Angajații Tăi Folosesc Deja AI — Doar Că Nu Știi Cum

Chiar acum, în timp ce citiți acest rând, este foarte probabil ca cineva din organizația dumneavoastră să lipească un fragment de contract, o listă de clienți sau un raport financiar într-un chat AI public, ca să primească „o ciornă rapidă”. Nu o face din rea-intenție — o face pentru că vrea să livreze mai repede și mai bine. Nu vedeți acest gest, nu apare în niciun raport, și tocmai de aceea scapă oricărui control. Are un nume: Shadow AI. Iar întrebarea reală nu este dacă se întâmplă în organizația dumneavoastră, ci cât de mult — și ce faceți în privința asta.

Despre Ce Este (și Nu Este) Acest Curs

Acesta este un curs la nivel organizațional și comportamental. Vorbim despre oameni, despre politici, despre roluri și despre obiceiuri sigure — nu despre configurarea firewall-urilor, a sistemelor de monitorizare a traficului sau a soluțiilor tehnice de prevenire a scurgerilor de date. Dacă vă întrebați cum se instalează un instrument tehnic de blocare, acela este subiectul unui curs dedicat de securitate IT, nu al acestuia.

Publicul țintă este deliberat non-tehnic:

• Manageri și management operațional — cei care conduc echipe și răspund pentru rezultate.
• DPO și responsabili GDPR — cei care răspund de protecția datelor cu caracter personal.
• HR — cei care formează cultura organizațională și gestionează comportamentul angajaților.
• Management de mijloc și conducere executivă — cei care aprobă politici și alocă resurse.

Promisiunea cursului este una concretă: la final veți avea schița unei Politici de Utilizare Acceptabilă a AI (în engleză Acceptable Use Policy, prescurtat AUP) și un set de obiceiuri sigure care nu blochează munca, ci o fac sigură. Nu construim un zid; construim un drum cu marcaje.

Disclaimer general al cursului. Acest material are scop exclusiv educativ și nu constituie consultanță juridică. Referințele la GDPR (Regulamentul UE 2016/679) și la Regulamentul european privind inteligența artificială (EU AI Act) sunt prezentate informativ, pentru a vă orienta, nu pentru a vă oferi un aviz legal. Șablonul de politică AUP pe care îl veți construi este un punct de pornire, care trebuie obligatoriu revizuit și adaptat împreună cu DPO-ul și cu juristul organizației dumneavoastră înainte de orice adoptare oficială.

Ce Este Shadow AI: O Definiție de Lucru

Shadow AI desemnează utilizarea de instrumente bazate pe inteligență artificială — precum ChatGPT (OpenAI), Microsoft 365 Copilot, Google Gemini sau Claude (Anthropic) — de către angajați, în activitatea lor profesională, în afara aprobării, vizibilității și politicii organizației.

Să descompunem definiția pe cele trei coordonate care contează:

1. În afara aprobării. Nimeni nu a sancționat oficial folosirea acelui instrument pentru acel tip de sarcină. Angajatul a decis singur.
2. În afara vizibilității. Organizația nu știe că instrumentul este folosit, pe ce date și cu ce frecvență. Activitatea se petrece „în umbră”.
3. În afara politicii. Nu există reguli scrise care să spună ce este permis și ce nu. În absența regulii, fiecare improvizează.

Termenul „shadow” (umbră) nu se referă la ceva sinistru sau ilegal. Se referă la lipsa de lumină — adică la faptul că activitatea se desfășoară fără ca organizația să o vadă, să o înțeleagă sau să o ghideze.

Shadow AI vs. Shadow IT Clasic: O Distincție Esențială

Mulți manageri experimentați cunosc deja conceptul de Shadow IT — situația în care angajații folosesc aplicații, servicii cloud sau dispozitive neaprobate de departamentul IT (de exemplu, un cont personal de Dropbox pentru fișiere de serviciu, sau o aplicație de mesagerie instalată fără acordul IT). Shadow AI este o rudă apropiată, dar are particularități care îl fac mai dificil de gestionat.

Diferența critică este ultima linie din tabel. În Shadow IT, angajatul de obicei știe că ocolește o regulă. În Shadow AI, foarte frecvent angajatul nu percepe că lipirea unui document într-un chat ar putea fi o problemă. Pentru el, este la fel de banal ca o căutare pe Google. Această lipsă de conștientizare este exact motivul pentru care alfabetizarea AI — pe care EU AI Act o ridică la rang de obligație prin Articolul 4 — devine fundamentul oricărei strategii eficiente.

Teza Centrală: Majoritatea Cazurilor NU Au Rea-Intenție

Dacă rețineți un singur lucru din această lecție, rețineți acesta: Shadow AI nu este, în marea majoritate a cazurilor, un act de sabotaj sau de neglijență. Este, paradoxal, un act de angajament. Angajatul care folosește un instrument AI neaprobat o face pentru că:

• vrea să termine raportul mai repede;
• vrea ca emailul către client să sune mai profesionist;
• vrea să găsească o eroare în prezentare înainte ca șeful să o vadă;
• vrea, pe scurt, să livreze mai bine.

