# AI рискът вече е във фирмата ви. Просто може още да не го виждате Христо Ласков · 2026-06-02 · Блог, CTO/CIO/CSO, CEO/Manager _[Никоай Пасков](https://www.linkedin.com/in/nikolay-paskov-15a8ba125/), CTO на CENTIO #Cybersecurity_ Преди няколко месеца разговарях с управител на средно голяма компания, която работи с чувствителни клиентски данни. Попитах го колко AI инструмента използват хората му ежедневно. Отговорът беше уверен: „Един. Може би два. ChatGPT го забранихме.“ Помолих го да минем през екипите, без да задълбаваме. Два часа по-късно списъкът вече беше над 18 инструмента. ChatGPT се използваше през лични устройства. Copilot беше активен в Excel. Маркетингът работеше с AI функции в Canva. Един разработчик беше направил собствен помощник, който обобщава клиентски тикети и има достъп до вътрешна база данни. Това е все по-честа картина в организациите. Хората използват AI, защото им върши работа. Пести време, помага при писане, анализира таблици, обобщава срещи, генерира код и подрежда хаоса. Реалният проблем е друг: в много компании това използване остава невидимо, неуправлявано и извън официалната оценка на риска. ### **Новото Shadow IT** Преди години говорехме за Shadow IT. Служителите използваха Dropbox, личен Gmail, WeTransfer или неразрешени SaaS инструменти, защото официалните процеси бяха бавни. IT екипите често разбираха късно — понякога след инцидент, понякога при одит, понякога когато клиентски данни вече са били качени на грешното място. Днес същият модел се връща под нова форма: **Shadow AI**. Разликата е важна. Старият Shadow IT основно съхраняваше или пренасяше информация. AI инструментите вече могат да четат, пишат, обобщават, предлагат решения и понякога да действат от името на служителя. Когато AI помощник има достъп до поща, файлове, CRM, код или клиентски тикети, той вече е участник в работния процес. Ако организацията не знае, че този участник съществува, рискът остава извън управлението. ### **Забраната рядко е достатъчно решение, защото AI инструментите са част от приложенията, с които работим всеки ден** Много компании започват с най-лесната реакция: „Забраняваме ChatGPT.“ Това звучи решително, но реалният проблем вече е по-широк. AI отдавна не е само отделен сайт, който може да бъде блокиран. Той е вграден в офис пакети, браузъри, инструменти за дизайн, CRM системи, платформи за комуникация, IDE-та и десетки SaaS услуги. Служителят може изобщо да не мисли, че използва „AI“. За него това е бутон в Excel. Функция в Canva. Автоматично резюме на среща. Помощник в имейл клиента. Разширение в браузъра. По-важният въпрос вече е: **Къде във вашата организация AI обработва данни, взема решения или действа от името на хората?** За повечето организации ясният отговор е труден. Рискът е нов, разпръснат и често изглежда като нормална продуктивност. ### **Реалният риск най-често започва в наглед обикновени работни ситуации** Служител качва клиентски договор в публичен AI инструмент, за да го обобщи. Маркетинг екип използва AI платформа с реални клиентски данни. Разработчик свързва AI помощник с вътрешно хранилище с код. Екип по поддръжка използва автоматични резюмета на тикети, в които има лични данни. Мениджър включва AI протоколиране на срещи, без да е ясно кой има достъп до записите и транскрипциите. Всяка от тези ситуации изглежда малка. Заедно обаче очертават нова повърхност за риск. Тази повърхност засяга сигурност, поверителност, GDPR, вътрешни политики, клиентски договори и одитна проследимост. Инструмент, който не е описан никъде, трудно може да бъде контролиран. ### **За организациите в обхвата на NIS2 това е още по-чувствителна тема** Ако организацията ви попада в обхвата на NIS2, Shadow AI вече е част от разговора за управление на киберриска. AI инструмент, който обработва клиентски данни, има достъп до вътрешни системи или действа от името на служител, създава въпроси за достъпа, контрола, проследимостта и реакцията при инцидент. Това е особено важно за сектори с чувствителни данни, критични процеси, клиентски договори или регулаторни изисквания. Там „не знаехме, че се използва“ е слаб отговор. Затова темата трябва да влезе в управлението на риска като нормален въпрос: кои AI инструменти работят с наши данни, кой ги използва, с какви права и какво правим, ако нещо се обърка? ### **Първата стъпка е видимост** Много организации искат да започнат с AI policy. Това е разбираемо, но често е прибързано. Преди да напишете правилата, трябва да знаете реалността. За да започнете отнякъде, отговорете си на тези 5 въпроса: - Кои AI инструменти вече се използват? - От кои екипи? - За какви задачи? - С какви данни работят? Имат ли достъп до поща, файлове, CRM, код, клиентска информация или финансови документи? - Има ли инструменти, които действат автоматично от името на служител? Това е начин да видите риск, който иначе остава невидим. Инвентаризацията често е моментът, в който разговорът се променя. Ръководството вижда реалната картина. ИТ екипът разбира къде има нужда от контрол. Служителите получават ясна рамка, вместо да гадаят кое е позволено. След това вече има смисъл от политика. Тогава може да се реши кои инструменти са одобрени. Какви данни могат да се обработват. Къде е нужна предварителна проверка. Какво се логва. Как се реагира при инцидент. Без видимост правилата лесно се превръщат в добри намерения върху непълна картина. ### **Какво да направите тази седмица** Започнете просто. Съберете списък на AI инструментите, които реално се използват във фирмата. Реалните, не само официално одобрените. Питайте екипите спокойно и без наказателен тон. Целта е да разберете как работи организацията днес. След това отбележете три неща за всеки инструмент: кой го използва, с какви данни работи и дали има достъп до вътрешни системи. Само това вече ще ви даде по-добра картина от повечето формални политики. AI рискът вече е вътре в много организации. Едни ще започнат да го управляват навреме. Други ще го открият при одит, клиентски въпрос или инцидент. Нашият съвет е прост: **Преди да пишете AI политика, открийте реалното AI използване във фирмата. Рискът вече може да е там. Просто още да не го виждате.** Свържете се с нас, за да ви помогнем да го направите. --- Canonical: https://centio.bg/ai-risk-assesment-policy