مقدمه
تصور کنید یکی از کارکنان واحد مالی برای تهیه گزارش عملکرد ماهانه، فایل اکسل حاوی اطلاعات فروش شرکت را در ChatGPT بارگذاری میکند. یا کارشناس منابع انسانی برای نگارش یک متن اداری، بخشی از اطلاعات کارکنان را در یک ابزار هوش مصنوعی وارد میکند. در ظاهر همه چیز عادی به نظر میرسد؛ کار سریعتر انجام میشود، بهرهوری افزایش مییابد و کاربر در چند دقیقه به نتیجه دلخواه خود میرسد.
اما سؤال مهم اینجاست: آیا واحد فناوری اطلاعات از این موضوع اطلاع دارد؟ آیا اطلاعات سازمان همچنان تحت کنترل و سیاستهای امنیتی شرکت قرار دارد؟ آیا دادههای وارد شده در این ابزارها مطابق با الزامات امنیتی و محرمانگی سازمان مدیریت میشوند؟
با گسترش استفاده از ابزارهای هوش مصنوعی مولد مانند ChatGPT، Gemini، Claude، Copilot و دهها سرویس مشابه، پدیدهای به نام Shadow AI به یکی از مهمترین دغدغههای مدیران فناوری اطلاعات و امنیت سایبری تبدیل شده است. بسیاری از کارکنان بدون هماهنگی با واحد IT و صرفاً برای افزایش سرعت انجام کارها، از این ابزارها استفاده میکنند؛ موضوعی که میتواند خطرات جدی برای امنیت اطلاعات، انطباق با مقررات و حفاظت از دادههای سازمانی ایجاد کند.
در این مقاله با مفهوم Shadow AI، دلایل گسترش آن، خطرات احتمالی برای سازمانها و راهکارهای عملی برای کنترل این تهدید نوظهور آشنا خواهیم شد.
Shadow AI چیست؟
Shadow AI به استفاده از ابزارها، سرویسها یا پلتفرمهای مبتنی بر هوش مصنوعی توسط کارکنان سازمان، بدون تأیید، نظارت یا آگاهی واحد فناوری اطلاعات گفته میشود.
این مفهوم در واقع نسخه جدیدی از پدیده شناختهشده Shadow IT است. در گذشته کارکنان ممکن بود بدون اطلاع سازمان از سرویسهای ذخیرهسازی ابری، نرمافزارهای پیامرسان یا ابزارهای اشتراک فایل استفاده کنند. امروزه همین رفتار در حوزه هوش مصنوعی مشاهده میشود؛ با این تفاوت که حجم و حساسیت دادههای درگیر به مراتب بیشتر است.
برای مثال موارد زیر نمونههایی از Shadow AI محسوب میشوند:
- بارگذاری فایلهای سازمانی در ChatGPT برای تحلیل یا خلاصهسازی
- استفاده از ابزارهای تولید محتوا برای تهیه اسناد داخلی
- استفاده از سرویسهای ترجمه مبتنی بر هوش مصنوعی برای ترجمه قراردادها و اسناد محرمانه
- تحلیل دادههای مشتریان در ابزارهای AI عمومی
- استفاده از دستیارهای هوش مصنوعی بدون تأیید سازمان
نکته مهم اینجاست که در بسیاری از موارد، کارکنان با نیت سوء اقدام نمیکنند. برعکس، هدف آنها افزایش سرعت انجام کارها، کاهش حجم فعالیتهای تکراری و بهبود بهرهوری است. اما همین اقدام میتواند باعث خروج ناخواسته اطلاعات حساس از محیط سازمان شود.
به همین دلیل بسیاری از تحلیلگران امنیت سایبری، Shadow AI را یکی از مهمترین چالشهای امنیت اطلاعات در سالهای آینده میدانند. چالشی که برخلاف حملات سایبری سنتی، از درون سازمان و توسط کاربران مجاز آغاز میشود و شناسایی آن بدون داشتن دید مناسب نسبت به رفتار کاربران و تجهیزات، بسیار دشوار خواهد بود.
