النقاط الرئيسية
- يجب أن تتناسب ضوابط Shadow AI مع حجم الشركة وحساسية بياناتها — لا أن تُنشر بشكل موحّد.
- أكثر مسار تعرّض يُستهان به هو ميزات الذكاء الاصطناعي المفعّلة أصلاً داخل أدوات SaaS التي تدفع الشركة ثمنها بالفعل، وليس فقط الحسابات الشخصية على ChatGPT.
- يفشل الحظر الشامل لثلاثة أسباب هيكلية: الأجهزة الشخصية تقع خارج المحيط الأمني، والحظر العدواني يدفع نحو الإخفاء، وميزات الذكاء الاصطناعي المدمجة داخل SaaS معتمد لا يمكن حظرها دون تعطيل أداة SaaS نفسها.
- أدوات الكشف بلا بديل معتمد لا تقلل استخدام Shadow AI — بل تدفعه فقط إلى مزيد من الخفاء.
- سياسة الاستخدام المقبول المكتوبة ضرورية لكنها غير كافية بمجرد أن تتعامل المؤسسة مع بيانات منظَّمة على نطاق ذي دلالة.
- النشر المحلي أو المستضاف ذاتيًا هو ضابط دائم لمشكلة "الموظفون يستخدمون ذكاءً اصطناعيًا استهلاكيًا غير معتمد"، لكنه لا يعالج ميزات الذكاء الاصطناعي المدمجة أصلاً في SaaS تابع لجهة خارجية، ولا يفي وحده بالتزامات الإشعار أو الإفصاح.
واقع Shadow AI الذي تغفل عنه معظم السياسات
افترضت سياسة Shadow AI المكتوبة عام 2023 أن التعرّض هو موظف يفتح ChatGPT في تبويب متصفح ويلصق قائمة عملاء. لا يزال هذا حقيقيًا، لكنه لم يعد أكبر مسارات التعرّض ولا أسرعها نموًا، وسياسة تعالج هذا فقط تترك المسارات الثلاثة الأخرى دون حماية.
ميزات الذكاء الاصطناعي التي تُفعَّل بصمت داخل أدوات SaaS التي تدفع الشركة ثمنها بالفعل هي المسار الذي تغفل عنه معظم السياسات تمامًا. غالبًا ما تُفعَّل إضافات تدوين الملاحظات وحقول CRM "الذكية" وتلخيص تذاكر الدعم الفني ووظائف المساعد الذكي في حزم الإنتاجية تلقائيًا افتراضيًا أو عبر تحديث من المورّد، فترسل البيانات إلى نموذج لم يقيّمه فريق الأمن قط — دون تثبيت أي أداة جديدة ودون الظهور في جرد Shadow IT المبني على حركة الشبكة أو تسجيلات التطبيقات الجديدة. ولأنه لا شيء "جديد" يُثبَّت، تغفل معظم عمليات الجرد هذا المسار تمامًا.
المسارات الثلاثة الأخرى مهمة أيضًا، مرتّبة تقريبًا تنازليًا حسب مدى تغطية الضوابط الحالية لها:
📍 بجملة واحدة
Shadow AI هو استخدام أدوات ذكاء اصطناعي غير مصرَّح بها داخل مؤسسة عبر أربعة مسارات — حسابات شخصية، وإضافات متصفح، وميزات ذكاء اصطناعي مدمجة في SaaS معتمد أصلاً، وأدوات تدوين ملاحظات اجتماعات بالذكاء الاصطناعي — والمسار المدمج في SaaS هو الأكثر إغفالًا في عمليات الجرد الحالية.
💬 بعبارة مبسطة
الأمر لا يقتصر على موظفين يستخدمون ChatGPT خلسة. فبعض موردي البرمجيات المعتمدين لديك بالفعل ربما فعّلوا بصمت ميزة ذكاء اصطناعي ترسل بياناتك إلى نموذج لم يوافق عليه أحد في فريقك الأمني — ولأنه لم يُثبَّت أي تطبيق جديد، فإن ذلك لا يظهر أبدًا في قائمة Shadow IT.
- حسابات ذكاء اصطناعي شخصية تُستخدم على أجهزة مُدارة — حساب ChatGPT أو Gemini أو Claude الخاص بالموظف، المسجَّل الدخول عبر بريد إلكتروني شخصي، ويُستخدم لمهام العمل على حاسوب محمول تابع للشركة.
