# Skygge-AI: Den skjulte risiko ved uautoriseret brug af ChatGPT, Copilot og Gemini > Skygge-AI, den uautoriserede brug af offentlige AI-værktøjer som ChatGPT, udgør alvorlige sikkerhedsrisici, herunder datalækage, tab af intellektuel ejendom og overtrædelse af compliance. Source: https://loopbackup.com/da/blog/shadow-ai-unsanctioned-chatgpt-copilot-gemini Publisher: Loop Backup Content language: da --- ## Kort fortalt * **Hvad er Skygge-AI?** Medarbejderes brug af ikke-godkendte generative AI-værktøjer som ChatGPT, Gemini eller Copilot, hvilket afspejler det velkendte problem med 'Skygge-IT'. * **Hvorfor udgør det en risiko?** Medarbejdere kan indsætte fortrolige data, kildekode, personfølsomme kundeoplysninger (PII), finansielle resultater eller strategiske planer i offentlige AI-modeller, hvilket potentielt kan eksponere dem for omverdenen. * **Reelle lækager:** I april 2023 lækkede Samsung-ansatte ved et uheld følsom kildekode og interne mødereferater til ChatGPT ved tre separate lejligheder. * **Copilot-paradokset:** Selv godkendte værktøjer som Microsoft 365 Copilot indebærer risici. 'Copilot-overdeling' kan eksponere følsomme data, hvis dine underliggende SharePoint- og OneDrive-tilladelser ikke er korrekt konfigureret. * **Sådan mindsker du risikoen:** En flerlaget tilgang er nødvendig, der kombinerer tekniske kontroller som AI DLP, en klar politik for generativ AI og afgørende medarbejdertræning. * **Rollens betydning for backup:** I tilfælde af en datalækage er en robust backup afgørende for en retsmedicinsk gennemgang for at forstå, hvad der gik tabt. Den fungerer også som et sikkerhedsnet, når tilladelser skal rettes, før en Copilot-udrulning. ### Hvad er Skygge-AI? I årevis har sikkerhedsteams kæmpet med 'Skygge-IT', den uautoriserede brug af applikationer og tjenester af medarbejdere uden for IT-afdelingens kontrol. Nu er en ny, mere potent variant opstået: **Skygge-AI**. Dette henviser til den voksende brug af offentlige generative AI-værktøjer af medarbejdere uden organisationens eksplicitte godkendelse eller tilsyn. Drevet af et ønske om øget produktivitet vender medarbejdere sig mod forbruger-grade AI-assistenter som OpenAI's ChatGPT, Googles Gemini og andre for at hjælpe dem med at skrive kode, opsummere dokumenter og udarbejde e-mails. Problemet er, at disse offentlige platforme ikke er designet til virksomhedsbrug. De mangler ofte de sikkerheds-, privatlivs- og compliance-kontroller, som virksomheder kræver, hvilket skaber en betydelig, skjult risiko for **ChatGPT-datalækage** og tab af intellektuel ejendom. ### AI-assistentens fristelse Det er afgørende at forstå, at medarbejdere, der bruger disse værktøjer, sjældent handler med ondsindet hensigt. De forsøger blot at være mere effektive. En udvikler kan indsætte en kodestump i ChatGPT for at finde en fejl; en marketingchef kan uploade en transkription til Gemini for en hurtig opsummering; en finansanalytiker kan indtaste rådata for at generere et udkast til en rapport. I deres øjne udnytter de banebrydende teknologi til at udføre deres opgaver bedre og hurtigere. De er sandsynligvis uvidende om, at mange offentlige AI-modeller kan bruge de data, de modtager, til at træne fremtidige versioner, hvilket betyder, at deres 'private' input kan blive en del af den offentlige model, tilgængelig for andre. Denne grundlæggende misforståelse er den primære drivkraft bag udbredelsen af Skygge-AI. ### En virkelig advarende historie: Samsungs datalækager i 2023 Den teoretiske risiko ved Skygge-AI blev en barsk realitet i april 2023. Det blev bredt rapporteret, at ingeniører hos Samsung, en af verdens førende teknologivirksomheder, ved et uheld havde lækket følsomme interne data til ChatGPT. Inden for en periode på blot få uger var der tre separate hændelser: 1. En ingeniør indsatte fejlagtig kildekode fra en halvlederdatabase for at finde en løsning. 