چرا Shadow AI به یک تهدید جدی برای سازمانها تبدیل شده است؟
در نگاه اول، استفاده از ابزارهای هوش مصنوعی اقدامی مثبت به نظر میرسد. کارکنان میتوانند سریعتر محتوا تولید کنند، گزارشها را تحلیل کنند، کدنویسی انجام دهند یا اطلاعات مورد نیاز خود را در مدت زمان کوتاهی به دست آورند. اما همین مزایا باعث شده است که استفاده از این ابزارها با سرعتی بسیار بیشتر از توان سازمانها برای مدیریت و کنترل آنها گسترش پیدا کند.
برخلاف نرمافزارهای سازمانی که پیش از استفاده توسط واحد فناوری اطلاعات بررسی، ارزیابی و تأیید میشوند، بسیاری از ابزارهای هوش مصنوعی تنها با چند کلیک در دسترس کاربران قرار دارند. یک کارمند میتواند بدون نصب هیچ نرمافزاری و تنها از طریق مرورگر، اطلاعات سازمان را وارد یک سرویس هوش مصنوعی عمومی کند؛ بدون آنکه واحد فناوری اطلاعات از این موضوع مطلع باشد.
همین موضوع باعث شده است که Shadow AI به یکی از مهمترین چالشهای امنیت اطلاعات در سازمانهای مدرن تبدیل شود. در بسیاری از موارد، دادههایی که در اختیار ابزارهای هوش مصنوعی قرار میگیرند شامل اطلاعات مالی، مشخصات مشتریان، قراردادها، اسناد داخلی، دادههای منابع انسانی یا اطلاعات محرمانه کسبوکار هستند. خروج چنین اطلاعاتی از محیط کنترلشده سازمان میتواند پیامدهای امنیتی، حقوقی و حتی اعتباری قابلتوجهی به همراه داشته باشد.
از سوی دیگر، رشد سریع ابزارهای هوش مصنوعی باعث شده است که تیمهای فناوری اطلاعات دید کاملی نسبت به سرویسهای مورد استفاده کاربران نداشته باشند. در نتیجه، سازمان ممکن است دهها یا حتی صدها ابزار هوش مصنوعی مختلف را در محیط کاری خود داشته باشد، بدون آنکه سیاست مشخصی برای مدیریت، ثبت یا کنترل آنها تعریف کرده باشد.
این مسئله زمانی پیچیدهتر میشود که بدانیم بسیاری از حملات سایبری و نشت اطلاعات دیگر صرفاً از طریق بدافزارها یا مهاجمان خارجی اتفاق نمیافتد. امروزه بخشی از ریسک امنیتی از طریق کاربران مجاز و در قالب استفاده روزمره از ابزارهای دیجیتال ایجاد میشود. به همین دلیل، بسیاری از کارشناسان امنیت سایبری معتقدند که Shadow AI یکی از مهمترین نقاط کور امنیتی (Security Blind Spot) در سازمانهای امروزی است.
در واقع، چالش اصلی هوش مصنوعی نیست؛ چالش اصلی نبود دید، کنترل و سیاستگذاری مناسب برای استفاده از هوش مصنوعی در سازمان است.
مهمترین خطرات Shadow AI برای سازمانها
اگرچه استفاده از ابزارهای هوش مصنوعی میتواند بهرهوری کارکنان را افزایش دهد، اما استفاده کنترلنشده از این ابزارها میتواند ریسکهای قابلتوجهی برای سازمان ایجاد کند. بسیاری از این ریسکها در نگاه اول قابل مشاهده نیستند و معمولاً زمانی آشکار میشوند که اطلاعات حساس سازمان از محیط کنترلشده خارج شده یا یک حادثه امنیتی رخ داده باشد.
نشت اطلاعات محرمانه و حساس
مهمترین نگرانی مرتبط با Shadow AI، احتمال خروج اطلاعات محرمانه از سازمان است. کاربران ممکن است برای دریافت تحلیل بهتر یا تولید محتوای دقیقتر، فایلها، گزارشها، قراردادها، اطلاعات مشتریان یا حتی دادههای مالی را در اختیار ابزارهای هوش مصنوعی قرار دهند.
