Nur 23 Prozent der Unternehmen haben KI-Regeln Schatten-KI durch Governance beherrschbar machen

Anbieter zum Thema

Okta

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Schatten-KI ist gelebte Realität: Statt langwierige Genehmigungsprozesse abzuwarten, nutzen Mitarbeitende GenAI-Tools ohne Freigabe, mit Risiken für Daten, Compliance und Reputation ihres Arbeitgebers. Die Lösung liegt nicht in Verboten, sondern in einer robusten Governance sowie sicheren Experimentierräumen. So werden KI-Experimente zum Innovationsmotor.

Schatten-KI ist die moderne Fortsetzung von Schatten-IT: Mitarbeitende beschränken sich nicht auf vom Unternehmen vorgegebene Lösungen – sofern es diese überhaupt gibt – sondern verwenden nach persönlichen Präferenzen leicht nutzbare Tools, ganz ohne entsprechende Leitplanken. Nicht selten resultieren daraus Datenabflüsse, verzerrte Ergebnisse, Compliance-Verstöße und Reputationsrisiken. Andererseits drohen Produktivitätsverluste, wenn Unternehmen ihren Mitarbeitenden die KI-Nutzung pauschal untersagen.

Aktuelle Daten untermauern den Handlungsdruck: Laut einer Befragung im Auftrag des Digitalverbands Bitkom ist die Nutzung privater KI-Tools in einem Viertel der untersuchten Unternehmen bekannt, weitere 17 Prozent gehen davon aus, dass ihre Belegschaft entsprechende Lösungen nutzt.

Gleichzeitig stellen nur 26 Prozent der Unternehmen ihren Mitarbeitenden einen offiziellen Zugang zu generativer KI zur Verfügung. Der Anteil derer, die Regeln für den Einsatz von KI-Tools aufgestellt hat, ist mit 23 Prozent noch geringer. Dieses Vakuum birgt Risiken, wenn Mitarbeitende sich eigene Arbeitsweisen mit KI zurechtlegen. Governance muss daher Nutzung ermöglichen und Risiken managen – nicht nur Kontrolle sein, sondern Gestaltung.

Schatten-KI in Unternehmen

Immer mehr Beschäftigte nutzen KI-Tools ohne Freigabe

Strategischer Rahmen: Zentralisierte Governance als Rückgrat

Eine wirksame KI-Governance beginnt mit einem zentralen, top-down verankerten Rahmen, der klare Verantwortlichkeiten definiert, Wildwuchs verhindert und sichere Wertschöpfung ermöglicht. Ein zentrales KI-Governance-Board aus CISO, Datenschutzbeauftragtem, Legal, Risk und relevanten Fachbereichen steuert Policies, Risikoakzeptanz und Eskalationen. Darauf aufbauend schafft ein verbindliches Regelwerk Klarheit über zulässige Use Cases, Datenklassen und Modellnutzung sowie über Prompt- und Output-Standards – stets mit „Human-in-the-Loop“ als Grundprinzip.

Ebenso wichtig ist die enge Verzahnung mit Compliance-Anforderungen: DSGVO, NIS2, DORA und branchenspezifische Normen müssen durchgängig adressiert und mittels belastbarer Audit-Trails beweisbar gemacht werden. Abgerundet wird das Regelwerk durch ein konsequentes Lebenszyklus-Management, das vom Tool-Onboarding und Vendor-Risk-Assessment über das laufende Review bis hin zum Deprovisioning reicht – idealerweise als „Policy as Code“, damit Vorgaben reproduzierbar und automatisiert durchgesetzt werden.

Identität als Sicherheitsanker: IAM konsequent durchsetzen

Identität fungiert als zentrale Kontrollschicht, denn KI-Workflows überschreiten Systemgrenzen, während Plugins und Agenten teils autonom agieren. Ohne konsequentes Identity & Access Management (IAM) drohen zu weit gefasste Berechtigungen und Datenabflüsse. Deshalb braucht es Least-Privilege-by-Design-Umgebungen mit minimalen, zeitlich begrenzten Scopes für Tools, Plugins und Agenten sowie eine saubere Trennung von Rollen und Umgebungen. Starke Authentifizierung – etwa mittles MFA, risikobasierten Zugriffen und permanenter Authentifizierung – senkt das Angriffsrisiko zusätzlich.

