Shadow AI a munkahelyen
Hogyan használják az alkalmazottaid a ChatGPT-t anélkül, hogy tudnál róla — és miért vezető szintű kockázat ez
- AI Körkép
Az alkalmazottaid már használják az AI-t munkájuk során — csak azt nem hagytad jóvá, hogyan teszik ezt. 15+ évnyi adat- és AI-projekt tapasztalata alapján szinte minden ügyfelünknél ugyanazt a mintát látjuk: az ellenőrizetlen AI-használat már nem IT-probléma. Olyan vezetői döntés, amelyet a legtöbb helyen nem tudatosan hoznak meg.
Ha tovább olvasod részletesen megtudhatod, hogy…
- Az alkalmazottak 38%-a osztott meg érzékeny munkahelyi adatokat AI-eszközökkel engedély nélkül (IBM, 2025).
- A shadow AI-hoz köthető adatvédelmi incidensek átlagosan ~670 000 dollárral növelik az incidensenként felmerülő költségeket (IBM Cost of a Data Breach 2025).
- A blokkolás nem működik — a használat átkerül a személyes eszközökre és a vállalati hálózaton kívülre.
- Ami tényleg működik: az igény elismerése, szabályozott alternatívák biztosítása, oktatás és egyértelmű felelősség kijelölése.
Nemrég egy pénzügyi igazgató mesélte, hogy az egyik elemzője beillesztette a negyedéves kontrolling-riport tervezetét a ChatGPT-be, hogy összefoglalót kérjen belőle. A riport partneri szintű margin-adatokat tartalmazott. Ami a cégen belül bizalmas volt, az most egy külső szerveren ült — az elemző pedig azt hitte, hogy semmi különöset nem csinált.
Ez a Shadow AI — alkalmazottak jóváhagyás vagy felügyelet nélkül használnak AI-eszközöket. Nem rosszindulatból. Hanem mert gyorsabban szeretnének haladni, mint amennyire a belső rendszerek ezt lehetővé teszik. És ez már korántsem szélsőséges eset: az IBM 2025-ös Cost of a Data Breach jelentése szerint a shadow AI-hoz köthető adatvédelmi incidensek átlagosan 670 000 dollárral emelik meg incidensenként a teljes költségét; a McKinsey State of AI 2025 kutatása pedig azt mutatja, hogy miközben a szervezetek 88%-a már használ AI-t legalább egy területen, csupán körülbelül minden harmadiknak van bármilyen érdemi szabályozása erre vonatkozóan.
A valódi probléma nem az, hogy az alkalmazottak AI-t használnak. Az a baj, hogy a szervezetnek nincs rálátása arra, hogy hogyan, mire és milyen adatokkal. Ahol a vezetés nem lát, ott nem is tud dönteni.
Hogyan terjed a shadow AI a szervezeteken belül
A Shadow AI nem a szabályok megszegéséből nő ki. Abból nő, hogy az emberek el akarják végezni a munkájukat, a belső rendszerek pedig lassabbak, mint a pár kattintással elérhető alternatívák.
Egy tipikus mintát látunk szinte minden közepes és nagy ügyfélnél, amikor elvégezzük a vizuális működési diagnosztikát: egy marketinges a ChatGPT-t kéri szövegjavaslatokra, egy fejlesztő külső AI-asszisztenssel tesztel kódrészleteket, a jogi csapat pedig GPT-vel foglalja össze a negyven oldalas szerződéseket. Egyenként egyik sem katasztrofális. Együtt azonban egy párhuzamos, láthatatlan AI-réteget alkotnak, amely a vállalat mellett fut — leltár, kontrollok és kockázati térkép nélkül.