در بسیاری از موارد، کاربران نمیدانند دادههایی که وارد این سرویسها میکنند چگونه ذخیره، پردازش یا استفاده میشود. همین موضوع میتواند باعث شود اطلاعات ارزشمند سازمان بدون اطلاع واحد فناوری اطلاعات از محیط داخلی خارج شود.
برای مثال، بارگذاری یک فایل اکسل فروش، یک قرارداد محرمانه یا مشخصات مشتریان در یک ابزار هوش مصنوعی عمومی میتواند ریسک افشای اطلاعات را به همراه داشته باشد.
نقض الزامات امنیتی و انطباق (Compliance)
بسیاری از سازمانها، بهویژه بانکها، شرکتهای بیمه، نهادهای دولتی و مراکز درمانی، موظف به رعایت قوانین و الزامات مشخصی در زمینه حفاظت از اطلاعات هستند.
استفاده از ابزارهای هوش مصنوعی خارج از چارچوبهای تعریفشده میتواند منجر به نقض سیاستهای امنیتی سازمان و الزامات قانونی شود. در چنین شرایطی، حتی اگر هیچ حمله سایبری رخ ندهد، سازمان ممکن است با ریسکهای حقوقی، نظارتی و اعتباری مواجه شود.
به همین دلیل، بسیاری از سازمانهای بزرگ جهان در حال تدوین سیاستهای اختصاصی برای استفاده از ابزارهای هوش مصنوعی هستند.
افزایش سطح حمله سایبری
هر ابزار جدیدی که وارد محیط سازمان میشود، میتواند به یک نقطه ورود جدید برای تهدیدات سایبری تبدیل شود. استفاده گسترده از سرویسهای ناشناخته یا تأییدنشده، سطح حمله (Attack Surface) سازمان را افزایش میدهد و مدیریت ریسک را دشوارتر میکند.
علاوه بر این، مهاجمان سایبری نیز به سرعت در حال استفاده از هوش مصنوعی برای توسعه روشهای جدید حمله، فیشینگ و مهندسی اجتماعی هستند. در چنین شرایطی، استفاده بدون کنترل از ابزارهای AI میتواند ریسک سازمان را چند برابر کند.
از بین رفتن دید و کنترل واحد فناوری اطلاعات
یکی از مهمترین چالشهای Shadow AI این است که تیم فناوری اطلاعات از وجود بسیاری از این ابزارها اطلاعی ندارد. زمانی که سازمان نداند کاربران از چه سرویسهایی استفاده میکنند، امکان ارزیابی ریسک، اعمال سیاستهای امنیتی و نظارت بر جریان دادهها نیز از بین میرود.
در واقع، مشکل اصلی Shadow AI خود هوش مصنوعی نیست؛ بلکه نبود شفافیت و کنترل بر نحوه استفاده از آن است. هرچه دید واحد فناوری اطلاعات نسبت به رفتار کاربران کمتر باشد، احتمال بروز حوادث امنیتی نیز افزایش پیدا میکند.
به همین دلیل، بسیاری از متخصصان امنیت سایبری معتقدند که Shadow AI یکی از مهمترین نقاط کور امنیتی در سازمانهای امروزی محسوب میشود.
سازمان شما چقدر در برابر Shadow AI آماده است؟
قبل از شروع، اطلاعات خود را وارد کنید و سپس در چند سناریوی واقعی، میزان آمادگی سازمان در برابر ریسک خروج اطلاعات از طریق ابزارهای هوش مصنوعی را بسنجید.
شروع ارزیابی
نتیجه این چالش میتواند به شما نشان دهد کدام رفتارها بیشترین ریسک را برای اطلاعات سازمانی ایجاد میکنند.
