Tekoälytyökalut ovat nyt osa jokapäiväistä työtä: ne auttavat tiivistämään kokousmuistiinpanoja, luonnostelemaan sähköposteja, tekemään koodin vianselvitystä, analysoimaan laskentataulukoita ja muuntamaan asiakirjoja esityksiksi. Ilman hyväksyntää tai valvontaa käytettyinä ne voivat kuitenkin aiheuttaa vakavia tekoälyn yksityisyyteen liittyviä huolia, paljastaa arkaluonteisia liiketoimintatietoja ja jättää IT-tiimit tietämättömiksi siitä, mihin yrityksen tiedot päätyvät.
Tässä oppaassa käsitellään, mitä shadow AI on, miten se leviää organisaatioissa ja mitä vakavia riskejä se aiheuttaa. Näytämme, miten hyväksymättömät työkalut tunnistetaan ja miten otetaan käyttöön käytännön suojatoimia yrityksenne tietojen suojaamiseksi — hidastamatta tiimienne työtä.
- Mitä shadow AI on?
- Shadow AI vs. shadow IT
- Miten shadow AI syntyy?
- Kouluttautuuko tekoäly automaattisesti tiedoillanne?
- Esimerkkejä shadow AI:sta
- Mitä riskejä shadow AI:hin liittyy?
- Miten havaita shadow AI
- Miten vähentää shadow AI -riskejä
- Mitä tehdä, jos arkaluonteisia tietoja on jo jaettu
- Yksityinen tekoälyavustaja tiimeille
Mitä shadow AI on?
Shadow AI tarkoittaa kaikkea sellaista tekoälyn käyttöä työssä, joka tapahtuu yrityksen hyväksyttyjen järjestelmien ja käytäntöjen ulkopuolella. Kyseessä voi olla hyväksymätön työkalu, henkilökohtainen tili, jota käytetään yrityksen työhön, tai hyväksytty tekoälypalvelu, jota käytetään sellaisilla tiedoilla tai tehtävissä, joita organisaatio ei ole valtuuttanut.
Shadow AI saa usein alkunsa arjen työpaikkapaineista: tiukasta määräajasta, tarpeesta löytää nopeampi tai parempi tapa työskennellä tai työkalusta, joka ei aivan täytä tarpeita. Joskus hyväksytty tekoälytyökalu on saatavilla, mutta työntekijät kääntyvät muualle, koska he ovat tutumpia toisen vaihtoehdon kanssa.
Shadow AI vs. shadow IT
Shadow IT on laajempi termi ohjelmistoille tai laitteistoille, joita käytetään ilman organisaation hyväksyntää tai valvontaa. Yleisiä esimerkkejä ovat työkäyttöön käytettävä henkilökohtainen pilvitallennus, luvattomat viestisovellukset ja hyväksymättömät projektinhallinta-alustat.
Shadow AI on shadow IT:n erityismuoto, joka koskee tekoälyjärjestelmiä ja tekoälyä hyödyntäviä ominaisuuksia. Tekoäly tuo mukanaan ylimääräisen tietojenhallinnan haasteen, koska yrityksen tietoja saatetaan syöttää ulkopuoliseen järjestelmään tai käsitellä tuntemattomilla tavoilla organisaation valvonnan ulkopuolella.
Miten shadow AI syntyy?
Työntekijät voivat syöttää suuria määriä yrityksen tietoja tekoälyn chatti-ikkunaan muutamassa sekunnissa. Tekoälyn asetuksista riippuen työkalu voi säilyttää syötteen, jakaa sen muille osapuolille (kuten datavälittäjille tai analytiikkatarjoajille, kuten OpenAI-tietomurron tapauksessa) tai käyttää sitä kohdennettuihin mainoksiin tai mallien kehittämiseen.
Shadow AI leviää yleensä muutaman yleisen organisaatiotason puutteen vuoksi.
Ei hyväksyttyä vaihtoehtoa
Työntekijät käyttävät todennäköisemmin shadow AI -työkaluja, kun yritys ei ole tarjonnut hyväksyttyä vaihtoehtoa. 2 000 työntekijälle tehty BlackFog-tutkimus(uusi ikkuna) osoitti, että 49 % työntekijöistä ottaa tekoälytyökaluja käyttöön ilman työnantajan hyväksyntää, 63 % pitää tekoälyn käyttöä hyväksyttävänä, kun yrityksen hyväksymää vaihtoehtoa ei ole, ja 51 % on yhdistänyt tekoälytyökaluja työjärjestelmiin IT:n tietämättä.
