Dlaczego firmy nie widzą, czym pracownicy dzielą się z narzędziami AI?

Bo treść podróżuje w szyfrowanych połączeniach do usług, których firma nie kontroluje. Gdy ktoś wkleja tekst do chatbota w przeglądarce, zapora widzi połączenie HTTPS z dostawcą i co najwyżej nazwę usługi; sam prompt jest zaszyfrowany na całej drodze między przeglądarką a dostawcą. Konta prywatne przechowują historię po stronie dostawcy, poza zasięgiem firmy. Funkcje AI w zatwierdzonych aplikacjach wyglądają jak zwykły ruch tych aplikacji, a telefony na danych komórkowych w ogóle nie dotykają sieci firmowej. Widoczność na poziomie treści wymaga kontroli na jednym z końców: konta firmowego, którego konsola administracyjna i logi audytowe pokazują użycie, ochrony przed wyciekiem danych w przeglądarce lub na urządzeniu albo proxy przechwytującego, każde z własnymi pytaniami o prywatność. Sieć może dać kolejną najlepszą rzecz: które hosty korzystają z których usług AI, kiedy i jak intensywnie. Dokładnie to pokazuje NetSenX od planu Pro.

Shadow AI w firmie: czym jest i jak je wykryć

Shadow AI (ukryta, nieautoryzowana sztuczna inteligencja) to korzystanie w pracy z narzędzi AI, których nie zatwierdzili ludzie odpowiedzialni za IT, bezpieczeństwo i ochronę danych, a często nawet o nich nie wiedzą: chatbot używany z prywatnego konta, funkcja AI włączona w programie, za który firma już płaci, rozszerzenie przeglądarki, asystent programisty, model językowy uruchomiony na laptopie albo agent AI podłączony do systemów firmy. Rzadko stoi za tym zła wola. Ludzie chcą pracować szybciej, a narzędzie jest o jedną kartę przeglądarki dalej. Problem polega na tym, że nikt nie potrafi odpowiedzieć na trzy pytania, które zada audytor, klient albo organ nadzoru: które usługi AI mają kontakt z naszymi danymi, co do nich trafia i na jakich warunkach.

Ten przewodnik wyjaśnia, dlaczego to ważne, jak wykryć shadow AI w sieci bez instalowania agenta na każdym urządzeniu, czego sieć nie pokaże i jaką listę kontrolną polityki AI można wdrożyć jeszcze w tym kwartale.

Dlaczego shadow AI ma znaczenie

Dane wychodzą bez umowy. Tekst wklejony do usługi AI przetwarza jej dostawca. Przy koncie firmowym i umowie powierzenia może to być zgodne z prawem i pod kontrolą. Przy prywatnym koncie na warunkach konsumenckich firma nie ma umowy, nie ma wpływu na okres przechowywania i często nie ma jak sprawdzić, co zostało wysłane. Według RODO przekazanie danych osobowych takiemu dostawcy wymaga podstawy prawnej, poinformowania osób, których dane dotyczą, a jeśli dostawca działa w imieniu firmy, umowy z art. 28. Nieuprawnione ujawnienie może być naruszeniem ochrony danych osobowych, z 72-godzinnym obowiązkiem zgłoszenia z art. 33, jeśli prawdopodobnie powoduje ryzyko dla osób.

AI Act wymaga, żeby znać własne narzędzia. Art. 4 AI Act, czyli rozporządzenia (UE) 2024/1689, stosuje się od 2 lutego 2025 r. zarówno do dostawców, jak i do podmiotów stosujących systemy AI, a więc także do zwykłych firm, które korzystają z narzędzi AI. Wymaga działań wspierających kompetencje w zakresie AI (AI literacy) pracowników, którzy mają do czynienia z systemami AI. Nie da się zaplanować takich działań dla narzędzi, o których istnieniu firma nie wie.