Mi hajtja a terjedést
Négy erő gyorsítja ezt, és ritkán jelennek meg egyedül. Alacsony belépési küszöb — a legtöbb AI-eszköz elérhető egy személyes e-mail-fiókkal, közbeszerzés, jóváhagyás és várakozás nélkül. Azonnali produktivitás — ami korábban órákat vett igénybe, most percek alatt megvan. Lassú belső folyamatok — mire az IT kiértékel egy eszközt, a csapat már továbblépett valami másra. És a tudatosság hiánya — a legtöbb alkalmazott nem tudatosan szegi meg a szabályokat. Egyszerűen nem veszi észre, hogy figyelmen kívül hagyja őket.
Mit jelent a shadow AI a gyakorlatban
A Shadow AI nem egyetlen eszköz. Egy használati kategória — és sokkal szélesebb, mint amennyit a legtöbb vezetői csapat feltételez.
Amikor először feltérképezzük a helyzetet egy ügyfélnél, jellemzően öt visszatérő formát találunk. Nagy nyelvi modellek személyes fiókokból — a ChatGPT, Claude, Gemini, Copilot vállalati előfizetés nélkül kerül használatba, és a bevitt adatokat külső szerverek dolgozzák fel, sőt akár tanításra is felhasználhatják őket. AI kódolási asszisztensek — a GitHub Copilot, Cursor, Tabnine felügyelet nélküli környezetben fut, és gyakran céges forráskódhoz csatlakozik. Képgeneráló eszközök — a Midjourney, DALL·E és az Adobe Firefly általában a marketing vagy a design vezeti be, governance nélkül. Produktivitási és összefoglaló eszközök — az Otter.ai, Notion AI, Perplexity, böngészőbővítmények megbeszélésjegyzeteket, belső dokumentumokat és kutatási kérdéseket dolgoznak fel. Végül speciális AI-megoldások — jogi dokumentumelemzők, pénzügyi előrejelző eszközök, HR-szűrő rendszerek — amelyeket általában egyetlen csapat vezet be IT-bevonás nélkül.
Ezek többsége elsőre nem tűnik kockázatosnak: egy egyszerű hatékonyságnövelő, egy elszigetelt felhasználási eset, egy egyéni döntés. De ha összeadjuk az egész szervezet AI-használatát, már nem egyéni döntéseket látunk — hanem egy elosztott infrastruktúrát. Olyat, amely úgy viselkedik, mint egy IT-rendszer, csak éppen nincs gazdája.
Milyen kockázatokat jelent valójában a shadow AI
A kockázat nem elméleti. Az elmúlt időszakban, amikor egy-egy fókuszált felmérés keretében végigjártuk az ügyfelek AI-használatát, minden esetben találtunk legalább egy olyan pontot, ahol a szervezetnek már kára keletkezett — csak még nem tudott róla. Öt kockázati kategóriát érdemes külön kezelni, mert ezek nagyon eltérő szinteken csapódnak le.
1. Adatvédelem és GDPR-kitettség
Ha egy munkatárs érzékeny adatot illeszt be egy külső AI-eszközbe, az adat elhagyja a szervezet kontrollált környezetét — és tartalmazhat ügyféladatot, személyes adatot vagy belső üzleti információt. Sok esetben harmadik fél szerverén dolgozzák fel, és akár tanításra is felhasználhatják. Ez közvetlen GDPR-kockázat — a munkatárs általában fogalmával sincs róla. Az ő szemszögéből csak egy összefoglalót kért.
2. Szellemi tulajdon kiszivárgása
Forráskód, termék-roadmap, árazási stratégia — ezek alapvető vállalati értékek. Ha felügyelet nélküli AI-eszközökkel osztják meg őket, a titkosság egyszerűen megszűnik. Már vannak dokumentált esetek arra, hogy fejlesztők AI-asszisztenseken keresztül szivárogtattak ki céges kódot. Ez nem hipotetikus kockázat. Már zajlik — a legtöbb cég csak még nem vette észre, hogy náluk is.
