Firmy już dziś uruchamiają narzędzia oparte na sztucznej inteligencji, a cyfrowi agenci często działają na kontach pracowników zamiast dostać własne, jasno określone tożsamości w systemach. Chodzi o całą firmową mieszankę automatyzacji procesów, analizy danych, obsługi klienta i przetwarzania dokumentów. W takim układzie coraz trudniej ustalić, czy daną operację wykonał człowiek, czy algorytm.
- Cyfrowi agenci często pracują na kontach pracowników, zamiast mieć własne, wyraźnie przypisane tożsamości w systemach.
- To sprawia, że ustalenie, kto naprawdę wykonał daną operację, staje się dużo trudniejsze: człowiek czy algorytm.
- W praktyce oznacza to słabszy nadzór, mniej wiarygodne logi i większe ryzyko nadużyć, szczególnie tam, gdzie systemy prowadzą procesy biznesowe krok po kroku.
- Problem narasta razem z liczbą platform używanych w organizacjach oraz z liczbą nieautoryzowanych narzędzi AI, czyli shadow AI.
- Firmy wdrażają kilka oficjalnie zatwierdzonych usług, a jednocześnie zmagają się z dużo większą liczbą rozwiązań używanych poza formalną zgodą organizacji.
- Z raportów na 2025 rok wynika, że z takich rozwiązań korzysta w pracy 75% pracowników.
- Te same raporty pokazują też, że 59% użytkowników sięga po narzędzia, których firma formalnie nie zatwierdziła.
- W latach 2023–2025 wykorzystanie shadow AI wzrosło o 156%.
- Około 47% użytkowników loguje się do generatorów treści i innych usług przez prywatne konta.
- W takim przypadku omijane są firmowe polityki bezpieczeństwa, monitoring, zasady retencji danych i mechanizmy zgodności.
- W wielu organizacjach autonomiczni agenci nadal korzystają z danych logowania pracownika albo działają na współdzielonych poświadczeniach.
- Dla audytorów i zespołów bezpieczeństwa oznacza to niejednoznaczny ciąg zdarzeń, który nie pokazuje jasno, czy działanie wykonał człowiek, czy system.
- Problem robi się jeszcze większy, bo oprogramowanie coraz częściej samo wykonuje wieloetapowe zadania w obsłudze klienta, analizie danych i przetwarzaniu dokumentów.
- Im większa autonomia, tym większe skutki błędnej konfiguracji dostępu.
- Dane przywoływane dla 2025 roku mówią, że 38% pracowników przyznaje się do udostępnienia poufnych danych zewnętrznym platformom bez zgody firmy.
- Z tych samych danych wynika, że jeśli dojdzie do naruszenia z udziałem shadow AI, koszt incydentu może wzrosnąć średnio o dodatkowe 670 tys. dolarów.
- Coraz częściej słychać też, że tradycyjne zarządzanie tożsamością i dostępem zwyczajnie nie wystarcza, bo projektowano je z myślą o pracownikach, partnerach i klasycznych kontach serwisowych, a nie o agentach wykonujących zadania w imieniu firmy.
- Dane z 2025 roku pokazują, że 63% organizacji nie ma jeszcze polityki dotyczącej sztucznej inteligencji albo dopiero ją przygotowuje.
- W efekcie wiele firm nie umie odpowiedzieć na podstawowe pytania: jakie narzędzia są używane, jakie mają uprawnienia i kto bierze odpowiedzialność za ich działania.
- Dlatego zespoły bezpieczeństwa coraz częściej mówią o zarządzaniu tożsamością agentów jak o osobnej kategorii, z własnymi kontami, ograniczonymi uprawnieniami, przeglądami dostępu i pełnym cyklem życia, od wdrożenia po wyłączenie.
Shadow AI, czyli nieautoryzowane narzędzia sztucznej inteligencji używane w firmie bez formalnej zgody, przypomina znane już w organizacjach shadow IT. Różnica polega na tym, że tutaj problem nie kończy się na samym użyciu narzędzi, ale dotyka też odpowiedzialności za działania agentów.
Na dziś w wielu organizacjach wciąż brakuje pełnego nadzoru nad agentami, bo systemy nadal traktują je jak ludzi działających na cudzych loginach. Jeśli firma ma naprawdę objąć takiego agenta swoimi politykami bezpieczeństwa, monitoringiem, zasadami retencji danych i mechanizmami zgodności, agent musi dostać firmowe konto i jasno zdefiniowaną tożsamość w systemie.
W firmach korzystających z takich usług coraz trudniej ustalić, czy konkretna operację wykonał człowiek, czy system. Bez tego cyfrowi agenci dalej działają jak ludzie, tylko bez ludzkiej odpowiedzialności.
Reszta użytkowników musi jeszcze poczekać, aż zasady nadzoru nad agentami zostaną porządnie dopracowane.
