Shadow AI 2026: keď AI vo firme fičí, ale bezpečnosť o tom netuší

Obsah článku

Nenechaj v tom známych samých – zdieľaj

Začiatočník

Predstav si, že by do vašej firmy nastúpil nový kolega. Má prístup k tvojim e-mailom, počúva úplne všetky vaše tajné manažérske mítingy, číta si vaše zdrojové kódy a prehrabáva sa v excelovských tabuľkách s maržami a platmi zamestnancov. Lenže je tu jeden drobný háčik – tohto kolegu nikdy nikto nenajal, IT oddelenie mu nikdy nevytvorilo účet a šéf bezpečnosti ani len netuší, že existuje.

Znie to ako scenár zo špionážneho filmu? Vitajte v roku 2026. Tento neviditeľný kolega sa volá Shadow AI a s najväčšou pravdepodobnosťou práve teraz sedí u vás v sieti.

Čo je to vlastne Shadow AI a prečo to nie je „len ďalší softvér“?

Shadow AI (alebo po slovensky tieňové AI) predstavuje všetky tie úžasné, moderné AI nástroje – od chatbotov, cez generátory textov a asistentov na kódovanie, až po AI zapisovačov mítingov – ktoré vaši zamestnanci aktívne používajú pri práci bez vedomia a schválenia IT oddelenia.

Možno si teraz hovoríš: „Veď to tu už bolo. Ľudia si vždy načierno sťahovali Dropbox alebo Evernote, volali sme to Shadow IT.“ Omyl. Shadow AI je úplne iná liga. Kým starý dobrý neschválený cloud bol len hlúpym úložiskom, kam si si odložil PDFko, moderná umelá inteligencia je aktívna. Ona tie tvoje dáta číta, analyzuje, spracováva a čo je najhoršie – často si ich aj ukladá na trénovanie svojich vlastných budúcich modelov.

A to najdesivejšie? Zamestnanec k tomu nepotrebuje žiadne inštalačné práva. Stačí mu kliknúť na magické modré tlačidlo „Sign in with Google / Microsoft“, odsúhlasiť OAuth podmienky (ktoré, buďme úprimní, nikto nikdy nečíta) a v tej sekunde dostane nejaká no-name AI appka z druhého konca sveta plný prístup na čítanie do jeho firemného Gmailu, Outlooku, na disk či do kalendára. Výsledok? Vo firme máš armádu botov s väčšími oprávneniami, než má tvoj generálny riaditeľ.

Ako Shadow AI vyzerá v praxi: Scenáre z bežného dňa

Ak si myslíš, že u vás vo firme sa to nedeje, dovoľ mi zničiť tvoje ilúzie. Takto presne to dnes vyzerá „v teréne“:

Zapisovač na mítingoch (AI Notetaker): Manažér je lenivý písať si poznámky z 1:1 stretnutia s HR oddelením, kde sa rieši prepúšťanie. Pridá si do Teams/Zoom hovoru „smart AI asistenta“. Bot počúva, nahráva a robí dokonalý transkript. Nikto v miestnosti netuší, že tento mimoriadne citlivý rozhovor práve odišiel na servery tretej strany, kde zostane uložený navždy.
Copywriter a „zázračný“ textár: Šikovný markeťák používa nejaký free AI nástroj na tvorbu newsletterov. Aby mu bot napísal lepší text, copywriter mu do promptu veselo skopíruje interné cenové kalkulácie, strategické plány na ďalší kvartál a zoznam top klientov.
Developer a zvedavý Code Helper: Programátor si chce uľahčiť prácu a prepojí si neoficiálneho AI code asistenta so svojím GitHubom. Nástroj si poslušne natiahne celé súkromné firemné repozitáre, vrátane proprietárneho kódu, infraštruktúrnych skriptov a zabudnutých hesiel (secrets) v kóde.
Produkťák a AI tabuľka: Niekto z obchodu napojí „revolučný AI spreadsheet“ na zdieľaný Google Drive, aby mu to pomohlo zanalyzovať predaje. AI služba získa read-prístup k desiatkam tabuliek, v ktorých sú úplne pokojne aj osobné údaje klientov (GDPR práve zaplakalo).

Na papieri sa to všetko tvári ako „neškodná pomocníčka na uľahčenie práce“. V praxi ide o absolútne nekontrolované a masívne úniky firemného duševného vlastníctva.

