Ihr größtes KI-Risiko befindet sich bereits im Haus

Was wäre, wenn das dringlichste KI-Risiko für Ihr Unternehmen nicht ein ausgeklügelter Cyberangriff oder ein Mitarbeiter mit unberechenbarem Verhalten wäre? Was wäre, wenn es Ihr eigenes Führungsteam wäre, das Tools nutzt, von deren Existenz die IT-Abteilung nichts weiß?

Zu diesem Ergebnis kommt die Studie „   “ von Nitro (     ) zur Einführung von KI in Unternehmen. Sie ergab, dass 68 % der Führungskräfte auf C-Level nicht genehmigte KI-Tools für Endverbraucher genutzt haben, um Lücken in ihren zugelassenen Tools zu umgehen. In einem kürzlich erschienenen Beitrag im Podcast„  “ des Tech Talks Network  argumentierteCormac Whelan  , CEO von Nitro  , dass diese Statistik nicht nur ein Versagen der Unternehmensführung darstellt, sondern vielmehr ein Symptom für ein tiefer liegendes Problem ist. Unternehmen führen KI ein, ohne über ein Rahmenwerk zu verfügen, das festlegt, wo, warum und unter welchen Bedingungen sie eingesetzt werden soll. Solange ein solches Rahmenwerk fehlt, ist „Schatten-KI“ auf allen Ebenen des Unternehmens die vorhersehbare Folge.

Warum sich „Schatten-KI“ an der Spitze des Organigramms konzentriert

Der Druck auf Führungskräfte, Fortschritte im Bereich KI nachzuweisen, ist enorm und kommt aus allen Richtungen – aus den Vorstandsetagen, bei Investorenkonferenzen, in Führungskräftesitzungen – und der Zugang zu den Tools selbst war noch nie so einfach. Diese Kombination führt zu einem bestimmten Verhaltensmuster: Führungskräfte experimentieren auf eigene Faust, weil es entweder noch keine genehmigten Tools gibt oder diese den Bedarf nicht schnell genug decken.

„Der Hype, der Druck und die Zugänglichkeit – KI ist heute so leicht zugänglich“, sagt Cormac. „Und der Druck, den viele Führungskräfte sowohl in ihren Führungsgremien als auch in den Vorstandssitzungen spüren, zu zeigen, dass sie Fortschritte machen und dass sie mithilfe von KI Ergebnisse erzielen. Ich glaube, das hat sie zum Experimentieren gezwungen.“

Der Drang zum Experimentieren ist verständlich. Doch Experimente ohne Rahmenbedingungen bedeuten, dass die höchsten Führungskräfte im Unternehmen von Fall zu Fall entscheiden, welche Daten sie freigeben und welchen Tools sie vertrauen – ohne gemeinsame Kriterien für beides.

Was macht Dokumenten-Workflows zum risikoreichsten Bereich für den nicht genehmigten Einsatz von KI?

Der Grund, warum dies wichtiger ist als ein typisches „Shadow-IT“-Problem, liegt darin, was in den verarbeiteten Dateien enthalten ist. Dokumente stehen im Mittelpunkt fast jeder Kerngeschäftsfunktion und enthalten einige der konzentriertesten vertraulichen Informationen, über die ein Unternehmen verfügt.

„Ob es sich nun um ein Beschaffungsdokument mit einem Lieferanten, eine rechtliche Einreichung, einen Aktienkaufvertrag oder einen Arbeitsvertrag handelt – darin steckt eine enorme Menge an streng vertraulichen, fachspezifischen Daten“, sagt Cormac. „Es kommt darauf an, sicherzustellen, dass die Sicherheit und Integrität dieser Informationen geschützt sind.“

Wenn eine Führungskraft einen Vertrag durch ein nicht genehmigtes KI-Tool laufen lässt, um eine schnelle Zusammenfassung oder einen Vergleich zu erhalten, übergibt sie diese Daten möglicherweise an ein System mit unbekannten Aufbewahrungsrichtlinien, unbekannten Trainingsverfahren und unbekannten Zugriffskontrollen. Multipliziert man dies mit einer Organisation, in der zwei Drittel des Führungsteams dasselbe tun, summiert sich das Risiko schnell. Dieses Risiko ist bereits im täglichen Arbeitsablauf jeder Führungskraft verankert, die eine Antwort schneller benötigte, als ihre genehmigten Tools sie liefern konnten.