Epäselvät käytännöt
Työntekijät voivat olla epävarmoja siitä, mitkä työkalut, tehtävät ja tietotyypit ovat sallittuja. Yrityksen ohjeistus saattaa kieltää selkeästi erittäin arkaluonteiset tiedot, mutta sanoa hyvin vähän sisäisistä kokousmuistiinpanoista, sähköpostiluonnoksista, laskentataulukoista, lähdekoodista tai asiakaskeskusteluista.
241 IT-ammattilaiselle tehty IT Brew’n kysely(uusi ikkuna) osoitti, että 35 % luottaa vähän tai ei lainkaan siihen, että työntekijät tuntevat yrityksensä tekoälyn käyttöä ja tietoturvaa koskevat käytännöt, ja vain 12 % tunsi olonsa ”erittäin luottavaiseksi”. Erillisessä 505 HR-ammattilaiselle ja työnantajalle tehdyssä WorkNest-kyselyssä(uusi ikkuna) havaittiin, että 54 % organisaatioista ei ole lainkaan tekoälykäytäntöä, 24 % on edelleen kehittämässä sellaista ja vain 13 %:lla on selkeät, dokumentoidut säännöt.
Hitaat hyväksyntäprosessit
Paine noudattaa määräaikoja voi saada pitkän tietoturva- tai hankinta-arvioinnin tuntumaan epäkäytännölliseltä. Kun työntekijät voivat käyttää ilmaista työkalua välittömästi, hitaat sisäiset prosessit tekevät epävirallisista kiertoteistä todennäköisempiä.
Uudet tekoälyominaisuudet hyväksytyissä ohjelmistoissa
Toimittaja voi lisätä generoivia tekoälyominaisuuksia sovellukseen, joka on jo läpäissyt tietoturva-arvioinnin, ja ohjelmisto pysyy hyväksyttyjen listalla, vaikka kukaan ei ole arvioinut, miten uusi ominaisuus käsittelee, tallentaa tai jakaa yrityksen tietoja. Työntekijä ei ole rikkonut mitään käytäntöä, mutta tulos on sama kuin muissakin syissä: yrityksen tiedot liikkuvat nyt kanavan kautta, jota kukaan ei ole tosiasiassa tarkistanut.
Rajoitettu tietämys tietojen käsittelystä
Työntekijät eivät välttämättä tiedä, miten tekoälyntarjoajat, kuten ChatGPT ja Gemini, säilyttävät kehotteita, käsittelevät lähetettyjä tiedostoja, käyttävät keskusteluja palvelun parantamiseen tai jakavat tietoja muiden tarjoajien kanssa. He saattavat olettaa syötteidensä katoavan, kun he sulkevat selaimen välilehden, vaikka kopiot säilyvät tilihistorioissa, lokeissa, varmuuskopioissa tai yhdistetyissä järjestelmissä.
Koliden raportissa(uusi ikkuna) havaittiin, että vaikka 89 % työntekijöistä käyttää tekoälyä kuukausittain, vain 56 % yrityksistä on selittänyt tekoälyn tietoturvariskejä henkilöstölleen.
