Shadow AI: siva ekonomija umetne inteligence

§ 01 — PojemKaj je shadow AI: siva ekonomija umetne inteligence

Torek, deset dopoldne, sejna soba. Uprava na dolgo razpravlja o uvedbi umetne inteligence: o delovni skupini, o pilotnem projektu, o proračunu za prihodnje leto. Dve nadstropji nižje je referentka medtem v zasebni klepetalnik prilepila pogodbo, prejela povzetek, ga preoblikovala v dopis in ga poslala stranki. Uvedba, o kateri uprava šele razpravlja, je torej v podjetju že končana. Zgodila se je od spodaj, mimo vseh evidenc, in deluje izvrstno. Temu pojavu stroka pravi shadow AI — senčna umetna inteligenca.

Odgovor na vprašanje, kaj je shadow AI, je na prvi pogled preprost: gre za rabo orodij umetne inteligence pri službenem delu brez vednosti, odobritve ali nadzora delodajalca.^[1] Akademska opredelitev je strožja in zahteva tri hkratne pogoje:^[2]

• raba poteka brez uradne odobritve delodajalca,
• orodje se uporablja za službeno delo,
• raba obide mehanizme upravljanja podjetja.

Vsi trije pogoji skupaj opišejo nekaj, kar pravniki in ekonomisti poznamo že stoletja pod drugim imenom. Delo na črno.

Vzporednica s sivo ekonomijo je natančnejša, kot se zdi na prvi pogled. Siva ekonomija nastane povsod, kjer je uradna pot počasna, draga ali ponižujoča, neuradna pa hitra in dostopna. Enako velja za senčno rabo umetne inteligence: uradna pot pomeni vlogo za dostop, čakanje na odobritev IT oddelka in usposabljanje čez tri mesece. Neuradna pot pomeni zasebni telefon, javni klepetalnik in rezultat v štiridesetih sekundah. Racionalen človek s polnim koledarjem izbere hitrejšo pot. Vsak dan znova.

Razprave o tem pojavu rade preskočijo bistvo: senca je kompliment. Zaposleni, ki skrivaj uporablja umetno inteligenco, je najbolj zavzet uporabnik nove tehnologije v podjetju — orodje si je poiskal sam, naučil se ga je sam in z njim dela hitreje, vse to v lastni režiji. Podjetje je dobilo pilotni projekt, za katerega je plačalo nič. Račun pride pozneje in na druge naslove: na naslov varstva podatkov, poslovnih skrivnosti in odgovornosti.

§ 02 — ObsegKoliko sence je v podjetjih: številke iz let 2025 in 2026

Kako velika je ta siva ekonomija? Odgovor je odvisen od tega, koga vprašaš in kako meriš — prav tako kot pri klasični sivi ekonomiji, kjer se ocene med metodologijami razlikujejo za desetine odstotnih točk. Razpon zadnjih raziskav sega od 45 do več kot 80 odstotkov zaposlenih, ki umetno inteligenco pri delu uporabljajo brez odobritve. Spodnja meja tega razpona bi morala zadostovati za resen premislek v vsaki upravi. Zgornja pomeni, da je senčna raba v povprečnem podjetju pravilo, odobrena pa izjema.

Pri teh raziskavah me je presenetila vsebina vnosov. Ta zajema veliko več od slogovnega glajenja e-pošte. V raziskavi med dva tisoč zaposlenimi večjih podjetij je tretjina priznala, da je v javna orodja vnašala interne raziskave in podatkovne zbirke, 27 odstotkov kadrovske podatke sodelavcev — plače, ocene uspešnosti — in 23 odstotkov finančne podatke podjetja.^[4] V drugi raziskavi je več kot tretjina anketiranih v javne modele vnesla podatke strank.^[5] Znesek je znan: analiza stroškov kršitev varstva podatkov ocenjuje, da nesankcionirana raba umetne inteligence povprečno kršitev podraži za približno 670.000 dolarjev.^[5]

Najzgovornejši podatek pa prihaja iz vrst tistih, ki naj bi senco preganjali: med varnostnimi strokovnjaki neodobrena orodja uporablja okoli devet od desetih vprašanih — več kot med običajnimi zaposlenimi.^[3] Ko carinik tihotapi z večjo vnemo kot potniki, izvemo nekaj bistvenega o smiselnosti carinske tarife.

§ 03 — Akt o UIShadow AI in Akt EU o umetni inteligenci: obveznosti veljajo tudi za senco

Je zakonodajalec ta pojav sploh predvidel? Kdor v Uredbi (EU) 2024/1689, splošno znani kot Akt o umetni inteligenci, išče besedno zvezo shadow AI, išče zaman. Uredba pa pojav vseeno zajame, in to precej neusmiljeno, prek pojma uvajalca. Uvajalec je po členu 3(4) vsak, ki sistem umetne inteligence pod svojo pristojnostjo uporablja pri poklicni dejavnosti — izvzeta je samo osebna nepoklicna raba. Ko referentka z javnim orodjem obdeluje službeno pogodbo, se ta raba zgodi v delovnem procesu delodajalca, zato strokovna literatura senčno rabo dosledno pripisuje podjetju kot uvajalcu po členu 26.^[2] Pravo tu gleda na dejansko rabo pri opravljanju dejavnosti, in vprašanje, ali je uprava rabo odobrila, delodajalca pred obveznostmi obvaruje enako uspešno kot izgovor, da za delavca na črno pač nismo vedeli.

