„Shadow AI“ und „Bring Your Own AI“ (BYOAI) sind weltweit aufkommende Trends am Arbeitsplatz. Angesichts der zunehmenden Verbreitung kostenloser KI-Tools und des Aufkommens von KI-Agenten, die manuelle Aufgaben übernehmen und eigenständig arbeiten, müssen Unternehmen den Risiken einer nicht genehmigten KI begegnen. KI-Tools haben Einzug in nahezu jede Branche gehalten – von ChatGPT, das Fragen beantwortet und Inhalte erstellt, über Copilot, das die Produktivität der Mitarbeiter steigert, bis hin zu GitHub, das bei der Erstellung von Code hilft. Mitarbeiter verlassen sich zunehmend auf diese Tools, was zu Problemen bei der Datenverwaltung führen könnte.
Nehmen wir zum Beispiel diese Zahl: Laut einem Bericht aus dem IBM Newsroom hat jedes fünfte Unternehmen bereits eine Sicherheitsverletzung aufgrund von „Shadow AI“ erlebt, und nur 37 % verfügen über Richtlinien zum Umgang mit KI.
Lassen Sie uns die komplexe Welt von BYOAI und Shadow AI erkunden, indem wir ihre Unterschiede erläutern und drei zentrale Risikobereiche untersuchen.
Der Boom der generativen KI
Der Anstieg der Nutzung generativer KI gerade in diesem Jahrzehnt hat jede andere Technologie übertroffen – nicht nur hinsichtlich der Gesamtnutzung, sondern auch hinsichtlich ihrer Flexibilität als Produktivitätswerkzeug, das nahezu jede Branche erfasst. Das auffälligste Beispiel ist ChatGPT, das laut CNBC allein 700 Millionen Nutzer pro Woche verzeichnet, was einer Vervierfachung gegenüber dem Vorjahr entspricht. Auch hier tragen die breite Verfügbarkeit dieser KI-Tools und die unzähligen Anwendungsfälle zum Rekordanstieg bei der Einführung von KI bei.
Was ist BYOAI?
Im Technologiebereich wimmelt es nur so von Abkürzungen, aber vielleicht kennen Sie ja schon BYOD (Bring Your Own Device), was nichts anderes bedeutet, als den eigenen Laptop oder das eigene Smartphone für die Arbeit zu nutzen. Die nächste Entwicklungsstufe davon ist nun BYOAI (Bring Your Own AI), bei dem Mitarbeiter ungeprüfte externe KI-Tools nutzen. Einfacher ausgedrückt: Ein Mitarbeiter kann öffentlich verfügbare KI-Tools wie ChatGPT und Notion AI nutzen, um seine Arbeitsproduktivität zu steigern. Das Hauptproblem dabei ist, dass es ohne vorherige Rücksprache mit Ihrem IT-Team keine Kontrolle oder Aufsicht gibt. Und laut einer Microsoft-Studie nutzen 75 % der Wissensarbeiter KI.
Was ist Shadow AI?
Während BYOAI diese Tools in den Arbeitsalltag integriert, bezeichnet „Shadow AI“ im Grunde genommen die unbefugte oder unkontrollierte Nutzung von KI-Plattformen innerhalb eines Unternehmens. Dabei geht es nicht um die KI selbst, sondern um die Nutzung dieser Instrumente ohne Genehmigung durch die IT- oder Compliance-Abteilungen. Genauer gesagt ist „Shadow AI“ das Ergebnis der Nutzung dieser unbefugten BYOAI-Tools, was zu Sicherheitslücken oder Datenlecks führen kann. Kostenlose Tools wie ChatGPT verfügen über keinerlei Schutzmechanismen, wenn es um sensible private Daten geht.
Shadow AI ist die nächste Entwicklungsstufe von Shadow-IT, also der Nutzung von Apps oder Software, die Ihr IT-Team nicht geprüft hat. Während es sich bei Shadow-IT um Apps und Software handelt, ist Shadow AI die nächste Generation, die aus KI-Tools besteht. Wenn ein Großteil der Mitarbeiter beginnt, KI-Tools eigenmächtig zu nutzen, kann dies zu einer Lücke in der Unternehmensführung und zu einem enormen Haftungsrisiko für Ihr Unternehmen führen.