Esimerkkejä shadow AI:sta
| Tiimi | Esimerkki shadow AI:sta | Mahdollisesti paljastuneet tiedot | Mahdollinen vaikutus |
|---|---|---|---|
| Ohjelmistokehitys | Sisäisen koodin liittäminen julkiseen chatbotiin vianselvitystä varten | Lähdekoodi, kirjautumistiedot, järjestelmäarkkitehtuuri ja julkaisemattomat ominaisuudet | Omisteista koodia tai salaisuuksia saatetaan säilyttää yrityksen järjestelmien ulkopuolella |
| Tuote | Tiekaavion lähetys tiivistämistä varten | Julkaisupäivät, tuotestrategia, hinnoittelu ja kumppanitiedot | Luottamukselliset liiketoimintasuunnitelmat saattavat maata hallitsemattomina ulkopuolisten tahojen palvelimilla |
| Markkinointi ja muotoilu | Kampanjasuunnitelmien syöttäminen tekoälypohjaiseen kirjoitus- tai muotoilutyökaluun | Julkaisemattomat tuotteet, asiakastutkimus, brändiresurssit ja yleisötiedot | Arkaluonteisia kampanjatietoja saatetaan käsitellä ilman oikeudellista tai tietoturva-arviointia |
| Data-analyysi | Asiakasaineistojen lähetys ulkopuoliseen analysointityökaluun | Henkilötiedot, kaupallisesti arkaluonteiset merkinnät ja luottamukselliset havainnot | Suojattuja tai säänneltyjä tietoja saatetaan luovuttaa hyväksymättömille ulkopuolisille tahoille |
| Henkilöstöhallinto | Tekoälytyökalun käyttö hakemusten arviointiin tai haastattelujen tiivistämiseen | Hakijatiedot, työsuhdetiedot ja arviointikriteerit | Henkilöstötietojen paljastuminen voi rikkoa GDPR- tai CCPA-säännöksiä |
| Myynti | Puhelujen litterointien tai tilitietojen muistiinpanojen lähetys analysoitavaksi | Asiakkaiden henkilöllisyydet, sopimustiedot, hinnoittelu ja myyntistrategia | Asiakastietojen paljastuminen voi rikkoa GDPR- tai CCPA-säännöksiä |
| Asiakaspalvelu | Tukipyyntöjen liittäminen julkiseen chatbotiin | Asiakkaiden nimet, tilitiedot, valitukset ja kirjeenvaihto | Säilytetyt tukimerkinnät voivat rikkoa GDPR- tai CCPA-säännöksiä |
| Talous | Tekoälyavustajan pyytäminen analysoimaan sisäisiä laskentataulukoita | Budjetit, ennusteet, palkkatiedot ja tapahtumamerkinnät | Taloustietoja saatetaan käsitellä ilman asianmukaisia suojatoimia |
| Oikeudelliset tiedot | Sopimusten tai tapaustiedostojen lähetys tiivistämistä varten | Salassapitovelvollisuuden alaiset neuvot, sopimusehdot ja asiakastiedot | Asiakastietojen väärinkäyttö voi rikkoa GDPR- tai CCPA-säännöksiä ja vaikuttaa salassapitovelvollisuuteen |
| Johto | Tekoälypalvelun käyttö hallituksen asiakirjojen tai strategisten suunnitelmien tarkasteluun | Yritysostosuunnitelmat, sisäiset tavoitteet ja johdon keskustelut | Erittäin arkaluonteiset yritystiedot voivat paljastua |
Kouluttautuuko tekoäly automaattisesti tiedoillanne?
Suuret kielimallit (LLM:ät) eivät uudelleenkouluttaudu automaattisesti jokaisesta kehotteesta reaaliajassa, joten keskustelu ei vääjäämättä tule osaksi tekoälymallia tai ilmesty toisen käyttäjän vastaukseen. Riskin taso riippuu kuitenkin tarjoajasta, tilityypistä, yksityisyysasetuksista, sopimuksesta ja siitä, miten palvelu on määritetty.
Tekoälyn tarjoaja saattaa säilyttää kehotteet ja lähetetyt tiedostot, saattaa ne ihmisnarvioitavaksi, käyttää niitä palveluidensa parantamiseen tai jakaa ne infrastruktuuri- ja mallitarjoajien kanssa.
Vaikka mallin koulutus olisi poistettu käytöstä, tiedot voivat silti näkyä tilihistorioissa, toimintalokeissa, väärinkäytösten valvontajärjestelmissä, varmuuskopioissa, selaintiedoissa, yhdistetyissä palveluissa tai ulkopuolisten tahojen integraatioissa. Jos sisältönne on jo osallistunut mallin kouluttamiseen, tämän vaihtoehdon poistaminen käytöstä ei saa mallia unohdattaa aiempia keskustelujanne.
Mitä riskejä shadow AI:hin liittyy?
Tekoäly voi vaikuttaa päätöksiin, luoda asiakkaille suunnattua materiaalia, kirjoittaa koodia tai analysoida henkilötietoja, mikä kaikki luo riskejä, jotka ulottuvat itse työkalun tietoturvaa pidemmälle:
Tietomurto
IBMn vuoden 2025 Cost of a Data Breach Report(uusi ikkuna) -raportissa havaittiin, että joka viides organisaatio oli kokenut shadow AI:hin liittyvän tietomurron, mutta silti vain 37 %:lla oli käytäntöjä sen hallitsemiseksi tai havaitsemiseksi.
