Von Schatten-IT zu Schatten-KI durch ChatGPT: Herausforderungen und Handlungsempfehlungen aus deutschen Unternehmen

Mit der Veröffentlichung von ChatGPT im November 2022 hat generative KI einen Sprung in die Breite gemacht: Ein frei zugängliches Tool, das Texte erstellt, Code prüft, Entwürfe beschleunigt und damit den Arbeitsalltag vieler Beschäftigter prägt [1]. In verschiedenen Studien zeigte sich mittlerweile, dass generative KI im Arbeitsalltag kaum noch wegzudenken ist [2] und dabei überwiegend positive Einflüsse auf die Effizienz hat, repetitive Aufgaben erleichtert und ein hilfreiches Tool ist, um komplexe Aufgaben zu unterstützen [3].

Auf der Kehrseite zeigen sich allerdings Risiken hinsichtlich Compliance: Werden interne Inhalte in öffentliche Dienste eingegeben, drohen Datenabflüsse, das zeigen prominente Fälle bei Samsung [4] oder der australischen Regierung [5]. Zugleich verschärfen rechtliche Rahmen wie die DSGVO und der EU-AI-Act die Anforderungen an Transparenz und Verantwortlichkeiten [6, 7]. Dies gilt insbesondere bei der Nutzung von KI-Diensten außereuropäischer Anbieter, da ein Großteil der marktreifen Lösungen derzeit aus den USA bzw. anderen Nicht-EU-Ländern stammt. Dieses Spannungsfeld verstärkt sich zusätzlich, wenn KI innerhalb sensibler Branchen wie zum Beispiel der Wirtschaftsprüfung eingesetzt wird [8]. Vor diesem Hintergrund stellt sich mittlerweile nicht mehr die Frage, ob Unternehmen KI wie ChatGPT nutzen, sondern mit welchen Ansätzen aus dem Management dies sicher, transparent und wertschöpfend gelingt [9].

Unter Schatten-IT werden IT-Systeme, -Prozesse oder -Dienste verstanden, die ohne Wissen oder Freigabe der zentralen IT eingeführt und genutzt werden, um akute Bedarfslücken zu schließen [10]. Das Spektrum reicht von kleinen Tabellenlösungen bis zu integrierten Systemen oder ungeprüft beschafften Cloud-Services [11]. Die zunehmende Verfügbarkeit benutzerfreundlicher Technologien erleichtert Mitarbeitenden die eigenständige Implementierung und Nutzung von IT-Lösungen. Das wird durch die steigende technische Kompetenz der Mitarbeitenden in den Abteilungen verstärkt [10]. Generative KI und vor allem ChatGPT reihen sich nahtlos in dieses Muster ein [13]: Sie sind sofort verfügbar, können ohne Implementierungsprojekt im Browser genutzt werden und liefern unmittelbaren Nutzen, was eine Nutzung außerhalb offizieller Prozesse begünstigt. Inhalte werden „mal eben“ übersetzt, Entwürfe generiert oder Code geprüft, meist ohne Datenklassifikation, Rechteprüfung oder Freigabe. Eine aktuelle Microsoft-Studie zeigt dahin gehend: 71 % der Beschäftigten nutzen nicht genehmigte KI-Tools im Job, 51 % sogar wöchentlich. Treiber sind Bequemlichkeit und Vertrautheit aus dem Privatgebrauch sowie fehlende freigegebene Alternativen im Unternehmen. Gleichzeitig unterschätzen viele das Risiko: Nur 32 % sorgen sich um den Datenschutz eingegebener Unternehmens‑/Kundendaten, 29 % um die IT-Sicherheit. Genau diese Mischung aus hoher Nutzung und geringer Risikowahrnehmung führt zu Schatten-IT [14]. Das ist per se nicht nur „schlecht“, sondern kann unter Mitarbeitenden Innovation anstoßen und Effizienzsteigerungen bringen [12]. Ohne Leitplanken entstehen jedoch handfeste Risiken in den Bereichen:

Gleichzeitig zeigen Erfahrungen aus der Praxis: Kontrollierte Schatten-IT kann Geschwindigkeit und Lernkurven erheblich verbessern, wenn die Governance mitwächst [11]. Daher stützen wir uns im Folgenden auf acht Interviews mit Experten und Expertinnen aus IT-Leitung, Informationssicherheit und Datenschutz, die bereits Erfahrungen mit der Einführung generativer KI in Unternehmen gemacht haben. Ziel ist die Ableitung praxisnaher Muster: Welche Risiken treten tatsächlich auf, welche Gegenmaßnahmen bewähren sich, und wie lassen sich Leitplanken so gestalten, dass Produktivität steigt und Schatteneffekte sinken. Die Interviews wurden entlang eines einheitlichen Leitfadens geführt, thematisch codiert und zu umsetzbaren Handlungsempfehlungen aggregiert. Dieses Vorgehen liefert eine kompakte, anwendungsorientierte Basis für die nachfolgenden Ergebnisse.

Mit Handlungsempfehlungen und Vorgehensmustern aus der Praxis (Abb. 1) kann generative KI so genutzt werden, dass der Mensch im Zentrum bleibt und Schatten-KI gar nicht erst entsteht. Partizipatives Arbeiten mit Schulungen, Feedbackschleifen und klaren Leitplanken fördert Akzeptanz und Kompetenz im Alltag. Aktuelle Bitkom-Zahlen aus Deutschland unterstreichen die Notwendigkeit dieser Handlungsempfehlungen vor allem für kleinere Unternehmen: Nur 23 % der befragten Unternehmen mit unter 100 Mitarbeitenden haben bisher einen eigenen Zugang zu generativer KI bereitgestellt, bei Unternehmen mit über 500 Mitarbeitenden bereits 43 %. Gleichzeitig haben im Durchschnitt nur 23 % Regeln für den KI-Einsatz festgelegt [15]. Fachbereiche und IT sollten demnach eine ganzheitliche KI-Strategie verfolgen und die Einführung von (generativer) KI gemeinsam priorisieren, statt sie isoliert zu betrachten [8, 9]. Dabei sollten unter anderem Regeln verständlich gemacht, Rollen und Rechte sowie Reviews sauber verankert werden, um Risiken zur Schatten-KI früh abzufedern. So wächst Vertrauen, die Produktivität steigt messbar und generative KI wird vom Risikohebel zum Produktivitätshebel.

Bild vergrößern