Shadow AI

Shadow AI bezeichnet die Nutzung von KI-Werkzeugen außerhalb der freigegebenen Wege: private Konten für dienstliche Aufgaben, nicht geprüfte Erweiterungen im Browser, eigene Anbindungen ohne Abstimmung. Der Ausdruck folgt dem älteren Begriff der Schatten-IT.

Der Anlass ist meist kein böser Wille

Genutzt wird, was hilft und schnell verfügbar ist. Entsteht eine Lücke zwischen dem, was gebraucht wird, und dem, was freigegeben ist, füllt sie sich von selbst. Genau deshalb ist ein zügiger Freigabeweg Teil der Risikosteuerung, nicht deren Gegenteil. NIST: AI Risk Management Framework

Das Risiko liegt in den Bedingungen der genutzten Dienste: Ob Eingaben gespeichert werden, wie lange und ob sie für Training verwendet werden, unterscheidet sich zwischen privaten Zugängen und Unternehmensverträgen erheblich. Anthropic: API and data retention

So kannst du dir das vorstellen

Mitarbeiter, die Akten mit nach Hause nehmen, weil der Drucker im Büro kaputt ist. Das Verhalten ist verständlich und das Risiko trotzdem real. Das Bild erklärt den Entstehungsgrund, es entschuldigt nichts.

Was es in der Praxis bedeutet

Wirksam sind drei Dinge: ein freigegebenes Werkzeug, das gut genug ist, ein einfacher Weg, neue Anwendungsfälle prüfen zu lassen, und eine klare, kurze Regel, welche Daten nirgends hineingehören.

Verbote allein verschieben das Problem nur in die Unsichtbarkeit. Nützlich ist außerdem, regelmäßig zu fragen, wofür Leute KI benutzen; die Antworten zeigen, welche Freigabe als Nächstes fehlt.

Wo es verwechselt wird

Schatten-Nutzung ist kein Sicherheitsvorfall an sich, sondern ein Zustand ohne Übersicht. Und sie ist kein reines Technikproblem: Sie entsteht aus dem Abstand zwischen Bedarf und Angebot.

Verwandte Begriffe

AI Governance, EU AI Act, Data Retention, No-Training Policy, Data Residency, Responsible AI.