Shadow AI ist Ihr nächster Datenverlust

Das Risiko, das Sie genehmigt haben, ist nicht das Risiko, das Sie tragen

Die meisten Vorstände stellen sich KI-Risiko noch immer als eine Entscheidung vor, die sie treffen: welches Modell sie lizenzieren, welchem Anbieter sie vertrauen, welchen Vertrag sie unterschreiben. Dieses Bild ist inzwischen falsch. Die Gefährdung, die am meisten zählt, ist die, die niemand genehmigt hat. Der Verizon Data Breach Investigations Report 2026 hat festgestellt, dass sich die regelmäßige KI-Nutzung auf Firmengeräten innerhalb von zwölf Monaten verdreifacht hat, von 15 auf 45 Prozent der Mitarbeitenden, und dass zwei Drittel dieser Menschen die Tools über private Konten erreichen, die vollständig außerhalb der Unternehmenskontrolle liegen.

Das ist Shadow AI: leistungsfähige Software, die schneller eingeführt wird, als jede Richtlinie mithalten kann. Sie ist inzwischen die dritthäufigste nicht böswillige Insider-Handlung, die Systeme zur Verhinderung von Datenverlust melden, ein Anstieg um das Vierfache in einem einzigen Jahr. Die Menschen, die das tun, sind nicht nachlässig. Es sind produktive Mitarbeitende, die echte Probleme mit dem besten Werkzeug lösen, das vor ihnen liegt. Genau deshalb wird ein Rundschreiben es nicht stoppen.

Ihr Quellcode ist das Erste, was geht

Als derselbe Report rangierte, was Mitarbeitende tatsächlich in öffentliche KI-Tools einfügen, führte Quellcode jede andere Kategorie mit großem Abstand an, noch vor Bildern und strukturierten Daten. Die nüchterne Lesart dieses Befunds lautet: Quellcode in einem öffentlichen Modell ist geistiges Eigentum in der Trainingspipeline eines anderen. Für ein Unternehmen, dessen Vorteil in seinem Code, seiner Preislogik oder seinen Kundendaten liegt, ist das nichts Hypothetisches. Es ist ein täglicher, unsichtbarer Transfer der Werte, die zu schützen Sie bezahlt werden.

Der Schaden kündigt sich nicht an. Es gibt keine Meldung einer Datenpanne, kein Lösegeldschreiben, keinen dramatischen Ausfall. Ein Modell wird einfach ein wenig besser darin, das zu reproduzieren, was Sie für Ihr Eigentum hielten, und eines Tages liefert der Prompt eines Wettbewerbers etwas, das vertraut wirkt. Dann lautet die Frage nicht mehr, wie Sie die Daten zurückholen. Sie lautet, ob Sie überhaupt beweisen können, dass sie das Haus verlassen haben.

Der Regulierer hat Ihnen bereits gesagt, was zu tun ist

Am 15. Juni 2026 hat die Europäische Datenschutzbeauftragte Shadow AI neu eingeordnet, als Compliance-Problem, nicht als Helpdesk-Problem. Daten, die in nicht freigegebene Tools eingegeben werden, fallen in einen regulatorischen Blindfleck: keine Vereinbarung über die Rechtsgrundlage der Verarbeitung, keine Klarheit über die Speicherdauer, kein Schutz beim internationalen Transfer, keine Transparenz darüber, ob damit ein Modell trainiert wird. Unter der DSGVO ist ein Blindfleck keine Verteidigung. Er ist eine offene Beanstandung, die auf einen Prüfer wartet.

Was die EDPS nicht empfohlen hat, ist ein Verbot. Sie sagte, die Antwort sei aktives Management: definieren, welche KI-Nutzung erlaubt ist, die Daten klassifizieren, die niemals das Haus verlassen dürfen, technische Kontrollen durchsetzen und den Menschen ein freigegebenes Tool geben, das gut genug ist, damit sie nicht mehr zum nicht freigegebenen greifen. Ein Verbot scheitert, weil es den Anreiz nicht verändert. Es verschiebt dasselbe Verhalten nur dorthin, wo Sie es nicht mehr sehen können.

Weiterlesen: Ihr KI-Agent kann jetzt Ihr Geld ausgeben. Schwierig wird alles, was danach passiert.  ·  Ein Gericht hat soeben entschieden, dass die Antworten Ihrer KI Ihre eigenen Worte sind. Die Haftung liegt jetzt bei Ihnen.