KI-generierte Illustration.
Ein Mitarbeiter lässt sich mit einem kostenlosen KI-Tool eine E-Mail formulieren. Eine Kollegin lädt ein Dokument hoch, um es zusammenzufassen. Im Vertrieb wird eine andere KI verwendet, um Kundennachrichten schneller auszuwerten. Die Geschäftsführung hat keines dieser Werkzeuge offiziell eingeführt. Shadow AI entsteht, wenn Mitarbeiter KI für betriebliche Aufgaben nutzen, ohne dass Auswahl, Datenverarbeitung und Einsatzregeln des Unternehmens ausreichend geklärt sind. Ein pauschales Verbot löst den zugrunde liegenden Arbeitsbedarf jedoch nicht automatisch. Unternehmen brauchen eine praktikable Alternative.
1. Was ist Shadow AI?
Shadow AI beschreibt die betriebliche Nutzung von KI-Anwendungen außerhalb der vorgesehenen oder freigegebenen Unternehmensprozesse.
Das kann beispielsweise passieren, wenn Mitarbeiter:
- einen privaten oder kostenlosen KI-Account für Arbeitsaufgaben verwenden,
- Unternehmensdokumente in einen nicht geprüften KI-Dienst hochladen,
- einen Browserdienst für Kundendaten oder interne Informationen einsetzen,
- KI-generierte Inhalte ohne vorgesehene Kontrolle weiterverwenden,
- neue KI-Tools selbstständig mit anderen Geschäftsanwendungen verbinden.
Dabei handelt es sich nicht zwangsläufig um bewusstes Fehlverhalten.
Ein Mitarbeiter möchte möglicherweise nur eine zeitaufwendige Aufgabe schneller erledigen.
Das eigentliche Problem entsteht, wenn das Unternehmen nicht weiß:
- welche Anwendungen eingesetzt werden,
- welche Daten dort verarbeitet werden,
- welche Ergebnisse anschließend in Geschäftsprozesse einfließen,
- welche Anbieter Zugriff auf Informationen erhalten.
Shadow AI bedeutet deshalb nicht einfach „Mitarbeiter benutzen ChatGPT“. Entscheidend ist die fehlende organisatorische und technische Kontrolle über einen betrieblichen KI-Einsatz.
2. Warum entsteht Shadow AI?
Generative KI ist für Mitarbeiter ungewöhnlich leicht zugänglich.
Für viele Anwendungen genügt ein Browser und ein persönlicher Account.
Dadurch kann sich die Nutzung schneller verbreiten als ein klassisches Unternehmenssystem, das zunächst beschafft, eingerichtet und geschult werden muss.
Mitarbeiter sehen einen unmittelbaren Nutzen
Typische Aufgaben sind beispielsweise:
- E-Mails formulieren,
- lange Dokumente zusammenfassen,
- Tabellen erklären,
- Texte übersetzen,
- Ideen strukturieren,
- Präsentationen vorbereiten,
- Informationen recherchieren.
Wenn ein Werkzeug diese Aufgaben sichtbar erleichtert, beginnen Mitarbeiter möglicherweise damit, bevor das Unternehmen eine offizielle KI-Strategie entwickelt hat.
Offizielle Alternativen fehlen
Ein Verbot ist besonders schwer durchsetzbar, wenn Mitarbeiter gleichzeitig einen offensichtlichen Arbeitsbedarf haben und keine geeignete Alternative erhalten.
Deshalb sollte die Frage nicht nur lauten:
„Welche nicht erlaubten Tools werden verwendet?“
Sondern auch:
„Welche Aufgabe versuchen Mitarbeiter damit zu lösen?“
Diese Information kann helfen, sinnvolle offizielle Anwendungsfälle zu priorisieren.
Regeln sind zu allgemein
Eine Anweisung wie „Keine vertraulichen Daten in KI eingeben“ klingt zunächst verständlich.
Im Arbeitsalltag entstehen jedoch schnell Fragen:
- Ist ein Angebot vertraulich?
- Darf eine interne Prozessbeschreibung hochgeladen werden?
- Was gilt für Kundennamen?
- Darf eine E-Mail ohne Namen verarbeitet werden?
- Was ist mit Quellcode?
- Darf ein öffentlich verfügbares Dokument verwendet werden?
Wenn Mitarbeiter diese Fragen selbst interpretieren müssen, bleibt die Regel unscharf.
3. Welche Risiken entstehen durch Shadow AI?
Die Risiken hängen davon ab, welches Werkzeug für welche Aufgabe verwendet wird.
