‏سیاست‌نامهٔ Shadow AI: چطور ابزارهای بدون‌مجوز هوش مصنوعی رو مهار کنیم

به گفتهٔ نویسنده، یک سازمان از هر پنج سازمان از قبل یه نشتی داده رو به Shadow AI ربط داده، و همزمان ۶۳ درصد سازمان‌های آسیب‌دیده یا اصلاً هیچ سیاست حاکمیت هوش مصنوعی ندارن یا هنوز مشغول نوشتنشن. مقاله یه سیاست‌نامهٔ کامل و آمادهٔ کپی با دوازده بخش می‌ده، به‌علاوهٔ راهنمای تطبیقش با اندازهٔ شرکت، صنعت و چارچوب‌های مقرراتی‌ای که بهشون پاسخ‌گویی.

نویسنده تأکید می‌کنه این قالب از یه حقیقت سخت شروع می‌کنه: کارمندهات همین حالا دارن از ابزارهای تأییدنشدهٔ هوش مصنوعی استفاده می‌کنن. سیاستی که وانمود کنه هنوز این اتفاق نیفتاده، از همون روز اول شکست می‌خوره؛ برای همین این یکی از فرض «شروع‌شده» حرکت می‌کنه.

خود Shadow AI یعنی هر ابزار، قابلیت، ایجنت یا سرویس هوش مصنوعی که برای کار و بدون تأیید رسمی استفاده بشه. نویسنده می‌گه اصطلاح از Shadow IT قدیمی قرض گرفته شده، ولی نسخهٔ AIش ریسک تیزتری داره: داده‌ای که تو یه مدل عمومی paste می‌شه ممکنه نگه‌داری بشه، برای آموزش استفاده بشه، یا جوری فاش بشه که سازمان دیگه نتونه برش گردونه. به گفتهٔ اون، این سیاست سه کار می‌کنه: استفادهٔ مجاز رو از غیرمجاز جدا می‌کنه، به کارمند یه راه سریع و شفاف برای درخواست ابزار جدید می‌ده تا مسیر قانونی از دور زدن جذاب‌تر باشه، و روشن می‌کنه وقتی کسی از خط رد شد چی می‌شه.

یه نکتهٔ مهمی که نویسنده روش دست می‌ذاره تفاوت این سیاست با «سیاست استفادهٔ مجاز» (AUP) عمومیه. خیلی سازمان‌ها فکر می‌کنن AUP موجودشون Shadow AI رو هم پوشش می‌ده، ولی معمولاً نمی‌ده. AUP به کارمند می‌گه داخل ابزار تأییدشده چطور رفتار کنه؛ سیاست Shadow AI خودِ ابزارها رو حاکمیت می‌کنه: کدوم‌ها تو محیط وجود دارن، کدوم‌ها مجازن، و با بقیه چی کار می‌شه. نویسنده می‌گه هر دو رو لازم داری؛ اگه فقط جا برای یه سند داری، قواعد مدیریت دادهٔ AUP رو تو بخش ۶ همین قالب ادغام کن.

نویسنده چند بخش کلیدی قالب رو نمونه میاره. بخش ۱ (هدف و دامنه) با این جملهٔ مهم تموم می‌شه که «این سیاست AI رو ممنوع نمی‌کنه، AI بدون‌حاکمیت رو ممنوع می‌کنه» — چون کارمند اول همین بخش رو می‌خونه و همین‌جا تصمیم می‌گیره سیاست رو توانمندساز ببینه یا سدکننده. بخش ۲ اصطلاح‌ها رو تعریف می‌کنه و به گفتهٔ نویسنده مهم‌ترینش تعریف صریح «AI Feature»ه: قابلیت‌های هوش مصنوعی‌ای که هر ماه داخل نرم‌افزارهای از قبل تأییدشده اضافه می‌شن و بدون این تعریف، تأییدی رو به ارث می‌برن که هیچ‌وقت کسبش نکردن.

بخش ۳ نقش‌ها رو مشخص می‌کنه: CISO مالک سیاسته و رجیستری ابزارهای تأییدشده و جریان تأیید رو نگه می‌داره؛ سرپرست‌های دپارتمان مطمئن می‌شن تیمشون سیاست رو می‌دونه و درخواست ابزار رو به‌جای سرکوب، رو می‌کنه؛ واحد حقوقی و انطباق ابزارهایی که با دادهٔ تحت‌مقررات سروکار دارن یا زیر قانون‌هایی مثل EU AI Act، GDPR و HIPAA می‌افتن رو بررسی می‌کنن؛ و IT کنترل‌های کشف و مانیتورینگ رو اجرا می‌کنه.

نکات کلیدی:

• یک سازمان از هر پنج، نشتی داده مرتبط با Shadow AI داشته و ۶۳٪ سازمان‌های آسیب‌دیده سیاست حاکمیتی مدون ندارن.
• سیاست Shadow AI از این فرض شروع می‌کنه که کارمندها همین حالا دارن از ابزارهای تأییدنشده استفاده می‌کنن.
• این سیاست با «سیاست استفادهٔ مجاز» فرق داره: اون رفتار داخل ابزار رو مدیریت می‌کنه، این خودِ ابزارها رو.
• تعریف صریح «AI Feature» لازمه تا قابلیت‌های AI که داخل نرم‌افزارهای تأییدشده اضافه می‌شن تأیید ناخواسته نگیرن.
• مالکیت سیاست با CISOه و واحد حقوقی ابزارهای مشمول EU AI Act، GDPR و HIPAA رو جدا بررسی می‌کنه.