Shadow AI: где заканчивается использование ИИ и начинается риск для компании

Сегодня только ленивый не попробовал ChatGPT, DeepSeek или еще один ИИ-сервис, о котором неделю назад никто не слышал. Сотрудники пишут с их помощью письма и отчеты, генерят картинки для соцсетей, вайбкодят и готовятся к встречам.

И цифры показывают, насколько быстро ИИ вошел в обычную работу. По исследованию корпоративного мессенджера «Пачка» среди 798 сотрудников российских компаний, 88% уже используют ИИ, но только 24% ответили, что в их компании он внедрен официально, с понятными инструментами и правилами. При этом 58% пользователей ИИ решают рабочие задачи через личные аккаунты. Там, где внедрение идет централизованно, эта доля заметно ниже: 27% против 55% в компаниях, которые ИИ пока системно не внедряли. Авторы исследования отдельно отмечают, что в выборке повышена доля цифровых команд, поэтому значения стоит воспринимать как верхнюю оценку.

Получается довольно характерная картина: сотрудники уже нашли инструменты, встроили их в свои процессы и начали использовать для рабочих задач. А корпоративные правила во многих случаях только догоняют эту практику.

ИБ это тоже видит. По исследованию К2 Кибербезопасность и «Лаборатории Касперского» среди более 200 крупных российских организаций, 61% компаний стремятся контролировать использование сотрудниками сторонних ИИ-сервисов, но формализованные политики и технический контроль реализованы только у 29%. При этом четверть компаний уже относят безопасность ИИ к пяти главным приоритетам, а доля организаций с управляемыми процессами безопасности ИИ составляет всего 18%.

И речь уже не только о потенциальных рисках. В июле 2026 года 20% организаций из выборки «Информзащиты», столкнувшихся с утечками, хотя бы частично связали их с использованием ИИ-инструментов вне утвержденных процессов и контроля ИБ. В выборке расследований за 2025 год таких случаев было около 12%.

При этом сам по себе ИИ не становится проблемой.

Сотрудник, который использует согласованный корпоративный сервис для подготовки текста, не создает Shadow AI только фактом обращения к нейросети. И чаще всего никто не пытается специально нарушать правила компании: человеку просто нужно быстрее закрыть рабочую задачу.

Проблема начинается в другом месте.

Корпоративный ИИ-ассистент компания согласовала. А новый чат-бот, который сотрудник нашел вчера? Личный аккаунт в DeepSeek? Расширение в браузере? ИИ-помощник разработчика? Агент, которому кто-то уже дал доступ к репозиторию или рабочей почте?

Знают ли ИТ и ИБ обо всех этих инструментах, понимают ли, какие данные они получают, и соответствует ли их использование корпоративной политике?

Если нет, появляется Shadow AI, или теневой ИИ.

ИИ в компании уже есть. Вопрос в том, какой именно

Сам по себе факт использования ИИ давно не выглядит чем-то подозрительным. Более того, попытка считать любое обращение к ChatGPT или другому ИИ-сервису потенциальным инцидентом быстро приведет ИБ в тупик.

Граница проходит не между «ИИ используется» и «ИИ не используется». Она проходит между управляемым и неуправляемым использованием.

Если компания выбрала сервис, оценила его с точки зрения безопасности, определила допустимые сценарии и типы данных, выдала корпоративные аккаунты и установила правила, это обычный рабочий инструмент.

Shadow AI возникает, когда ИИ-инструмент появляется вне этой системы. Сотрудник сам выбирает сервис, подключает его к рабочему процессу, передает корпоративные данные или предоставляет доступ к внутренним ресурсам, а ИТ и ИБ об этом не знают либо не согласовывали такой сценарий.

При этом разные исследования могут использовать более узкие определения. Например, под теневым ИИ иногда понимают прежде всего использование личных ИИ-аккаунтов для рабочих задач. В ИБ-контексте проблема шире: за пределами контроля могут оказаться не только личные аккаунты и публичные чат-боты, но и расширения, API, модели и агенты.

Поэтому для CISO правильный вопрос сегодня звучит: «Какими именно ИИ они пользуются, что ему передают и находится ли это использование в рамках нашей политики?»

