Die Risiken von BYOAI in Unternehmen managen

Angefangen hat es ganz unbemerkt, mit einigen wenigen Mitarbeitern, die ChatGPT nutzen, um E-Mails zu formulieren. Oder mit einem Projektmanager, der Notion AI verwendet, um die Ergebnisse von Calls und Meetings zusammenzufassen.

Oder mit einem Entwickler, der sich GitHub Copilot bei der Code-Erstellung unterstützen lässt. Und jetzt? Inzwischen sind KI-Tools in Unternehmen allgegenwärtig – und die meisten davon werden von den jeweiligen IT-Abteilungen weder überwacht noch genehmigt.

Das ist Bring Your Own AI (BYOAI), eine Überschneidung von Generative AI und Schatten-IT, die Unternehmen vor neue Risiken und Herausforderungen stellt.

Was ist BYOAI?

BYOAI bedeutet, dass von den IT-Teams nicht genehmigte Drittanbieter-KI-Tools für Endnutzer von Mitarbeitern im Unternehmen im Arbeitsalltag genutzt werden. So wie vor einem Jahrzehnt das Prinzip von Bring Your Own Device (BYOD) die IT-Sicherheit aufgewirbelt hat, wirft das Prinzip von BYOAI nun neue Fragen in Bezug auf Datenverwaltung, Compliance und Transparenz auf.

Warum BYOAI ein immer größeres Risiko darstellt

KI-Tools bieten zahlreiche, unbestreitbare Vorteile, von schnelleren Arbeitsabläufen und verbesserter Effizienz bis hin zu mehr Kreativität. Wenn diese Tools jedoch ohne Überwachung eingesetzt werden, können sie erhebliche Sicherheits-, Compliance- und betriebliche Risiken darstellen, mit denen sich Unternehmen rechtzeitig und proaktiv befassen müssen.

Diese Risiken umfassen unter anderem:

• Datenlecks: Mitarbeiter können versehentlich sensible Unternehmens- oder Kundeninformationen in KI-Plattformen eingeben, die diese Eingaben speichern, protokollieren und weiterverwenden – insbesondere kostenlose oder für Verbraucher bestimmte Versionen von KI-Tools. Ohne zu wissen, wie KI-Tools Eingabedaten speichern oder nutzen, riskieren Unternehmen, dass auf diese Weise ihre sensiblen oder geschützten Informationen offengelegt werden.
• Compliance-Verstöße: Gerade in stark regulierten Branchen kann die nicht genehmigte Nutzung von KI-Tools zu Compliance-Verstößen führen. Dazu gehören beispielsweise unbefugte Datenübertragungen, fehlende Audit-Pfade oder Verstöße gegen Datenschutzgesetze wie die DSGVO oder die US-amerikanische HIPAA.
• Fehlinformation durch KI-Fehler: KI-Modelle können ungenaue, irreführende oder voreingenommene Inhalte produzieren, die jedoch auf den ersten Blick korrekt und glaubwürdig erscheinen. Wenn diese ungeprüft in Reports, Analysen oder im Rahmen der externen Kommunikation verwendet werden, kann dies schwerwiegende Folgen für die Unternehmensreputation oder interne Prozesse nach sich ziehen.
• Mangelnde Transparenz: Wenn KI-generierte Inhalte in E-Mails, Reports oder Quellcode verwendet werden, lassen sich Urheberrechte und Entscheidungsfindungswege nur schwer nachvollziehen. Dieser Mangel an Transparenz stellt sowohl ein Governance- als auch ein Qualitätsrisiko dar.

Fünf praktische Ansätze, um mit BYOAI umzugehen – ohne Innovationen zu behindern

Eine unregulierte Nutzung von KI-Tools muss nicht zwangsläufig ein Risiko für ein Unternehmen darstellen, denn mit dem richtigen Ansatz können Unternehmen sowohl Innovationen mithilfe von KI vorantreiben als auch die Kontrolle behalten und Compliance gewährleisten. Die folgenden fünf Ansätze eignen sich dafür:

1. Offener Austausch statt Verboten

Der Versuch, die Nutzung sämtlicher KI-Tools zu verhindern, wird scheitern. Unternehmen sollten stattdessen identifizieren, wie KI bereits von den Mitarbeitern genutzt wird und den offenen Austausch suchen, um ein Bewusstsein für KI-Risiken zu schaffen und verantwortungsvolle Nutzung zu fördern.