- إضافات المتصفح التي توجّه محتوى الصفحة أو بيانات الحافظة عبر خلفية ذكاء اصطناعي تابعة لجهة خارجية، وغالبًا ما تُثبَّت لسبب إنتاجية مشروع ولا تُراجَع أبدًا مقابل معيار أمني أساسي.
- أدوات تدوين ملاحظات الاجتماعات بالذكاء الاصطناعي التي تنضم إلى المكالمات كمشارك ظاهر أو صامت، وتسجّل وتفرّغ وتلخّص افتراضيًا إلى خادم تابع لجهة خارجية.
- ميزات ذكاء اصطناعي مدمجة أصلاً في أدوات SaaS معتمدة (المسار أعلاه) — وهو المسار الذي يقل احتمال رصد عمليات الجرد العامة له.
لماذا يفشل الحظر الشامل
حظر نطاقات الذكاء الاصطناعي على مستوى جدار حماية الشبكة هو أول ضابط تلجأ إليه معظم الشركات، وهو يفشل لثلاثة أسباب هيكلية تنطبق بغض النظر عن حجم الشركة.
- 1الأجهزة الشخصية تقع خارج المحيط الأمني.
لا يغطي حظر الشبكة سوى حركة المرور العابرة للشبكة المُدارة. الموظف على هاتف شخصي، أو شبكة منزلية، أو حاسوب محمول ضمن سياسة BYOD يستخدم نفقًا مقسّمًا لا يخضع له أبدًا. - 2الحظر العدواني يدفع نحو الإخفاء، لا الامتثال.
الموظفون الذين يجدون أداة مفيدة فعلاً محجوبة يميلون إلى الالتفاف حول الحظر — نقطة اتصال شخصية، أو وكيل متصفح، أو هاتف بدلاً من حاسوب محمول — ما يجعل السلوك أصعب في الرصد، لا أقل شيوعًا. - 3ميزات الذكاء الاصطناعي المدمجة داخل SaaS معتمد لا يمكن حظرها دون تعطيل أداة SaaS نفسها.
حظر خلفية الذكاء الاصطناعي التي يستدعيها نظام CRM أو منصة دعم داخليًا يعطّل عادة الوظيفة الأساسية للتطبيق الأم، لا ميزة الذكاء الاصطناعي فقط — ما يجعل حظر الشبكة غير عملي بالتحديد للمسار الأصعب رصدًا من الأساس.
التقييم الذاتي للتعرّض لـ Shadow AI
أجب عن الأسئلة أدناه للحصول على مستوى مخاطر أولي ومجموعة ضوابط مطابقة. يعمل هذا بالكامل داخل متصفحك — لا يُرسَل أي شيء إلى أي جهة.
Shadow AI Exposure Self-Assessment
Answer 12 questions about your organization to get a risk tier and a matched starting control set. Nothing is sent anywhere — scoring runs entirely in your browser.
1. How many employees does your organization have?
2. Which regulated data types does your organization handle? (select all that apply)
3. What share of employee devices are enrolled in mobile device management (MDM)?
4. How common is bring-your-own-device (BYOD) access to company systems?
5. Roughly how many SaaS applications does the organization use?
6. Does the organization already provide a sanctioned AI tool?
7. Are employees free to install browser extensions on managed devices?
8. Does a written AI Acceptable Use Policy (AUP) exist today?
9. Has the organization had a known incident involving unauthorized AI tool use?
10. How often does the organization run AI-usage awareness training?
11. Does the organization have any AI-aware detection tooling (CASB/SSE, DNS/egress telemetry, or DLP tuned for AI endpoints)?
12. Does the organization operate in a heavily regulated jurisdiction (EU, healthcare, financial services)?
طبقة الكشف
تنقسم أدوات الكشف إلى أربع فئات عريضة، وتنتهي معظم المؤسسات متوسطة الحجم بالجمع بين اثنتين منها على الأقل بدلاً من الاعتماد على أداة واحدة.