چرا Shadow AI در سال 2026 به یک نگرانی جهانی تبدیل شده است؟
تا چند سال پیش، استفاده از ابزارهای هوش مصنوعی در سازمانها بیشتر به پروژههای تحقیقاتی، تحلیل داده یا کاربردهای محدود تخصصی خلاصه میشد. اما ظهور ابزارهای هوش مصنوعی مولد مانند ChatGPT، Microsoft Copilot، Gemini و Claude، شرایط را بهطور کامل تغییر داد. امروزه تقریباً هر کارمند سازمان میتواند تنها با یک مرورگر به دهها ابزار هوش مصنوعی دسترسی داشته باشد و از آنها برای انجام فعالیتهای روزمره خود استفاده کند.
همین دسترسی آسان باعث شده است که سرعت گسترش هوش مصنوعی در محیطهای کاری بسیار بیشتر از توان سازمانها برای مدیریت و کنترل آن باشد. در بسیاری از موارد، کاربران پیش از آنکه واحد فناوری اطلاعات سیاست مشخصی برای استفاده از هوش مصنوعی تدوین کند، استفاده از این ابزارها را آغاز کردهاند.
گزارشهای بینالمللی نیز این روند را تأیید میکنند. بر اساس گزارش State of Digital Workspace 2026 منتشرشده توسط Omnissa، استفاده از ابزارهای هوش مصنوعی در محیطهای کاری با رشدی بیسابقه مواجه شده است. این گزارش از رشد حدود 1000 درصدی استفاده از دستیارهای هوش مصنوعی در مقایسه با سال قبل خبر میدهد؛ موضوعی که نشان میدهد هوش مصنوعی دیگر یک فناوری نوظهور نیست، بلکه به بخشی از فعالیت روزمره کارکنان تبدیل شده است.
اما چالش اصلی اینجاست که بسیاری از این ابزارها خارج از چارچوبهای رسمی سازمان مورد استفاده قرار میگیرند. کارکنان برای افزایش سرعت انجام کارها، تحلیل اطلاعات، تولید محتوا یا تهیه گزارشها، از سرویسهایی استفاده میکنند که ممکن است هیچگونه ارزیابی امنیتی روی آنها انجام نشده باشد. در نتیجه، تیم فناوری اطلاعات دید کاملی نسبت به دادههایی که در این ابزارها پردازش میشوند نخواهد داشت.
همزمان با رشد هوش مصنوعی، سازمانها با چالش دیگری نیز روبهرو شدهاند؛ افزایش پیچیدگی محیطهای کاری دیجیتال. امروزه کاربران از ترکیبی از سرویسهای ابری، نرمافزارهای SaaS، دستگاههای شخصی، شبکههای دورکاری و ابزارهای مبتنی بر هوش مصنوعی استفاده میکنند. این موضوع باعث شده است که مدلهای سنتی امنیتی مبتنی بر کنترل شبکه و محیط داخلی سازمان، کارایی گذشته را نداشته باشند.
به همین دلیل، بسیاری از شرکتهای پیشرو در حوزه فناوری مانند Citrix، Omnissa و … در گزارشها و تحلیلهای اخیر خود بر مفاهیمی مانند Zero Trust، EndpointSecurity، Observability و مدیریت متمرکز Endpointها تأکید میکنند. در این رویکرد، فرض بر این است که سازمان باید در هر لحظه بداند چه کسی، از چه دستگاهی، به چه دادهای و از طریق چه ابزاری دسترسی دارد.
در واقع، نگرانی اصلی سازمانها دیگر خود هوش مصنوعی نیست. نگرانی اصلی، استفاده کنترلنشده از هوش مصنوعی در محیطهای سازمانی است. هرچه وابستگی کارکنان به ابزارهای AI بیشتر شود، اهمیت ایجاد دید، کنترل و سیاستگذاری مناسب نیز افزایش پیدا میکند. به همین دلیل، Shadow AI در سال 2026 به یکی از مهمترین موضوعات مورد توجه مدیران فناوری اطلاعات، مدیران امنیت و تصمیمگیرندگان سازمانی در سراسر جهان تبدیل شده است.
