Shadow AI Schatten-KI verstärkt Sicherheitsrisiken

Anbieter zum Thema

VIER GmbH

INFOMOTION GmbH

QUNIS GmbH

Fivetran Germany GmbH

Knapp vier von fünf befragten US-amerikanischen Nutzern von Künstlicher Intelligenz (KI) berichten laut einer Umfrage der SAP-Tochterfirma WalkMe, dass sie ungenehmigte KI-Tools verwenden. Nur 7,5 Prozent berichten, dass sie ausführliche Schulungen zum KI-Einsatz erhalten, und rund jeder zweite User verbirgt seine Unkenntnis gegenüber anderen. Doch es gibt Wege, diesen riskanten und kostspieligen Missstand zu beheben.

Die SAP-Tochter WalkMe hat ihre zweite jährliche Umfrage unter tausend US-amerikanischen KI-Nutzern durchführen lassen. Die Ergebnisse des „2025 Digital Adoption Reports” mit der integrierten Umfrage „AI in the Workplace Survey” sind aufrüttelnd. 78 Prozent der Befragten gaben zu, KI-Werkzeuge zu verwenden, die ihr Arbeitgeber nicht genehmigt hatte.

Vier von fünf Usern sind vom Nutzen dieser Tools überzeugt, denn sie steigern ihre Produktivität, doch nur 7,5 Prozent erhalten eine ausführliche Anleitung für die offiziell genehmigten KI-Tools. Mehr als die Hälfte (51 Prozent) berichtet, dass sie widersprüchliche Anleitungen hinsichtlich des Einsatzes von KI bei der Arbeit erhält, und 23 Prozent haben überhaupt keine Schulung bekommen. Angesichts der Tatsache, dass die Zahl der KI-Nutzer in den USA um satte 16 Prozent gegenüber dem Vorjahr gestiegen ist, grenzt dies an Fahrlässigkeit: Die Organisationen sind nicht darauf vorbereitet.

Bildergalerie

Kommentar von Peter Wüst, Salesforce

Mit dem Einzug autonomer Agenten wird Datenqualität zur Sicherheitsfrage

Tatsächlich machen fast 60 Prozent der Befragten die Erfahrung, dass es oftmals länger dauert, herauszufinden, wie eine KI-Funktion zu verwenden ist, als es dauert, die entsprechende Aufgabe manuell auszuführen. Doch ohne die richtige Anleitung wird das Versprechen der KI nicht erfüllt, und das kann sich zu tausenden verschwendeten Arbeitsstunden und vergeudeten Investitionen summieren. WalkMe hat allein für 2024 errechnet, dass US-Firmen wegen kaum genutzter Tools und unzureichenden Rollouts im Durchschnitt 104 Millionen US-Dollar verloren haben. Dabei sind die Risiken mangelnder Governance noch gar nicht berücksichtigt.

Drei Phänomene der KI-Nutzung in Unternehmen

WalkMe fasst die Befunde in drei Komplexen zusammen. Der erste ist das „Produktivitätsparadox“. Es besagt Folgendes: Obwohl 80 Prozent der befragten KI-User an die Produktivitätssteigerung durch KI glauben, geben sechs von zehn zu, dass eine manuelle Ausführung schneller geht als mit KI. Grund: Sie müssen sich erst in das KI-Tool einarbeiten, bekommen aber nur selten eine Anleitung.

Der zweite Komplex wird als „Kulturelle Konfusion“ beschrieben. 45 Prozent der befragten User geben an, dass sie in Besprechungen nur vorgeben zu wissen, wie man ein KI-Tool verwendet, um einer eingehenden Befragung zu entgehen. 49 Prozent verbergen ihre Nutzung ungenehmigter KI-Tools, um eine negative Beurteilung zu vermeiden. Dieser Trend in der Schatten-IT ist unter der Generation Z noch ausgeprägter: 55,5 Prozent spiegeln vor, sie verstünden KI-Tools, und 62 Prozent verbergen deren Nutzung.

Drittens der „Training Gap“: Wie schon erwähnt, klafft in der Schulung der KI-Nutzer eine Lücke. Nur 7,5 Prozent der Befragten erhalten eine eingehende Ausbildung (eine Steigerung um 0,5 Prozent gegenüber dem Vorjahr), und weitere 23 Prozent erhalten überhaupt keine.

Resümee

„Wir sehen uns einer Governance-Krise gegenüber“, resümiert Dan Adika, CEO und Mitgründer von WalkMe. „Wenn fast 80 Prozent der Belegschaft Tools der Schatten-KI nutzen, dann verlieren ihre Organisationen nicht nur Geld, sondern auch die Kontrolle. Zudem verpassen Unternehmen eine große Chance, ihr Personal strategisch zu ermächtigen und das volle Potenzial von KI auszuschöpfen.“ Er empfiehlt, KI-Funktionen in Unternehmensanwendungen einzubetten, um zu gewährleisten, dass die Mitarbeiter sie effektiv und sicher nutzen.

AWS erweitert Bedrock Guardrails um Logik-Checks

Formale Prüfungen gegen KI-Halluzinationen

KI-Nutzung ohne Management erzeuge eine Governance-Krise, in der Risiken hinsichtlich Sicherheit und Compliance zunähmen, während gleichzeitig wertvolle Produktivitätszuwächse verloren gingen. Adika rät daher zum Einsatz der eigenen Digital Adoption Platform von WalkMe. Sie fungiere als Schicht für die Anleitung der User und für Governance, eine Art Copilot, der im Kontext mit dem User zusammenarbeite. SAP hat WalkMe gekauft.