Prečo z toho adminom šedivejú vlasy (Kľúčové riziká)

AI ako také nie je zlo. Je to nástroj. Problémom je absolútna neviditeľnosť pre bezpečnosť. (Ak ťa inak zaujíma, ako extrémne sa celkové prostredie hrozieb zmenilo a eskalovalo za posledné roky, určite si prečítaj aj naše štatistiky a trendy kyberútokov za rok 2024).

Únik a zneužitie dát: Tvoj kód, tvoje maily a zmluvy sa stávajú potravou (tréningovými dátami) pre cudzie modely. O mesiac neskôr sa tvoja interná smernica môže objaviť ako vygenerovaná odpoveď pre niekoho iného.
Attack surface (Plocha pre útok) sa zväčšuje: Každý jeden AI bot pripojený do vášho M365 alebo Google Workspace je zadnými dvierkami. Ak hackeri prelomia tohto poskytovateľa, majú kľúče od vašej firmy. Pri incidente o tejto bráne ani nebudeš vedieť.
Regulačné peklo (Compliance): DPA, GDPR a interné audity? Zabudni. Tvoje dáta sú na serveroch, ktoré nemáš zmapované a v systémoch, ktoré nikto na IT oddelení nezdokumentoval a nepovolil.

⏱️ CHECKLIST: Ako zmapovať firmu na Shadow AI za 60 minút

Jasné, môžeš si kúpiť profi riešenia (napríklad Nudge Security a podobné hračky), ktoré ti to vyfiltrujú automaticky. Ale ak na to práve nemáš rozpočet, toto sú prvé kroky, ktoré ako admin dokážeš spraviť aj zadarmo:

1. Prehľadaj Admin Konzolu (M365 / Google Workspace): Otvor si sekciu Enterprise applications / Third-party access / OAuth apps. Vyfiltruj si, ktoré aplikácie majú práva typu „offline access“ alebo „read and write“ na maily a disk. Nájdeš tam desiatky asistentov a sumarizérov, o ktorých si v živote nepočul.
2. Pozri sa na peniaze (Sleduj fakturáciu): Vytiahni si výpisy z firemných kreditiek a hľadaj platby za OpenAI, Claude, Notion AI, Jasper, Midjourney, Fireflies a ďalšie. Aj drobná platba za „pro“ verziu aplikácie za 10 eur mesačne znamená, že do nej niekto vo firme masívne sype firemné dáta.
3. Pýtaj sa (Rýchly interný audit): Jednoducho urob anonymnú anketu. Spýtaj sa ľudí: „Ktorým AI službám ste v poslednom mesiaci dali prístup na čítanie firemných e-mailov?“ Budeš veľmi, veľmi nemilo prekvapený.

Ako sa brániť a nebyť za diktátora (Realistický prístup)

Ak to začneš plošne zakazovať a vyhrážať sa výpoveďami, ľudia to len začnú robiť lepšie potajomky (a z osobných e-mailov). Tu je stratégia, ako zaviesť bezpečné používanie ai v práci tak, aby ťa zamestnanci nezačali nenávidieť.

Krok 1: Urob si inventár (Zisti, čo ti tam beží) Ako sme spomínali vyššie, urob si súpis všetkých OAuth aplikácií. Bez inventára nebojuješ, len slepo strieľaš do tmy.

Krok 2: Zhodnoť riziko (Nie všetko je zlo) Každý nájdený nástroj podrob rýchlemu auditu: K čomu má reálne prístup? Trénuje na vašich dátach svoje modely? Má aspoň nejakú sekciu „Security“ na webe? Ak zistíš, že nástroj na preklady len jednorazovo spracuje text a okamžite ho maže, možno to nie je až taká tragédia.

Krok 3: Nastav AI Policy (Mantinely v ľudskej reči) Namiesto stostranovej právnickej smernice urob jednostranový manuál:

Čo sa do AI sypať zásadne nesmie (zdrojový kód, rodné čísla klientov, finančné výkazy).
Ktoré nástroje sú oficiálne schválené.
Ako si vyžiadať prístup k novému nástroju.

Krok 4: Vytvor firemný „AI App Store“ Ľudia utekajú k tieňovým riešeniam vtedy, keď nemajú oficiálnu cestu. Kúp im legitímne firemné licencie (napríklad Microsoft Copilot, Gemini for Workspace alebo zabezpečený interný portál s napojením na OpenAI API, ktoré netrénuje dáta). Keď im dáš do rúk bezpečný a výkonný nástroj, nebudú mať potrebu hľadať pochybné boty na webe.