تصور کنید در یک بخش بیمارستانی، پرستاری برای تشخیص سریع از یک ابزار پیشرفته هوش مصنوعی روی گوشی شخصیاش استفاده میکند، در حالی که تبلت رسمی بیمارستان هنوز با سیستمعاملی از پنج سال پیش کار میکند. این تضاد، توهمی از مدرنیته میسازد که در واقع روی زیرساختهای در حال پوسیدگی پوشانده شده است. هوش مصنوعی سایه (Shadow AI) این نقاط ضعف را ایجاد نمیکند، بلکه آنها را با وضوح بیشتری برجسته میکند و سیگنالی میفرستد که بخش IT احتمالاً تصویر کاملی از نحوه انجام واقعی کارها در سازمان ندارد.
طبق گزارش وضعیت فضای کاری دیجیتال ۲۰۲۶ (State of Digital Workspace 2026 Report)، استفاده از دستیارهای هوش مصنوعی در محیطهای کاری طی سال ۲۰۲۵ تقریباً ۱۰۰۰ درصد رشد کرده است. این جهش، بیش از آنکه یک موفقیت باشد، مانند یک ابزار تشخیص عمل میکند تا دقیقاً نشان دهد بخش فناوری اطلاعات (IT) سازمانها در کجا شکست خورده است. این گزارش با تحلیل دادههای تلهمتری میلیونها دستگاه مدیریتشده در ۱۷ صنعت مختلف، محدودیتهای معمولِ نظرسنجی از کارکنان یا درخواست از آنها برای افشای ابزارهای استفادهشان را کنار گذاشته و واقعیت را برملا کرده است.
برای اکثر کارکنان، فاصله میان ابزارهایی که IT فراهم میکند و ابزارهایی که واقعاً نیاز دارند، یک استرس روزمره است. وقتی نرمافزارهای سازمانی کند یا محدود به نظر میرسند، کارکنان برای پیشبرد کارشان به سادگی به برنامههای مصرفکننده روی میآورند. این رفتار جدید نیست، اما سرعت پذیرش هوش مصنوعی، آن را به نقطهای بحرانی رسانده است. کارکنان همیشه به سمت فناوریهایی میروند که به آنها کمک میکند کارآمدتر عمل کنند، چه این ابزارها به طور رسمی توسط IT معرفی شده باشند و چه نباشند. این تمایل شدید به بهرهوری، حتی باعث شده است که بسیاری از کارکنان وظایف انسانی و حساس خود را به طور کامل به هوش مصنوعی بسپارند تا سرعت خروجی کارشان افزایش یابد.
این روند شبیه به کتابخانهداری است که میلیاردها صفحه را خوانده و حالا با همان لحن جواب میدهد؛ یعنی هوش مصنوعی زاینده (Generative AI) سرعت پذیرش ابزارها را به شکلی شتاببخش تغییر داده است. همانطور که در تحلیلهای قبلی ما دربارهی امنیت مدلهای بازمتن اشاره کردیم، تمایل کاربران به بهرهوری سریع، همیشه بر پروتکلهای سختگیرانه امنیتی غلبه میکند.
چشمانداز هوش مصنوعی سایه
این گزارش شکاف عمیقی را میان محیطهای مدیریتشده و مدیریتنشده نشان میدهد. درک اینکه کارکنان از کدام ابزارهای AI استفاده میکنند تنها بخشی از پازل است؛ سوال افشاگرانهتر این است که چرا آنها را انتخاب میکنند. اغلب اوقات، کارکنان به ابزارهای تاییدنشده روی میآورند چون آنها را سریعتر، آشناتر یا برای یک وظیفه خاص مناسبتر مییابند. این موضوع در حالی است که پیچیدگی برخی قابلیتهای AI در محیط کار باعث شده کاربران به جای ابزارهای رسمی، به دنبال جایگزینهای سادهتر در بازار آزاد باشند.