2. Risikobewertungen vornehmen

Nicht alle KI-Tools weisen das gleiche Risiko auf. Unternehmen sollten also ein Klassifizierungssystem entwickeln, das Tools anhand ihrer potenziellen Risiken bewertet. Beispielsweise sind KI-Schreibassistenten eher unbedenklich, während Plattformen zur Generierung von Code oder KI-Bots zur Kundeninteraktion ein potenziell höheres Risiko darstellen.

3. Ein offizielles KI-Toolkit einrichten

Unternehmen können ihren Mitarbeitern zudem von den IT-Teams überprüfte und sichere KI-Plattformen zur Verfügung stellen, die sämtliche Anforderungen des Unternehmens im Hinblick auf Datenschutz, Compliance und Transparenz erfüllen. Lösungen wie Microsoft Copilot, Zoho Zia oder andere KI-Tools stellen vertrauenswürdige Alternativen zu ungeprüften Drittanbieter-Apps für Endnutzer dar.

Darüber hinaus können Unternehmen Business- oder Enterprise-Versionen von KI-Tools wie ChatGPT oder Notion AI lizenzieren und ihren Mitarbeitern so Zugang zu diesen Tools ermöglichen. Diese Versionen der Tools unterliegen oftmals strengeren Richtlinien für den Umgang mit Daten und stellen sicher, dass Nutzerdaten nicht gespeichert oder für das weitere Training der KI-Modelle verwendet werden.

Unternehmen, die ein unternehmensweites Standard-Toolkit für KI-Tools etablieren, behalten ein größeres Maß an Kontrolle über ihre Daten und senken so das Risiko von Datenlecks. Zusätzlich zu effektiverer Datenverwaltung sorgt dieser Ansatz auch dafür, dass Mitarbeiter die Vorteile von leistungsstarken KI-Tools zur Produktivitätssteigerung nutzen können – ohne die üblichen Risiken.

4. KI-Kompetenz im Unternehmen aufbauen

Unternehmen sollten ihre Mitarbeiter mit dem erforderlichen Know-How ausstatten, das sie benötigen, um KI-Tools verantwortungsbewusst zu nutzen. Entsprechende Schulungen und Trainings sollten folgende Themen behandeln:

• Wie man effektive und sichere Prompts formuliert
• Wie man es vermeidet, sensible oder geschützte Daten preiszugeben
• Wie man KI-generierte Inhalte auf ihre inhaltliche Korrektheit überprüft

Die KI-Kompetenz von Mitarbeitern zu verbessern, reduziert falsche und potenziell schädliche Nutzung und stellt sicher, dass Mitarbeiter sowohl das Potenzial als auch die Einschränkungen der Tools verstehen.

5. Transparenz sicherstellen

Die Implementierung von Monitoring auf Endpunkt- und Browser-Ebene sorgt dafür, dass Unternehmen besser verstehen, wie ihre Mitarbeiter auf KI-Tools zugreifen und wie sie diese nutzen. Dies sollte als Governance-Initiative verstanden werden, denn das Ziel besteht darin, sinnvolle Richtlinien für die KI-Nutzung zu entwickeln und Risiken zu minimieren, ohne Arbeitsabläufe zu stören.

Die Zeit zu handeln ist jetzt

Die Frage ist nicht, ob KI in einem Unternehmen genutzt wird, sondern wann und zu welchem Grad. Mitarbeiter nutzen KI-Tools, um ihren Arbeitsalltag effektiver und effizienter zu gestalten, mit oder ohne offizielle Genehmigung. Unternehmen sollten deshalb einen proaktiven Ansatz verfolgen, indem sie die KI-Nutzung ihrer Mitarbeiter verstehen und klare Richtlinien definieren, um eine verantwortungsbewusste Nutzung zu ermöglichen. Nur so können sie ihre Mitarbeiter dabei unterstützen, das Potenzial von KI-Tools voll auszuschöpfen. Unternehmen, die dies versäumen, werden sich irgendwann mit Compliance-Verstößen, Datenlecks oder Sicherheitslücken konfrontiert sehen. Das KI-Zeitalter ist jetzt. Und jetzt müssen Unternehmen handeln.