L'IA Ombra È Peggiore dell'IT Ombra?

Un ufficio tranquillo può sembrare innocuo. File di monitor immersi nella luce, cuffie che coprono le conversazioni e il ronzio del lavoro continuano senza alcun segno che qualcosa di sinistro si nasconda sotto. Ma sempre più spesso, ci sono tecnologie accidentali e non autorizzate — una cartella cloud personale qui e un chatbot IA non autorizzato là. Presto, l'organizzazione dovrà gestire tutti questi nuovi rischi imprevisti. Ma lo shadow IT era solo il primo carico di minacce nascoste. Lo shadow AI ha alzato la posta.

Cos'è lo Shadow AI e Perché Sta Crescendo

Un'estensione dello shadow IT, lo shadow AI coinvolge dipendenti che utilizzano tecnologie non approvate. Lo shadow IT si riferisce tipicamente alla tecnologia di consumo, come app di condivisione file o dispositivi personali. Lo shadow AI solitamente coinvolge sistemi in rapido movimento, affamati di dati, il cui comportamento può essere imprevedibile.

\ Secondo una ricerca condotta da Gartner, l'80% delle organizzazioni sperimenta lacune nella governance dei dati. Queste lacune rendono più facile per le persone non notare comportamenti generati dall'IA. Molti team non superano le valutazioni di prontezza per la sicurezza informatica. Il rischio associato all'IA è aumentato dai dipendenti che adottano nuovi strumenti più velocemente di quanto i loro team possano adeguatamente esaminarli. Poiché il 30% delle violazioni di dati ha origine da fornitori, conoscere quali strumenti utilizza un team è un componente critico per proteggere gli asset digitali di un'azienda.

\ Lo shadow AI ha guadagnato terreno perché i dipendenti vedono i contenuti generati dall'IA come un modo più veloce per creare contenuti, riassumere informazioni complesse e risolvere problemi tecnici. Riduce l'attrito nel lavoro quotidiano ma introduce rischi non visti in precedenza con le preoccupazioni dello shadow IT, inclusi l'esposizione dei dati, il rischio di conformità e i rischi a livello di modello.

Shadow AI Contro Shadow IT

Lo shadow IT è stato a lungo incolpato per vulnerabilità sconosciute. Un'alta percentuale di violazioni precedenti era dovuta a strumenti SaaS non firmati o archiviazione personale. Gli strumenti di IA cambiano completamente l'equazione. La scala e la velocità con cui lavorano, insieme alla loro opacità, creano rischi più difficili da rilevare e contenere.

\ Con il 78% delle organizzazioni che utilizzano l'IA in produzione, alcune violazioni sono ora dovute all'esposizione tecnologica non gestita. Il modello IT più ampio è ancora importante, ma l'IA introduce una nuova dimensione per ampliare la superficie di attacco.

Differenze Chiave tra Shadow AI e Shadow IT

Lo shadow AI è simile allo shadow IT in quanto entrambi derivano dal desiderio di un dipendente di essere più produttivo, ma differiscono nel luogo in cui risiede il rischio.

• Gli strumenti di shadow IT hanno una logica fissa, che rende il comportamento prevedibile. Prevedere il comportamento degli strumenti di shadow AI è più complesso perché i modelli possono essere continuamente modificati e riaddestrati.
• I rischi dello shadow IT includono dati archiviati o spostati senza autorizzazione. I rischi dello shadow AI includono inversione del modello, avvelenamento dei dati e addestramento del modello.
• Lo shadow IT è deterministico, mentre gli strumenti di IA possono allucinare, generalizzare male e produrre output errati con eccessiva sicurezza.

\ Lo shadow AI sorge anche nel contesto di prossime normative, come l'EU Artificial Intelligence Act, che potrebbe aumentare il controllo normativo.

Rischi di Sicurezza che Rendono lo Shadow AI Più Urgente

Lo shadow AI può portare a problemi nell'ingegneria, nel marketing e nella finanza. Mentre le decisioni vengono prese in base agli output dell'IA, i dati proprietari possono essere divulgati e i processi aziendali interni possono essere manipolati senza che nessuno se ne accorga.

\

• Manipolazione del modello: Gli attaccanti possono creare dati che distorcono i risultati.
• Esposizione all'iniezione di prompt: Un prompt creato può essere utilizzato per estrarre informazioni private da un modello.
• Lacune nella lineage dei dati: Gli strumenti di IA possono generare e archiviare dati in modi che i team di sicurezza non possono tracciare.
• Deriva della conformità: Gli strumenti di IA cambiano e i piani di governance in evoluzione possono diventare irrilevanti.

\ La preoccupazione cresce con l'avvento dell'IA generativa. Un chatbot che risponde alla domanda di un fornitore o un riassunto di IA generativa può sembrare innocuo, ma rischia di rivelare dati di utilizzo sensibili o preziose proprietà intellettuali proprietarie. La Carnegie Mellon University ha scoperto che i modelli linguistici di grandi dimensioni sono molto più vulnerabili ai prompt avversari rispetto ai sistemi basati su regole. Il problema aumenta quando i dipendenti possono utilizzare gli strumenti senza supervisione.

