Ngày càng nhiều nhân viên sử dụng các công cụ AI như trợ lý viết, tóm tắt tài liệu hay phân tích dữ liệu trong công việc hằng ngày. Điều này mang lại năng suất rõ rệt — nhưng cũng mở ra một hướng rò rỉ dữ liệu mà nhiều doanh nghiệp chưa kịp kiểm soát.
"Shadow AI" là gì?
"Shadow AI" chỉ việc nhân viên sử dụng các công cụ AI cá nhân, chưa được bộ phận CNTT phê duyệt hoặc giám sát, để xử lý dữ liệu công việc. Ví dụ điển hình: dán nội dung hợp đồng vào một chatbot AI miễn phí để nhờ tóm tắt, hoặc tải báo cáo tài chính lên một công cụ phân tích AI bên thứ ba.
Vấn đề không nằm ở bản thân công cụ AI, mà ở việc dữ liệu nhạy cảm rời khỏi phạm vi kiểm soát của doanh nghiệp mà không qua bất kỳ bước rà soát nào — tương tự như việc gửi tài liệu mật cho một bên thứ ba không xác định.
Vì sao bảo mật mạng truyền thống không đủ
Các biện pháp bảo mật truyền thống — tường lửa, kiểm soát thiết bị, quản lý danh tính — được thiết kế để bảo vệ ranh giới mạng của doanh nghiệp. Nhưng khi một nhân viên dán nội dung tài liệu vào ô chat của một công cụ AI chạy trên trình duyệt, dữ liệu đã rời khỏi ranh giới đó theo cách hợp lệ về mặt kỹ thuật — không có phần mềm độc hại, không có xâm nhập trái phép. Đây chính là khoảng trống mà bảo mật lấy dữ liệu làm trung tâm hướng tới giải quyết.
Doanh nghiệp có nên cấm dùng AI không?
Cấm hoàn toàn không thực tế và khiến nhân viên tìm cách "lách" quy định, gây khó kiểm soát hơn. Một hướng tiếp cận khả thi hơn là đặt câu hỏi rõ ràng cho từng loại tài liệu:
- Tài liệu này có được phép truy cập bởi công cụ AI không?
- Trường hợp có, những phần thông tin nhạy cảm nào cần được loại trừ hoặc che đi trước?
- Ai trong tổ chức được phép đưa ra quyết định đó?
Việc trả lời được những câu hỏi này cho từng tài liệu — thay vì áp dụng một chính sách chung cho tất cả — là hướng tiếp cận mà nền tảng như Sản phẩm hỗ trợ: chính sách gắn với từng tệp tin, cho phép doanh nghiệp quyết định tài liệu nào sẵn sàng cho AI xử lý và tài liệu nào cần được giữ lại.
Bước tiếp theo
Khi doanh nghiệp của bạn đang ứng dụng AI vào vận hành nhưng chưa có chính sách rõ ràng về dữ liệu được phép đưa vào các công cụ này, đây là một điểm nên đưa vào bài đánh giá tuân thủ hoặc trao đổi trực tiếp với đội ngũ AISA về giải pháp Secure AI.
