Last updated:
Die unautorisierte Verwendung von KI-Modellen, -Agenten oder -Werkzeugen durch Mitarbeiter ohne Genehmigung der IT-Abteilung schafft verdeckte Sicherheitslücken durch Datenleckagen und unbefugte autonome Aktionen.
Shadow AI stellt eine bedeutende Weiterentwicklung von „Shadow IT“ dar. Während sich traditionelles Shadow IT auf nicht genehmigte SaaS-Anwendungen bezog (wodurch Datensilos entstanden), bringt Shadow AI aktive Risiken mit sich: das Abfließen proprietärer Daten in öffentliche Trainingsdatensätze von Modellen sowie die Bereitstellung autonomer Agenten, die Aktionen außerhalb der Unternehmens-Governance ausführen. Ein wirksames Management erfordert Erkennung auf Netzwerkebene (Überwachung des API-Datenverkehrs zu bekannten KI-Anbietern), Schulung der Mitarbeitenden sowie die Bereitstellung genehmigter, sicherer Alternativen anstelle pauschaler Blockierung.
Real world example:
Ein Softwareentwicklungsteam nutzt einen kostenlosen, öffentlich zugänglichen Coding-Assistenten, um einen proprietären Algorithmus zu debuggen. Dabei fügt es sensiblen Quellcode in das Prompt-Fenster ein, ohne zu wissen, dass die Nutzungsbedingungen des Tools dem Anbieter erlauben, Eingaben für das Modelltraining zu verwenden. Der proprietäre Code wird in das öffentliche Modell aufgenommen, wodurch Wettbewerber den Algorithmus potenziell reproduzieren könnten oder Sicherheitslücken einer breiteren Öffentlichkeit offengelegt werden.
