Shadow IT i Shadow AI - ukryte narzędzia, realne ryzyka dla organizacji
Pracownicy coraz częściej korzystają z aplikacji, usług chmurowych i narzędzi opartych na sztucznej inteligencji bez wiedzy działów IT i przełożonych. Zjawisko określane jako shadow IT i shadow AI staje się jednym z najbardziej aktualnych wyzwań dla wszystkich organizacji, a w szczególności tych, które wdrażają wymagania wynikające z NIS2, ustawy o krajowym systemie cyberbezpieczeństwa (UKSC), RODO czy AI Act.
Choć wykorzystanie nieautoryzowanych narzędzi często wynika z chęci usprawnienia pracy, w praktyce może prowadzić do utraty kontroli nad przetwarzanymi danymi, powstawania nieznanych zasobów w środowisku IT oraz trudności w zarządzaniu ryzykiem cyberbezpieczeństwa.
Czym jest shadow IT i shadow AI?
Shadow IT oznacza wykorzystywanie przez pracowników rozwiązań informatycznych bez wiedzy lub zgody organizacji. Mogą to być m.in.:
- prywatne konta w usługach chmurowych;
- nieautoryzowane komunikatory;
- aplikacje do współdzielenia plików;
- narzędzia instalowane poza kontrolą działu IT.
Szczególną odmianą tego zjawiska jest shadow AI, czyli korzystanie z narzędzi opartych na sztucznej inteligencji bez formalnej akceptacji organizacji. Dotyczy to m.in. publicznie dostępnych chatbotów i asystentów AI wykorzystywanych do analizy dokumentów, przetwarzania danych klientów lub automatyzacji codziennych obowiązków służbowych.
Choć pojęcia shadow IT i shadow AI nie zostały zdefiniowane w przepisach prawa, to mogą wywoływać konkretne skutki prawne.
Najważniejsze zagrożenia i ryzyka shadow IT i shadow AI
Nieautoryzowane zasoby pozostają poza systemem zarządzania bezpieczeństwem informacji oraz procesami zarządzania aktywami. To oznacza, że organizacja może nie wiedzieć, jakie dane są przetwarzane przez dane narzędzie, gdzie są przechowywane oraz kto ma do nich dostęp.
Do najczęściej wskazywanych ryzyk związanych z tym zjawiskiem należą:
- wyciek poufnych informacji do zewnętrznych usług;
- rozprzestrzenianie się złośliwego oprogramowania;
- utrudnione wykrywanie i analiza incydentów bezpieczeństwa;
- brak kontroli nad danymi przetwarzanymi przez narzędzia AI;
- naruszenie obowiązków dotyczących zarządzania aktywami i ryzykiem cyberbezpieczeństwa.
Szczególne znaczenie ma fakt, że zasoby wykorzystywane w ramach shadow IT nie są uwzględniane w procesach monitorowania, inwentaryzacji ani oceny ryzyka, mimo że mogą mieć dostęp do kluczowych danych i systemów organizacji.
Odpowiedzialność za skutki shadow IT
Problematyka shadow IT wykracza daleko poza kwestie techniczne. Korzystanie z nieautoryzowanych narzędzi może prowadzić do naruszenia obowiązków wynikających z RODO, zwłaszcza dotyczących bezpieczeństwa przetwarzania danych, kontroli nad odbiorcami informacji czy przekazywania danych do podmiotów zewnętrznych.
Znaczenie mają również wymagania wynikające z UKSC oraz dyrektywy NIS2, które nakładają obowiązki związane z zarządzaniem aktywami, kontrolą dostępu i zarządzaniem ryzykiem. W przypadku narzędzi sztucznej inteligencji konsekwencje mogą wynikać także z AI Act, szczególnie gdy organizacja nie kontroluje sposobu wykorzystywania systemów AI przez pracowników.
Jednocześnie warto zwrócić uwagę na ryzyko utraty informacji stanowiących tajemnicę przedsiębiorstwa oraz na odpowiedzialność kierownictwa za zapewnienie odpowiedniego nadzoru nad wykorzystywanymi technologiami i procesami zarządzania ryzykiem.
Jeżeli szukasz odpowiedzi na pytania:
- jakie dokładnie ryzyka cyberbezpieczeństwa wiążą się z shadow IT i shadow AI;
- jakie obowiązki wynikają z UKSC, NIS2, RODO i AI Act w kontekście tego zjawiska;
- kiedy organizacja i kadra zarządzająca mogą odpowiadać za działania pracowników korzystających z nieautoryzowanych narzędzi;
- jak chronić dane osobowe i tajemnicę przedsiębiorstwa przy korzystaniu z systemów informatycznych i AI;
- jak ograniczać skalę tego zjawiska bez blokowania innowacji?
znajdziesz je w dwóch najnowszych komentarzach praktycznych autorstwa r.pr. Joanny Kik z Kancelarii Barta & Partners, specjalistki z zakresu prawa nowych technologii, ochrony danych osobowych, cyberbezpieczeństwia oraz regulacjach dotyczących sztucznej inteligencji oraz r.pr. Damiana Łapki eksperta w prawie nowych technologii, cyberbezpieczeństwie, ochronie danych osobowych oraz regulacjach cyfrowych, posiadającego wieloletnie doświadczenie w obsłudze projektów IT i wdrażaniu nowych regulacji w środowisku międzynarodowym.
- „Shadow IT w organizacji – ryzyko dla bezpieczeństwa systemów i odpowiedzialność za brak kontroli nad infrastrukturą”
- „Shadow IT w organizacji – odpowiedzialność pracowników i kierownictwa oraz konsekwencje prawne naruszeń”
Komentarze są dostępne w LEX Cyberbezpieczeństwo.
