Mitarbeiter geben sensible Informationen in nicht genehmigte KI-Tools ein, denen es an Sicherheit auf Unternehmensniveau mangelt, wodurch Unternehmen potenziell dem Risiko von Datenschutzverletzungen, Verstößen gegen Compliance-Vorschriften und behördlichen Sanktionen ausgesetzt sind.
Der Bericht „State of Human Risk 2026“ von Mimecast ergab, dass zwar 80 % der Unternehmen Bedenken hinsichtlich eines Datenlecks durch generative KI haben, 60 % jedoch nach wie vor über keine konkrete Strategie zur Bewältigung dieses Problems verfügen und sich nur 40 % vollständig auf KI-bedingte Bedrohungen vorbereitet fühlen.
Anstatt KI gänzlich zu verbieten, müssen Unternehmen sichere Alternativen bereitstellen, klare Nutzungsrichtlinien festlegen, in Schulungen investieren und adaptive Überwachungsmaßnahmen einführen.
Man bezeichnet dies als „Shadow-AI“, und es hat sich rasch zu einer der drängendsten Herausforderungen im Bereich Cybersicherheit und Unternehmensführung entwickelt, denen moderne Organisationen gegenüberstehen. Da generative KI-Tools einen enormen Popularitätsschub erlebt haben, nutzen Mitarbeiter in allen Abteilungen – von der Technik über das Marketing bis hin zum Finanzwesen – diese nun, um E-Mails zu verfassen, Daten zu analysieren, Code zu generieren und Routineaufgaben zu automatisieren. Das Problem? Ein Großteil dieser Nutzung findet außerhalb des Sicht- und Kontrollbereichs der IT- und Sicherheitsteams statt.
Was ist „Shadow AI“?
Der Begriff „Shadow AI“ bezeichnet die Nutzung von Tools, Plattformen und Modellen der künstlichen Intelligenz durch Mitarbeiter ohne Wissen, Genehmigung oder Aufsicht durch die IT-Abteilung ihres Unternehmens. Betrachten Sie es als die Weiterentwicklung der „Shadow-IT“ im Zeitalter der KI – jenes seit langem bestehenden Problems, dass Mitarbeiter nicht genehmigte Software nutzen. „Shadow-KI“ birgt jedoch ein weitaus größeres Risiko, da diese Tools von Natur aus auf Daten angewiesen sind.
Jedes Mal, wenn ein Mitarbeiter eine Kundenliste in einen kostenlosen Chatbot einfügt, einen Finanzbericht in einen KI-Zusammenfassungsdienst hochlädt oder firmeneigenen Code in einen nicht genehmigten Programmierassistenten eingibt, setzt er möglicherweise sensible Informationen Systemen von Drittanbietern aus, deren Richtlinien zur Datenspeicherung und -sicherheit unbekannt sind. Das Ausmaß dieses Verhaltens ist erschütternd. Untersuchungen deuten darauf hin, dass in der überwiegenden Mehrheit der Unternehmen mittlerweile Mitarbeiter nicht genehmigte KI-Anwendungen nutzen und dass fast die Hälfte der Nutzer generativer KI über private Konten auf diese Tools zugreift, die ihre Arbeitgeber nicht überwachen können.
Wie sich „Shadow-KI“ auf Unternehmen auswirkt
Die Risiken der „Schatten-KI“ reichen weit über gelegentliche Datenlecks hinaus. Sie betreffen alle Bereiche der Geschäftstätigkeit eines Unternehmens:
Datensicherheit und Datenlecks. Nicht genehmigte KI-Tools verfügen häufig nicht über Sicherheitsmaßnahmen auf Unternehmensniveau. Wenn Mitarbeiter vertrauliche Daten wie Kundendaten, Geschäftsgeheimnisse oder strategische Pläne in diese Plattformen eingeben, können diese Informationen gespeichert, für das Training von Modellen verwendet oder sogar durch Sicherheitsverletzungen offengelegt werden. Die finanziellen Folgen sind gravierend: Durch versteckte, KI-bedingte Sicherheitsverletzungen steigen die durchschnittlichen Kosten pro Vorfall um Hunderttausende Dollar.
Verwandte Tags
Artificial Intelligence
Teilen
Verstöße gegen Vorschriften. Branchen, die Vorschriften wie der DSGVO, dem HIPAA oder SOC 2 unterliegen, sind besonderen Risiken ausgesetzt. Wenn Daten durch ungeprüfte KI-Systeme fließen, können Unternehmen unwissentlich gegen Vorschriften zur Datenspeicherung, zur Einwilligung oder zur Datenverarbeitung verstoßen. Viele „Shadow-AI“-Tools erfüllen grundlegende Compliance-Standards nicht, wodurch Unternehmen dem Risiko von behördlichen Sanktionen und rechtlicher Haftung ausgesetzt sind.
