Historia anónima de un cliente · Salud australiana
Cómo una organización sanitaria australiana cortó los prompts de Shadow AI 92.8% En 30 días.
Aona ayudó a convertir una política de IA en controles aplicables, bloqueando herramientas no aprobadas y orientando al personal hacia Microsoft Copilot.
Explora los resultados92.8%
reducción de los prompts de la IA de las sombras
Consultas enviadas fuera de la herramienta aprobada. Identidad del cliente confidencial.
- Cliente
- Identidad oculta
- Sector
- Sanidad y formación profesional
- Region
- Australia · Ley de Privacidad
- Aona pila
- Extensión de navegador + portal de gobernanza
Cuando la adopción de la IA está ocurriendo de todos modos, la gobernanza tiene que ser en tiempo real.
Esta organización sanitaria opera en un entorno de alta confianza con estrictas expectativas de confidencialidad. El personal adoptaba la IA rápidamente, pero su uso estaba fragmentado entre herramientas de consumo y la opción aprobada, Microsoft Copilot, no era aplicable en la práctica.
Antecedentes del cliente
Una organización sanitaria de alta confianza que maneja información sensible.
La organización apoya la formación profesional, los servicios a las partes interesadas, la gobernanza y la comunicación. Su plantilla gestiona la evaluación sensible, la información de los miembros, financiera y estratégica bajo las obligaciones de la Ley de Privacidad de Australia.
La adopción de la IA ya se estaba produciendo en todos los equipos sin supervisión central. La gobernanza necesitaba igualar la velocidad de adopción, no quedarse al lado como un documento de política.
Resultado
92.8%
Se enviaron menos prompts fuera de la herramienta aprobada 30 días después de activar las barreras de seguridad.
Necesitábamos una forma de monitorizar el uso de la IA en toda la organización e implementar una política de personal de IA. Apoyamos el uso de nuevas tecnologías, pero necesitábamos medidas de seguridad para asegurarnos de que se realizara de forma segura.
Administrador senior de sistemas y seguridad
Organización sanitaria australiana · Identidad oculta
El nombre, la ubicación y las identidades individuales del cliente se retienen a petición propia. El contexto del sector, los comentarios citados y los resultados medidos se publican con permiso.
Tenían una política. No tenían pruebas, control ni red de seguridad.
El personal gestionaba la evaluación sensible, la información de los miembros, financiera y estratégica. A medida que la IA generativa se popularizaba, experimentaban naturalmente con las herramientas que les ayudaran a avanzar más rápido. El riesgo pasó al navegador; la gobernanza no siguió.
Adopción de IA
Fragmentada
Los equipos utilizaban herramientas de IA no autorizadas, fuera de la política aprobada de Microsoft Copilot.
Envíos a la IA
Sin control
Se enviaban consultas mediante herramientas no aprobadas sin controles aplicables en el momento del envío.
Actividad de IA
Invisible
Miles de visitas a herramientas de IA no autorizadas revelaron una brecha entre la política escrita y el comportamiento diario.
La parte incómoda
Sin visibilidad inmediata y una pista de auditoría, el equipo de seguridad no podría responder a las preguntas que realmente se hacen los responsables y los auditores: ¿Qué datos quedaron? ¿Quién los compartió? ¿Cuándo? ¿Y podría volver a ocurrir mañana?
Tres capas de dolor, al mismo tiempo
Operational
Un flujo constante de nuevas herramientas de IA por perseguir, sin una forma fiable de medir el cumplimiento de la opción aprobada.
Strategic
No hay pruebas defendibles para la presentación de informes de la junta o la garantía de cumplimiento según las expectativas de la Ley de Privacidad.
Human
El personal intentaba hacer el trabajo. Necesitaban orientación en ese momento, no otro documento en un disco compartido.
Tiempo rápido para obtener valor con controles reales, no solo reportes.
Despliegue ligero
Una extensión de navegador implementada con mínima interrupción y sin reestructuración de red.
Visibilidad en toda la plantilla
Una vista única del uso aprobado y no aprobado de IA, con el contexto necesario para entender el riesgo.
Barreras en tiempo real
Solicitudes y cargas de archivos interceptadas antes del envío, luego advertidas, redirigidas o bloqueadas según la política.
Gobernanza configurable
Políticas e informes adaptados al contexto operativo y modelo de gobernanza de la organización.
