大綱

Shadow AI(影子AI)

什麼是 Shadow AI？

Shadow AI（影子 AI）是指員工在未經 IT 部門或資安團隊核准的情況下，自行使用 AI 工具來完成工作任務。這些工具可能包括 ChatGPT、Claude、Gemini 等公開的生成式 AI 服務，或是嵌入在各種 SaaS 應用程式中的 AI 功能。

Shadow AI的成因

1.生產力誘因：生成式 AI 能大幅提升工作效率，員工自然傾向使用

2.低進入門檻：多數 AI 工具免費或低成本，無需 IT 協助即可使用

3.審批流程緩慢：正式導入 AI 工具的流程冗長，員工等不及便自行使用

4.缺乏明確政策：組織未制定清楚的 AI 使用規範，員工不知何者可用

5.隱性 AI 功能：許多已核准的 SaaS 工具悄悄加入 AI 功能，使用者不自覺就啟用了

對 AI 治理的影響

對 AI 治理的影響Shadow AI 使傳統治理框架失效——組織無法管理看不見的東西。它凸顯了治理必須從「禁止」轉向「疏導」，提供安全的替代方案比單純封鎖更有效。

情境描述 資安團隊在例行網路流量監控中發現，過去三個月有大量連線至 ChatGPT、Claude 等公開 AI 服務。進一步調查發現，財富管理部門的理專們普遍使用這些工具來撰寫投資建議書、分析客戶財務狀況，甚至有人將客戶的完整資產明細貼入 AI 以產生個人化建議。該如何處理這個情況？

Step 1：評估影響範圍 — 需要盤點哪些資訊？

請在此寫下你們的討論結果…

Step 2：通報與組成專案小組

應通報對象
1.
2.
3.

專案小組成員
1.
2.
3.

Step 3：短期緊急措施 — 立即應採取什麼行動？

（提示：技術控制、通知員工、保留證據、法規評估）

請在此寫下你們的討論結果…

Step 4：中長期治理措施

政策面	技術面	教育面
建議措施：	建議措施：	建議措施：
延伸思考發現員工使用 Shadow AI 時，應該以懲處還是教育為主？如何在「保護資料安全」與「支持員工提升效率」之間取得平衡？