Laut einer Umfrage von Telusdigital geben 57 % der Beschäftigten an, dass sie sensible Daten in öffentliche GenAI-Assistenten eingegeben haben.
Es ist mittlerweile ein schmaler Grat zwischen dem Einsatz von KI-Tools zur Steigerung der Produktivität und der optimalen Nutzung von KI bei gleichzeitiger Einhaltung festgelegter Richtlinien. Unternehmen müssen dem „Shadow-AI“-Phänomen nun zuvorkommen, indem sie KI-Richtlinien festlegen, Schulungen anbieten und Tools absichern, die innerhalb des Unternehmensökosystems verbleiben.
Leistungsstarke KI-Tools bergen Risiken
Der Aufstieg von BYOAI und Shadow AI lässt sich auf den einfachen Zugang zu leistungsstarken, kostenlosen KI-Tools wie großen Sprachmodellen zurückführen. Da die meisten dieser Tools keinerlei technische Einrichtung erfordern, nutzen Mitarbeiter sie eigenständig, um ihre Arbeit schneller zu erledigen. So könnte beispielsweise jemand ein KI-Tool zur Segmentierung von Krankenakten einsetzen, ohne sich bewusst zu sein, dass dadurch möglicherweise vertrauliche Patientendaten offengelegt werden, die das Deep-Learning-Tool wiederum zum Trainieren künftiger Iterationen verwenden könnte.
KI-Tools bieten enorme Vorteile, wenn es darum geht, die Produktivität der Nutzer zu steigern – das ist die positive Seite. Die Kehrseite der Medaille (der Nachteil) ist jedoch das Risiko. Laut dem „2025 Cost of Data Breach Report“ von IBM belaufen sich die durchschnittlichen weltweiten Kosten auf 4,4 Millionen US-Dollar! Da immer mehr Mitarbeiter ihre eigene KI mit an den Arbeitsplatz bringen, haben auch die Fälle von „Shadow-KI“ dramatisch zugenommen.
Drei Risiken im Zusammenhang mit „Shadow AI“
Shadow-KI birgt eine Reihe von Risiken für Unternehmen. Zu den drei größten Gefahren im Zusammenhang mit Shadow-KI zählen Datenlecks, Verstöße gegen gesetzliche Vorschriften und Betriebsstörungen. Werfen wir einen Blick auf die verschiedenen Bereiche und darauf, inwiefern diese Gefahren eine Bedrohung für Ihr Unternehmen darstellen können.
Datenlecks
Datenlecks sind am häufigsten und treten auf, wenn Mitarbeiter vertrauliche Informationen durch die Nutzung autorisierter KI-Tools unwissentlich preisgeben. So könnte beispielsweise ein Mitarbeiter, der Hilfe von ChatGPT in Anspruch nimmt, sensible Dokumente oder Code in den Chatbot kopieren und einfügen. Diese Daten haben nun die Grenzen der internen Server des Unternehmens verlassen und befinden sich irgendwo in der Cloud, wo sie vom LLM genutzt werden können. OpenAI und ähnliche Anbieter speichern in der Regel Nutzereingaben, um ihre Modelle zu verbessern, was bedeutet, dass Geschäftsgeheimnisse oder personenbezogene Daten in den Trainingsdaten der KI verbleiben könnten. Schlimmer noch: Wenn das KI-Tool gehackt wird oder Funktionen versehentlich Daten veröffentlichen, können diese Informationen nach außen gelangen. Ein Beispiel aus der Praxis: Ein Mitarbeiter des Marketingteams nutzte ChatGPT zum Verfassen von Inhalten und fügte vertrauliche Kundendaten in den Entwurf einer Pressemitteilung ein; diese Daten wurden schließlich auf den Servern von OpenAI gespeichert. Solche Lecks können gegen Geheimhaltungsvereinbarungen verstoßen und strategische Pläne gegenüber Außenstehenden offenlegen. Kurz gesagt: Shadow-KI kann interne Daten in externe Daten verwandeln, ohne dass dies sofort bemerkt wird.
