Shadow AI

Shadow AI w Twojej sieci: co widać, a czego nie

Shadow AI to korzystanie z usług i narzędzi AI, których organizacja nie zatwierdziła: czatbota w przeglądarce, wtyczki AI, asystenta programisty czy modelu językowego uruchomionego na czyimś laptopie. Z poziomu sieci widać, które maszyny łączą się z którymi usługami AI, kiedy i ile danych wysyłają. Nie widać, co wpisano lub wklejono, bo ten ruch jest szyfrowany.

Fakt, od którego warto zacząć

Art. 4 AI Act (rozporządzenie (UE) 2024/1689) wymaga od dostawców i podmiotów stosujących systemy AI podjęcia środków wspierających kompetencje personelu w zakresie AI; po zmianie rozporządzeniem (UE) 2026/1744 z lipca 2026 r. nie wymaga zagwarantowania określonego poziomu u każdej osoby. Zgodnie z art. 113 obowiązuje od 2 lutego 2025 r.

Źródło: Regulation (EU) 2024/1689 (AI Act), Article 4 (AI literacy) and Article 113 (dates of application) — EUR-Lex

Co pokazuje sieć, a czego nie

Widoczność w sieci odpowiada na pierwsze pytanie każdej polityki AI: co faktycznie jest dziś w użyciu?

  1. 01Widać: z jakich usług AI się korzysta

    Połączenia z zewnętrznymi usługami AI można rozpoznać po celu i nazwie serwera w handshake'u TLS, więc widać, które usługi są używane i jak często, bez odszyfrowywania czegokolwiek.

  2. 02Widać: kto z nich korzysta i jak intensywnie

    Każde połączenie należy do konkretnego hosta, więc widać, które maszyny lub segmenty korzystają z usług AI i ile danych wysyłają; to odróżnia krótkie pytanie od dużego przesłania plików.

  3. 03Widać: modele uruchamiane lokalnie

    Modele językowe uruchamiane na Twoich własnych maszynach widać jako ruch lokalnych środowisk uruchomieniowych, który NetSenX również oznacza.

  4. 04Nie widać: treści

    Prompty, wklejone dokumenty i odpowiedzi przechodzą w szyfrowanych sesjach. Monitoring sieci ich nie odczyta, a NetSenX nigdy nie odszyfrowuje ruchu. Ocena tego, co udostępniono, wymaga logów administracyjnych samej usługi AI albo narzędzia DLP.

Co NetSenX robi już dziś

  • Od planu Pro oznacza ruch do zewnętrznych usług AI oraz do lokalnie uruchamianych środowisk modeli językowych.
  • Pokazuje, który host połączył się z którą usługą AI i ile danych przesłał, więc wiesz, co jest w użyciu, zanim napiszesz politykę.
  • Analizuje ruch na podstawie metadanych i nigdy go nie odszyfrowuje, więc żadna treść promptu nie trafia do NetSenX.
  • Przechowuje dane klientów w UE i wyjaśnia każdy alert prostym językiem.

Czego NetSenX nie robi

NetSenX nie odczytuje promptów, plików ani odpowiedzi, nie blokuje usług AI i nie decyduje, które są dozwolone: te decyzje należą do Twojej polityki AI, a ich egzekwowanie do proxy, firewalla lub ustawień administracyjnych usługi. Widzi korzystanie z AI tylko w sieciach, które monitoruje; telefon w sieci komórkowej albo laptop w domu są poza jego zasięgiem.

Pytania kupujących

Jak wykryć shadow AI w sieci?

Przyjrzyj się połączeniom wychodzącym do usług AI: cel i nazwa serwera w handshake'u TLS wskazują usługę bez odszyfrowywania czegokolwiek. NetSenX od planu Pro oznacza ten ruch oraz ruch do lokalnie uruchamianych środowisk modeli językowych.

Czy monitoring sieci widzi, co pracownicy wpisują do czatbota AI?

Nie. Treść sesji jest szyfrowana, a NetSenX nigdy jej nie odszyfrowuje. Pokazuje, że host skorzystał z usługi AI, kiedy i ile danych wysłał; do treści potrzebne są logi firmowej wersji usługi albo narzędzie DLP.

Czy AI Act wymaga od nas zarządzania tym, jak pracownicy korzystają z AI?

Jeśli Twoja organizacja korzysta w pracy z systemów AI, art. 4 AI Act wymaga od niej podjęcia środków wspierających kompetencje personelu w zakresie AI, a ten obowiązek obowiązuje od 2 lutego 2025 r.; od lipca 2026 r. zmieniony przepis wprost stanowi, że nie trzeba gwarantować określonego poziomu u każdej osoby. Ustalenie, z jakich usług AI faktycznie się korzysta, to praktyczny pierwszy krok; prawnik powie, co jeszcze dotyczy Twojej firmy.

Czy wykrywanie shadow AI jest w każdym planie?

Nie. Jest częścią planu Pro i wyższych. Plan Free obejmuje detekcję behawioralną, np. beaconingu, skanowania i ruchu lateralnego, bez limitu czasu.

Źródła

  1. Regulation (EU) 2024/1689 (AI Act), Article 4 (AI literacy) and Article 113 (dates of application) — EUR-Lex
  2. Regulation (EU) 2026/1744 (Digital Omnibus on AI), amending Article 4 of the AI Act — EUR-Lex
  3. Regulation (EU) 2016/679 (GDPR), Article 28 (processors) — EUR-Lex

Ta strona ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Swoje obowiązki warto potwierdzić we właściwym organie krajowym lub u doradcy prawnego.

Powiązane strony

Wypróbuj NetSenX we własnej sieci

Zacznij od planu Free dla maksymalnie 3 urządzeń albo umów 20-minutowe demo.

Zobacz cennikUmów demo