2. En anden medarbejder delte kode fra et proprietært program for at optimere det. 3. En tredje medarbejder indsendte lydoptagelsen af et internt møde for at få ChatGPT til at generere referatet. I hvert tilfælde blev følsom intellektuel ejendom uploadet til en tredjepartsplatform uden for Samsungs kontrol. Hændelsen tvang Samsung til at forbyde brugen af generative AI-værktøjer og begynde at udvikle deres eget interne alternativ. Det tjener som en kraftig advarsel til enhver organisation: Hvis det kan ske hos Samsung, kan det ske hvor som helst. ### Opdagelse af skyggerne: Sådan finder du uautoriseret AI-brug Du kan ikke styre det, du ikke kan se. At identificere brugen af Skygge-AI er det første skridt mod at mindske risikoen. Flere teknikker kan hjælpe med at kaste lys over problemet: * **Analyse af netværks- og DNS-logs:** Dine firewall- og DNS-serverlogs er en værdifuld kilde til information. Ved at analysere logs for anmodninger til domæner som `chat.openai.com`, `gemini.google.com` og andre kendte AI-tjenester kan du danne dig et billede af, hvilke værktøjer der tilgås, og af hvem. * **Cloud Access Security Broker (CASB):** En CASB-løsning sidder mellem dine brugere og cloudtjenester og giver synlighed og kontrol. Moderne CASB'er kan identificere trafik til tusindvis af applikationer, herunder generative AI-værktøjer, og kan konfigureres til at blokere eller begrænse adgangen baseret på dine politikker. * **Endpoint- og browsertelemetri:** Analyse af browserhistorik og netværksforbindelser fra virksomhedsenheder kan også afsløre brugen af uautoriserede webbaserede AI-værktøjer. ### Copilot-gåden: Når godkendt AI stadig er en risiko Mens Skygge-AI handler om ikke-godkendte værktøjer, eksisterer der også en betydelig risiko med godkendte, enterprise-grade AI som Microsoft 365 Copilot. Faren her er ikke værktøjet i sig selv, men de data, det har adgang til. Problemet er **Copilot-overdeling**. Copilot er designet til at være dybt integreret i Microsoft 365-økosystemet. Det kan ræsonnere over alle de data, en bruger har adgang til, deres e-mails i Outlook, deres chats i Teams og deres filer i SharePoint og OneDrive. Dette er dets største styrke, men også dets største potentielle svaghed. Copilot respekterer omhyggeligt eksisterende tilladelser. Problemet er, at i de fleste organisationer er tilladelserne et rod. Gennem årene, på grund af personalegennemstrømning og ad hoc-samarbejde, akkumulerer SharePoint-websteder og Teams-kanaler fejlbehæftede eller for lempelige adgangsrettigheder. Et følsomt dokument, der indeholder lønoplysninger, kan ved et uheld være blevet delt med 'Alle undtagen eksterne brugere' for år tilbage. En bruger ved måske ikke, at dette dokument eksisterer, men det gør Copilot. Hvis den bruger stiller Copilot et relateret spørgsmål, kan AI'en trække på og vise data fra den følsomme fil, øjeblikkeligt forvandle et latent tilladelsesproblem til et aktivt databrud. Før udrulning af Copilot skal organisationer foretage en grundig revision og afhjælpning af deres Microsoft 365-tilladelser, en proces der kan være kompleks og tidskrævende. ### Etablering af kontrol: Politikker og teknologi At adressere risiciene ved både Skygge-AI og Copilot-overdeling kræver en strategisk, mangesidet tilgang, der omfatter politik, teknologi og mennesker. #### 1. Udarbejd en klar politik for generativ AI Dit første skridt bør være at udvikle og kommunikere en formel **politik for generativ AI**. Dette dokument fjerner