Verstöße gegen Vorschriften
Ohne angemessene Aufsicht kann der Einsatz von KI-Tools zu schwerwiegenden Problemen wie Verstößen gegen Datenschutzvorschriften oder Branchenvorschriften führen. Die Weitergabe sensibler Informationen an KI-Systeme kann sogar eine unbefugte Offenlegung darstellen. Wenn beispielsweise ein Arzt ChatGPT nutzt, um Patientenakten zusammenzufassen, könnte er versehentlich gegen die HIPAA verstoßen, indem er geschützte Gesundheitsdaten an ein externes System übermittelt. Ebenso können Finanzberater gegen SEC- oder DSGVO-Vorschriften verstoßen, wenn Finanzdaten von Kunden an nicht genehmigte KI-Tools weitergegeben werden. „Shadow-KI“ schafft einen blinden Fleck in der Governance, in dem Vorschriften wie die DSGVO, HIPAA oder branchenspezifische Datenschutzgesetze unwissentlich verletzt werden. Diese Datenlecks können zu Ermittlungen, Geldstrafen oder rechtlichen Schritten führen. Experten warnen, dass der nicht genehmigte Einsatz von KI bereits zu Compliance-Problemen geführt hat, die erhebliche Strafen nach sich ziehen können. Dieses Risiko ist in regulierten Branchen besonders hoch: Ein Grund, warum große Banken ChatGPT verboten haben, war die Sorge vor Verstößen gegen Vorschriften zur Aufbewahrung von Finanzdaten und zum Datenschutz.
Betriebsstörungen
„Shadow AI“ kann Sicherheitsrisiken und betriebliche Probleme nach sich ziehen. Wenn IT-Teams nicht wissen, dass ein Tool verwendet wird, können sie nicht angemessen beurteilen, ob es sicher oder zuverlässig ist. Manche dieser Tools könnten Firewalls umgehen, oder Mitarbeiter könnten ihnen Zugriff auf sensible Systeme gewähren – oft ohne sich der Risiken bewusst zu sein. Solche blinden Flecken können zu Cyberangriffen oder Systemausfällen führen. Beispielsweise könnte ein Mitarbeiter eine kostenlose KI-Übersetzungs-API an das Kundenservice-System des Unternehmens anbinden und dabei unbeabsichtigt Malware einschleusen oder eine Hintertür schaffen. Die Organisation FreeCodeCamp beschreibt einen Fall, in dem ein Entwickler eine ungeprüfte KI-API verwendete und Hacker deren Schwachstellen ausnutzten, was zu einer schwerwiegenden Datenpanne und Systemausfallzeiten führte. Wenn KI-Tools nicht ordnungsgemäß gesteuert werden, können sie ungenaue oder verzerrte Ergebnisse liefern, die geschäftliche Entscheidungen in die falsche Richtung lenken – beispielsweise wenn eine Strategie auf einer fehlerhaften Analyse basiert. Solche Fehltritte können Projekte zum Scheitern bringen, Daten gefährden oder sogar Sicherheitsrisiken in kritischen Branchen wie dem Gesundheitswesen und dem Finanzsektor verursachen. „Shadow AI“ umgeht die üblichen Risikokontrollen eines Unternehmens, wodurch sich Fehler oder Angriffe ungehindert ausbreiten und den Betrieb erheblich beeinträchtigen können.
Fazit
Da der Einsatz von KI-Tools im Arbeitsalltag der Mitarbeiter weiterhin drastisch zunimmt, steigen auch die Risiken durch „Shadow AI“ und „Bring Your Own Device“ stetig an. Mitarbeiter greifen in Scharen auf KI-Tools zurück, um ihre Produktivität zu steigern und sich wiederholende Arbeitsaufgaben zu vereinfachen, ohne die negativen Kettenreaktionen, die dadurch entstehen können, vollständig zu begreifen. Die größte Herausforderung für IT-Teams besteht nicht darin, KI-Tools zu verbieten, sondern die Mitarbeiter zu schulen, Richtlinien zu erlassen und Geräte zu sichern. Das Ziel ist es, Teams zu befähigen und gleichzeitig Risiken zu minimieren sowie die Einhaltung von Vorschriften zu gewährleisten. Es gibt keinen besseren Zeitpunkt als jetzt, um KI aus dem Schatten zu holen, indem die Gefahren der KI-Einführung am Arbeitsplatz deutlich beleuchtet werden.
