Shadow AI: Wie Sie nicht autorisierte KI-Nutzung erkennen und steuern

Schatten-KI (Shadow AI) ist in jedem großen Unternehmen bereits Realität. Genau in diesem Moment kopiert irgendwo in Ihrem Unternehmen ein Mitarbeiter vertrauliche Vertragsklauseln in ChatGPT. Ein Produktmanager speist Kundendaten in ein KI-Zusammenfassungstool ein. Ein Finanzanalyst nutzt ein Copilot-Plugin, das von der IT-Abteilung weder genehmigt noch geschult wurde – und von dessen Existenz dort niemand weiß. All das ist kein hypothetisches Szenario. Eine Studie von Salesforce aus dem Jahr 2024 ergab, dass mehr als die Hälfte der Nutzer von generativer KI am Arbeitsplatz Tools einsetzen, die von ihrem Arbeitgeber nicht freigegeben wurden [1]. Manche Schätzungen gehen von einer weitaus höheren Dunkelziffer aus, da sich die nicht genehmigte Nutzung naturgemäß einer genauen Messung entzieht.

Dieses Phänomen – die Nutzung von KI-Tools durch Mitarbeiter außerhalb des Blickfelds von IT-, Sicherheits- und Compliance-Teams – hat einen Namen erhalten, der an ein bereits bekanntes Problem anlehnt: Schatten-KI. Doch während der Begriff an das vertraute Konzept der Schatten-IT erinnert, weisen die damit verbundenen Risiken eine völlig andere Qualität auf. Die regulatorischen Anforderungen sind ungleich höher, und das Zeitfenster für die Etablierung einer funktionierenden Governance schließt sich rasch.

Wie Schatten-KI in der Praxis aussieht

Die erste Herausforderung bei der Regulierung von Schatten-KI besteht darin, zu erkennen, wie allgegenwärtig und vielfältig sie mittlerweile ist. Die offensichtlichste Form ist die direkte Nutzung von KI-Diensten für Endverbraucher: ChatGPT, Google Gemini, Anthropic's Claude, Perplexity und Dutzende kleinerer Tools. Mitarbeiter registrieren sich mit privaten E-Mail-Adressen, nutzen kostenlose Tarife und verarbeiten innerhalb weniger Minuten geschäftliche Daten. Es wird kein Beschaffungsprozess angestoßen. Eine Sicherheitsprüfung findet nicht statt.

Die direkte Nutzung ist jedoch nur ein Teil des Problems. KI-Funktionen sind mittlerweile fest in Anwendungen integriert, für die Unternehmen ohnehin bereits bezahlen. Notion, Canva, Grammarly, Slack, Zoom, Microsoft 365 und Google Workspace bieten allesamt KI-Features, die sich automatisch oder mit einem einzigen Klick aktivieren lassen. Wenn ein Mitglied des Marketing-Teams den KI-Bildgenerator von Canva nutzt oder ein Vertriebsmitarbeiter bei einer Zoom-Besprechungsaufzeichnung auf „KI-Zusammenfassung“ klickt, greifen sie mit Unternehmensdaten auf KI-Modelle zu – oft ohne sich überhaupt bewusst zu sein, dass es sich hierbei um eine KI-Nutzung handelt.

Eine dritte Ebene betrifft Browser-Erweiterungen und Plugins. Im Chrome Web Store und auf ähnlichen Marktplätzen finden sich Tausende von KI-gestützten Erweiterungen für Texterstellung, E-Mail-Entwürfe, Datenextraktion und Codegenerierung. Diese Erweiterungen können Seiteninhalte lesen, Formulardaten abfangen und Informationen an externe Server übermitteln. Die meisten Unternehmen haben keinerlei Überblick darüber, welche Erweiterungen ihre Mitarbeiter installiert haben.

Das Ergebnis ist ein Unternehmen, in dem Dutzende oder Hunderte von KI-Systemen im Einsatz sind, die für die Bereiche Governance, Risiko und Compliance weder sichtbar noch bewertbar oder kontrollierbar sind.

Warum Schatten-KI nicht einfach nur Schatten-IT unter anderem Namen ist

Es liegt nahe, Schatten-KI als eine Unterkategorie der Schatten-IT zu betrachten, mit der sich Sicherheitsteams seit Jahren auseinandersetzen. Schließlich ist das Muster ähnlich: Mitarbeiter führen neue Technologien schneller ein, als die Governance Schritt halten kann. Das Risikoprofil unterscheidet sich jedoch in mehreren wesentlichen Punkten.

