Wir haben bereits untersucht, was „Shadow AI“ und „BYOAI“ sind und inwiefern die unbefugte oder unkontrollierte Nutzung von KI-Tools und -Plattformen Risiken für Unternehmen mit sich bringen kann. Um die Auswirkungen von „BYOAI“ (Bring Your Own AI) und „Shadow AI“ auf verschiedene Branchen zu veranschaulichen, finden Sie im Folgenden mehrere Beispiele und Szenarien aus der Praxis aus den Bereichen Technologie, Finanzen und Gesundheitswesen, von denen große Fortune-500-Unternehmen betroffen waren. Diese Fallstudien zeigen, wie „Shadow AI“ eingeführt wurde und wie die Unternehmen darauf reagiert haben.
JPMorgan Chase schränkt den Einsatz von KI ein
Unter Berufung auf Compliance- und Datenschutzbedenken haben JPMorgan und mehrere andere Großbanken (Bank of America, Citigroup, Deutsche Bank, Wells Fargo, Goldman Sachs) die Nutzung von ChatGPT und ähnlichen Tools durch ihre Mitarbeiter am Arbeitsplatz verboten oder eingeschränkt. Als die Nutzung generativer KI zunahm, begannen Finanzinstitute, sich Sorgen über Datenlecks und Compliance-Risiken im Zusammenhang mit einer nicht genehmigten Nutzung zu machen. Um auf Nummer sicher zu gehen, ergriffen viele Banken rasch Maßnahmen zum Schutz sensibler Kundendaten.
Amazon entdeckt interne Daten in ChatGPT
Amazon stellte fest, dass die Antworten von ChatGPT weitgehend mit den internen firmeneigenen Daten übereinstimmten, woraufhin das Unternehmen zu dem Schluss kam, dass Mitarbeiter begonnen hatten, das große Sprachmodell zu nutzen und vertrauliche Informationen einzugeben. Als Reaktion darauf erließ die Amazon-Geschäftsführung eine Anweisung, die es den Mitarbeitern untersagt, Code oder vertrauliche Informationen an externe KI-Anbieter weiterzugeben.
Samsung gibt vertrauliche Programmcode-Informationen über ChatGPT preis
In der Halbleitersparte von Samsung begannen Ingenieure, ChatGPT als Unterstützung beim Programmieren und bei Besprechungsprotokollen zu nutzen. Innerhalb von drei Wochen kam es zu drei Vorfällen, bei denen Mitarbeiter versehentlich sensible Daten – darunter Samsungs firmeneigenen Quellcode und das Protokoll einer internen Besprechung – preisgaben, indem sie diese in ChatGPT eingaben. Sobald die Daten in das System von OpenAI eingespeist waren, verlor Samsung die Kontrolle darüber. Nach den Datenlecks verhängte Samsung umgehend ein Verbot für externe generative KI-Tools in seinen Unternehmensnetzwerken und leitete eine interne Untersuchung ein. Das Unternehmen begann zudem mit der Entwicklung eines eigenen, geschlossenen KI-Tools, um seine Abhängigkeit von öffentlichen Modellen zu verringern. Der Vorfall gilt mittlerweile als warnendes Beispiel dafür, wie „Shadow AI“ schiefgehen kann.
Apple verbietet seinen Mitarbeitern die Nutzung von ChatGPT und GitHub Copilot
Unter Berufung auf das Risiko von Informationslecks hat Apple seinen Mitarbeitern die Nutzung von ChatGPT, Microsofts GitHub Copilot und ähnlichen KI-Tools am Arbeitsplatz untersagt. Die Unternehmensleitung von Apple befürchtete, dass Mitarbeiter unwissentlich vertrauliche Informationen (wie beispielsweise Softwarecode für noch nicht veröffentlichte Produkte) an Systeme weitergeben könnten, die mit externen Anbietern verbunden sind. Bemerkenswert ist, dass Apples Einschränkungen kurz nach dem Vorfall bei Samsung ergriffen wurden und ein Bericht des Wall Street Journal hervorhob, dass diese KI-Dienste von Wettbewerbern (in diesem Fall Microsoft) unterstützt wurden. Apples Schritt unterstrich die Bedeutung des Schutzes geistigen Eigentums im Zeitalter von BYOAI.
