Генеративният изкуствен интелект и бързо разрастващият се набор от приложения за работното място променят начина, по който служителите изпълняват задачите си. Те разполагат с инструменти, които им помагат да пишат текстове, да програмират, да анализират, да обобщават информация, да проектират и да автоматизират процеси.

Много от тези инструменти са наистина полезни. Толкова полезни, че когато организациите забранят използването им, служителите невинаги спират да ги използват, а просто продължават да го правят по-незабележимо.

Глобално проучване от 2025 г. на KPMG и Университета в Мелбърн показва, че 57% от работещите са прикривали използването на AI, а 48% са качвали фирмени данни в публични AI инструменти.

Доклад за разследване на нарушенията на сигурността на данните за 2026 г. на Verizon установява, че броят на засечените случаи на използване на нерегламентиран AI се увеличава четирикратно за една година.

Както отбелязват авторите в публикация на HBR.org, техният практически опит потвърждава тази тенденция: при почти всяко внедряване на решения за откриване на използваните в компаниите SaaS и AI инструменти броят на различните AI приложения се оказва няколко пъти по-голям от този, за който екипите по сигурността са знаели.

Ръководителите могат да възприемат това като доказателство, че служителите са безотговорни и организациите се нуждаят от по-строг контрол: повече блокирани приложения, повече задължителни обучения и по-ограничителни политики. Тази реакция е разбираема, тъй като заплахите за киберсигурността са реални, могат да струват скъпо и засягат непрекъснатостта на бизнеса.

Някои системи действително трябва да бъдат строго защитени, достъпът до определени инструменти трябва да бъде ограничен, а конкретни данни никога не бива да се въвеждат във външни AI платформи.

Изследванията на авторите обаче очертават по-сложна картина: самите ограничителни политики могат да се превърнат в част от проблема.

Защо ограничителните политики могат да имат обратен ефект

Служителите не са пасивни получатели на правилата за киберсигурност. Те ги интерпретират и решават дали да ги спазват, или тихомълком да ги заобиколят. Тези решения до голяма степен зависят от това доколко служителите възприемат киберзаплахите като реални и сериозни. Затова подценяването на тежестта на тези заплахи е значителен проблем.

Данните показват обаче, че - парадоксално, някои широко разпространени политики за киберсигурност могат да задълбочат проблема, като подкопаят убеждението на служителите, че заплахите са толкова сериозни, колкото им се представят.

В шест експеримента с участието на повече от 2800 души изследователи установяват, че това се случва по два основни начина. Първо, когато политиките се налагат по начин, който кара служителите да смятат, че организацията прекомерно ограничава свободата им, те изпитват измерима психологическа реакция, известна като "психологическа реактивност". Тя ги кара да омаловажават сериозността на киберзаплахите.

Когато обаче ръководителите въвеждат същите задължителни правила с формулировки и малки промени, които запазват усещането за автономност, тази реакция отслабва и служителите са по-малко склонни да отхвърлят опасността.

Второ, когато организациите отменят или премахват политики за киберсигурност, служителите могат веднага да заключат, че рискът, заради който са били въведени, никога не е бил толкова сериозен, колкото им е било обяснявано. В резултат те започват да се отнасят с по-малко внимание към киберзаплахите като цяло.

Тук изследването предлага решение: изричното потвърждение, че първоначалният риск продължава да съществува и след отмяната на дадена политика, може да смекчи този ефект.

В едно от цитираните проучвания участниците научават, че ежедневните приложения и уебсайтове са се превърнали във водещи входни точки за кибератаки и нарушения на сигурността на данните. След това те са разпределени на случаен принцип в две групи, всяка от които получава информация за различен подход. В първия случай става дума за политика, според която защитна стена автоматично блокира достъпа до неодобрени приложения и уебсайтове. Във втория се представя образователна политика, която учи служителите сами да преценяват дали приложенията и сайтовете са безопасни.

Двете политики адресират една и съща заплаха, обяснена по идентичен начин. Реакциите на участниците обаче се различават съществено в зависимост от подхода. Хората, които научават за политиката със защитна стена, съобщават за по-силна психологическа реактивност - чувстват се по-раздразнени, застрашени и уплашени в сравнение с участниците, запознати с образователния подход. Те също така по-често отричат, че киберзаплахите представляват сериозен проблем, и поставят под съмнение доказателствата за тяхното съществуване.

Този модел съответства на явление, изследвано от един от авторите и известно като "неприемане на решението" (solution aversion). Когато хората не харесват предложеното решение на даден проблем, те са по-склонни да отричат сериозността на самия проблем. В контекста на киберсигурността това означава, че ако предложените мерки срещу рисковете от AI предизвикват психологическа реактивност, служителите може не само да се противопоставят на мерките, но и да решат, че самите рискове са преувеличени.

Този извод важи и за начина, по който организациите провеждат обученията по киберсигурност.

Във второ проучване участниците си представят, че работят като консултанти в дадена компания. На едни е казано, че техният ръководител изисква от всички да преминат обучение по киберсигурност. Други научават, че ръководителят им позволява да избират между няколко тримесечни обучителни програми и че самите те са решили да се включат в обучението по киберсигурност. Съдържанието на обучението е идентично: разпознаване на фишинг имейли, създаване и управление на силни пароли и реакция при често срещани онлайн заплахи.