چگونه از خروج اطلاعات سازمانی جلوگیری کنیم؟
مقابله با Shadow AI به معنای ممنوع کردن استفاده از هوش مصنوعی نیست. تجربه سازمانهای پیشرو نشان میدهد که رویکردهای محدودکننده و ممنوعیت کامل، معمولاً نتیجه مطلوبی به همراه ندارند. کارکنان همچنان به دنبال ابزارهایی هستند که بتوانند بهرهوری آنها را افزایش دهد و در بسیاری از موارد، استفاده از هوش مصنوعی به بخشی از فرآیندهای کاری روزمره تبدیل شده است.
بنابراین، هدف سازمانها نباید حذف هوش مصنوعی باشد؛ بلکه باید ایجاد تعادل میان بهرهوری و امنیت باشد. برای دستیابی به این هدف، مجموعهای از اقدامات مدیریتی، فنی و امنیتی ضروری است.
1. سیاست مشخصی برای استفاده از هوش مصنوعی تدوین کنید
یکی از بزرگترین دلایل شکلگیری Shadow AI، نبود دستورالعملهای شفاف در سازمان است. بسیاری از کارکنان نمیدانند چه نوع اطلاعاتی را میتوان در ابزارهای هوش مصنوعی وارد کرد و چه اطلاعاتی باید محرمانه باقی بماند.
سازمانها باید چارچوب مشخصی برای استفاده از ابزارهای هوش مصنوعی تعریف کنند و به سؤالاتی مانند موارد زیر پاسخ دهند:
- چه ابزارهایی مجاز به استفاده هستند؟
- چه نوع دادههایی نباید وارد ابزارهای AI شوند؟
- چه فرآیندهایی نیازمند تأیید واحد فناوری اطلاعات هستند؟
- مسئولیت حفاظت از دادهها بر عهده چه افرادی است؟
وجود سیاستهای شفاف، اولین گام در کاهش ریسک Shadow AI محسوب میشود.
2. آگاهی امنیتی کارکنان را افزایش دهید
بخش قابلتوجهی از ریسکهای مرتبط با Shadow AI ناشی از ناآگاهی کاربران است. بسیاری از کارکنان تصور میکنند وارد کردن اطلاعات در یک ابزار هوش مصنوعی تفاوتی با جستجو در اینترنت ندارد؛ در حالی که ممکن است دادههای واردشده در فرآیندهای مختلف پردازش یا ذخیره شوند.
آموزش مستمر کارکنان درباره:
طبقهبندی اطلاعات
حفاظت از دادههای محرمانه
ریسکهای هوش مصنوعی عمومی
اصول امنیت اطلاعات
میتواند نقش مهمی در کاهش خطاهای انسانی ایفا کند.
3. دید و شفافیت بیشتری نسبت به محیط کاری ایجاد کنید
یکی از مهمترین چالشهای Shadow AI، نبود دید کافی برای تیم فناوری اطلاعات است. زمانی که سازمان نداند کاربران از چه ابزارهایی استفاده میکنند، امکان مدیریت ریسک نیز وجود نخواهد داشت.
به همین دلیل، بسیاری از سازمانهای پیشرو به سمت رویکردی حرکت کردهاند که در آن مشاهدهپذیری (Observability) به بخشی از استراتژی امنیتی تبدیل شده است. در این مدل، تیم فناوری اطلاعات تلاش میکند تصویری دقیق از وضعیت کاربران، دستگاهها، نرمافزارها و جریان دادهها در اختیار داشته باشد.
هرچه دید سازمان نسبت به محیط کاری بیشتر باشد، احتمال شناسایی رفتارهای پرریسک نیز افزایش خواهد یافت.
4. مدیریت Endpointها را جدی بگیرید
در بسیاری از موارد، Shadow AI از طریق Endpointها شکل میگیرد؛ یعنی همان دستگاههایی که کاربران روزانه با آنها کار میکنند. لپتاپها، رایانههای شخصی، تجهیزات دورکاری و دستگاههای شخصی میتوانند به نقاطی برای خروج اطلاعات تبدیل شوند.
به همین دلیل، مدیریت متمرکز Endpointها به یکی از مهمترین اولویتهای امنیتی سازمانها تبدیل شده است. سازمان باید بتواند:
- وضعیت امنیتی تجهیزات را مشاهده کند.
