Schatten-KI: Fünf Maßnahmen für einen sicheren KI-Einsatz

NTT DATA zeigt fünf Ansätze, mit denen Unternehmen die unkontrollierte Nutzung solcher Tools eindämmen können, ohne den Einsatz von KI grundsätzlich zu behindern.

Unkontrollierte KI-Nutzung birgt Risiken

Ob für Texte, Analysen oder Programmieraufgaben: Generative KI ist in vielen Arbeitsbereichen angekommen. Mitarbeitende greifen dabei teilweise auf private Konten oder nicht freigegebene Anwendungen zurück. Diese sogenannte Schatten-KI entzieht sich häufig der Kontrolle durch IT- und Sicherheitsverantwortliche.

Besonders problematisch ist die Eingabe vertraulicher Informationen in externe Systeme. Dazu können Kundendaten, interne Kalkulationen oder Quellcode gehören. Letzterer zählt laut dem Data Breach Investigation Report 2026 zu den Datentypen, die besonders häufig unautorisiert in unkontrollierte KI-Systeme hochgeladen werden. Da Quellcode einen direkten wirtschaftlichen Wert haben kann, steht dabei auch geistiges Eigentum auf dem Spiel.

1. Nutzung sichtbar machen

Unternehmen müssen zunächst nachvollziehen können, welche KI-Dienste in ihren Arbeitsumgebungen verwendet werden. Dafür lassen sich bestehende Sicherheitslösungen wie SASE-Architekturen oder Cloud-Security-Gateways um Funktionen zur Erkennung von KI-Datenverkehr ergänzen. So können Organisationen nicht genehmigte Anwendungen identifizieren, ohne zwingend eine vollständig neue Infrastruktur aufzubauen.

2. Sichere Alternativen bereitstellen

Ein pauschales Verbot von KI-Anwendungen kann dazu führen, dass Mitarbeitende auf private Zugänge ausweichen. Stattdessen sollten Unternehmen freigegebene Lösungen anbieten, die den Datenschutz- und Compliance-Anforderungen entsprechen und von der IT betreut werden können. Entscheidend ist dabei nicht unbedingt die teuerste Lizenz, sondern eine praktikable und kontrollierbare Nutzung.

3. Schulungen am Arbeitsalltag ausrichten

Allgemeine Sicherheitsschulungen reichen häufig nicht aus, um konkrete Risiken im Umgang mit KI zu vermitteln. Die Anforderungen unterscheiden sich je nach Tätigkeit: Im Vertrieb stehen beispielsweise Kundendaten im Mittelpunkt, während in der Buchhaltung interne Finanzinformationen besonders schützenswert sind.

Schulungen sollten deshalb typische Anwendungssituationen aus den jeweiligen Arbeitsbereichen aufgreifen. Mitarbeitende müssen verstehen, welche Folgen es haben kann, wenn vertrauliche Daten oder interne Dokumente in öffentliche KI-Dienste eingegeben werden.

4. Vertrauliche Daten technisch schützen

Zusätzlich zu organisatorischen Vorgaben können technische Schutzmechanismen verhindern, dass sensible Informationen unkontrolliert weitergegeben werden. Ein möglicher Ansatz ist die automatische Ersetzung von Firmen- und Kundennamen durch neutrale Platzhalter, bevor eine Anfrage an ein KI-System übermittelt wird. Die Antwort kann anschließend wieder mit den ursprünglichen Angaben ergänzt werden.

Solche Verfahren können die Nutzung von KI erleichtern und gleichzeitig das Risiko verringern, dass Klarnamen oder andere sensible Informationen an externe Dienste gelangen.

5. Verbindliche Regeln festlegen

Technische Schutzmaßnahmen und Schulungen benötigen klare Vorgaben. Unternehmen sollten deshalb festlegen, welche Anwendungen erlaubt sind und welche Informationen Mitarbeitende in KI-Systeme eingeben dürfen. Ebenso wichtig sind nachvollziehbare Regeln für den Umgang mit vertraulichen Daten und Ausnahmen von den Vorgaben.

Patrick Schraut, Managing Director Cybersecurity DACH bei NTT DATA, sieht Schatten-KI nicht ausschließlich als technisches Problem: „Schatten-KI ist im Kern nicht nur IT-Problem, sondern vor allem ein Verhaltensproblem – Mitarbeitende suchen den Weg des geringsten Widerstands und der einfachsten Lösung, haben aber meist keine Absicht zum Regelbruch“.

Daraus folgt, dass Unternehmen neben technischen Kontrollen auch die tatsächlichen Bedürfnisse ihrer Beschäftigten berücksichtigen müssen. Wenn sichere und leicht zugängliche KI-Angebote vorhanden sind und klare Regeln gelten, lässt sich die unkontrollierte Nutzung besser begrenzen, ohne die Produktivitätsvorteile der Technologie grundsätzlich aufzugeben.

(red/NTT DATA)