Analystenstimme

Die Analystin Gina Smith, Forschungsleiterin für IT-Kompetenz im digitalen Business bei der IDC Group, bestätigt: „KI-Nutzung ist inzwischen eine wesentliche Fähigkeit für Unternehmensmitarbeiter geworden. Doch ohne Schulung und rechtliche Richtlinien untergräbt die Schatten-KI den ROI und schafft neue Risiken.“ Unternehmen, die jetzt rechtzeitig KI-relevante Fachkenntnisse und Strategien für den Einsatz digitaler Technologien aufbauten, könnten solche Verluste und Risiken vermeiden. „Dies sind die Organisationen, die in der nächsten Ära der Arbeit führend sein werden.“

Empfohlene Maßnahmen

„Bei vielen KI-Tools gelangen die Daten offen an die generative KI oder deren Hersteller, etwa in den USA. Auch bei Guardrails, also den Leitplanken, die den Einsatz einer KI-Lösung innerhalb bestimmter Vorgaben regulieren, sind Unternehmen von den Herstellern abhängig und können keine Einschränkungen vornehmen“, erklärt Rainer Holler, CEO von VIER, einem deutschen Anbieter von KI-gestützten Lösungen für die Kundenkommunikation. „Das kann zu einem deutlichen Kontrollverlust und massiven Imageschäden führen. Diese Risiken müssen Unternehmen beim Einsatz von KI ausschließen und sie stattdessen verantwortungsvoll in bestehende Prozesse integrieren.“ Er gibt mehrere Empfehlungen.

Tipp 1: KI-Einsatz strategisch planen

„Der KI-Einsatz muss von der Unternehmensführung bestimmt und begleitet werden. Er ist kein reines IT-Projekt. Entsprechend sollten Unternehmen eine KI-Policy erarbeiten, die auch regelt, wer KI für welche Prozesse einsetzen darf und wie diese Nutzung kontrolliert wird.“

Tipp 2: Mitarbeiter praxisnah schulen

„Technisch lösbar ist vieles, aber ohne die Belegschaft geht es nicht. Mitarbeiter sollten daher die Chance erhalten, KI risikolos kennenlernen zu können. Und sie benötigen Informationen und Kenntnisse über Nutzung und Risiken. Sie sollten beispielsweise wissen, welche sensiblen Daten sie nicht in öffentliche Chatbots oder andere KI-Tools eingeben dürfen. Dazu eignen sich Awareness-Trainings, die auch über die Chancen von generativer KI informieren und Best Practices vermitteln.“

Tipp 3: Datensicherheit gewährleisten

„Personenbezogene Daten und Unternehmensinterna dürfen nicht in generative KI-Anwendungen eingegeben werden. Man kann sie aber dennoch nutzen – wenn sichergestellt ist, dass sensible Daten (Name, Adresse, Bankverbindung etc.) automatisch erkannt und pseudonymisiert werden, ehe sie an die KI gehen. So verbleiben geschäftskritische Daten auf dem hauseigenen Server und werden nicht an das LLM gesendet. Das Sprachmodell arbeitet mit dem anonymisierten Kontext. Nach Ausgabe der Antwort durch die KI werden die Daten re-pseudonymisiert und stehen dem Unternehmen wieder klar zur Verfügung. Als wertvolles Hilfsmittel haben sich hierzu AI Gateways etabliert.“ Solch ein Gateway erledigt zahlreiche Aufgaben und dient generell als Kontrolleur, kann aber auch Prozesse beschleunigen. VIER bietet selbst ein solches AI Gateway an, ist also nicht unparteiisch.

Tipp 4: Regulatorische Anforderungen zuverlässig einhalten

„Unternehmen müssen definieren, wo Daten verarbeitet und gespeichert werden. Und sie müssen prüfen, ob ihr KI-Anbieter DSGVO-konform arbeitet – beispielsweise durch Server in der EU bzw. in Deutschland – und ob der Anbieter den Einsatz von KI nach den Vorgaben des EU AI Acts unterstützt. Dazu gehören auch Guardrails als zentrales Tool zum Beschreiben und Durchsetzen von Richtlinien. Auch hier sind AI Gateways hilfreich.“

Tipp 5: Zugriffskontrolle gewährleisten

„Durch KI-Profile, die den Zugriff auf KI-Modelle organisieren und kontrollieren, rollenbasierte Berechtigungen und klare Richtlinien lässt sich die Nutzung von KI-Modellen für ganze Abteilungen und einzelne User steuern. So nutzen Mitarbeiter nicht nur KI-Tools, die für sie praktisch, sondern auch freigegeben sind. Und sie ordnen die entstehenden Kosten präzise zu und dokumentieren die Nutzung gemäß Compliance-Anforderungen. Der Nutzung von Shadow AI wird damit der Boden entzogen.“

Tipp 6: Transparenz & Nachvollziehbarkeit sichern

„Im Rahmen des EU AI Acts müssen Unternehmen detailliert dokumentieren, welche Prompts und Outputs in geschäftskritischen Prozessen verwendet wurden. Darüber hinaus müssen Unternehmen ihre Entscheidungen, die auf KI-Ergebnissen beruhen, begründen und klare Verantwortlichkeiten für die finale Freigabe festlegen.“

KI-Regulierung konkretisiert

EU veröffentlicht Pflichtvorlage für KI-Trainingsdaten

(ID:50593065)