3. Megfelelési és auditálási hiányosságok
Szabályozott iparágakban — pénzügyi szolgáltatások, biztosítás, egészségügy — a nyomon követhetőség nem opcionális. A Shadow AI közvetlenül ezt ássa alá: a döntések nem kerülnek megfelelően dokumentálásra, a kimenetek nem auditálhatók, a folyamatok nem reprodukálhatók. Az egyik ügyfelünknél egy pénzügyi felügyeleti hatóság egy ellenőrzés során explicit módon rákérdezett, hogy milyen AI-eszközöket használnak a kontrollingban. A válasz megadásához háromhetes belső vizsgálat kellett — és még az is hiányos maradt.
4. Felelősség és jogi kockázat
Ha egy AI által generált kimenet hibás döntéshez vezet, ki a felelős? Jóvá nem hagyott eszköz esetén nincs meghatározott tulajdonos, nincs validációs folyamat, nincs egyértelmű felelősségi lánc. Ez jogi és reputációs kitettséget jelent egyszerre — és minél tovább növekszik kontroll nélkül, annál nehezebb visszafordítani.
5. Következetlen minőség és hallucinációk
Governance nélkül a szervezetnek nincs rálátása arra, milyen AI-kimeneteket használnak, mennyire pontosak, és hol épülnek be döntésekbe. A legveszélyesebb helyzet nem az, amikor valaki észreveszi, hogy az AI tévedett. Hanem az, amikor senki sem veszi észre — és egy hibás kimenet bekerül egy vezetői anyagba, egy ügyfél-kommunikációba vagy egy ajánlatba.
A Shadow AI lényege, hogy kontrollálatlan és nem teljesen értett döntési inputokat enged be a szervezetbe. És ez az a pont, ahol már nem technikai probléma — hanem vezetői.
Valójában milyen széleskörű ez a jelenség
A Shadow AI-t gyakran peremjelenségként kezelik. A számok mást mutatnak. Az IBM adatai szerint a munkavállalók 38%-a bevallotta, hogy engedély nélkül osztott meg érzékeny munkahelyi információt AI-eszközökkel. Egy Gartner-tanulmány szerint a munkavállalók 68%-a használ IT-jóváhagyás nélküli AI-eszközöket. Az Ivanti kutatása szerint az irodai dolgozók 46%-a — beleértve az IT-szakembereket is, akik ismerik a kockázatokat — olyan AI-eszközöket használ, amelyeket a munkáltatójuk nem biztosított. A McKinsey 2025-ös AI-jelentése pedig azt mutatja, hogy bár a használat szinte általánossá vált, csak a szervezetek körülbelül egyharmada kezdte el megfelelő governance-szel skálázni az AI-t — a többiek még mindig abban vannak, amit McKinsey „pilot purgatóriumnak” nevez.
Ezek a számok önmagukban is aggasztók. Együtt egy strukturális mintát rajzolnak ki: az AI-adoptáció alulról felfelé történik, nem felülről lefelé. A láthatóság elmarad a tényleges használattól. A governance lemarad a viselkedéstől. Vagyis a legtöbb szervezet már nem arról dönt, hogy bevezesse-e az AI-t — hanem már a következményeivel él.
Mit tesznek a vállalatok — és mi az, ami nem működik
A reakciók jellemzően néhány kiszámítható mintába esnek. A gond az, hogy ezek többsége a tüneteket kezeli, nem az okot.
Hozzáférés blokkolása
A leggyorsabb reakció: blokkolják a népszerű AI-eszközöket a céges hálózaton. Papíron csökken a kockázat. A gyakorlatban a használat általában személyes eszközökre, otthoni hálózatokra és mobiltelefonokra vándorol. Az igény nem tűnik el — csak kevésbé láthatóvá válik. Láttunk olyan ügyfeleket, ahol a ChatGPT-használat mérhetően nőtt a blokkolás után — csak éppen már nem a céges hálózaton jelent meg.
AI-szabályzatok
Egy strukturáltabb válasz: dokumentumba foglalják, mely eszközök engedélyezettek, milyen adatokkal, milyen célokra. Ez szükséges lépés — de önmagában nem változtat viselkedésen, főleg ha nincsenek mellette gyakorlati alternatívák. A szabályzat egy mappában tárolt PDF marad.
