Mi a shadow AI, és mekkora valójában
Shadow AI minden olyan AI-eszköz, amit a csapat munkához használ, de a cég nem tud róla, vagy nem ő fizeti.
A legjobb mérés erről egy egyetemi vezetésű, 47 országot lefedő felmérés 48 340 válaszadóval, amelyben Magyarország is szerepel (országonként nagyjából ezer fő; az adatgyűjtés 2024 novembere és 2025 januárja között zajlott). A kulcskérdés: hogyan férsz hozzá a munkához használt AI-eszközökhöz?
| Válasz | Arány |
|---|---|
| ingyenes, nyilvánosan elérhető eszközt használok | 70% |
| a munkáltatóm által biztosított eszközt használom | 42% |
| nyilvános eszközt használok, amiért én fizetek | 18% |
(Több válasz is adható volt, ezért az összeg meghaladja a százat.)
Több mint kétszer annyian használnak nyilvános eszközt, mint céges kiadásút. Ez a shadow AI egy sorban.
A szabályzatok valódi állapota — és itt dől el a cikk tézise
Ugyanez a felmérés megkérdezte, van-e a cégnél szabályzat a generatív AI használatáról:
| Válasz | Arány |
|---|---|
| van szabályzat, ami irányítja a használatot | 34% |
| van szabályzat, ami tiltja | 6% |
| nincs szabályzat | 41% |
| nem tudom, van-e | 19% |
Két dolog olvasható ki ebből, és mindkettő ellentmond a szokásos történetnek.
Az egyik: a tiltás ritka. Hat százalék dolgozik tiltó szabályzat alatt. A „mindenki tiltja, a dolgozók mégis megkerülik" narratíva egy kis kisebbségről szól.
A másik: majdnem minden ötödik ember nem tudja, van-e szabályzat — ez több, mint ahányan tiltás alatt dolgoznak. A shadow AI nem lázadás. Hiányzó és ismeretlen szabály.
Ezt támasztja alá a legbeszédesebb adat: a válaszadók 38%-a használt AI-t a munkájában úgy, hogy nem tudta, szabad-e. A többi arány ugyanebből a felmérésből:
| Amit csinált (néha vagy gyakran) | Arány |
|---|---|
| céges információt töltött nyilvános AI-eszközbe | 34% |
| szerzői joggal védett anyagot töltött be | 34% |
| a szabályzatba ütköző módon használt AI-t | 31% |
| eltitkolta, hogy AI-t használt a munkájához | 42% |
| ellenőrzés nélkül támaszkodott a kimenetre | 42% |
| hibázott a munkájában az AI miatt | 31% |
Működik-e a tiltás? Amit tudunk, és amit nem
Ezt őszintén kell kimondani, mert a piac itt nagyon magabiztos, a bizonyíték viszont nem az.
Ami a tiltás ellen szól:
- Egy 1 250 fős, négy országban felvett vizsgálat (2026 áprilisában, 500 millió dollár feletti árbevételű cégek nem informatikus irodai munkatársai körében) azt találta, hogy a válaszadók 86%-a mondja: van AI-szabályzat a cégénél — és 66%-uk mégis használt olyan eszközt, amiről azt hitte, hogy tiltott. A szabályzat puszta megléte nem tartja vissza.
- Ugyanez a vizsgálat azt is méri, hogy a korlátozásnak ára van: a válaszadók 77%-a szerint korlátozza a szakmai fejlődését, és 75%-uk olyan céghez menne, ahol jobb az AI-képzés. A tiltás nem semleges lépés.
- Egy 602 megsértett szervezetet vizsgáló 2026-os biztonsági felmérés szerint a cégek 68%-ánál egyáltalán nincs eszköz a shadow AI felderítésére — és ez az arány romlott a tavalyi 63%-ról.
És amit ki kell mondani a másik oldalról: nem találtam olyan mérést, amely tiltó és nem tiltó cégeket hasonlított volna össze ugyanazon a mintán. Vagyis az a mondat, hogy „a tiltás nem működik", nincs kontrollcsoportos bizonyítékkal alátámasztva. Ami van: sokan megszegik a szabályt, és a cégek többsége nem is látja, mi történik.
Egy dolog viszont bizonyítottan működik, és ez nem a használat tiltása: ugyanaz a biztonsági felmérés azt találta, hogy az AI-t célzó incidenst elszenvedő szervezetek 92%-ánál hiányzott a megfelelő hozzáférés-szabályozás — szerepkör-alapú hozzáférés, többfaktoros hitelesítés. A hozzáférés korlátozása hat. A használat tiltása az, amire nincs bizonyíték.
