Risiko Schatten-KI: In 4 Schritten zur sicheren KI-Nutzung nach ISO 42001

Der Druck steigt: «Wir brauchen mehr Effizienz!» Die Stimmung im Büro von MysecureKI AG (* Name von der Redaktion geändert) ist angespannt. So infiltriert Schatten-KI schrittweise das Unternehmen. KI-Tools etablieren sich ausserhalb definierter Prozesse und entziehen sich jeder Auditierbarkeit. Die Folge sind Cyber-, Datenschutz- und Haftungsrisiken, die oft erst im Ernstfall sichtbar werden.

Lena klickt auf einen seriös wirkenden Banner: «KI-gestützte Vertragsanalyse – zehnmal schneller, kostenlose Testversion.» Zwei Minuten später meldet sie sich mit ihrer Dienst-E-Mail an und lädt den ersten Kundenvertrag hoch. Das Tool liefert sofort eine präzise Zusammenfassung.

Davide ist beeindruckt. «Das erinnert an D***box damals», sagt er – an jene Phase, als Mitarbeitende aus Frustration über umständliche interne Systeme auf externe Cloud-Dienste auswichen. Was als pragmatische Abkürzung begann, endete in Datenlecks, Compliance-Verfahren und erheblichem Reputationsschaden.

«Diesmal ist es anders», denken beide. «Es ist ja nur ein KI-Tool.» Genau hier liegt der Trugschluss.

Was ist Schatten-KI und wie infiltriert sie Unternehmen?

Was viele bei der verlockend einfachen Nutzung von KI-Systemen im Business-Alltag nicht wissen: Ihre Daten landen auf Servern in Ländern ohne DSG/DSGVO-konforme Verträge. Das KI-Tool speichert alle hochgeladenen Dokumente, um seine Modelle zu trainieren. Plötzlich sind vertrauliche Kundenverträge, interne Preislisten und sogar personenbezogene Daten veröffentlicht, ohne Kontrolle.

1. Die IT-Abteilung bemerkt nichts. Doch eines Tages ruft ein Kunde an und fragt, warum seine Daten in einem öffentlichen KI-Forum auftauchen.

2. Die Compliance-Abteilung gerät in Panik: Wo sind die Audit-Trails? Wer hat die Daten freigegeben? Wie soll das im nächsten ISO-27001-Audit erklärt werden?

3. Die Geschäftsführung erfährt von dem Vorfall und stellt fest, dass nicht wenige Mitarbeitenden und die GL selbst vergleichbare Tools nutzen. Schatten-KI hat das Unternehmen infiltriert.

«Das ist wie bei Cloud! Nur geht es diesmal um KI, die wir nicht verstehen und nicht kontrollieren können», sagt der IT-Leiter in der Krisensitzung.

Schatten-KI: Zwischen KI-Governance, Regulierung und Angriffsfläche

KI ist keine «normale» Software

• Aktive, automatisierte Datenverwertung: Daten werden nicht nur gespeichert, sondern aktiv genutzt, um Modelle zu trainieren, neue Inhalte zu generieren oder sogar Entscheidungen zu treffen.

• Fehler sind schwer fassbar: Ein falsches KI-Ergebnis kann zu falschen Verträgen, Diskriminierung oder rechtlichen Verstössen führen - ohne dass es jemand sofort merkt.

KI-Compliance wird zum Minenfeld

• CH AI Act, CH DDSG, DSGVO, EU AI Act, ISO 42001: Alle verlangen Transparenz, Dokumentation und Kontrolle über KI-Systeme. Doch wie soll das funktionieren, wenn niemand weiss, welche Tools genutzt werden – und klare Weisungen zum gewünschten Verhalten fehlen?

• Audit-Trails fehlen: Wer hat welche Daten wann in welches KI-Tool eingegeben? Ohne Protokolle ein wahrer Albtraum für jede Compliance-Abteilung!

Cyber Security: Ein offenes Einfallstor für Cyberangreifer

• KI-Tools ohne Sicherheitscheck: KI-Systeme können Malware enthalten, Phishing-Links generieren oder Daten an Dritte weitergeben.

• KI als Angriffswerkzeug: Hacker nutzen KI, um realistischere Phishing-Mails zu schreiben oder Schwachstellen in Systemen zu finden – und mit Schatten-KI machen wir es ihnen noch leichter.

Ein strukturierter Abgleich mit ISO 42001 hilft, Governance, Prozesse und technische Massnahmen konsistent auszurichten.