Jóváhagyott eszközlisták
Pragmatikusabb megközelítés: kiválasztanak néhány ellenőrzött AI-eszközt, és elérhetővé teszik őket. Ez legitimálja a valós felhasználási eseteket, csökkenti az árnyékhasználatot, és kontrollált környezetet teremt — ha a jóváhagyott eszközök valóban fedik azt, amire az embereknek szükségük van. Ha nem, a munkavállalók csendben visszatérnek a külsőkhöz.
Governance-keretrendszerek
Az érettebb szervezetek tovább mennek: meghatározott szerepkörök és felelősségek, értékelési és jóváhagyási folyamat, folyamatos használatfigyelés. Itt válik az AI ad-hoc tevékenységből menedzselt képességgé. Ezt nem lehet belső körlevéllel elindítani — strukturált felmérés és valódi módszertan kell hozzá.
A közös hiányosság mindegyikben az, hogy az AI-használatot úgy próbálják kontrollálni, hogy nem értik meg, miért fordultak a munkavállalók a Shadow AI-hoz egyáltalán — ha nem kezelik az okot, még a jó szándékú intézkedések is megakadnak.
Mi az, ami tényleg működik
A tapasztalatunk szerint a leghatékonyabb megközelítés nem a korlátozás — hanem a kontrollált adoptáció. Az AI-használat megszüntetésére törekedni rossz csatát jelent. Az igény már ott van. Az egyetlen valódi kérdés az, hogy menedzselt keretek között zajlik-e, vagy a shadows-ban marad.
Azoknál a szervezeteknél, amelyek ezt jól kezelik, ugyanaz az öt elem tér vissza. Először is elismerik az igényt — a munkavállalók nem kíváncsiságból kísérleteznek AI-val, hanem valós problémákat oldanak meg: időt spórolnak, javítják a munka minőségét, megszabadulnak az ismétlődő feladatoktól. Ezt az igényt figyelmen kívül lehet hagyni, de nem tűnik el — csak elvész belőle a láthatóság. Másodszor biztonságos, jóváhagyott alternatívákat biztosítanak — ha a csapatoknak hozzáférésük van egy biztonságos, megfelelő és könnyen használható eszközhöz, ritkán nyúlnak külsőhöz. Egy vállalati ChatGPT-bérlő vagy egy integrált munkahelyi AI-megoldás pontosan ezt a célt szolgálja: governed AI váltja fel a Shadow AI-t.
Harmadszor inkább oktatnak, mint szabályoznak — a kockázat nagy része egyszerű tudatossági hiányból fakad, és célzott képzéssel meglepően gyorsan megszüntethető. Negyedszer felelősséget és governance-t rendelnek hozzá — ki hagyja jóvá az eszközöket, hogyan értékelik őket, és hogyan követik a használatot. Nem bürokráciaként, hanem annak eszközeként, ami az AI-használatot skálázhatóvá és biztonságossá teszi. Ötödször kontrollált kísérletezést tesznek lehetővé — sandbox környezeteket, ahol a csapatok új eszközöket tesztelhetnek, validálhatják a felhasználási eseteket, és korán felszínre hozhatják a kockázatokat. Az innováció így a szervezeten belül marad, ahelyett hogy kiáramlana belőle.
Az igazi fordulat akkor következik be, amikor a vezetés átvált a „Hogyan állítsuk meg ezt?” kérdésről a „Hogyan tegyük biztonságossá és hasznosssá?” kérdésre. Ez az, ami a Shadow AI-t rejtett kockázatból kontrollált előnnyé változtatja.
Következtetés: ez nem IT-probléma
A Shadow AI nem egy múló trend, amit egy szabályzattal vagy egy tűzfallal le lehet állítani. Az AI-eszközök a mindennapi munka részévé válnak, és a munkavállalók jóváhagyással vagy anélkül is tovább fogják használni őket. A valódi kockázat nem maga a használat — hanem az, hogy elvész a kontroll afölött, ahogyan ez a használat alakítja a döntéseket, az adatfolyamokat és az üzleti eredményeket.