NIS2 traktuje usługi AI jak dostawców. Dla podmiotów objętych NIS2, czyli dyrektywą (UE) 2022/2555, art. 21 wymienia bezpieczeństwo łańcucha dostaw wśród środków zarządzania ryzykiem. Usługa AI, która otrzymuje dane firmy, jest w tym sensie usługodawcą, niezależnie od tego, czy dział zakupów ją zatwierdził.

Klienci pytają. Ankiety bezpieczeństwa i przetargi coraz częściej zawierają pytanie, czy dane klienta trafiają do narzędzi AI i do których. Odpowiedź „nie wiemy” kosztuje kontrakty.

Jak wykryć shadow AI w sieci

Czujnik sieciowy widzi każde urządzenie w obserwowanych segmentach, także te, na których nie da się zainstalować agenta, i laptopy, których nikt nie zarejestrował. Niczego nie odszyfrowuje. To, co widzi, wystarcza, żeby odpowiedzieć na pytanie, co jest w użyciu:

Usługa. Zanim zacznie się szyfrowanie, połączenie TLS podaje w handshake'u nazwę serwera, z którym chce się połączyć (SNI), a urządzenie zwykle chwilę wcześniej pyta DNS o tę samą nazwę. Razem z adresem docelowym pozwala to rozpoznać usługę AI.
Urządzenie. Każde połączenie należy do konkretnego hosta, więc widać, które komputery lub segmenty sieci korzystają z których usług i kiedy.
Ilość danych. Liczba wysłanych bajtów odróżnia krótkie pytanie od dużego wysyłania plików. Stacja robocza, która w jedno popołudnie wysyła do usługi AI setki megabajtów, to powód do rozmowy; kilka kilobajtów nie.
Modele lokalne. Model językowy uruchomiony na laptopie albo stacji z kartą GPU odpowiada w sieci lokalnej. Ruch jego środowiska uruchomieniowego jest widoczny, podobnie jak serwer modelu, do którego zaczynają się łączyć inne maszyny.
Agenci i zdalne konektory. Agent AI działający na serwerze wywołuje API modeli według harmonogramu albo seriami, często w nocy, i może też łączyć się z systemami wewnętrznymi. Zdalne konektory MCP są widoczne jako połączenia z maszyny, na której działa asystent, do hosta konektora.

Równie ważne jest to, czego sieć nie widzi:

Treść. Prompty, wklejone dokumenty i odpowiedzi idą w zaszyfrowanych sesjach. Ocena tego, co zostało udostępnione, wymaga logów administracyjnych samej usługi AI albo narzędzia DLP.
Tego, co dzieje się na urządzeniu. Lokalny serwer MCP, który rozmawia z asystentem na tej samej maszynie, w ogóle nie korzysta z sieci, podobnie jak funkcja AI działająca w całości na laptopie.
Ruchu poza siecią firmy. Telefon na danych komórkowych albo laptop w domowym Wi-Fi są poza zasięgiem, chyba że ruch wraca przez firmowy VPN.
Ukrytych nazw serwerów. Tam, gdzie działa Encrypted Client Hello, nazwy serwera nie da się już odczytać z handshake'u; identyfikację przejmują wtedy DNS i adres docelowy.