Organisaatiot, joissa shadow AI:ta käytettiin runsaasti, kohtasivat tietomurtokustannuksia, jotka olivat keskimäärin 670 000 dollaria suuremmat kuin organisaatioilla, joissa shadow AI:ta oli vähän tai ei lainkaan. Lisäksi shadow AI:hin liittyvät vaaratilanteet paljastivat henkilötietoja ja aineettomia oikeuksia useammin kuin globaali keskiarvo.
Luottamuksellisten tietojen paljastuminen
Työntekijät voivat jakaa sisäisiä asiakirjoja, lähdekoodia, taloustietoja, sopimuksia, asiakasrekisterejä, tuotesuunnitelmia tai liikesalaisuuksia ymmārtämättä, että tekoälyn tarjoaja säilyttää heidän syötteensä. Vaikka tiedot jätettäisiinkin mallin koulutuksen ulkopuolelle, ne voivat silti altistua tilin vaarantumiselle, tietomurroille, tarjoajan pääsylle, turvattomille integraatioille tai oikeudellisille vaatimuksille.
Esimerkiksi Samsung kielsi ChatGPT:n(uusi ikkuna) koko yhtiössä toukokuussa 2023 sen jälkeen, kun työntekijät olivat liittäneet siihen luottamuksellista materiaalia kolme kertaa 20 päivän aikana, mukaan lukien puolijohteiden lähdekoodia, vikojen havaitsemisalgoritmeja ja litteroidun sisäisen kokouksen.
Aineettoman omaisuuden menetys
Omisteinen osaaminen on usein yrityksen arvokkain voimavara. Koodin, tutkimuksen, tuotemuotoilun, prosessien tai strategiadokumenttien lähetys ulkopuoliseen tekoälypalveluun voi olla ristiriidassa salassapitosopimusten kanssa tai heikentää yrityksen kykyä hallita kyseisiä tietoja. Työntekijä voi myös käyttää tekoälyn luomaa sisältöä ymmärtämättä sen alkuperää, lisenssirajoituksia tai samankaltaisuutta ulkopuolisen tahon materiaalin kanssa.
Yksityisyyden ja sääntelyn rikkomukset
Henkilötietoihin sovelletaan edelleen tietosuojalainsäädäntöä, kun niitä käsitellään tekoälytyökalun kautta. Shadow AI voi ohittaa yksityisyydensuojan, koska asianomaiset lakitiimit eivät koskaan tiedä käsittelyn tapahtumisesta. Yhdistyneen kuningaskunnan tietosuojavaltuutetun toimisto varoittaa, että tekoälyjärjestelmät voivat vahvistaa olemassa olevia tietoturvariskejä(uusi ikkuna). Vakavista GDPR-rikkomuksista voi seurata jopa 20 miljoonan euron saakka ulottuvia sakkoja tai 4 % organisaation edellisen tilikauden maailmanlaajuisesta vuosiliikevaihdosta sen mukaan, kumpi on suurempi.
Turvattomat integraatiot ja liialliset käyttöoikeudet
Tekoälytyökalut voivat yhdistää sähköpostiin, pilvitallennukseen, kalentereihin, koodivarastoihin, asiakastietokantoihin ja yhteistyöalustoihin. Laajat käyttöoikeudet, huonosti suojatut API-rajapinnat, vuotaneet käyttötunnisteet, haitalliset selainlaajennukset ja vaarannetut ulkopuolisten tahojen palvelut voivat paljastaa yrityksen järjestelmiä ja tietoja huomattavasti enemmän kuin yksittäisessä kehotteessa syötetyt tiedot.
Salesloft Drift -tietomurrossa hyökkääjät varastivat OAuth-tunnisteita Driftistä, joka on tekoälypohjainen myyntiavustajaintegraatio, ja käyttivät niitä tietojen hakemiseen Salesforce-instansseista yli 700 organisaatiossa, mukaan lukien liikesuhteet, API-avaimet ja tukipyyntöihin upotetut pilvikirjautumistiedot.
Kehote-injektiohyökkäykset
Tämä haavoittuvuus on missä tahansa yhdistetyssä tekoälyjärjestelmässä, olipa se hyväksytty tai ei — hyökkääjät voivat manipuloida tekoälyjärjestelmää asiakirjoihin, verkkosivuihin, sähköposteihin tai muuhun sen käsittelemään sisältöön piilotettujen ohjeiden kautta, mikä saa sen paljastamaan tietoja, jättämään alkuperäiset ohjeensa huomiotta tai tekemään tahattomia toimia.