Dve obveznosti iz uredbe zadeneta senco neposredno. Od 2. februarja 2025 se uporablja člen 4, ki podjetjem kot ponudnikom in uvajalcem nalaga, da po svojih najboljših močeh zagotovijo zadostno pismenost svojega osebja na področju umetne inteligence — vseh, ki sisteme v njihovem imenu uporabljajo, torej tudi tistih v senci.^[6] Od 2. avgusta 2026, torej čez devet dni, pa se začne uporabljati člen 50 o preglednosti: kdor pri stiku s posamezniki uporablja klepetalne sisteme, mora ljudi na to opozoriti, umetno ustvarjene ali prirejene vsebine pa je treba označiti.^[7] Dopis, ki ga je sestavil model in nosi podpis podjetja, dobi s tem datumom svoj člen v uredbi. Podjetje, ki za polovico svojih vnosov sploh ne ve, bo to obveznost izpolnjevalo v slogu loterije.

Pošteno je dodati, kaj se je z roki dogajalo letos. Evropski zakonodajalec je z uredbo, ki jo je Svet dokončno sprejel 29. junija 2026 in jo javnost pozna kot digitalni omnibus, obveznosti za samostojne visokotvegane sisteme iz Priloge III odložil na 2. december 2027, za sisteme v reguliranih proizvodih pa na avgust 2028.^[8] Formalna pika na i sicer še manjka: na današnji dan objave spremembe v Uradnem listu EU še ni zaslediti, do nje pa se formalno uporablja prvotni urnik uredbe. Marsikatera uprava je iz naslovov o odlogu razbrala sporočilo, da je preložena celotna uredba, in mirno zaspala nazaj. Preglednost po členu 50, prepovedi, pismenost, pravila za modele za splošne namene in kazenske določbe tečejo naprej po prvotnem urniku. Odlog je zajel eno samo nadstropje stavbe. Temelji so vseljeni že poldrugo leto.

Slovenija je svoj del domače naloge oddala med prvimi: Zakon o izvajanju uredbe o umetni inteligenci, ZIUDHPUI (a lahko najdemo še kakšno bolj zapleteno kratico 😡), velja od 21. novembra 2025, nadzor deli med Informacijskega pooblaščenca, AKOS kot enotno kontaktno točko in tri druge organe, za pravne osebe pa predvideva globe od 25.000 do 250.000 evrov, pri najhujših kršitvah do 35 milijonov evrov ali sedmih odstotkov svetovnega prometa.^[9] Nadzorna infrastruktura torej stoji in čaka. Senca je z vsakim od teh datumov dražja.

§ 04 — GDPRGDPR in shadow AI: senca obdeluje osebne podatke, odgovarja pa svetloba

Ko zaposleni v javni model prilepi kadrovsko mapo sodelavca, je to z vidika GDPR obdelava osebnih podatkov. Upravljavec te obdelave je delodajalec. Vsa vprašanja, ki jih uredba postavlja upravljavcu — pravna podlaga po členu 6(1), informiranje posameznikov po členih 13 in 14, pogodba z obdelovalcem po členu 28, prenos v tretje države po poglavju V — od tega trenutka visijo na podjetju. Na vsako od njih mora podjetje odgovoriti za obdelavo, za katero izve šele naknadno, po možnosti od nadzornega organa.

Posebej trdovraten je nesporazum o tem, kam vneseni podatki sploh odidejo. Brezplačne različice javnih orodij vnose praviloma smejo uporabiti za nadaljnje učenje modelov, kar pomeni, da osebni podatki in poslovne skrivnosti postanejo učno gradivo. Izbris iz zbirke je urejen postopek. Izbris iz uteži modela je raziskovalni problem. Člen 17 GDPR, pravica do izbrisa, izhaja iz prvega sveta in v drugem obljublja nekaj, kar zaenkrat presega zmožnosti tehnologije.

K temu dodajmo še plast, ki jo poznajo predvsem gospodarski pravniki: zakon o poslovni skrivnosti varstvo priznava le podatku, glede katerega je imetnik v danih okoliščinah razumno ukrepal, da ga ohrani kot skrivnost.^[12] Podjetje, ki dopusti, da razvojna dokumentacija leta odteka v javne modele, bo v morebitnem sporu težko prepričljivo razlagalo, kako razumni so bili njegovi ukrepi. Senca torej hkrati načenja tri stebre: varstvo osebnih podatkov, varstvo poslovne skrivnosti in — od avgusta 2026 naprej — obveznosti preglednosti po Aktu o umetni inteligenci. Vsak steber ima svoj nadzorni organ in svoj cenik.

