A jelenség
Amikor kiderül, hogy a cég már rég AI-t használ
Az egyik ügyfelemnél, egy körülbelül 300 fős pénzügyi szolgáltatónál a vezérigazgató a kickoff megbeszélésen azzal indított, hogy náluk még nagyon az elején járnak, gyakorlatilag semmi AI nincs a rendszerben. Fél óra múlva a HR vezető félve megjegyezte, hogy ő azért a felvételi jegyzeteit szinte mindig egy ingyenes chatbottal tisztázza le. Aztán a kontroller elmondta, hogy a havi riporthoz ő is használ egy szövegkiemelő eszközt. A megbeszélés végére kiderült, hogy a cég már hónapok óta intenzíven használ AI-t. Csak épp senki nem tudott róla, és senki nem engedélyezte.
Ezt hívják Shadow AI-nak. Az árnyék AI az, amikor a munkatársak saját fiókkal, saját eszközökkel, a cég tudta és jóváhagyása nélkül visznek be AI-t a napi munkába. Nem rosszindulatból teszik. Épp ellenkezőleg. A legjobb, legelkötelezettebb emberek csinálják, azok, akik gyorsabban és jobban akarják elvégezni a dolgukat, és nem várnak meg egy másfél éves beszerzési folyamatot ahhoz, hogy legyen egy eszközük, ami este nyolckor is segít összerakni egy prezentációt.
A számok azt mutatják, amit én is minden projekten látok. Egy 2026-os felmérés szerint a dolgozók nagyjából kétharmada már használ AI eszközt a munkájában, miközben a cégeknek alig ötöde rendelkezik erre bármilyen formális szabályzattal. Ez a szakadék az igazi probléma. Nem az, hogy az emberek használják, hanem hogy a cég nem is tudja, hogyan.
A rossz reflex
A tiltás nem megszünteti, hanem láthatatlanná teszi
Amikor egy vezető először szembesül ezzel, a legtöbbször ugyanaz az első mozdulat. Tiltsuk be. Menjen ki egy körlevél, hogy céges adattal AI eszközt használni tilos, és kész. Megértem a logikát, hiszen a felelősség a vezetőn van. De azt tapasztaltam, hogy a tiltás pontosan az ellenkezőjét éri el annak, amit szeretnénk.
A tiltás ugyanis nem szünteti meg a használatot. Az igény ott van, a nyomás a dolgozókon ott van, a határidők nem lettek lazábbak. Amit a tiltás elér, az az, hogy a használat lemegy a felszín alá. Az ember, aki eddig nyíltan bevallotta volna, hogy egy eszközzel dolgozik, mostantól a telefonjáról, a magánfiókjából, otthon fogja ugyanezt csinálni. Az adat ugyanúgy kikerül a cégből, csak most már egyáltalán nincs rálátásod arra, hova.
Egy gyártó cég IT vezetőjével dolgoztam együtt, aki büszkén mutatta, hogy hálózati szinten letiltották az összes ismert AI oldalt. Megkérdeztem, mit gondol, a mérnökei hogyan oldják meg akkor a dolgot. Elgondolkodott. A válasz az volt, hogy a saját telefonjukról, mobilneten. Vagyis a tiltás annyit ért el, hogy a legérzékenyebb műszaki dokumentumok most egy teljesen ellenőrizetlen csatornán mennek ki, ahelyett hogy egy vállalati fiókban, naplózva maradnának. A tiltás nem biztonságot csinált, hanem vakfoltot.
A valódi kockázat
Mi kerül ki, és miért számít
Amikor Shadow AI-ról beszélünk, a fejekben általában egy homályos adatvédelmi aggály van. Érdemes ezt konkrétabbá tenni, mert így válik kezelhetővé. A gond nem elvont. Amikor valaki egy ingyenes, magánfiókos eszközbe bemásol egy ügyféllistát, egy szerződéstervezetet vagy egy belső pénzügyi kimutatást, az az adat egy harmadik fél szerverére kerül. Onnantól nem a te kezedben van.
