Die rasante Verbreitung von Künstlicher Intelligenz erhöht das Risiko von Shadow AI, bei der nicht autorisierte Anwendungen sensible Daten, Compliance und die rechtliche Verantwortung eines Unternehmens gefährden können. Eine wirksame Kontrolle erfordert eine Strategie, die Sensibilisierung, Governance und die Begleitung der Mitarbeitenden miteinander verbindet. Auch der Einkauf spielt dabei eine entscheidende Rolle, indem er KI-Lösungen erfasst, konsolidiert und vertraglich absichert.

Inhaltsverzeichnis

• Was ist Shadow AI?
• Wie lässt sich Shadow AI kontrollieren?
• Wie kann der Einkauf Shadow AI reduzieren?

Mit der rasanten Entwicklung der Künstlichen Intelligenz (KI) stehen Unternehmen heute vor einer doppelten Herausforderung. Einerseits müssen sie diese Technologien nutzen, um wettbewerbsfähig zu bleiben. Andererseits müssen sie deren Einsatz so steuern, dass Sicherheit und Compliance gewährleistet bleiben.

Ein zentraler Bestandteil dieser Aufgabe ist der Umgang mit Shadow AI – also KI-Anwendungen, die außerhalb des offiziell genehmigten Rahmens entstehen und häufig ohne Wissen der IT-Abteilung eingesetzt werden.

Was ist Shadow AI?

Unter Shadow AI versteht man die Nutzung von KI-Lösungen durch Mitarbeitende außerhalb des von einem Unternehmen freigegebenen Rahmens.

Ein typisches Beispiel ist die Verwendung generativer KI-Anwendungen wie ChatGPT, Claude oder Perplexity, die weder von der IT-Abteilung genehmigt noch überwacht werden.

So kann es vorkommen, dass Mitarbeitende diese Tools nutzen, um:

• vertrauliche Verträge zusammenzufassen,
• strategische Präsentationen fertigzustellen,
• sensible Unternehmensdaten auszuwerten.

Dabei verfolgen sie in der Regel positive Ziele: Sie möchten Zeit sparen, die Qualität ihrer Arbeit verbessern oder ihren Arbeitsalltag effizienter gestalten.

Dennoch können solche Anwendungen erhebliche Risiken für das Unternehmen mit sich bringen, darunter:

• Datenlecks,
• Verstöße gegen regulatorische Vorgaben,
• algorithmische Verzerrungen (Bias).

Diese Schwachstellen gefährden nicht nur das Datenvermögen eines Unternehmens, sondern auch dessen Reputation und rechtliche Verantwortung.

Die Verbreitung von KI erfolgte so schnell, dass viele Unternehmen keine ausreichenden Governance-Strukturen etablieren konnten. Während die Fachbereiche die neuen Möglichkeiten unmittelbar nutzten, entwickelten sich Compliance- und Governance-Maßnahmen deutlich langsamer.

In den meisten Fällen wissen Unternehmen daher gar nicht, in welchem Umfang ihre Mitarbeitenden bereits KI-Anwendungen einsetzen. Dadurch entstehen immer mehr blinde Flecken.

Eine Studie von CybSafe und der National Cybersecurity Alliance zeigt, dass mehr als ein Drittel der Mitarbeitenden sensible Unternehmensinformationen ohne Zustimmung ihres Arbeitgebers in KI-Anwendungen eingibt.

Besonders ausgeprägt ist dieses Verhalten bei jüngeren Generationen.

Gleichzeitig gibt lediglich rund die Hälfte der Befragten an, jemals eine Schulung zum sicheren Umgang mit KI erhalten zu haben.

Oz Alashe, CEO und Gründer von CybSafe, fasst die Herausforderung wie folgt zusammen: „Die Einführung von KI hat eine völlig neue Kategorie sicherheitsrelevanter Verhaltensweisen geschaffen, die CISOs und Unternehmensleitungen berücksichtigen müssen. Obwohl sich die Sicherheits-Community der Risiken von KI bewusst ist, hat sich dieses Bewusstsein bislang noch nicht in einem einheitlichen Sicherheitsverhalten innerhalb der Unternehmen niedergeschlagen.“

Shadow AI in Zahlen

• 59 % der Mitarbeitenden nutzen KI-Tools, die von ihrem Unternehmen nicht freigegeben wurden.
• 85 % der Mitarbeitenden, denen genehmigte KI-Lösungen zur Verfügung stehen, verwenden zusätzlich nicht genehmigte Anwendungen.
• Nur 33 % sind der Meinung, dass die offiziell freigegebenen Tools ihre Anforderungen vollständig erfüllen.

Wie lässt sich Shadow AI kontrollieren?

Um von unkontrollierten Einzelinitiativen zu einem sicheren und geregelten Einsatz von KI zu gelangen, müssen Unternehmen einen pragmatischen Ansatz verfolgen. Dieser kombiniert Prävention, Governance und die aktive Begleitung der Mitarbeitenden.

H3 – Mitarbeitende sensibilisieren

Der erste Schritt im Umgang mit Shadow AI besteht darin, das Phänomen überhaupt anzuerkennen.

Unternehmen sollten transparent über die Risiken einer unkontrollierten Nutzung von KI informieren und ihre Mitarbeitenden für einen verantwortungsvollen Umgang sensibilisieren.

Dazu gehört auch eine klare Kommunikation der unternehmensweiten KI-Strategie. So versteht jede Mitarbeiterin und jeder Mitarbeiter, welche Herausforderungen bestehen und wie KI-Lösungen sicher und regelkonform eingesetzt werden können.