CASB / SSE
- ما تكشفه:
- حركة مرور الأجهزة المُدارة إلى نطاقات ذكاء اصطناعي معروفة
- القيد النموذجي:
- غير قادرة على رصد الأجهزة غير المُدارة/BYOD وحركة المرور المشفّرة للحسابات الشخصية عبر شبكات VPN ذات النفق المقسّم
تتبّع بيانات DNS/الصادر
- ما تكشفه:
- نطاقات الذكاء الاصطناعي التي تتصل بها أجهزة الشبكة أو تحلّلها
- القيد النموذجي:
- يحدد أن اتصالاً قد حدث، لا نوع البيانات التي خرجت — ويغفل ميزات الذكاء الاصطناعي المستدعاة داخليًا من تطبيق SaaS معتمد أصلاً
عملاء على مستوى المتصفح
- ما تكشفه:
- محتوى الصفحة ونشاط النسخ/اللصق داخل المتصفح نفسه
- القيد النموذجي:
- يغطي فقط المتصفحات المُدارة التي ثُبِّت عليها العميل؛ يضيف عبء إدارة نقاط النهاية
DLP مُهيأ لنقاط نهاية الذكاء الاصطناعي
- ما تكشفه:
- أنماط بيانات حساسة (بيانات شخصية، شفرة مصدرية، بيانات مالية) أثناء انتقالها إلى خدمات ذكاء اصطناعي معروفة
- القيد النموذجي:
- يتطلب ضبطًا مستمرًا مع ظهور نقاط نهاية ذكاء اصطناعي وتطبيقات استهلاكية جديدة؛ نتائج إيجابية كاذبة على حركة مرور أدوات معتمدة مشروعة إذا لم يُحدَّد نطاقه بعناية
لا تعالج أي من هذه الفئات الأربع ميزات الذكاء الاصطناعي المدمجة أصلاً داخل أداة SaaS اعتمدتها المؤسسة — راجع قسمي طبقة الإحلال و"أين لا يساعد النشر المحلي" أدناه لفهم السقف الهيكلي للكشف في هذه النقطة.
موردو الكشف والمراقبة
يُصنَّف موردو هذا المجال عادة حسب فئة الكشف أعلاه التي يتصدرون بها، رغم أن معظمهم وسّع عرضه عبر الفئات بمرور الوقت. هذا توجيه عام وليس مقارنة مُقيَّمة — قيّم أي مورّد مقابل بيئتك الخاصة والأسعار الحالية قبل الشراء، إذ تتغير الحزم والتغطية بكثرة في هذا السوق.
- غالبًا ما يُذكر Netskope وZscaler كموردَين في فئة CASB/SSE مع ميزات رؤية وتحكّم بتطبيقات الذكاء الاصطناعي مضافة فوق منصاتهما الأوسع للوصول الآمن.
- غالبًا ما يُوضَع Kiteworks ضمن حوكمة المحتوى/البيانات الآمنة مع ضوابط خاصة بالتعرض لبيانات الذكاء الاصطناعي.
- غالبًا ما يُذكر Harmonic Security وNightfall AI كموردَين مبنيَّين خصيصًا حول رؤية استخدام الذكاء الاصطناعي وDLP المُهيأ لنقاط نهاية الذكاء الاصطناعي، بدلاً من كونهما ميزة إضافية على منصة أوسع.
طبقة الإحلال: لماذا لا يُعدّ الكشف وحده ضابطًا
تجيب أدوات الكشف عن سؤال "هل يحدث هذا؟". لكنها لا تجيب عن سؤال "ماذا ينبغي أن يستخدم الموظف بدلاً من ذلك؟" — وهذا السؤال الثاني هو ما يغيّر السلوك فعليًا.
الموظف الذي يجد فائدة إنتاجية حقيقية في أداة ذكاء اصطناعي ويجدها محجوبة أو مُعلَّمة، دون تقديم بديل معتمد، أمامه ثلاثة خيارات واقعية: التوقف عن الحصول على تلك الفائدة، أو إيجاد طريقة للالتفاف حول الحظر، أو الاستمرار في استخدام الأداة على أمل ألا يُلاحَظ ذلك. عمليًا، يختار جزء كبير من الموظفين الخيار الثاني أو الثالث — وهذا بالضبط سبب أن برامج الكشف فقط غالبًا ما تُظهر عددًا متناقصًا من الحوادث *المكتشفة* دون انخفاض مقابل في الاستخدام غير المصرَّح به الكامن.
يسدّ النشر الداخلي المعتمد — وأكثره ديمومة نموذج مستضاف ذاتيًا أو يعمل محليًا يتحكم فيه فريق الأمن من البداية إلى النهاية — هذه الفجوة لأنه يمنح الموظفين إجابة مشروعة على سؤال "إذن ماذا أستخدم بدلاً من ذلك؟" منذ اليوم الأول لسياسة جديدة، بدلاً من تركهم يلتفّون حول قاعدة لا تقدّم بديلاً. هذا هو الجسر الطبيعي بين سياسة Shadow AI وأدبيات نشر النماذج اللغوية المحلية الأوسع: راجع النماذج اللغوية المحلية مقابل واجهات برمجة التطبيقات السحابية للمفاضلات الكامنة، ونشر النماذج اللغوية المحلية داخليًا/بمعزل عن الشبكة لما يستلزمه فعليًا النشر الداخلي المعتمد.