A kutatások szerint az egyik leggyakrabban feltöltött adattípus a forráskód, utána a technikai dokumentáció és az üzleti adatok. Egy banknál előfordult, hogy nem nyilvános ügyféladatot dolgoztak fel egy engedély nélküli AI alkalmazással, és ez már nem szabályzati kérdés, hanem felügyeleti és jogi. Nálunk, Európában ehhez jön a GDPR és az EU AI Act rétege, ami tovább élesíti a tétet.
De a tiszta adatszivárgásnál van egy alattomosabb kockázat is, amiről ritkábban esik szó. Ha tíz kolléga tíz különböző, saját eszközzel dolgozik, akkor tíz különböző minőségű, ellenőrizetlen munka születik. Nincs közös sztenderd arra, hogy mit szabad kiadni a kezünkből, hogyan ellenőrizzük a kimenetet, mikor kell embernek átnéznie. Ebből fakadnak azok a hibák, amikor egy AI által összerakott ajánlat téves számot tartalmaz, vagy egy ügyfélnek kimenő levél olyat állít, ami nem igaz. A láthatatlan használat egyben ellenőrizhetetlen minőséget is jelent.
Van egy harmadik réteg, amit szinte soha nem számol bele senki. A tudás, ami így keletkezik, elszáll a céggel együtt. Amikor egy tehetséges kolléga hónapok alatt kidolgoz egy remek munkamódszert egy saját fiókos eszközzel, az a tudás az ő magánfiókjában él. Nem kerül be a céges rendszerbe, nem oszlik meg a csapattal, és amikor az illető továbbáll, egyszerűen kisétál az ajtón vele együtt. Az egyik kreatív ügynökségnél, ahol nagyjából 35-en dolgoznak, pontosan ez történt. Egy szövegíró felépített egy egész sablonrendszert magának, mindenki hozzá járt segítségért, aztán felmondott, és a rendszer egyik napról a másikra eltűnt. A cég nem is tudta, mennyire függött tőle, amíg meg nem szűnt.
Egy egyszerű térkép
Három kategória, amiben minden AI használat elhelyezhető
Mielőtt bármit szabályoznál, segít egy egyszerű keret, amellyel a saját fejedben és a csapatéban is rendet lehet tenni. Én három kategóriába szoktam sorolni a felmerülő AI használatot, és ez a felosztás a legtöbb megbeszélésen pár perc alatt tisztázza, mi hova tartozik.
Zöld. Ide tartozik minden, ahol nincs érzékeny adat. Egy nyilvános cikk összefoglalása, egy ötletbörze egy kampányhoz, egy általános email megfogalmazása. Ezt nyugodtan lehet AI-val csinálni, akár a mai eszközökkel is, mert semmi nem kerül ki, aminek baja lehetne. A legtöbb napi feladat ide esik, és ezt szabadon kell hagyni, különben feleslegesen fojtod meg a hasznot.
Sárga. Itt van érzékeny adat, de kezelhető, ha a megfelelő, vállalati garanciákkal ellátott eszközt használjuk. Egy belső jelentés elemzése, egy ügyféllevelezés összefoglalása. Ezt csak az engedélyezett, adatvédelmi szerződéssel bíró rendszerben szabad, a magánfiókos ingyenes chatbotban nem.
Piros. Ide kerül minden, ami különleges személyes adat, szabályozott üzleti titok vagy jogi kockázat. Ezt vagy egyáltalán nem visszük AI-ba, vagy csak külön, dedikált, ellenőrzött környezetben. Amikor egy csapat megérti ezt a három színt, onnantól nem kell minden esetnél hozzád szaladnia. Maguk el tudják dönteni, mi hova tartozik.
A helyes irány
Tedd könnyebbé az engedélyezett utat, mint az árnyékutat
A Shadow AI-t nem lehet kiirtani. De át lehet terelni a fényre. Az alapelv, amit minden ügyfelemnek elmondok, egyszerű. Az emberek azt az utat választják, amelyik kevesebb súrlódással jár. Ha a hivatalos, biztonságos eszköz nehézkes, drága a hozzáférés, vagy három jóváhagyás kell hozzá, akkor a magánfiókos chatbot mindig nyerni fog. A feladatod nem az, hogy bezárd az árnyékutat, hanem hogy a szabályos út legyen a kényelmesebb.