Datenpersistenz und Modelltraining

Wenn ein Mitarbeiter ein Dokument auf einen nicht genehmigten Filesharing-Dienst hochlädt, besteht das Datenrisiko in der Eingrenzung des Zugriffs: Wer kann auf diese Datei zugreifen und kann sie gelöscht werden? Bei vielen KI-Diensten geht das Risiko deutlich weiter. Je nach den Nutzungsbedingungen des Anbieters und dem spezifischen Tarif, den ein Mitarbeiter nutzt, können die eingegebenen Daten zum Trainieren oder Verfeinern von Modellen verwendet werden [2]. Sobald Daten in eine Trainings-Pipeline gelangt sind, lassen sie sich nicht mehr zurückholen. Die Informationen werden Teil des parametrischen Wissens des Modells, verteilt über Milliarden von Gewichtungen. Klassische Ansätze zur Vermeidung von Datenverlust (Data Loss Prevention, DLP) setzen voraus, dass Daten lokalisiert und entfernt werden können. Bei der Verarbeitung im Rahmen des KI-Trainings greift diese Annahme nicht mehr.

Qualitäts- und Haftungsrisiken bei der Ausgabe

Schatten-IT umfasst in der Regel Tools, die Daten speichern, verschieben oder anzeigen. KI-Tools hingegen generieren neue Inhalte, und diese Inhalte können fehlerhaft sein. Wenn ein Mitarbeiter ein nicht genehmigtes KI-Tool verwendet, um einen Bericht für eine Aufsichtsbehörde zu entwerfen, einen rechtlichen Vertrag zusammenzufassen oder Finanzprognosen zu erstellen, können sich halluzinierte Ergebnisse in formelle Geschäftsentscheidungen einschleichen. Das Unternehmen trägt die Verantwortung für Ergebnisse, von denen es nicht wusste, dass sie von einer KI generiert wurden, erstellt durch Tools, von deren Nutzung es keine Kenntnis hatte.

Risiko von Voreingenommenheit und Diskriminierung

KI-Systeme können Ergebnisse liefern, die aufgrund geschützter Merkmale diskriminierend sind. Wenn eine Personalabteilung ein nicht genehmigtes KI-Tool zur Vorauswahl von Lebensläufen oder zur Erstellung von Stellenbeschreibungen nutzt, läuft das Unternehmen Gefahr, unbewusst Voreingenommenheit in Personalentscheidungen einfließen zu lassen – und das ganz ohne Audit-Trail. Die Haftung verbleibt beim Unternehmen, unabhängig davon, ob die Nutzung des Tools autorisiert war oder nicht.

Geschwindigkeit der Verbreitung

Die klassische Schatten-IT verbreitete sich im Tempo von Software-Downloads und Kontoerstellungen. Schatten-KI verbreitet sich im Tempo eines neuen Browser-Tabs. Viele KI-Tools erfordern weder eine Installation noch ein Konto oder eine Zahlung. Ein Mitarbeiter kann in weniger als sechzig Sekunden aus reiner Neugierde zur Verarbeitung sensibler Daten übergehen.

Schatten-KI ist somit keine bloße Erweiterung der Schatten-IT. Sie stellt eine qualitativ völlig neue Risikokategorie dar, die eine eigene Governance-Strategie erfordert.

Die regulatorische Notwendigkeit von Transparenz

Selbst Unternehmen, die ein gewisses Maß an unkontrolliertem Technologierisiko in Kauf nehmen, stellen fest, dass gesetzliche Vorgaben mittlerweile ein weitaus höheres Maß an Transparenz bei der KI-Nutzung fordern.

Die KI-Verordnung der EU (EU AI Act), die ab 2024 stufenweise in Kraft tritt, erlegt sowohl Anbietern als auch Betreibern von KI-Systemen Pflichten auf [3]. Anbieter müssen Systeme in Risikoklassen einteilen und die Einhaltung der Artikel 9-15 für Hochrisiko-Systeme gewährleisten. Betreiber von Hochrisiko-KI-Systemen haben gemäß Artikel 26 eigene Pflichten – darunter die Nutzung der Systeme gemäß den Anweisungen des Anbieters, die Einrichtung einer menschlichen Aufsicht, die Aufbewahrung von Protokollen und die Meldung von Vorfällen. Selbst Betreiber von Systemen mit geringerem Risiko unterliegen Transparenzpflichten gemäß Artikel 50. Keine dieser Pflichten kann für Systeme erfüllt werden, von deren Existenz das Unternehmen nichts weiß.