Monitorización del navegador, portal de gobernanza y barreras de seguridad.
Aona detectaba visitas a sitios de IA e interceptaba prompts y subidas de archivos en la capa de navegador antes de enviarlas. Las políticas bloqueaban plataformas y suscripciones no deseadas; en plataformas autorizadas, los sistemas de seguridad en tiempo real analizaban el contenido y detenían los datos sensibles antes de que pudieran salir del dispositivo.
- 01
Extensión de navegador
Visitas a sitios de IA detectadas e interceptación de solicitudes y cargas en el punto de envío.
- 02
Portal de gobernanza
Centralizó la pista de auditoría y convirtió la actividad de la plantilla en evidencia lista para la dirección.
- 03
Barreras en tiempo real
Bloqueó plataformas no autorizadas y detuvo solicitudes riesgosas antes de que salieran del dispositivo, guiando al personal hacia Microsoft Copilot.
Lo que se incluyó
Visibilidad entre plataformas de IA aprobadas y no aprobadas, inspección previa a la presentación de prompts y subidas de archivos, bloqueo duro, informes centralizados, orientación just-in-time y gobernanza alineada con políticas internas.
Lo que no era necesario
Sin bloques de capa DNS, nuevo proveedor de identidad, agente de endpoint invasivo ni sprint de reentrenamiento de políticas. Aona integrado en el flujo de trabajo existente del navegador.
Controles de privacidad y seguridad para este despliegue
No hay retención de contenido en bruto
El contenido de los prompts y archivos se evaluó en tiempo real pero no se almacenó. Solo se conservaron análisis de alto nivel.
Residencia de datos australiana
El contenido se procesaba de forma transitoria en Australia, y los datos analíticos resultantes se almacenaban allí.
Cifrado en todo momento
Los datos de analítica de clientes estaban cifrados tanto en tránsito como en reposo.
Evaluado de forma independiente
Los controles de seguridad de Aonaestán cubiertos por su SOC 2 certificación Tipo II.
Resultados que un líder de seguridad puede presentar a un consejo, auditor o equipo ejecutivo.
92.8%
Menos consultas de Shadow AI en los 30 días posteriores a la activación de los controles. La organización bloqueó plataformas no deseadas y aplicó controles previos al envío en las herramientas de IA autorizadas para el personal.
- Menos usuarios en riesgo
- 69,2 %
Seguimiento específico del riesgo de comportamiento restante
- Menos plataformas no autorizadas
- 71,4 %
Menos herramientas activas utilizadas fuera de la política aprobada
- Contenido en bruto retenido
- 0
El contenido de solicitudes y archivos se procesó de forma transitoria y no se almacenó
Ver las mediciones y el cálculo
Cifras registradas antes y después para este cliente, con resultados medidos 30 días tras activar los controles.
| Métrica | Antes de las barandillas de protección | Después de 30 días | Cambio |
|---|---|---|---|
| Indicaciones de IA de sombras | 446 | 32 | 92,8 % menos |
| Plataformas no autorizadas activas | 7 | 2 | 71,4 % menos |
| Usuarios en riesgo | 13 | 4 | 69,2 % menos |
Reducción = (antes − después) ÷ antes × 100, redondeada a un decimal.
(446 solicitudes de IA sombra antes − 32 después) ÷ 446 antes × 100 = 92,8 %, redondeado a un decimal.
La inspección inicial también detectó 8.904 visitas a herramientas de IA no autorizadas y clasificó 41 casos de uso de consultas.
Eficiencia operativa
Las barreras interceptan prompts y subidas de archivos antes de enviarlas, luego bloquean, advierten, redirigen o permiten según la política. La evidencia de alto nivel está disponible bajo demanda sin retener contenido en bruto de prompts o archivos.
Madurez de la gobernanza
La organización declaró tener visibilidad completa del tráfico de IA de su personal y clasificó sus usos de IA, aportando contexto empresarial más allá de las visitas a sitios.
Una herramienta de IA aprobada no es lo mismo que demostrar que la gente la está utilizando.
Si tu organización tiene herramientas de IA aprobadas pero no hay pruebas de que se esté cumpliendo la política, probablemente tengas un riesgo de IA en la sombra que no puedes ver. Aona muestra lo que está ocurriendo y luego aplica medidas de seguridad que hacen que la gobernanza sea medible.