Unternehmen erkennen zunehmend, dass ein vollständiges Verbot von KI nicht praktikabel ist, es aber riskant ist, nichts zu unternehmen. Das Ziel der Governance besteht darin, ein Gleichgewicht zwischen Innovation und Risikomanagement herzustellen, damit die Mitarbeiter von KI profitieren können und gleichzeitig das Unternehmen geschützt bleibt. Im Folgenden werden wichtige Strategien vorgestellt, die zur Eindämmung von „Shadow AI“ umgesetzt werden.
Klare Richtlinien für den Einsatz von KI festlegen
Ein offizieller Bericht von IBM zu den Kosten von Datenschutzverletzungen besagt, dass in 20 % der befragten Unternehmen Teammitglieder in irgendeiner Form „Shadow-KI“ nutzten. Unternehmen müssen Richtlinien zur akzeptablen Nutzung von KI-Tools entwickeln. Dazu gehört auch die Festlegung, welche Daten an externe KI-Dienste weitergegeben werden dürfen und welche nicht.
Beispielsweise könnte eine Richtlinie die Eingabe von personenbezogenen Kundendaten, Finanzdaten, Quellcode oder anderen sensiblen Informationen in nicht autorisierte KI-Plattformen verbieten. In den Richtlinien sollte außerdem festgelegt werden, welche KI-Tools (falls vorhanden) zugelassen sind und unter welchen Bedingungen sie genutzt werden dürfen. Microsoft Purview kann bei der Durchsetzung dieser Richtlinien helfen, indem es sensible Datentypen identifiziert und verhindert, dass diese in nicht zugelassene Webanwendungen eingefügt werden.
Durch die Festlegung dieser „Leitplanken“ werden den Mitarbeitern die Grenzen klar: zum Beispiel „Fügen Sie keine internen Dokumente in ChatGPT ein.“ Klarheit ist unerlässlich: Die Richtlinien eines Unternehmens erlauben den Einsatz von GenAI für Aufgaben im Zusammenhang mit öffentlichen Informationen, verbieten ihn jedoch für alles, was interne Systeme oder vertrauliche Daten betrifft.
Schulung und Sensibilisierung
Die Schulung der Mitarbeiter ist entscheidend, um die Lücke in der Unternehmensführung zu schließen. Regelmäßige Schulungen (die in Sicherheits- oder Datenschutzschulungen integriert sind) können die Mitarbeiter über die Risiken von „Shadow AI“ aufklären und ihnen verdeutlichen, warum bestimmte Daten intern bleiben müssen. Die Schulungen sollten umfassen, was sensible Daten ausmacht, wie KI-Dienste mit Benutzereingaben umgehen und welche potenziellen Auswirkungen ein Missbrauch haben kann.
Beispiele aus der Praxis für datenschutzrechtliche Vorfälle im Zusammenhang mit KI (wie etwa der Vorfall bei Samsung) können diesen Punkt verdeutlichen. Einige Unternehmen haben sogar „KI-Sprechstunden“ eingeführt oder interne Fachgemeinschaften gegründet, um ihren Mitarbeitern den sicheren und effektiven Umgang mit KI näherzubringen.
Bereitstellung zugelassener Tools und Umgebungen
Anstatt KI gänzlich zu verbieten, bieten führende Unternehmen zugelassene KI-Lösungen als sichere Alternativen an. Dazu können Unternehmensabonnements für KI-Dienste gehören, bei denen keine Daten gespeichert oder in einer privaten Sandbox aufbewahrt werden. Microsoft 365 Copilot ist ein führendes Beispiel für ein zugelassenes Tool: Es bietet eine sichere Umgebung, in der die in Eingabeaufforderungen verwendeten Daten nicht zum Trainieren öffentlicher Modelle genutzt werden, wodurch Datenschutz auf Unternehmensniveau gewährleistet wird.