\ Un albero decisionale abilitato all'IA può essere più distorto di un albero decisionale convenzionale. Lo shadow AI spesso riceve informazioni di addestramento incomplete inserite in strumenti di terze parti. Una supervisione strutturata dei sistemi di IA garantirebbe l'integrità degli aggiornamenti. Quando i team trascurano questo aspetto, i dati e il comportamento del modello derivano.

Come i Team di Sicurezza Possono Ridurre l'Esposizione allo Shadow AI

Sebbene lo shadow AI ponga numerosi rischi, le organizzazioni possono mitigarne molti combinando visibilità con politiche e controlli tecnici, trovando un equilibrio che protegga la produttività dei dipendenti senza gravarli con check-in dispendiosi in termini di tempo o siti bloccati. I team di sicurezza traggono vantaggio dal trattare lo shadow AI come un problema di governance piuttosto che un problema di punizione. Le strategie di mitigazione dovranno inevitabilmente evolversi man mano che i dipendenti utilizzano strumenti di IA per migliorare la produttività.

1. Costruire un Chiaro Framework di Governance dell'IA

Un piano di governance dovrebbe specificare quali strumenti di IA approvare, quali tipi di dati i dipendenti possono utilizzare, come rivedere gli output del modello prima di prendere decisioni ad alto rischio e cosa fare quando si verifica un comportamento imprevedibile del modello. Quest'ultimo elemento include chi esamina il comportamento, chi indaga sulle sue cause e quali sono le conseguenze.

\ Con la supervisione in atto, le organizzazioni possono trattare l'IA come qualsiasi altro asset aziendale, soggetto alle stesse responsabilità di tracciabilità, verificabilità, sicurezza e conformità di altri sistemi aziendali legacy.

2. Fornire Strumenti di IA Approvati

I team con accesso a strumenti di IA centralizzati e verificati hanno meno probabilità di rivolgersi a IA pubbliche non approvate per aggirare i blocchi. Man mano che i lavori diventano più automatizzati, il personale investirà più sforzi in vari modelli. I lavoratori stanno già trascorrendo circa 4,6 ore settimanali utilizzando l'IA sul lavoro, superando il tempo medio di utilizzo personale di 3,6 ore a settimana. L'IA di terze parti, senza un adeguato monitoraggio, potrebbe già essere più comune degli strumenti aziendali che sono verificati e approvati. Le aziende dovrebbero adottare misure immediate per far rispettare le loro politiche.

\ Con un ambiente gestito, le organizzazioni possono monitorare l'utilizzo attraverso strumenti, impostare autorizzazioni all'interno dei database e applicare la governance dei dati in tutti i dipartimenti. Ciò migliora la produttività dei dipendenti proteggendo al contempo l'integrità dei dati e la conformità dell'azienda.

3. Monitorare il Movimento dei Dati e l'Utilizzo del Modello

Strumenti di visibilità che segnalano comportamenti anomali — come improvvisi aumenti nell'utilizzo dell'IA, caricamento di dati su endpoint insoliti o accesso al modello in un breve lasso di tempo con dati sensibili — possono aiutare i team di sicurezza a identificare abusi e fughe di dati. I rapporti indicano che nell'ultimo anno, fino al 60% dei dipendenti ha utilizzato strumenti di IA non approvati e il 93% ha ammesso di aver inserito dati aziendali senza autorizzazione.

\ Rilevare questi modelli in anticipo può consentire la correzione, la rieducazione, la riconfigurazione delle autorizzazioni o la terminazione del processo prima che porti a fughe di dati o violazioni della conformità.

4. Formare i Dipendenti sui Rischi Specifici dell'IA

La formazione sulla sicurezza informatica in generale non è sufficiente. L'IA può allucinare interpretando erroneamente l'intento dietro i prompt e generare contenuti apparentemente autorevoli, falsi o distorti. Inoltre, i lavoratori devono capire che l'uso dell'IA differisce dall'uso di software o servizi. L'uso sicuro richiede il cambiamento dei modelli mentali, la comprensione dei rischi dei prompt e la gestione dei dati personali.

\ Gli utenti con una conoscenza di base delle macchine verificheranno i fatti dell'output e avranno meno probabilità di condividere eccessivamente dati personali. Tratteranno gli strumenti come preziosi co-piloti, ma devono essere utilizzati sotto supervisione umana.

Proteggere le Organizzazioni Contro lo Shadow AI

Lo shadow AI sta crescendo più velocemente ed è più difficile da identificare rispetto allo shadow IT. Sebbene la scala e la complessità dei rischi differiscano, arruolare l'aiuto dei dipendenti può identificare entrambi più efficacemente. Le politiche di governance possono aiutare le aziende a trovare il giusto equilibrio. I team di sicurezza dovrebbero rivalutare la loro esposizione, rimanere vigili per le minacce emergenti e agire prontamente prima che strumenti basati su IA non visti prendano decisioni cruciali nelle applicazioni aziendali.