Schlüssel zur Beherrschung von Schatten-IT und -KI Schatten-KI: Das unterschätzte Sicherheitsrisiko

Künstliche Intelligenz revolutioniert die Arbeitswelt, bringt aber auch neue Gefahren mit sich. Schatten-KI, die unkontrollierte Nutzung von KI-Tools durch Mitarbeiter, stellt Unternehmen vor große Herausforderungen. Wie lässt sich dieses Risiko proaktiv managen?

In einer Welt, in der künstliche Intelligenz Einzug in jeden Winkel unseres Arbeits- und Privatlebens hält, entsteht ein neues Phänomen, das Unternehmen vor ungeahnte Herausforderungen stellt: Schatten-KI. Während IT-Abteilungen noch damit beschäftigt sind, die Gefahren von Schatten-IT einzudämmen, drohen durch den unreglementierten Einsatz von KI neue Sicherheitsrisiken.

Was ist Schatten-KI?

Eine Umfrage des Branchenverbands Bitkom aus dem November 2024 zeigt: Die Nutzung generativer KI-Tools wie ChatGPT durch Mitarbeiter mit ihren eigenen, privaten Accounts hat in deutschen Unternehmen deutlich zugenommen. Aktuell berichten 34 Prozent der Firmen von solchen Praktiken, wobei vier Prozent eine weite Verbreitung feststellen – ein Anstieg von drei Prozentpunkten gegenüber dem Vorjahr. In 13 Prozent der Unternehmen handelt es sich der Umfrage zufolge um Einzelfälle, was fast eine Verdopplung zum Vorjahr darstellt. Weitere 17 Prozent vermuten eine solche Nutzung, können dies aber nicht mit Sicherheit bestätigen. Ein Viertel der Unternehmen geht zwar nicht von einer privaten KI-Nutzung aus, ist sich aber nicht sicher. Bemerkenswert ist, dass nur noch 37 Prozent der Firmen eine private Nutzung von KI-Tools definitiv ausschließen können – 2023 waren es noch 51 Prozent.

Diese Zahlen verdeutlichen, wie stark Schatten-KI bereits in die Arbeitsabläufe integriert ist und welchen Herausforderungen Unternehmen bei der Kontrolle dieser Technologie gegenüberstehen. Die Gründe für die rasante Verbreitung von Schatten-KI sind vielfältig. Mitarbeiter greifen oft auf nicht genehmigte KI-Tools zurück, um ihre Produktivität zu steigern oder komplexe Aufgaben zu vereinfachen. Einfach ausgedrückt: Der Mitarbeiter bekommt durch die KI etwas, das er sich eigentlich von seinem Arbeitgeber erwartet.

Die Verbreitung von Schatten-KI wird zusätzlich durch die zunehmende Verfügbarkeit und Benutzerfreundlichkeit entsprechender Dienste begünstigt. Viele dieser Tools sind kostengünstig oder sogar kostenlos und erfordern keine tiefgreifenden technischen Kenntnisse. Dies ermöglicht es Mitarbeitern auf allen Ebenen, KI-Lösungen für ihre spezifischen Aufgaben zu finden und einzusetzen, oft ohne Wissen oder Zustimmung der IT-Abteilung.

Die Versuchung, unautorisierte Lösungen zu verwenden, ist für die Mitarbeiter also größer denn je. Umso dringender müssen Unternehmen eine Strategie entwickeln, um die Digital Employee Experience (DEX) nachhaltig zu verbessern.

Die dunkle Seite der KI-Revolution

Die Risiken von Schatten-KI gehen weit über die bekannten Gefahren von Schatten-IT hinaus. Während bei Schatten-IT hauptsächlich Entwickler Fehler begehen, kann bei Schatten-KI jeder einzelne Mitarbeiter zum Sicherheitsrisiko werden, egal in welcher Abteilung er arbeitet. Die unkontrollierte Nutzung von KI-Tools birgt nicht nur Datenschutzrisiken, sondern kann auch zu ungenauen, voreingenommenen (Bias) oder schlicht falschen Ergebnissen führen.