Lista kontrolna polityki AI

Najpierw inwentaryzacja. Spisz usługi AI, za które płacisz, funkcje AI włączone w używanych programach i to, co dodatkowo pokazuje sieć. Nadaj każdej usłudze status: zatwierdzona, tolerowana dla danych niewrażliwych albo do zastąpienia.
Daj zatwierdzone narzędzie. Konto firmowe z umową powierzenia i wyłączonym trenowaniem na danych firmy usuwa większość powodów, dla których ludzie sięgają po prywatne konta.
Sklasyfikuj dane. Określ, które dane nigdy nie mogą trafić do zewnętrznej usługi AI (dane osobowe klientów, dane logowania, kod źródłowy objęty umową, niepublikowane dane finansowe), a które mogą.
Uwzględnij konektory i agentów. Opublikuj listę zatwierdzonych serwerów MCP i integracji agentów, nadawaj im wąskie uprawnienia, regularnie wymieniaj tokeny i uwzględnij je przy odejściu pracownika.
Sprawdź dostawcę tożsamości. Nowe zgody OAuth dla aplikacji AI z szerokimi uprawnieniami to najszybciej rosnąca ścieżka dostępu, której nikt nie przegląda.
Szkol i dokumentuj. Art. 4 nie wymaga certyfikatu ani określonej liczby godzin; wymaga działań dopasowanych do roli i używanych narzędzi. Prowadź prosty rejestr, kto i kiedy czego się nauczył.
Mierz ponownie. Powtarzaj inwentaryzację co kwartał. Nowe funkcje AI przychodzą ze zwykłymi aktualizacjami oprogramowania.
Odpowiadaj klientom na podstawie danych. Przygotuj krótkie, prawdziwe oświadczenie, które usługi AI są zatwierdzone i jak sprawdzacie ich użycie, i aktualizuj je po każdej inwentaryzacji.

Jak pokazuje to NetSenX

Od planu Pro NetSenX oznacza ruch do zewnętrznych usług AI i do lokalnie uruchomionych środowisk modeli językowych oraz pokazuje, który host łączył się z którą usługą, kiedy i ile danych wysłał. Działa na metadanych ruchu i niczego nie odszyfrowuje, więc żadna treść promptów nie trafia do NetSenX, a dane klienta pozostają w UE. Nie czyta promptów, nie blokuje usług AI i nie decyduje, które są dozwolone: te decyzje należą do polityki AI firmy, a egzekwowanie do proxy, zapory albo ustawień administracyjnych usługi. Szczegóły są na stronie wykrywania shadow AI, a inwentaryzację krok po kroku opisuje artykuł jak znaleźć shadow AI w firmie.

Źródła

Autor: zespół NetSenX, TriStiX S.L. Pytania: info@netsenx.com.

Pytania, na które odpowiada ten przewodnik

Czym jest shadow AI?

Shadow AI to korzystanie w pracy z narzędzi AI bez wiedzy lub zgody osób odpowiedzialnych za IT, bezpieczeństwo czy ochronę danych. Obejmuje pracowników używających prywatnych kont chatbotów do zadań służbowych, rozszerzenia przeglądarki z wbudowaną AI, funkcje AI włączone w istniejącym oprogramowaniu, programistów uruchamiających lokalne modele lub asystentów kodowania oraz agentów AI podłączonych do systemów firmy. Zwykle wynika z dobrych intencji: ludzie chcą pracować szybciej. Ryzyka są konkretne. Dane firmy lub klientów trafiają do dostawców, z którymi nie masz umowy, na warunkach, które mogą pozwalać im je przechowywać lub trenować na nich modele. Dane osobowe mogą być przetwarzane bez podstawy prawnej. Wyniki trafiają do dokumentów i kodu bez weryfikacji. A nikt nie odpowie klientowi czy audytorowi, które usługi AI miały kontakt z jego danymi. Odpowiedzią nie jest zakaz, lecz widoczność, zatwierdzona alternatywa i jasna polityka. Od planu Pro NetSenX pokazuje, które hosty łączą się z którymi usługami AI i ile danych tam trafia, a nie to, co wpisano.

Z jakich usług AI faktycznie korzysta nasza firma?

