AI 生意观察
员工早就在用 AI 了,你还在开会讨论要不要用
影子 AI(Shadow AI):指员工在公司不知情、也未经批准的情况下自己用起来的 AI 工具。老板最大的盲区,不是没上 AI,是不知道公司里已经在跑什么 AI。
一句话先给你:很多老板还在开会讨论"要不要让员工用 AI"。这个会开晚了——他们已经在用了。真正该问的是另一句:他们把什么东西喂进去了?
这不是"新风险",是"旧风险换了个入口"
十几年前这件事叫影子 IT:公司没买,员工自己装了个网盘、自己开了个协作工具,活干得更快了,资料也跟着出去了。今天的版本只是换了入口——不是网盘,是对话框。
区别在于两点,而且都让它更难发现:
- 它不需要安装。浏览器打开就能用,IT 的软件清单上什么都看不到。
- 它看起来像在帮你。员工不是在偷懒,恰恰是在努力把活干好——所以他不觉得需要报备,你也不觉得该管。
关于"有多普遍",我不打算给你一个数字
西方 2026 年的几项调查,给出的员工未授权使用率是 45%、65%、66–67%〔事实:美国/西方调查,2026〕。三个数字彼此打架。
打架的原因不难猜:口径不一样(是"未经批准"、还是"没告诉公司"、还是"不是公司采购的"),而且全是员工自己报的——这类问题的自报数据普遍偏低。
这个打架本身,比任何一个数字都有用:连专门做调查的人都量不准这件事,你更量不准。所以别再问"行业里有百分之多少"——去查你自己公司。
🔴 诚实提示:上面全是西方数据,不能直接套到中国企业头上。
本站写过 分时高管在中国为什么长不出来,论点正是"把欧美数字搬来当参照,会得出完全错误的预期"——这条同样适用于本篇。
〔推测〕方向上,中国的实际比例很可能更高:DeepSeek、豆包、Kimi 这类工具免费、无需付费账号,员工用起来连一道报销或账号关卡都不用过;而西方调查里的"未授权",至少还要跨过这一关。所以那些西方数字更像下限,而不是参照值。——这是推测,不是数据。
本站写过 分时高管在中国为什么长不出来,论点正是"把欧美数字搬来当参照,会得出完全错误的预期"——这条同样适用于本篇。
〔推测〕方向上,中国的实际比例很可能更高:DeepSeek、豆包、Kimi 这类工具免费、无需付费账号,员工用起来连一道报销或账号关卡都不用过;而西方调查里的"未授权",至少还要跨过这一关。所以那些西方数字更像下限,而不是参照值。——这是推测,不是数据。
五个问题,今天下午就能查完
不用买工具,不用立项,不用开会。挨个问一遍:
1. 问财务:过去半年有没有人报销过 AI 类的会员或订阅?有,说明已经在用;一笔都没有,更值得警惕——不是没人用,是用的都是免费的、你更看不见的那种。
2. 查制度:公司有没有任何一份关于"AI 能用来做什么、不能做什么"的书面说明?没有,就等于默许了一切。
3. 随机问三个人:不要发问卷,直接找三个不同岗位的人,问"你上周用 AI 干过什么?"。听具体的活,不听态度。
4. 看外发文件:翻翻客服和 HR 最近发出去的邮件、话术、通知,读起来像不像人写的。像 AI 写的,就说明它已经在流程里了,只是没人承认。
5. 问 IT:有没有相关的出网访问记录?能不能看出哪些部门访问得最多?
2. 查制度:公司有没有任何一份关于"AI 能用来做什么、不能做什么"的书面说明?没有,就等于默许了一切。
3. 随机问三个人:不要发问卷,直接找三个不同岗位的人,问"你上周用 AI 干过什么?"。听具体的活,不听态度。
4. 看外发文件:翻翻客服和 HR 最近发出去的邮件、话术、通知,读起来像不像人写的。像 AI 写的,就说明它已经在流程里了,只是没人承认。
5. 问 IT:有没有相关的出网访问记录?能不能看出哪些部门访问得最多?
五个问题里有三个答不上来,说明你不是"还没上 AI",而是处在盲区里。
查出来之后,别做的那件事
第一反应通常是"那就禁掉"。禁令基本无效,而且会让情况更糟:员工改用手机、改用个人账号、改在下班后做——你从"看不见一部分"变成了"完全看不见",同时还失去了他们主动告诉你的可能。
也别做这三件事:
· 别立项。这件事不需要预算,也不需要三个月。
· 别找外部顾问。上面五个问题,你自己半天就能问完,外人来问反而更难听到实话。
· 🔴 别买"AI 治理/监控平台"。在这个阶段,这是最贵、也最无效的解法——你连自己公司在用什么都还不知道,先买一套系统来管,管的是想象中的问题。工具解决不了"没人敢说实话"。
· 别立项。这件事不需要预算,也不需要三个月。
· 别找外部顾问。上面五个问题,你自己半天就能问完,外人来问反而更难听到实话。
· 🔴 别买"AI 治理/监控平台"。在这个阶段,这是最贵、也最无效的解法——你连自己公司在用什么都还不知道,先买一套系统来管,管的是想象中的问题。工具解决不了"没人敢说实话"。
两个零成本的动作,先做这两个就够
① 一页纸红线(半小时能写完)
不写"规范",就写绝对不能贴出去的东西——通常三到五类就够:客户名单与联系方式、未公开的报价与成本、员工个人信息、核心代码或配方、签了保密的合同内容。
写清楚"不能贴什么",比写一百条"应该怎么用"管用得多。
② 一次坦白窗口(一次会就够)
明确说一句:在这之前用过什么,一律不追责;从今天起按红线来。
不给这个台阶,你永远拿不到真实情况——因为承认"我把客户名单贴进去过"的代价太高,没人会说。你要的是真相,不是认错。
不写"规范",就写绝对不能贴出去的东西——通常三到五类就够:客户名单与联系方式、未公开的报价与成本、员工个人信息、核心代码或配方、签了保密的合同内容。
写清楚"不能贴什么",比写一百条"应该怎么用"管用得多。
② 一次坦白窗口(一次会就够)
明确说一句:在这之前用过什么,一律不追责;从今天起按红线来。
不给这个台阶,你永远拿不到真实情况——因为承认"我把客户名单贴进去过"的代价太高,没人会说。你要的是真相,不是认错。
这两件做完,你就从"不知道"变成了"知道个大概"。什么时候该上更正式的管理,等你先知道自己在管什么再说。
带走一句:影子 AI 的风险不在于员工用了 AI,而在于你不知道他们用它做了什么。而从"不知道"到"知道",花不了钱,也用不着任何人帮你——只需要你今天下午去问五个问题。
📌 本文讲的是你没部署的 AI 已经在公司里跑;至于你已经部署的 AI 会被外部怎么攻击(提示注入与判断方法),是另一件事,见 AI 员工的安全。
2026-09-20 · 本文比例数据均来自美国/西方调查,仅说明现象存在与量级方向,不代表中国企业比例;对中国的判断为本站推测,以你的自查结果为准。