Hinzu kommt: Diese Tools verarbeiten oft sensible Daten wie biometrische Informationen, Transkriptionsdaten oder interne Dokumente, was das Potenzial für Datenschutzverletzungen und den Diebstahl geistigen Eigentums erhöht.

Ein zentrales Problem der Schatten-KI ist der Kontrollverlust der IT-Abteilung. Meist werden die Anwendungen im Browser des Rechners oder direkt im eigenen Smartphone verwendet – also mit nur geringen oder gar keinen Zugriffsmöglichkeiten der IT-Verantwortlichen. Bring your own Device (BYOD) wird damit zu einem nochmals größeren Sicherheitsrisiko als es ohnehin schon war.

Darüber hinaus birgt die Nutzung von Schatten-KI auch rechtliche und ethische Risiken. Viele KI-Tools verarbeiten Daten in der Cloud, oft auf Servern außerhalb der EU. Dies kann zu Verstößen gegen die DSGVO führen und erhebliche rechtliche Konsequenzen nach sich ziehen. Zudem stellt sich die Frage der Verantwortlichkeit: Wer haftet für Fehler oder Schäden, die durch den Einsatz nicht genehmigter KI-Tools entstehen?

Aus dem Schatten ins Licht

Um den Herausforderungen von Schatten-IT und -KI zu begegnen, müssen Unternehmen eine proaktive Betriebsmodellstrategie entwickeln. Die Implementierung transparenter Prozesse und gezielter Schulungen kann dazu beitragen, operatives Chaos zu vermeiden, Mitarbeitende zur Nutzung der firmeninternen Tools zu bringen und somit eine Kultur der verantwortungsvollen Technologienutzung zu fördern.

Ein entscheidender erster Schritt zur Bewältigung von Schatten-IT und -KI ist die Einrichtung umfassender Echtzeit Monitoring-Lösungen, die alle Anwendungen und Dienste im Netzwerk transparent machen. Moderne Monitoring- und Analyse Softwarelösungen ermöglichen es Unternehmen, einen vollständigen Überblick über alle genutzten Tools zu gewinnen, seien es nicht autorisierte Cloud-Dienste, KI-Anwendungen oder andere Schatten-IT-Ressourcen. So lassen sich potenzielle Risiken frühzeitig erkennen und geeignete Maßnahmen ergreifen. Unerlässlich ist in diesem Zusammenhang jedoch die offene Kommunikation dieser Maßnahmen gegenüber der Belegschaft. Die Mitarbeitenden sollen nicht das Gefühl haben, Big Brother überwache nun jeden einzelnen Schritt ihrer täglichen Arbeit. Um dem präventiv entgegenzuwirken, muss genau erklärt werden, weshalb eine Kontrolle an dieser Stelle sinnvoll und alternativlos ist. Es gilt also, klare Richtlinien und Schulungsprogramme zu entwickeln, um eine Balance zwischen Risikominimierung und dem Innovationsbedürfnis der Mitarbeitenden zu finden.

Diesem Innovationsbedürfnis kann man folglich auch nicht durch ein striktes Verbot der Nutzung von KI begegnen. Dies ließe sich zudem kaum umsetzen, da die Mitarbeiter über ihre privaten Endgeräte auf alle Anwendungen zugreifen können. Was also tun? Die Integration beliebter und nützlicher Schatten-IT und -KI-Tools in die offizielle IT-Infrastruktur kann erheblich zur Risikominimierung beitragen. Durch die Analyse der tatsächlich genutzten Lösungen gewinnen Unternehmen erstens wertvolle Erkenntnisse über die Bedürfnisse ihrer Mitarbeiter. Das Unternehmen steht nun vor der Wahl: entweder die von den Mitarbeitern genutzten Tools offiziell zu integrieren oder gleichwertige Alternativen anzubieten. Letzteres kann oftmals die bessere Variante sein, da die IT-Abteilung weitsichtiger beurteilen kann, welche Lösungen die größten Benefits bieten.