Nicht jede inoffizielle KI-Nutzung hat dieselbe Bedeutung.
| Bereich | Beispiel | Zu klärende Frage |
|---|---|---|
| Datenschutz | Personenbezogene Daten werden in einen externen KI-Dienst eingegeben. | Ist diese Verarbeitung für den konkreten Zweck zulässig und angemessen organisiert? |
| Vertraulichkeit | Interne Angebote, Kalkulationen oder Dokumente werden hochgeladen. | Darf der externe Anbieter diese Informationen erhalten? |
| Falsche Inhalte | Ein KI-generierter Text enthält eine unbelegte Aussage. | Wer prüft das Ergebnis vor der Verwendung? |
| Zugriffsrechte | Ein KI-Tool wird eigenständig mit Unternehmenssoftware verbunden. | Welche Daten und Aktionen werden dadurch erreichbar? |
| Urheber- und Nutzungsrechte | KI-Inhalte oder fremde Materialien werden für Veröffentlichungen verwendet. | Sind Herkunft und zulässige Nutzung ausreichend geklärt? |
| Nachvollziehbarkeit | Eine Entscheidung basiert auf KI-Ausgabe, ohne dass dies dokumentiert ist. | Ist später nachvollziehbar, wie das Ergebnis entstanden ist? |
Nicht jedes Risiko entsteht durch das KI-Modell selbst
Ein Problem kann auch daraus entstehen, dass ein Mitarbeiter ein ungeeignetes Konto, eine nicht geprüfte Erweiterung oder eine Verbindung zu anderen Systemen verwendet.
Deshalb sollte die Prüfung nicht nur auf den Namen des KI-Modells schauen.
Relevant ist die gesamte eingesetzte Anwendung einschließlich Anbieter, Konto, Einstellungen, Datenflüsse und Integrationen.
Auch überzeugende Antworten können falsch sein
Generative KI kann Aussagen erzeugen, die sprachlich plausibel wirken, aber nicht ausreichend belegt sind.
Besonders problematisch wird das, wenn solche Ergebnisse ungeprüft in Kundenkommunikation oder geschäftliche Entscheidungen einfließen.
Wie Unternehmen entsprechende Antwortgrenzen aufbauen können, erläutert unser Beitrag KI-Halluzinationen im Unternehmen: Wie verhindern Sie falsche Antworten an Kunden?.
4. Wie finden Unternehmen heraus, welche KI bereits genutzt wird?
Bevor Regeln geschrieben werden, sollte das Unternehmen verstehen, wie Mitarbeiter KI heute tatsächlich einsetzen.
Eine einfache Bestandsaufnahme kann wesentlich hilfreicher sein als ein sofortiges Verbot.
Nach Aufgaben fragen, nicht nur nach Tools
Fragen Sie beispielsweise:
- Für welche wiederkehrenden Aufgaben verwenden Sie bereits KI?
- Welche Werkzeuge nutzen Sie dafür?
- Welche Informationen geben Sie ein?
- Welche Ergebnisse verwenden Sie anschließend weiter?
- Was funktioniert damit besser als vorher?
- Bei welchen Aufgaben sind Sie unsicher, ob KI verwendet werden darf?
Diese Fragen helfen, reale Anwendungsfälle sichtbar zu machen.
Nutzung nicht automatisch mit einem Sicherheitsvorfall gleichsetzen
Wenn Mitarbeiter offen über bisherige Nutzung sprechen sollen, sollte eine Bestandsaufnahme nicht ausschließlich als Fehlersuche kommuniziert werden.
Sonst besteht das Risiko, dass gerade die relevanten Anwendungsfälle unsichtbar bleiben.
Das Ziel ist zunächst:
Welche KI-Nutzung existiert, welchen Nutzen sehen Mitarbeiter darin und wo entstehen tatsächliche Risiken?