Ez a gyakorlatban néhány konkrét lépést jelent, amelyeket a saját projektjeimből szűrtem le.
Adj egy jó eszközt, mielőtt bármit tiltanál. Ha van egy céges, vállalati adatvédelmi garanciákkal ellátott AI hozzáférés, amit tényleg használni lehet, akkor a legtöbb ember magától átvált rá. Az árnyék AI leggyakoribb oka nem a lázadás, hanem az, hogy nem kaptak jobbat.
Derítsd fel, mi folyik most, ítélkezés nélkül. Az egyik legjobb lépés, amit egy ügyfelemnél csináltunk, egy egyszerű, anonim kérdőív volt arról, ki milyen eszközt használ és mire. A cél nem a büntetés volt, hanem a térkép. Amint láttuk, hogy a marketing a szövegekhez, a pénzügy a táblázatokhoz, az ügyfélszolgálat a válaszsablonokhoz nyúl, azonnal tudtuk, hova kell a hivatalos megoldás.
Írj egy rövid, érthető szabályt, ne egy húszoldalas policy-t. A dolgozónak egy fél oldal kell, ami megmondja, mit szabad bevinni egy AI-ba és mit nem. Ügyféladat, személyes adat, üzleti titok nem megy be a nem engedélyezett eszközbe. Ennyi, világos nyelven. A húszoldalas szabályzatot senki nem olvassa el, tehát nem is véd.
Tanítsd meg őket, ne csak korlátozd. Amikor egy csapatnak megmutatom, hogyan lehet biztonságosan, jól használni az AI-t, a Shadow AI szinte magától visszaszorul. Az emberek nem azért kerülik a szabályokat, mert utálják őket, hanem mert nincs kihez fordulniuk, amikor kérdésük van.
Nyisd meg a kaput a bejelentésnek. Az egyik ügyfelemnél bevezettünk egy egyszerű szokást. Ha valaki talál egy hasznos AI eszközt, nem tiltott dolgot csinál, ha szól róla, hanem épp a helyeset teszi. Egy közös csatornát nyitottunk erre, ahol a kollégák megoszthatják, mit próbáltak ki és mire jó. Két hónap alatt kiderült, hogy a cégben sokkal több érték és sokkal több kockázat is van, mint amit a vezetés sejtett. A bejelentés jutalmazása pontosan az ellenkezője a tiltásnak. A fényre hozza azt, ami eddig a sötétben volt.
A vezetői döntés
Nem az a kérdés, hogy legyen-e AI
Ebből a sok projektből azt tanultam meg, hogy a Shadow AI valójában egy jó hír, csak rosszul csomagolva. Azt jelenti, hogy a szervezetedben vannak emberek, akik proaktívan keresik a jobb munkamódszert. Ez az energia aranyat ér. A rossz vezetői válasz elfojtja ezt az energiát és a föld alá küldi. A jó vezetői válasz megfogja, keretet ad neki, és a cég javára fordítja.
Amikor legközelebb az igazgatóságban felmerül, hogy vajon készen áll-e a cég az AI-ra, a helyes kérdés nem ez. A helyes kérdés az, hogy tudod-e, a céged hol használ már ma AI-t, és van-e rálátásod arra, milyen adattal. Ha a válasz az, hogy nem egészen, akkor nem a bevezetésnél tartasz. Már a kellős közepén vagy, csak épp irányítás nélkül. A jó hír, hogy ezen néhány hét alatt lehet változtatni, ha nem tiltással, hanem tudatos tereléssel kezded.
Segíthetek a vállalatodat AI-ra felkészíteni?
Ha szeretnéd feltérképezni, hol használ már ma AI-t a céged, és hogyan lehet ebből ellenőrzött, biztonságos rendszert építeni, keress meg.