„Shadow AI“ im Gesundheitswesen: Eine Gefahr am Horizont
Shadow AI hat im Gesundheitswesen zwar noch keine Schlagzeilen gemacht, ist aber dennoch ein ernstzunehmendes Problem. Einige Ärzte und Krankenhausmitarbeiter haben still und leise Tools wie ChatGPT getestet, um sich beim Verfassen von Patientenberichten und Überweisungsschreiben sowie bei der Analyse klinischer Daten unterstützen zu lassen. Dabei haben einige Personen unbeabsichtigt geschützte Gesundheitsdaten (PHI) in KI-Systeme von Drittanbietern eingegeben und damit gegen Datenschutzgesetze für Patienten verstoßen. Beispielsweise könnte ein Arzt Teile der Krankenakte eines Patienten in ChatGPT eingeben, um einen zusammenfassenden Brief zu erstellen. Diese scheinbar harmlose Zeitersparnis stellt einen Verstoß gegen das HIPAA dar, da die PHI das sichere System des Krankenhauses verlassen und an die Server von OpenAI weitergeleitet werden.
Eine solche Vorgehensweise könnte zu behördlichen Ermittlungen und Geldstrafen für den Gesundheitsdienstleister führen. Bislang hat noch kein Krankenhaus öffentlich über eine nennenswerte Strafe im Zusammenhang mit ChatGPT und HIPAA berichtet, doch die medizinischen Einrichtungen bleiben weiterhin vorsichtig. Experten der USC und von Anwaltskanzleien haben in medizinischen Fachzeitschriften Warnungen veröffentlicht und dabei hervorgehoben, wie leicht ein Arzt durch den Einsatz generativer KI gegen Datenschutzbestimmungen verstoßen könnte.
Einige Krankenhäuser führen Schulungen und technische Maßnahmen durch, um zu verhindern, dass medizinisches Personal Patientendaten in Chatbots einfügt. Diese Situation macht deutlich, dass die Kosten von „Shadow AI“ im Gesundheitswesen in Form von rechtlichen Sanktionen und einem Vertrauensverlust seitens der Patienten entstehen könnten.
Weitere Beispiele für „Shadow AI“, da sich ähnliche Muster abzeichnen
Versicherungen und Rechtswesen: Mitarbeiter von Versicherungsgesellschaften oder Anwaltskanzleien könnten KI-Tools zum Verfassen von Versicherungspolicen oder Verträgen nutzen und dabei unbeabsichtigt Kundendaten oder vertrauliche Falldetails preisgeben, was Bedenken hinsichtlich der Haftung und der Vertraulichkeit aufwirft.
Bildung: Lehrkräfte oder Verwaltungsangestellte, die KI zur Verwaltung von Schülerdaten einsetzen, könnten gegen Datenschutzgesetze wie das FERPA verstoßen. Einige Schulbezirke haben ChatGPT verboten, da sie befürchten, dass Mitarbeiter Schülerdaten oder Prüfungsunterlagen weitergeben könnten.
Fertigung und Energie: Ingenieure könnten KI einsetzen, um Konstruktionen oder Wartungspläne anhand firmeneigener Daten über Anlagen zu optimieren, die aus Sicherheits- oder Wettbewerbsgründen vertraulich sein könnten.
Regierung: Beamten wurde aufgrund von Sicherheitsklassifizierungen und zum Schutz der Privatsphäre der Bürger davon abgeraten, nicht zugelassene KI-Tools für amtliche Dokumente zu verwenden. So haben beispielsweise einige nationale Regierungen Tools wie ChatGPT vorübergehend auf Dienstgeräten gesperrt, während Sicherheitsüberprüfungen durchgeführt wurden.
Fazit
Jede dieser Branchen steht vor einer gemeinsamen Herausforderung: Wie lassen sich die Produktivitätsvorteile der KI nutzen, ohne die Datensicherheit und die Einhaltung gesetzlicher Vorschriften zu gefährden? Die oben genannten Fallstudien, insbesondere jene aus dem Jahr 2023, zeigen, dass viele führende Unternehmen umgehend auf frühe BYOAI-Vorfälle reagiert haben. Der Trend ist branchenübergreifend erkennbar: Die nicht genehmigte Nutzung von KI ist weit verbreitet, und eine wirksame Governance hat nun höchste Priorität, um zu verhindern, dass kleine Fehler zu großen Katastrophen eskalieren.
Lassen Sie nicht zu, dass „Shadow AI“ Ihr Unternehmen gefährdet
TrustedTech kann Ihnen dabei helfen, Ihr Unternehmen vor unbefugter KI-Nutzung zu schützen, sensible Daten zu sichern und die Einhaltung gesetzlicher Vorschriften zu gewährleisten, bevor aus einem kleinen Fehler eine große Katastrophe wird.
