Introducere
Administratorii IT din IMM-uri petrec 30-40% din timp pe task-uri repetitive: rapoarte saptamanale catre management, user management in Active Directory, inventariere hardware si software, verificare patch status, audit permisiuni, documentatie. Instrumentele AI moderne (Claude, ChatGPT, GitHub Copilot, plus protocolul MCP) pot reduce drastic aceasta povara, dar cu o conditie: sa le folosesti corect, cu constiinta riscurilor si a cerintelor de conformitate.
Exista o diferenta fundamentala intre "AI-ul scrie scripturi pe care le revizuiesc si le rulez" si "AI-ul executa direct in productie". Prima abordare reduce timpul cu 50-70% pastrand controlul uman. A doua este riscanta pentru orice infrastructura reala, mai ales pentru IMM-uri care intra in scope NIS2. Acest articol trateaza prima abordare, recomandata pentru majoritatea cazurilor.
Prezint 8 workflow-uri concrete pe care le folosim la SecureNET Systems pentru clientii nostri, cu exemple de cod PowerShell testat si prompturi care merg. La final, o sectiune critica despre conformitate GDPR si NIS2 - nenegociabila cand procesezi date de client cu AI.
Categoria 1: Automatizare Active Directory si user management
1. Generare scripturi PowerShell pentru onboarding si offboarding
Crearea unui user nou in AD implica 10-15 pasi repetitivi - cont, parola, grupuri, drive mapping, profil Outlook, license 365. Un script care face toate astea intr-un pas e salvarea timpului. Dar sa-l scrii manual dureaza 2-3 ore. Claude sau ChatGPT il genereaza in 10 minute cu un prompt bun.
Prompt template testat
Scrie un script PowerShell care automatizeaza onboarding-ul unui user nou in Active Directory. Parametri de intrare: prenume, nume, departament, manager. Scriptul trebuie sa:
- Creeze user-ul AD cu formatul username: prima litera + nume
- Seteze parola temporara sigura (minim 12 caractere, forteaza schimbare la primul login)
- Adauge user-ul in grupurile de departament si in grupul "All Employees"
- Mapeze drive-urile H: (home) si S: (share departament)
- Configureze mailbox Office 365 cu licenta E3
- Logheze toate actiunile in event log
- Trimita email de bun-venit catre user si CC catre manager
Specifica in prompt: ruleaza pe Windows Server 2022 cu PowerShell 7 si modulele AD si ExchangeOnlineManagement instalate. Include validare input si try/catch robust.
Test before deploy - de ce nu executi niciodata direct
Importanta testarii intr-un OU de test este absoluta. Verifica sintaxa cu PSScriptAnalyzer, ruleaza dry-run cu parametrul -WhatIf, activeaza logging complet. Atentionare critica: AI-ul poate genera cmdlet-uri inexistente (halucinatii), sintaxa deprecata sau logica gresita pentru edge cases - utilizatori cu nume cu cratima, departamente cu spatii, conflicte de username. Toate acestea apar in productie, nu in testele tale optimiste.
Exemplu fragment PowerShell generat
function New-OnboardedUser {
param(
[Parameter(Mandatory)] [string] $FirstName,
[Parameter(Mandatory)] [string] $LastName,
[Parameter(Mandatory)] [string] $Department,
[Parameter(Mandatory)] [string] $Manager
)
try {
$username = ($FirstName.Substring(0,1) + $LastName).ToLower()
if (Get-ADUser -Filter "SamAccountName -eq '$username'" -ErrorAction SilentlyContinue) {
throw "Username $username deja exista in AD"
}
$tempPassword = -join ((33..126) | Get-Random -Count 14 | ForEach-Object { [char]$_ })
$securePass = ConvertTo-SecureString $tempPassword -AsPlainText -Force
New-ADUser -Name "$FirstName $LastName" -SamAccountName $username `
-UserPrincipalName "$username@company.local" -AccountPassword $securePass `
-Enabled $true -ChangePasswordAtLogon $true -Department $Department `
-Manager $Manager -Path "OU=Users,OU=$Department,DC=company,DC=local"
Write-EventLog -LogName Application -Source "ADOnboarding" -EventId 1001 `
-Message "User $username creat cu succes pentru $Department"
return @{ Username = $username; TempPassword = $tempPassword }
} catch {
Write-EventLog -LogName Application -Source "ADOnboarding" -EventId 9001 `
-EntryType Error -Message "Eroare onboarding: $_"
throw
}
}
2. Rapoarte AD automatizate (stale accounts, password expiry, group audit)
In loc de 2 ore pe luna pentru a genera raport manual despre starea AD, PowerShell extrage datele in 30 secunde, iar Claude le transforma in raport executiv in romana in 3 minute.