Ergebnisse nach Anwendungsfällen gruppieren
Eine praktische Übersicht kann beispielsweise so aussehen:
| Anwendungsfall | Verwendete Daten | Weiterverwendung | Nächste Prüfung |
|---|---|---|---|
| Allgemeine Textentwürfe | Keine internen Informationen erforderlich | Mitarbeiter prüft und bearbeitet den Entwurf | Geeignetes freigegebenes Werkzeug bestimmen |
| Kundennachrichten zusammenfassen | Personenbezogene und geschäftliche Informationen möglich | Ergebnis fließt in Kundenbearbeitung ein | Datenschutz und geeignete Unternehmenslösung prüfen |
| Interne Dokumente analysieren | Möglicherweise vertrauliche Informationen | Interne Entscheidung oder Weiterverarbeitung | Zulässige Daten und Tool-Konfiguration klären |
| Öffentliche Informationen strukturieren | Öffentlich verfügbare Inhalte | Recherche oder Arbeitsvorbereitung | Qualitätskontrolle und Quellenprüfung definieren |
Aus dieser Übersicht lässt sich wesentlich besser ableiten, welche Lösungen und Regeln tatsächlich benötigt werden.
5. Was gehört in eine praktische KI-Richtlinie?
Eine KI-Richtlinie muss nicht aus einem langen juristischen Dokument bestehen, das im Arbeitsalltag niemand verwendet.
Sie sollte vor allem konkrete Fragen beantworten.
Welche KI-Werkzeuge sind freigegeben?
Mitarbeiter sollten wissen, welche Anwendungen für betriebliche Aufgaben verwendet werden dürfen.
Dabei kann es unterschiedliche Freigaben für unterschiedliche Anwendungsfälle geben.
Welche Daten dürfen verarbeitet werden?
Die Richtlinie sollte nicht nur abstrakt von „sensiblen Daten“ sprechen.
Hilfreicher sind konkrete Beispiele aus dem Unternehmen.
Welche Aufgaben sind erlaubt?
Beispielsweise kann KI für einen ersten Textentwurf zugelassen sein, während verbindliche Kundenangebote oder Vertragsänderungen weiterhin eine festgelegte menschliche Prüfung benötigen.
Welche Ergebnisse müssen kontrolliert werden?
Nicht jede KI-Ausgabe hat dieselben Folgen.
Eine interne Ideensammlung benötigt möglicherweise eine andere Kontrolle als eine technische Kundeninformation.
Was tun bei Unsicherheit?
Mitarbeiter benötigen eine erreichbare Stelle oder einen definierten Prozess, wenn ein neuer Anwendungsfall nicht durch bestehende Regeln abgedeckt ist.
Wie werden neue Tools freigegeben?
Wenn Mitarbeiter ein nützliches neues KI-Werkzeug entdecken, sollte es einen einfachen Weg geben, dieses prüfen zu lassen.
Sonst erzeugt eine zu langsame Freigabe selbst einen Anreiz für Shadow AI.
6. Welche Daten dürfen in welche KI-Anwendung?
Ein praktikables Modell kann darin bestehen, Unternehmensinformationen nach ihrem Schutzbedarf zu unterscheiden.
Die konkreten Kategorien müssen zum Unternehmen passen.
Eine vereinfachte Struktur könnte beispielsweise so aussehen:
| Datenart | Beispiele | Möglicher Umgang |
|---|---|---|
| Öffentlich | Veröffentlichte Website-Texte oder öffentlich verfügbare Produktinformationen | Kann je nach Aufgabe auch für weniger kritische KI-Anwendungen geeignet sein |
| Intern | Interne Arbeitsunterlagen ohne besonderen Schutzbedarf | Nur in dafür freigegebenen Unternehmenslösungen verwenden |
| Vertraulich | Kalkulationen, unveröffentlichte Strategien oder Vertragsinformationen | Nur nach ausdrücklich geklärter Tool- und Prozessfreigabe |
| Personenbezogen oder besonders schutzbedürftig | Kunden-, Mitarbeiter- oder andere personenbezogene Informationen | Konkrete Datenschutz- und Sicherheitsanforderungen vor der Verarbeitung prüfen |
Diese Tabelle ist keine universelle rechtliche Klassifizierung.
Sie zeigt eine organisatorische Methode, um Mitarbeitern verständlichere Entscheidungen zu ermöglichen.
Anonymisieren ist nicht einfach „Namen entfernen“
Ein Datensatz kann trotz gelöschtem Namen weiterhin einer Person zuordenbar sein.
Deshalb sollte der Begriff „anonym“ nicht verwendet werden, nur weil offensichtliche Identifikatoren entfernt wurden.
Wenn eine sichere Anonymisierung nicht gewährleistet ist, sollte die Information weiterhin entsprechend ihrem tatsächlichen Schutzbedarf behandelt werden.
So wenig Daten wie nötig
Auch bei einem freigegebenen Tool sollte ein Mitarbeiter nicht automatisch ein vollständiges Dokument hochladen, wenn für die Aufgabe nur ein kleiner Ausschnitt erforderlich ist.