Die internationale Norm ISO/IEC 42001 für KI-Managementsysteme macht ein KI-Inventar zu einer grundlegenden Anforderung [4]. Ein Unternehmen kann keine Konformität mit diesem Standard geltend machen, wenn es KI-Systeme betreibt, die es nicht identifiziert, bewertet oder dokumentiert hat.

In den USA betont das NIST AI Risk Management Framework ebenfalls die Notwendigkeit, KI-Systeme zu erfassen, um deren Risiken steuern zu können [5]. Präsidialdekrete und branchenspezifische Richtlinien von Aufsichtsbehörden im Finanzwesen, im Gesundheitswesen und im öffentlichen Auftragswesen laufen alle auf dieselbe Erwartung hinaus: Unternehmen müssen genau wissen, welche KI sie einsetzen.

Die regulatorische Logik ist eindeutig. Eine Einstufung von Risiken ist ohne vorherige Erfassung unmöglich. Compliance-Pflichten können nicht für unsichtbare Systeme erfüllt werden. Ein Unternehmen, das kein Inventar seiner KI-Nutzung vorweisen kann, ist nicht bloß unreguliert – es ist unregulierbar. Plattformen wie Enzai wurden genau dafür entwickelt, diese Lücke zu schließen, indem sie die kontinuierliche Erfassung und Klassifizierung ermöglichen, die der Gesetzgeber heute fordert.

Erkennen, was man nicht weiß

Zu akzeptieren, dass Schatten-KI eine Governance erfordert, ist der einfachere Schritt. Die größere Herausforderung liegt darin, sie aufzuspüren. Eine effektive Erfassung erfordert verschiedene, sich ergänzende Methoden, da keine einzelne Technologie eine vollständige Sichtbarkeit bietet.

Netzwerkverkehr und DNS-Analyse

KI-Dienste erzeugen charakteristische Muster im Netzwerkverkehr. Die Überwachung von DNS-Abfragen und HTTP/HTTPS-Verbindungen zu bekannten KI-Dienst-Domains (wie api.openai.com, generativelanguage.googleapis.com, api.anthropic.com usw.) liefert ein grundlegendes Bild davon, auf welche Dienste Mitarbeiter zugreifen. Diese Methode eignet sich gut für die direkte Nutzung von KI-Diensten durch Endverbraucher, ist jedoch weniger effektiv bei KI-Funktionen, die in genehmigte SaaS-Tools integriert sind, bei denen API-Aufrufe serverseitig erfolgen können.

Analyse von SSO- und Authentifizierungsprotokollen

Viele KI-Dienste unterstützen Single Sign-On (SSO). Selbst wenn Mitarbeiter persönliche Konten nutzen, können Authentifizierungsprotokolle von Identitätsanbietern Aufschluss über erteilte OAuth-Freigaben für KI-Dienste geben. Die Überprüfung von OAuth-Berechtigungen, die über Google Workspace oder Microsoft Entra ID erteilt wurden, bringt häufig KI-Tools ans Licht, die Mitarbeiter mit ihren Unternehmenskonten verknüpft haben.

Prüfung von Beschaffung und Spesenabrechnungen

Einige Schatten-KI-Nutzungen hinterlassen finanzielle Spuren. Mitarbeiter oder Budgetverantwortliche in Abteilungen rechnen Abonnements für KI-Tools über Spesen ab, erwerben Premium-Tarife mit Firmenkreditkarten oder reichen Rechnungen für KI-Dienste ein. Eine gezielte Überprüfung von Spesenberichten und Beschaffungsbelegen auf der Suche nach bekannten KI-Anbietern kann kostenpflichtige Nutzungen aufdecken, die am offiziellen Einkauf vorbeigelaufen sind.

Meldeprogramme für Mitarbeiter

Technische Erfassungsmethoden werden immer blinde Flecken haben. Freiwillige Meldeprogramme, bei denen Mitarbeiter eingeladen werden, von ihnen genutzte KI-Tools ohne Angst vor Sanktionen anzugeben, füllen Lücken, die durch Monitoring allein nicht geschlossen werden können. Die Ausgestaltung dieser Programme ist entscheidend: Befürchten Mitarbeiter Disziplinarmaßnahmen, wird die Meldequote gegen Null gehen. Die Formulierung als Inventarisierung und nicht als Kontrollmaßnahme führt zu deutlich besseren Ergebnissen.

