Die unautorisierte Nutzung von Systemen der Künstlichen Intelligenz (KI) in Unternehmen, bekannt als „Shadow AI“ oder deutsch Schatten KI, ist längst kein Randphänomen mehr. Während viele Compliance-Abteilungen noch versuchen, Richtlinien für die bloße Eingabe sensibler Daten zu formulieren, entwickelt sich die technologische Realität rasant weiter. Die Entstehung autonomer „Shadow Agents“ (Schatten Agenten) und von Mitarbeitern selbst entwickelter Anwendungen („Shadow Builders“) stellt die Informationssicherheit, den Datenschutz und die regulatorische Konformität vor völlig neuartige Herausforderungen.
Schatten KI als Sicherheitsrisiko
Die Risiken klassischer Shadow AI sind gut dokumentiert, werden jedoch in ihrer Tragweite oft unterschätzt. Ungenehmigte KI-Werkzeuge tauchten laut aktuellen Erhebungen in 43 Prozent der untersuchten Sicherheitsvorfälle auf, was einer Verdopplung im Vergleich zum Vorjahr entspricht. Bei 68 Prozent der betroffenen Unternehmen waren keinerlei Richtlinien für den Umgang mit KI implementiert. Bei Schatten-KI handelt es sich primär um ein Vertraulichkeitsproblem, bei dem Mitarbeiter sensible Unternehmensdaten oder personenbezogene Informationen manuell an externe, unlizenzierte Chatbots übermitteln. Dies führt zu unkontrolliertem Datenabfluss und schwerwiegenden Verstößen gegen die DSGVO, da für diese Datenströme in der Regel keine vertraglichen Absicherungen wie Auftragsverarbeitungsverträge existieren.
Shadow Agents: Autonome Akteure im sicherheitstechnischen Toten Winkel
Eine größere Bedrohung kündigt sich durch den Übergang zu sogenannten Shadow Agents an. Im Gegensatz zur klassischen Shadow AI, bei der ein Mensch jede einzelne Aktion aktiv steuert, agieren Shadow Agents autonom im Hintergrund. Mitarbeiter erteilen diesen KI-Assistenten oft mit wenigen Klicks weitreichende Zugriffsrechte auf Dateispeicher oder CRM-Systeme. Dies verschiebt das Risiko von der Vertraulichkeit hin zur Integrität und Verfügbarkeit von Systemen, da diese autonomen Programme eigenständig E-Mails versenden, Datenbanken verändern oder Kundendaten manipulieren können. Da die Kommunikation cloudbasiert direkt zwischen den Servern der Drittanbieter und den genutzten Software-as-a-Service-Plattformen verläuft, bleibt dieser Datenverkehr an den physischen Unternehmensgrenzen unsichtbar. Klassische Firewalls oder Cloud Access Security Broker können ihn nicht erfassen. Zudem verbleiben einmal erteilte Berechtigungen (OAuth-Tokens) oft unbefristet aktiv. Das kann insbesondere beim Ausscheiden von Mitarbeitern zu bleibenden Sicherheitslücken führen.
Die Risiken von „Vibe Coding“ im Mittelstand
Die jüngste Entwicklungsstufe betrifft sogenannte Shadow Builders. Dank moderner KI-Coding-Werkzeuge sind Mitarbeiter in Fachabteilungen ohne tiefe Programmierkenntnisse in der Lage, eigene funktionale Software-Anwendungen und Datenpipelines zu erstellen. Dieses als „Vibe Coding“ bekannte Phänomen verspricht zwar enorme Produktivitätssprünge, führt jedoch direkt in ein regulatorisches Minenfeld. Selbst erstellter Code enthält oft unerkannte Sicherheitslücken, verbindet sensible interne Datenbanken über undokumentierte Schnittstellen mit externen Servern und entzieht sich nach dem Ausscheiden der Entwickler jeglicher Wartbarkeit. Ebenso können KI-generierte Paket-Halluzinationen ausgenutzt werden. Aus rechtlicher Sicht gilt es einiges zu beachten: Sobald diese Eigenbauten personenbezogene Daten verarbeiten, kann eine gesetzlich verpflichtende Datenschutz-Folgenabschätzung (DSFA) erforderlich sein. Darüber hinaus verlangt die NIS2-Richtlinie eine lückenlose Erfassung aller IT-Werte im Asset-Register. Eine ungesicherte, selbstgebaute KI-Anwendung, die geschäftskritische Workflows steuert, muss zwingend dokumentiert und überwacht werden. Bei Verstößen drohen der Geschäftsführung empfindliche Haftungsrisiken.
Fazit
Die bloße Sperrung von KI-Werkzeugen ist in der Praxis weder durchsetzbar noch zielführend. Vielmehr drängt es die Nutzung lediglich in noch schwerer kontrollierbare private Kanäle ab. Eine zeitgemäße Compliance-Strategie verlangt nach einer agilen und verständlichen Shadow Builder Policy, die klare Leitplanken für Eigenentwicklungen einzieht und gleichzeitig datenschutzkonforme Enterprise-Alternativen bereitstellt. Nur durch eine systematische Erfassung, transparente Risikobewertungen und die Integration selbstgenerierter Anwendungen in die IT-Governance können Unternehmen den technologischen Fortschritt sicher und haftungsfrei gestalten.
KI-Compliance aus einer Hand
Künstliche Intelligenz rechtssicher nutzen & entwickeln
- KINAST KI-Beratung
- KINAST externer KI-Beauftragter
- KINAST KI-Kompetenz-Schulungen
