Schatten-KI in Unternehmen: Unterschätzte Gefahr für den Datenschutz?

Definition: Was ist Schatten-KI?

Künstliche Intelligenz gehört für viele Menschen zum Alltag, auch im beruflichen Kontext. Allerdings nutzen viele Beschäftigte KI-Anwendungen wie ChatGPT ohne das Wissen ihres Arbeitgebers. Diesen nicht genehmigten und nicht beaufsichtigten Einsatz von KI-Systemen nennt man Schatten-KI.  

Gut zu wissen: Angelehnt ist der Begriff an die Schatten-IT, also der eigenständigen, unerlaubten Nutzung von Cloud-Lösungen wie Dropbox oder Messengern wie WhatsApp im Arbeitskontext.  

Schatten-KI bewegt sich oftmals außerhalb von KI- und Compliance-Richtlinien von Unternehmen und die IT-Abteilung oder Datenschutzbeauftragte haben oft gar keine Kenntnis davon. Daraus können ernsthafte Risiken für die Informationssicherheit von Organisationen und für die personenbezogene Daten entstehen, die sie verarbeiten. Die wirtschaftlichen Folgen können vor allem KMU schaden.  

Status quo im Unternehmensalltag: So verbreitet ist Schatten-KI heute schon

26 % der Unternehmen in Deutschland erlauben ihren Angestellten mittlerweile die Nutzung generativer KI. Trotzdem greifen viele Beschäftigte im Alltag auf Tools zurück, die der Arbeitgeber nicht genehmigt hat. Laut dem Digitalverband Bitkom gehen 4 von 10 Unternehmen davon aus, von Schatten-KI betroffen zu sein. 8 % der Unternehmen geben sogar an, das Phänomen sei weit verbreitet.  

Auch Politik und Verwaltung bleiben von Schatten-KI nicht verschont: Eine Microsoft-Umfrage ergab, dass 45 % der Befragten in diesem Bereich KI-Tools nutzen, die nicht von ihrer Organisation als sicher eingestuft wurden.  

Ursachen: Wie entsteht Schatten-KI in Unternehmen?

Warum nimmt die verdeckte Nutzung nicht genehmigter KI-Tools zu, obwohl immer mehr Unternehmen Künstliche Intelligenz als Arbeitserleichterung zulassen?  

Einer der Gründe ist womöglich, dass die gewählten KI-Lösungen nicht ausreichen oder nicht zu den Bedürfnissen der Beschäftigten passen. Mitarbeitende greifen dann auf andere Tools zurück, um sich die Arbeit zu erleichtern. Da viele KI-Tools kostenlos verfügbar sind und es täglich mehr werden, ist die Hürde zum Ausprobieren besonders niedrig.

Ein weiterer Faktor sind fehlende Schulungsangebote rund um die Besonderheiten und Gefahren neuer Technologien wie KI. Das hat zur Folge, dass Angestellte sich der Gefahren von Schatten-KI gar nicht bewusst sind.

KI-Beratung benötigt?

Der Einsatz von KI verspricht Gewinne bei Produktivität und Umsatz. Allerdings geben die DSGVO und der EU AI Act klare Regeln für die Arbeit mit KI-Tools vor. Wir beraten Sie rund um die datenschutzkonforme Nutzung Künstlicher Intelligenz und unterstützen Sie beim Aufbau von KI-Kompetenz.

Jetzt zu KI beraten lassen

Beispiele für Schatten-KI in KMU

Schatten-KI entsteht oft, weil Mitarbeitende unter Zeitdruck stehen und viele KI-Tools ihnen mehr Produktivität versprechen. Diese Beispiele aus dem Arbeitsalltag zeigen, an welchen Stellen Beschäftigte gern auf KI-Tools zurückgreifen:  

• Content: Frei zugängliche generative KI-Anwendungen erstellen innerhalb von Sekunden Produkttexte, Blogbeiträge oder Social-Media-Posts und helfen bei Übersetzungen. Doch oft nutzen Mitarbeiter Tools, die der Datenschutzverantwortliche nie abgesegnet hat.

• Kundenservice: Bei wiederkehrenden Kundenanfragen können Chatbots schnelle Antworten liefern. Allerdings nutzen Mitarbeiter im Kundenservice dabei oft generative KI-Chatbots, die nie offiziell von der IT-Abteilung geprüft wurden.

• Projektmanagement: KI-basierte Tools sind unschlagbar darin, Aufgaben, Termine und Projekte mit wenigen Klicks zu organisieren. Nutzen Beschäftigte solche Tools über private Accounts, fehlt ihrem Arbeitgeber allerdings der Überblick über Datenströme.

• Marketing: Ein weiterer typischer Fall von Schatten-KI ist der Einsatz von KI-Lösungen zur Optimierung von Marketingkampagnen, die nicht in das Unternehmens-Sicherheitskonzept eingebunden sind.

• Reporting: Was KI besonders unverzichtbar für effizientes Arbeiten macht, ist die automatisierte Analyse großer Datenmengen für Reportings. Laufen die Daten jedoch durch nicht genehmigte KI-Systeme, kann aus dem Effizienzgewinn schnell ein Umsatzverlust werden, sollte es zu Compliance-Verstößen und Bußgeldzahlungen kommen.

