隨著企業加速AI轉型，越來越多AI應用在受控制或已批准的工作流程之外被使用。員工透過瀏覽器或個人帳戶，利用公開可用的生成式人工智慧（GenAI）工具編寫程式碼、摘要文件、分析資料並自動執行日常任務。
這種轉變催生了「影子AI」，也就是AI在缺乏監督、治理和透明度的情況下被不當使用，它正迅速成為企業中最直接、最不為人知的風險之一。
根據BCG調查，過半數的企業員工會使用生成式AI工具，使用到未經授權的AI工具機率大增，顯示影子AI已經成為企業營運的新挑戰。當資料透過未授權工具傳輸或處理時，企業難以判斷資料內容、用途與最終去向，更無法即時監管或修補。資安團隊在缺乏完整脈絡的情況下，只能根據片段警示來回應，不僅誤判機率高，也容易延誤風險回應時機。
全球企業正面對日益嚴格的資安合規要求。以2025年正式上路的歐盟《人工智慧法案》為例，企業被要求須清楚識別所使用的AI系統、評估資產風險並證明具備監督機制。但實際上，當AI的使用超出了企業批准的工具與流程範圍，便無法進行盤點、評估或治理。在資安可視性不足的情況下，進一步加劇了企業的潛在風險與合規壓力，甚至可能對企業造成實質的經濟損失。
面對影子AI所帶來的挑戰，企業僅靠提高環境可視性並不足夠，還須關聯多個領域的資訊，才能掌握潛在風險。就網路層面來看，提交提示詞、與上傳機密資料給外部模型等網路流量的監看，雖提供了網路流量的可視性，但整體的治理與控制，還需要其他領域的配合。因此資安團隊的控管，必須從網路延伸至處理資料的端點，透過UEBA行為模式確實掌握資料流動與使用行為。由網路可視性延伸至端點控管的安全機制，方能建立完整的安全感知、並在風險源頭強制執行資安政策，確保在各種部署環境下的防護強度。
影子AI並非是暫時性的風險，而是一種結構性轉變。對企業安全團隊來說，有效的做法是將AI的使用融入現有的安全和網路架構中，使其可見、可控，並符合營運和監管要求。
＜本文作者：楊光明現為Fortinet解決方案技術總監＞