Datenminimierung bleibt auch innerhalb einer genehmigten KI-Nutzung sinnvoll.
7. Wie sollten Unternehmen KI-Tools auswählen und freigeben?
Eine Tool-Prüfung sollte sich nicht allein auf die Frage beschränken, welches Sprachmodell verwendet wird.
Relevant ist die konkrete Anwendung.
Unter anderem sollten Unternehmen prüfen:
- Wer ist der Anbieter und Vertragspartner?
- Welche Daten verarbeitet die Anwendung?
- Wo und zu welchem Zweck werden Eingaben gespeichert?
- Werden Eingaben oder Ausgaben für die Weiterentwicklung von Modellen verwendet?
- Welche Einstellungen können Unternehmen kontrollieren?
- Welche Nutzer- und Berechtigungskonzepte existieren?
- Können Daten exportiert oder gelöscht werden?
- Welche externen Unterauftragnehmer oder Dienste sind beteiligt?
- Welche Integrationen und Zugriffe kann das Tool erhalten?
Die Datenschutzkonferenz empfiehlt Unternehmen bei der Auswahl und Nutzung von KI-Anwendungen ebenfalls, den konkreten Verarbeitungsprozess, Rechtsgrundlagen, Datenminimierung und die beteiligten Anbieter zu prüfen. Weitere Hinweise bietet die Orientierungshilfe der Datenschutzkonferenz zu KI und Datenschutz.
Je nach Verarbeitung sind außerdem eine Vereinbarung zur Auftragsverarbeitung, mögliche Drittlandübermittlungen und die Notwendigkeit einer Datenschutz-Folgenabschätzung zu prüfen. Binden Sie betriebliche Datenschutzbeauftragte und gegebenenfalls die Beschäftigtenvertretung frühzeitig ein.
Kostenlose und Enterprise-Versionen nicht gleichsetzen
Dass zwei Anwendungen denselben Modellnamen verwenden, bedeutet nicht automatisch, dass Datenverarbeitung, Vertragsbedingungen und Administrationsmöglichkeiten identisch sind.
Deshalb sollte das Unternehmen die tatsächlich eingesetzte Produkt- und Kontoart prüfen.
Integrationen separat bewerten
Ein zunächst harmlos wirkender KI-Chat kann durch eine Verbindung zu E-Mail, CRM oder Dateien deutlich weiterreichende Zugriffe erhalten.
Wie solche Berechtigungen begrenzt werden sollten, erläutert unser Beitrag KI-Agenten im Unternehmen: Welche Berechtigungen brauchen sie wirklich?.
8. Welche KI-Kompetenz brauchen Mitarbeiter?
Technische Freigaben allein reichen nicht aus.
Mitarbeiter müssen verstehen, wie die zugelassenen KI-Systeme im jeweiligen Arbeitskontext sinnvoll eingesetzt werden.
Der aktuell geltende Art. 4 des AI Act verpflichtet Anbieter und Betreiber von KI-Systemen dazu, Maßnahmen zur Unterstützung der Entwicklung von KI-Kompetenz ihrer Mitarbeiter und anderer Personen zu ergreifen, die in ihrem Auftrag mit KI-Systemen arbeiten. Dabei sollen unter anderem Kenntnisse, Erfahrung, Ausbildung sowie der konkrete Einsatzkontext berücksichtigt werden. Die Regel verlangt nicht, für jede einzelne Person ein bestimmtes Kompetenzniveau zu garantieren.
Eine einmalige allgemeine KI-Schulung reicht nicht für jeden Einsatz
Die Inhalte sollten zum tatsächlichen Anwendungsfall passen.
Ein Mitarbeiter, der KI ausschließlich für interne Textentwürfe nutzt, benötigt andere Kenntnisse als jemand, der mit einem KI-Agenten Kundendaten bearbeitet oder Aktionen in einem CRM auslösen kann.
Praktische Inhalte können beispielsweise sein:
- welche Tools im Unternehmen erlaubt sind,
- welche Daten verwendet werden dürfen,
- warum KI-Ausgaben falsch sein können,
- welche Ergebnisse überprüft werden müssen,
- wie Quellen kontrolliert werden,
- wann eine Aufgabe nicht für KI geeignet ist,
- wie neue Anwendungsfälle oder Unsicherheiten gemeldet werden.
Mit echten Arbeitssituationen trainieren
Besonders hilfreich sind Beispiele aus dem eigenen Unternehmen.