Shadow AI kasvattaa panoksia, koska hyväksymätöntä työkalua tai tekoälyagenttia ei ehkä ole koskaan arvioitu kehote-injektioiden varalta tai sen käyttöoikeuksia rajoitettu vain tarpeellisiin. Jos hyökkäys onnistuu, tietoturvatiimeillä voi olla hyvin vähän näkyvyyttä siihen, mitä tapahtui tai miten tilanne rajataan. Seuraukset ovat erityisen vakavia, kun tekoälyagentti pääsee käsiksi arkaluonteisiin tietoihin tai voi tehdä toimia ilman ihmisen suorittamaa tarkistusta.
Vastuullisuuden ja tilivelvollisuuden puute
Shadow AI -toiminnasta ei usein jää keskitettyä auditointipolkua. Tietoturvatiimit eivät välttämättä pysty selvittämään, mitä tietoja lähetettiin, mikä malli niitä käsitteli, mitä tulosta se tuotti tai miten tulos vaikutti päätökseen. Virheen, valituksen, tietomurron tai sääntelykysymyksen tutkimisesta tulee huomattavasti vaikeampaa ilman kyseisiä merkintöjä.
Odottamattomat kustannukset ja riippuvuus toimittajista
Erilliset tilaukset ja API-tilit voivat luoda päällekkäisiä menoja osastojen välillä. Kokeelliset työkalut voivat myös tulla upotetuiksi tärkeisiin työnkulkuihin ennen kuin hankintatiimit ovat arvioineet niiden hinnoittelun, luotettavuuden tai pitkän aikavälin saatavuuden. Ilmaisesta palvelusta voi tulla liiketoiminnalle kriittinen ilman palvelusopimusta, jatkuvuussuunnitelmaa tai käytännön tapaa siirtää työnkulkua muualle.
Miten havaita shadow AI
Shadow AI:ta voi olla vaikea havaita, koska työntekijät saattavat käyttää henkilökohtaisia tilejä, selainlaajennuksia, upotettuja tekoälyominaisuuksia, tekoälyselaimia tai työkaluja, jotka sulautuvat normaaliin verkkotietoliikenteeseen. Organisaatiot tarvitsevat siksi näkyvyyttä siihen, mitä palveluita käytetään ja miten yrityksen tiedot liikkuvat niiden läpi.
Valvonnan tulee säilyä kohtuullisena ja kunnioittaa työntekijöiden yksityisyyttä. Tavoitteena tulisi olla riskialttiiden työkalujen ja tietovirtojen tunnistaminen ilman, että jokaisen kehotteen tai keskustelun sisältöä tarkastetaan rutiininomaisesti.
Tässä on muutamia vinkkejä shadow AI:n tunnistamiseen organisaatiossanne:
Luo inventaario tekoälyn käytöstä
Kysykää tiimeiltä, mitä tekoälytyökaluja he tällä hetkellä käyttävät, mihin tehtäviin he niitä käyttävät ja mikä estää heitä käyttämästä hyväksyttyjä vaihtoehtoja. Lyhyt kysely, osastojohtajien haastattelut ja vapaaehtoinen ilmoitusaika voivat paljastaa käyttötapoja, joita tekniset valvonnat eivät havaitse. Työntekijät ovat todennäköisemmin rehellisiä, kun tavoitteena on ymmärtää heidän tarpeitaan varhaisesta kokeilusta rankaisemisen sijaan.
Tarkastelkaa verkko- ja sovellusaktiivisuutta
Tietoturvatiimit voivat käyttää verkkolokeja, ohjelmistoinventaarioita ja pilvikäytön tietoturvatyökaluja tunnistaakseen yhteydet tunnettuihin tekoälypalveluihin. Valvonta voi näyttää, mitä palveluita käytetään ja kuinka paljon tietoa siirretään, tallentamatta jokaisen keskustelun sisältöä.