📍 بجملة واحدة
الكشف بلا بديل معتمد لا يقلل استخدام Shadow AI — بل يقلل عادة فقط الجزء المرئي المكتشف منه، بينما يعالج النشر الداخلي المعتمد الطلب الكامن مباشرة.
ما تحتويه فعليًا سياسة استخدام مقبول فعّالة
سياسة استخدام مقبول تكتفي بالقول "لا تستخدم أدوات ذكاء اصطناعي غير معتمدة" غير قابلة للتطبيق عمليًا، لأنها لا تمنح الموظفين أي إرشاد إيجابي. تغطي سياسة الاستخدام المقبول الفعّالة عادة البنود التالية:
- ما هي الأدوات المعتمدة، وأين يجد الموظفون القائمة الحالية (ملف PDF ثابت يصبح قديمًا هو نمط فشل شائع — اربط بدلاً من ذلك بصفحة حية).
- ما هي تصنيفات البيانات التي يجب ألا تُدخَل أبدًا في أي أداة ذكاء اصطناعي، معتمدة كانت أم لا (مثل بيانات العملاء الشخصية، الشفرة المصدرية الخاضعة لاتفاقية عدم إفصاح، النتائج المالية غير المُعلَنة).
- ما الذي يحدث عندما يجد موظف أداة مفيدة فعلاً لكنها غير معتمدة — عملية طلب بمهلة زمنية معلنة، لا طريقًا مسدودًا.
- ما إذا كان يجب الإفصاح عن المخرجات المولَّدة بالذكاء الاصطناعي أو مراجعتها قبل استخدامها خارجيًا، وكيفية ذلك (منتجات تُسلَّم للعملاء، شفرة برمجية، اتصالات عامة).
- كيفية تطبيق السياسة على ميزات الذكاء الاصطناعي المدمجة داخل SaaS معتمد أصلاً، لا على منتجات الذكاء الاصطناعي المستقلة فقط — وهو البند الذي تغفله معظم سياسات الاستخدام المقبول الحالية تمامًا.
- عواقب متدرّجة بشكل تناسبي عند المخالفة (لا ينبغي أن تحمل أول مخالفة غير مقصودة لقاعدة غير واضحة نفس عاقبة تسريب بيانات متعمَّد ومتكرر).
- مالك معيَّن ووتيرة مراجعة — سياسة استخدام مقبول لا تُراجَع أبدًا تصبح غير دقيقة خلال أشهر مع تغيّر مشهد أدوات الذكاء الاصطناعي.
- آلية إقرار الموظفين — كيف ومتى يؤكد الموظفون قراءتهم للنسخة الحالية، خاصة بعد تحديث جوهري.
أين لا يساعد النشر المحلي
النشر المحلي أو المستضاف ذاتيًا المعتمد هو ضابط دائم فعليًا لمشكلة محددة: منح الموظفين بديلاً مشروعًا لأدوات الذكاء الاصطناعي الاستهلاكية غير المعتمدة. لكنه ليس إجابة كاملة على Shadow AI، ومعاملته كذلك يخلق شعورًا زائفًا بالتغطية.
لا يعالج النشر المحلي ميزات الذكاء الاصطناعي المدمجة أصلاً داخل أدوات SaaS لا تتحكم بها المؤسسة. إذا فعّل مورّد CRM ميزة تلخيص بالذكاء الاصطناعي من جانب الخادم، فإن تشغيل نموذجك الخاص بالتوازي لا يغيّر ما تفعله ميزة الذكاء الاصطناعي الخاصة بذلك المورّد بالبيانات الموجودة أصلاً داخل نظامه — وهذا يتطلب ضابطًا على مستوى عقد المورّد واتفاقية معالجة البيانات، لا قرار نشر.