Überprüfung von Browser-Erweiterungen

Für Unternehmen, die verwaltete Geräte oder Endpoint-Management-Plattformen nutzen, bietet die Überprüfung installierter Browser-Erweiterungen Aufschluss über KI-gestützte Plugins. Viele EDR-Tools (Endpoint Detection and Response) können installierte Erweiterungen auflisten. Durch den Abgleich dieser Erweiterungen mit einer Datenbank bekannter KI-Tools lässt sich auch eine Schattennutzung identifizieren, die keinen Netzwerkverkehr zu offensichtlichen KI-Domains generiert.

API-Verkehrs- und Datenflussanalyse

Fortgeschrittenere Unternehmen können API-Gateways und DLP-Tools einsetzen, um Muster zu erkennen, die auf die Nutzung von KI-Diensten hinweisen: große Textmengen, die an externe Endpunkte gesendet werden, Antworten, die für KI-Generierung typische Merkmale aufweisen, oder Datenverkehr zu IP-Bereichen großer KI-Anbieter. Dieser Ansatz erfordert zwar Investitionen, erfasst jedoch Nutzungen, die einfachere Methoden übersehen.

Keine Erfassungsstrategie sollte auf einer einzigen Methode basieren. Die effektivsten Ansätze kombinieren mehrere Techniken und betrachten die Erfassung als einen kontinuierlichen Prozess statt als einmalige Prüfung. Eine KI-Governance-Plattform wie Enzai kann diese mehrschichtige Erfassung automatisieren und Signale aus Netzwerk, Identität, Beschaffung und Endpunkten korrelieren, um ein stets aktuelles Inventar zu führen.

Schatten-KI-Governance ohne Verbote

Erkennung ist notwendig, aber nicht ausreichend. Die sich anschließende Frage ist, wie man mit den Funden umgeht. Hier unterlaufen vielen Unternehmen strategische Fehler. Angesichts des Ausmaßes der ungenehmigten KI-Nutzung tendieren viele dazu, diese strikt zu verbieten: Domains sperren, Zugriffe entziehen, pauschale Verbote aussprechen. Dieser Ansatz scheitert aus drei Gründen.

Erstens drängen Verbote die Nutzung nur weiter in den Untergrund. Mitarbeiter, die KI-Tools als echten Mehrwert für ihre Arbeit empfinden, finden Umwege – private Geräte, mobile Hotspots oder Heimnetzwerke. Das Ergebnis ist weniger Transparenz, nicht weniger Nutzung.

Zweitens bedeuten pauschale Verbote einen Wettbewerbsnachteil. Unternehmen, die ihren Mitarbeitern die Nutzung von KI-Tools untersagen, verzichten auf Produktivitätsgewinne, die ihre Mitbewerber bereits realisieren. McKinsey schätzte 2023, dass generative KI jährlich zwischen 2,6 und 4,4 Billionen US-Dollar zur globalen Unternehmenswertschöpfung über verschiedene Branchen hinweg beitragen könnte [6]. Auf diesen Wert zu verzichten, stellt an sich bereits ein Risiko dar.

Drittens signalisieren Verbote den Mitarbeitern, dass das Unternehmen KI eher als Bedrohung denn als Chance begreift. Dies beschädigt die kulturelle Basis, die für eine langfristig verantwortungsvolle Einführung von KI erforderlich ist.

Die Alternative ist eine strukturierte Governance, die die Nutzung von KI lenkt, anstatt sie zu blockieren.

Amnestie und Bestandsaufnahme

Ein effektiver Ausgangspunkt ist eine zeitlich begrenzte Amnestiephase, in der Mitarbeiter eingeladen werden, alle von ihnen genutzten KI-Tools offenzulegen – mit der ausdrücklichen Zusage, dass dies keine disziplinarischen Konsequenzen hat. Dies schafft eine umfassende Datenbasis, die durch rein technische Erfassung nicht zu erreichen wäre. Diese Phase sollte mit einer klaren Kommunikation verbunden sein, dass die Nutzung nicht gemeldeter Tools nach Ablauf dieser Frist als Richtlinienverstoß gewertet wird.

