當紐特提著他那不起眼的手提箱，若無其事地通關時，在場的人大概都想不到，那個手提箱裡面會藏著玻璃獸，以及來自世界各地的各種奇獸吧。

這種違反國家的邊境管理法規的行為就被稱為走私。同樣的，在一個正常的、有制度的企業內部，也會有其規範的 IT 作業環境、軟硬體、流程、網路環境等。當員工有意或無意的違反了這些規範，在公司內用非預期的軟硬體、網路等進行日常作業，就被稱為「影子IT (Shadow IT)」。

這些行為包括了默默從家裡帶了自己的電腦、手機、隨身碟進入公司使用，或是私自下載、使用了公司未同意使用的軟體，甚至私接網路等等。

這些行為未必立即會對企業產生危害，甚至在短期內企業還會因為員工效率提高，或是省下採購費用等種種原因獲益。但長遠來看，這些不受管制的行為對於企業而言，終究會成為企業成長的阻礙，甚至帶來實質的財務損失。

姑且不論缺乏制度的中小企業，一個正常的大企業中，最基本一定會有防火牆和防毒軟體，但這些軟體阻擋的主要是各種惡意行為及程式，影子IT的行為卻往往和一般日常操作沒兩樣，因此可以輕鬆繞過防火牆與防毒軟體的管制。於是，為了防堵這些影子 IT ，企業就會需要投注額外的資源，從技術面加以限制。

以上種種，都還只是傳統的影子 AI 議題。過往的影子 IT，至少都需要自己有辦法找到適合的軟硬體及制度漏洞、繞過公司規範。但在 AI 普及化的今天，AI 成為了在員工耳邊呢喃的蛇，直接將禁果拿到員工面前，誘惑著員工繞過公司管制，甚至教導員工怎麼不被企業的偵測機制抓到。因此在 AI 時代，影子 IT 將再次成為企業資安治理上挑戰。

接下來的30天，我會逐步從傳統的影子 IT 定義及危害開始，由淺入深，逐步推進到 AI 時代的影子 IT 挑戰，及現代企業應該落實的企業治理與防禦框架。

「為防範影子 IT 所進行的投資，往往無法立即體現在企業獲利上。
如果可以靠教育訓練，讓員工主動避免進行影子 IT 的行為，會是最便宜的方式。
但這畢竟不是一個理想的世界，所以企業只能一再地投入成本，對影子 IT 進行管制」