Mibe kerül
A 2026-os biztonsági felmérés szerint a shadow AI-t érintő biztonsági incidensek aránya 20%-ról 43%-ra nőtt egy év alatt a vizsgált szervezeteknél, és az ilyen incidenssel járó adatszivárgás átlagköltsége 4,63-ról 5,39 millió dollárra emelkedett.
Ezt a számot nem lehet magyar kisvállalkozásra átszámolni — 602 nagyvállalatról szól, egyenként 2 590 és 115 380 kompromittált rekord közötti eseteknél, és a mérést egy biztonsági szolgáltatásokat is áruló cég finanszírozta. Amit át lehet venni, az nem az összeg, hanem a szerkezet: a költség 63%-a a felderítésből, az eszkalációból és az elvesztett üzletből jön. Egy húszfős cégnél is az idő és az ügyfélbizalom megy el, nem bírságpénz — bár bírság az esetek nagyjából egyötödében volt.
A nemzeti arányok: miért más nálad a kérdés
Fontos szétválasztani két dolgot, amit ugyanazzal a szóval szoktak illetni.
Az uniós statisztikai hivatal vállalati szinten méri az AI-használatot, országonként. A fenti nemzetközi felmérések viszont egyéni használatot mérnek, jellemzően nagyvállalatoknál. A kettő nem ugyanaz — és éppen ez a különbség maga a shadow AI.
A jó hír, hogy ugyanaz a hivatal az egyéni használatot is méri, tehát a két szám egymás mellé tehető. Nyisd le, amelyik érint:
Magyarország — a cégek 10,4%-a, a dolgozók 14,9%-a
A magyar, 10 fő feletti cégek 10,4%-a használ AI-technológiát vállalati szinten. Ugyanakkor a 16–74 éves magyarok 14,9%-a használt generatív AI-t munkához az elmúlt három hónapban, a 25–64 évesek körében 15,9%.
Vagyis többen használják munkára, mint ahány cég elismeri, hogy használ. Ez nem ellentmondás, hanem a shadow AI legtisztább hivatalos mérése — ráadásul a két szám ugyanattól a statisztikai hivataltól, ugyanarra az évre.
Van még egy adat, ami ezt megerősíti: az AI-t használó magyarok 50,3%-a használja munkához is. Ez a legmagasabb arányok közé tartozik az Unióban — vagyis Magyarországon az AI nem elsősorban szórakozás, hanem munkaeszköz, csak nem a cég adja.
Spanyolország — kétszer annyi cég, és mégis nagyobb a rés
A spanyol, 10 fő feletti cégek 20,27%-a használ AI-technológiát: majdnem a duplája a magyar aránynak, és épp az uniós átlag fölött. Első ránézésre tehát ott a szabályozott használat áll jobban.
Az egyéni oldal viszont még előrébb jár: a 16–74 éves spanyolok 37,9%-a használt generatív AI-t az elmúlt három hónapban (uniós átlag 32,7%), és 17,9%-uk munkához — a 25–64 éveseknél 20,5%. Vagyis ugyanannyian használják munkára, mint ahány cég egyáltalán elismeri a használatot.
A céges oldalról nézve a rés még nagyobb: egy 2026 nyári, 501 spanyol irodai dolgozót is kérdező felmérés szerint a válaszadók 82%-a használ AI-t napi feladatokhoz, és közülük 82% használt olyan eszközt, amit a cég nem biztosított, anélkül hogy szólt volna róla. Céges AI-képzést 44%-uk kapott.
Amit ebből érdemes elvinni: a magasabb céges adoptáció nem szünteti meg az árnyék-AI-t. Spanyolországban kétszer annyi cég használ AI-t, mint Magyarországon — a be nem jelentett eszközhasználat mégis ugyanúgy, sőt mérhetően jelen van.
Egy húszfős magyar szolgáltatócégre lefordítva [Saját becslés, a fenti arányokkal]:
| Lépés | Szám |
|---|---|
| létszám | 20 fő |
| ebből munkához használ AI-t | ~10 fő |
| ebből ingyenes, nyilvános eszközt is | ~7 fő |
| ebből már tett bele céges információt | 2–3 fő |
Két-három ember. A shadow AI nem „mindenki csinálja" probléma, hanem „két-három ember, akiről nem tudod" probléma. És pont ezért nem látszik.
Egy amerikai telemetriás mérés (222 ügyfélcégnél, böngészőbővítménnyel, a 2025-ös évre) még egy fontos részletet ad hozzá: a kevésbé ismert eszközöknél a használat több mint fele személyes fiókon fut, míg a legismertebb chatbotnál nagyjából harmada. A shadow AI nem ott a legnagyobb, ahol keresnéd — hanem ott, ahol a cégnek eszébe sem jutott előfizetést venni.
