NTT DATA: Fünf Maßnahmen gegen Schatten-KI in Unternehmen
NTT DATA empfiehlt Unternehmen fünf Maßnahmen, um die unkontrollierte Nutzung von KI-Anwendungen durch Mitarbeitende einzudämmen und einen sicheren Einsatz zu ermöglichen. Schatten-KI entsteht, wenn Beschäftigte KI-Werkzeuge ohne Abstimmung mit IT und Sicherheitsverantwortlichen verwenden. Dadurch können vertrauliche Informationen, Kundendaten oder internes geistiges Eigentum in nicht freigegebene Systeme gelangen. Neben möglichen Datenschutz- und Compliance-Verstößen entstehen Risiken durch unkontrollierte Datenflüsse. Der IT-Dienstleister setzt deshalb auf technische Überwachung, freigegebene Alternativen, zielgerichtete Schulungen, den Schutz sensibler Daten und klare Nutzungsregeln.
1. KI-Nutzung sichtbar machen
Unternehmen müssen zunächst erkennen können, welche KI-Dienste in ihrer Organisation verwendet werden. Ohne entsprechende Transparenz lassen sich unautorisierte Anwendungen kaum gezielt steuern. NTT DATA empfiehlt, bestehende Sicherheitsinfrastrukturen wie Secure Access Service Edge (SASE) und Cloud-Security-Gateways um die Erkennung von KI-Datenverkehr zu erweitern. Auf diese Weise können Unternehmen die Nutzung von KI-Anwendungen besser nachvollziehen, ohne zwingend eine vollständig neue Sicherheitsarchitektur einführen zu müssen.
2. Freigegebene KI-Alternativen bereitstellen
Ein vollständiges Verbot von KI-Werkzeugen kann dazu führen, dass Mitarbeitende auf nicht genehmigte Angebote ausweichen. Stattdessen sollten Unternehmen mindestens eine datenschutzkonforme, intern freigegebene KI-Plattform zur Verfügung stellen. Entscheidend ist, dass die Lösung zu den Anforderungen der Organisation passt und von der IT betreut werden kann. Klare Vorgaben zur Nutzung und zum Umgang mit Unternehmensdaten ergänzen das Angebot.
3. Schulungen an den Arbeitsalltag anpassen
Allgemeine Awareness-Schulungen reichen nach Einschätzung von NTT DATA häufig nicht aus, um konkrete Risiken dauerhaft zu vermitteln. Die Beispiele sollten sich an den Aufgaben der jeweiligen Beschäftigten orientieren. Im Vertrieb stehen beispielsweise andere Daten im Mittelpunkt als in der Buchhaltung. Mitarbeitende müssen nachvollziehen können, welche Folgen es haben kann, wenn interne Kalkulationen, Kundeninformationen oder andere vertrauliche Inhalte in öffentliche KI-Dienste eingegeben werden.
4. Sensible Informationen technisch schützen
Technische Schutzmaßnahmen können verhindern, dass vertrauliche Angaben unkontrolliert an externe KI-Dienste übertragen werden. NTT DATA nennt als Beispiel die automatische Ersetzung von Firmen- und Kundennamen durch Platzhalter wie „Firma A“ oder „Kunde B“. Nach der Verarbeitung können die ursprünglichen Angaben wieder eingesetzt werden. Ein solcher Ansatz kann die Nutzung von KI erleichtern, setzt jedoch eine geeignete technische Umsetzung voraus. Zudem müssen Unternehmen prüfen, welche weiteren Informationen geschützt werden müssen und ob die eingesetzten Verfahren für den jeweiligen Anwendungsfall ausreichen.
5. Verbindliche Regeln für die KI-Nutzung festlegen
Technische Kontrollen und Schulungen benötigen klare organisatorische Vorgaben. Unternehmen sollten deshalb definieren, welche KI-Werkzeuge zugelassen sind, welche Daten eingegeben werden dürfen und welche Inhalte grundsätzlich geschützt bleiben müssen. Ebenso wichtig sind Zuständigkeiten für Freigaben, Kontrollen und die regelmäßige Überprüfung der Regeln. So erhalten Mitarbeitende Orientierung und Sicherheitsverantwortliche eine Grundlage, um die KI-Nutzung systematisch zu steuern.
Governance als Teil der KI-Sicherheitsstrategie
Patrick Schraut, Managing Director Cybersecurity DACH bei NTT DATA, sieht Schatten-KI nicht allein als technisches Problem. Mitarbeitende suchten häufig nach einfachen Lösungen für ihre Aufgaben und handelten dabei nicht unbedingt in der Absicht, Sicherheitsregeln zu umgehen. Unternehmen müssten daher technische Schutzmaßnahmen mit verständlichen Vorgaben und praktikablen Alternativen verbinden.
Als Beleg für die Risiken verweist NTT DATA auf den Data Breach Investigation Report 2026. Demnach gehört Quellcode zu den Datentypen, die besonders häufig unautorisiert in unkontrollierte KI-Systeme hochgeladen werden. Da Quellcode einen unmittelbaren wirtschaftlichen und wettbewerblichen Wert haben kann, ist sein Schutz für Unternehmen besonders relevant.
Weitere Informationen zu den Sicherheitsleistungen und Beratungsangeboten bietet NTT DATA.