Statt nur abstrakt zu erklären, dass „vertrauliche Informationen geschützt werden müssen“, kann gezeigt werden:
- welche Teile eines realen Angebots verwendet werden dürfen,
- wie ein Kundentext für einen Test vorbereitet wird,
- wann ein KI-Ergebnis fachlich gegengeprüft werden muss,
- welche Anwendung für welche Aufgabe vorgesehen ist.
Damit wird KI-Kompetenz Teil des tatsächlichen Arbeitsprozesses statt eines einmaligen Compliance-Termins.
9. Wie kontrollieren Unternehmen KI-Regeln im Alltag?
Eine KI-Richtlinie ist nicht abgeschlossen, sobald sie veröffentlicht wurde.
Neue Anwendungen, Funktionen und Anwendungsfälle entstehen laufend.
Deshalb benötigt das Unternehmen einen einfachen Rückkopplungsprozess.
Regelmäßig nach neuen Anwendungsfällen fragen
Mitarbeiter sollten neue hilfreiche Einsatzmöglichkeiten melden können, ohne automatisch davon auszugehen, dass sie etwas Verbotenes getan haben.
Dadurch erhält das Unternehmen Informationen darüber, wo weiterer Bedarf entsteht.
Freigegebene Tools aktuell halten
Ein Anbieter kann Funktionen oder Vertragsbedingungen ändern.
Eine Anwendung, die bei der ersten Freigabe nur Texte verarbeitet hat, kann später neue Integrationen oder Agent-Funktionen anbieten.
Solche Änderungen können eine erneute Prüfung notwendig machen.
Fehler und Beinahe-Fehler auswerten
Wenn ein Mitarbeiter beispielsweise beinahe vertrauliche Daten in ein falsches Tool eingegeben hätte, ist die Frage nicht nur:
„Wer hat einen Fehler gemacht?“
Sondern auch:
War die Regel verständlich und stand für diese Aufgabe eine praktikable freigegebene Alternative zur Verfügung?
Nicht nur Verstöße messen
Ein guter Governance-Prozess sollte auch zeigen, welche freigegebenen KI-Anwendungen tatsächlich genutzt werden und welche Prozesse dadurch verbessert werden.
Sonst kann das Unternehmen Regeln aufbauen, ohne zu wissen, ob die offiziellen Lösungen den tatsächlichen Bedarf erfüllen.
10. Checkliste: Haben Sie Shadow AI im Unternehmen ausreichend im Griff?
- Bestandsaufnahme: Wissen wir, für welche Aufgaben Mitarbeiter bereits KI nutzen?
- Tools: Ist bekannt, welche KI-Anwendungen verwendet werden?
- Anwendungsfälle: Haben wir Nutzung nach tatsächlichen Arbeitsaufgaben gruppiert?
- Freigabe: Gibt es eine verständliche Liste zugelassener Werkzeuge?
- Daten: Wissen Mitarbeiter, welche Informationen in welchem Tool verarbeitet werden dürfen?
- Personenbezogene Daten: Sind relevante Datenschutzanforderungen für die freigegebenen Prozesse geprüft?
- Vertrauliche Informationen: Gibt es konkrete Regeln aus dem eigenen Arbeitsalltag?
- Kontrolle: Ist definiert, welche KI-Ergebnisse vor der Verwendung geprüft werden müssen?
- Verbindliche Entscheidungen: Ist klar, welche Aussagen oder Aktionen weiterhin eine verantwortliche Person benötigen?
- Integrationen: Werden zusätzliche Zugriffe auf CRM, E-Mail oder Dateien separat freigegeben?
- Neue Tools: Gibt es einen einfachen Prozess zur Prüfung neuer Anwendungen?
- KI-Kompetenz: Erhalten Mitarbeiter für ihren tatsächlichen Einsatzbereich geeignete Informationen und Schulungen?
- Unsicherheit: Wissen Mitarbeiter, an wen sie sich bei einem neuen oder unklaren KI-Anwendungsfall wenden können?
- Änderungen: Werden freigegebene Anwendungen bei wesentlichen neuen Funktionen erneut geprüft?
- Feedback: Können Mitarbeiter melden, wenn die offiziellen Lösungen ihre Arbeitsaufgabe nicht ausreichend unterstützen?
- Überprüfung: Werden Richtlinie, Tool-Liste und reale Nutzung regelmäßig miteinander abgeglichen?
