רוב הארגונים ממפים שימוש ב-AI לפי רשימת כלים וסריקה בלוגים. השיטה הזו תופסת את הצורות הרועשות — צ'אט ציבורי, קריאות API — ומפספסת לגמרי שתי צורות אחרות. שתיהן שקטות, ושתיהן נוגעות בדאטה אמיתי.
מודל שרץ על המכונה
היום אפשר להוריד מודל שפה ולהריץ אותו מקומית על מחשב עבודה רגיל, בלי חשבון, בלי הרשמה ובלי חיבור לענן.
ולכן: אין תעבורה, אין לוג, אין התראה, אין עקבה.
ארגון יכול להריץ סריקת Shadow AI מקיפה, לקבל דוח נקי לחלוטין, ולהיות צודק לגמרי — בזמן שעל תחנות העבודה רצים מודלים שמעבדים דאטה רגיש. הסריקה לא פספסה כלום, כי ברשת לא היה שום דבר לתפוס. הדאטה נכנס למודל בתוך המכונה, והמכונה לא דיברה עם אף אחד.
הפער כאן הוא לא בבקרה. הוא בנראוּת — ואי אפשר להתחיל לנהל את זה לפני שיודעים שזה קיים. האות היחיד שיכול לספר לכם הוא אות אנדפוינט, לא אות רשת, והוא לא מוגדר לזה כברירת מחדל.
כשה-AI בונה ומריץ בעצמו
כלים שבהם מתארים מה רוצים בשפה חופשית, וה-AI בונה אפליקציה או אוטומציה — ומפרסם אותה, מארח אותה ומחבר אותה לדאטה בעצמו.
זה שונה מהותית ממפתח שמשתמש בעוזר קוד. שם הקוד נכנס לצינור שלכם ורץ על התשתית שלכם, ואפשר להתערב בתוך תהליך הפיתוח. כאן אין תהליך פיתוח בכלל. עובד מהכספים בנה משהו בעשר דקות, וזה חי.
זו המשפחה עם משטח החשיפה הרחב ביותר, וארבעה סיכונים נפרדים בתוכה:
- אפליקציה חיה שאף אחד לא רשם. כתובת ציבורית, לרוב בלי הזדהות ובלי הרשאות לפי תפקיד.
- חיבור הדאטה. הרשאות רחבות מדי למערכות הליבה, ודאטה שזולג ממערכת מבוקרת אל פלטפורמה חיצונית — מחוץ לטווח הראייה של ה-DLP ומחוץ לסקופ הציות.
- סוכן שפועל, לא רק כותב. ההבדל בין AI שמייצר טקסט לבין AI ששולח מיילים ומשנה רשומות בלי אישור אנושי בדרך.
- מחזור חיים. העובד שבנה עוזב, האפליקציה ממשיכה לרוץ, וההרשאות נשארות חיות. אין תהליך שמכבה אותן, כי אין תהליך שידע שהן קיימות.
אי אפשר לנהל את מה שלא רואים
שימו לב מה משותף לשתי הצורות האלה: אף אחת מהן לא נכשלת בגלל מוצר גרוע. הן נכשלות בגלל שאף אחד לא ידע שהן שם — ולכן אף אחד לא הגדיר מי מאשר, מי מתחזק, מי מכבה ומי בודק שוב עוד חצי שנה.
וזו גם הסיבה שחסימה גורפת לא פותרת. ארגון שיחסום הכל רק ידחוף את השימוש עמוק יותר לצללים — למודל המקומי ולטלפון הפרטי, בדיוק לאן שאין לו נראוּת. העובדים ימשיכו, כי הם מקבלים מזה ערך אמיתי. השאלה היחידה היא אם זה יקרה בתוך משהו שאתם מנהלים או מחוצה לו.
לשתי הצורות האלה יש שיטת זיהוי — היא פשוט לא זו שרוב הארגונים מפעילים, והיא שונה בין השתיים.
מוזמנים לפנות אלינו לשיחה. נבדוק יחד אם הצורות האלה קיימות אצלכם, מה הן נוגעות בו, ומה הצעד הראשון שסוגר את הפער — בלי לעצור את העבודה בארגון.
