Von der Schatten-IT zur Schatten-KI

Was mit Tools aus der Cloud begonnen hat, findet mit KI-Werkzeugen – allen voran ChatGPT – seine Fortsetzung: Die Schatten-IT hat zwar das Zeug, Innovationen in Unternehmen voran zu treiben, birgt aber auch zahlreiche sicherheitstechnische und organisatorische Fallstricke. [...]

Der 30. November 2022 markiert den Beginn einer neuen Zeitrechnung. An jenem Tag veröffentlichte das 2015 gegründete Startup OpenAI die Version GPT-3.5 seines Large Language Models, bekannt unter dem Namen ChatGPT. Das Besondere daran: Es war gratis und es offenbarte seinen Nutzen unmittelbar, was für neue Technologien keine Selbstverständlichkeit ist: Man brauchte keine Einschulung, kein Benutzerhandbuch – alles, was zu tun war, war, Fragen in natürlicher Sprache zu stellen. So wundert es nicht, dass sich innerhalb von nur fünf Tagen weltweit eine Million Nutzer und Nutzerinnen registrierten. Zwei Monate später waren es 100 Millionen. 

Ebenso wenig überraschend ist, dass ChatGPT schnell Einzug in Uternehmensabteilungen gehalten hat. Die aktuelle Lünendonk-Studie »Generative AI – Von der Innovation bis zur Marktreife« bestätigt, dass generative KI für 42 Prozent der befragten Unternehmen eine hohe Relevanz besitzt. 85 Prozent nutzen sie für konzeptionelle Arbeiten, acht von zehn Firmen für Datenanalysen und Prognosen und 71 Prozent betten generative KI-Funktionalitäten in ihre digitalen Services ein. Folglich ist die Erhöhung der Kundenzentrierung mit 71 Prozent der meistgenannte Benefit. Darüber hinaus versprechen sich 67 Prozent durch den Einsatz von generativer KI signifikante Automatisierungspotenziale und 66 Prozent Kosteneinsparungen. Jedes zweite Unternehmen sieht einen Vorteil in der Dokumentation von Wissen – unter anderem, um dem demografischen Wandel und dem daraus resultierenden Wissensverlust zu begegnen. 

Status quo Schatten-IT

Die Kehrseite der Medaille ist laut Lünendonk-Studie unter anderem, dass rechtliche Bedenken bezüglich der Konsequenzen falscher KI-Ergebnisse bestehen. Die Befragten befürchten hohe Haftungsrisiken aufgrund falscher Entscheidungen auf Basis von Resultaten der KI. Ein wichtiger Aspekt für den erfolgreichen Einsatz generativer KI ist daher die Vertrauenswürdigkeit der Technologie, die auf der Qualität der Ergebnisse basiert. „Der Ruf nach einer vertrauenswürdigen KI wird mit fortschreitender Entwicklung und steigender Nutzerzahl immer lauter“, erläutert Mario Zillmann, Studienautor und Partner bei Lünendonk & Hossenfelder.

Ein weiteres Problem: die sogenannte Schatten-IT. So erlaubt ein Drittel der befragten Unternehmen allen Mitarbeitern uneingeschränkten Zugriff auf GenAI-Tools, was zu Sicherheitsproblemen und Datenschutzverletzungen führen kann. In weiteren 32 Prozent der Unternehmen haben Mitarbeitende eingeschränkten Zugriff. Lediglich 35 Prozent der Unternehmen beschränken die Zugriffsrechte auf ausgewählte Bereiche und Funktionen. Dass Mitarbeiter von sich aus Lösungen im Business-Umfeld einsetzen, die der IT-Abteilung nicht bekannt, geschweige denn von dieser autorisiert sind, ist nichts Neues. Das als Schatten-IT bekannte Phänomen ist vor allem seit dem Aufkommen von SaaS-Angeboten zur Herausforderung aller IT- und Sicherheits-Verantwortlichen geworden. 

Wenigstens in diesem Bereich ist ein wenig Entspannung zu beobachten. 

Während die Ausbreitung von SaaS in der Vergangenheit einen stetigen Aufwärtstrend verzeichnete, da die Mitarbeiter nach innovativen Lösungen suchten und keine echten Richtlinienprozesse vorhanden waren, sank das durchschnittliche SaaS-Portfolio zwischen 2022 und 2023 über alle Unternehmensgrößen hinweg um zehn Prozent, so die Informationen der Studie „2024 SaaS Trends – Growth“ von Productiv. Der prozentuale Anteil der Anwendungen in einem Portfolio, die als Schatten-IT kategorisiert werden, spiegelt einen ähnlichen Trend wider und sank im letzten Jahr von 53 auf 48 Prozent, was auf eine bessere Governance hindeutet. Auf der anderen Seite hat sich ChatGPT an die Spitze der Schatten-IT-Charts gestellt. 

