在魔法世界裡，犯了嚴重罪行的巫師們，會被魔法部逮捕，並在審判後關押到四面環海的阿茲卡班監獄。在阿茲卡班裡面，這些巫師們會被監管監獄的催狂魔吸乾快樂與靈魂，過著極其痛苦的日子。

在企業裡面，影子 IT 帶來的不單只是違反企業內規的問題。嚴重的情況下，影子 IT 可能造成企業機密外洩而失去競爭優勢、遭逢巨大的商譽損失、面臨跨國訴訟以及天文數字級的罰款或賠償金額。例如近年世界各國開始重視起個資議題，在歐盟地區就頒布了歐盟個資法 GDPR，對於違反的企業，最高可以處罰 2000 萬歐元或是 4% 全球營業額，而且還是取較高者為上限。對於毛三到四的產業來說，這樣的罰款相當於一整年都在做白工，甚至還要賠掉其他年度的獲利。此外，很多個人使用免費的軟體，在企業使用上其實是需要付費的，例如 Anaconda、Docker Desktop 等，一旦發現未經授權在企業內使用，企業就會需要付出大筆授權費與和解金。更別說使用盜版商用軟體了，企業面對的求償金額往往遠超過一個人一生所得。

以下就列舉幾個近年幾個因為影子 IT 引發的史詩級重大災難。

• 2022 年，美國證券交易委員會（SEC），大舉裁罰了包含摩根大通（JPMorgan Chase）、高盛（Goldman Sachs）、摩根士丹利（Morgan Stanley）、花旗（Citigroup）等 16 間頂級投資銀行。原因是因為這些投資銀行內部的交易員、主管與投資顧問為了避開監管審查，或純粹覺得官方系統難用、回覆太慢，集體私下使用個人手機上的 WhatsApp、Signal、個人電子郵件與客戶溝通投資建議、商討交易條件。這樣的行為被監管單位認定為「普遍且長期的未授權通訊工具濫用（Unapproved Communications Records Failure）」，因而對相關企業祭出累計高達 20 億美元的罰款。無獨有偶，台灣的金融界過往也曾發生過不少類似的案例，例如台新銀行在 2021 年遭金管會重罰 3,000 萬元的理專弊案中，裁罰主文便直指核心內控缺失之一：理專長期透過未受納管的私人通訊軟體私下與客戶聯繫、代操資金，徹底架空了分行的通訊監管機制。

• 2017 年，美國頂級國防與情報承包商 Booz Allen Hamilton (BAH) 的工程師，為了在外網方便作業、測試程式與除錯，私自在非官方授權、未納入企業集中安全監控（Centralized IAM/SecOps）的個人/獨立 AWS 帳號中建立了 S3 Bucket。並將包含美國軍事機密檔案以及具有高權限存取能力的主機金鑰直接打包上傳上了這個 S3 Bucket。更致命的是，他還將這個 S3 Bucket 設定為可公開存取。這個案例雖然最後美國政府沒有直接裁罰該公司，但也對公司造成了嚴重的商譽與營運打擊，引發了資本市場短暫的恐慌拋售，單日股價一度下跌近 20%。

• 一般商用軟體的侵權問題，往往不會公開被拿到檯面上講，而是各企業默默的付出授權費用和賠償金作結。但在這十幾年的工作經驗中，也曾多次聽到以一人私裝軟體，導公司付出高達百萬美元和解金的血淋淋案例。為了打擊盜版行為，許多商業軟體公司也組成了 商業軟體聯盟（Business Software Alliance，縮寫BSA），成員包含微軟、Adobe、Autodesk、IBM等，常態性的提供高額獎金給檢舉人，以取得企業內部使用盜版的行為。每個案件的保密和解金額，也常常在數十萬至數百萬美元之譜。

• 在 AI 時代，部門未經企業內部 IT 或資安把關，私自導入未受評估許可使用的 AI 模型，也算是一種影子 IT 行為。例如美國大型連鎖藥妝巨頭 Rite Aid 的案例，Rite Aid 的安防與防損部門在未經企業資安、法務與隱私委員會完整技術盡職調查（Due Diligence）的情況下，於 2012 年至 2020 年間在數百家分店私自採購並導入了兩家外部廠商的人臉識別監控 AI。然而因為這兩個系統存在嚴重的缺陷和偏見，頻繁將無辜顧客（不成比例地集中於女性與有色人種）誤認成通緝犯或慣竊，引發嚴重的爭議及訴訟，最終 Rite Aid 被美國聯邦貿易委員會（FTC）要求徹底刪除所有收集到的消費者臉部特徵、影像資料、銷毀所有依此訓練出的模型、演算法及衍生資料，並被禁止使用任何臉部辨識監控技術長達五年。

「影子 IT 的行為乍看之下可能只是小奸小惡，源頭也往往只是想把工作做得更快更好。但其實很有可能已經是走在地雷區而不自知，一旦踩到監管或法律紅線時，瞬間引爆的結果，恐怕不亞於被關入阿茲卡班監獄。」

下篇要正式開始討論 AI 時代的影子 IT 了