Vier wirksame Massnahmen gegen Schatten-KI und Compliance-Risiken

1. Führung auf KI-Risiken sensibilisieren – offen und praxisnah.

• Live-Demo: Ein IT-Sicherheitsexperte zeigt, wie schnell ein KI-Tool vertrauliche Daten preisgeben kann - und wie einfach es ist, gezieltes Social Engineering damit zu betreiben.

• Botschaft: «Erinnert ihr euch an den D***box-Vorfall 2015? Damals haben wir gelernt, dass‚ einfach mal ausprobieren teuer werden kann. Bei KI ist das Risiko noch gravierender.»

2. Sichere und compliant geprüfte KI-Alternativen anbieten

• Geprüfte und Genehmigte KI-Tools und Apps: Das Unternehmen führt unternehmensweite Lizenzen für sichere KI-Plattformen ein - mit CH AI Act, CH DDSG, DSGVO, EU AI Act, ISO 42001-konformen Verträgen und klaren Nutzungsrichtlinien.

• Schnelle Freigabeprozesse: Mitarbeitende können neue Tools über ein Self-Service-Portal beantragen - statt sie heimlich zu nutzen.

3. Datenflüsse technisch überwachen und kontrollieren

• CASB-Lösungen (Cloud Access Security Broker) überwachen den Datenverkehr zu KI-Tools und blockieren unautorisierte Uploads.

• KI-spezifische Security-Tools wie Microsoft Purview analysieren, welche Daten in KI-Systeme fliessen - und alarmieren bei Verdachtsfällen.

4. KI-Governance strukturiert verankern – etwa nach ISO 42001

Das Unternehmen implementiert ein KI-System nach ISO 42001:

• Risikobewertung: Welche KI-Tools dürfen genutzt werden? Welche Daten sind tabu?

• Dokumentation: Jede KI-Nutzung wird protokolliert - für Audit-Sicherheit und Transparenz.

• Regelmässige Schulungen: Mitarbeitende lernen, KI-Risiken zu erkennen und sichere Alternativen zu nutzen.

Drei Schritte zur KI-Strategie ohne Schatten-KI

Schatten-KI entsteht nicht aus böser Absicht, sondern aus Frustration und Zeitdruck und dem Wunsch nach effizienteren Arbeitsabläufen. Doch die Konsequenzen sind real und kostspielig: Datenverluste, Compliance-Verstösse, rechtliche Risiken und Reputationsschäden. 
Wer KI produktiv nutzen will, braucht Sicherheit – und eine praktikable Lösung. Der richtige Ansatz verbindet Aufklärung, sichere Alternativen und klare Leitplanken für den Alltag.

Drei zentrale Säulen ermöglichen eine sichere Nutzung:

1. Verständnis schaffen: Warum ist Schatten-KI riskant?

2. Sichere Alternativen bieten: Schnelle, nutzerfreundliche KI-Tools, die Compliance und Sicherheit garantieren.

3. Kontrolle & Transparenz: Mit Standards wie ISO 42001, CASB und Monitoring unsichtbare Risiken sichtbar machen.

Schatten-KI steuern mit ISO 42001: Struktur schafft Cyberresilienz

Schatten-KI ist kein Trendphänomen – sie ist längst Realität im Unternehmensalltag. Wer KI produktiv und sicher einsetzen will, braucht klare Leitplanken, verlässliche Prozesse und Transparenz über Datenflüsse. Mit einer fundierten KI-Security-Strategie, praxiserprobten Tools und einem strukturierten Vorgehen schaffen Unternehmen nicht nur Compliance, sondern verwandeln KI in einen echten Wertbeitrag für Sicherheit, Effizienz und Innovation.

Mit einer strukturierten und sicheren KI-Strategie gewinnen Sie:

• Eine belastbare Roadmap für den sicheren KI-Einsatz,

• Klarheit über den Reifegrad und konkrete Handlungsfehler,

• Transparenz über Daten- und KI-Nutzung, auditfest und nachvollziehbar,

• sowie eine nachhaltige Reduktion von Schatten-KI durch klare Regeln, sichere Plattformen und gezielte Kontrolle.

Unsere Erfahrung aus Strategie- und Sicherheitsprojekten zeigt: Wirksame KI-Governance entsteht dort, wo Führung, IT, Compliance und Security gemeinsam Verantwortung übernehmen. Nachhaltige Lösungen verbinden regulatorische Anforderungen – etwa aus dem EU AI Act oder ISO 42001 – mit bestehenden Prozessen und technischen Schutzmassnahmen.

So wird KI nicht zum Risiko, sondern zu einem kontrollierten Innovationsfaktor.

Bildlegende: mit KI generiertes Bild