Workflow in 3 pasi
- PowerShell script ruleaza scheduled, exporteaza 3 CSV-uri: conturi inactive peste 90 zile, parole expirate, membri grupuri privilegiate.
- Un script trimite CSV-urile catre Claude prin API cu un prompt standardizat.
- Claude returneaza raport executiv cu highlights, recomandari si semnale de alarma.
Prompt template pentru raport
Am atasate 3 fisiere CSV extrase din Active Directory la data de [date]: stale-accounts.csv (conturi inactive peste 90 zile), password-expiry.csv (conturi cu parole expirate sau expirante in 30 zile), privileged-groups.csv (membri in Domain Admins, Enterprise Admins, Schema Admins).
Genereaza un raport executiv lunar in romana, formatat ca email catre CTO, care include:
- Executive summary de 3-4 propozitii cu starea generala
- Top 3 riscuri identificate cu severitate (HIGH, MEDIUM, LOW)
- Lista prioritizata de actiuni recomandate pentru urmatoarele 30 zile
- Tabele scurte (maxim 10 randuri fiecare) cu conturile care necesita atentie imediata
- Concluzii si program pentru urmatorul audit
Foloseste tonul profesional si tehnic, fara sa exagerezi riscurile.
La SecureNET livram acest raport automatizat lunar la toti clientii cu contract de externalizare IT. Efortul nostru: 10 minute de review per client. Rezultatul pentru client: vizibilitate completa asupra starii AD fara ca noi sa cerem buget suplimentar.
Categoria 2: Inventariere si monitorizare
3. Automatizare inventar hardware si software
Problemele clasice de inventar sunt cunoscute de orice admin: date vechi in spreadsheet-uri Excel, inconsistente intre surse (SCCM, Intune, GLPI), lipsa vizibilitate real-time. Solutia eleganta: scripturi agentless pentru extragere plus AI pentru procesare si normalizare.
Stack recomandat
- PowerShell pentru Windows: Get-CimInstance pentru hardware, Get-ItemProperty pe registry pentru software installed
- Ansible pentru Linux: ad-hoc commands sau playbooks dedicate
- Intune Graph API pentru endpoints MDM
- Output unificat in JSON, transmis catre Claude care ofera sumar structurat si identifica anomalii
Use case concret
La un client cu 120 statii, am inlocuit 1 zi de munca lunar cu un workflow care ruleaza noaptea si dimineata livreaza: lista statiilor cu Windows 10 care trebuie migrate (lifecycle end), softuri neaprobate instalate, licente Office care expira in 60 zile. Raportul ajunge prin email la 8:00, IT manager-ul are agenda de lucru gata facuta.
4. Analiza log-urilor de la Wazuh SIEM cu AI
Wazuh genereaza mii de alerts pe zi. 95% sunt false positives sau zgomot. Triajul manual e nesustenabil pentru o echipa mica.
Workflow de triaj AI-assisted
- Wazuh API exporta alerts din ultimele 24h in JSON
- Script filtreaza dupa severitate (level 7+) si elimina duplicate
- Claude analizeaza top 50 alerts cu context despre infrastructura clientului
- Output: 3 grupe - "de investigat acum", "probabil fals positive", "tuning regula recomandat"
Diferenta vs SOAR (Shuffle)
Shuffle SOAR executa playbook-uri deterministe pentru patterns cunoscute - bloca IP, disable user, notifica Slack. Claude face triaj contextual pe alerts noi sau ambigue. Sunt complementare, nu substitute. La SecureNET folosim ambele: Shuffle pentru 80% din alerts (automate), Claude pentru restul de 20% care cer judecata si context.
WARNING de securitate
NU trimite niciodata log-uri Wazuh brute catre ChatGPT in tier consumer. Contin IP-uri interne, nume user, path-uri de fisiere sensibile, hostname-uri si serii echipamente. Foloseste Claude Enterprise (Anthropic), ChatGPT Enterprise (OpenAI) sau Azure OpenAI cu DPA semnat. Alternativa pentru suveranitate completa: Ollama plus Llama 3.3 self-hosted pe hardware propriu.
Categoria 3: MCP (Model Context Protocol) si agenti IT
5. MCP servers pentru interactiune directa cu infrastructura
MCP (Model Context Protocol) este un standard deschis lansat de Anthropic in noiembrie 2024, care permite AI-urilor sa interactioneze sigur cu tools externe - filesystem, baze de date, API-uri, git, Gmail, Slack, Jira si multe altele. In 2026 exista sute de MCP servers disponibile in ecosistem.
