Shadow AI (tieňová umelá inteligencia)

Čo je shadow AI?

Shadow AI (v slovenskom preklade tieňová umelá inteligencia) je nesankcionované používanie nástrojov umelej inteligencie zamestnancami bez schválenia alebo dohľadu IT oddelenia. Zahŕňa verejné generatívne modely, AI rozšírenia prehliadača aj AI funkcie zabudované v inak schválených SaaS aplikáciách. Typickým prejavom je vloženie interného zdrojového kódu alebo zákazníckych dát do verejného chatbota s cieľom rýchlejšie dokončiť úlohu.

Ide o AI-špecifickú podmnožinu širšieho javu shadow IT. Rozdiel je v povahe nástrojov – zatiaľ čo shadow IT sa týka akéhokoľvek neschváleného softvéru, nástroje shadow AI dáta nielen uchovávajú, ale ich aj spracúvajú, generujú z nich výstupy a vstupujú do rozhodovania.

Prečo je shadow AI bezpečnostným rizikom

Shadow AI vytvára slepé miesto, v ktorom bezpečnostné tímy nevedia, kam odchádzajú firemné dáta a ako sa s nimi ďalej nakladá. Podľa správy Cost of a Data Breach Report 2025 (IBM) nahlásila každá piata skúmaná organizácia narušenie v dôsledku shadow AI. Organizácie s vysokou mierou shadow AI zaznamenali v priemere o 670-tisíc USD vyššie náklady na únik než tie s nízkou alebo nulovou mierou. Z organizácií, ktoré nahlásili narušenie AI modelov alebo aplikácií, až 97 % nemalo zavedené prístupové kontroly pre AI.

Rizikom nie je len únik dát. Výstupy z neschválených nástrojov spravidla nemajú audit trail, takže po incidente sa nedá rekonštruovať, aké dáta do modelu vstúpili. V európskom kontexte pribúda regulačná rovina: článok 4 nariadenia (EÚ) 2024/1689 (AI Act) ukladá poskytovateľom aj nasadzujúcim subjektom povinnosť zabezpečiť dostatočnú úroveň AI gramotnosti zamestnancov a platí od 2. februára 2025. Nástroje používané mimo akejkoľvek evidencie sa do takéhoto programu prirodzene nedostanú.

Praktický tip:

Pred použitím AI nástroja na pracovné dáta si over dve veci: či preň firma poskytuje firemné konto a či poskytovateľ v danom pláne používa vstupy na tréning modelu. Pri viacerých platformách sa toto správanie líši medzi bezplatnou a enterprise verziou. Ak schválená alternatíva pre tvoj scenár neexistuje, nahlás túto potrebu IT tímu – nepokrytá potreba je presne to, z čoho shadow AI vzniká.

Výzvy súvisiace so shadow AI

Najčastejšou reakciou firiem býva plošný zákaz konkrétnych AI nástrojov, jeho účinnosť je však v odbornej komunite sporná. Časť bezpečnostných expertov argumentuje, že zákaz posúva používanie do menej viditeľných kanálov, napríklad na súkromné zariadenia a účty, kde ho monitoring nezachytí vôbec. Iné organizácie zaraďujú prohibitívne kontroly až po tom, ako sprístupnia schválenú alternatívu.

V praxi sa preto ťažisko presúva na viditeľnosť. Bežné postupy zahŕňajú:

• inventarizáciu AI nástrojov cez monitoring sieťovej prevádzky a DNS dopytov,
• smerovanie povoleného používania cez firemné účty a monitorovanú bránu,
• klasifikáciu nástrojov podľa citlivosti dát, s ktorými smú pracovať.

Vo vývojárskych tímoch sa shadow AI často neprejaví ako samostatná aplikácia, ale ako konfiguračný záznam – asistent napojený na súkromné konto alebo rozšírenie IDE, ktoré klasická inventarizácia softvéru nezachytí. Meranie javu naráža aj na hranice samotného pojmu: AI funkcie sa priebežne dopĺňajú do už schválených aplikácií, takže nástroj posudzovaný pred rokom môže dnes odosielať vstupy do externého modelu bez toho, aby si to niekto všimol.

Zdroje k téme:

• IBM – What Is Shadow AI?: https://www.ibm.com/think/topics/shadow-ai
• IBM Newsroom – IBM Report: 13% Of Organizations Reported Breaches Of AI Models Or Applications, 97% Of Which Reported Lacking Proper AI Access Controls: https://newsroom.ibm.com/2025-07-30-ibm-report-13-of-organizations-reported-breaches-of-ai-models-or-applications,-97-of-which-reported-lacking-proper-ai-access-controls
• European Commission – AI Literacy – Questions & Answers | Shaping Europe’s digital future: https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers