Schatten-KI und Datenschutz

Worauf Unternehmen achten sollten

Schatten-KI (Shadow AI) entsteht, wenn Mitarbeitende unautorisiert KI-Tools für Aufgaben nutzen – meist aus Effizienzdruck, Unwissenheit oder fehlenden offiziellen Angeboten. Dabei ergeben sich für Unternehmen und Organisationen unterschiedliche Risiken, auf welche wir an dieser Stelle eingehen wollen.

Was ist Schatten-KI?

Die Künstliche Intelligenz (KI) wird in vielen Unternehmen und Organisationen bereits genutzt. Wer aber eine Nutzung nicht klar regelt oder unter Umständen nicht erlaubt, aber keine klaren Regeln gegen Schatten-KI schafft, der geht die Gefahr ein, dass KI unbemerkt genutzt wird.

Von einer Schatten-KI spricht man vor allem dann, wenn eine KI fernab von der IT-Landschaft, also auch entsprechend abweichend von den IT-Sicherheitseinstellungen, vor allem auf anderen Geräten genutzt wird.

Ein Beispiel kann sein, dass in einem Unternehmen keine KI genutzt werden darf, ein Mitarbeiter daher die KI auf seinem privaten Endgerät oder den privaten Zugang auf einem Dienstgerät nutzt. Die KI-Anwendungen können daher nicht durch die Sicherheitsvorkehrungen geprüft werden oder es könnten sensible Informationen (zum Beispiel personenbezogene Daten) in private oder öffentliche Accounts geraten.

BLOG-TIPP: BETROFFENE IM DATENSCHUTZ AUSREICHEND UND DS-GVO-KONFORM INFORMIEREN

Schatten-KI als Datenschutzrisiko für Unternehmen

Künstliche Intelligenz wird in Unternehmen und Organisationen zunehmend eingesetzt, etwa zum Erstellen und Zusammenfassen von Texten, zur Übersetzung oder zur Analyse von Dokumenten. Häufig werden dafür jedoch auch Anwendungen genutzt, die nicht offiziell freigegeben oder geprüft wurden. Diese unkontrollierte Nutzung wird als Schatten-KI oder „Shadow AI“ bezeichnet.

Schatten-KI entsteht meist, weil Mitarbeitende Arbeitsabläufe vereinfachen möchten, passende Unternehmenslösungen fehlen oder klare interne Vorgaben nicht vorhanden sind. Problematisch wird die Nutzung insbesondere dann, wenn personenbezogene oder vertrauliche Informationen in externe KI-Dienste eingegeben werden.

Werden solche Daten an einen KI-Anbieter übermittelt, ist häufig unklar, zu welchem Zweck sie verarbeitet werden, wie lange sie gespeichert bleiben und ob sie zum Training von Modellen verwendet werden. Ebenso kann offenbleiben, in welchen Ländern die Verarbeitung stattfindet und welche weiteren Dienstleister beteiligt sind. Damit können datenschutzrechtliche Anforderungen verletzt werden. Nach der Datenschutz-Grundverordnung (DS-GVO) müssen personenbezogene Daten unter anderem rechtmäßig, zweckgebunden und auf das notwendige Maß beschränkt verarbeitet werden. Außerdem müssen Unternehmen nachweisen können, dass sie diese Anforderungen einhalten.

AV-Verträge können notwendig sein

Je nach Einsatz kann zusätzlich ein Auftragsverarbeitungsvertrag erforderlich sein. Vor der Nutzung eines KI-Tools sollten deshalb unter anderem die Vertragsbedingungen, Speicherfristen, Löschmöglichkeiten, technischen und organisatorischen Maßnahmen (TOM) sowie mögliche Datenübermittlungen in Drittländer geprüft werden. Bei nicht freigegebenen oder privat genutzten Konten fehlen diese Prüfungen häufig. Auch die Rechte betroffener Personen, etwa auf Auskunft oder Löschung, können dadurch nur schwer umgesetzt werden.

Die Risiken von Schatten-KI beschränken sich jedoch nicht auf den Datenschutz. Durch die Eingabe vertraulicher Informationen kann die Kontrolle über Geschäftsgeheimnisse, Quellcode, Finanzdaten oder interne Strategien verloren gehen. Zusätzlich können KI-Systeme fehlerhafte oder frei erfundene Inhalte erzeugen.

BLOG-TIPP: DATENSCHUTZ STRUKTURIERT, EFFIZIENT UND ZUKUNFTSSICHER ORGANISIEREN

KI-VO/AI Act beachten

Auch der EU AI Act ist in diesem Zusammenhang relevant. Er stellt abhängig vom jeweiligen Einsatzbereich weitere Anforderungen an Anbieter und Betreiber von KI-Systemen. Dazu gehört auch die Pflicht, für eine ausreichende KI-Kompetenz der beteiligten Personen zu sorgen. Mitarbeitende sollten daher wissen, welche Daten verarbeitet werden dürfen, wie KI-Ergebnisse zu prüfen sind und wann eine Freigabe oder Datenschutzbewertung erforderlich ist.

KI-Richtlinie als Sicherheitsnetz

Eine KI-Richtlinie kann beispielsweise bestimmen, welche Tools freigegeben sind, welche Informationen nicht eingegeben werden dürfen, wann eine Datenschutzprüfung erforderlich ist und wie Ergebnisse kontrolliert werden müssen.

Ebenso wichtig ist es, sichere Alternativen bereitzustellen. Zentral verwaltete Unternehmenskonten, geprüfte Anbieter und datenschutzfreundliche Einstellungen können dazu beitragen, die Nutzung besser zu kontrollieren. Regelmäßige Schulungen sollten den Mitarbeitenden außerdem anhand konkreter Beispiele vermitteln, wie personenbezogene Daten, Geschäftsgeheimnisse und Zugangsinformationen geschützt werden.

BLOG-TIPP: DATENSCHUTZ IN UNTERNEHMEN: PERSONENBEZOGENE DATEN IN DEN USA

Vorgaben zur sicheren Nutzung von KI festlegen

Schatten-KI lässt sich in der Regel nicht allein durch Verbote verhindern. Nachhaltiger ist es, die bestehende Nutzung sichtbar zu machen, Risiken zu bewerten, verbindliche Vorgaben zu schaffen und geeignete Lösungen bereitzustellen. So können die Vorteile Künstlicher Intelligenz genutzt werden, ohne Datenschutz und Informationssicherheit aus dem Blick zu verlieren.

Das Team von Datenschutzberater.NRW bietet Organisationen unterschiedlicher Art Beratung im Datenschutz an. Mit unseren Fachleuten aus dem Bereich Datenschutz, IT und Steuerrecht erstellen wir Ihnen gerne ein individuelles Angebot für eine Datenschutz-Erstberatung, die Betreuung durch einen externen Datenschutzbeauftragten und entwickeln ein für Sie passendes Konzept. Nehmen Sie einfach Kontakt zu uns auf.

Wir betreuen Mandanten bundesweit. Lesen Sie mehr zu unserem individuellen Angebot. Dieser Artikel dient zur allgemeinen Erstinformation, ersetzt keine fachliche und individuelle Beratung und erhebt keinen Anspruch auf Vollständigkeit. Wenn Sie sich unsicher sind, ob Sie den Datenschutz ausreichend umsetzen, dann lassen Sie sich von uns professionell beraten.