И тук задължителният вариант предизвиква по-силна психологическа реактивност. Участниците, които са били задължени да преминат обучението, съобщават за значително повече раздразнение и тревожност от онези, които са избрали същото обучение. Те отново са по-склонни да отричат, че киберзаплахите са сериозен проблем.

Това поставя ребром един практически въпрос. Повечето организации не могат да направят обучението по киберсигурност незадължително. Някои изисквания за сигурност не подлежат на договаряне и има основателни причини за това. Ако единственият начин за намаляване на психологическата реактивност беше отпадането на задължителните изисквания, мениджърите щяха да бъдат изправени пред невъзможен избор между защитата на организацията и запазването на подкрепата на служителите.

Друго проучване показва, че този компромис не е толкова неизбежен, колкото изглежда. То разглежда задължително обучение по киберсигурност, но този път изискването е еднакво за всички участници. Разликата е единствено в това дали служителите имат избор как да го преминат.

Едни участници получават същото задължително изискване без възможност за избор, както в предишното проучване. Други научават, че също трябва да завършат обучението, но ръководителят им предоставя гъвкавост при избора на формат. Те могат да присъстват на място, да се включат чрез видео в реално време или да усвоят материала самостоятелно чрез писмени ресурси. Могат да преминат обучението наведнъж или да го разделят на по-кратки сесии, както и да изберат удобни за тях ден и час.

Тази разлика се оказва съществена. Участниците, които нямат право на избор, съобщават за по-силна психологическа реактивност и по-голяма склонност да отричат сериозността на киберзаплахите в сравнение с тези, които разполагат с известна свобода в рамките на задължението. Когато служителите получават известен контрол върху начина, по който изпълняват изискванията, реактивността намалява, а с нея и склонността да отхвърлят заплахата.

Скритият риск при отмяната на забрана

Много компании първоначално реагираха на рисковете от генеративния AI, като забраниха публичните инструменти. Някои имаха основателни причини за това. През 2023 г. например Samsung забрани на служителите си да използват генеративни AI инструменти като ChatGPT, след като служители качиха поверителен код в платформата. През 2026 г. обаче компанията, според медийни публикации, се е насочила към разрешаване на използването на външни AI модели от някои служители при наличие на обучение по сигурност и контролиран достъп.

От гледна точка на киберсигурността подобна еволюция е разумна: организациите могат да преминат от публични потребителски инструменти към корпоративни решения, вътрешни модели, защитени среди за тестване или одобрени доставчици.

От гледна точка на служителите обаче последователността от решения може да изпрати различно послание: "Казаха ни, че това е опасно. Сега го разрешават. Може би опасността никога не е била толкова сериозна".

В отделно проучване участниците са помолени да си спомнят политика за киберсигурност в своята организация. Едни си припомнят политика, която продължава да действа, а други - правило, което организацията е отменила или прекратила. Служителите, които си спомнят отменена политика, са по-склонни да отричат, че киберзаплахите са реални.

Последващо проучване разширява тази логика към генеративния AI. Участниците си представят, че работят в компания, която е реагирала на опасенията за поверителността на данните при използването на AI по един от три начина. В първия случай компанията е забранила генеративния AI и запазва забраната. Във втория е въвела забрана, но впоследствие я е отменила. В третия никога не е имало специална политика по въпроса.

Участниците от групата, в която забраната е отменена, са по-склонни да заявят, че рисковете от използването на генеративен AI за работа са били преувеличени, в сравнение с хората, които научават, че забраната остава в сила, или че изобщо не е била въвеждана.

Какво ръководителите да направят по различен начин

Авторите на проучванията не твърдят, че компаниите трябва да се откажат от политиките за киберсигурност, да спрат да ограничават достъпа или да направят всяко решение за сигурността незадължително. Това би било безотговорно. Ръководителите обаче трябва да имат предвид, че отмяната на дадена политика оставя психологически отпечатък. Ако не обяснят ясно защо премахват ограничението, служителите могат да си направят изводи, които подкопават усилията за киберсигурност.

Решението е политиките за киберсигурност да се разработват със същото внимание и нюанс, с които ръководителите подхождат към други големи организационни промени. Те трябва да си задават не само въпроса "Ще намали ли тази политика риска?", но и "Какво ще направи тя с убежденията на служителите относно този риск?".

Има пет принципа за разработване на политики, които защитават организацията и не предизвикват или минимизират контрапродуктивната психологическа реакция:

избор в определени граници;

сигурният подход да изглежда по-привлекателен, ефективен и лесен за достъп и използване;

ясно обяснение на причините за ограничението;

планиране на изход още преди налагане на забраната;

измерване на убежденията, не само отчитане на спазването на правилата;

В ерата на AI служителите ще продължат да откриват нови инструменти по-бързо, отколкото повечето организации могат официално да ги одобряват. Въпросът не е дали компаниите могат да изградят достатъчно високи стени, за да спрат всяко нерегламентирано действие. Това е невъзможно, защото технологичната среда се развива твърде бързо, а голяма част от нея остава извън контролираните граници на организацията.

По-важният въпрос е дали компаниите могат да изградят култура на киберсигурност, в която служителите действително разбират рисковете и имат реално желание да си сътрудничат с ръководството. За да постигнат това, мениджърите трябва да разбират в дълбочина как начинът, по който формулират и въвеждат политиките, влияе върху представите на служителите за реалността и сериозността на киберзаплахите.