Varjo-IT:ksi kutsutaan ilmiötä, jossa käyttäjät käsittelevät työpaikan sovelluksia tai dataa välineillä, joista organisaatiolla ei ole tietoa. Varjo-AI tarkoittaa samaa tekoälyn osalta, ja sen riskit ovat vielä suuremmat.
Luottamuksellisen tiedon syöttäminen ChatGPT:n johti ulkoisten tekoälymallien täysikieltoon Samsungilla – kumottiin vasta kesällä 2026
Jo keväällä 2023 uutisoitiin, kuinka Samsungin puolijohdeyksikön insinöörit olivat syöttäneet luottamuksellista tietoa ChatGPT:hen.
Tapauksia oli kolme:
Tietokannan lähdekoodi: Työntekijä kopioi puolijohteiden valmistusprosessiin liittyvää lähdekoodia ChatGPT:n etsiessään korjausta ohjelmointivirheeseen.
Toisessa vastaavassa tapauksessa työntekijä syötti toisen sovelluksen lähdekoodia ChatGPT:n pyytääkseen tekoälyä optimoimaan sen.
Kokousnauhoitteet: Kolmannessa tapauksessa työntekijä käytti tekoälyä luodakseen pöytäkirjan yrityksen sisäisestä kokouksesta syöttämälle sille kokouksen litteroinnin.
Tapaus johti ulkoisten tekoälyratkaisujen täyskieltoon yrityksessä ja Samsungin oman tekoälyn lanseeraamiseen. Kielto kumottiin vasta kesäkuussa 2026, kun se todettiin toimimattomaksi strategiaksi, ja organisaatio löysi keinot tekoälyn hallittuun käyttöön.
Sosiaalivakuutusviraston työntekijät syöttivät salassa pidettäviä henkilötietoja Googlen kääntäjään Ruotsissa – tapaus päätyi syyttäjälle
Tämän vuoden syyskuussa uutisoitiin Ruotsin sosiaalivakuutusvirasto Förskringskassanin vieneen kahden työntekijänsä toiminnan syyttäjän käsittelyyn näiden käännettyä asiakirjoja Googlen kääntäjällä ilman, että henkilötietoja oli ensin poistettu.
Ruotsin lainsäädännön mukaan henkilötietojen paljastamisesta voi seurata jopa vankeutta. Tässä tapauksessa epäillään kuitenkin tahallisen teon sijaan huolimattomuutta, mikä vaikuttaa mahdollisen rangaistuksen vakavuuteen.
Työntekijät ovat puolustuksessaan vedonneet paineeseen lisätä työtahtia ja tehokkuutta.
Varjo-AI on todellinen ongelma, vaikka sen seurauksia ei täysin tunneta
Ylläkuvattujen kaltainen tilanne voi osua kenen tahansa kohdalle. Kumpaankaan ei myöskään liity tiettävästi käyttäjien osalta minkäänlaista pahantahtoista aietta, vaan kyse on huolimattomuudesta.
Eikä huolimattomuuttakaan voi täysin laittaa käyttäjien syyksi, jos organisaatio ei ole itse luonut selkeitä toimintamalleja tekoälyn hyödyntämiseen. Jos sallittua käyttöä ei ole määritetty, ei voi ihmetellä, jos ”väärinkäyttöä” esiintyy.
Toisekseen houkutus tehostaa omaa työskentelyään on suuri sen ollessa mahdollista. Kuka leikkaisi nurmikkoakaan saksilla, jos tallissa on päältäajettava leikkuri
Mitä tekoälylle syötetylle tiedolle tapahtuu?
Jos käytössä on tekoälysovelluksen julkinen versio (ei-enterprise-versio), tieto päätyy opetusdataksi. Kerran syötettyä tietoa ei kielimallista saa pois. Vähintään kyse on siis oman datan hallinnan menetyksestä. Ja jos data sisältää henkilötietoja, puhutaan mahdollisesti GDPR-rikkomuksesta.
On olemassa myös epäsuora riski, että tarkan prompt engineeringin avulla ulkoiset käyttäjät voivat saada kaivettua tiedon esiin kielimallista.
Täyskielto ei toimi
Mutta kuten Samsungkin päätyi toteamaan, täyskielto ei ole toimiva strategia. Tekoäly mahdollistaa paljon, ja sen luova käyttö on tänä päivänä yrityksille vähintäänkin kilpailukykytekijä. Ja kun puhutaan agenttien käytöstä, sekä mahdollisuudet että riskit moninkertaistuvat.
Riskejä on kyettävä hallitsemaan. Se tapahtuu määrittämällä sallitut työvälineet ja rajaamalla ulkopuolelle ei-sallitut sekä luomalla käytännöt hallitsemaan sitä, mitä dataa AI:n käyttöön on ylipäätään mahdollista antaa.
AI:n käyttöä ei kannata missään nimessä rajoittaa liiketoiminnan kustannuksella, mutta sen turvallisen käytön varmistaminen muuttuu yhä tärkeämmäksi. Onneksi siihenkin löytyy tänä päivänä ratkaisut.
Tiedätkö sinä, miten teidän organisaatiossanne käytetään tekoälyä?
FAQ
Varjo-AI (Shadow AI) tarkoittaa tilannetta, jossa työntekijät käyttävät tekoälysovelluksia työssään ilman organisaation lupaa, valvontaa tai virallista ohjeistusta.
Suurin riski liittyy tietoturvaan ja tietosuojaan: jos julkisiin, ei-yritystason työkaluihin syötetään liikesalaisuuksia, lähdekoodia tai henkilötietoja, tiedot voivat päätyä osaksi tekoälyn opetusdataa tai vuotaa ulkopuolisille, mikä voi johtaa vakaviin GDPR- ja lainsäädäntörikkomuksiin.
Työntekijät hakevat tekoälystä keinoja tehostaa työtään ja säästää aikaa. Täyskielto johtaa usein vain siihen, että käyttö siirtyy piiloon entistä valvomattomampiin kanaviin. Samalla yritys menettää kilpailuetuaan, sillä tekoälyn suoma tuottavuushyöty jää hyödyntämättä.
Kieltämisen sijaan organisaation kannattaa tarjota turvalliset, hyväksytyt työkalut ja selkeät pelisäännöt niiden käyttöön.
Valitse turvalliset työkalut: Hanki organisaatiolle tekoälypalveluiden yritysversioita (Enterprise), joissa sopimusehdot kieltävät syötetyn datan käyttämisen mallien kouluttamiseen.
Luo selkeät pelisäännöt: Määrittele yksiselitteisesti, mitä dataa tekoälylle saa syöttää (esim. salassa pidettävän tiedon ja henkilötietojen käsittelykiellot).
Kouluta henkilöstö: Varmista, että työntekijät ymmärtävät työkalujen toimintaperiaatteet ja osaavat hyödyntää tekoälyä tehokkaasti ilman tietoturvariskejä.