MCP-uri utile pentru admin IT
- filesystem: citire si scriere fisiere locale cu sandboxing strict
- git: diff-uri, log, branch management
- github sau gitlab: issues, pull requests, code review automatizat
- postgres sau mysql: query-uri read-only pentru baze de date
- google-workspace: Gmail, Drive, Calendar
- slack: citire canale, postare mesaje controlate
- puppeteer: automatizare browser pentru screenshots si testing
- custom: MCP server pentru MikroTik API (read-only initial), Fortinet, Veeam
Use case concret: Claude Desktop plus MCP MikroTik
Am configurat un MCP server care expune API-ul MikroTik (RouterOS) ca tool in Claude Desktop. Workflow real: admin-ul intreaba Claude "care sunt interfetele cu traffic anormal pe router-ul de la sediul X". Claude consulta live router-ul, interpreteaza output-ul si raspunde cu context. Configurarea scope-ului este critica - MCP server-ul are permisiuni READ-ONLY, nu poate modifica configuratia. Orice schimbare necesita un admin care executa manual comanda sugerata de Claude.
Setup practic MCP in 10 pasi
- Instaleaza Claude Desktop (Windows, Mac sau Linux)
- Descarca un MCP server oficial (ex: filesystem, github)
- Configureaza fisierul mcp_config.json cu server-ul dorit si paths sau credentials
- Restart Claude Desktop
- Verifica in settings ca MCP server apare conectat
- Testeaza cu un query simplu de validare
- Pentru MCP custom: scrie-l in Python sau TypeScript folosind SDK-ul MCP oficial Anthropic
- Ruleaza server-ul local sau in container Docker
- Adauga-l in config cu URL si autentificare
- Limiteaza permisiunile minim necesare (read-only intai, write doar dupa validare exhaustiva)
6. Agenti Claude cu tool use pentru operatiuni repetitive
Diferenta fundamentala intre chat AI (conversatie cu user) si agent AI (autonom cu tools) este importanta. Exemple de task-uri care se preteaza pentru agenti: verificare zilnica health a serviciilor, backup verification, certificate expiry check, monitorizare DNS records pentru drift.
Atentie la scope si approval workflow
Recomandarea noastra pentru IMM-uri: incepe cu agenti READ-ONLY care genereaza raport sau deschid ticket. NU lasa un agent sa execute actiuni cu impact (restart serviciu, disable user, block IP, modificari firewall) fara un approval uman explicit. Riscul e prea mare pentru un ROI marginal. Un agent care opreste din greseala serviciul de productie costa de 100x mai mult decat o ora de admin care apasa Enter pe o comanda sugerata.
Categoria 4: Documentatie si knowledge management
7. Generare documentatie tehnica din configuratii reale
Problema clasica - configuratii MikroTik, Fortinet, Watchguard pe care nimeni nu le-a documentat pentru ca dureaza. AI-ul rezolva asta in cateva minute pe configuratie.
Workflow
- Export configuratie cu /export la MikroTik, show running-config la Cisco, system backup la Fortinet
- Foloseste Claude cu prompt: "Genereaza documentatie tehnica in romana pentru urmatoarea configuratie. Include: overview, lista interfete, reguli firewall explicate cu intentia fiecareia, VLAN-uri, rute, probleme potentiale de securitate identificate, recomandari de optimizare."
- Claude returneaza document structurat Markdown gata de import in Confluence, Notion sau SharePoint
Use case real
Am preluat un client cu 3 routere MikroTik si nicio documentatie. In 4 ore am generat documentatie completa pentru toate cele 3 (peste 40 pagini per router), cu identificarea a 12 probleme de securitate subtile pe care le-am remediat in urmatoarea saptamana. Acelasi efort manual ar fi durat 2 saptamani de munca a unui senior engineer.
8. Training intern pentru echipa IT cu AI-assisted content
Folosirea AI-ului pentru generare ghiduri interne, FAQ-uri, proceduri pentru junior admins este eficienta cand respecti review-ul senior. Exemple care merg foarte bine:
- Ghid pas-cu-pas pentru configurare WireGuard VPN
- Procedura de restaurare backup Veeam
- Checklist onboarding client nou
- Runbook pentru incident "DC primar nu mai raspunde"
Atentionare absoluta: review uman obligatoriu de un senior engineer. AI-ul poate inventa sintaxa sau pasi care nu exista, mai ales pentru produse de nisa sau versiuni mai vechi.
Stack-ul recomandat pentru administratori IT in 2026
Claude Pro: scriere scripturi si analiza log-uri, 18-20 EUR pe luna, DPA disponibil doar la tier Team sau Enterprise.