Innovationstreiber

Eine Schatten-KI ist nicht per se nur negativ. DigitalDefynd hat etwa den Vorteil herausgearbeitet, dass sie den Mitarbeitenden ermöglicht, mit intelligenten Lösungen zu experimentieren und diese schnell einzusetzen, indem sie die traditionellen Entwicklungs- und Genehmigungsprozesse umgehen. Ein Bericht von Deloitte bestätigt, dass Unternehmen, die Innovationen über informelle Kanäle, einschließlich Schatten-IT und -KI, fördern, eine um 17 Prozent höhere Innovationsrate aufweisen als Unternehmen mit strenger IT-Governance. Mitarbeiter und Mitarbeiterinnen entwickeln häufig Schatten-KI-Tools, um unmittelbare Probleme anzugehen, die für ihre Rolle spezifisch sind. Dies kann zu schnelleren Lösungen führen, als wenn man auf Maßnahmen der zentralen IT-Abteilung warten würde. Eine Umfrage von Gartner ergab, dass Abteilungen, die Schatten-IT einsetzen, operative Probleme im Durchschnitt 30 Prozent schneller lösen.

Schatten-KI kann den Fokus auf potenzielle Anwendungen lenken, die das Management möglicherweise bis her nicht in Betracht gezogen hat. Diese von der Basis initiierten Innovationen sind in der Lage, strategische Erkenntnisse zu liefern und den Weg für neue Produktentwicklungen oder Prozessverbesserungen zu ebnen. So ergab ein interner Bericht eines führenden Softwareunternehmens, dass mehr als 20 Prozent seiner inzwischen institutionalisierten KI-gestützten Funktionen aus Projekten stammen, die ursprünglich als Schatten-KI eingestuft wurden, so die Informationen von DigitalDefynd. 

Durch den Einsatz von Schatten-IT ergreifen die Mitarbeiter die Initiative und nutzen modernste Tools, um ihre Produktivität zu steigern. Diese Befähigung kann zu einer höheren Arbeitszufriedenheit und einer höheren Mitarbeiterbindung führen. Laut einer Studie von Cisco haben Unternehmen, die eine Form von Schatten-IT zulassen, einen Anstieg der Mitarbeiterzufriedenheit um bis zu 15 Prozent verzeichnet.

In einigen Fällen kann die Schatten-KI sogar eine unerwartete Zusammenarbeit zwischen Abteilungen fördern. Wenn verschiedene Teams KI-Tools erstellen und gemeinsam nutzen, würde dies zu einem natürlichen Austausch von Ideen und Techniken führen, die die Beziehungen zwischen den Abteilungen stärkt und eine integrierte Unternehmenskultur fördert.

Herausforderungen 

Wesentlich länger ist die Liste der Probleme, die im Zusammenhang mit Schatten-IT bzw. -KI stehen. DigitalDefynd nennt als erstes Sicherheitsrisiken: Unüberwachte KI-Implementierungen können Sicherheitsprotokolle umgehen, wodurch Unternehmen potenziellen Datenschutzverletzungen ausgesetzt sind. Eine Studie von Symantec hat beispielsweise ergeben, dass Schatten-KI-Einrichtungen für etwa ein Drittel aller Datenschutzverletzungen in Unternehmen verantwortlich sind, die auf unzureichende Sicherheitsmaßnahmen zurückzuführen sind.

Ohne eine zentralisierte Strategie entwickeln verschiedene Teams möglicherweise KI-Tools, die nicht miteinander kompatibel sind, was zu isolierten Daten und Systemen führt, die nicht effektiv miteinander kommunizieren. Dieser Mangel an Standardisierung kann die Skalierbarkeit des Unternehmens und die Integration von technologischen Lösungen stark beeinträchtigen.

Schatten-KI ist in der Lage, Doppelarbeit innerhalb eines Unternehmens zu verursachen, da verschiedene Teams unwissentlich an ähnlichen Lösungen arbeiten. Dadurch werden Ressourcen verschwendet und Fachwissen geteilt, das in einer koordinierten Anstrengung effektiver hätte genutzt werden können. Ein Bericht von IBM hat gezeigt, dass Unternehmen mit ausufernden Schatten-IT-Aktivitäten etwa 40 Prozent mehr für IT ausgeben als Unternehmen mit einer geregelten IT-Governance.

KI-Lösungen, die ohne Aufsicht entwickelt werden, entsprechen möglicherweise nicht den rechtlichen Standards wie der Datenschutzgrundverordnung und setzen das Unternehmen rechtlichen Strafen aus. Beispielsweise können Geldstrafen bis zu vier Prozent des weltweiten Jahresumsatzes betragen, was ein erhebliches finanzielles Risiko darstellt.

Lösungen, die als Schatten-KI entwickelt werden, werden oft mit Blick auf spezifische, lokal begrenzte Probleme entwickelt und sind daher für breitere Unternehmensanforderungen ungeeignet. Der anfängliche Mangel an Überlegungen zur unternehmensweiten Skalierbarkeit kann eine breitere Akzeptanz behindern und eine erhebliche Überarbeitung oder sogar den Abbruch dieser Projekte in späteren Phasen erforderlich machen.

Wenn KI-Lösungen von Nicht-IT-Fachleuten entwickelt werden, besteht darüber hinaus die Gefahr, dass diese nicht nach den besten Verfahren entwickelt werden, was oft zu ineffizienten oder instabilen Anwendungen führt.  