Go­ver­nance und Kontrolle generativer Systeme im Unternehmensalltag

Wie Firmen trotz Schatten-KI produktiv bleiben

Vom Papier zur Praxis: Vorgaben alltagstauglich machen

Governance entfaltet ihren Nutzen erst, wenn sie im Alltag praktikabel ist. Deshalb gilt es, Leitplanken in klare Handlungen zu übersetzen. Dazu gehört eine robuste Daten- und Prompt-Governance, klare Klassifizierungs- und Masking-Standards, sichere Prompting-Guides sowie verpflichtende Output-Reviews und Quellenangaben. Technische Kontrollen wie die Verhinderung von Datenverlusten (DLP), Egress-Filter, Wasserzeichen beziehungsweise Attribution, Content-Moderation und das durchgängige Protokollieren von Prompts, Outputs und Plugin-Aufrufen schaffen Sichtbarkeit und Durchsetzung.

Auf Anbieterseite sind Vendor- und Modellrisiken systematisch zu prüfen: Herkunft und Qualität der Trainingsdaten, IP-, Bias- und Privacy-Aspekte, Supply-Chain-Security sowie vertragliche Zusagen zu Sicherheit und Löschkonzepten. Ein belastbares Monitoring mit KPIs – etwa Nutzung, Vorfälle, Zeitgewinne und Fehlerraten – bildet die Basis für regelmäßige Kontrollen und kontinuierliche Verbesserung.

Sichere Experimentierräume: AI Labs und Sandboxes

Eine Sandbox als sicherer Experimentierraum oder ein unternehmensweites AI Lab mit kuratierten, abgesicherten Werkzeugen machen Schatten-KI überflüssig. Letzteres stellt eine Referenzarchitektur mit freigegebenen Modellen bereit, während standardisierte Playbooks den Weg von der Use-Case- und Datenfreigabe bis zur Incident-Response bei Leaks definieren. Eine föderierte Governance verbindet zentrale Vorgaben mit dezentralen Freigabeprozessen in den Fachbereichen, sodass Innovation schnell, sicher und nah am Geschäft erfolgen kann. Co-Creation zwischen Security, Legal und Business stellt sicher, dass priorisierte Use Cases sowohl wertstiftend als auch risikoangemessen umgesetzt werden.

Wie streng diese Leitplanken ausfallen, hängt vom Reifegrad der Organisation ab. Hybrid-Governance mit Augenmaß erlaubt reifen Teams mit etablierter Sicherheitskultur mehr Experimentierfreiheit, während weniger reife Einheiten klarere Schranken und engere Reviews benötigen. Ein Maturity-Model staffelt Kontrollen je nach vorliegendem Risiko. Entscheidungsprinzipien wie „Secure-by-Default“ und „Evidence over Opinion“ sowie regelmäßige Reviews sorgen für sachorientierte Steuerung. Eine agile Change-Mechanik ermöglicht schnelle Policy-Updates über das Governance-Board; definierte Experimentierkorridore mit klaren Erfolgskriterien und Exit-Gates verhindern Dauerprovisorien.

Schlüssel zur Beherrschung von Schatten-IT und -KI

Schatten-KI: Das unterschätzte Sicherheitsrisiko

Akzeptanz schaffen: Menschen wirksam mitnehmen

Damit Governance akzeptiert und gelebt wird, müssen Unternehmen ihre Mitarbeitenden mitnehmen. Transparente Kommunikation entkräftet Mythen und klärt die Verantwortungsteilung zwischen Mensch und KI. Angebote wie On-Demand-Lernen, Pflichtmodule zu Datenschutz, Urheberrecht und Bias sowie Standards für sicheres Prompting schaffen Kompetenz und Sicherheit. Ein zentrales Portal mit freigegebenen Tools, Best Practices und Vorlagen macht die richtige Nutzung einfach; Anerkennung für sichere, produktive KI-Anwendungen fördert gewünschtes Verhalten.

Governance macht Schatten-KI beherrschbar

Schatten-KI verschwindet nicht durch Verbote, sondern durch zentrale Steuerung, Identität als Kontrollschicht und sichere Sandboxes. Wer darüber hinaus Mitarbeitende befähigt und klare Leitplanken setzt, wandelt Risiko in Resilienz und realisiert messbaren Mehrwert.

Über den Autor: Sven Kniest ist Vice President Central & Eastern Europe bei Okta.

KI-Tools und Datenschutz – Darauf ist zu achten!

Wie man KI-Tools daten­schutz­konform nutzen kann

(ID:50780071)