Klare Leitlinien festlegen

Im nächsten Schritt müssen verständliche und praxisnahe Regeln definiert werden.

Unternehmen sollten eine KI-Richtlinie entwickeln, die unter anderem festlegt:

• welche KI-Tools erlaubt oder verboten sind;
• welche Daten durch KI verarbeitet werden dürfen;
• welche Rollen und Verantwortlichkeiten bestehen;
• welche Freigabeprozesse für neue KI-Anwendungen gelten;
• welche gesetzlichen und regulatorischen Anforderungen einzuhalten sind.

Klare Leitlinien schaffen Transparenz und reduzieren Unsicherheiten bei den Anwendern.

Verantwortungsvolle Nutzung fördern

Shadow AI lässt sich nicht durch Verbote beseitigen.

Vielmehr sollten Unternehmen den sicheren und verantwortungsvollen Einsatz von KI aktiv fördern.

Dazu gehört insbesondere:

• sichere unternehmensinterne Alternativen bereitzustellen;
• schnelle Genehmigungsprozesse für neue Anwendungen einzurichten;
• den Austausch bewährter Vorgehensweisen zu fördern;
• Innovationen sichtbar zu machen;
• die Zusammenarbeit zwischen Fachbereichen und IT zu stärken.

Ebenso wichtig ist es, regelmäßig mit den Anwendern in den Dialog zu treten und deren Feedback systematisch einzubeziehen.

Kompetenzen ausbauen

Shadow AI entsteht häufig aus mangelndem Wissen.

Schulungen sind daher ein wesentlicher Bestandteil einer erfolgreichen KI-Governance.

Diese Entwicklung dürfte sich durch den EU AI Act zusätzlich beschleunigen.

Hans-Petter Dalen, EMEA Business Leader for watsonx and Embeddable AI bei IBM, erklärt: „Interessant ist, dass das europäische KI-Gesetz einen eigenen Artikel zur KI-Kompetenz enthält. Jedes Unternehmen und jede Organisation im europäischen Binnenmarkt, die KI einsetzt, wird verpflichtet sein, ihre Mitarbeitenden bis zu einem bestimmten Niveau im Umgang mit KI zu schulen. Welches Kompetenzniveau genau gefordert sein wird, ist derzeit noch nicht endgültig festgelegt. Es ist jedoch äußerst sinnvoll, das grundlegende Wissen über KI in Unternehmen deutlich zu stärken.“

Wie kann der Einkauf Shadow AI reduzieren?

Innerhalb eines Unternehmens spielt der Einkauf eine zentrale Rolle dabei, Shadow AI unter Kontrolle zu bringen.

Er unterstützt den Übergang von einer Vielzahl einzelner, unkoordinierter KI-Abonnements hin zu sicheren, zentral verwalteten und verhandelten Unternehmenslizenzen.

Zunächst können Einkaufsabteilungen dabei helfen, sämtliche bereits genutzten oder geplanten KI-Anbieter zu erfassen.

Mithilfe vorhandener Einkaufsdaten – wie Verträgen, Lizenzen oder Rechnungen – verfügen sie über einen vollständigen Überblick über das bestehende Anbieterportfolio. Dieses kann anschließend bewertet, konsolidiert und optimiert werden.

Für Tanguy Duthion, CEO von Avanoo, bedeutet dies: „Es geht darum, funktionale Doppelungen zu identifizieren, auf Basis konsolidierter Volumina bessere Konditionen auszuhandeln, Lieferantenrisiken – etwa hinsichtlich Datenstandort, DSGVO-Konformität oder AI Act – zu bewerten und vor allem einen klaren Rahmen für interne Pilotprojekte zu schaffen. Kurz gesagt: Ordnung in das kreative Chaos zu bringen.“

Darüber hinaus wirken Einkaufsabteilungen aktiv an der Erstellung von Lastenheften und Verträgen mit.

Sie können beispielsweise Vertragsklauseln aufnehmen, die:

• die Wiederverwendung von Unternehmensdaten zum Training von KI-Modellen untersagen;
• regulatorische Konformität sicherstellen;
• verbindliche Anforderungen an Informationssicherheit und Datenschutz festlegen.

Künstliche Intelligenz bei Manutan

Die Manutan Gruppe, europäischer Marktführer im B2B-E-Commerce, verfügt über eine umfassende Governance und eine klare Strategie für den Einsatz von Künstlicher Intelligenz sowie den Schutz von Unternehmensdaten.

Unsere Partner werden sorgfältig ausgewählt, unsere Nutzungsrichtlinien sind fest in unseren internen Vorgaben verankert, und unsere Mitarbeitenden werden regelmäßig zu den Chancen und Risiken von KI geschult und sensibilisiert.

Shadow AI bringt erhebliche Herausforderungen mit sich, lässt sich jedoch durch Sensibilisierung, klare Governance und eine gezielte Begleitung der Mitarbeitenden wirksam beherrschen.

Mitarbeitende müssen verstehen, dass der Wunsch nach höherer Produktivität niemals zulasten der gemeinsamen Sicherheit gehen darf.

Die Unternehmen, die das volle Potenzial der Künstlichen Intelligenz ausschöpfen werden, sind jene, denen es gelingt, ein Umfeld zu schaffen, in dem Innovation innerhalb eines klaren, verantwortungsvollen und sicheren Rahmens stattfinden kann.