test the episodes
Künstliche Intelligenz (KI) hat solch einen disruptiven Charakter gewonnen, dass der Umgang mit ihr zu einem entscheidenden Thema für Unternehmen geworden ist. Einige Organisationen streben eine Vorreiter-Rolle an, während andere sich eher vor der neuen Realität sträuben.
Dass letzteres definitiv nicht der beste Weg ist, zeigt das hohe Aufkommen der Schatten-KI in vielen Unternehmen eindrucksvoll auf. Eine solche KI-Nutzung, die an der internen IT vorbeigeht, erscheint zunächst praktisch und hilfreich, birgt jedoch auch oft unüberschaubare Risiken.
Dieser Beitrag geht diesen auf den Grund und erklärt, wie ein wirkungsvoller Umgang mit Schatten-KI aussehen kann.
Was ist Schatten-KI?
Unter dem Oberbegriff der Schatten-KI fallen Anwendungen Künstlicher Intelligenz, die nicht von der IT-Abteilung des jeweiligen Unternehmens genehmigt wurden. Die Nutzung der entsprechenden Tools und Plattformen erfolgt hier unautorisiert, wobei sich Mitarbeitende davon Vorteile wie Zeitersparnisse, geringere Aufwände und eine höhere Produktivität versprechen. Kurzum: Es handelt sich um privat genutzte Anwendungen, die nicht zum offiziellen Tool Stack des jeweiligen Unternehmens gehören.
Dies stellt solange kein schwerwiegendes Problem dar, bis es zu Datenschutzverletzungen, Fehlentscheidungen und Halluzinationen kommt, die Unternehmen teuer zu stehen kommen können. Neben sensiblen Sicherheitslücken und Datenpannen drohen Reputationsschäden sowie Strafzahlungen.
Beispiele
Eine unkontrollierte KI-Nutzung kommt in Unternehmen häufig vor und zeigt sich in unterschiedlichen Formen. Dazu zählen unter anderem:
- Generative KI, etwa für die Texterstellung und für die Bildgenerierung
- KI-Analysetools für Geschäftsberichte
- Programmier-Assistenten
- Antwortgenerierungen für E-Mails etc.
- Service-Assistenten
- Tools zur Risikobewertung
In einem konkreten Beispiel könnte ein Mitarbeitender einen Geschäftsbericht zu erstellen haben, in den viele komplexe Daten einfließen müssen. Da die Zeit drängt und die IT augenscheinlich kein geeignetes KI-Tool bereitgestellt hat, entschließt er sich kurzerhand, auf eigene Faust ein entsprechendes Tool zu nutzen.
Damit dieses die Daten analysieren, interpretieren und zusammenfassen kann, muss der Mitarbeitende viele sensible Informationen aus dem Unternehmen teilen. So entstehen Datenschutzverletzungen und Sicherheitslücken, da nicht sicher ist, wohin die Daten gelangen und wer nun alles über sie verfügt. So nutzen KI-Tools Eingaben als Lerndaten, sodass unternehmensinterne Informationen auch direkt in die Hände der Konkurrenz fallen können.
Schatten-KI vs. Schatten-IT
Schatten-IT ist bereits lange ein Begriff und treibt IT-Abteilungen immer wieder um. Gemeint ist damit, dass Beschäftigte Software, Hardware und andere Technologien nutzen, die nicht genehmigt wurden und somit ohne Aufsicht und zumeist auch ohne Wissen der IT-Abteilung im Einsatz sind.
Recht neu ist dagegen die Schatten-KI, die mit der zunehmenden Nutzung generativer KI in Unternehmen immer relevanter wird. Wie es der Name bereits sagt, geht es hier darum, dass Mitarbeitende unbefugt Künstliche Intelligenz nutzen. Somit ist Schatten-IT der Oberbegriff und Schatten-KI der spezifischere Terminus.
Beide stellen ein ernstes Problem dar, da die Risiken unkalkulierbar sind und sich der Kontrolle der IT-Abteilung entziehen.
Probleme, die durch Schatten-KI im ITSM entstehen
Nutzen Mitarbeitende vielfach Schatten-KI, wird dies auch für das ITSM zu einem ernstzunehmenden Problem. Der wichtigste Grund dafür, dass Mitarbeitende die üblichen Prozesse umgehen, liegt darin, dass KI-Tools auf die Schnelle verwertbare Antworten liefern, während klassische ITSM-Prozesse auf Triagen, Priorisierungen und standardisierte Workflows ausgelegt sind.
Durch die Schatten-KI entstehen im ITSM aus Sicherheits-Gesichtspunkten erhebliche Probleme, da sämtliche Incidents und Probleme, die am Service Desk vorbeigehen, nicht sichtbar und als Daten nicht existent sind.
- Wiederkehrende Fehler sind nicht ersichtlich.
