影子 AI 是一个组织问题，而非安全问题

每周，都又有一批工具被封锁，又有一份 AI 政策被写出来，又有一个安全团队发出关于未经批准使用 AI 危害的备忘录。而每周，团队都能找到绕过它的办法——因为他们有工作要做，而获准的工具太慢或者限制太多。

影子 AI 不是一个安全问题，而是一个组织问题。把它当作安全问题来对待，只会保证这场猫捉老鼠的游戏继续下去。

影子 AI 为何存在

影子 AI 之所以存在，和影子 IT 一直存在的原因一样：因为官方渠道无法满足需求。

审批一个新 AI 工具的流程要花好几周。获准的工具仅限于采购团队谈判下来的那些。安全要求是为最坏情况设计的，而不是为典型使用场景设计的。与此同时，团队有截止日期。他们看到竞争对手行动更快。他们找到一个好用的工具，用了它，却不告诉任何人。

这不是恶意，而是理性。当等待的代价高于绕过流程的风险时，团队就会绕过流程。

打压式做法的代价

大多数组织用限制来应对影子 AI：封锁工具、威胁后果、审计使用情况。

这种做法有三种很少被衡量的代价：

1. 创新的流失：那个找到了更好解题方法的团队，现在不得不把它藏起来。本可以惠及整个组织的洞见，被埋在了某一个团队的工作流里。

1. 风险的增加：你封锁影子 AI，它并不会消失，只会转入更深的地下。团队使用个人账户、个人设备和未经批准的模型——这些都比一个带有基本治理的获准工具更危险。

1. 信任的侵蚀：当安全部门被定位成对立面时，团队就不再上报他们在做什么。信息流动变慢，组织变得不那么敏捷。

真正有效的做法

那些能把影子 AI 管理得很好的组织，关注的不是限制，而是创造一个更好的替代方案。

1. 让快速路径变得安全：与其封锁所有 AI 工具，不如创建一套可以立即采用、无需走采购流程的获准工具。把它们做得足够好，让团队不再觉得有必要去外面找。

1. 衡量采用率，而非合规率：追踪有多少团队在使用获准的 AI 工具。如果采用率低，说明获准的工具不够好。要去改进工具，而不是整治团队。

1. 为新工具开辟一条通道：当某个团队找到一个更好的工具时，要让这个工具能够方便地被评估和批准。默认答案应该是"可以，但要加上合理的护栏"——而不是"不行，除非某个委员会另做决定"。

1. 从影子使用中学习：影子 AI 就是市场调研。当十个团队各自独立地采用了同一个未经批准的工具时，这就是一个信号：你的获准方案是不充分的。要倾听这个信号。

领导者的职责

你的职责不是强制执行 AI 工具政策，而是创造一个环境，让团队拥有他们做好工作所需的工具，同时不让组织暴露在不可接受的风险之下。

这比发一份禁用 ChatGPT 的备忘录要难得多。但这是唯一在规模化下有效的方法。

从这里开始

去问你的团队："你们在用哪些 IT 部门不知道的 AI 工具？"并承诺如实回答不会有任何后果。如果你拿到一长串清单，说明你的获准工具不够好。如果你什么都没拿到，说明你的团队不信任你。

无论哪种情况，你都找到了自己的起点。

你上次问团队他们实际在用哪些 AI 工具是什么时候——你让他们能够安全地告诉你真相了吗？

觉得这套论述适合你的活动吗？跟我说说那个场合—— 日程是有选择的.