Last but not least kann eine Schatten-KI laut DigitalDefynd in fragmentierten Datenlandschaften resultieren, in denen kritische Daten in bestimmten Abteilungen oder Projekten verstreut sind. Das macht es schwierig, einen einheitlichen Überblick über die Daten des Unternehmens zu erhalten. Diese Fragmentierung kann die Entscheidungsfindung beeinträchtigen und die Effektivität von datengesteuerten Strategien im gesamten Unternehmen verringern.

Gegenmaßnahmen

Heiko Lossau, Head of Business Unit Microsoft und Cloud Marketplace bei ADN Distribution, hat in Sachen Schatten-KI klar formulierte Ratschläge parat: „Damit keine Unternehmensdaten nach außen gelangen und bei der Nutzung von KI-gestützten Ergebnissen alle gesetzlichen Vorgaben eingehalten werden, braucht es neben der richtigen Infrastruktur auch entsprechende Richtlinien, die den für die KI-Nutzung benötigten Datenzugriff rechtskonform absichern. Insbesondere für Geschäftsführer, die im Ernstfall für Verstöße haften, spielen Compliance und Security eine entscheidende Rolle.“ 

Die Datenschutz-Grundverordnung stelle dabei klare Anforderungen an Unternehmen, die KI nutzen. „Unter anderem muss die Sicherheit und Vertraulichkeit der Daten gewährleistet werden, etwa durch geeignete technische und organisatorische Maßnahmen. Außerdem muss zu jeder Zeit die Verantwortlichkeit und Rechenschaftspflicht für die Datenverarbeitung oder -generierung nachgewiesen werden können. Die am 13. März 2024 vom Europaparlament verabschiedete EU-KI-Verordnung (KI-VO), die noch in diesem Jahr in Kraft tritt und ab 2026 zu befolgen ist, schafft zudem einen einheitlichen Rechtsrahmen für den Einsatz von KI in der EU. Um die Nutzung von KI unternehmensweit klar und Compliance-konform zu regeln, kann zudem eine eindeutig formulierte KI-Richtlinie ein bedeutender Schritt sein.“

Selbst wenn KI-gestützte Lösungen korrekt implementiert und konfiguriert wurden, bleibe doch ein entscheidender Faktor: der Mensch, so Heiko Lossau. „Den Kopf ausschalten und KI komplette Arbeitsabläufe übernehmen zu lassen, wäre zu kurz gedacht. Denn KI ist nicht in der Lage, moralische oder ethische Entscheidungen zu treffen und erkennt nicht, wenn sie zum Beispiel rassistisch anmutende Bilder oder beleidigende bzw. antisemitische Texte erstellt. Natürlich müssen Mitarbeiter daher sowohl in der grundsätzlichen Nutzung der KI-Lösung geschult werden, als auch im Bewusstsein, keine Inhalte blind zu nutzen und zu verbreiten. Nur so ist gewährleistet, dass kein problematisches Material verwendet und veröffentlicht wird.“  

Chris Noon, Director of Commercial Intelligence and Analytics bei Dropbox, weist darauf hin, dass Geschäftskonten für KI-Produkte in der Regel Vereinbarungen enthalten, die sicherstellen, dass Unternehmensdaten nicht zum Trainieren von KI-Modellen verwendet werden. „Persönliche Konten, die häufig in der Schatten-KI verwendet werden, verfügen jedoch in der Regel nicht über diese Vereinbarungen. Das bedeutet, dass alle Unternehmensdaten, die über ein persönliches Konto geteilt werden, versehentlich zum Trainieren des KI-Modells verwendet werden könnten. Die Absicherung der Unternehmensdaten sollte daher immer ein Hauptanliegen darstellen. Zudem können schwerwiegende Folgen entstehen, wenn Mitarbeitende diese leistungsstarken Tools ohne Anleitung oder eigenes Urteilsvermögen einsetzen. KI-Tools sind immer noch anfällig für fehlerhafte oder ungenaue Ergebnisse und sogar für ›Halluzinationen‹. Denn wenn man sich auf fehlerhafte Ergebnisse verlässt, ohne diese zu hinterfragen, kann dies zu falschen Entscheidungen und potenziellen rechtlichen oder finanziellen Auswirkungen für das Unternehmen führen.“

Chris Noon rät Unternehmen, ein umfassendes Programm zu entwickeln, das ihre Mitarbeitenden kontinuierlich über die besten Verfahren zur Integration von KI in ihre tägliche Arbeit informiert. „So wird sichergestellt, dass alle Mitarbeitenden die Vorteile der KI-Technologie nutzen können. In jedem Team gibt es einen ‚Early Tech Adopte’‹, der durch seine Neugierde und Leidenschaft anderen, die eher zögerlich experimentieren, voraus ist. Solche Mitarbeitende können in Zusammenarbeit mit ihren IT-Teams zu KI-Champions innerhalb des Unternehmens werden, Erkenntnisse, bewährte Verfahren und Einsichten mit Kollegen teilen und eine kollaborative Lernumgebung fördern.“