Shadow AI уже не ограничивается чат-ботами

Первый сценарий, который приходит в голову, довольно простой: сотрудник скопировал внутренний документ в ChatGPT и попросил сделать краткую выжимку.

Но сегодня теневой ИИ этим уже не заканчивается. За пределами корпоративной политики могут оказаться самые разные инструменты:

• Публичные чат-боты и личные аккаунты. ChatGPT, DeepSeek, Claude, Gemini, Perplexity и десятки менее известных сервисов. В них сотрудники могут загружать договоры, внутренние документы, клиентские данные, финансовые таблицы, фрагменты кода или переписку, не проверяя условия обработки данных и настройки конкретного аккаунта.
• Расширения и ИИ-функции внутри привычных рабочих приложений. Ассистенты для почты и браузера, расшифровки встреч, подготовки документов, работы с CRM и корпоративными базами знаний. Такие инструменты могут получать доступ к содержимому страниц, писем, встреч и документов, при этом сотрудник не всегда воспринимает их как отдельный внешний ИИ-сервис.
• Coding assistants, сторонние модели и самостоятельно подключенные API. Разработчики могут использовать ИИ для генерации и проверки кода, анализа логов и поиска ошибок, подключать внешние модели напрямую через API. В результате внешний сервис может получать исходный код, конфигурации, описание инфраструктуры, фрагменты логов и другие внутренние данные. Отдельная проблема — API-ключи, токены и самостоятельно созданные интеграции, которые ИБ не учитывает.
• Локально запущенные ИИ-инструменты. То, что модель работает на устройстве сотрудника, еще не делает сценарий автоматически безопасным. Пользователь может самостоятельно скачать модель, установить интерфейс, подключить плагины или внешние MCP-серверы и дать им доступ к локальным файлам и корпоративным ресурсам. В результате в инфраструктуре появляется еще один неучтенный инструмент с неизвестной конфигурацией и правами.
• ИИ-агенты с доступом к корпоративным системам. Агенту могут дать доступ к почте, CRM, репозиториям, облачной инфраструктуре, базе знаний или внутренним API. В отличие от чат-бота, он способен не только обрабатывать информацию, но и выполнять действия: отправлять сообщения, менять данные, запускать процессы или обращаться к другим системам. Поэтому здесь особенно важны владелец агента, его права и набор доступных операций.

Причем иногда сотруднику даже не приходится сознательно выбирать «еще одну нейросеть». ИИ-функции постепенно встраиваются в браузеры, редакторы, сервисы для встреч, почту, CRM и другие продукты, которыми компания уже пользуется.

В результате Shadow AI все больше напоминает классический Shadow IT, только развивается значительно быстрее. Новый SaaS-сервис нужно было найти, зарегистрироваться в нем и перенести туда часть рабочего процесса. ИИ-инструмент сегодня можно встроить в привычную работу за несколько минут.

Особенно хорошо это видно на примере разработки. Инженеру достаточно установить coding assistant или получить API-ключ, чтобы внешняя модель начала участвовать в работе с кодом. Для разработчика это способ быстрее решить задачу. Для ИБ сразу возникает другая цепочка вопросов: какой код получает сервис, к каким репозиториям имеет доступ инструмент, где хранятся токены и кто согласовал эту интеграцию.

А затем в эту картину добавляются ИИ-агенты.

ИИ-агенты меняют модель риска

С чат-ботом взаимодействие относительно понятно: человек задает вопрос, сервис формирует ответ. Агент способен работать иначе. Он может получить задачу, а затем самостоятельно выполнить цепочку действий: обратиться к API, прочитать файл, найти информацию, изменить код или взаимодействовать с корпоративной системой.

Поэтому с агентами вопрос «Что сотрудник отправил в ИИ?» уже недостаточен. Появляется новый: «Что самому ИИ разрешили делать?»

Если агент получил доступ к корпоративной почте, репозиторию, базе знаний или облачной инфраструктуре, он фактически становится еще одним субъектом внутри ИТ-среды. У него появляются полномочия, учетные данные, доступные ресурсы и определенная зона действий. И все это тоже может оказаться вне нормального процесса согласования.

