Skugg-it har länge varit ett stort problem för it-chefer, men det största problemet kan komma från ledningens hunger efter icke-godkänd AI.
Nästan två tredjedelar av de högre beslutsfattarna medger att de använder icke-godkända AI-verktyg, jämfört med endast 31 procent av de anställda på lägre nivå, enligt en undersökning utförd av Microsofts lösningspartner Trusted Tech.
Användningen av skugg-AI är utbredd bland ledande befattningshavare, trots att tre av fyra medarbetare är medvetna om de säkerhets- och integritetsrisker som är förknippade med detta.
”De flesta användare av skugg-AI är inte omedvetna om risken”, skriver Trusted Tech i en rapport. ”De väljer ändå medvetet att använda dessa verktyg. Det här är inte en utbildningsfråga. Det är en fråga om kultur, incitament och alternativ.”
I många fall beror problemet på bristen på godkända verktyg, tillägger rapporten.
”Människor använder skugg-AI eftersom det som deras arbetsgivare tillhandahåller är sämre än vanliga AI-verktyg, eller för att inget alls har godkänts från början”, står det i rapporten. ”Det kommer inte att förändras förrän de godkända verktygen verkligen är värda att använda.”
En fråga om befogenheter
Användningen av skugg-AI av vd:ar och andra ledande befattningshavare kan skapa stora problem för it-chefer, informationssäkerhetschefer och andra it-ledare, eftersom de kanske inte har befogenhet att sätta stopp för det.
Det innebär också en utmaning för it-cheferna att tillhandahålla de AI-verktyg som medarbetare och chefer vill använda.
När ledningen använder skugg-AI hamnar cio:er i en svår situation, eftersom styrning bara fungerar när den utgår från toppen, säger Andy Nolan, teknikchef på Trusted Tech.
– Om ledande befattningshavare kringgår godkända AI-verktyg eller riktlinjer sänder det ett underförstått budskap om att snabbhet är viktigare än säkerhet och efterlevnad. Medarbetarna lägger märke till det beteendet, och det blir mycket svårare att be resten av organisationen att följa standarder som ledningen inte själv följer i första hand, säger han.
Ett annat stort problem är att ledande befattningshavare ofta arbetar med mycket känslig information, bland annat finansiella data, strategiska planer, immateriella rättigheter och kundinformation, påpekar han.
Men cio:er och ciso:er kan inte heller lösa problemet genom att agera som AI-poliser i varje situation, säger Nolan, eftersom deras roll är att hjälpa företaget att innovera på ett säkert sätt.
– Det kräver samstämmighet bland ledningen, tydlig styrning och att man tillhandahåller säkra AI-verktyg som människor faktiskt vill använda. När ledningen anammar dessa lösningar är det nästan säkert att resten av organisationen följer efter.
Bara risker, inga fördelar
När ledande befattningshavare använder skugg-AI hamnar cio:er och ciso:er i en omöjlig situation, menar Amit Maloo, ciso hos AI-inköpsleverantören Ivalua. Cio:er och ciso:er hålls ansvariga för riskexponeringen men har ingen insyn i problemet, säger han.
– När ledande befattningshavare använder AI-verktyg utan styrning för affärsbeslut får dessa beslut ändå konsekvenser, såsom ekonomiska åtaganden, granskning av avtal och datadelning. Men det finns ingen revisionsspår, ingen behörighetsmodell och inget sätt att rekonstruera vad som hände eller varför.
En del av problemet är att godkända AI-alternativ ofta inte uppfyller användarnas behov, säger Maloo.
– AI-riktlinjer räcker inte i sig; organisationer måste kombinera styrning med användbarhet. Om godkända AI-verktyg inte håller jämna steg med verksamhetens tempo kommer medarbetare på alla nivåer, inklusive ledningen, att hitta sina egna lösningar. Framgångsrika organisationer är de som gör den säkra vägen till den enklaste vägen.
It-chefer kan inte lösa problemet med mer styrning, konstaterar han.
– Riktlinjer och begränsningar bromsar skugg-AI, men de stoppar det inte, särskilt inte när de som använder det har tillräckligt hög befattning för att klara av den disciplinära risken. Vad cio:er kan göra är att fokusera på att tillhandahålla verktyg som ger användarna full tillgång till nödvändiga system och data, vilket eliminerar behovet av att välja mellan ett kapabelt men oreglerat verktyg och ett säkert men begränsat sådant.
Hastighet framför säkerhet
Undersökningen från Trusted Tech bekräftar en rapport från juni från Teramind, en leverantör av programvara för övervakning av anställda, som visade att mer än två tredjedelar av ledande befattningshavare prioriterar hastighet framför säkerhet när de använder AI-verktyg, konstaterar Nik Kale, chefsingenjör och produktarkitekt på Cisco samt medlem i Coalition for Secure AI.
Dessutom visade Teramind-rapporten att två tredjedelar av företagens AI-aktivitet sker via personliga konton på plattformar där företaget redan har licenser, påpekar han.
– Folk betalar för den reglerade versionen och använder den oreglerade versionen av samma produkt, så problemet ligger inte i verktygen. Den godkända vägen är långsammare, begravd i upphandlingsprocessen eller avskild från där arbetet faktiskt utförs, och hastigheten vinner alltid när det finns en deadline, säger han.
Problemet ligger alltså inte i AI-verktygen, utan i de friktioner som uppstår, säger han.
– Folk går inte runt ytterdörren för att rummet är låst. De går runt den för att ytterdörren är långsammare.
I många fall avslöjar användningen av skugg-AI brister i företagsprocesserna, tillägger Matthew Scavetta, chief technology innovation officer hos it-lösningsleverantören Future Tech Enterprise.
Många organisationer är inte särskilt bra på att informera sina anställda om vilka AI-verktyg som finns tillgängliga för dem, säger han, och många organisationer erbjuder inte utbildning i de godkända applikationerna, vilket får användarna att välja produkter som de är vana vid.
– Om man inte löser människors problem snabbt eller informerar dem om vilka verktyg de kan använda på ett säkert sätt, kommer de att hitta en kringgående lösning. AI-verktyg skiljer sig inte från något annat.
Ledningens användning av skugg-AI sätter it-cheferna i en oerhört svår situation, säger han.
– Särskilt cio:er utsätts för allt större press för varje år att hänga med i vad som är möjligt, samtidigt som teknikpåverkare fortsätter att predika om potentialen hos dessa verktyg. Vd:ar och styrelseledamöter dras ständigt med i hypen och samtidigt publiceras allt fler fallstudier som visar hur liten avkastning vissa organisationer har uppnått. Det är ett oändligt spel där man måste balansera det möjliga mot det praktiska.