- Root-Cause-Analysen werden zum Teil erheblich erschwert.
- Es lässt sich schwerer identifizieren, wie viele Incidents auftreten.
- Es lässt sich kaum ermitteln, welche Vorfälle die Mitarbeitenden am meisten beschäftigen.
- Security Operations Center (SOC) erleben einen höheren Analyseaufwand.
Aus ITSM-Sicht blockiert Schatten-KI also Erkenntnisse und Fortschritte. Ebenso ergeben sich keine standardisierten Lösungen für Vorfälle, sodass es möglicherweise zu Scheinlösungen und Folgefehlern kommt.
Da sich Schatten-KI nicht ignorieren lässt, lautet die entscheidende Frage, wie Unternehmen sie eindämmen, die Sicherheit wahren und adäquate Alternativen in ihrem offiziellen Technologie-Stack bieten können.
So hat OTRS flexibel nutzbare KI-Anwendungen im Aufgebot, die sich hervorragend eignen, um im ITSM eine kontrollierte und nützliche KI-Nutzung einzuleiten.
Die Risiken von Schatten-KI
Gegen das, was nicht sichtbar ist, kann man sich nur schwer erwehren. So besteht das übergeordnete Risiko der Schatten-KI darin, dass sie sich der Kontrolle entzieht und außerhalb bestehender Regularien und Richtlinien genutzt wird.
Nun lässt sich für die Schatten-KI argumentieren, dass sie von Erfindergeist der Mitarbeitenden zeugt, einen wichtigen experimentellen Charakter aufweist und die Produktivität steigert. Das ist alles ein Stück weit richtig, hat allerdings einen – manchmal sogar sehr hohen – Preis, der selten in einem positiven Verhältnis zum erbrachten Nutzen steht.
Die folgenden Risikofaktoren zeugen von den Gefahren, die von Schatten-KI ausgehen:
Datenschutzverletzungen und Sicherheitslücken
Da die KI-Nutzung hier unbewacht ist, kann es vorkommen, dass Mitarbeitende sensible Daten teilen, was nicht nur rechtliche Bedenken auslöst, sondern im Fall eines Datenlecks auch weitreichende reale Konsequenzen haben kann. So sind Datenpannen in vielen Fällen ein größeres Risiko für Unternehmen als externe Bedrohungen.
Nun kommt es immer wieder vor, dass Mitarbeitende Daten unbedarft preisgeben, weil sie sich der damit verbundenen Risiken nicht vollends bewusst sind und die Vorteile in ihrer Wahrnehmung überwiegen. So entstehen Sicherheitsverstöße, welche die Verwundbarkeit des jeweiligen Unternehmens erhöhen und zu erfolgreichen Angriffen führen können.
Verletzung der Compliance
Wenn Mitarbeitende bei der Nutzung von Schatten-KI sensible Daten an Drittanbieter übermitteln, verstößt dies gegen geltende Regeln wie die Datenschutz-Grundverordnung (DSGVO) und interne Vereinbarungen sowie Geheimhaltungspflichten. Für solche Verstöße müssen Unternehmen im Ernstfall empfindliche Strafen zahlen.
Halluzinationen
Dass KI-Tools mitunter halluzinieren, ist kein Geheimnis: Durch eine mangelnde Datenbasis, fälschliche Interpretationsmuster und die Notwendigkeit, auch bei einer dünnen Informationslage überzeugende Antworten auszugeben, ist insbesondere generative KI anfällig dafür.
Nutzen nun Mitarbeitende private KI-Anwendungen beruflich, kann die verantwortliche IT-Abteilung diese nicht den geltenden Qualitätsstandards unterziehen und zum Beispiel auch keine entsprechenden Schulungen für den Umgang mit Halluzinationen anbieten. Dadurch ergeben sich Ergebnisse, die von Grund auf falsch sein können. Besonders schwerwiegend wird dies, wenn eine KI zwar über per se richtige Daten verfügt, diese jedoch in einem falschen Kontext wiedergibt.
Manipulierte Daten
Daten können auch manipuliert werden. So verfügt Unternehmenssoftware in der Regel über strenge Sicherheitsprotokolle und eine angemessene Überwachung. Schatten-KI umfasst dagegen oft Anwendungen, die nicht speziell für den Unternehmenseinsatz entwickelt wurden und daher nicht denselben Sicherheits-, Kontroll- sowie Update-Standards unterliegen. Damit steigt das Risiko, dass sich Angreifer leichter Zugriff verschaffen und Daten für unterschiedliche Zwecke manipulieren.
Unzuverlässige Qualität
Die Qualität der Ergebnisse, die Schatten-KI-Anwendungen liefern, kann hoch sein, ist jedoch schwer einzuschätzen. Tatsächlich lässt sie häufig zu wünschen übrig, da Schatten-KI oft auf die Schnelle und ungeprüft zum Einsatz kommt. Ob Mitarbeitende damit verlässlich qualitativ hochwertige Ergebnisse erzielen, ist also fraglich.