Ha tisztán technikai kérdésként kezelik, mindig egy lépéssel le lesznek maradva. Az eszközök blokkolása vagy szabályzatok írása rövid távon csökkenti a látható kockázatot, de nem érinti az alapvető igényt. Az előrelépő vállalatok másképp közelítik meg: elfogadják, hogy az AI már használatban van, biztonságos, jóváhagyott környezetet építenek köré, és governance-be és oktatásba fektetnek. Ott jelenik meg a versenyelőny — nem az AI kerüléséből, hanem abból, hogy skálázható és kontrollált módon használják.
Mert a végén a Shadow AI nem IT-kihívás. Vezetői döntés. Proaktívan kezelitek, vagy később szembesültök a következményeivel?
Mi a következő lépés
Ha a szervezetükben az AI-használat már elkezdett kontrollálatlanná válni, és nem egyértelmű, hol kellene elindulni, kezdjék egy strukturált felméréssel, ne egy szabályzat-tervezettel. Három belépési pont közül választhatnak, attól függően, hol tartanak most:
- Ha tudni szeretnék, hogy a konkrét AI-ötleteik egyáltalán megvalósíthatók-e, az AI Opportunity Check egy 1 hetes, fix áras szakértői értékelés: egy 2 órás workshop, 2–3 ötlet átvizsgálása, és egy írásos összefoglaló arról, mi reális, mire számíthatnak, és milyen akadályokba ütközhetnek.
- Ha szervezeti szintű AI-stratégiára van szükségük, az AI Compass Audit egy 4 hetes folyamat, amely nem egy szabályzatdokumentummal zárul, hanem konkrét cselekvési tervvel — prioritásokkal, sikerkritériumokkal, kockázatokkal. Az ár cégmérettől függ, 5.000 EUR-tól indul.
- Ha az alapprobléma az, hogy az adatok szétszórtak, a riportok nem stimmelnek, és nem látható, mit látna egyáltalán egy AI-rendszer — akkor az árnyék-AI csak tünet, nem ok. Az adatprojekt-konzultáció egy ingyenes 30 perces hívással kezdődik: együtt feltérképezzük a helyzetet, majd az Önök valós helyzetéhez igazított javaslattal folytatjuk.
Ha először csak egy beszélgetést szeretnének: 30 perces ingyenes konzultáció — megnézzük, hol tartanak, és hogy érdemes-e most lépni, vagy még nem.
Források
- Gartner. (2025). Enterprise AI governance research. Gartner. Cikk megnyitása →
- IBM. (2025). Cost of a data breach report 2025. IBM. Cikk megnyitása →
- IBM. (2025). Shadow AI research 2025. IBM Institute for Business Value. Cikk megnyitása →
- Ivanti. (2025). 2025 state of cybersecurity: Balancing risk & reward. Ivanti. Cikk megnyitása →
- McKinsey & Company. (2025). The state of AI in 2025: Agents, innovation, and transformation. McKinsey. Cikk megnyitása →
Fekszi Csaba
Fekszi Csaba informatikai szakértő, több mint két évtizedes tapasztalattal az adatmérnökség, a rendszerarchitektúra és az Mesterséges Intelligencia alapú folyamatoptimalizálás területén. Munkájának középpontjában olyan skálázható megoldások tervezése áll, amelyek mérhető üzleti értéket teremtenek.
Kapcsolódó cikkek
Amit a vállalati döntéshozóknak érteniük kell a skálázás előtt
Miért akad el olyan sok AI-projekt — és hogyan léphetsz végre túl a pilot fázison
Biztos benne, hogy az AI a megfelelő következő lépés?
Segítünk feltárni a valódi lehetőségeket, korlátokat és a reális következő lépéseket.