KI-Tools halten längst Einzug in den Arbeitsalltag – häufig schneller, als Unternehmen darauf reagieren können. Wenn Mitarbeitende generative KI-Anwendungen ohne Abstimmung mit dem CISO-Office und der IT einsetzen, entstehen neue Angriffsflächen: von unkontrollierten Datenflüssen bis hin zu Compliance-Verstößen. NTT DATA zeigt fünf Maßnahmen, mit denen Unternehmen Schatten-KI in den Griff bekommen und den sicheren Einsatz von KI ermöglichen können.

Künstliche Intelligenz ist ohne Zweifel ein Booster für die Produktivität und Effizienz, der viele Aufgaben und Prozesse auf Knopfdruck automatisiert. Doch, wie so oft: Wo Licht ist, ist auch Schatten. Im Falle der KI ist diese alte Weisheit quasi wörtlich zu nehmen, denn Schatten-KI, also die unautorisierte, unkontrollierte Nutzung von KI-Tools durch Mitarbeitende, ist ein ernstzunehmendes Problem. Vom privaten ChatGPT-Zugang bis zur Eingabe sensibler Unternehmensdaten ist ein großes Risiko entstanden. Besonders brisant: Laut dem Data Breach Investigation Report 2026 ist Quellcode der Datentyp, der am häufigsten unautorisiert in unkontrollierte KI-Systeme hochgeladen wird – geistiges Eigentum mit direktem Wettbewerbswert.

Was können Unternehmen angesichts dieser neuen Bedrohungslage tun, um die Risiken aktiv zu senken?

1. Sichtbarkeit schaffen. Ohne Monitoring lässt sich Schatten-KI nicht steuern, weil sie gar nicht erst auffällt. SASE-Architekturen oder gängige Cloud-Security-Gateways, die in vielen Unternehmen ohnehin schon im Einsatz sind, lassen sich um KI-Traffic-Erkennung erweitern – oft ohne komplette Neuanschaffung.
2. Freigegebene Alternativen statt Verbote. Ein Totalverbot erzeugt nur Umgehungsverhalten. Wirksamer: mindestens eine datenschutzkonforme, freigegebene KI-Plattform bereitstellen. Dabei muss es gar nicht die teuerste Lizenz sein, wichtiger ist eine Compliance-konforme Nutzung einer bekannten Lösung, die auch die IT-Abteilung auf dem Schirm hat.
3. Zielgruppengerechte Schulungen. Die Wirkung pauschaler Awareness-Trainings verpuffen meist schnell. Ein Vertriebsmitarbeiter braucht andere Beispiele als jemand in der Buchhaltung. Zum Beispiel: Was passiert, wenn interne Kalkulationen oder Kundendaten in ein öffentliches Modell wandern, das damit weiterlernt? Hier müssen Unternehmen ihre Mitarbeitenden dort abholen, wo sie im Alltag echte Berührungspunkte mit KI-Anwendungsfällen haben.
4. Sensible Daten technisch filtern. Ein konkreter Ansatz: Firmen- und Kundennamen werden vor dem Versand automatisch durch Platzhalter ersetzt („Firma A“, „Kunde B“) und nach Erhalt der Antwort wieder eingesetzt. So bleibt die KI nutzbar, ohne dass Klarnamen das Haus verlassen.
5. Klare Regeln statt Grauzonen. Ohne definierte Kriterien bleiben Schulung und Technik meist wirkungslos, weil niemand weiß, woran er sich halten soll. Mitarbeitende brauchen Klarheit, etwa welche Daten sie einer KI geben dürfen, welche nicht oder welche Tools erlaubt sind.