# Jak znaleźć shadow AI w firmie

> Inwentaryzacja usług AI w siedmiu krokach: umowy, konsole administracyjne, zgody OAuth, DNS i ruch sieciowy, komputery programistów i rozmowy z zespołami.

Source page: https://netsenx.com/pl/blog/2026-11-12_find-shadow-ai-in-your-company · NetSenX Team · 2026-11-12

Żeby znaleźć shadow AI, połącz to, co firma już wie o swoich usługach AI (umowy, wyciągi z kart, konsole administracyjne), z tym, co pokazują dostawca tożsamości i sieć, a potem zapytaj zespoły. Żadne pojedyncze źródło nie jest kompletne: sieć nie widzi prywatnych telefonów na danych komórkowych, dostawca tożsamości nie widzi prywatnego konta w chatbocie, a nikt nie pamięta wszystkich rozszerzeń przeglądarki. Razem dają inwentaryzację, której można bronić. Za pierwszym razem poniższe kroki zajmą małemu działowi IT kilka dni, a w każdym kolejnym kwartale znacznie mniej.

## 1. Zacznij od tego, za co płacisz

Spisz usługi AI z umów, faktur i rozliczeń wydatków, łącznie z dodatkami AI do licencjonowanego już oprogramowania (pakiety biurowe, CRM, helpdesk, narzędzia graficzne i programistyczne). Zapisz, kto odpowiada za każdą usługę i czy jest umowa powierzenia przetwarzania danych. To kolumna „zatwierdzone” w inwentaryzacji; wszystko, co znajdziesz później, porównujesz z nią.

## 2. Przejrzyj konsole administracyjne

Większość oprogramowania biznesowego ma dziś funkcje AI, które administrator może włączyć albo wyłączyć. Sprawdź ustawienia AI w konsoli każdego ważnego systemu i zapisz, co jest włączone, dla kogo i czy dane klientów mogą trafić do tej funkcji. Wiele przypadków shadow AI to wcale nie nowe narzędzia, tylko funkcje włączone domyślnie w aktualizacji.

## 3. Sprawdź zgody na dostęp u dostawcy tożsamości

Poszukaj u dostawcy tożsamości i w konsolach SaaS aplikacji OAuth i tokenów API powiązanych z narzędziami AI: asystentów podłączonych do skrzynek pocztowych, dysków, kalendarzy albo repozytoriów kodu. Zwróć uwagę na szerokie uprawnienia („odczyt całej poczty”, „dostęp do wszystkich plików”) i na zgody udzielone przez pojedynczych użytkowników, a nie przez administratora. To ścieżki dostępu, które przetrwają odejście pracownika, jeśli nikt ich nie cofnie.

## 4. Przejrzyj logi DNS i proxy

Jeśli firma ma własny serwer DNS albo proxy, ich logi pokazują, o które nazwy usług AI pytają urządzenia albo z którymi się łączą. To szybki pierwszy przegląd z dwoma ograniczeniami: nic nie mówi o ilości danych, a urządzenia korzystające z własnego szyfrowanego DNS go omijają.

## 5. Dodaj widok z sieci

Czujnik sieciowy na porcie lustrzanym przełącznika widzi każde urządzenie w segmencie, także drukarki, serwery i laptopy, których nie obejmuje żaden agent. Z nazwy serwera w handshake'u TLS i adresu docelowego rozpoznaje usługę AI i mierzy, ile danych każdy host do niej wysyła. Ten krok zamienia listę nazw w ranking: które maszyny wysyłają realne ilości danych do których usług i z którymi lokalnymi serwerami modeli łączą się inne komputery. Nie czyta treści i widzi tylko monitorowane sieci.

## 6. Sprawdź komputery programistów i serwery

Programiści sięgają po AI najwcześniej i najszybciej. Poproś o informacje albo przeskanuj serwery budowania i stacje robocze pod kątem asystentów kodu, lokalnych środowisk modeli, frameworków agentów i konfiguracji serwerów MCP. Lokalny serwer MCP rozmawia z asystentem na tej samej maszynie i nigdy nie pojawia się w sieci, więc tylko ten krok pozwala go znaleźć.

## 7. Zapytaj zespoły, bez szukania winnych

Wyślij krótką ankietę albo poświęć piętnaście minut na rozmowę z każdym działem: z jakich narzędzi AI korzystacie, do czego i z jakimi danymi? Ludzie odpowiadają szczerze, gdy celem jest danie im zatwierdzonego narzędzia, a nie kara. Ich odpowiedzi wyjaśniają to, co widać w logach, i często ujawniają narzędzia używane tylko na prywatnych urządzeniach.

## Zamień wyniki w decyzje

Nadaj każdej usłudze status: zatwierdzona, tolerowana dla danych niewrażliwych albo do zastąpienia zatwierdzoną alternatywą. Zapisz, jakie kategorie danych mogą trafiać do każdej z nich. Potem powtarzaj kontrolę sieci i tożsamości co kwartał, bo nowe funkcje AI przychodzą ze zwykłymi aktualizacjami. Stronę polityki, w tym obowiązek AI literacy z AI Act i pytania z RODO, opisuje [przewodnik po shadow AI](/pl/blog/2026-11-12_shadow-ai-guide).

## Gdzie pasuje NetSenX

Krok 5 to właśnie to, co robi NetSenX. Od planu Pro oznacza ruch do zewnętrznych usług AI i do lokalnie uruchomionych środowisk modeli językowych oraz pokazuje, który host łączył się z którą usługą, kiedy i ile danych przesłał, niczego nie odszyfrowując. Nie blokuje usług i nie czyta promptów. Zakres na poszczególnych planach opisuje strona [wykrywania shadow AI](/pl/shadow-ai-detection).

## Źródła

- [RFC 6066, rozszerzenia TLS: Server Name Indication — IETF](https://www.rfc-editor.org/rfc/rfc6066)
- [RFC 6749, OAuth 2.0 Authorization Framework — IETF](https://www.rfc-editor.org/rfc/rfc6749)

---

*Autor: zespół NetSenX, TriStiX S.L. Pytania: [info@netsenx.com](mailto:info@netsenx.com).*