Спросите любую команду, пользуется ли она ИИ на работе, и большинство ответит да. Спросите ИТ-отдел, какими именно инструментами и учетными записями, и часто в ответ тишина. У этого разрыва есть название: теневой ИИ (shadow AI). В 2026 году он стал одним из самых частых факторов утечек данных.
Что говорят данные
ИИ на работе стал нормой. По отчету Verizon 2026 года, 45% сотрудников регулярно пользуются ИИ, годом раньше было 15%. А 67% тех, кто пользуется ИИ на рабочих устройствах, делают это с личных, а не корпоративных учетных записей.
Теневой ИИ почти в половине взломов. Отчет IBM Cost of a Data Breach 2026 нашел неодобренный ИИ в 43% изученных взломов, годом раньше в 20%. Взломы с теневым ИИ стоили в среднем 5,39 млн долларов.
Контроля не хватает. Доля взломов, связанных с ИИ, выросла до 21% с 13%. Из компаний, переживших такой взлом, у 92% не было должного контроля доступа к ИИ. А у 68% вообще не было правил использования ИИ.
Взломы дорожают и длятся дольше. Средняя стоимость взлома в мире достигла рекордных 4,99 млн долларов, на 12% больше. Чтобы обнаружить и остановить взлом, в среднем понадобилось 247 дней.
Почему запрет ИИ не работает
Когда компания запрещает ИИ, люди не перестают им пользоваться. Они переходят на телефон или личную учетную запись, и компания теряет даже ту небольшую видимость, которая у нее была. Ответ противоположный: дайте людям хороший инструмент и установите для него четкие правила.
Пять правил, которые работают
- Предложите одобренный инструмент. Выберите одного-двух ИИ-ассистентов с корпоративными учетными записями, чтобы данные компании оставались под договорами компании.
- Определите, какие данные можно вводить. Данные клиентов, договоры, финансы и персональные данные: для каждого четкое да или нет. Уместите это на одну страницу.
- ИИ должен видеть только то, что видит человек. Ассистент, подключенный к системам компании, должен получать права доступа пользователя, а не ключ от всего.
- Ведите учет. Знайте, какие инструменты подключены, кто ими пользуется и к чему у них есть доступ. Пересматривайте это каждый квартал.
- Сначала научите, потом проверьте. Полчаса о том, что безопасно вставлять в чат, дадут больше, чем правила на 20 страниц, которые никто не читает.
С чего начать
Начните с карты: какие инструменты ИИ используются, с какими учетными записями и с какими данными. ИТ-аудит даст вам эту карту, риски, упорядоченные по важности, и план, который утвердит руководство, с проверкой на соответствие GDPR там, где это важно.
Источники: IBM Cost of a Data Breach Report 2026; цифры по сводке Baker Donelson; Verizon 2026 DBIR по Help Net Security.