Shadow AI: politica de utilizare AI în companie

Shadow AI înseamnă instrumentele de inteligență artificială folosite de angajați fără aprobarea și fără controlul organizației: chatboți publici, extensii de browser, asistenți de scriere sau de transcriere. Riscul principal este pierderea controlului asupra datelor. Soluția nu este interdicția, ci o politică clară, un inventar și instrumente aprobate.

Pe scurt

Raportul IBM Cost of a Data Breach 2025 arată că aproximativ una din cinci organizații a legat o breșă de shadow AI, iar la un nivel ridicat de shadow AI costul breșei a fost mai mare cu circa 670.000 USD.
Doar 37% dintre organizațiile analizate de IBM aveau politici de gestionare a AI sau de detectare a shadow AI.
Din 2 februarie 2025, AI Act (art. 4) cere ca organizațiile care folosesc sisteme AI să asigure un nivel suficient de alfabetizare AI al personalului.
Datele introduse într-un instrument AI neaprobat pot ieși din perimetrul de control al firmei: secrete comerciale, date personale, informații despre clienți.
O politică de utilizare AI funcționează doar împreună cu instrumente aprobate și formare; altfel, angajații o ocolesc.

De ce apare shadow AI

Angajații nu folosesc instrumente AI ca să facă rău, ci ca să lucreze mai repede: rezumă un contract, traduc un e-mail, scriu cod, transcriu o ședință. Dacă firma nu le oferă o variantă aprobată, o vor folosi pe cea publică, din browserul personal sau de pe telefon.

Problema apare când în acele instrumente ajung:

contracte și oferte comerciale, cu prețuri și clauze;
date personale ale clienților sau ale angajaților;
cod sursă, chei de acces, configurații de sistem;
documente interne despre incidente, audituri sau litigii;
înregistrări ale ședințelor de conducere.

Odată trimise, aceste date sunt prelucrate de un furnizor cu care firma poate să nu aibă niciun contract, în condiții pe care nu le-a verificat nimeni.

Ce riscuri creează, concret

Risc	Exemplu	Consecință
Scurgerea de informații confidențiale	Un angajat lipește o ofertă într-un chatbot public pentru reformulare	Pierderea controlului asupra secretelor comerciale
Încălcarea GDPR	Se încarcă o listă de clienți pentru „curățare”	Prelucrare fără temei și fără contract cu furnizorul
Compromiterea accesului	Cod cu parole sau chei de API trimis spre analiză	Acces neautorizat la sisteme
Decizii pe informații greșite	Un rezumat inexact al unui contract este luat drept corect	Erori juridice sau financiare
Extensii de browser cu acces larg	Un asistent AI citește toate paginile deschise	Expunerea aplicațiilor interne
Lipsa urmelor	Nu se știe cine a trimis ce și unde	Imposibilitatea investigării unui incident

IBM mai arată că 13% dintre organizațiile analizate au raportat breșe ale modelelor sau aplicațiilor AI, iar 97% dintre acestea nu aveau controale de acces adecvate pentru AI. Riscul nu e AI în sine, ci AI fără guvernanță.

Ce spun regulile: AI Act, GDPR și NIS2

AI Act. Regulamentul (UE) 2024/1689 cere, de la 2 februarie 2025, alfabetizarea AI a personalului care folosește sisteme AI (art. 4). Din 2 august 2026 se aplică obligațiile de transparență de la art. 50, inclusiv pentru conținutul generat. O politică internă și un program de formare sunt cea mai simplă dovadă că firma își ia în serios aceste obligații.

GDPR. Orice prelucrare de date personale printr-un instrument AI are nevoie de temei legal, de informarea persoanelor vizate și, când furnizorul prelucrează date în numele firmei, de un contract de prelucrare. Instrumentele folosite „pe ascuns” nu îndeplinesc aceste condiții.

NIS2. Pentru entitățile esențiale și importante, OUG 155/2024 cere jurnalizarea și trasabilitatea activităților din rețele și sisteme (art. 11 alin. (4)) și include printre măsurile minime politicile de control al accesului și gestionarea activelor, securitatea lanțului de aprovizionare, igiena cibernetică și formarea (art. 13). Un instrument AI cloud folosit pentru date de lucru este, practic, un furnizor și un activ care trebuie inventariat.

Politica de utilizare AI în 10 puncte

Scopul și aplicabilitatea. Cui se aplică (angajați, colaboratori, furnizori cu acces) și ce instrumente acoperă: chatboți, asistenți de cod, transcriere, extensii, funcții AI din aplicațiile existente.
Lista instrumentelor aprobate. Ce instrumente pot fi folosite, cu ce cont (de firmă, nu personal) și pentru ce tipuri de activități.
Clasificarea datelor. Ce categorii de date pot fi introduse în fiecare instrument: public, intern, confidențial, date personale, date strict secrete. Regula de bază: nimic confidențial într-un instrument neaprobat.
Interdicții explicite. Parole, chei, cod cu secrete, date de sănătate, documente din litigii, date despre incidente de securitate.
Verificarea umană. Orice rezultat AI folosit într-un document extern, într-o decizie sau într-un cod pus în producție este verificat de un om, care răspunde pentru el.
Transparența. Când conținutul generat ajunge la clienți sau la public, se respectă obligațiile de transparență din AI Act.
Procedura de aprobare. Cine evaluează un instrument nou (IT, securitate, protecția datelor, juridic) și pe ce criterii: unde se stochează datele, dacă sunt folosite la antrenare, ce contract există.
Jurnalizarea și monitorizarea. Ce se înregistrează și cum se detectează instrumentele neaprobate, cu respectarea vieții private a angajaților.
Formarea. Sesiuni periodice de alfabetizare AI, cu exemple concrete din activitatea firmei.
Raportarea incidentelor. Ce face un angajat care a trimis din greșeală date sensibile: cui raportează, în cât timp, fără teama de sancțiuni automate.