Verlust von Governance und Rechenschaftspflicht. Wenn künstliche Intelligenz ohne Aufsicht Einfluss auf geschäftliche Entscheidungen nimmt – sei es bei der Personalauswahl, bei der Finanzanalyse oder in der Kundenkommunikation –, verlieren Unternehmen die Möglichkeit, diese Ergebnisse zu überprüfen, zu erläutern oder zu begründen. Dies führt zu einem gefährlichen Verantwortungsvakuum, zumal die behördliche Kontrolle der KI-gestützten Entscheidungsfindung immer strenger wird.
Operative Zersplitterung. „Shadow AI“ führt häufig zu uneinheitlichen Ergebnissen zwischen den Teams, doppelten Tools und unnötigen Ausgaben. Ohne eine zentralisierte Steuerung haben Unternehmen Schwierigkeiten zu erfassen, welche KI-Anwendungen von wem und zu welchem Zweck eingesetzt werden, was es nahezu unmöglich macht, Risiken zu steuern oder den ROI zu messen.
Was uns die Daten verraten: Mimecasts „State of Human Risk 2026“
Die Herausforderung der „Shadow-KI“ besteht nicht isoliert. Dies ist eng mit dem übergeordneten Problem des menschlichen Faktors in der Cybersicherheit verknüpft. Der Bericht „The State of Human Risk 2026“ von Mimecast, der auf einer Umfrage unter 2.500 Entscheidungsträgern aus den Bereichen IT-Sicherheit und IT in neun Ländern basiert, rückt diesen Aspekt deutlich in den Fokus.
Der Bericht ergab, dass 80 % der Unternehmen Bedenken hinsichtlich des Verlusts sensibler Daten durch generative KI-Tools haben, 60 % jedoch nach wie vor keine konkreten Strategien zur Bekämpfung KI-bedingter Bedrohungen besitzen. Genau in dieser Kluft zwischen Bewusstsein und Handeln gedeiht die „Schatten-KI“.
Die allgemeine Risikosituation für die Menschen ist ebenso besorgniserregend. Dem Bericht zufolge verursachen durch Insider verursachte Vorfälle geschätzte durchschnittliche Kosten in Höhe von 13,1 Millionen US-Dollar pro Vorfall, wobei Unternehmen monatlich etwa sechs solcher Vorfälle verzeichnen – ein erschreckendes jährliches Risiko von fast 1 Milliarde US-Dollar. Und es handelt sich um ein Problem, das sich auf eine bestimmte Gruppe konzentriert: Nur 8 % der Mitarbeiter sind für 80 % der Sicherheitsvorfälle verantwortlich.
Besonders aufschlussreich ist die Lücke bei der KI-Bereitschaft. Zwar setzen mittlerweile 98 % der Unternehmen KI in ihren defensiven Sicherheitsmaßnahmen ein, und 69 % der Sicherheitsverantwortlichen halten KI-gestützte Angriffe innerhalb der nächsten 12 Monate für unvermeidlich, doch geben nur 40 % an, mit Strategien zu deren Abwehr vollständig vorbereitet zu sein. Diese Lücke von 29 Punkten zwischen der Erkennung der Bedrohung und der Bereitschaft, ihr zu begegnen, stellt ein kritisches Sicherheitslückenfenster dar.
Die Ergebnisse von Mimecast verdeutlichen zudem die Herausforderungen im Bereich der Unternehmensführung, die das Aufkommen von „Shadow-KI“ begünstigen. Ganze 91 % der Unternehmen sehen sich mit Hindernissen konfrontiert, wenn es darum geht, die Einhaltung der Sicherheitsrichtlinien durch ihre Mitarbeiter sicherzustellen, und 96 % geben zu, dass ihr Schutz unvollständig ist. Nur 28 % kombinieren regelmäßige Schulungen zur Sensibilisierung für Sicherheitsfragen mit einer kontinuierlichen Überwachung – den beiden grundlegenden Maßnahmen, mit denen sich eine unzulässige Nutzung von KI am ehesten aufdecken und eindämmen lässt, bevor sie Schaden anrichtet.
Vom Bewusstsein zum Handeln
Shadow AI wird nicht verschwinden. Die Mitarbeiter werden auch weiterhin nach den effektivsten Werkzeugen suchen, die ihnen zur Verfügung stehen – mit oder ohne Genehmigung. Die Lösung besteht nicht darin, KI zu verbieten, sondern darin, sie zu regulieren. Das bedeutet, sichere Alternativen auf Unternehmensniveau bereitzustellen, klare Nutzungsrichtlinien festzulegen, in Schulungen zu investieren und adaptive Kontrollmechanismen einzuführen, die sich an das Nutzerverhalten anpassen.
Der vollständige Bericht „Mimecast State of Human Risk 2026“ bietet einen umfassenden Überblick über die miteinander verknüpften Sicherheitsherausforderungen, denen Unternehmen heute gegenüberstehen – von „Shadow-KI“ und Bedrohungen durch Insider bis hin zu Schwachstellen in Tools für die Zusammenarbeit und der KI-Bereitschaftslücke –, sowie umsetzbare Empfehlungen für die Entwicklung einer menschenzentrierten Sicherheitsstrategie.
