Shadow AI: Οι Εργαζόμενοί σας Ήδη Χρησιμοποιούν ChatGPT. Τι Κάνει ο Οργανισμός;

Τι είναι το shadow AI

Shadow AI είναι η χρήση εργαλείων τεχνητής νοημοσύνης από εργαζόμενους χωρίς την έγκριση, τη γνώση ή τον έλεγχο του οργανισμού. Ο όρος προέρχεται από το shadow IT, αλλά η κλίμακα είναι διαφορετική. Για να στήσει κάποιος έναν μη εγκεκριμένο server χρειαζόταν γνώσεις και χρόνο. Για να επικολλήσει μια σύμβαση στο ChatGPT και να ζητήσει περίληψη χρειάζεται δέκα δευτερόλεπτα και ένα δωρεάν λογαριασμό.

Η έρευνα της PagerDuty που δημοσιεύτηκε τον Ιούνιο του 2026, σε 1.250 εργαζόμενους γραφείου μη τεχνικών ρόλων σε μεγάλες επιχειρήσεις, δίνει την εικόνα με αριθμούς:

• Το 66% χρησιμοποίησε εργαλεία AI στη δουλειά ενώ πίστευε ότι η πολιτική της εταιρείας δεν το επιτρέπει.
• Το 88% έχει μοιραστεί πληροφορίες της δουλειάς με δημόσια εργαλεία AI. Το 43% emails και αλληλογραφία, το 40% σημειώσεις συναντήσεων, το 34% δεδομένα πελατών, το 31% οικονομικά στοιχεία ή εμπιστευτικά έγγραφα και στρατηγικές.
• Το 86% δηλώνει ότι η εταιρεία του έχει πολιτική AI. Το 81% πιστεύει ότι η ηγεσία παίζει με διαφορετικούς κανόνες.
• Το 89% γνώρισε τα εργαλεία στην προσωπική του ζωή και τα έφερε στη δουλειά.

Η έρευνα αφορά ΗΠΑ, Ηνωμένο Βασίλειο, Αυστραλία και Ιαπωνία. Από όσα βλέπουμε σε ελληνικούς οργανισμούς, δεν υπάρχει λόγος να πιστεύουμε ότι τα ποσοστά είναι χαμηλότερα. Αν κάτι διαφέρει, είναι ότι η πολιτική AI συχνά δεν υπάρχει καθόλου.

Ποιοι είναι οι πραγματικοί κίνδυνοι

Ο κίνδυνος του shadow AI δεν είναι ότι «η AI θα κάνει λάθος». Είναι ότι ο οργανισμός αναλαμβάνει υποχρεώσεις χωρίς να το ξέρει. Τέσσερις από αυτές έχουν συγκεκριμένο νομικό ή συμβατικό αποτύπωμα.

ΓΚΠΔ. Όταν ένας εργαζόμενος επικολλά σε δημόσιο εργαλείο ένα email πελάτη, μια λίστα ονομάτων ή σημειώσεις από συνάντηση με προσωπικά δεδομένα, ο οργανισμός έχει διαβιβάσει δεδομένα σε τρίτο εκτελούντα επεξεργασία χωρίς σύμβαση του Άρθρου 28, πιθανότατα εκτός ΕΕ, χωρίς νομική βάση και χωρίς να το γνωρίζει ο DPO. Οι δωρεάν εκδόσεις των περισσότερων εργαλείων δηλώνουν ρητά ότι μπορούν να χρησιμοποιήσουν τα δεδομένα για εκπαίδευση μοντέλων. Σε περίπτωση παραβίασης ή καταγγελίας, η απάντηση «δεν ξέραμε» δεν αποτελεί άμυνα, είναι ομολογία έλλειψης μέτρων.

Εμπιστευτικότητα και εμπορικά απόρρητα. Οικονομικά στοιχεία, κώδικας, όροι συμβάσεων, στρατηγικά σχέδια. Το 31% των ερωτηθέντων έχει μοιραστεί τέτοιο υλικό. Πέρα από τον ανταγωνιστικό κίνδυνο, πολλές συμβάσεις με πελάτες και συνεργάτες περιέχουν ρήτρες εμπιστευτικότητας που η πράξη αυτή παραβιάζει, ανεξάρτητα από το αν τα δεδομένα διέρρευσαν ποτέ.