Schädigung der Reputation
Eine gute Reputation gehört zu den wichtigsten Werten, über die ein Unternehmen verfügen kann. Diese möchte man nicht leichtfertig riskieren. Dies geschieht jedoch, wenn durch Schatten-KI Datenschutzverletzungen, Compliance-Verstöße, Halluzinationen, fragwürdige Ergebnisse oder sogar erfolgreiche Cyberangriffe entstehen – und diese bis zu Kunden oder an die Öffentlichkeit gelangen. So gerät ein Unternehmen schnell in Verruf und kann das verlorene Vertrauen nur schwer wiederherstellen.
Die wichtigsten Ursachen von Schatten-KI
Anwendungen generativer Künstlicher Intelligenz haben in den vergangenen Jahren eine überwältigende Akzeptanz gewonnen, sie kommen in praktisch allen Organisationen zum Einsatz. Gleichzeitig stellen viele Unternehmen keine flächendeckenden KI-Anwendungen bereit, die ihren Mitarbeitenden spezifisch zunutze kommt.
Wenn es offizielle KI-Anwendungen gibt, werden diese zwar genutzt. Allerdings schwenken Mitarbeitende insbesondere bei besonderen Anforderungen, hohem Erwartungsdruck und geringem Zeitbudget auf Tools um, die den aktuellen Aufgaben ihrer Ansicht nach am besten gewachsen sind.
Im Einzelnen gibt es die folgenden Ursachen und Beweggründe, aus denen heraus Mitarbeitende auf Schatten-KI zurückgreifen:
1. Fehlende oder unzureichende Angebote im Unternehmen
Es gibt einige Unternehmen, die bei der KI-Nutzung den Anschluss erheblich verpasst haben. In vielen anderen Organisationen bestehen dagegen noch Lücken beim passgenauen Einsatz von KI-Lösungen für spezielle Anforderungen. In beiden Fällen fühlen sich viele Mitarbeitende auf sich allein gestellt und greifen eigenständig zu KI-Tools.
2. Höhere Produktivität und Zeitersparnis
Mitarbeitende müssen für bestimmte Aufgaben viel Zeit und Mühe investieren, was sie vor allem bei einem hohen Workload von wertschöpfenderen, kreativen Aufgaben abhält. Um in der Kürze der Zeit alles zu schaffen, liegt es nahe, auf nicht freigegebene KI-Anwendungen zurückzugreifen, vor allem wenn passende KI-Angebote im Unternehmen nicht schnell und niedrigschwellig erreichbar sind.
3. Mangelndes Verständnis für Risiken
Viele Angestellte sind sich der Risiken, die von Schatten-KI ausgehen, nicht bewusst. Für sie überwiegen die Vorteile und die Annahme, dass schon nichts geschehen wird. Tatsächlich bleibt das Zurückgreifen auf Schatten-KI im größeren Maßstab oft folgenlos.
Allerdings gibt es in einigen Fällen schwerwiegende Konsequenzen, welche die wahren Dimensionen der Risiken aufzeigen. Zudem haben selbst bei vermeintlich harmlosen Fällen Unternehmen den Daten- und Informationsfluss nicht unter Kontrolle, von einer ungesicherten Qualität der KI-Ergebnisse mal ganz abgesehen.
4. Zu viel Bürokratie und Restriktionen
Dieses Problem ist in Unternehmen oft zu beobachten. Grundsätzlich möchten sich Mitarbeitende an die geltenden Regeln und Vorgehensweisen halten. Doch zu viele Vorschriften, langwierige Genehmigungen und ermüdende Prozesse machen es ihnen schwer, den offiziellen Weg zu gehen.
Auch führen Restriktionen und Begrenzungen für bestimmte KI-Anwendungen dazu, dass Mitarbeitende diese eben auf eigene Faust vollumfänglich nutzen. Der Teufelskreis ist folgender: Zu viele Vorschriften führen zu mehr Schatten-KI und mehr Schatten-KI bewirkt wiederum härtere Vorschriften, die für Unternehmen ebenso wenig zielführend sind.
5. Eigene Vorteile und Überlastung
Viele Angestellte sind bestrebt, sich durch KI-Nutzung als besonders innovativ, progressiv und produktiv zu profilieren. Die Vorteile gehen in zwei unterschiedliche Richtungen: Einerseits erhoffen sie sich dadurch einen besseren Status bei ihrem Arbeitgeber, andererseits müssen sie durch die erzielten Zeitersparnisse selbst weniger arbeiten.