Auditoikaa selainlaajennukset ja liitännäiset
Selainlaajennukset voivat lisätä tekoälypohjaisia kirjoitus-, tiivistys-, käännös-, kokous- ja koodausominaisuuksia lähes mihin tahansa työnkulkuun. Tarkistakaa, mitä laajennuksia on asennettu, mitä käyttöoikeuksia ne pyytävät ja voivatko ne lukea verkkosivujen sisältöä, sähköpostia, asiakirjoja tai kirjautumistietoja.
Tarkistakaa kulut ja hankintamerkinnät
Työntekijöiden kulukorvausvaatimukset, yrityskorttien tiliotteet ja hankintamerkinnät voivat paljastaa maksullisia tekoälytilauksia, jotka eivät ole koskaan suorittaneet tietoturva-arviointia. Eri tiimien toistuvat maksut voivat myös paljastaa päällekkäisiä työkaluja ja epävirallisia tilejä.
Etsikää hallitsemattomia API-avaimia ja integraatioita
Tarkastelkaa koodivarastoja, salaisuuksien hallintatyökaluja, pilviympäristöjä, laskutuksen hallintapaneeleja ja automaatioalustoja etsien yhteyksiä ulkopuolisiin tekoälyntarjoajiin. Hallitsemattomat API-avaimet tai tuntemattomat käyttömaksut voivat viitata prototyyppiin, integraatioon tai sisäiseen työkaluun, jota ei ole virallisesti hyväksytty.
Käyttäkää tietojen häviämisen estämisen valvontaa
Tietojen häviämisen estämisen työkalut voivat tunnistaa yritykset lähettää arkaluonteisia tietoluokkia, kuten henkilötietoja, kirjautumistietoja, taloustietoja ja lähdekoodia. Valvonnan tulee olla kohtuullista ja siitä tulee viestiä selkeästi. Työntekijöiden on ymmärrettävä, mitä valvotaan, miksi se on tarpeen ja miten laillinen työ suoritetaan hyväksyttyjen järjestelmien kautta.
Työskennelkää työntekijöiden kanssa eikä heidän ohitseen
Pelkkä tekninen valvonta ei paljasta jokaista shadow AI -tapausta. Työntekijät saattavat käyttää henkilökohtaisia tilejä, mobiililaitteita tai työkaluja, jotka näkyvät normaalina verkkotietoliikenteenä. Säännölliset keskustelut tiimien kanssa voivat tunnistaa kohdat, joissa nykyiset työnkulut aiheuttavat kitkaa ja miksi työntekijät etsivät ulkopuolisia työkaluja.
Miten vähentää shadow AI -riskejä
Shadow AI:n vähentäminen edellyttää käytännöllisiä vaihtoehtoja, selkeitä käytäntöjä, asianmukaisia käyttöoikeuksien valvontoja, henkilöstön koulutusta ja jatkuvaa arviointia. Tehokkaiden suojatoimien tulisi tukea luvallista tekoälyn käyttöä pitäen samalla yrityksen tiedot hyväksytyissä järjestelmissä:
Anntakaa työntekijöille hyväksytty tekoälytyökalu
Työntekijät etsivät epätodennäköisemmin vaihtoehtoja, kun tarjoatte yritystekoälyavustajan, joka vastaa heidän käytännön tarpeisiinsa. Minkä tahansa hyväksytyn työkalun tulisi tarjota vahva yksityisyydensuoja, selkeät tietojenkäsittelyehdot, asianmukainen liiketoiminnan valvonta ja riittävästi suorituskykyä yleisten tehtävien tukemiseen.
Välttäkää täyskieltoa
Täyskielto voi työntää tekoälyn käytön entistä enemmän maan alle, varsinkin kun työntekijät ovat jo riippuvaisia näistä työkaluista. Jotkut saattavat siirtyä henkilökohtaisiin tileihin, mobiililaitteisiin, selainlaajennuksiin tai vähemmän hyvämaineisiin tekoälypalveluihin, joita organisaation on vaikeampi tunnistaa.
Luokaa tekoälyn sallitun käytön käytäntö
Käyttäkää todellisiin työnkulkuihin perustuvia esimerkkejä. ”Älä jaa arkaluonteisia tietoja” jättää liikaa tulkinnanvaraa. Selkeämpi käytäntö voi ohjeistaa työntekijöitä olemaan koskaan lähettämättä asiakaspalvelun vientejä, lähdekoodia, sopimuksia, kirjautumistietoja, julkaisemattomia taloustuloksia tai tunnistettavia henkilöstörekistereitä hyväksymättömään palveluun.
