Uno shadow AI stack è l'insieme di strumenti di IA, plugin, API e flussi di lavoro ad hoc che dipendenti o team utilizzano al di fuori della revisione formale di sicurezza e governance. Spesso compare quando le persone adottano un chatbot, un modello o un servizio di automazione prima che l'IT abbia approvato i flussi di dati, i controlli di accesso, la registrazione dei log o i termini del fornitore.
È importante perché l'uso nascosto dell'IA può creare fughe di dati, lacune di conformità e dipendenze non tracciate. Prompt sensibili, codice sorgente, record dei clienti o credenziali possono essere inviati a servizi di terze parti senza adeguate protezioni. Negli attacchi, i criminali possono abusare di strumenti di IA non autorizzati per spostare dati fuori dai canali approvati o per aggirare il monitoraggio. I difensori contrastano questo rischio inventariando l'uso dell'IA, applicando controlli su identità e dati, valutando il rischio dei fornitori e richiedendo log di audit e percorsi di approvazione per qualsiasi sistema che tocchi dati aziendali.