- نرمافزارهای مورد استفاده را مدیریت کند.
- دسترسی کاربران را کنترل کند.
- تغییرات غیرمجاز را شناسایی کند.
هرچه Endpointها تحت کنترل بیشتری باشند، احتمال بروز Shadow AI نیز کاهش خواهد یافت.
5. از رویکرد Zero Trust استفاده کنید
یکی از مهمترین تغییرات امنیتی سالهای اخیر، حرکت از مدلهای سنتی به سمت معماری Zero Trust است.
در گذشته، بسیاری از سازمانها فرض میکردند هر کاربری که به شبکه داخلی دسترسی دارد، قابل اعتماد است. اما در معماری Zero Trust هیچ کاربر، دستگاه یا برنامهای بهصورت پیشفرض مورد اعتماد قرار نمیگیرد.
در این مدل، سازمان باید در هر لحظه بتواند پاسخ دهد:
- چه کسی به اطلاعات دسترسی دارد؟
- از چه دستگاهی استفاده میکند؟
- آیا دستگاه مورد نظر امن است؟
- آیا سطح دسترسی کاربر متناسب با وظایف اوست؟
این رویکرد میتواند ریسک ناشی از Shadow AI را به شکل قابلتوجهی کاهش دهد و از خروج ناخواسته اطلاعات سازمانی جلوگیری کند.
در نهایت باید توجه داشت که مقابله با Shadow AI صرفاً یک پروژه امنیتی نیست؛ بلکه بخشی از استراتژی تحول دیجیتال سازمان محسوب میشود. سازمانهایی که بتوانند میان بهرهوری کاربران و کنترل امنیتی تعادل برقرار کنند، در آینده از مزایای هوش مصنوعی بهرهمند خواهند شد، بدون آنکه امنیت اطلاعات خود را به خطر بیندازند.
نقش زیروکلاینت و Endpointهای کنترلشده در کاهش ریسک Shadow AI
با افزایش استفاده از ابزارهای هوش مصنوعی، بسیاری از سازمانها متوجه شدهاند که بخش قابلتوجهی از ریسکهای امنیتی از طریق Endpointها ایجاد میشود. حتی اگر سازمان بهترین سامانههای امنیتی، فایروالها و ابزارهای مانیتورینگ را در اختیار داشته باشد، همچنان یک کاربر میتواند از طریق دستگاه خود اطلاعات حساس را در یک سرویس هوش مصنوعی عمومی بارگذاری کند.
به همین دلیل، در سالهای اخیر توجه بسیاری از سازمانهای بزرگ به سمت مفهوم Secure Endpoint جلب شده است. در این رویکرد، هدف تنها محافظت از شبکه یا مرکز داده نیست؛ بلکه خود دستگاه کاربر نیز به بخشی از استراتژی امنیتی سازمان تبدیل میشود.
یکی از راهکارهایی که در بسیاری از زیرساختهای مدرن VDI و Digital Workspace مورد استفاده قرار میگیرد، بهرهگیری از زیروکلاینت یا Endpointهای کنترلشده است. برخلاف رایانههای سنتی که دارای سیستمعامل، فضای ذخیرهسازی محلی و امکان نصب نرمافزارهای مختلف هستند، زیروکلاینتها برای دسترسی امن به محیطهای متمرکز طراحی شدهاند.
این تفاوت، مزایای امنیتی قابلتوجهی ایجاد میکند:
- کاهش احتمال خروج اطلاعات
- کاهش سطح حمله (Attack Surface)
- مدیریت متمرکز و اعمال سیاستهای امنیتی
- همراستایی با معماری Zero Trust
در دنیایی که هوش مصنوعی به بخشی از فعالیت روزمره کارکنان تبدیل شده است، موفقترین سازمانها آنهایی خواهند بود که بتوانند میان نوآوری، بهرهوری و امنیت تعادل برقرار کنند. ایجاد یک زیرساخت Endpoint امن و قابل کنترل، یکی از مهمترین گامها در این مسیر است.