Die rasante Verbreitung von generativer KI hat die Arbeitsweise von Mitarbeitenden grundlegend verändert. Tools wie ChatGPT, Copilot oder unzählige KI-gestützte SaaS-Dienste sind heute nur noch einen Browser-Tab entfernt. Sie steigern zwar die Produktivität, bringen sie auch ein neues Risiko mit sich: Shadow AI.

Ähnlich wie früher Shadow IT beschreibt Shadow AI die Nutzung nicht genehmigter KI-Tools durch Mitarbeitende – ohne Wissen oder Kontrolle der IT- oder Sicherheitsabteilung. Das Problem? Sensible Unternehmensdaten, geistiges Eigentum oder regulierte Informationen können in Systeme ausserhalb Ihrer Kontrolle gelangen – oft, ohne dass es jemand bemerkt.

Um dies zu verhindern, reichen reine Awareness-Kampagnen nicht aus. Unternehmen brauchen technische Kontrollen, die KI-Nutzung sichtbar machen, steuern und absichern. Genau hier kommen Secure Web Gateways (SWG) und Cloud Access Security Broker (CASB) ins Spiel.

Die Risiken von Shadow AI

Mitarbeitende fügen häufig Prompts, Quellcode, Finanzzahlen oder sogar Kundendaten in KI-Tools ein, um „schneller zum Ergebnis zu kommen“. Daraus ergeben sich konkrete Risiken:

  • Datenabfluss: Sensible Inhalte verlassen die Unternehmensgrenzen, wo Aufbewahrung, Löschung und Eigentum nicht mehr garantiert sind.
  • Compliance-Verstösse: Unkontrollierte KI-Nutzung kann gegen GDPR, HIPAA, PCI-DSS oder vertragliche Pflichten verstossen.
  • Modelltraining: Manche Tools nutzen eingegebene Daten zum Training ihrer Modelle –vertrauliche Informationen landen so in Systemen ausserhalb Ihrer Kontrolle.
  • Schattenkosten: Mitarbeitende schliessen eigenständig Abos für KI-SaaS-Dienste ab – das führt zu unkontrollierten Kosten und zersplittertem Vendor-Management.

Ohne Transparenz und Durchsetzung bleiben diese Risiken für die IT unsichtbar.

Shadow AI in Zahlen

  • Rund 50 % aller Mitarbeitenden geben zu, Shadow-AI-Tools bei der Arbeit zu verwenden –viele würden sogar weitermachen, selbst wenn es offiziell verboten wäre.
  • Der Datenfluss aus Unternehmen in KI-Tools ist im Jahresvergleich um fast 500 % gestiegen, und fast jeder dritte Upload enthält sensible Daten.
  • Unternehmen interagieren heute mit Hunderten verschiedener KI-Apps, doch weniger als 10 % haben Richtlinien eingeführt, um deren Nutzung zu steuern.

Diese Zahlen zeigen eindeutig: Shadow AI ist kein Nebeneffekt der digitalen Transformation. Es ist längst Teil des Arbeitsalltags, unabhängig davon, ob die IT es genehmigt oder nicht.

Warum ein SWG entscheidend ist

Ein Secure Web Gateway sitzt zwischen Nutzenden und dem Internet und analysiert den Web-Traffic in Echtzeit. Gegen Shadow AI bietet ein SWG:

  • Sichtbarkeit: Erkennen, welche KI-Tools Mitarbeitende nutzen, auch wenn sie nicht offiziell genehmigt sind.
  • Zugangskontrolle: Bestimmte KI-Domains blockieren oder erlauben, bzw. nur geprüfte Tools zulassen.
  • Granulare Richtlinien: Zugriff erlauben, aber Datei-Uploads oder grosse Datenübertragungen verhindern.
  • Bedrohungsschutz: Blockieren von Fake-KI-Seiten, die auf Datenklau oder Phishing ausgerichtet sind.

Das SWG bildet die erste Verteidigungslinie und sorgt dafür, dass nicht jede KI-Anwendung unkontrolliert erreichbar ist.

Warum ein CASB unverzichtbar ist

Ein Cloud Access Security Broker kontrolliert die Nutzung von SaaS-Diensten und ergänzt das SWG ideal. Für KI-Anwendungen bietet ein CASB:

  • Shadow-AI-Erkennung: Aufspüren von KI-SaaS-Apps, die ausserhalb des offiziellen Inventars genutzt werden.
  • Datenschutz: Einsatz von DLP (Data Loss Prevention), um zu verhindern, dass vertrauliche Daten (z. B. Quellcode, PII oder Verträge) in KI-Prompts gelangen.
  • Governance: Richtlinien durchsetzen wie „nur von der Firma freigegebene KI-Dienste zulassen“ oder „nur Lesezugriff erlauben“.
  • Compliance-Reporting: Nachweis, dass KI-Nutzung überwacht und kontrolliert wird – unverzichtbar für Audits.

Der CASB ist die Kontrollinstanz, die sicherstellt, dass Shadow AI unbemerkt Unternehmensrichtlinien nicht unbemerkt umgehen kann.

Ihr nächster Schritt mit Open Systems

Sicherheit braucht einen starken Partner.
Mit Open Systems an Ihrer Seite behalten Sie volle Kontrolle über KI-Nutzung und Compliance.
Lassen Sie uns gemeinsam Ihr Unternehmen schützen.