Nadzorna praksa se pri tem šele ogreva, smer pa je jasna. Informacijski pooblaščenec je rabi umetne inteligence namenil samostojen sklop pogostih vprašanj in v njih vztrajno ponavlja eno samo misel: za obdelavo osebnih podatkov v sistemih umetne inteligence veljajo vsa splošna pravila varstva podatkov, vključno z oceno učinka po členu 35 GDPR, kadar obdelava verjetno povzroči veliko tveganje.^[10] Ocena učinka je pri tem posebej nehvaležna naloga: popisati mora obdelave, ki so upravi po definiciji nevidne. Pisati DPIA za senčno rabo je približno tako zanesljivo kot popisovati sivo ekonomijo prek davčnih napovedi.

§ 05 — VzrokZakaj shadow AI cveti: prepoved je gnojilo

Zakaj senca sploh nastane? Prva refleksna reakcija uprav je bila povsod po svetu enaka: prepovedati. Zgodovina sive ekonomije pa uči, da prepoved brez dostopne uradne poti povpraševanje zgolj preseli globlje v temo, kjer nadzor stane dvakrat več. Pri umetni inteligenci je ta selitev preprosta, saj vse, kar kršitev potrebuje, tiči v žepu vsakega zaposlenega. Podjetje, ki na službenih računalnikih zapre dostop do javnih orodij, dobi prav tisto, kar kaže telemetrija iz leta 2026: štirikrat več zaznane senčne rabe kot leto prej in tretje mesto med nezlonamernimi tveganimi ravnanji zaposlenih.^[11] Zaposleni s prepovedjo izgubi službeni nadzor, obdrži pa orodje. Podjetje izgubi vpogled, obdrži pa odgovornost. To je menjava, pri kateri obe strani odideta z manj, in prav zato jo tako pogosto izberemo.

Iskalniška statistika ponuja droben, a zgovoren slovenski dodatek k tej zgodbi. Med redkimi frazami s tega področja, ki jih slovenski Google samodejno dopolni, je »pravilnik o uporabi umetne inteligence«. Podjetja torej množično iščejo interni akt — dokument, s katerim bi senco popisala in ji odprla zakonito pot. Občutek jih usmerja pravilno: interni akt je oblika, s katero delodajalec izpolnjuje obveznost pismenosti po členu 4, ureja podlago za nadzor in postavlja mejo med dovoljenim in prepovedanim vnosom. Ostaja pa pravilo, ki ga pozna vsak, ki je kdaj urejal sivo ekonomijo: legalizacija uspe šele takrat, ko postane uradna pot vsaj približno tako udobna kot črna. Pravilnik, ki zgolj prepoveduje, je zgoraj opisano gnojilo v pravni obliki.

Enako je pred kratkim sklenil tudi evropski nadzornik za varstvo podatkov. Wojciech Wiewiórowski je sredi junija 2026 v zapisu o skritih tveganjih senčne umetne inteligence ponudil nasvet, kakršnega od nadzornih organov slišimo poredko in ki spada med najboljše, kar sem jih z te strani prebral v zadnjih letih.^[13]

Nasvet obrne logiko prepovedi na glavo: senco izsušiš tako, da uradno pot narediš vsaj tako dobro kot neuradno. Prav takšne prilagojene sisteme — varne, skladne in dovolj dobre, da se zaposlenemu ne splača več seči po javnem klepetalniku — te dni gradim za svoje naročnike. Druga podjetja medtem na dolgih sestankih, kakršen je tisti z začetka tega besedila, še vedno razpravljajo, kaj naj z umetno inteligenco sploh počnejo.

Priznam, da me pri vsem skupaj najbolj zanima socialna psihologija tega pojava. Raziskave namreč kažejo, da zaposleni senčno rabo prikrivajo tudi zato, ker jo doživljajo kot konkurenčno prednost pred sodelavci, in celo predstavljajo njene rezultate kot lastno delo.^[3] Senca ima torej tri plasti: zaposleni jo skriva pred podjetjem, podjetje pred nadzornikom, uradne statistike pa zato kažejo navidezen mir. Vsi vpleteni vedo. Vsi vpleteni molčijo. Pravno gledano je to opis tveganja, sociološko pa opis ravnotežja — in ravnotežja so trdovratnejša od predpisov.

Ko se bo čez devet dni začel uporabljati člen 50 in bodo uprave spet prejele val elektronskih sporočil o novih obveznostih, si velja zapomniti sliko iz sejne sobe na začetku tega besedila. Digitalna preobrazba podjetja se je že zgodila. Zgodila se je od spodaj, brez proračuna in brez sklepa uprave — vprašanje, ki ostaja odprto, je samo, kdo bo zanjo prevzel odgovornost in po kakšni ceni. Siva ekonomija se v urejeno preobrazi povsod tam, kjer uradna pot postane cenejša od sence. Pravo za to ponuja okvir. Ceno uradne poti pa v vsakem podjetju določa uprava sama.