در حالی که مایکروسافت کوپایلت (Microsoft Copilot) به دلیل ادغام با مجموعه Microsoft 365 و استقرار تحت کنترل IT، بر دستگاههای موبایل مدیریتشده تسلط دارد، بازار آزاد روایت متفاوتی دارد:
- ChatGPT در ۹۱ درصد از دستگاههای iOS غیررسمی (unsanctioned) دیده میشود.
- ChatGPT در ۶۱ درصد از دستگاههای اندرویدی غیررسمی حضور دارد.
- جمینای (Gemini) بخش قابلتوجهی از کاربران باقیمانده اندروید را به خود اختصاص داده است.
این تغییر حتی به ابزارهای ارتباطی عمومی هم سرایت کرده است. برنامههای پیامرسان مصرفکننده اکنون تقریباً نیمی از تمام ابزارهای ارتباطی روی دسکتاپهای مدیریتشده را تشکیل میدهند و مستقیماً با تیمز (Teams)، زوم (Zoom) و اسلک (Slack) رقابت میکنند. این الگو حتی در بخشهای خدمات مالی و بهداشت، علیرغم تعهدات سختگیرانه آنها برای ثبت سوابق و آرشیو، به وضوح دیده میشود.
ریسکهای انطباق و ارتباطات
مشکل انطباق (Compliance) زمانی شروع میشود که یک سازمان تصور کند گفتگوهای حساس در کانالهای تاییدشده باقی میمانند. وقتی یک پرسوجوی سیاستی، بحث درباره وضعیت یک بیمار یا یک تصمیم داخلی به یک برنامه شخصی منتقل میشود، این دادهها دیگر در سیستمهایی که برای نگهداری، نظارت یا بازرسی استفاده میشوند، قرار نمیگیرند. این فقدان نظارت میتواند فاجعهبار باشد، چرا که استفاده غیررسمی از AI در بسیاری از سازمانها مستقیماً به نشت دادههای حساس منجر شده است.
کارکنان معمولاً قصد دور زدن کنترلها را ندارند. آنها ممکن است صرفاً از کانالی استفاده کنند که همکارشان در آن سریعتر پاسخ میدهد. این موضوع نشاندهنده یک تغییر گستردهتر است که در آن کارکنان بین اپلیکیشنها، مرورگرها و سرویسهای AI جابهجا میشوند؛ ابزارهایی که به راحتی در مدلهای سنتی مدیریت IT نمیگنجند.
همبستگی میان هوش مصنوعی و امنیت
هوش مصنوعی سایه (Shadow AI) خودش ضعف امنیتی ایجاد نمیکند، بلکه آنها را برجسته میکند. دادهها نشان میدهند همپوشانی مستقیمی بین استفاده زیاد از اپلیکیشنهای غیررسمی و «بهداشت ضعیف دستگاهها» (poor device hygiene) وجود دارد. سازمانهایی که در شناسایی استفاده از AI غیررسمی مشکل دارند، احتمالاً با مشکلاتی مثل بهروزرسانی کند وصلهها (patching)، رمزگذاری ناسازگار یا دستگاههایی که خارج از سیاستهای امنیتی تثبیتشده هستند، دست و پنجه نرم میکنند.
بخش بهداشت و درمان نمونه بارز این ریسک است. این صنعت بیشترین مواجهه با ریسکهای انطباق ناشی از اپلیکیشنهای تاییدنشده را دارد و همزمان، کندترین نرخ بهروزرسانی و بالاترین میزان دسکتاپهای رمزگذارینشده را ثبت کرده است. این همپوشانی معمولاً پنهان میماند چون اطلاعات امنیتی، مدیریت دستگاه و دادههای اپلیکیشنها معمولاً در سیستمهای جداگانهای قرار دارند.
شکافهای رمزگذاری در چندین بخش حساس بسیار گسترده است:
- رسانه و سرگرمی: ۲۸ درصد دسکتاپها رمزگذاری نشدهاند.
- بهداشت و فناوریهای پیشرفته: ۲۷ درصد دسکتاپها فاقد رمزگذاری هستند.
