Der Schlüssel zur Kontrolle von Schatten-IT und Schatten-KI

Laut einer McAfee-Umfrage unter 500 IT-Leitern in Deutschland kostet Schatten-IT, also der Einsatz nicht genehmigter Hard- und Software, die Unternehmen jährlich durchschnittlich 2,5 Millionen Euro.

Diese Verluste verteilen sich auf verschiedene Bereiche: 35 Prozent entfallen auf Datenverlust, 30 Prozent auf Compliance-Verstöße, 25 Prozent auf Sicherheitsvorfälle und 10 Prozent auf Produktivitätsverluste. 

Diese Zahlen verdeutlichen, dass die unkontrollierte Nutzung nicht genehmigter Software eine ernstzunehmende Bedrohung für Unternehmen darstellt. Neben den finanziellen Einbußen gefährdet Schatten-IT auch die Datensicherheit und die Einhaltung gesetzlicher Vorschriften. 

Gerade das Inkrafttreten des EU AI Acts – in dem es darum geht darum geht, ein Regelwerk für die Nutzung von KI in Organisationen zu schaffen – erhöht hier noch einmal zusätzlich den Druck auf die Unternehmen. Um in diesem Bereich Risiken zu minimieren, sollten Unternehmen gezielt Maßnahmen ergreifen – von klaren Richtlinien über die offzielle Integration bislang inoffiziell genutzter Tools bis hin zu mehr Aufklärung innerhalb der Belegschaft.

Unerlaubte Tools im Arbeitsalltag

Doch was bedeutet Schatten-IT konkret und welche Rolle spielt der neu aufkommende Risikofaktor Schatten-KI? Schatten-IT bezeichnet den unautorisierten Einsatz von Hardware, Software und Diensten, die nicht von der IT-Abteilung genehmigt sind. Ein Beispiel: Ein Mitarbeiter verwendet eine Cloud-Lösung wie Dropbox, um Unternehmensdokumente zu speichern und zu teilen, ohne die IT-Abteilung darüber zu informieren. Schatten-KI wiederum betrifft die unbefugte Nutzung von Künstlicher Intelligenz wie ChatGPT oder Google Gemini in Arbeitsprozessen. Beispielsweise wenn ein Mitarbeiter mit ChatGPT schnell Berichte erstellen oder Kundennachrichten beantworten möchte, ohne dass die IT-Abteilung die Nutzung solcher Tools geprüft oder freigegeben hat.

Vielfältige Risiken für Unternehmen

Die unkontrollierte Nutzung nicht autorisierter IT- und KI-Tools stellt für Unternehmen ein erhebliches Risiko dar. Ein zentrales Problem sind Sicherheitslücken, die in ungeprüften Anwendungen oft vorhanden sind und von Cyberkriminellen ausgenutzt werden können. Besonders gefährlich in puncto Datenschutz wird es, wenn KI-Tools sensible Unternehmensdaten verarbeiten oder speichern, oft auch auf Servern außerhalb der EU, die dadurch anderer Rechtsprechung unterliegen. Weitere Risiken sind ineffiziente, parallele Systeme, die dadurch Datensilos schaffen, sowie der Verlust der Kontrolle über die gesamte Infrastruktur, wenn Mitarbeitende eigene Systeme ohne Zustimmung der IT-Abteilung nutzen.

Eine Proaktive IT-Betriebsstrategie als Lösung

Um diesen Herausforderungen zu begegnen, müssen Unternehmen eine umfassende, proaktive IT-Betriebsstrategie entwickeln, das heißt weg von einem SLA basierten und reaktiven, hinzu einem XLA und proaktiven Betriebsmodell. Da die Zahl der Tools, Nutzer und Anwendungen mit Sicherheit eher größer als kleiner wird, empfiehlt es sich für ein zukunftsgerichtetesKonzept, auch ein effektives (KI-gestütztes) Echtzeit-Monitoring in Betracht ziehen.  Ein solches prüft kontinuierlich alle IT-Ressourcen; dadurch lassen sich unautorisierte Anwendungen und Sicherheitslücken frühzeitig erkennen und zu beheben. Der Einsatz von prädiktiver Analytik wiederum ermöglicht es, potenzielle Risiken anhand historischer Daten vorherzusagen und proaktiv zu lösen.

Gleichzeitig sind aber auch regelmäßige Sicherheitsaudits und strenge Zugriffskontrollen notwendig, um die Datensicherheit zu gewährleisten und potenzielle Risiken zu minimieren. Die IT-Abteilung sollte außerdem klare Richtlinien für den Einsatz von IT-Tools kommunizieren und Mitarbeitende durch regelmäßige Schulungen für die Risiken unautorisierter Anwendungen sensibilisieren. In diesem Zusammenhang kann es sinnvoll sein, den Mitarbeitenden sichere Alternativen anzubieten, um den Einsatz von Schatten-IT und -KI zu verringern.

Eine offene Kommunikationskultur ist für all diese Maßnahmen die unverzichtbare Basis. Sie ermöglicht es Mitarbeitenden, ihre IT-Bedürfnisse transparent zu äußern. So kann die IT-Abteilung rechtzeitig passende Lösungen anbieten. 

Vorteile einer proaktiven IT-Betriebsstrategie

Eine proaktive IT-Strategie bietet zahlreiche Vorteile, die weit über die reine Technologieverwaltung hinausgehen. Der „Proaktive IT-Betrieb“, welcher durch eine entsprechende und technologieübergreifende Monitoring- und Analyselösung erst ermöglicht wird, erlaubt die frühzeitige Erkennung und Behebung von Sicherheitslücken. Ebenso wird die Gesamtsicherheit der IT-Infrastruktur signifikant gestärkt. Das ermöglicht eine effiziente Integration von Tools, fördert die Zusammenarbeit und Produktivität und minimiert gleichzeitig das Risiko von Datensilos. Zudem reduziert die konsequente Einhaltung interner Richtlinien und externer Vorschriften die Zahl der Compliance-Verstöße und hilft, rechtliche Probleme zu vermeiden. 

Eine durchdachte und proaktive IT-Betriebsstrategie spart zudem Kosten, indem sie parallele, nicht genehmigte Lösungen minimiert und Sicherheitsvorfälle reduziert. Gleichzeitig stärkt eine solche Strategie das Vertrauen der Mitarbeitenden und Kunden, da sie den sicheren Umgang mit sensiblen Daten und die Einhaltung regulatorischer Anforderungen gewährleistet. Neue Technologien können so schneller und sicherer implementiert werden, was die Innovationskraft des Unternehmens steigert.