Claude Team sau Enterprise: working cu date de client, 25 EUR pe user, DPA si zero data retention.
ChatGPT Plus: alternativa pentru diversificare, 20 EUR pe luna.
ChatGPT Enterprise: working cu date sensibile, custom pricing, zero retention si DPA inclus.
GitHub Copilot: autocomplete PowerShell sau Python in IDE, 10 EUR pe luna.
Claude Code: pair programming in terminal, inclus in Pro, util pentru scripturi complexe.
MCP servers oficiale: integrare AI cu tools, gratis si open-source, self-hostable.
Ollama plus Llama 3.3: self-hosted LLM, gratis, necesita GPU hardware decent (minim 24GB VRAM).
Azure OpenAI: ChatGPT cu DPA enterprise Microsoft, pay-per-token, ideal pentru organizatii Microsoft-first.
Preturile sunt aproximative la aprilie 2026 si se schimba frecvent. Pentru companii in scope NIS2 sau cu date personale procesate, alege intotdeauna tier Enterprise sau Team cu DPA semnat sau solutie self-hosted.
Considerente de conformitate si securitate (CRITIC)
Aceasta sectiune e cea mai importanta din articol. Folosirea AI-ului in context IT profesional fara sa intelegi implicatiile legale te poate costa mai mult decat timpul economisit.
GDPR si procesarea datelor personale
Orice date personale procesate cu AI inseamna ca furnizorul AI este sub-procesator de date in sensul Regulamentului. Contract DPA (Data Processing Agreement) este obligatoriu inainte de orice procesare. Furnizori care au DPA standard: Anthropic (Claude Team sau Enterprise), OpenAI (ChatGPT Team sau Enterprise), Microsoft (Azure OpenAI). Furnizori FARA DPA in tier-uri consumer: Claude Pro individual, ChatGPT Plus individual, Gemini in tier consumer. Folosirea acestora pentru date de client este o incalcare directa a obligatiilor de protectie a datelor.
NIS2 - OUG 155/2024
Companiile in scope-ul Directivei NIS2 trebuie sa documenteze utilizarea AI pentru operatiuni critice, sa faca risk assessment pentru fiecare instrument AI introdus in fluxul operational, sa aiba policy de utilizare AI scrisa si semnata de toti angajatii cu acces, si sa includa in incident response plan scenarii ca "AI hallucinated date critice in productie" sau "data leakage prin chat AI". Auditorii NIS2 verifica aceste aspecte explicit in 2026.
Regula de aur - datele din ChatGPT tier consumer
Datele pe care le trimiti in ChatGPT in tier consumer sau Claude.ai individual (Free tier) SE POT folosi la antrenament pentru viitoare modele. Asta inseamna ca datele tale de client, codul proprietar, configuratiile de infrastructura, parolele temporare uitate intr-un script - toate pot aparea in training-ul urmatoarelor modele si pot fi expuse altor utilizatori in moduri neprevazute prin atacuri de tip data extraction. NICIODATA date de client in tier-uri consumer.
Optiuni sigure pentru date sensibile
- Claude Enterprise: DPA semnat plus zero retention garantat contractual
- ChatGPT Enterprise sau Team: DPA semnat plus zero retention
- Azure OpenAI: DPA Microsoft plus controale enterprise (private endpoints, VNET integration)
- Self-hosted LLM: Ollama, vLLM, Llama 3.3 - pentru suveranitate completa a datelor, fara nicio iesire din infrastructura proprie
Exemplu complet: script de audit AD saptamanal
Un script complet care ruleaza scheduled joi seara si livreaza raport executiv la CTO vineri dimineata.