Richtlinien für eine akzeptable Nutzung

Statt einer binären Unterscheidung in „erlaubt“ oder „verboten“ entwickeln reife Unternehmen Richtlinien für die akzeptable Nutzung (Acceptable Use Policies). Diese definieren klare Kategorien: Welche Datenklassen dürfen mit bestimmten KI-Tools verarbeitet werden, welche Arten von Ergebnissen erfordern vor der Weiterverwendung eine menschliche Überprüfung und welche Offenlegungspflichten gelten, wenn KI-generierte Inhalte in offiziellen Berichten verwendet werden.

Freigegebene Tools und der „Paved Road“-Ansatz

Das Konzept des „geebneten Weges“ (Paved Road) aus der Plattfomentwicklung ist für die Regulierung von Schatten-KI besonders wirksam. Anstatt Barrieren zu errichten, schafft das Unternehmen einen sicheren, vordefinierten Pfad, der für die Mitarbeiter einfacher zu beschreiten ist als der inoffizielle Weg. Dies bedeutet die Bereitstellung genehmigter KI-Tools, die den Sicherheits- und Compliance-Anforderungen entsprechen, vorkonfiguriert sind, den Datenschutz wahren, in die Unternehmens-Identitätsverwaltung integriert sind und durch Schulungen unterstützt werden. Wenn die offizielle Option qualitativ überzeugt, sinkt der Anreiz, auf unregulierte Alternativen auszuweichen.

Sandbox-Umgebungen

Für das Experimentieren mit neuen KI-Tools oder Funktionen, die noch nicht auf der Liste der genehmigten Anwendungen stehen, können Unternehmen Sandbox-Umgebungen bereitstellen. Hier können Mitarbeiter Tools mit synthetischen oder nicht sensiblen Daten testen. Dies sichert das Innovationspotenzial der Technologie, während das Datenrisiko kontrolliert bleibt.

Kontinuierliche Überprüfung und Feedback

Starre Governance-Frameworks werden schnell zum Hindernis. Die Einrichtung eines regelmäßigen Turnus zur Überprüfung und Aktualisierung der Liste freigegebener Tools, die Einbeziehung von Mitarbeiter-Feedback und die Bewertung neuer Tools stellen sicher, dass sich das Governance-Framework im selben Tempo wie die KI-Entwicklung weiterentwickelt.

Das Ziel besteht nicht darin, jegliches Risiko aus der KI-Nutzung zu verbannen, sondern den regulierten Weg so attraktiv zu gestalten, dass unkontrollierte Nutzung überflüssig wird.

Etablierung eines nachhaltigen Erfassungsprozesses

Einmalige Erfassungsbemühungen liefern lediglich eine Momentaufnahme. Schatten-KI ist ein dynamisches Phänomen – wöchentlich kommen neue Tools auf den Markt, bestehende Anwendungen werden um KI-Funktionen erweitert, Mitarbeiter wechseln ihre Rollen und passen ihre Workflows an. Ein nachhaltiger Prozess muss daher kontinuierlich sein und in die bestehenden Unternehmensprozesse integriert werden.

Integration in die Beschaffung

Die Erfassung von KI-Systemen sollte fest in den Beschaffungsprozess integriert sein. Jede Evaluierung neuer SaaS-Tools sollte eine Prüfung integrierter KI-Komponenten, der Datenverarbeitung für KI-Features und der Richtlinien zum Modelltraining beinhalten. Einkaufsteams benötigen entsprechende Schulungen und Checklisten, um die richtigen Fragen zu stellen, da Anbieter KI-Funktionalitäten in ihren Vertriebsmaterialien nicht immer transparent ausweisen.

Integration in Onboarding und Rollenwechsel

Neue Mitarbeiter bringen oft eingespielte KI-Gewohnheiten von früheren Arbeitgebern mit. Onboarding-Prozesse sollten daher eine Abfrage zur KI-Nutzung sowie eine Einführung in das KI-Governance-Framework und die freigegebenen Tools des Unternehmens umfassen. Ebenso sollten bei einem Rollenwechsel eines Mitarbeiters, durch den dieser Zugriff auf sensiblere Datenklassen erhält, dessen Freigaben für KI-Tools überprüft werden.

Change Management statt reiner Compliance

Eine nachhaltige Governance von Schatten-KI erfordert einen kulturellen Wandel, nicht nur die Durchsetzung von Richtlinien. Mitarbeiter müssen verstehen, warum KI-Governance existiert – nicht als bürokratisches Hindernis, sondern zum Schutz des Unternehmens, der Kunden und ihrer eigenen Arbeit. Schulungsprogramme sollten praxisnah und szenariobasiert sein und regelmäßig aktualisiert werden, um der sich verändernden Tool-Landschaft Rechnung zu tragen.

