Novus-tutkimuksemme tulokset ovat selkeät: 8 prosenttia vastaajista on tehnyt näin useita kertoja ja 10 prosenttia ainakin kerran. Kysymys esitettiin 770 henkilölle, jotka käyttävät tekoälyä työssään. Luku 18 prosenttia koskee siis tekoälyn käyttäjiä, ei kaikkia tutkimukseen osallistuneita.

Tämä ei kuitenkaan tarkoita, että kaikki olisivat syöttäneet tekoälyyn arkaluonteista tietoa. Kysymys kattoi monenlaiset työperäiset aineistot, eikä tutkimus kerro, mitä tietoja palveluihin tosiasiallisesti syötettiin tai mitä tekoälytyökalua käytettiin. Käyttäytyminen on silti selvä merkki siitä, että organisaatioiden ohjeistusta, hallintamalleja ja hyväksyttyjen työkalujen saatavuutta on tarpeen kehittää.

Lue lisää tutkimuksesta

Mitä Shadow AI tarkoittaa?

Shadow AI tarkoittaa tekoälytyökaluja ja niiden käyttöä ilman, että organisaatio on hyväksynyt, määrittänyt tai saanut näkyvyyttä niiden käyttöön. Kyse voi olla esimerkiksi henkilökohtaisesta käyttäjätilistä, selainlaajennuksesta tai uudesta palvelusta, jonka työntekijä ottaa käyttöön tehdäkseen työnsä nopeammin.

Motivaatio on usein positiivinen: työntekijä haluaa tehostaa työskentelyään. Haasteena on kuitenkin se, että organisaatiolta voi puuttua näkyvyys esimerkiksi sopimuksiin, tietojen tallennukseen, käyttöoikeuksiin, mallien kouluttamiseen, lokitietoihin, tietojen poistamiseen sekä siihen, millaiset ulkoiset palvelut pääsevät käsiksi tietoihin.

Henkilökohtainen tili ja yritystili eivät ole sama asia

Yritystili mahdollistaa yleensä keskitetyn identiteetin hallinnan, ylläpidon, lokituksen, sovitut datankäsittelyehdot sekä tiettyjen toimintojen ja integraatioiden rajoittamisen. Henkilökohtainen tili sen sijaan on usein organisaation hallinnan ulkopuolella, vaikka sitä käytettäisiin työpaikan laitteella.

Tietoturva ei myöskään riipu pelkästään siitä, minkä palveluntarjoajan tekoälyratkaisu on kyseessä. Ratkaisevia tekijöitä ovat palvelun versio, sopimusehdot, asetukset, käyttöoikeudet sekä se, miten tietoa käsitellään. Siksi ei riitä, että jokin tekoälytyökalu on hyväksytty käyttöön. Organisaation on määriteltävä myös, millaisia tilejä ja toimintoja saa käyttää.

Neljä askelta riskien vähentämiseen

1. Tarjoa hyväksytty vaihtoehto.

Jos turvallisen työkalun käyttöönotto on hankalaa, työntekijät etsivät helposti omia ratkaisujaan.

2. Luokittele tieto.

Määrittele selkeästi, mikä tieto on julkista, sisäistä, luottamuksellista tai erityistä suojaa vaativaa, sekä miten kutakin tietotyyppiä saa käyttää tekoälyn kanssa.

3. Laadi käytännölliset pelisäännöt.

Hyvä ohjeistus vastaa konkreettisiin kysymyksiin: Mitkä työkalut ja tilit ovat sallittuja? Mitä tietoja niihin saa syöttää? Milloin tarvitaan faktantarkistusta? Kuka vastaa lopputuloksesta?

4. Kouluta ja seuraa käyttöä.

Työntekijöiden on ymmärrettävä, miksi säännöt ovat olemassa, ja saatava turvalliset toimintamallit arjen työtehtäviinsä. Käyttöä ja mahdollisia poikkeamia kannattaa seurata ilman, että syntyy kulttuuria, jossa ongelmia pyritään piilottelemaan.

Avoimuus ei riitä ilman selkeitä pelisääntöjä

Samaan aikaan kun henkilökohtaisia AI-tilejä käytetään työasioihin, 90 prosenttia tekoälyn käyttäjistä kertoo olevansa avoin esihenkilölleen tekoälyn käytöstä. Tämä ei välttämättä ole ristiriitaista. Työntekijä voi kertoa käyttävänsä tekoälyä, mutta häneltä voi silti puuttua selkeä ohjeistus siitä, mitkä tilit, tietotyypit ja toiminnot ovat sallittuja.

Siksi Shadow AI ei ole vain yksittäisen työntekijän ongelma. Vastuu selkeiden ja turvallisten toimintatapojen luomisesta kuuluu yhdessä johdolle, IT:lle, tietoturvasta vastaaville, lakiasiantuntijoille ja liiketoiminnalle.