لا يفي النشر المحلي وحده بالتزامات الإشعار أو الإفصاح تجاه الموظفين أو الجهات التنظيمية. تشغيل نموذج داخليًا يغيّر مكان حدوث الاستدلال؛ ولا يُنشئ تلقائيًا التدريب الداخلي على محو الأمية بالذكاء الاصطناعي، أو التشاور مع ممثلي الموظفين، أو التقديم التنظيمي الذي تتطلبه بعض الولايات القضائية بغض النظر عن مكان تشغيل النموذج — راجع قسم الملاحظات القضائية أدناه لأمثلة ملموسة يهم فيها هذا الفارق عمليًا.
💬 بعبارة مبسطة
تشغيل نموذج ذكاء اصطناعي خاص بك داخليًا يحل مشكلة "الموظفون يستخدمون تطبيقًا استهلاكيًا عشوائيًا". لكنه لا يحل مشكلة "نظام CRM لدينا فعّل بصمت ميزة ذكاء اصطناعي"، ولا يفي وحده بالالتزام القانوني بإبلاغ الموظفين أو الجهات التنظيمية باستخدام الذكاء الاصطناعي — وهذا يتطلب خطوات منفصلة ومتعمَّدة.
ملاحظات قضائية
في المملكة العربية السعودية، خصّصت الحكومة عام 2026 "عام الذكاء الاصطناعي"، وتتولى الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA) الإشراف على تنظيم البيانات والذكاء الاصطناعي على المستوى الوطني، بما في ذلك إنفاذ نظام حماية البيانات الشخصية (PDPL). أصدرت لجان الإنفاذ التابعة لـSDAIA خلال 2025 و2026 عشرات القرارات التي تؤكد مخالفات تتعلق بمعالجة البيانات دون أساس نظامي، أو الإفصاح غير المصرَّح به، أو عدم تطبيق ضمانات تقنية وتنظيمية كافية — وهي بالضبط أنماط المخاطر التي قد تنشأ عن Shadow AI عندما تُدخَل بيانات موظفين أو عملاء في أداة ذكاء اصطناعي غير مُقيَّمة.
أما في دولة الإمارات العربية المتحدة، فلا يوجد حتى عام 2026 قانون اتحادي واحد مخصص للذكاء الاصطناعي؛ بل يُنظَّم الذكاء الاصطناعي عبر استراتيجية الإمارات للذكاء الاصطناعي 2031، وميثاق الإمارات للذكاء الاصطناعي، وقانون حماية البيانات الشخصية الاتحادي (المرسوم بقانون اتحادي رقم 45 لسنة 2021)، إلى جانب أطر خاصة بمناطق حرة مثل مركز دبي المالي العالمي وسوق أبوظبي العالمي. يُتوقع اكتمال الامتثال الاتحادي الكامل لقانون حماية البيانات الشخصية بحلول يناير 2027، بينما تُطبَّق أطر بعض المناطق الحرة بالفعل وتُنفَّذ بشكل مستقل.
هذا القسم توجيه عام وليس استشارة قانونية — تأكد من إمكانية التطبيق مع مستشار قانوني بشأن ولايتك القضائية وقطاعك وأنواع بياناتك المحددة قبل إنهاء أي سياسة.
الأسئلة الشائعة
ما هو Shadow AI؟
Shadow AI هو استخدام أدوات الذكاء الاصطناعي داخل مؤسسة دون مراجعة أو موافقة من تقنية المعلومات أو الأمن — ويشمل الحسابات الشخصية للذكاء الاصطناعي على الأجهزة المُدارة، وإضافات المتصفح التي توجّه البيانات عبر خلفية ذكاء اصطناعي، وميزات الذكاء الاصطناعي المفعّلة أصلاً داخل SaaS معتمد، وأدوات تدوين ملاحظات الاجتماعات المدعومة بالذكاء الاصطناعي.
كيف أكشف الاستخدام غير المصرَّح به للذكاء الاصطناعي في شركتي؟
اجمع بين CASB/SSE لحركة مرور الأجهزة المُدارة إلى نطاقات ذكاء اصطناعي معروفة، وتتبّع بيانات DNS أو الصادر لمعرفة نطاقات الذكاء الاصطناعي التي تتصل بها أجهزة الشركة، وDLP مُهيأ خصيصًا لنقاط نهاية الذكاء الاصطناعي. لا تغطي أي فئة وحدها كل شيء — يغفل CASB/SSE الأجهزة غير المُدارة، ولا تكشف أي من هذه الأدوات ميزات الذكاء الاصطناعي المدمجة أصلاً في أدوات SaaS اعتمدتها بالفعل، وهو ما يتطلب بدلاً من ذلك مراجعة عقود الموردين.
