Článek
Zákaznický e-mail. Interní zápis z porady. Kus zdrojového kódu. Tabulka s obchodními daty. Návrh smlouvy. Nabídka pro klienta.
Stačí pár sekund. Zaměstnanec otevře veřejný AI nástroj, vloží text a nechá si pomoct. Shrnutí, odpověď, korektura, analýza, návrh dalšího kroku. Z jeho pohledu je to logické. Pracuje rychleji. Šetří čas. Pomáhá sobě i firmě.
Jenže z pohledu firmy může právě vznikat problém, o kterém nikdo neví.
Nejde jen o to, že někdo použil ChatGPT, Claude, Gemini nebo jiný nástroj. Jde o to, že do něj mohl vložit data, která do takového systému nikdy vložena být neměla. A hlavně: nikdo to neviděl, neschválil, nezaznamenal a nekontroloval.
A právě tady se celý problém láme. Největší riziko AI ve firmách nemusí být samotná technologie. Může jím být ticho kolem jejího používání.
AI už ve firmách je. Jen často neoficiálně
Pojem shadow AI označuje situaci, kdy zaměstnanci používají AI nástroje bez vědomí nebo schválení firmy, IT oddělení, bezpečnosti nebo vedení. Je to podobné jako starší pojem shadow IT, kdy si týmy samy pořizovaly aplikace, cloudová úložiště nebo komunikační nástroje mimo oficiální firemní infrastrukturu.
U AI je ale rozdíl v dopadu.
Běžná aplikace data obvykle uloží, přenese nebo zobrazí. Generativní AI s nimi pracuje. Přepisuje je, shrnuje, vyhodnocuje, doplňuje a vytváří z nich nové výstupy. V některých případech může být navíc napojená na další nástroje a vykonávat akce.
To už není jen otázka softwaru. Je to otázka odpovědnosti.
Pokud firma neví, jaké AI nástroje zaměstnanci používají, neví ani to, jaká data do nich odcházejí. Neví, jestli se zpracovávají osobní údaje. Neví, jestli se do veřejného nástroje nedostal interní know-how dokument. Neví, jestli odpověď pro klienta nevznikla na základě nepřesného nebo smyšleného výstupu.
A pokud o tom firma neví, nemůže to řídit.
Zaměstnanci většinou nejsou problém
Je jednoduché říct, že zaměstnanci porušují pravidla. Jenže často je realita méně černobílá.
Lidé nepoužívají AI bokem nutně proto, že chtějí obejít firmu. Často ji používají proto, že jim reálně pomáhá. Potřebují rychleji odpovídat na e-maily. Zorientovat se v dlouhém dokumentu. Přepsat text do lepší podoby. Připravit podklady na schůzku. Najít chybu v kódu. Vytvořit první návrh prezentace.
To všechno jsou běžné pracovní situace. A AI v nich může být velmi užitečná.
Problém nastává ve chvíli, kdy firma zaměstnancům neposkytne žádnou bezpečnou cestu. Nemá schválený nástroj. Nemá jednoduchá pravidla. Nemá jasně řečeno, co se do AI smí a nesmí vkládat. Nemá školení. Nemá interní postup.
Pak vzniká šedá zóna.
Zákaz AI často nevede k tomu, že ji lidé přestanou používat. Často vede jen k tomu, že ji začnou používat potichu.
Kde vzniká skutečné riziko
Riziko shadow AI není v jedné konkrétní aplikaci. Riziko vzniká v kombinaci neviditelnosti, dat a odpovědnosti.
Představme si zákaznickou podporu. Operátor dostane složitější e-mail od klienta. Vloží ho do AI nástroje a nechá si navrhnout odpověď. Výstup zní profesionálně, ale obsahuje slib, který firma nemůže splnit. Klient odpověď dostane a vzniká problém.
Nebo obchodní tým. Někdo vloží interní cenovou strategii a nechá si vytvořit nabídku. Text je dobrý, ale citlivé obchodní informace opustily firemní prostředí.
Nebo HR. Zaměstnanec zpracovává životopisy, poznámky z pohovorů nebo osobní údaje uchazečů v nástroji, který k tomu nebyl schválen.
Nebo vývoj. Programátor vloží část neveřejného kódu do AI asistenta, protože potřebuje rychle najít chybu. Z pohledu efektivity to dává smysl. Z pohledu bezpečnosti už to tak jednoduché není.