Die offizielle Integration erhöht in jedem Fall die Akzeptanz und gewährleistet gleichzeitig die notwendige Kontrolle und Sicherheit, sei es bei Cloud-Speicherlösungen, Kollaborationstools oder KI-gestützten Produktivitätsanwendungen.

Ein kontinuierliches Risikomanagement, möglicherweise durch die Einführung eines Technology Risk Managers, ist ein weiterer wichtiger Baustein. Fortschrittliche Softwarelösungen können diesen Prozess unterstützen, indem sie herkömmliche IT-Systeme und KI-Anwendungen überwachen und die Einhaltung von Vorschriften sicherstellen. Gleichzeitig ermöglichen sie es Unternehmen, proaktiv auf neue Entwicklungen zu reagieren und potenzielle Risiken frühzeitig zu identifizieren. Dies umfasst nicht nur die Kontrolle von Datenzugriffen und -flüssen, sondern auch die Überwachung von Ressourcennutzung und Leistungsmetriken, um die Effizienz und Sicherheit der gesamten IT-Landschaft zu optimieren.

Balance zwischen Innovation und Kontrolle

Die Zukunft des IT-Managements wird maßgeblich davon abhängen, wie gut es Unternehmen gelingt, diese Herausforderungen zu meistern und die Chancen der digitalen Transformation, einschließlich der KI-Revolution, zu nutzen. Trends wie Zero Trust Security und Secure Access Service Edge (SASE) werden eine wichtige Rolle bei der Bewältigung von Schatten-IT und -KI spielen. Diese Ansätze ermöglichen eine genaue Kontrolle des Zugriffs auf Ressourcen, unabhängig vom Standort des Nutzers oder der Art der Anwendung, sei es eine cloudbasierte Produktivitätssuite oder ein KI-Tool.

Darüber hinaus werden zunehmend KI und Machine Learning zum Einsatz kommen, um Schatten-IT- und -KI-Aktivitäten zu erkennen und automatisch zu reagieren. Predictive Analytics wird es IT-Abteilungen ermöglichen, potenzielle Risiken vorherzusagen und proaktiv Gegenmaßnahmen zu ergreifen, sowohl für herkömmliche Schatten-IT als auch für neue KI-basierte Anwendungen. Die Entwicklung von „Citizen Development“ Plattformen, die es Mitarbeitern ermöglichen, unter kontrollierten Bedingungen eigene Anwendungen und KI-Tools zu entwickeln, könnte ebenfalls dazu beitragen, den Bedarf an Schatten-IT und -KI zu reduzieren.

Letztendlich wird der Erfolg im Umgang mit Schatten-IT und -KI davon abhängen, wie gut Unternehmen in der Lage sind, eine verantwortungsvolle Technologienutzung zu etablieren. Dies erfordert nicht nur technische Lösungen, sondern auch einen Wandel in der Unternehmenskultur. Führungskräfte müssen hier vorangehen und die Bedeutung von Sicherheit und Compliance bei der Nutzung aller IT-Tools betonen, während sie gleichzeitig Innovation und Kreativität fördern.

In einer Welt, in der Technologie zunehmend zum integralen Bestandteil unserer Arbeit wird, müssen Unternehmen agil und anpassungsfähig bleiben. Die Herausforderung besteht darin, die transformative Kraft neuer Technologien zu nutzen, ohne dabei die Kontrolle über sensible Daten und kritische Geschäftsprozesse zu verlieren. Firmen, die es schaffen, diese Balance zu finden, werden in der Lage sein, die Vorteile der digitalen Revolution voll auszuschöpfen und sich einen entscheidenden Wettbewerbsvorteil in der digitalen Ära zu sichern.

Über den Autor

Alexander Laubert verantwortet als Director DACH bei Lakeside Software, einem internationalen IT-Infrastruktur-Unternehmen, die strategische Entwicklung innovativer Softwarelösungen. Mit mehr als 15 Jahren Erfahrung im IT-Management berät er Unternehmen zu proaktiven Technologiestrategien und digitaler Transformation.

(ID:50345969)