Luokitelkaa tiedot ennen tekoälysääntöjen asettamista
Tunnistakaa, mitkä tietoluokat ovat julkisia, sisäisiä, luottamuksellisia, säänneltyjä tai erittäin rajoitettuja. Yhdistäkää kukin luokka sallittuihin tekoälyn käyttötapoihin. Julkinen markkinointiteksti voi sopia laajemmalle työkalukirjolle, kun taas henkilötiedot, kirjautumistiedot, liikesalaisuudet ja salassapitovelvollisuuden alainen oikeudellinen materiaali voivat vaatia tiukasti valvotun järjestelmän tai olla kokonaan pois suljettuja.
Tarkastakaa hyväksytyt ohjelmistot säännöllisesti uusien tekoälyominaisuuksien varalta
Sovellus saattaa käsitellä tietoja eri tavalla tekoälyavustajan, automaattisen litteroinnin, sisällön luonnin tai ennustavan analyysin lisäämisen jälkeen. Säännölliset toimittaja-arvioinnit voivat tunnistaa nämä muutokset ja vahvistaa, että aiemmin hyväksytyt työkalut täyttävät edelleen organisaation tietoturva-, yksityisyys- vaatimukset.
Rajoittakaa käyttöoikeuksia
Antakaa tekoälytyökaluille pääsy vain hyväksyttyyn tehtävään tarvittaviin tietoihin ja järjestelmiin. Käyttäkää yrityksen hallinnoimia tilejä, kertakirjautumista (SSO), kaksivaiheista tunnistautumista (2FA), roolipohjaisia käyttöoikeuksia ja keskitettyä tilien poistoa, kun ne ovat saatavilla. Välttäkää yritystekoälyavustajan yhdistämistä koko levyyn, saapuneisiin sähköposteihin tai asiakastietokantaan, kun suppeampi lähde riittää.
Asettakaa säännöt roolin ja käyttötapauksen mukaan
Eri tiimeillä on erilaiset tarpeet ja riskitasot. Kehittäjät saattavat tarvita API-pääsyn testausta tai prototyyppien luomista varten. Markkinointitiimit saattavat tarvita tekstin ja kuvan luontia. Lakiasiain- tai HR-tiimit saattavat työskennellä tietojen parissa, jotka vaativat huomattavasti tiukempia rajoituksia. Roolipohjaiset säännöt voivat pitää käytännön realistisena ja samalla rajoittaa pääsyä arkaluonteisiin tietoihin ja korkeariskisiin toimintoihin.
Kouluttakaa työntekijöitä
Työntekijät tarvitsevat riittävästi tekoälylukutaitoa ymmärtääkseen sekä käyttämiensä järjestelmien edut että rajoitukset. Koulutuksen tulisi kattaa tekoälyn yksityisyys, luottamuksellisuus, hallusinaatiot, vääristymät, aineeton omaisuus, kehote-injektiot, ihmisen suorittama tarkistus ja vaaratilanteista ilmoittaminen. Asianmukainen koulutustaso riippuu henkilöstön tietämyksestä, kokemuksesta ja kontekstista, jossa tekoälyä käytetään.
Luokaa yksinkertainen hyväksyntäprosessi
Toimiva prosessi voi kerätä työkalun nimen, aiotun tehtävän, mukana olevat tiedot, vaaditut integraatiot ja odotetun liiketoimintaedun. Tietoturva- ja lakitiimit voivat sitten hyväksyä, rajoittaa, testata, hiekkalaatikoida tai hylätä sen todellisen riskin perusteella. Pitkä hankintaprosessi voi kannustaa työntekijöitä etsimään oman kiertotiensä. Asettakaa kohtuullinen arviointitavoite ja selittäkää, mitä tietoja päätöksen tekemiseen tarvitaan.
Pitäkää ihmiset vastuussa tuotoksesta
Tekoälyavusteisella työllä tulisi olla inhimillinen omistaja. Vaatikaa tarkistus ennen kuin tuotokset vaikuttavat asiakkaisiin, työntekijöihin, talouteen, oikeudellisiin päätöksiin, tuotantokoodiin, julkaistuihin tietoihin tai muihin merkittäviin alueisiin. Jokainen tekoälytyökalua käyttävä henkilö on edelleen vastuussa sen tarkkuuden, asianmukaisuuden, luottamuksellisuuden ja yrityksen käytäntöjen mukaisuuden tarkistamisesta.