Shadow AI wird nicht allein durch Verbote verschwinden
Mitarbeiter greifen auf KI zurück, weil sie darin einen praktischen Nutzen für ihre Arbeit sehen.
Wenn Unternehmen diese Nutzung ignorieren oder nur verbieten, verschwindet der Bedarf dahinter nicht automatisch.
Die bessere Ausgangslage entsteht, wenn reale Anwendungsfälle sichtbar gemacht, geeignete Werkzeuge geprüft und verständliche Grenzen geschaffen werden.
Dazu gehören Datenschutz und Informationssicherheit ebenso wie Qualität, Berechtigungen und KI-Kompetenz.
Das Ziel ist nicht, jede KI-Nutzung zentral zu kontrollieren. Das Ziel ist, Mitarbeitern einen klaren und praktikablen Rahmen zu geben, in dem nützliche KI-Anwendungen eingesetzt werden können, ohne dass wichtige Unternehmensrisiken unsichtbar bleiben.
Häufige Fragen zu Shadow AI im Unternehmen
Was bedeutet Shadow AI?
Shadow AI bezeichnet den betrieblichen Einsatz von KI-Anwendungen außerhalb der vorgesehenen oder freigegebenen Unternehmensprozesse. Dazu kann beispielsweise die Nutzung privater KI-Accounts für Arbeitsaufgaben oder das Hochladen betrieblicher Informationen in nicht geprüfte Dienste gehören.
Sollten Unternehmen ChatGPT und andere KI-Tools einfach verbieten?
Ein Verbot kann für bestimmte Werkzeuge oder Daten notwendig sein, löst aber nicht automatisch den zugrunde liegenden Arbeitsbedarf. Sinnvoll ist deshalb zusätzlich zu prüfen, für welche Aufgaben Mitarbeiter KI einsetzen möchten und welche freigegebenen Alternativen angeboten werden können.
Was gehört in eine KI-Richtlinie für Mitarbeiter?
Sie sollte insbesondere erklären, welche Tools zugelassen sind, welche Daten verwendet werden dürfen, welche Aufgaben für KI geeignet sind, welche Ergebnisse kontrolliert werden müssen und wie Mitarbeiter neue Anwendungen oder Unsicherheiten zur Prüfung melden können.
Dürfen Mitarbeiter personenbezogene Daten in KI eingeben?
Das lässt sich nicht pauschal beantworten. Entscheidend sind der konkrete Verarbeitungszweck, die Rechtsgrundlage, die eingesetzte Anwendung, Datenminimierung, beteiligte Anbieter und weitere Datenschutzanforderungen. Eine allgemeine Tool-Freigabe ersetzt diese Prüfung nicht.
Ist eine Enterprise-KI automatisch datenschutzkonform?
Nein. Enterprise-Funktionen können für Unternehmen wichtige Vertrags-, Administrations- und Sicherheitsmöglichkeiten bieten. Ob eine konkrete Verarbeitung datenschutzkonform ist, hängt jedoch vom tatsächlichen Einsatz, den verarbeiteten Daten, der Konfiguration und den beteiligten Parteien ab.
Müssen Unternehmen ihre Mitarbeiter zu KI schulen?
Der aktuelle Art. 4 AI Act verlangt von Anbietern und Betreibern von KI-Systemen Maßnahmen zur Unterstützung der Entwicklung von KI-Kompetenz der Personen, die in ihrem Auftrag mit diesen Systemen arbeiten. Umfang und Inhalte sollten unter anderem an Vorkenntnisse und den konkreten Einsatzkontext angepasst werden.
Wie findet man heraus, ob Mitarbeiter Shadow AI nutzen?
Eine praktische Möglichkeit ist eine Bestandsaufnahme nach Arbeitsaufgaben. Fragen Sie, für welche Tätigkeiten KI genutzt wird, welches Werkzeug eingesetzt wird, welche Daten verarbeitet werden und wie das Ergebnis weiterverwendet wird. Das liefert meist mehr verwertbare Informationen als nur eine Liste installierter Anwendungen.
Wie verhindert man, dass nach einer KI-Richtlinie neue Shadow AI entsteht?
Die Regeln sollten regelmäßig an neue Funktionen und reale Arbeitsbedürfnisse angepasst werden. Außerdem benötigen Mitarbeiter einen einfachen Weg, neue Tools und Anwendungsfälle prüfen zu lassen. Wenn die offizielle Lösung eine wichtige Aufgabe nicht unterstützt, sollte dieses Feedback in die Weiterentwicklung der KI-Governance einfließen.