Hogyan mérd fel egy nap alatt
Erre nem találtam hatósági útmutatót, ezért a lenti sorrend saját összeállítás — de minden lépés meglévő, céges rendszerből dolgozik, és egy 10–50 fős cégnél egy ember végig tud menni rajta.
| # | Forrás | Mit lát meg | Mit nem | Idő |
|---|---|---|---|---|
| 1 | Bankszámla- és kártyakivonat 12 hónapra — keresés az eszköznevekre | elszámolt egyéni előfizetések | ingyenes használat, magánkártyás fizetés | 1 óra |
| 2 | Az irodai csomag admin felülete: harmadik féltől származó appok és hozzáférési engedélyek | minden eszközt, ami céges fiókkal jelentkezett be — és azt is, mihez kapott hozzáférést | jelszavas regisztrációt | 1–2 óra |
| 3 | A céges postafiókok keresése a regisztrációs visszaigazolókra | ahová céges e-maillel regisztráltak | magánfiókos regisztrációt | 1–2 óra |
| 4 | Tűzfal- vagy DNS-napló, ha van kezelt hálózat | a céges hálózatról induló forgalom | otthoni és mobilnetes használatot — ma ez a többség | fél nap |
| 5 | Névtelen, ötkérdéses kérdőív | amit a másik négy sosem lát: a személyes fiókos használatot | amit nem vallanak be | 1 óra |
Az ötödik lépés kérdései:
- Melyik AI-eszközöket használtad az elmúlt 30 napban munkához?
- Melyiket céges fiókkal, melyiket magánfiókkal?
- Fizetsz érte magadból? Mennyit?
- Beillesztettél-e valaha ügyfélnevet, szerződésszöveget, árat, forráskódot vagy személyes adatot? (igen/nem)
- Mi az az egy dolog, amit a céges eszközzel nem tudsz megcsinálni, ezért használsz mást?
A negyedik kérdésnél a névtelenség nem udvariasság, hanem módszertan. Ha a válasz azonosítható, a válaszok értéktelenek — a nemzetközi felmérés szerint 42% szokta eltitkolni az AI-használatát.
Az ötödik kérdés a legfontosabb, mert ez mondja meg, mit kell engedélyezned, hogy ne legyen shadow AI. A nagyvállalati felmérés egyik legbeszédesebb adata, hogy a válaszadók 72%-a szerint ő jobban érti az AI-t, mint a saját informatikai csapata. Lehet vitatkozni vele — de a jelentése egyértelmű: a dolgozók nem kockázattudatlanok, hanem eszközhiányosak.
Mi jön a felmérés után
A sorrend nem mindegy: a szabályzatot a felmérés eredményére kell szabni, nem fordítva. Ha előbb írod meg, az fog benne szerepelni, amit te gondolsz — nem az, amit használnak.
Négy lépés, ebben a sorrendben:
- Engedélyezz egyetlen eszközt céges fiókkal arra, amire a legtöbben használják.
- Írd le, mit nem szabad beletenni — egy oldalon, tételesen. Ehhez kész váz van: az egylapos AI-szabályzat .
- Állítsd be a hozzáféréseket. Ez az egyetlen kontroll, amire mérési bizonyíték van.
- Képezz. Ez ráadásul 2026 augusztusa óta felügyelt uniós kötelezettség is — a részletekről a csapat AI-képzési terveszól.
Két félreértés
„Nálunk nincs shadow AI, mert nem engedjük." Az adatok szerint ez a legrosszabb állapot: nincs engedélyezett út, és nincs felderítés sem. A két-három ember ettől még ugyanúgy ott van.
„Majd a tűzfal megfogja." Egy hibrid csapatnál a használat nagy része nem a céges hálózatról megy. A negyedik lépés hasznos, de nem elég.
Amit érdemes elvinni
A shadow AI nem tömegjelenség, hanem néhány ember, akiről nem tudsz — és a leggyakoribb oka nem a szabályszegés, hanem az, hogy nincs szabály, vagy nem ismerik. A felmérés egy nap, és nem kell hozzá új szoftvert venni.
A tiltásról nincs bizonyíték, hogy visszafogja a használatot, és van bizonyíték arra, hogy megtartási kockázattal jár. Amiről viszont van adat: a hozzáférés szabályozása hat, és a cégek kétharmadánál egyáltalán nincs eszköz a felderítésre.
És ami a legfontosabb: a mérés ötödik kérdése nem a kockázatról szól, hanem arról, mit adj a csapatodnak. Hogy mit tölthetnek fel egyáltalán, azt a GDPR és az AI viszonyabontja ki tételesen.