოებით $670,000-ით მეტს იხდიდნენ თითოეულ გაჟონვაზე, ვიდრე ისინი, სადაც ის მინიმალური ან არარსებულია. იმავე ანგარიშის მიხედვით, გაჟონვის მსხვერპლ ორგანიზაციათა 63%-ს საერთოდ არ ჰქონდა AI-ის მართვის პოლიტიკა, ხოლო მხოლოდ 37%-ს — რაიმე დამტკიცების პროცესი AI ინსტრუმენტებისთვის. შედოუ AI-სთან დაკავშირებული ინციდენტები ასევე არაპროპორციულად ხშირად ამჟღავნებდნენ კლიენტების პირად მონაცემებს. პრობლემის ძირი ჩვეულებრივ მარტივია: მგრძნობიარე ინფორმაცია — საწყისი კოდი, ფინანსური ჩანაწერები, ჯანმრთელობის მონაცემები, გამოუქვეყნებელი პროდუქტის გეგმები — ხვდება სისტემაში, რომლის მონაცემთა შენახვისა და წვრთნის პრაქტიკა არავის შეუმოწმებია — ამაზე უფრო დაწვრილებით ვსაუბრობთ სტატიაში რა ხდება თქვენს მონაცემებთან, როცა AI ინსტრუმენტებს იყენებთ. ამის ნაწილი ემთხვევა მონაცემთა დაკარგვის პრევენციის (Data Loss Prevention) კლასიკურ დისციპლინას — მგრძნობიარე მონაცემის კომპანიის კონტროლის ფარგლებს გარეთ გასვლის აღკვეთას — რომელსაც შედოუ AI ახალ ფრონტს უმატებს.
როგორ ცდილობენ კომპანიები მისი მართვას
უსაფრთხოების გუნდები შედოუ AI-ს სულ უფრო ხშირად უყურებენ, პირველ რიგში, როგორც ხილვადობის პრობლემას და მხოლოდ შემდეგ — წესების პრობლემას: ვერ მართავ იმას, რასაც ვერ ხედავ. ეს იწყება იმის აღმოჩენით, თუ რომელი AI ინსტრუმენტები უკვე გამოიყენება — ქსელისა და SaaS-გამოყენების მონიტორინგით — ვიდრე უბრალო აკრძალვის საკმარისობის ვარაუდით. სრული აკრძალვები, ჩვეულებრივ, გამოყენებას მხოლოდ „ჩრდილში“ აძევებს, რადგან თანამშრომელი, ვისთვისაც AI ინსტრუმენტი სამუშაოში ნამდვილად სასარგებლოა, ასე თუ ისე გააგრძელებს მის გამოყენებას. უფრო მდგრადი მიდგომაა განისაზღვროს, რომელი მონაცემები არასდროს არ უნდა მოხვდეს არცერთ AI ინსტრუმენტში, შეთავაზდეს დამტკიცებული ალტერნატივა იმ ამოცანებისთვის, რისთვისაც ხალხს რეალურად სურს AI-ის გამოყენება, და შეიქმნას მსუბუქი პროცესი ახალი ინსტრუმენტების განსახილველად ისეთი პოლიტიკის ნაცვლად, „ყველაფერზე ითხოვე ნებართვა“, რომელსაც არავინ იცავს. კარგი საწყისი წერტილი ამის სისტემურად ჩამოსაყალიბებლად ნებისმიერი ბიზნესისთვის არის აშშ-ის სტანდარტებისა და ტექნოლოგიების ეროვნული ინსტიტუტის (NIST) AI რისკების მართვის ჩარჩო — უფასო, მომწოდებლისგან დამოუკიდებელი სახელმძღვანელო AI-სთან დაკავშირებული რისკის იდენტიფიცირებისა და მართვისთვის, რომელსაც ბევრი კომპანია საკუთარი AI-გამოყენების პოლიტიკის შაბლონად იყენებს — იგივე მართვის ხარვეზი, რომელიც კორპორაციული AI-ის დანერგვაშიც ზოგადად ჩნდება.
რას მოუტანს საქართველოს
საქართველოს ბიზნეს ასოციაციის (BAG) კვლევამ აჩვენა, რომ ქართული კომპანიების 84% უკვე რაღაც ფორმით ნერგავს AI-ს — ტემპი, რომელსაც ფორმალური IT პოლიტიკა ნაკლებად სავარაუდოა, რომ დაეწიოს. ამ დანერგვის დიდი ნაწილი ისევე ხდება, როგორც ყველგან: ცალკეული თანამშრომლები და გუნდები იყენებენ უფასო ან პირად ანგარიშზე დაფუძნებულ AI ინსტრუმენტებს, რადგან ისინი სასარგებლოა — და არა იმიტომ, რომ კომპანიამ დამტკიცებული პლატფორმა დანერგა. ქართული კომპანიებისთვის, რომლებიც კლიენტების, ფინანსურ ან ჯანმრთელობის მონაცემებს ამუშავებენ — და ნებისმიერი კომპანიისთვის, რომელსაც საბოლოოდ მოუწევს შესაბამისობის ჩვენება ისეთი ჩარჩოს მიხედვით, როგორიცაა ევროკავშირის AI აქტი — იმის მარტივი ხილვადობა, თუ რომელ AI ინსტრუმენტებს იყენებს პერსონალი უკვე, იაფი და პრაქტიკული პირველი ნაბიჯია, სრულფასოვანი მართვის პოლიტიკის შემუშავებამდე დიდი ხნით ადრე.
სიახლეებში
საქართველოში AI-ის არაფორმალური დანერგვის სწრაფი ტემპი ზუსტად ის ფონია, რომელზეც შედოუ AI-ის რისკი იზრდება — იხილეთ ჩვენი რეპორტაჟი BAG-ის კვლევაზე, რომლის მიხედვითაც ქართული კომპანიების 84% AI-ს ნერგავს.