Крупные ИБ-вендоры уже выделяют проблему неуправляемых агентов отдельно. Microsoft, например, описывает agent sprawl как ситуацию, когда количество агентов быстро растет, а часть из них остается вне видимости и управления ИТ. Локальные агенты при этом могут читать файлы, выполнять код, обращаться к чувствительным данным и действовать с выданными им разрешениями.

Отсюда меняется и сама логика учета. Для обычного ИИ-сервиса компании важно понимать, разрешен он или нет и какие данные допустимо ему передавать. Для агента к этому добавляются владелец, назначение, права, доступные системы и действия, которые он способен выполнять.

Фактически к агентам приходится применять знакомые ИБ-принципы: идентифицировать их, назначать ответственного и ограничивать права только теми, которые действительно необходимы для выполнения задачи.

Почему Shadow AI вообще опасен

Самая очевидная проблема — утечки. Но сводить все риски к сценарию «сотрудник загрузил договор в ChatGPT» было бы слишком просто.

Корпоративные данные уходят туда, куда компания их не планировала отправлять

Договор, финансовые данные, клиентская переписка, исходный код или чувствительные персональные данные могут оказаться во внешнем сервисе за несколько секунд.

При этом никакой классической атаки не происходит.

Никто не взламывает учетную запись, не устанавливает вредоносное ПО или обходит средства защиты. Легитимный пользователь самостоятельно передает информацию легитимному сервису, потому что это помогает ему быстрее выполнить рабочую задачу.

Именно поэтому такой сценарий одновременно банален и неудобен для ИБ.

Компания не контролирует, что происходит с данными дальше

Если сервис прошел корпоративную проверку, организация может заранее оценить условия обработки и хранения данных, настройки конфиденциальности, требования к аккаунтам, юрисдикцию и другие параметры. Если сотрудник нашел инструмент самостоятельно, этой проверки могло не быть вообще.

Тогда вопросы появляются уже постфактум: что туда загрузили, где информация обрабатывалась, под каким аккаунтом работал сотрудник, какие настройки использовал и соответствовало ли это внутренним требованиям.

Появляются неизвестные подключения и полномочия

С агентами, API и интеграциями риск выходит за пределы передачи данных. ИИ-инструмент может получить API-ключ, OAuth-токен, доступ к репозиторию, корпоративной почте или другому внутреннему ресурсу. И тогда контролировать приходится уже не только информацию, но и полномочия.

Чем автономнее инструмент, тем важнее знать, от чьего имени он действует, какие операции ему доступны и насколько его права соответствуют реальной задаче.

Неизвестный контур сложнее расследовать

Допустим, ИБ уже обнаружила последствия: утечку, компрометацию токена или подозрительную активность.

Теперь нужно восстановить цепочку. Какой ИИ-инструмент использовался? Через корпоративный или личный аккаунт? Какие данные ему передавали? Были ли подключены сторонние API? Какие агенты имели доступ к системе?

Если сам инструмент никогда не попадал в поле зрения ИТ и ИБ, расследование начинается с поиска того, что вообще было частью инфраструктуры в момент инцидента.

Поэтому одна из ключевых проблем Shadow AI заключается не только в новых рисках как таковых. Это еще и потеря видимости реальной картины использования ИИ.

Так может, просто запретить ChatGPT?

Можно. Только проблема от этого вряд ли исчезнет.

Во-первых, ChatGPT сегодня всего лишь один из множества ИИ-инструментов. Пока компания ограничивает несколько известных сервисов, появляются новые чат-боты, специализированные модели, расширения, приложения и агенты.

Во-вторых, сотрудник использует ИИ не ради самого ИИ. Ему нужен результат: быстрее написать код, разобрать таблицу, подготовить письмо или обработать документ.

Если компания закрывает удобный инструмент, но не предлагает альтернативу, потребность никуда не исчезает.

Часть пользователей перейдет на разрешенный сервис. А часть найдет другой инструмент, личный аккаунт или способ использования, который ИБ увидит еще хуже.

Исследование К2 Кибербезопасность и «Лаборатории Касперского» хорошо показывает эту дилемму: 61% компаний хотят контролировать использование сторонних ИИ-сервисов, но только 24% выбирают прямую блокировку доступа. Одного запретительного подхода рынку уже явно недостаточно.