Wie ein ergebnisorientiertes Rahmenkonzept sowohl Strategie als auch Governance löst

Der Grund, warum Führungskräfte auf nicht genehmigte Tools zurückgreifen, ist, dass sie ein geschäftliches Ergebnis im Sinn haben – diesen Vertrag zusammenfassen, diese Zahlen extrahieren, diese Bedingungen vergleichen –, aber keinen genehmigten Weg, um dorthin zu gelangen. Um das zu beheben, muss definiert werden, welche Ergebnisse die KI unternehmensweit liefern soll, und erst dann muss die Governance rund um diese spezifischen Anwendungsfälle aufgebaut werden.“„Manchmal verstricken sich Führungskräfte in Gedanken wie ‚Es muss KI hier sein, es muss KI dort sein‘“, sagt Cormac. „Die Frage, die man sich zuerst stellen sollte, lautet: Welches Ergebnis wollen wir erreichen? Und wie hilft uns KI tatsächlich dabei, dorthin zu gelangen?“

Wenn das Ergebnis zuerst definiert wird, wird die Governance deutlich einfacher, da der Umfang klar ist. Welche Daten benötigt dieser Anwendungsfall? Welchen Sensibilitätsgrad weisen diese Daten auf? Welche Aufbewahrungs- und Schulungsrichtlinien muss das Tool erfüllen? Diese Fragen lassen sich beantworten, wenn der Anwendungsfall von Anfang an konkret definiert ist.

„Unsere Rechtsabteilung, unsere Finanzabteilung und unser Marketingteam nutzen alle KI“, sagt Cormac. „Und es geht zunächst darum, wie uns das hilft, ein besseres Ergebnis zu erzielen – sei es durch Produktivität, eine schnellere Markteinführung, die Fähigkeit, die Qualität unseres Codes zu verbessern, oder eine bessere Benutzerfreundlichkeit unseres Produkts. Wir haben das Ergebnis immer zuerst im Blick.“

Auf Organisationsebene gilt dieselbe Vorgehensweise. Wenn Unternehmen die benötigten Ergebnisse definieren, bewerten, wo KI diese tatsächlich beschleunigt, und Governance-Strukturen rund um diese spezifischen Einsatzbereiche aufbauen, verliert „Shadow-KI“ ihren Reiz als Ausweichlösung.

So unterziehen Sie Ihr KI-Framework einem Stresstest

Da sich KI-Tools im gesamten Unternehmen immer weiter verbreiten, wird die Frage, wohin Daten fließen und wie sie behandelt werden, zu einer Kaufentscheidung und nicht mehr nur zu einer Frage der Compliance. Unternehmen, die KI-Anbieter evaluieren (oder prüfen, was ihre Führungskräfte bereits nutzen), müssen konkrete Fragen stellen: Speichert dieses Tool die Daten, die durch es geleitet werden? Werden diese Daten zum Trainieren von Modellen verwendet? Wer hat Zugriff darauf und unter welcher Rechtshoheit?

„Wir haben Europa in Bezug auf die Regulierung personenbezogener Daten stets als den höchsten gemeinsamen Nenner betrachtet“, erklärt Cormac. „Wir sehen darin eine Stärke. Wenn wir in Märkte in Asien, Australien oder den USA eintreten, arbeiten wir in der Regel weit über den lokalen Datenschutzanforderungen.“

Die Auswahl von Anbietern und die interne Bereitstellung nach dem höchstmöglichen Datenschutzstandard statt nach den Mindestanforderungen verringert das Risiko, vereinfacht grenzüberschreitende Abläufe und stärkt die Glaubwürdigkeit bei Kunden und Partnern in regulierten Branchen. Wenn Ihr Rahmenwerk die anspruchsvollsten Datenschutzanforderungen erfüllen kann, kann es alle erfüllen.

Die Lücke schließen

Die Zahl von 68 % ist ein echter Indikator dafür, wie viele Führungskräfte einen geschäftlichen Bedarf haben, den der aktuelle KI-Ansatz ihres Unternehmens nicht decken kann. Und jedes Mal, wenn einer von ihnen zu einem nicht genehmigten Tool greift, trifft er im Namen des gesamten Unternehmens eine Entscheidung über Datensicherheit, Vertrauen in den Anbieter und Compliance – ohne dass eine Governance-Struktur vorhanden ist, die dies unterstützt.

„Konzentrieren Sie sich auf die Ergebnisse“, sagt Cormac. „KI sollte fast schon Routine sein und im Hintergrund laufen. Sie sollten niemals etwas tun, was das Vertrauen oder die Transparenz Ihrer Daten gefährdet. Wenn KI zu einem besseren Ergebnis beiträgt, ist das fantastisch. Aber es gibt auch andere Wege, dorthin zu gelangen, wenn dies nicht der Fall ist.“

Das Ziel ist ein Rahmenwerk, das nicht genehmigte Experimente überflüssig macht: eines, das von definierten Ergebnissen ausgeht, KI unter klarer Governance auf diese Ergebnisse ausrichtet und jedes Tool denselben Standards hinsichtlich Vertrauen und Rechenschaftspflicht unterwirft, die auch für jeden anderen Teil des Unternehmens gelten. Für Unternehmen, in denen der Großteil der Führungsetage bereits außerhalb genehmigter Tools agiert, gilt: Je früher dieses Rahmenwerk etabliert ist, desto kleiner ist die Lücke, die es zu schließen gilt.

Hören Sie sich das gesamte Gespräch im Podcast „   “ des Tech Talks Network an, in dem Cormac über „Shadow-KI“ spricht, darüber, wie man echte Innovation von teurem Marketing unterscheidet, und warum eine ergebnisorientierte Denkweise wichtiger denn je ist.