Zwykle z większej liczby, niż ktokolwiek spisał, i właśnie ta różnica jest powodem, by to sprawdzić. Realistyczna lista ma cztery warstwy: usługi, za które płacisz na kontach firmowych; funkcje AI włączone w oprogramowaniu, którego już używasz, takim jak pakiety biurowe, CRM, helpdesk czy narzędzia graficzne; usługi, do których pracownicy wchodzą z prywatnych kont w przeglądarce lub w aplikacjach desktopowych; i modele działające lokalnie na laptopach, serwerach kompilacji czy stacjach z GPU. Zacznij od tego, co wiesz, z umów, wyciągów kart i konsol administracyjnych, a potem dodaj to, co pokazuje sieć. Pogrupuj wyniki według funkcji biznesowych, bo finanse, sprzedaż i programiści używają zwykle różnych narzędzi do różnych danych, i nadaj każdej usłudze status: zatwierdzona, tolerowana dla danych niewrażliwych albo do zastąpienia. Ta lista jest podstawą polityki AI, szkoleń z kompetencji wymaganych przez AI Act i odpowiedzi dla klientów. Od planu Pro NetSenX pokazuje, które hosty łączą się z którymi zewnętrznymi usługami AI i lokalnymi środowiskami modeli, kiedy i ile danych trafia do każdej; nie pokazuje, co wpisano.

Czy logi DNS pokażą korzystanie z shadow AI?

Częściowo. Logi DNS pokazują, które hosty odpytują domeny znanych usług AI, co jest dobrym początkiem i nic nie kosztuje, jeśli Twój resolver już loguje zapytania: wyeksportuj tydzień zapytań i dopasuj je do listy domen usług AI. Pomijają szyfrowany DNS omijający resolver, usługi osiągane przez inne domeny lub sieci CDN, funkcje AI wbudowane w narzędzia, z których już korzystasz, i to, ile danych faktycznie przesłano. Pokazują też host, a nie osobę, a pojedyncze zapytanie może pochodzić z przeglądarki, która wstępnie ładuje stronę. Traktuj DNS jako tani pierwszy widok i potwierdzaj danymi o połączeniach, zanim podejmiesz działania. NetSenX od planu Pro łączy cele z ilością danych i czasem połączeń, więc widzisz, które hosty korzystają z których usług AI, także z lokalnych środowisk modeli, i jak intensywnie; nie widzi treści promptów. Połącz to z logami administracyjnymi dostawcy AI, jeśli chodzi o treść.

Pracownicy przynoszą do pracy własne narzędzia AI. Jakie to rodzi ryzyko?

Głównie takie, że dane firmy wychodzą na warunkach, na które nikt się nie zgodził, i nikt nie potrafi później tego rozliczyć. Własne AI pracowników obejmuje prywatne subskrypcje chatbotów, aplikacje AI na prywatnych telefonach, rozszerzenia przeglądarki, rejestratory spotkań z AI i modele uruchamiane na prywatnym sprzęcie. Ryzyko dla danych: dokumenty, dane klientów czy nagrania trafiają do dostawców na warunkach konsumenckich, być może poza UE, bez umowy powierzenia, i zostają na prywatnych kontach po odejściu pracownika. Ryzyko jakości: efekty pracy oparte na wynikach, których nikt nie sprawdził. Ryzyko zgodności: nie odpowiesz klientowi, audytorowi ani osobie, której dane dotyczą, na pytanie, dokąd trafiły dane. Szczególnej uwagi wymagają rejestratory spotkań z AI, bo zapisują głos i słowa innych osób, często bez zgody wszystkich. Praktyczna odpowiedź to dobre zatwierdzone narzędzie, jasne określenie, do czego wolno używać narzędzi prywatnych, i wymóg zapowiadania nagrywania spotkań. Od planu Pro NetSenX pokazuje, z którymi usługami AI łączą się firmowe urządzenia; prywatne telefony na danych komórkowych pozostają poza widokiem jakiejkolwiek sieci.

Czym jest shadow MCP server i dlaczego to ryzyko?