Import-Module ActiveDirectory
Import-Module ImportExcel
$reportPath = "C:\Reports\AD-Weekly-$(Get-Date -Format 'yyyy-MM-dd')"
New-Item -ItemType Directory -Path $reportPath -Force | Out-Null
function Get-StaleAccounts {
$cutoff = (Get-Date).AddDays(-90)
Get-ADUser -Filter { LastLogonTimestamp -lt $cutoff -and Enabled -eq $true } `
-Properties LastLogonTimestamp, Department, Manager |
Select-Object Name, SamAccountName, Department,
@{N='LastLogon'; E={ [DateTime]::FromFileTime($_.LastLogonTimestamp) }},
@{N='DaysInactive'; E={ ((Get-Date) - [DateTime]::FromFileTime($_.LastLogonTimestamp)).Days }}
}
function Get-PasswordExpiry {
$maxAge = (Get-ADDefaultDomainPasswordPolicy).MaxPasswordAge.Days
$warning = (Get-Date).AddDays(-($maxAge - 30))
Get-ADUser -Filter { Enabled -eq $true -and PasswordNeverExpires -eq $false } `
-Properties PasswordLastSet, Department |
Where-Object { $_.PasswordLastSet -lt $warning } |
Select-Object Name, SamAccountName, Department, PasswordLastSet
}
function Get-PrivilegedMembers {
$groups = @('Domain Admins', 'Enterprise Admins', 'Schema Admins')
foreach ($g in $groups) {
Get-ADGroupMember -Identity $g -Recursive |
Get-ADUser -Properties LastLogonTimestamp, Department |
Select-Object Name, SamAccountName, Department,
@{N='Group'; E={ $g }},
@{N='LastLogon'; E={ [DateTime]::FromFileTime($_.LastLogonTimestamp) }}
}
}
Get-StaleAccounts | Export-Csv "$reportPath\stale-accounts.csv" -NoTypeInformation -Encoding UTF8
Get-PasswordExpiry | Export-Csv "$reportPath\password-expiry.csv" -NoTypeInformation -Encoding UTF8
Get-PrivilegedMembers | Export-Csv "$reportPath\privileged-groups.csv" -NoTypeInformation -Encoding UTF8
Write-Host "Audit complet. CSV-uri salvate in $reportPath" -ForegroundColor Green
Write-Host "Pas 2 manual: incarca CSV-urile in Claude Enterprise cu prompt-ul standardizat de raport executiv."
Salveaza acest script ca Invoke-ADWeeklyAudit.ps1, programeaza-l cu Task Scheduler pentru joi 22:00, citeste rezultatele vineri dimineata. Time saved: 3-4 ore pe luna per client.
Greseli frecvente si cum sa le eviti
- Copy-paste script AI fara sa testezi in environment izolat. Mentalitate obligatorie: toate scripturile AI trec prin test lab inainte de productie. Niciun "merge sigur" nu inlocuieste un test real pe date de test.
- Prompturi fara context suficient. AI-ul nu stie ca rulezi Windows Server 2019 cu PowerShell 5.1, nu 7.4. Specifica OS, versiune exacta, module instalate, limite de permisiuni, constrangeri de timp.
- Date sensibile in AI public. Regula de aur: daca nu ai trimite datele unui email public catre un destinatar necunoscut, nu le trimite in ChatGPT in tier consumer sau Claude.ai consumer.
- Incredere oarba in output. AI-ul poate inventa cmdlet-uri inexistente (halucinatii), sintaxa deprecata, parametri gresiti sau combinatii care nu functioneaza. Verifica mereu cu documentatia oficiala Microsoft sau vendor.
- Zero logging al actiunilor agent AI. Daca folosesti Claude cu tool use sa execute actiuni reale, toate trebuie logate cu timestamp, tool folosit, input, output, rezultat. Audit trail obligatoriu pentru NIS2 si pentru investigatii post-incident.
- Lipsa review de la un senior inainte de rulare in productie. Minimum 1 senior engineer trebuie sa valideze orice script AI inainte sa ruleze pe infrastructura client. Junior plus AI fara review este o reteta de incident.
- Ignorarea cerintelor contractuale cu clientul. Multi clienti au clauze care interzic procesarea datelor lor cu AI fara notificare si aprobare prealabila. Verifica contractul inainte sa introduci un workflow AI pentru un client existent.
Concluzie: AI-ul ca amplificator, nu inlocuitor
In 2026, AI-ul nu inlocuieste administratorul IT competent. Il amplifica. Un senior engineer care foloseste Claude plus PowerShell plus MCP corect e de 3-5x mai productiv decat unul care refuza instrumentele AI. Un junior care copy-paste din ChatGPT fara sa inteleaga e un risc de securitate pentru orice infrastructura.
Diferenta nu e in instrumentele folosite, ci in competenta de a le folosi cu discernamant, sa le validezi, sa intelegi riscurile si sa respectezi conformitatea. Asta ramane munca umana, si va ramane pentru multi ani.
La SecureNET Systems folosim AI pentru a administra eficient 80+ servere si 300+ echipamente de retea ale clientilor nostri, fara compromisuri de securitate sau conformitate NIS2. Daca vrei sa implementezi workflow-uri AI in compania ta, sa auditezi utilizarile curente pentru conformitate NIS2, sau pur si simplu sa discuti cum pot AI si automatizarea reduce povara IT in compania ta, contacteaza-ne pentru o discuție inițială. Fondatorul, Mihai Gavrilas, este Responsabil NIS2 certificat (RENECSC #894) si poate analiza direct implicatiile pentru compania ta.