Ebenso greifen viele Mitarbeitende auf Schatten-KI zurück, wenn sie ihr Arbeitspensum ansonsten nicht in der regulären Arbeitszeit zufriedenstellend bewältigen können. In diesem Fall ist Schatten-KI eine Antwort auf Überlastung.
Best Practices im Umgang mit Schatten-KI
Die wichtigste Frage lautet für viele Unternehmen, wie sie am besten mit der Nutzung von Schatten-KI umgehen. Zunächst einmal lässt sich diese nicht ignorieren oder wegdiskutieren. Ein Großteil der Unternehmen ist von der Schatten-KI-Nutzung betroffen, sodass es auf den richtigen Umgang damit ankommt.
Die folgenden Praktiken und Vorgehensweisen können dabei unterstützen:
- Zusammenarbeit fördern: Oft greifen Mitarbeitende auf Schatten-KI zurück, weil zielführende Dialoge über KI nicht stattgefunden haben und sie in Folge dessen nicht über die Tools verfügen, die sie benötigen. So lassen sich durch klare und offene Kommunikation zwischen IT- und Sicherheitsteams und der Belegschaft geeignete KI-Tools besser identifizieren sowie gleichzeitig Datenschutzvorgaben einhalten.
- Flexibilität bei der Governance walten lassen: Eine Governance soll Orientierung bieten, aber Mitarbeitende nicht unnötig aufhalten. Die Kunst liegt darin, gleichzeitig die Einführung von KI zu unterstützen und klare, praktikable Richtlinien mitzugeben. Schnelle Genehmigungsprozesse und unkomplizierte Verfahren sind entscheidend, um die Nutzung von Schatten-KI wirksam zu vereiteln.
- Regelmäßig über Risiken informieren: Auf die Gefahren von Schatten-KI sollten Unternehmen ihre Mitarbeitenden immer wieder hinweisen. Insbesondere aus IT- und Sicherheitssicht wird oft überschätzt, wie gut Mitarbeitende darüber Bescheid wissen und sich damit befassen. Auch unter dem Gesichtspunkt, dass KI-Anwendungen sich ständig weiterentwickeln, sollte es regelmäßig Informationen zu Risiken und aktuellen Entwicklungen geben.
- Mitarbeitende über KI-Tools befragen: Klassischerweise bestimmt die IT-Abteilung den Tool Stack für die Mitarbeitenden. Ein wichtiger Grund für die Nutzung von Schatten-KI liegt darin, dass dieser nicht für alle passt und zumindest für einige Bereiche keine schnellen Lösungen parat hält. Daher sind Befragungen und Abstimmungen ein sinnvoller Weg, um direktes Feedback zu erhalten und die richtigen KI-Tools bereitzustellen.
Im Allgemeinen sollten Unternehmen einen guten Mittelweg aus Autonomie der Mitarbeitenden und Vertrauen in dieselben sowie aktiven Maßnahmen gegen Schatten-KI finden. Eine strenge Überwachung ist dagegen meist wenig zielführend, da sie Misstrauen fördert und die Probleme, die Mitarbeitende eigenständig mit Schatten-KI zu lösen versuchen, nicht angeht.
Stattdessen sollte ein Ansatz im Vordergrund stehen, der den Bedarf an Schatten-KI minimiert und gleichzeitig ein höheres Risikobewusstsein schafft. Das funktioniert mit den richtigen offiziellen KI-Tools und offenen Dialogen zwischen der IT und Security Teams sowie den Mitarbeitenden.
Fazit: Unternehmen müssen Schatten-KI ernstnehmen
Schatten-KI – Anwendungen Künstlicher Intelligenz, die außerhalb des Technologie-Stacks eines Unternehmens genutzt werden – ist zu einem wichtigen Thema geworden, auf das Organisationen ein Auge haben sollten. Es gibt viele unterschiedliche Gründe, weswegen Mitarbeitende darauf zurückgreifen.
In der Regel ist das eine Mixtur aus einem empfundenen schnellen Nutzen und einem geringen Risikobewusstsein. Die Risiken reichen von mangelnder Transparenz und somit einer eingeschränkten Kontrollfähigkeit der IT-Abteilung über Qualitätseinbußen und Sicherheitslücken bis hin zu empfindlichen Strafen.
Unternehmen sind nun gefragt, einen ausgewogenen Umgang mit Schatten-KI zu entwickeln, der ihre Nutzung einschränkt, ohne dabei Mitarbeitende unnötig in ihrer Handlungsfähigkeit zu behindern.
Dabei helfen insbesondere:
- die Bereitstellung passender KI-Anwendungen
- die Schaffung eines höheren Risikobewusstseins
- moderate Kontrolle ohne Überwachung der Mitarbeitenden
OTRS stellt flexibel nutzbare KI-Anwendungen bereit, die insbesondere im Service Desk erhebliche Entlastung bringen können.