Beispielsweise können Unternehmen eine Version von ChatGPT oder Microsoft Copilot nutzen, bei der eine Datenausblendung und Verschlüsselung möglich ist, oder einen internen KI-Assistenten entwickeln, der keine Daten nach außen übermittelt. Die Reaktion von Samsung auf Shadow AI war aufschlussreich. Nachdem das Unternehmen nach einem Datenleck die Nutzung externer KI-Dienste untersagt hatte, begann es mit der Entwicklung eines unternehmensspezifischen KI-Chatbots, damit die Mitarbeiter weiterhin Unterstützung in einer kontrollierten Umgebung erhalten konnten.
Überwachung und technische Kontrollmaßnahmen mit Microsoft Security
Genauso wie Unternehmen DLP (Data Loss Prevention) und Firewalls einsetzen, um Schatten-IT zu unterbinden, führen sie nun Überwachungslösungen ein, um Schatten-KI zu identifizieren. Microsoft Defender for Cloud Apps ist hierbei ein entscheidendes Werkzeug: Es kann über 1.000 generative KI-Anwendungen aufspüren und diese anhand von Risikofaktoren einstufen.
IT-Abteilungen können diese Erkenntnisse nutzen, um Apps als „nicht genehmigt“ zu kennzeichnen, wodurch der Zugriff über Microsoft Entra und Defender for Endpoint automatisch blockiert wird. Darüber hinaus bietet der AI Hub von Microsoft Purview ein Dashboard, mit dem sich visualisieren lässt, wie sensible Daten mit KI-Systemen interagieren. Dies ermöglicht eine KI-spezifische DLP, die sensible Informationen wie Kreditkartennummern oder Quellcode in KI-Eingabeaufforderungen erkennen und in Echtzeit blockieren kann.
Zu den fortgeschritteneren Methoden zählen KI-Nutzungsaudits, bei denen Protokolle auf Schlüsselwörter wie „ChatGPT“ analysiert oder KI-generierte Inhalte in offiziellen Dokumenten identifiziert werden. Unter Wahrung des Datenschutzes können Unternehmen KI-Nutzungsmuster anonym untersuchen, um festzustellen, welche Abteilungen mit KI experimentieren.
Fazit
Durch proaktives Management wird BYOAI von einem unkontrollierbaren Risiko zu einem kontrollierbaren Vorteil. Erfolgreich werden jene Unternehmen sein, die weder naiv uneingeschränkten Einsatz von KI zulassen noch nützliche Innovationen unterbinden, sondern mit intelligenten Richtlinien, Schulungen, zugelassenen Tools, Überwachung und einem Kulturwandel einen Mittelweg finden. Dieser ausgewogene Ansatz hilft ihnen, die Vorteile der KI wie höhere Effizienz und mehr Kreativität zu nutzen und gleichzeitig das Risiko zu verringern, dass etwas schiefgeht.
„Shadow-KI“ stellt eine gefährliche Bedrohung für Unternehmen dar. Der Zugang von Mitarbeitern zu KI-Tools kann die Produktivität steigern und somit zu einer besseren Gesamtkapitalrendite führen. Ohne angemessene Sicherheitsvorkehrungen offenbart diese Nutzung jedoch erhebliche Lücken in der Datenverwaltung. Der wirtschaftliche Schaden durch die Offenlegung vertraulicher Daten – sei es durch die Weitergabe von Geschäftsgeheimnissen oder den unsachgemäßen Umgang mit personenbezogenen Daten – kann die Produktivitätsvorteile der KI übersteigen, wenn keine angemessenen Kontrollmaßnahmen getroffen werden.
Die Lösung besteht nicht darin, KI einzuschränken, sondern eine angemessene Steuerung zu etablieren: klare Richtlinien, Schulungen für Teammitglieder, genehmigte Tools, Überwachung und abteilungsübergreifende Kontrolle. Unternehmen, die dieses Gleichgewicht durch den Einsatz von Tools wie den Microsoft Purview- und Defender-Suiten finden, werden „Shadow AI“ von einem Risiko in einen Wettbewerbsvorteil verwandeln und den Einfallsreichtum ihrer Mitarbeiter mithilfe von KI nutzen, während sie gleichzeitig ihre Daten und Abläufe schützen.