AI Act, Άρθρο 4. Από τις 2 Φεβρουαρίου 2025 ο οργανισμός, ως deployer, οφείλει να λαμβάνει μέτρα για το AI literacy των ανθρώπων που χρησιμοποιούν συστήματα AI για λογαριασμό του. Ο εργαζόμενος που χρησιμοποιεί ChatGPT για να απαντήσει σε πελάτες χρησιμοποιεί σύστημα AI για λογαριασμό σας, είτε το εγκρίνατε είτε όχι. Αν δεν ξέρετε ότι το κάνει, δεν έχετε λάβει μέτρα. Αναλύουμε την υποχρέωση σε ξεχωριστό άρθρο.

NIS2 και ασφάλεια αλυσίδας εφοδιασμού. Για οντότητες που υπάγονται στον Ν. 5160/2024, κάθε εργαλείο SaaS που επεξεργάζεται δεδομένα του οργανισμού είναι προμηθευτής. Ένα εργαλείο που κανείς δεν έχει αξιολογήσει, με λογαριασμό που κανείς δεν διαχειρίζεται, είναι ακριβώς το κενό που το μέτρο ασφάλειας αλυσίδας εφοδιασμού υπάρχει για να κλείσει.

Υπάρχει και ένας πέμπτος κίνδυνος, λιγότερο νομικός αλλά συχνότερος: η ποιότητα. Αποτελέσματα που παράγονται από εργαλείο χωρίς έλεγχο, από άνθρωπο που δεν έχει εκπαιδευτεί στα όριά του, μπαίνουν σε αναφορές, προσφορές και απαντήσεις προς πελάτες. Όταν κάτι πάει στραβά, κανείς δεν ξέρει ότι η AI είχε ανάμειξη.

Γιατί η απαγόρευση αποτυγχάνει

Η πρώτη αντίδραση πολλών διοικήσεων είναι να μπλοκάρουν τα domains. Έχουμε δει αυτήν την προσέγγιση αρκετές φορές ώστε να γνωρίζουμε το αποτέλεσμα: η χρήση μεταφέρεται στο κινητό και στον προσωπικό υπολογιστή, δηλαδή εκτός κάθε ελέγχου και κάθε καταγραφής. Ο οργανισμός χάνει την ορατότητα που είχε, κερδίζει μια ψευδή αίσθηση ασφάλειας και στέλνει στους ανθρώπους του το μήνυμα ότι η διοίκηση δεν καταλαβαίνει πώς δουλεύουν.

Η δεύτερη αντίδραση είναι μια πολιτική «μηδενικής χρήσης» σε PDF που κανείς δεν διαβάζει. Το 86% των ερωτηθέντων δηλώνει ότι υπάρχει πολιτική. Το 66% τη παραβιάζει. Το ποσοστό μιλά από μόνο του.

Η ουσία είναι ότι το shadow AI είναι σύμπτωμα ζήτησης. Οι άνθρωποι χρειάζονται τα εργαλεία. Το ερώτημα δεν είναι αν θα τα χρησιμοποιούν, αλλά αν θα τα χρησιμοποιούν μέσα ή έξω από το πλαίσιο που θέτει ο οργανισμός.

Τι δουλεύει

Από τα έργα AI governance που έχουμε κάνει, η προσέγγιση που φέρνει το shadow AI στο φως και το κρατά εκεί έχει τέσσερα στοιχεία. Η σειρά έχει σημασία.

1. Απογραφή χωρίς τιμωρία. Πριν από κάθε πολιτική, μια σύντομη ανώνυμη έρευνα και μερικές συζητήσεις ανά τμήμα: ποια εργαλεία χρησιμοποιείτε, για τι, πόσο συχνά. Το μήνυμα πρέπει να είναι σαφές ότι σκοπός είναι να δοθούν καλύτερα εργαλεία, όχι να βρεθούν ένοχοι. Η απογραφή αποκαλύπτει σχεδόν πάντα χρήσεις που η διοίκηση δεν φανταζόταν και, συχνότερα από όσο θα περίμενε κανείς, χρήσεις πραγματικά χρήσιμες που αξίζει να γίνουν επίσημες.