Această observație schimbă complet tonul intervenției manageriale. Dacă tratați Shadow AI ca pe o infracțiune, veți pedepsi tocmai angajații cei mai motivați și veți împinge comportamentul și mai adânc în umbră. Dacă îl tratați ca pe un semnal — semnalul că oamenii au nevoie de instrumente bune și de reguli clare — veți transforma o vulnerabilitate într-o oportunitate de creștere a productivității, în siguranță.

Această distincție este atât de importantă încât întregul curs este construit în jurul ei: nu „cum interzicem”, ci „cum permitem în siguranță” (în engleză, enablement, not blocking — facilitare, nu blocare).

Amploarea Fenomenului: Ce Ne Arată Datele

Pentru a înțelege de ce subiectul merită un curs întreg, este util să privim un singur indicator solid și documentat, atribuit explicit sursei sale.

Conform rapoartelor Cyberhaven (ediții succesive, inclusiv Cyberhaven 2025 AI Adoption and Risk Report), proporția datelor corporative sensibile lipite de angajați în instrumente AI a crescut constant în timp, pe măsură ce aceste instrumente au devenit parte din rutina zilnică de muncă. Seria de rapoarte Cyberhaven documentează o traiectorie ascendentă: de la aproximativ 10,7% din datele corporative introduse în instrumente AI, către 27,4%, ajungând la circa 34,8% într-o etapă ulterioară a măsurătorilor.

Cum citim corect acest indicator? Nu ca pe o alarmă apocaliptică, ci ca pe o dovadă de amploare și de viteză. Tendința este clară: pe măsură ce instrumentele AI devin mai utile, oamenii le încredințează tot mai mult din munca lor reală — inclusiv date sensibile. Întrebarea pentru organizație nu mai este „dacă” se întâmplă, ci „cât de mult” și „cu ce reguli”.

Notă de rigoare. Folosim aici exclusiv cifrele atribuite raportului Cyberhaven menționat. În restul cursului, ori de câte ori întâlnim o statistică, ea va fi atribuită explicit sursei. Acolo unde nu există o cifră verificabilă, vom folosi formulări calitative („majoritatea”, „o creștere semnificativă”) — niciodată numere inventate.

Un Caz Public Real: Samsung, 2023

Pentru a face fenomenul tangibil, merită amintit un incident public și confirmat: în 2023, la Samsung, angajați din zona de inginerie au introdus fragmente de cod sursă și informații interne în ChatGPT pentru a-și ușura munca — depanare, optimizare, verificare. Intenția era pur profesională: să rezolve mai repede o problemă tehnică. Consecința, însă, a fost expunerea de informații confidențiale ale companiei către un instrument extern, peste care organizația nu mai avea control. Incidentul a determinat compania să își reconsidere politica internă privind utilizarea acestor instrumente.

Lecția acestui caz nu este „instrumentele AI sunt periculoase”. Lecția este: oameni competenți, bine intenționați, pot expune date valoroase pur și simplu pentru că nu exista o regulă clară și un instrument aprobat la îndemână. Exact golul pe care acest curs vă învață să îl umpleți.

Granițele Acestui Curs: Ce NU Vom Discuta

Pentru claritate, fixăm de la început ce nu intră în sfera acestui curs, pentru a vă orienta corect așteptările:

• Controale tehnice de securitate — sistemele de prevenire a scurgerilor de date, monitorizarea traficului de rețea, serverele intermediare de filtrare, agregatoarele de jurnale de securitate. Acestea sunt subiecte de inginerie IT, tratate într-un curs tehnic separat.
• Cod și implementări tehnice. Nu scriem scripturi, nu configurăm instrumente.
• Fraudă, deepfake-uri, manipulare audio-video. Acestea fac obiectul unui curs distinct dedicat amenințărilor de tip impersonare.
• Auto-găzduirea de modele AI (rularea modelelor pe infrastructura proprie a companiei). Este o soluție tehnică tratată într-un alt curs.

Aici rămânem ferm la nivelul organizațional și comportamental: politici, roluri, obiceiuri, conversații manageriale, clasificarea instrumentelor și cultura de utilizare responsabilă.

Harta Mentală cu Care Plecați din Această Lecție

Înainte de a continua, fixați aceste cinci idei-ancoră:

1. Shadow AI înseamnă AI folosit în afara aprobării, vizibilității și politicii.
2. Este distinct de Shadow IT prin bariera de intrare aproape inexistentă și prin lipsa de conștientizare a riscului.
3. Majoritatea cazurilor sunt fără rea-intenție — sunt acte de angajament profesional prost ghidate.
4. Amploarea crește rapid, conform datelor atribuite Cyberhaven 2025.
5. Soluția nu este interdicția, ci o politică clară și instrumente aprobate ușor de folosit.

Aveți acum harta fenomenului: ce este Shadow AI, prin ce diferă de Shadow IT și de ce interdicția nu funcționează. Dar o hartă vă arată unde sunteți, nu de ce ați ajuns acolo. În lecția următoare coborâm în mintea angajatului bine intenționat și înțelegem exact de ce apare Shadow AI — pentru că nu puteți corecta un comportament pe care nu l-ați înțeles. De acolo, fiecare lecție adaugă o piesă la politica pe care o veți construi pas cu pas.