O6 -員工自己用的 AI，比公司買的還多
資安部門在一次例行檢查中發現，業務部有不少人會把客戶資料貼進自己的個人 AI 帳號，用來整理拜訪紀錄、寫報價說明。
資安主管的第一個反應，是發出一封全公司公告：「嚴禁使用未經核准的 AI 工具。」
但在發公告之前，他先找了幾位業務聊聊。答案讓他有點意外：公司的正式 AI 工具要先提申請，經過主管、IT、法務三關，大約要三個月。而業務的季度目標，不會等三個月。
一位資深業務說：「我知道這樣不太對，但公司一直說要用 AI 提升效率，又不給我們工具。」
（以上為示意情境。）
「影子 AI」是指員工在公司正式提供的管道之外，自己使用的 AI 工具。大多數組織談到它，都從資安風險出發。這當然重要，但如果只從資安看，會錯過它更重要的訊息：員工正在用行動告訴組織，他們需要什麼。
數據：組織買的，和員工用的，不是同一回事
我在專欄第一篇〈95% 的 AI 試點沒有回報〉中介紹過 MIT NANDA 團隊 2025 年的報告《The GenAI Divide》。這份報告除了「95% 的試點沒有可衡量回報」之外，還有一組較少被引用的數字：
只有 40% 的公司購買了正式的大型語言模型訂閱，但超過 90% 的公司都有員工表示，他們在工作中經常使用個人的 AI 工具。
報告把這稱為「影子 AI 經濟」。一個值得注意的對比是：公司正式推動的專案大多卡在試點，而員工自己找的工具，卻已經融入日常工作。
BCG 2025 年的「AI at Work」調查（超過 10,600 人）也看到同樣的現象從另一個角度出現：在缺乏所需 AI 工具的員工中，超過一半表示會自己找替代工具，照用不誤。 BCG 指出，這會帶來挜折、資安風險，以及各自為政、零散的努力。
需要說明的是，NANDA 的 40% 與 90% 是「公司層級」的比例，不是「員工」的比例；而且這份報告沒有經過同儕審查。BCG 的數字則是員工的自評。但兩份資料的方向一致：在很多組織裡，員工的 AI 使用走在公司的前面。
為什麼會有影子 AI？
當員工繞過正式管道，他們通常不是想違規，而是正式管道沒有滿足工作的需要。常見的原因有三個：
- 太慢： 申請流程要數週到數月，工作的節奏卻等不了。
- 不好用： 公司導入的工具功能受限、設定複雜，或不如個人工具靈活。
- 不貼近工作： 正式專案優先處理的，是管理者關心的問題；第一線的日常痛點，反而沒人處理。
資訊管理學界對這類現象有一個研究傳統，叫「變通做法」（workaround）。例如 Steven Alter 在 2014 年的整理中指出，變通做法通常是系統設計與實際工作之間的落差造成的；它既可能帶來風險，也常常包含了改善系統的線索。換句話說，每一個變通做法，都是一份沒有被提出的需求單。
正式的邊界，和實際的邊界
在團體關係研究中常用的 BART 框架裡，「邊界」是第一個要看的東西：什麼在裡面、什麼在外面；什麼可以做、什麼不行。每個組織都有兩套邊界：寫在規定裡的「正式邊界」，和大家實際怎麼做的「實際邊界」。影子 AI，就是這兩套邊界之間的落差。
從心理動力的角度，我想提出三個解讀（這是作者的觀點，而非上述研究的發現）。
一、員工收到的是一個雙重訊息。 公司一方面說「要用 AI 提升效率」、「要勇於創新」，另一方面又說「未經核准不得使用」，而核准要等三個月。面對互相矛盾的要求，員工只能選擇其中一個。大多數人選擇了績效，並且保持沉默。開場那位業務說的「我知道不太對」，就是這種兩難。
二、影子化讓學習變得看不見，也變得不平均。 上一篇〈新人沒有基本功可以練了〉中，Matt Beane 對機器人手術的研究發現，當正式的學習管道失效，少數人會在規範邊緣「影子學習」。影子 AI 是同一個機制在工具層面的版本：員工已經在學怎麼用 AI，而且學得很快，但這些學習只留在個人身上。組織無法整理、分享或檢查它們；那些不敢冒險的人，則被留在原地。
三、「禁止」常常是組織在處理自己的焦慮。 對資安與法務來說，影子 AI 代表失控。一紙禁令可以讓組織感覺重新取回控制，但實際上，它往往只是讓使用轉得更隱密。這是一種很常見的組織防衛：用一個看得見的動作（發禁令），取代一個更難的問題（為什麼我們的正式管道滿足不了需求？）。
這些解讀指向同一件事：影子 AI 不是外來的威脅，而是組織自己的一面鏡子。它照出了正式管道太慢、組織的訊息矛盾，以及員工已經準備好、但制度還沒有。
怎麼做：把影子變成資產
（一）先盤點，不先禁止。 在發出禁令之前，先用匿名的方式了解真實情況：員工用了哪些工具？用在什麼工作上？為什麼不用公司的正式工具？同時明確承諾：這次盤點不追究過去的使用。沒有這個承諾，就不會有人說實話。盤點的結果，就是一份組織真正的 AI 需求清單。
