Shadow AIGiá

(SHADOAI)

AI ngầm (Shadow AI) đề cập đến việc sử dụng trái phép hoặc không được quản lý các công cụ và dịch vụ trí tuệ nhân tạo trong một tổ chức mà không có sự chấp thuận rõ ràng hoặc giám sát của bộ phận IT. Đây là một mối lo ngại vì nó nằm ngoài khuôn khổ quản trị doanh nghiệp đã thiết lập, tạo ra những rủi ro đáng kể. Nhân viên sử dụng các công cụ này, như mô hình ngôn ngữ lớn, thường để tăng năng suất, nhưng điều này có thể vô tình làm lộ dữ liệu nhạy cảm, dẫn đến vi phạm tuân thủ và ảnh hưởng đến chủ quyền dữ liệu, khiến nó trở thành một lĩnh vực quan trọng mà quản lý tổ chức và an ninh cần chú ý.

Các rủi ro chính liên quan đến công cụ AI không được quản lý là đáng kể. Bảo mật dữ liệu là tối quan trọng, vì thông tin nhạy cảm của công ty, khách hàng hoặc độc quyền có thể được chia sẻ với các dịch vụ AI của bên thứ ba, dẫn đến các vụ vi phạm dữ liệu tiềm ẩn, mất kiểm soát dữ liệu và phơi nhiễm trái phép. Vi phạm tuân thủ cũng là một mối lo ngại lớn, đặc biệt liên quan đến các quy định như GDPR, HIPAA và SOC 2, nếu việc xử lý dữ liệu diễn ra ngoài các khuôn khổ đã được phê duyệt. Ngoài ra, còn có nguy cơ đầu ra thiên vị hoặc không chính xác từ các mô hình không được giám sát, và mất kiểm soát chung đối với tài sản trí tuệ và dữ liệu bảo mật của tổ chức.

AI ngầm thường xuất hiện khi các cá nhân nhân viên hoặc đội nhóm độc lập áp dụng các công cụ AI mới hoặc kích hoạt các tính năng AI trong các ứng dụng SaaS hiện có mà không có sự xem xét chính thức, sự chấp thuận của bộ phận IT hoặc sự giám sát tập trung. Việc áp dụng này thường được thúc đẩy bởi mong muốn tăng năng suất cá nhân hoặc nhóm, tối ưu hóa quy trình làm việc hoặc nhanh chóng giải quyết các vấn đề tức thời. Nhân viên có thể thấy các giải pháp AI này có lợi cho công việc của họ, đôi khi không nhận thức được những hàm ý tiềm ẩn về bảo mật, tuân thủ và quản trị mà hành động của họ có thể gây ra cho toàn bộ tổ chức, dẫn đến việc sử dụng không được phép.

Phát hiện và quản lý AI ngầm đòi hỏi một cách tiếp cận đa diện. Các tổ chức có thể thực hiện các cuộc kiểm toán toàn diện để xác định việc sử dụng AI trái phép, cùng với việc giám sát hoạt động mạng và phân tích các mẫu hành vi người dùng. Sử dụng các giải pháp ngăn ngừa mất dữ liệu (DLP) giúp ngăn chặn thông tin nhạy cảm bị tải lên các công cụ AI không được phê duyệt, trong khi hệ thống phát hiện và phản hồi điểm cuối (EDR) có thể cung cấp sự cảnh giác hơn nữa. Quan trọng là, việc thiết lập các chính sách rõ ràng cho các công cụ AI được phê duyệt, tiến hành giáo dục nhân viên thường xuyên về rủi ro AI và thực hiện các cuộc kiểm toán nhất quán là các bước thiết yếu để quản lý và giảm thiểu rủi ro AI ngầm một cách hiệu quả.

Một loạt dữ liệu nhạy cảm của tổ chức rất dễ bị tổn thương trước các rủi ro từ AI ngầm. Điều này bao gồm các tài liệu quan trọng của công ty, hồ sơ khách hàng bảo mật chứa thông tin nhận dạng cá nhân (PII), mã nguồn độc quyền và dữ liệu tài chính nhạy cảm. Ngoài ra, thông tin đăng nhập của nhân viên, thông tin liên lạc nội bộ và các dữ liệu hoạt động khác cũng có nguy cơ đáng kể. Khi những thông tin có giá trị như vậy được nhập vào các công cụ AI không được phê duyệt, đặc biệt là những công cụ xử lý thông tin trên các máy chủ bên ngoài, không được xác minh, nó mở ra các con đường cho việc truy cập trái phép, tiết lộ và khai thác tiềm ẩn, làm suy yếu nghiêm trọng tính toàn vẹn và bảo mật của dữ liệu.

Trong khi cả AI ngầm và Shadow IT đều liên quan đến việc sử dụng công nghệ trái phép, AI ngầm là một tập con chuyên biệt. Shadow IT đề cập rộng rãi đến bất kỳ công nghệ nào không được phê duyệt, từ cài đặt phần mềm trái phép đến dịch vụ đám mây không được quản lý. Tuy nhiên, AI ngầm cụ thể liên quan đến việc sử dụng không được phép các mô hình trí tuệ nhân tạo hoặc các công cụ được hỗ trợ bởi AI. Điều này tạo ra các rủi ro độc đáo và gia tăng, đặc biệt liên quan đến việc xử lý dữ liệu nhạy cảm bởi các dịch vụ AI của bên thứ ba, khả năng đào tạo dữ liệu trên thông tin độc quyền và những thách thức độc đáo về quản trị AI và các cân nhắc đạo đức vượt ra ngoài các mối lo ngại về bảo mật IT nói chung.