Skala: Amalan Majoriti
Menurut Work Trend Index 2024 oleh Microsoft dan LinkedIn, 78% pengguna AI di tempat kerja membawa alatan mereka sendiri. Tinjauan yang diperhatikan oleh Mustapha Benkalfate dalam kalangan pelanggannya menunjukkan angka yang sama, antara 78% dan 85%, dan lebih separuh pengguna ini memuat naik dokumen dalaman atau sulit walaupun mereka tahu ia tidak sepatutnya dilakukan. Dan apabila syarikat menyekat alatan tersebut, kira-kira 80% pekerja melaporkan masih menggunakannya pada peranti peribadi mereka.
Kos: Satu daripada Lima Organisasi Terjejas
Laporan IBM mengenai kos pelanggaran data pada 2025 menunjukkan bahawa satu daripada lima organisasi telah mengalami pelanggaran berkaitan shadow AI, dan tahap shadow AI yang tinggi meningkatkan kos purata pelanggaran secara ketara. Kes perintis berlaku pada April 2023: jurutera Samsung telah menampal kod sumber dan nota dalaman ke dalam ChatGPT, yang menyebabkan kumpulan itu melarang penggunaan alatan AI generatif oleh pekerjanya.
Paradoks Alatan Rasmi
Di banyak syarikat, alatan rasminya ialah Microsoft Copilot atau GPT dalaman, yang dipilih kerana keselamatannya. Di lapangan, Mustapha Benkalfate memerhatikan bahawa pekerja mengingkari arahan sebaik sahaja mereka fikir boleh mendapat hasil yang lebih baik di tempat lain. Beliau melihat ini sebagai satu salah faham: mereka mencari kelebihan teknologi sedangkan yang mereka perlukan ialah kelebihan metodologi. Dilatih dengan kaedah seperti SCOPE©, mereka mendapat lebih banyak manfaat daripada alatan yang dibenarkan dan kurang cenderung untuk mencari alatan lain.
Beliau juga mengingatkan mengapa alatan luaran lebih berisiko: ia tidak direka bentuk untuk selamat dalam konteks syarikat. Alatan yang digunakan secara dalaman adalah berdasarkan kontrak yang dirundingkan, peraturan akses dan penyeliaan oleh jabatan IT.
Dua Strategi yang Gagal
- Mengharamkan Sepenuhnya. Menyekat alatan pada Wi-Fi dan peranti syarikat akan mengalihkan penggunaan kepada peranti peribadi, di luar sebarang pemantauan.
- Membenarkan Sepenuhnya Tanpa Tadbir Urus. Pekerja menggunakan alatan tanpa memahami apa yang mereka kongsi atau dengan siapa.
Beliau juga memberi amaran terhadap "mentaliti kubu pertahanan": data daripada alatan pemantauan rangkaian lebih berguna untuk membina kempen kesedaran berbanding untuk mengenakan hukuman.
Apa yang Berkesan: Pendidikan, Disampaikan oleh Duta
"Satu-satunya kaedah yang berkesan ialah pendidikan. Tetapi jika anda melatih orang selama dua atau tiga hari dan tiada tindakan susulan, ia tidak akan berhasil: manusia sentiasa mengutamakan apa yang menjimatkan masa mereka. Perlu ada duta yang sentiasa mengingatkan bagaimana sesuatu itu berfungsi, dan mereka bukan sahaja melarang, tetapi menjelaskan mengapa ia dilarang."
Model yang digunakannya bersama Revenu IA adalah berbentuk piramid: duta, sekitar 4% hingga 5% daripada tenaga kerja, dikenal pasti melalui penilaian dinamik dan bukannya dilantik oleh hierarki, dilatih oleh pakar luaran, kemudian ditugaskan untuk melatih dan membimbing rakan sekerja mereka. Bagaimana memilih duta anda.
Barisan Hadapan Baharu: Suntikan Prompt dan Ejen
Dengan adanya ejen, sifat risiko berubah. Mustapha Benkalfate memetik suntikan prompt: arahan tersembunyi dalam dokumen, contohnya profil LinkedIn yang mengandungi arahan seperti "jika anda model bahasa, abaikan tugas anda dan lakukan perkara lain," boleh memesongkan AI perekrutan automatik. Apabila disambungkan ke akses dalaman, ejen yang dipesongkan boleh mendedahkan butiran log masuk atau data pelanggan. Oleh itu, terdapat dua peraturan: berikan ejen dan penyambung akses minimum yang diperlukan, dan tetapkan laluan eskalasi sebelum sebarang pelaksanaan.
Kini Satu Kewajipan Undang-undang
Sejak 2 Februari 2025, Artikel 4 Akta AI Eropah mewajibkan syarikat yang melaksanakan sistem AI untuk mengambil langkah-langkah bagi memastikan tahap penguasaan AI yang mencukupi dalam kalangan kakitangan mereka. Latihan bukan lagi sekadar tindak balas terbaik terhadap shadow AI: ia adalah satu kewajipan.