Shadow MCP server to serwer Model Context Protocol, który ktoś podłączył do asystenta AI bez wiedzy IT, zwykle by zaoszczędzić czas: konektor do firmowej skrzynki pocztowej, udziału plikowego, repozytorium kodu, bazy danych czy systemu zgłoszeń, zainstalowany z publicznej listy albo napisany w jedno popołudnie. Ryzyko polega na tym, że po cichu tworzy nową ścieżkę dostępu. Często przechowuje osobisty token dostępu lub klucz API z szerokimi uprawnieniami, zapisany w pliku konfiguracyjnym na laptopie; może pochodzić od nieznanego autora i sam się aktualizować; pozwala AI działać w systemach firmy z uprawnieniami tej osoby; a wszystko, co AI przeczyta, łącznie ze złośliwą instrukcją ukrytą w dokumencie czy na stronie, może sterować tym, co zrobi przez ten konektor. Nikt go nie przegląda ani nie loguje, a jeśli token nie zostanie unieważniony, przetrwa odejście pracownika. Praktyczne kroki: opublikuj listę zatwierdzonych serwerów MCP, ograniczaj tokeny wąsko i je rotuj, sprawdzaj w logach dostawcy tożsamości nowe zgody OAuth dla klientów AI i uwzględnij konektory w procesie offboardingu. Czujnik sieciowy widzi połączenia laptopa z usługami zdalnymi, a nie konfigurację MCP na nim.

Jak wykryć agentów AI działających w naszej firmie?

Szukaj tam, skąd agenci czerpią moc: w tożsamościach, konektorach i platformach automatyzacji, a potem potwierdzaj ruchem sieciowym. Agent AI to oprogramowanie, które za pomocą modelu językowego decyduje o kolejnych krokach i je wykonuje, na przykład czyta zgłoszenia, odpytuje systemy, pisze kod czy wysyła maile, zwykle przez klucze API, konta serwisowe lub zgody OAuth. Najlepszym pierwszym źródłem są więc dostawca tożsamości i konsole administracyjne SaaS: nowe aplikacje OAuth z szerokimi zakresami, niedawno utworzone konta serwisowe lub tokeny osobiste i funkcje AI z włączonymi konektorami. Potem sprawdź platformy automatyzacji i low-code, potoki CI oraz komputery programistów pod kątem frameworków agentów i serwerów MCP i zapytaj zespoły wprost, bo wielu agentów to pilotaże, których nikt nie zgłosił. Sieć dodaje widok zachowania: które serwery lub stacje regularnie wywołują API AI, w nocy lub seriami, i które jednocześnie łączą się z systemami wewnętrznymi. Od planu Pro NetSenX pokazuje, które hosty komunikują się z którymi zewnętrznymi usługami AI i lokalnymi środowiskami modeli i ile danych przepływa. Nie rozpoznaje agenta z nazwy, a sygnały zachowania specyficzne dla agentów nie są jeszcze alertami.

Jak sprawdzić, czy pracownicy przestrzegają naszej polityki AI?

Porównaj to, na co pozwala polityka, z tym, z czego firma faktycznie korzysta, na podstawie trzech źródeł. Po pierwsze, konsole administracyjne zatwierdzonych usług AI: kto ma konto, jak aktywnie z niego korzysta, jakie funkcje i konektory są włączone. Po drugie, dane tożsamości i wydatków: logowania firmowymi adresami e-mail do usług, których nikt nie zatwierdził, i subskrypcje AI na firmowych kartach. Po trzecie, sieć: które urządzenia łączą się z którymi usługami AI, łącznie z lokalnymi środowiskami modeli, i ile danych trafia do każdej. Dobry raport miesięczny pokazuje zatwierdzone usługi i ich użycie, niezatwierdzone, które wciąż są w użyciu, oraz nietypowo duże transfery, tak by rozmowa dotyczyła faktów, a nie plotek. Skupiaj się na narzędziach i urządzeniach, a nie na osobach, chyba że istnieje konkretne podejrzenie, i włącz dział HR lub przedstawicieli pracowników tam, gdzie wymaga tego prawo Twojego kraju. Od planu Pro NetSenX daje widok sieci: hosty, usługi AI i ilości danych w czasie. Nie czyta tego, co wpisano, i niczego nie blokuje.