tvetydighed og giver klare retningslinjer for alle medarbejdere. Det skal udtrykkeligt angive: * En oversigt over godkendte og forbudte AI-værktøjer. * En definitiv liste over datatyper, der **aldrig** må indtastes i noget offentligt AI-værktøj (f.eks. kundedata, PII, kildekode, finansielle oplysninger, sundhedsjournaler, virksomhedsstrategidokumenter). * Retningslinjer for ansvarlig brug af godkendte værktøjer. * Et krav om, at medarbejdere faktatjekker og verificerer ethvert output fra en AI, som kan være tilbøjelig til fejl eller 'hallucinationer'. * Klart ansvar for ethvert arbejde produceret med AI-assistance. #### 2. Implementer AI-bevidst Data Loss Prevention (AI DLP) Moderne Data Loss Prevention (DLP)-værktøjer bliver AI-bevidste. **AI DLP**-løsninger kan gå ud over blot at blokere et domæne. De kan inspicere det indhold, der sendes til webformularer og browserbaserede applikationer. Dette giver mulighed for mere granulære kontroller, såsom at tillade medarbejdere at få adgang til ChatGPT, men blokere dem fra at indsætte indhold, der matcher et mønster for følsomme data, som en kundedatabase eller proprietær kode. #### 3. Træn dine medarbejdere Teknologi og politikker alene er ikke nok. Du skal uddanne dine medarbejdere om risiciene. Afhold træningssessioner, der forklarer, *hvorfor* det er farligt at indsætte fortrolige oplysninger i offentlige AI-værktøjer. Brug virkelige eksempler som Samsung-hændelsen for at gøre truslen håndgribelig. Målet er at skabe en kultur med sikkerhedsbevidsthed, hvor medarbejdere bliver partnere i forsvar af organisationens data. ### Backupens kritiske rolle i retsmedicinsk gennemgang og afhjælpning I dette nye landskab bliver en robust, uforanderlig backupstrategi mere kritisk end nogensinde, især for hændelsesrespons og proaktiv risikostyring. Skulle en **ChatGPT-datalækage**-hændelse opstå, er dit sikkerhedsteams første opgave at foretage en retsmedicinsk gennemgang for at fastslå det nøjagtige omfang af bruddet. Hvilke specifikke data gik tabt? Hvilken version af kildekoden blev kompromitteret? Hvis de originale data på det aktive system er blevet ændret eller slettet, er en pålidelig tredjepartsbackup den eneste måde at fastslå en grundsandhed på. Tjenester som [Loop's AI Cloud Backup](/ai-cloud-backup) og [Microsoft 365 backup](/microsoft-365-backup) giver en uafhængig, uforanderlig kopi af dine data, hvilket giver dig den retsmedicinske nøjagtighed, der er nødvendig for at reagere effektivt. Desuden, når du forbereder dig på en sikker M365 Copilot-udrulning, vil du uundgåeligt skulle udføre en storstilet oprydning af SharePoint- og Teams-tilladelser. Denne proces indebærer sine egne risici. At have en point-in-time backup af dine M365-data giver et afgørende sikkerhedsnet, så du kan gendanne filer og indstillinger, hvis processen med at rette tilladelser går galt. ## Konklusion Fremkomsten af generativ AI giver en transformerende mulighed for produktivitet, men den introducerer også dybtgående nye risici. Skygge-AI er ikke en hypotetisk trussel; den er aktiv i de fleste organisationer i dag, hvad enten de ved det eller ej. Bekvemmeligheden ved disse værktøjer garanterer næsten deres brug af velmenende medarbejdere, hvilket skaber en skjult vej for dine mest følsomme data til at forlade organisationen. Ved at kombinere proaktiv opdagelse, en klar og velkommunikeret **politik for generativ AI**, moderne tekniske kontroller som **AI DLP** og en robust backupstrategi for retsmedicinsk beredskab, kan du styre risikoen. Målet er ikke at blokere fremskridt, men at muliggøre sikker og ansvarlig adoption af AI, og forvandle en skjult risiko til en håndteret, strategisk fordel.