Shadow AI là vấn đề về tổ chức, không phải vấn đề bảo mật

Mỗi tuần, lại có một loạt công cụ bị chặn. Lại có một chính sách AI được viết ra. Lại có một nhóm bảo mật gửi công văn về mối nguy của việc dùng AI trái phép. Và mỗi tuần, các nhóm đều tìm cách lách qua nó — vì họ có việc phải làm, còn các công cụ được phê duyệt thì quá chậm hoặc quá gò bó.

Shadow AI không phải là vấn đề bảo mật. Nó là vấn đề về tổ chức. Đối xử với nó như một vấn đề bảo mật chỉ bảo đảm trò mèo vờn chuột sẽ tiếp diễn.

Vì sao Shadow AI tồn tại

Shadow AI tồn tại vì cùng lý do mà shadow IT luôn tồn tại: vì các kênh chính thức không đáp ứng được nhu cầu.

Quy trình phê duyệt một công cụ AI mới mất nhiều tuần. Các công cụ được phê duyệt chỉ giới hạn trong những gì nhóm mua sắm đã đàm phán. Các yêu cầu bảo mật được thiết kế cho các kịch bản tệ nhất, chứ không phải cách dùng thông thường. Trong khi đó, các nhóm có hạn chót. Họ thấy đối thủ đang tiến nhanh hơn. Họ tìm thấy một công cụ hiệu quả, dùng nó, và không nói cho ai biết.

Điều này không phải là ác ý. Nó là hợp lý. Khi chi phí của việc chờ đợi cao hơn rủi ro của việc đi vòng qua quy trình, các nhóm sẽ đi vòng qua quy trình.

Cái giá của cách tiếp cận trấn áp

Hầu hết các tổ chức phản ứng với shadow AI bằng các biện pháp hạn chế: chặn công cụ, đe dọa hệ quả, kiểm toán việc sử dụng.

Cách tiếp cận này có ba cái giá hiếm khi được đo lường:

1. Mất mát đổi mới sáng tạo: Nhóm đã tìm ra cách giải quyết vấn đề tốt hơn giờ phải giấu nó đi. Sự thấu hiểu lẽ ra có thể mang lại lợi ích cho cả tổ chức lại bị chôn vùi trong quy trình làm việc của một nhóm duy nhất.

1. Rủi ro gia tăng: Shadow AI không biến mất khi bạn chặn nó. Nó chui sâu hơn xuống lòng đất. Các nhóm dùng tài khoản cá nhân, thiết bị cá nhân và các mô hình chưa được phê duyệt — tất cả đều nguy hiểm hơn một công cụ được phê duyệt có quản trị cơ bản.

1. Xói mòn lòng tin: Khi bảo mật được định vị như một thế lực đối địch, các nhóm ngừng báo cáo những gì họ đang làm. Dòng chảy thông tin chậm lại. Tổ chức trở nên kém linh hoạt hơn.

Điều thực sự hiệu quả

Các tổ chức quản lý shadow AI tốt không tập trung vào việc hạn chế. Họ tập trung vào việc tạo ra một lựa chọn thay thế tốt hơn.

1. Làm cho lộ trình nhanh trở nên an toàn: Thay vì chặn mọi công cụ AI, hãy tạo ra một bộ công cụ được phê duyệt có thể áp dụng ngay lập tức mà không cần quy trình mua sắm. Hãy làm cho chúng đủ tốt để các nhóm không cảm thấy cần phải ra ngoài.

1. Đo lường mức áp dụng, không phải mức tuân thủ: Theo dõi có bao nhiêu nhóm đang dùng các công cụ AI được phê duyệt. Nếu mức áp dụng thấp, thì các công cụ được phê duyệt chưa đủ tốt. Hãy sửa công cụ, đừng sửa các nhóm.

1. Tạo lộ trình cho các công cụ mới: Khi một nhóm tìm thấy công cụ tốt hơn, hãy làm cho việc đánh giá và phê duyệt công cụ đó trở nên dễ dàng. Câu trả lời mặc định nên là "được, kèm theo các rào chắn hợp lý" — chứ không phải "không, cho đến khi một ủy ban quyết định khác".

1. Học hỏi từ việc sử dụng ngầm: Shadow AI chính là nghiên cứu thị trường. Khi mười nhóm độc lập áp dụng cùng một công cụ trái phép, đó là tín hiệu cho thấy giải pháp được phê duyệt của bạn chưa đủ đáp ứng. Hãy lắng nghe tín hiệu đó.

Công việc của người lãnh đạo

Việc của bạn không phải là cưỡng chế việc tuân thủ các chính sách về công cụ AI. Việc của bạn là tạo ra một môi trường nơi các nhóm có đủ công cụ cần thiết để làm tốt nhất công việc của mình, mà không khiến tổ chức phơi mình trước rủi ro không thể chấp nhận.

Điều đó khó hơn việc gửi một công văn cấm ChatGPT. Nhưng đó là cách tiếp cận duy nhất hiệu quả ở quy mô lớn.

Bắt đầu từ đây

Hãy hỏi các nhóm của bạn: "Các bạn đang dùng những công cụ AI nào mà IT không biết?" Hãy cam kết không có hậu quả gì cho những câu trả lời trung thực. Nếu bạn nhận được một danh sách dài, thì các công cụ được phê duyệt của bạn chưa đủ tốt. Nếu bạn chẳng nhận được gì, thì các nhóm của bạn không tin tưởng bạn.

Dù thế nào, bạn cũng đã có điểm khởi đầu của mình.

Lần cuối bạn hỏi nhóm mình đang thực sự dùng những công cụ AI nào là khi nào — và bạn có tạo điều kiện an toàn để họ nói cho bạn sự thật không?

Nghĩ rằng lập luận này phù hợp với sự kiện của bạn? Hãy kể cho tôi về khán phòng — lịch trình có chọn lọc.