Dokumentoikaa tärkeät tekoälyavusteiset päätökset
Pitäkää selkeää kirjaa, kun tekoäly edistää päätöksiä, jotka vaikuttavat asiakkaisiin, työntekijöihin, talouteen, oikeudellisiin asioihin tai muihin merkittäviin alueisiin. Luotettava auditointipolku tukee tilivelvollisuutta ja auttaa organisaatioita tutkimaan virheitä, selittämään tuloksia ja vastaamaan valituksiin tai sääntelykysymyksiin.
Mitä tehdä, jos arkaluonteisia tietoja on jo jaettu
Käsitelykää vahingossa tapahtunutta tietojen luovuttamista tekoälytyökalulle kuten mitä tahansa muuta mahdollista tietoturvavaaratilannetta. Enetkää nopeasti seuraavien vaiheiden läpi.
Tunnistakaa, mitä jaettiin: Vahvistakaa, mitä tietoja syötettiin tai lähetettiin, mitä työkalua ja tiliä käytettiin, milloin luovutus tapahtui ja kenellä saattoi olla pääsy tietoihin.
Poistakaa tiedot mahdollisuuksien mukaan: Poistakaa keskustelu ja mahdolliset lähetetyt tiedostot työkalusta. Tarkistakaa tarjoajan ehdot ja tukivaihtoehdot nähdäksenne, voitteko jättää virallisen poistopyynnön.
Tarkistakaa, mitä tarjoaja saattaa säilyttää: Chatin poistaminen näkyvistä ei aina pyyhi jokaista kopiota. Tarkastelkaa ja dokumentoikaa, mitä tarjoaja sanoo toimintalokeista, varmuuskopioista, ihmisen suorittamasta tarkistuksesta, mallin koulutuksesta ja poistoaikatauluista sen määrittämiseksi, saattaako tietoja jäädä jäljelle.
Suojatkaa kyseiset järjestelmät: Mitätöikää tekoälytyökalulle tai yhdistetyille liitännäisille myönnetyt käyttöoikeudet. Vaihtakaa kaikki salasanat, API-avaimet, käyttötunnisteet tai muut kirjautumistiedot, jotka esiintyivät kehotteessa tai liitetyissä tiedostoissa.
Ilmoittakaa asianomaisille tiimeille: Ilmoittakaa vaaratilanteesta organisaation tietoturva-, yksityisyys-, lakiasiain- tai tietosuojatiimille. He voivat arvioida sopimusvelvoitteet, sääntelyvaatimukset ja sen, onko kyseisille asiakkaille tai kumppaneille ilmoitettava.
Ottakaa opiksi vaaratilanteesta: Dokumentoikaa tapahtunut ja käyttäkää sitä koulutuksen, valvonnan ja hyväksyttyjen vaihtoehtojen parantamiseen. Välttäkää rankaisemasta työntekijöitä, jotka ilmoittavat aidoista virheistä, sillä rankaiseva vastaus voi lannistaa muita ilmoittamasta tulevista vaaratilanteista.
Yksityinen tekoälyavustaja tiimeille
Lumo for Business antaa tiimillenne luotettavan tekoälyavustajan asiakirjojen tiivistämiseen, datan analysointiin, koodin tarkistamiseen, sisällön luonnosteluun ja ideoiden tutkimiseen samalla kun se auttaa yritystänne säilyttämään luottamuksellisten tietojen hallinnan.
Meidän yritystekoälyavustajamme ei pidä lokeja keskusteluista eikä käytä niitä tekoälymallien kouluttamiseen, ja kaikki chatti-historia, jonka päätätte tallentaa, on suojattu zero-access encryption -salauksella, mikä tarkoittaa, ettei meillä ole koskaan pääsyä tietoihinne
Lumo on täysin avointa lähdekoodia, rakennettu Euroopassa ja suunniteltu tukemaan GDPR- ja HIPAA-vaatimustenmukaisuutta Protonin ISO 27001 -sertifioinnin ja SOC 2 Type II -todistuksen kautta.
Kyvykkään ja yksityisyyteen keskittyvän tekoälyavustajan antaminen tiimillenne vähentää tukeutumista hyväksymättömiin työkaluihin ja auttaa pitämään tekoälyn käytön valvomissanne järjestelmissä.
