Shadow IT jako objaw, nie choroba. Czego biznes nie dostaje od działu IT

Zdjęcie: Phishing, cyberbezpieczeństwo, AI, cyberataki, Shadow IT

Shadow IT łatwo sprowadzić do braku dyscypliny: pracownik kupił aplikację kartą firmową, użył prywatnego konta do pracy albo wkleił dane do niezatwierdzonego modelu AI. Taka diagnoza zaczyna się jednak o krok za późno.

Brytyjskie National Cyber Security Centre wskazuje wprost, iż shadow IT rzadko wynika ze złej intencji. Zwykle pojawia się wtedy, gdy zatwierdzone narzędzia nie pozwalają wykonać zadania, brakuje potrzebnej usługi albo firmowy proces uzyskania dostępu jest zbyt wolny.

Shadow IT można więc czytać jako wskaźnik różnicy między tempem biznesu a tempem, w jakim organizacja dostarcza technologię.

Technologia przestała być kupowana wyłącznie przez IT

Najlepiej widać to w SaaS. Według SaaS Management Index 2026 firmy Zylo jednostki biznesowe kontrolują dziś 81 proc. wydatków na oprogramowanie subskrypcyjne, podczas gdy IT bezpośrednio zarządza 15 proc. Wydatki na aplikacje rozliczane przez pracowników wzrosły rok do roku o 267 proc., a ChatGPT stał się najczęściej rozliczaną w ten sposób aplikacją. Dane obejmują ponad 40 mln licencji i ponad 75 mld dolarów wydatków zarządzanych przez platformę Zylo.

Nie jest to reprezentatywna próba całej gospodarki, ale skala zbioru dobrze pokazuje kierunek zmian. Decyzja technologiczna coraz częściej powstaje poza klasycznym procesem zakupowym IT.

Koszt tej decentralizacji nie zaczyna się przy cyberataku. Zylo szacuje, iż średnio 36 proc. licencji SaaS pozostaje niewykorzystanych. Jednocześnie 78 proc. z 218 badanych liderów IT zetknęło się w ostatnim roku z nieoczekiwanymi kosztami związanymi z AI lub rozliczeniem opartym na zużyciu, a 61 proc. ograniczyło przez takie wzrosty inne projekty.

Shadow IT staje się więc również problemem finansowym. Firma może formalnie ograniczać budżet technologiczny, a jednocześnie finansować rozproszony portfel narzędzi, którego wykorzystania, umów i kosztów nikt nie widzi w całości.

AI skróciła drogę od potrzeby do ryzyka

Generatywna AI jeszcze mocniej zmieniła proporcje. Do uruchomienia nowego narzędzia nie potrzeba wdrożenia, administratora ani integracji. Często wystarcza adres e-mail.

W badaniu Netskope z 2025 r. 72 proc. użytkowników generatywnej AI w środowiskach firmowych korzystało z prywatnych kont. W ciągu roku ilość danych przesyłanych do aplikacji GenAI wzrosła ponad trzydziestokrotnie. Wśród treści naruszających polityki bezpieczeństwa pojawiały się kod źródłowy, dane regulowane, własność intelektualna oraz hasła i klucze.

Przypadek DeepSeek dobrze pokazuje dynamikę zjawiska. W szczytowym momencie użytkownicy próbowali uzyskać dostęp do usługi w 91 proc. organizacji obserwowanych przez Netskope. Trzy czwarte firm blokowało ją całkowicie. Jednocześnie liczba faktycznych użytkowników była niewielka: średnio 0,16 proc. pracowników próbowało wejść do zablokowanej usługi.

To ważne rozróżnienie. Problemem nie musi być masowe użycie jednej aplikacji. Problemem jest szybkość, z jaką nowe narzędzie może pojawić się niemal jednocześnie w setkach czy tysiącach firm, zanim przejdzie ocenę bezpieczeństwa, prywatności i warunków przetwarzania danych.

Brak widoczności ma już policzalną cenę

IBM przeanalizował 600 organizacji, które doświadczyły naruszeń danych między marcem 2024 a lutym 2025 r. Co piąta wskazała incydent związany z shadow AI. Organizacje z wysokim poziomem niekontrolowanego wykorzystania AI ponosiły średnio o 670 tys. dolarów wyższy koszt naruszenia niż firmy z niskim poziomem lub bez shadow AI. Tylko 37 proc. badanych miało mechanizmy zarządzania AI lub wykrywania jego nieautoryzowanego użycia. Wyników nie można przenosić na wszystkie przedsiębiorstwa, ponieważ badanie obejmowało firmy, które już doświadczyły naruszenia.

Od 2 sierpnia 2026 r. temat ma w Europie również bardziej konkretny wymiar regulacyjny: Komisja Europejska rozpoczęła egzekwowanie kolejnych przepisów AI Act, w tym nowych obowiązków dotyczących transparentności części systemów AI.

Samo użycie niezatwierdzonej aplikacji nie oznacza automatycznie naruszenia AI Act. Organizacja, która nie wie jednak, jakie modele wykorzystują jej pracownicy, do jakich procesów i z jakimi danymi, ma znacznie trudniejsze zadanie niż firma posiadająca taki obraz.

Shadow IT odsłania zatem coś bardziej fundamentalnego niż nieposłuszeństwo użytkowników. Pokazuje miejsca, w których oficjalna technologia jest zbyt wolna, zbyt ograniczona albo zbyt trudna do pozyskania. Dopóki założenie konta w nowej usłudze trwa minutę, a uzyskanie zatwierdzonego narzędzia tygodnie, problem nie będzie dotyczył wyłącznie bezpieczeństwa. Będzie dotyczył konstrukcji samego modelu IT.