（二）把影子用法轉成正式的實驗。 從盤點結果中，挑出幾個最常見、最有價值的用法，在受控的環境中正式試行，並請最早使用的員工擔任推動者。我在〈同樣的 AI 沙盒，一家 141 個方案，一家只有 3 個〉中介紹過 Karunakaran、Kellogg 等人的研究：當實驗被納入職責、績效與升遷，員工才會持續投入。影子用法的發起者，往往就是組織最需要的那一群人；與其懲罰他們，不如讓他們的學習變成組織的學習。
（三）少而清楚的紅線，加上一條快速通道。 紅線要少，而且要清楚，例如：客戶個資、營業機密、未公開的財務資料，不得放進個人工具。紅線以外的低風險用途，則設計一條快速通道，讓申請可以在一兩週內得到答覆。重點是讓「合規」與「好用」不再是二選一。當正式管道跟得上工作的節奏，影子就會自然變少。
給人資與 OD 的提醒： 影子 AI 通常被當成 IT 與資安的問題。但它的根源是組織的訊息、流程與認可制度，這些都是人資與 OD 的範圍。建議成立一個包含 IT、資安、法務、業務與人資的小組，定期把影子需求轉成正式需求，而不是由單一部門決定「禁或不禁」。
結語
影子 AI 是一個訊號，而不只是一個風險。它告訴組織：員工已經準備好了，而制度還沒有。
禁止可以讓影子變得更暗，卻不會讓需求消失。真正的管理，是把影子帶到光下：看見員工在用什麼、為什麼用，然後讓這些學習成為組織的能力。
影子裡，藏著組織最真實的需求。
留給你的問題： 你們員工最常用的 AI 工具，公司知道嗎？如果不知道，是因為沒有問，還是因為沒有人敢說？
延伸閱讀
- 〈新人沒有基本功可以練了，未來的主管從哪裡來？〉
- 〈拆掉組織圖之後，邊界去了哪裡？代理式團隊看不見的四條界線〉
- 〈95% 的 AI 試點沒有回報，問題出在哪一層？〉
- 〈同樣的 AI 沙盒，一家 141 個方案，一家只有 3 個〉
參考文獻
- Challapally, A., Pease, C., Raskar, R., & Chari, P. (2025). The GenAI Divide: State of AI in Business 2025. MIT NANDA.（未經同儕審查的報告）
- Beauchene, V., Duranton, S., Kalra, N., & Martin, D. (2025, June). AI at Work: Momentum Builds, but Gaps Remain. Boston Consulting Group.
- Alter, S. (2014). Theory of workarounds. Communications of the Association for Information Systems, 34, Article 55.
- Beane, M. (2019). Shadow learning: Building robotic surgical skill when approved means fail. Administrative Science Quarterly, 64(1), 87–123.
- Karunakaran, A., Kellogg, K. C., & Wiesenfeld, B. M. (2026). Experimentalist intensification governance.（工作論文；MIT Sloan 2026 年 9 月新聞稿介紹）
慧培國際相關服務： 組織發展與變革、核心小組陪跑
Lead yourself first with authenticity and positivity that other people will choose to follow.Positive Leaders, Positive Organizations.
作者
Edward Cheng 鄭博文
慧培國際管理顧問公司台灣區人才發展總監 / 企業教練/策略引導師
台灣人，具多個行業的豐富人力資源管理經驗， 清大教育與心理諮商學系碩士，現職清大教育與心理諮商學系團體動力講師與慧培國際台灣區人才發展總監。
Edward 過去有將近18年的HR主管經驗，有2/3的時間是跟企業的CEO一起工作，能夠從企業經營的高度來規劃組織的人才發展。協助主管不只是知道還要能夠做到，從系統性的角度完整的規劃與提升主管的關鍵能力以帶來組織的成效。
Edward 擅長於 願景策略會議引導(Vision and Strategies Workshop) 、商業模式引導 (Business Model Workshop)、團隊教練 (Group Coaching)、高管教練(Coaching) 以及教練領導力（Coaching Leadership)。
Email：powen.coach@whitespace-leadership.com Ｍ：0958802653