Risiken: Was passiert, wenn Beschäftigte nicht genehmigte KI-Tools nutzen?

Wenn Beschäftigte auf Tools zurückgreifen, die ihr Arbeitgeber nicht offiziell zur Verfügung stellt, steckt in der Regel keine böse Absicht dahinter. Dennoch sind die Gefahren für die Unternehmens-Compliance real und weitreichend.

Schatten-KI unterwandert zum einen bestehende Datenschutz- und Sicherheitskonzepte, die Unternehmen vor Verstößen gegen Vorgaben wie die Datenschutzgrundverordnung (DSGVO) schützen sollen. Zum anderen können ungeprüfte Tools erhebliche Sicherheitslücken aufweisen und dadurch zu Einfallstoren für Cyberkriminelle werden.  

Wichtige Risiken von Schatten-KI im Überblick

• Verstöße gegen Datenschutzvorgaben durch rechtsgrundlose Datenverarbeitung oder Verstöße von DSGVO-Vorgaben, wenn zum Beispiel kein Auftragsverarbeitungsvertrag abgeschlossen wird

• Gefahr von Datenlecks und Cyberangriffen aufgrund mangelhafter Tool-Sicherheit

• KI-Training mit Unternehmensdaten

• Ineffizienzen durch Wildwuchs bei den Prozessen

• Redundanz durch den Einsatz mehrerer KI-Tools

• Probleme bei der Einhaltung gesetzlicher Vorgaben und Nachweispflichten

• Fehlerhafte KI-Ergebnisse schaden der Reputation des Unternehmens

• Steigende Kosten durch DSGVO-Bußgelder oder die Verletzung von Urheberrechten

Lösungen: Welche Maßnahmen können Unternehmen gegen Schatten-KI ergreifen?

Um sich vor den negativen Folgen von Schatten-KI zu schützen, rät Bitkom-Präsident Dr. Ralf Wintergerst: „Die Unternehmen sollten KI-Wildwuchs vermeiden und der Entwicklung einer Schatten-KI vorbeugen. Dazu müssen sie klare Regeln für den KI-Einsatz aufstellen und ihren Beschäftigten KI-Technologien zur Verfügung stellen.“  

23 % der Unternehmen haben laut Bitkom ihre Hausaufgaben diesbezüglich bereits erledigt. Alle anderen sollten jetzt dringend daran arbeiten, ihre KI-Compliance zu stärken.

Tipp 1: KI-Compliance von Anfang an mitdenken

Unternehmen sollten ihrer Belegschaft geprüfte Lösungen strukturiert bereitstellen. Die späteren Nutzer sollten von Anfang an in die Tool-Auswahl einbezogen werden. So stellen Unternehmen sicher, dass die KI-Lösungen auch wirklich genutzt werden und niemand auf Alternativen ausweichen muss.

Tipp 2: KI-Governance als Fahrplan nutzen

Klare Regeln für die Nutzung von KI am Arbeitsplatz helfen im Alltag, Fehler zu vermeiden. Ein KI-Regelsystem für Unternehmen (KI-Governance) sollte unter anderem festlegen,  

• welche KI-Tools zu welchem Zweck von den Beschäftigten genutzt werden dürfen,

• ob eine Offenlegungspflicht bezüglich des Einsatzes von KI gilt – so ist es zum Beispiel ratsam, dass sich KI-Chatbots im Kundenservice als solche dem Kunden gegenüber zu erkennen geben, und

• wie mit Bias, Fehlerquoten und Halluzinationen umzugehen ist und an welcher Stelle menschliche Kontrolle unverzichtbar ist

Tipp 3: Wissen rund um KI fördern

Darüber hinaus sollten Beschäftigte für Chancen und Risiken von Künstlicher Intelligenz in ihrem Arbeitsalltag sensibilisiert werden. Vielen Angestellten, die sich mit KI-Tools aus dem Internet behelfen, sind sich der damit verbundenen Gefahren für Geschäftsgeheimnisse oder Kundendaten gar nicht bewusst.  

Mit nachhaltig angelegten, praxisnahen Schulungen, klaren Verantwortlichkeiten und einer aktiven Beratungskultur können Risiken minimiert und Potenziale ausgeschöpft werden.  

Vom Schatten ins Licht: Mit KI-Compliance, transparenten Spielregeln und Kompetenz  

Die Schatten-KI ist keine abstrakte Gefahr, sondern eine hochaktuelle unternehmerische Realität. Das gilt insbesondere für den Mittelstand. Wer ohne KI-Strategie fährt, verliert langfristig die Kontrolle über Datenströme und Informationssicherheit und riskiert Compliance-Verstöße und Bußgelder.  

Setzen Sie deshalb konsequent auf klare Strukturen und bauen Sie gezielt KI-Kompetenz auf. Damit schützen Sie Ihre Daten und Geschäftsprozesse und können endlich von den Vorteilen der Künstlichen Intelligenz profitieren, statt sich täglich über mögliche Gefahren den Kopf zu zerbrechen.