- بانکداری: ۲۳ درصد دسکتاپها رمزگذاری نشدهاند.
- دولت: از هر ۵ دسکتاپ، یکی رمزگذاری نشده است.
- آموزش: بیش از نیمی از تمام دستگاههای دسکتاپ و موبایل رمزگذاری نشدهاند.
شکاف بهروزرسانی (Patching)
تکنولوژی در تمام بخشهای یک سازمان با یک سرعت تکامل نمییابد. در حالی که یک کارمند میتواند در چند دقیقه و بدون نیاز به فرآیند خرید یا تیکت پشتیبانی، از یک سرویس AI جدید استفاده کند، بستن یک شکاف مدیریتی در دستگاهها ممکن است ماهها طول بکشد. این موضوع در محیطهای ترکیبی (mixed estates) که شامل لپتاپهای سازمانی، دستگاههای مشترک، سختافزارهای مقاومسازی شده (ruggedised) و گوشیهای شخصی کارکنان است، شدیدتر است.
بر اساس دادههای تلهمتری، سرعت بهروزرسانی سیستمعاملها تفاوت فاحشی دارد:
- دستگاههای iOS تقریباً ۸ برابر سریعتر از اندروید به آخرین بهروزرسانیها میرسند.
- بهروزرسانیهای macOS حدود ۱.۵ برابر سریعتر از ویندوز هستند.
در بخشهایی مثل داروسازی، خردهفروشی و عمدهفروشی، بسیاری از دستگاههای اندرویدی ۴ یا ۵ نسل عقبتر از نسخه فعلی هستند. اطلاعات در معرض خطر در این محیطها متغیر است و از پروندههای پزشکی و دادههای بالینی تا تحقیقات دارویی و اطلاعات پرداخت را شامل میشود.
واقعیتهای عملیاتی سختافزارهای قدیمی
دستگاههای قدیمی اغلب در محیطهای عملیاتی قرار دارند که جایگزینی و نگهداری آنها دشوار است. یک دستگاه دستی مقاوم در کف یک انبار یا بخش بیمارستان ممکن است چندین نسخه قدیمی باشد، در حالی که کارکنانی که از آن استفاده میکنند، به جدیدترین سرویسهای عمومی AI دسترسی دارند.
اگرچه استفاده از AI ممکن است نگرانی فوری IT را برانگیزد، اما سختافزارهای قدیمی در واقع مسیری طولانیتر و خطرناکتر برای دسترسی به اطلاعات حساس فراهم میکنند. این موضوع ثابت میکند که ریسک فقط مربوط به اپلیکیشن نیست، بلکه به وضعیت فیزیکی دستگاهی که به آن دسترسی دارد برمیگردد.
محدودیتهای سختافزاری و پایداری
استقرار هوش مصنوعی فقط یک چالش نرمافزاری نیست، بلکه یک نبرد سختافزاری است. هر استراتژی AI به دستگاههایی وابسته است که کارکنان استفاده میکنند، چه AI از طریق مرورگر ارائه شود، چه در یک اپلیکیشن جاسازی شده باشد و چه روی خودِ دستگاه اجرا شود. در دسکتاپهای ویندوزی، ابزارهای مدیریت IT، امنیت و سیستم در حال حاضر نزدیک به دو-سوم از پشته نرمافزاری نصبشده را اشغال کردهاند.
وقتی یک بار کاری AI شروع میشود، باید برای ظرفیت پردازنده و حافظه با ابزارهای حفاظتی نقطه انتهایی (endpoint protection)، مدیریت وصلهها و عوامل موجودی داراییها رقابت کند. این موضوع برای استنتاج (Inference) — لحظهای که مدل واقعاً جواب تولید میکند، شبیه به خودِ آشپزی و نه دورهی آموزش آشپزی — و گردشهای کاری عاملمحور (Agentic) حیاتی است، زیرا منابع محاسباتی موجود تعیین میکنند که سرویس طبق انتظار پاسخ دهد یا خیر.