V každém z těchto případů může být motivace dobrá. Přesto firma ztrácí kontrolu nad tím, co se děje s jejími daty, rozhodnutími a výstupy.
Nejhorší reakce je jen zákaz
Mnoho firem má přirozenou tendenci reagovat zákazem. Zakážeme veřejné AI nástroje. Napíšeme pravidlo. Pošleme e-mail. Tím je problém vyřešen.
Jenže často není.
Zákaz bez alternativy je slabé řešení. Pokud zaměstnanci vědí, že jim AI šetří čas, a zároveň mají tlak na výkon, budou hledat cestu. Někdo přes osobní účet. Někdo přes mobil. Někdo přes jiný nástroj. Někdo prostě potichu.
Lepší přístup není slepé povolení všeho. Ale ani slepý zákaz.
Rozumnější je řízené používání. Firma by měla jasně říct, které nástroje jsou povolené, jaká data se do AI nikdy nevkládají, kdy je nutná anonymizace, kdo schvaluje nové nástroje a kdo odpovídá za finální výstup.
AI sama o sobě není strategie. Strategie je až způsob, jak ji firma zasadí do reálného provozu.
Governance nemusí být korporátní peklo
Když se řekne governance, mnoho lidí si představí složité směrnice, tabulky, schvalování a právnický jazyk. U AI to ale nemusí začínat složitě.
První krok je zjistit realitu. Kde lidé AI už používají? Na jaké typy úkolů? Jaká data do ní vkládají? Co jim chybí v současných nástrojích nebo procesech?
Tohle nemá být hon na viníky. Spíš mapa skutečných potřeb.
Teprve potom dává smysl nastavit jednoduchá pravidla. Například: veřejná AI se smí používat na obecné texty, formulace a nápady, ale nesmí se do ní vkládat osobní údaje, neveřejná zákaznická data, smlouvy, zdrojový kód nebo interní obchodní informace. Pro citlivější práci musí existovat schválený firemní nástroj.
K tomu patří i lidská kontrola. AI může navrhnout odpověď, ale člověk ji musí schválit. AI může shrnout případ, ale nesmí sama rozhodnout o reklamaci. AI může připravit návrh, ale odpovědnost za výsledek musí zůstat jasně určená.
To je méně sexy než demo nového chatbota. Ale v provozu je to mnohem důležitější.
Shadow AI ukazuje, kde firmu bolí procesy
Shadow AI není jen bezpečnostní problém. Může být také užitečný signál.
Pokud lidé používají AI ke shrnování dlouhých e-mailů, možná firma trpí informačním přetížením. Pokud ji používají na reporting, možná jsou reporty příliš ruční nebo nepřehledné. Pokud si s ní pomáhají při odpovědích zákazníkům, možná chybí kvalitní znalostní báze. Pokud ji používají při administrativě, možná je v procesech zbytečně moc ruční práce.
Jinými slovy: tam, kde vzniká shadow AI, často existuje skutečné tření.
Firma by se proto neměla ptát jen: „Kdo porušuje pravidla?“
Měla by se ptát také: „Proč lidé vůbec potřebují hledat neoficiální cestu?“
To je podstatný rozdíl.
Dobře uchopená AI governance nemá lidi brzdit. Má jim dát bezpečný rámec, ve kterém mohou pracovat rychleji, aniž by firma ztratila kontrolu.
Problém není AI. Problém je neviditelný provoz
AI se do firem dostává rychleji než pravidla pro její používání. A to je normální. Technologie se šíří zdola. Lidé zkouší, co jim pomáhá. Firmy dohánějí realitu.
Jenže ignorovat shadow AI je krátkozraké.
Pokud firma téma neřeší, neznamená to, že je bezpečnější. Znamená to jen, že nevidí, co se děje. A v oblasti dat, zákaznické komunikace, právní odpovědnosti nebo interního know-how je neviditelnost velmi špatný stav.
Rozumná otázka tedy nezní: „Máme AI zakázat, nebo povolit?“
Lepší otázka zní: „Jak ji zavést tak, aby lidem skutečně pomáhala, ale zároveň nerozbila bezpečnost, odpovědnost a kontrolu?“
Shadow AI není důkaz, že zaměstnanci jsou problém. Často je to důkaz, že firma ještě nevytvořila použitelný způsob, jak s AI pracovat bezpečně.
A právě tam by měla začít.