Получается неприятный парадокс: тотальный запрет может уменьшить не сам Shadow AI, а видимость его использования. Поэтому задача здесь не сводится к выбору между «разрешить все» и «запретить все». Гораздо полезнее сделать использование ИИ управляемым.

Что делать CISO: сначала правила, потом контроль

Начинать стоит не с очередного технического средства, а с более фундаментального вопроса: что именно компания считает допустимым использованием ИИ?

Без этого невозможно определить и отклонение от политики.

Компания должна решить, какие сервисы можно использовать, для каких задач, какие данные допустимо передавать внешним моделям и когда требуется корпоративная учетная запись. Для разработчиков могут действовать отдельные требования к работе с кодом и API, а для агентов понадобится собственная процедура согласования прав и интеграций.

Причем простой схемы «разрешено / запрещено» может быть недостаточно.

Один сервис можно открыть для всей организации. Другой только для определенного подразделения. Третий использовать для открытых данных, но не для внутренних документов. Агенту можно разрешить читать информацию, но не изменять ее.

То есть вместо одного большого запрета появляется несколько уровней доверия и разные политики для разных сценариев.

Следующий этап — проверить, насколько официальная картина совпадает с реальной.

Компания может считать, что сотрудники работают с тремя утвержденными ИИ-инструментами. Но есть ли параллельно другие чат-боты, расширения, API, coding assistants, локальные модели и агенты?

Именно здесь начинается работа с Shadow AI: не с подсчета того, сколько людей вообще используют нейросети, а с поиска разрыва между тем, что компания разрешила, и тем, что происходит на самом деле.

Одного средства защиты здесь не будет

Даже когда используемые ИИ-инструменты известны, остается еще одна важная вещь: разрешенный сервис не означает, что в него разрешено передавать любые данные.

Поэтому контроль Shadow AI находится на пересечении нескольких задач.

DLP может отвечать за содержание передаваемой информации. Средства управления идентификацией и доступом помогают контролировать аккаунты и полномочия. Endpoint-контроль дает видимость локальных инструментов. Сетевой уровень позволяет фиксировать обращения к внешним ресурсам и применять политики доступа.

Для агентов к этому добавляется управление их идентификацией, правами и жизненным циклом.

На практике CISO приходится выстраивать целую систему:

• определить допустимые сценарии использования ИИ;
• инвентаризировать фактически используемые сервисы и агентов;
• выявлять инструменты, которые оказались вне утвержденной политики;
• контролировать данные, доступы и полномочия;
• регулярно пересматривать правила по мере изменения ИИ-ландшафта.

Звучит менее эффектно, чем кнопка «запретить весь ИИ». Зато гораздо ближе к реальной задаче.

Не запрещать ИИ, а сделать его использование управляемым

Shadow AI возникает не из-за самого факта использования искусственного интеллекта и не обязательно связан с намеренным нарушением требований безопасности. Во многих компаниях сотрудники начинают применять новые инструменты быстрее, чем ИТ и ИБ успевают оценить их, включить в корпоративные процессы и сформировать правила работы с ними.

Поэтому ключевая задача ИБ-команды заключается не в полном запрете внешних ИИ-сервисов, а в том, чтобы сделать их использование прозрачным и управляемым.

Для этого недостаточно знать, что сотрудники работают с ИИ. Необходимо понимать, какие именно сервисы, модели и агенты используются, какие из них согласованы, какие данные они получают, к каким корпоративным ресурсам имеют доступ и где фактическое использование выходит за рамки установленной политики.

Такой подход смещает фокус с самого факта применения ИИ на сценарии, которые действительно требуют внимания ИБ: неутвержденные сервисы, передача чувствительных данных, неизвестные интеграции и агенты с избыточными полномочиями.

При этом Shadow AI нельзя закрыть одним классом средств защиты. Контроль требует сочетания организационных политик, защиты данных, управления идентификацией и правами, инвентаризации ИИ-инструментов и видимости сетевой активности.

Следующий этап после формирования такой модели — понять, насколько фактическое использование ИИ ей соответствует. В отдельном материале мы разберем роль DNS в этой задаче: какие обращения к ИИ-сервисам можно выявлять на DNS-уровне, как использовать эту информацию при реализации корпоративных политик и где проходят границы возможностей DNS Security в контроле Shadow AI.