هل يجب أن نحظر أدوات الذكاء الاصطناعي ببساطة عند جدار الحماية؟
الحظر الشامل ضابط ضعيف بمفرده. فهو لا يغطي الأجهزة الشخصية خارج الشبكة المُدارة، ويميل إلى دفع الاستخدام إلى مزيد من الخفاء بدلاً من القضاء عليه، ولا يمكنه معالجة ميزات الذكاء الاصطناعي المدمجة أصلاً داخل أدوات SaaS دون تعطيل التطبيق الأم.
ما حجم الشركة الذي يستدعي أداة كشف مخصصة لـShadow AI؟
استخدم التقييم الذاتي للتعرّض أعلاه بدلاً من عدد الموظفين وحده — فقد تحمل شركة صغيرة تتعامل مع بيانات منظَّمة (صحية أو متعلقة بالمدفوعات أو أسرار تجارية) مخاطر أكبر من شركة أكبر بكثير ذات بيانات منخفضة الحساسية وإدارة أجهزة قوية. كنمط عام، تصبح أدوات الكشف متناسبة بمجرد أن تجمع المؤسسة بين تعرّض ذي دلالة لبيانات منظَّمة وإدارة أجهزة ضعيفة أو بيئة SaaS واسعة.
ما مدى السرعة التي ينبغي بها نشر بديل ذكاء اصطناعي معتمد؟
ينبغي أن يتناسب الجدول الزمني مع مستوى التعرّض: يجب أن تستهدف المؤسسة ذات المستوى الحرج (بيانات منظَّمة، إدارة أجهزة ضعيفة، لا أداة معتمدة) 30 يومًا؛ بينما يمكن للمؤسسة ذات المستوى المنخفض عادة اتباع جدول زمني أطول وأقل إلحاحًا. الكشف بلا بديل معتمد لا يقلل الاستخدام الكامن — بل يقلل فقط الجزء المرئي منه.
هل يحل تشغيل نموذج لغوي محلي مشكلة Shadow AI لدينا؟
يحل النشر المحلي أو المستضاف ذاتيًا المعتمد بشكل دائم مشكلة "الموظفون يستخدمون أدوات ذكاء اصطناعي استهلاكية غير معتمدة"، لكنه لا يعالج ميزات الذكاء الاصطناعي المدمجة أصلاً في SaaS تابع لجهة خارجية لا تتحكم بها، ولا يفي وحده بالتزامات الإشعار أو الإفصاح تجاه الموظفين أو الجهات التنظيمية — وهذا يتطلب خطوات منفصلة.
ما الذي ينبغي أن تحتويه فعليًا سياسة استخدام مقبول (AUP) لـShadow AI؟
على الأقل: قائمة حالية بالأدوات المعتمدة، وتصنيفات البيانات التي يجب ألا تدخل أبدًا في أي أداة ذكاء اصطناعي، وعملية طلب للموظفين الذين يجدون أداة غير معتمدة مفيدة، وقواعد إفصاح للمخرجات المولَّدة بالذكاء الاصطناعي والمستخدَمة خارجيًا، وتغطية صريحة لميزات الذكاء الاصطناعي المدمجة في SaaS معتمد (لا منتجات الذكاء الاصطناعي المستقلة فقط)، وعواقب متناسبة، ومالك معيَّن، ووتيرة مراجعة.
هل ميزات الذكاء الاصطناعي في أدوات SaaS الحالية لدينا تُعدّ فعلاً مخاطر Shadow AI؟
نعم، وغالبًا ما يكون هذا هو المسار الذي تغفله عمليات جرد Shadow IT القياسية، لأنه لا يُثبَّت أي تطبيق جديد ولا يظهر أي تسجيل جديد في سجلات الهوية أو المصروفات — تُفعَّل ميزة الذكاء الاصطناعي داخل برمجيات اعتمدتها المؤسسة بالفعل وتدفع ثمنها بالفعل.
كم مرة ينبغي أن نعيد إجراء تقييم مخاطر Shadow AI؟
أعد إجراءه بعد أي تغيير جوهري — تغيّر في عدد الموظفين، منصة SaaS جديدة، فئة جديدة من البيانات المنظَّمة تبدأ الشركة بالتعامل معها — وعلى الأقل كل ستة أشهر، نظرًا لسرعة إضافة ميزات الذكاء الاصطناعي إلى منتجات SaaS الحالية.