طبق گزارش، تفاوت پایداری بین پلتفرمها تکاندهنده است:
- دستگاههای ویندوز ۳.۱ برابر بیشتر از مکها دچار خاموشی اجباری (forced shutdowns) میشوند.
- دستگاههای ویندوز ۷.۵ برابر بیشتر از مکها با وضعیت «عدم پاسخگویی» (unresponsive) اپلیکیشنها مواجه میشوند.
اگر یک دستیار AI در حین انجام یک کار روتین کند شود یا کرش کند، کارکنان به سادگی آن را رها کرده و به سراغ جایگزینهای سریعتر و غیررسمی میروند. طراحی استقرار بر اساس یک دستگاه ایدهآل، ریسک نادیده گرفتن نقاطی را دارد که پیادهسازی در آنها سختترین است؛ بهویژه در محیطهای تحت نظارت و عملیاتی که دستگاهها برای مدت طولانیتری مورد استفاده قرار میگیرند.
ضربهگیر مقرراتی
سازمانها امیدوار بودند مقررات آنها را مجبور به پاکسازی این شکافها کند، اما زمانبندی تغییر کرده است. طبق توافق سیاسی مذاکرهکنندگان اتحادیه اروپا در ۷ مه، تعهدات پرریسک قانون هوش مصنوعی (AI Act) برای سیستمهای مستقل تحت Annex III از اوت ۲۰۲۶ به دسامبر ۲۰۲۷ منتقل شد.
اگرچه تعهدات شفافیت همچنان از اوت ۲۰۲۶ شروع میشود، اما الزامات گستردهتری که سازمانها را مجبور به ایجاد فهرستهای AI و ارزیابی ریسک رسمی میکند، ۱۶ ماه به تعویق افتاد. این اتفاق فشار خارجی فوری را که میتوانست سرمایهگذاری در مدیریت دستگاهها را تسریع کند، از بین برد.
مسیر رسیدن به دید کلی
سیاستهای مکتوب زمانی ناکارآمد هستند که IT نتواند ابزارهای واقعی مورد استفاده کارکنان را ببیند. چالش عملیاتی واقعی، درک استفاده از AI در بستر آن است؛ یعنی ترکیب نام اپلیکیشن با سن دستگاه، سیستمعامل، وضعیت بهروزرسانی و پوشش رمزگذاری.
سازمانهای تحت نظارت باید دست از نگاه تکهتکه به حاکمیت AI، بهروزرسانی و رمزگذاری بردارند. یک داشبورد جداگانه برای حاکمیت AI شاید ابزارها را شناسایی کند، اما وضعیت دستگاه و عملکرد اپلیکیشن را در جای دیگری رها میکند. ترکیب این مجموعههای داده است که نشان میدهد ریسکها دقیقاً در کدام فرآیندهای تجاری یا گروههای کارکنان در حال تجمع هستند.
حاکمیت نمیتواند با رفتار کارکنان رقابت کند اگر به داشبوردی متکی باشد که وضعیت فیزیکی دستگاههای نهایی را نادیده میگیرد. هوش مصنوعی سایه شاید দৃশ্যترین نشانه مشکل باشد، اما ریسک واقعی در شکافهای میان سیستمهای مدیریت فضای کاری نهفته است.
گام بعدی شما
- بررسی وضعیت رمزگذاری دسکتاپهای سازمان و تطبیق آن با لیست اپلیکیشنهای نصبشده.
- ارزیابی سرعت بهروزرسانی سیستمعاملها در دستگاههای اندرویدی سازمانی برای شناسایی نقاط کور امنیتی.
- جایگزینی سیاستهای «ممنوعیت ابزار» با فراهم کردن ابزارهای رسمی که سرعت و تجربه کاربری مشابه نسخههای مصرفکننده داشته باشند.
اما داستان سختافزاری این تحول حتی شگفتانگیزتر است — به تحلیل ما دربارهی تراشههای Blackwell و تأثیر آنها بر استنتاج محلی مراجعه کنید.
گفتگو