想像一下，如果公司員工偷偷請了幾百個未登記的數位助理幫忙處理公事，會發生什麼事？ 這種未經資訊部門核准、私自帶入企業內部的 AI 應用與工具，就是所謂的「地下 AI」。
過去大家常聽到的「地下 IT」，是指員工私下使用未授權的硬體或軟體，多半不會直接處理企業資料。 但地下 AI 可完全不同，它能夠直接讀取公司的機密檔案，甚至主動產生輸出內容。 台灣 CIO 雜誌 報導，目前平均每五個企業使用的 AI 工具中，就有四個是在完全沒有資訊安全監督的情況下運作，這讓企業資料外洩的風險急遽升溫。
究竟這場風暴有多嚴重？ 最新調查指出，有百分之五十七的員工承認，曾把公司的機密資訊直接分享給開放存取的 AI 產品；更有百分之六十八的人是透過個人帳號來使用。 更令人心驚的是，有高達百分之六十七的員工，甚至自己建立了資訊部門無法追蹤的自動化 AI 工作流程，讓這些工具自動讀取電子郵件、客戶紀錄甚至程式碼。
除了員工私用之外，企業還面臨另一種隱形危機：孤兒代理。 什麼是孤兒代理？ 簡單來說，就是員工為了短期專案連結了 AI 幫手，專案結束或員工離職後，這個 AI 幫手卻沒有被關閉。 它就像一個擁有通行證的殭屍，依然在背景保有系統存取權限。 權威數據顯示，大量使用地下 AI 的企業，每次遭遇資料外洩所付出的平均代價，要比其他企業高出六十七萬美元！
既然威脅這麼大，直接把所有 AI 工具通通強制停用不就好了嗎？ 答案恐怕沒那麼簡單，因為這反而可能打亂已經在運作的工作流程，甚至引發另一場混亂。
那麼，企業該如何重新掌握主導權？ 專家建議，治理的核心不在於全面封鎖，而是設定優先順序。 企業應該先從最不希望失去控制的核心系統做起。 像是會接觸客戶資料、財務流程、程式碼以及正式環境系統的 AI 工具，必須優先納入管理。 先釐清負責人是誰、清查權限、收回不必要的存取資格，並建立定期審查機制，才是保護企業資安最接地氣的作法。
[ 文章來源：Shadow AI 安全威脅難防，企業重要系統需優先納入治理 ]