Kennzahlen und Berichtswesen

Nur was messbar ist, lässt sich steuern. Unternehmen sollten die Erkennungsraten von Schatten-KI, die Zeitspanne bis zur Überführung neu entdeckter Tools in die Governance, die Zufriedenheit der Mitarbeiter mit den offiziellen Tools sowie das Volumen von Ausnahmeanträgen systematisch auswerten. Diese Kennzahlen dienen als Frühwarnsystem, wenn die Governance hinter der tatsächlichen Nutzung zurückbleibt oder freigegebene Tools den Bedarf der Mitarbeiter nicht decken.

Verantwortung der Führungsebene

Die Steuerung von Schatten-KI darf nicht allein in der IT oder Informationssicherheit angesiedelt sein. Sie erfordert die Unterstützung der Führungsebene, idealerweise durch einen Chief AI Officer oder eine vergleichbare Rolle mit klarer Verantwortung für die Vollständigkeit des KI-Inventars und der Governance-Abdeckung. Berichte zur KI-Governance-Situation auf Vorstandsebene entwickeln sich zunehmend zum Standard in Unternehmen, die diese Risiken ernst nehmen.

Ein kontinuierlicher, integrierter, messbarer und von der Führungsebene getragener Prozess wird aufdecken, was eine einmalige Prüfung übersieht, und sich flexibel an die technologischen Entwicklungen der Zukunft anpassen.

Praktische Implikationen

Schatten-KI ist kein Problem, das sich von selbst löst. Wird es nicht aktiv angegangen, verschärft es sich von Tag zu Tag: mehr unkontrollierte Tools, größere Risiken des Datenabflusses, höhere regulatorische Risiken und mehr geschäftliche Entscheidungen auf der Grundlage ungeprüfter KI-Generate. Erfolgreich werden jene Unternehmen sein, die die Erfassung als dauerhafte operative Aufgabe begreifen, durch Befähigung statt durch Verbote steuern und in die entsprechende Kultur und Prozesse investieren.

Der praktische Weg nach vorn ist klar: Schaffen Sie Transparenz durch eine mehrschichtige Erfassung. Entwickeln Sie eine Governance, der Mitarbeiter gerne folgen. Integrieren Sie die KI-Aufsicht in die Prozesse von Einkauf, Onboarding und Change Management. Messen Sie den Fortschritt und fordern Sie Rechenschaft von der Führungsebene ein.

Für Unternehmen, die von einer ad-hoc-Reaktion zu einer strukturierten Governance übergehen wollen, bietet Enzai die Plattform, um nicht genehmigte KI-Nutzung unter Kontrolle zu bringen – von der kontinuierlichen Erkennung und Inventarisierung bis hin zum Richtlinienmanagement und Compliance-Reporting. Buchen Sie eine Demo, um zu sehen, wie dies in der Praxis funktioniert.

Enzai ist die führende Plattform für KI-Governance in Unternehmen, speziell entwickelt, um Organisationen beim Übergang von abstrakten Richtlinien zur operativen Umsetzung zu unterstützen. Unsere Plattform für KI-Risikomanagement bietet die spezialisierte Infrastruktur, die für die Verwaltung von agentischer KI-Governance erforderlich ist, um ein umfassendes KI-Inventar zu führen und die Einhaltung der EU-KI-Verordnung sicherzustellen. Durch die Automatisierung komplexer Workflows ermöglicht Enzai es Unternehmen, die Einführung von KI vertrauensvoll zu skalieren und gleichzeitig die Ausrichtung an globalen Standards wie ISO 42001 und NIST zu wahren.

Referenzen

[1] Salesforce, "The Promises and Pitfalls of AI at Work," Salesforce Research, 2024.

[2] OpenAI, "How your data is used to improve model performance," OpenAI Help Centre, aktualisiert 2025.

[3] Europäisches Parlament und Rat, Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (EU-KI-Verordnung), 2024.

[4] Internationale Organisation für Normung, ISO/IEC 42001:2023 Informationstechnik - Künstliche Intelligenz - Managementsystem, 2023.

[5] National Institute of Standards and Technology, "AI Risk Management Framework (AI RMF 1.0)," NIST AI 100-1, Januar 2023.

[6] McKinsey Global Institute, "The economic potential of generative AI: The next productivity frontier," McKinsey & Company, Juni 2023.