O politică scrisă în stilul „totul este interzis” produce mai mult shadow AI, nu mai puțin. Angajații vor continua să folosească instrumentele, doar că mai discret.

Cum începeți în 30 de zile

Săptămâna 1: inventar. Întrebați echipele ce instrumente AI folosesc și pentru ce. Verificați extensiile de browser instalate și aplicațiile care au primit recent funcții AI.
Săptămâna 2: clasificare. Stabiliți ce date sunt sensibile și cine le folosește.
Săptămâna 3: alegerea instrumentelor. Aprobați una sau două soluții cu cont de firmă și contract clar, apoi scrieți politica.
Săptămâna 4: formare și lansare. O sesiune scurtă pentru toți, una aprofundată pentru echipele care lucrează cu date sensibile.

Dincolo de politică: guvernanța capacității AI

Shadow AI e un simptom: organizația folosește deja AI, dar fără să știe cum. Cadrul Orgᴬᴵ, descris în lucrarea „Humanᴬᴵ and Orgᴬᴵ: A Relational Framework for AI-Mediated Human and Organizational Capacity” (Alexandru-Ciprian Angheluș, 2026, DOI 10.5281/zenodo.22295278), tratează AI ca pe o capacitate organizațională care trebuie guvernată, nu doar ca pe un set de aplicații. Lucrarea are și un calculator interpretativ, cu rulare locală (DOI 10.5281/zenodo.22884721).

Diferența practică: în locul întrebării „ce aplicație interzicem?”, conducerea se întreabă „ce decizii lăsăm să fie asistate de AI, cu ce date și cine răspunde?”.

Cum vă ajută ProDefence

CysAI este platforma ProDefence de informații despre securitatea AI: catalog de agenți AI cu profiluri de risc, monitorizarea reglementărilor AI la nivel global, cercetare privind amenințările și resurse de formare. Este un punct de plecare util pentru evaluarea instrumentelor înainte de aprobare.
Cursurile de educație cibernetică pot include module de utilizare sigură a AI, adaptate pe rolurile din firmă, ca suport pentru obligația de alfabetizare AI.
Pentru entitățile NIS2, consultanța NIS2 integrează instrumentele AI în inventarul de active, în evaluarea furnizorilor și în politicile de control al accesului.
Auditul de securitate web și rețea verifică aplicațiile interne care au primit funcții AI și expunerea lor.

O politică funcționează doar dacă oamenii o înțeleg. Regulamentul european privind inteligența artificială cere, de la 2 februarie 2025, ca furnizorii și implementatorii să asigure un nivel suficient de alfabetizare în domeniul IA pentru personalul lor (art. 4). Cursurile de pe CysEdu, inclusiv cele despre inteligența artificială, pot completa sesiunea internă în care politica este prezentată angajaților.

Întrebări frecvente

Ce este shadow AI?

Shadow AI înseamnă folosirea în organizație a instrumentelor de inteligență artificială fără aprobarea și controlul departamentelor de IT, securitate sau protecția datelor. Exemple: chatboți publici folosiți cu conturi personale, extensii de browser cu funcții AI, aplicații de transcriere instalate pe telefoane.

Este interzis ca angajații să folosească ChatGPT sau alte instrumente AI?

Nu există o interdicție generală. Organizația decide ce instrumente aprobă și în ce condiții. Problema apare când datele firmei sau date personale ajung în instrumente fără contract și fără control, ceea ce poate încălca GDPR și obligațiile de confidențialitate.

Ce cere articolul 4 din AI Act?

De la 2 februarie 2025, furnizorii și utilizatorii de sisteme AI trebuie să ia măsuri pentru a asigura un nivel suficient de alfabetizare AI a personalului care operează sau folosește aceste sisteme, ținând seama de cunoștințele lor și de contextul de utilizare.

Ce trebuie să conțină o politică de utilizare AI?

Instrumentele aprobate, clasificarea datelor permise, interdicțiile explicite, verificarea umană a rezultatelor, transparența față de clienți, procedura de aprobare a instrumentelor noi, jurnalizarea, formarea și raportarea incidentelor. Politica trebuie însoțită de instrumente aprobate reale.

Cum se leagă AI de obligațiile NIS2?

Pentru entitățile NIS2, un instrument AI care prelucrează date de lucru este un activ și, adesea, un furnizor. Trebuie inventariat, inclus în analiza de risc, în controlul accesului și în evaluarea lanțului de aprovizionare, conform art. 11 și 13 din OUG 155/2024.

Cum detectez shadow AI fără să supraveghez abuziv angajații?

Începeți cu un inventar declarativ, verificați extensiile și aplicațiile instalate pe dispozitivele firmei și analizați traficul spre servicii AI cunoscute la nivel de rețea, nu de conținut. Informați angajații despre ce se monitorizează și de ce.

Surse

IBM, Cost of a Data Breach Report 2025 (iulie 2025)
Regulamentul (UE) 2024/1689 privind inteligența artificială (AI Act), art. 4 și art. 50
OUG nr. 155/2024, text consolidat, Portal Legislativ
Regulamentul (UE) 2016/679 (GDPR)
A.-C. Angheluș, „Humanᴬᴵ and Orgᴬᴵ: A Relational Framework for AI-Mediated Human and Organizational Capacity” (2026), DOI 10.5281/zenodo.22295278

Alexandru Angheluș, ProDefence. Autorul cadrului Humanᴬᴵ/Orgᴬᴵ și al lucrării „Inteligența artificială și transformarea civilizațională”, lucrează pe securitatea și guvernanța AI în organizații.