2. Εγκεκριμένα εργαλεία, γρήγορα. Η επιχειρησιακή έκδοση των ίδιων εργαλείων (Microsoft 365 Copilot, ChatGPT Enterprise ή Team, Gemini for Workspace, Claude for Work) λύνει τα περισσότερα προβλήματα του ΓΚΠΔ και της εμπιστευτικότητας: συμβατική δέσμευση ότι τα δεδομένα δεν χρησιμοποιούνται για εκπαίδευση, επεξεργασία εντός ΕΕ όπου διατίθεται, κεντρική διαχείριση λογαριασμών, καταγραφή. Το κόστος ανά χρήστη είναι μικρό σε σχέση με το κόστος ενός περιστατικού. Αν ο οργανισμός δεν προσφέρει εγκεκριμένη εναλλακτική μέσα σε λίγες εβδομάδες από την απογραφή, η χρήση επιστρέφει στη σκιά.

3. Μια πολιτική μιας σελίδας. Όχι είκοσι σελίδες νομικής γλώσσας. Τι επιτρέπεται, τι δεν επιτρέπεται ποτέ (προσωπικά δεδομένα πελατών, στοιχεία πρόσβασης, εμπιστευτικές συμβάσεις, κώδικας παραγωγής), ποια εργαλεία είναι εγκεκριμένα, πώς ζητά κανείς έγκριση για νέο εργαλείο, ποιος είναι ο άνθρωπος που απαντά σε ερωτήσεις. Και, κρίσιμο, πώς δηλώνεται ότι ένα αποτέλεσμα παράχθηκε με AI σε ό,τι φεύγει προς τρίτους.

4. Εκπαίδευση με αρχείο. Η πολιτική δεν λειτουργεί αν οι άνθρωποι δεν καταλαβαίνουν γιατί υπάρχει. Μια σύντομη εκπαίδευση ανά τμήμα, που εξηγεί τι παθαίνει ένα δεδομένο όταν μπαίνει σε δημόσιο εργαλείο, γιατί το μοντέλο επινοεί πηγές με αυτοπεποίθηση, και πώς χρησιμοποιείται σωστά το εγκεκριμένο εργαλείο, αλλάζει τη συμπεριφορά περισσότερο από οποιαδήποτε απαγόρευση. Το αρχείο ανά εργαζόμενο είναι ταυτόχρονα η απόδειξη για το Άρθρο 4 του AI Act και το μέτρο εκπαίδευσης του NIS2.

Το ζήτημα της ηγεσίας

Ένα εύρημα της έρευνας αξίζει ξεχωριστή αναφορά: το 81% πιστεύει ότι η ηγεσία παίζει με διαφορετικούς κανόνες. Σε αρκετούς οργανισμούς είναι αλήθεια. Ο διευθύνων σύμβουλος χρησιμοποιεί ChatGPT στο κινητό για να προετοιμάσει ένα ΔΣ ενώ η πολιτική απαγορεύει τη χρήση στο προσωπικό. Καμία πολιτική AI δεν επιβιώνει σε αυτό το περιβάλλον. Η διοίκηση πρέπει να είναι η πρώτη που εκπαιδεύεται, η πρώτη που χρησιμοποιεί τα εγκεκριμένα εργαλεία, και η πρώτη που λέει ανοιχτά πώς τα χρησιμοποιεί. Τυχαίνει να είναι και η πρώτη που θα ρωτήσει κάθε εποπτική αρχή, τόσο για το AI Act όσο και για το NIS2.

Πώς βοηθάμε

Η υπηρεσία AI governance της Northbound ξεκινά ακριβώς από εδώ: απογραφή χρήσης, αξιολόγηση κινδύνου ανά χρήση, πολιτική AI, επιλογή και ρύθμιση εγκεκριμένων εργαλείων, και πρόγραμμα εκπαίδευσης με αποδεικτικά. Για το βασικό επίπεδο εκπαίδευσης όλου του προσωπικού χρησιμοποιούμε το Credenz, ώστε η εκπαίδευση να γίνει ανά τμήμα, με αξιολόγηση και αρχείο ανά εργαζόμενο, χωρίς να δεσμευτούν εβδομάδες από το HR.

Αν θέλετε να ξεκινήσετε μόνοι σας, η πρώτη ενέργεια είναι δωρεάν: ρωτήστε, ανώνυμα, τους ανθρώπους σας ποια εργαλεία AI χρησιμοποίησαν την περασμένη εβδομάδα. Η απάντηση θα ορίσει τι πρέπει να γίνει μετά.