Warum Künstliche Intelligenz klare Governance-Strukturen benötigt, habe ich kürzlich in einer Kolumne im IT Magazine dargestellt (Kolumne: Warum KI gute Governance braucht); der folgende Beitrag fokussiert auf die rechtlichen und organisatorischen Implikationen von Shadow AI.
Der Einsatz von Künstlicher Intelligenz gehört in vielen Unternehmen längst zum Arbeitsalltag. Mitarbeitende nutzen KI-Anwendungen, um Texte zusammenzufassen, Daten zu analysieren oder Entwürfe effizient zu erstellen. Parallel dazu werden jedoch häufig auch KI-Tools eingesetzt, die nicht offiziell freigegeben sind. Diese Nutzung bleibt für IT, Datenschutz und Compliance oft unsichtbar. Genau dieses Phänomen wird als Shadow AI im Unternehmen bezeichnet. Vor dem Hintergrund der laufenden regulatorischen Entwicklungen in der Schweiz und der EU stellt sich die Frage, wie Unternehmen heute damit umgehen müssen.
Effizienzgewinne als Treiber von Shadow AI im Unternehmen
Shadow AI im Unternehmen entsteht in der Regel nicht aus Regelmissachtung, sondern aus Effizienzdruck. KI-Tools sind schnell verfügbar, intuitiv nutzbar und liefern in kurzer Zeit verwertbare Ergebnisse. Mitarbeitende sparen Zeit und erhöhen ihre Produktivität, was den Einsatz zusätzlich begünstigt.
Gleichzeitig entstehen Risiken, die häufig unterschätzt werden. Daten werden ausserhalb kontrollierter IT-Umgebungen verarbeitet und gespeichert. Unklar bleibt oft, ob Eingaben weiterverwendet werden, etwa für Trainingszwecke der KI. Sobald Personendaten, Geschäftsgeheimnisse oder vertrauliche Informationen betroffen sind, entstehen rechtliche Unsicherheiten sowie Haftungs- und Reputationsrisiken für das Unternehmen.
Warum Verbote keine Lösung sind
Ein pauschales Verbot von KI-Anwendungen ist keine praktikable Antwort auf Shadow AI im Unternehmen. Verbote führen in der Praxis nicht dazu, dass KI nicht mehr genutzt wird, sondern verlagern die Nutzung in den informellen Bereich. Die Folge ist noch weniger Transparenz und noch weniger Steuerungsmöglichkeiten.
Stattdessen müssen Unternehmen den tatsächlichen Einsatz von KI sichtbar machen. Entscheidend ist nicht, ob KI genutzt wird, sondern wie. Klare Regeln, Zuständigkeiten und Vorgaben schaffen die Grundlage, um Risiken zu kontrollieren, ohne den Effizienzgewinn zu verlieren.
Rechtlicher Rahmen: bereits heute relevant
Auch ohne spezifisches Schweizer KI-Gesetz bestehen klare rechtliche Vorgaben. Das Datenschutzgesetz (DSG) verpflichtet zu Transparenz, Zweckbindung und Datensicherheit. Werden KI-Systeme für automatisierte Einzelentscheidungen eingesetzt, müssen betroffene Personen verständlich informiert werden; zudem ist eine wirksame menschliche Überprüfung sicherzustellen.
Weitere Grenzen ergeben sich aus dem Gesetz gegen den unlauteren Wettbewerb (UWG), etwa bei täuschenden oder irreführenden KI-Outputs. Das Urheberrechtsgesetz (URG) wirft Fragen zu Trainingsdaten, Bearbeitungsrechten und der Schutzfähigkeit von KI-Ergebnissen auf. Ergänzend setzt die EU-KI-Verordnung Leitplanken zur Risikobewertung, Datenqualität und zum „Human in the Loop“. Auch Schweizer Unternehmen können davon betroffen sein, etwa bei grenzüberschreitender Tätigkeit oder dem Einsatz entsprechender Systeme.
Praxis: KI sichtbar machen und steuern
In der Praxis empfiehlt sich ein strukturiertes Vorgehen. Ausgangspunkt ist eine Inventarisierung aller eingesetzten KI-Anwendungen: Welche Tools werden genutzt, mit welchen Daten und zu welchen Zwecken? Darauf aufbauend sind Risiken in Bezug auf Datenschutz, Diskriminierung, Haftung und Reputation zu bewerten.
Im Rahmen eines Freigabeprozesses können KI-Tools in Kategorien eingeteilt werden, etwa erlaubt, eingeschränkt erlaubt oder verboten. Ebenso zentral ist die Schulung der Mitarbeitenden. Es muss klar kommuniziert werden, welche Daten eingegeben werden dürfen und dass KI-Ergebnisse stets kritisch zu prüfen sind. Unterstützend wirken klare interne Richtlinien und Schulungsangebote, etwa im Bereich E-Learning.
Fazit: Shadow AI braucht Governance
Shadow AI im Unternehmen lässt sich nicht vermeiden, wohl aber steuern. Klare Regeln, transparente Prozesse und definierte Verantwortlichkeiten schaffen Rechtssicherheit und Vertrauen. Unternehmen, die KI-Governance frühzeitig etablieren, reduzieren Risiken und schaffen gleichzeitig verlässliche Rahmenbedingungen für den verantwortungsvollen Einsatz von KI.
Wir begleiten Unternehmen beim Aufbau einer rechts- und praxisnahen KI-Governance – mit Fokus auf Pragmatismus, Effizienz und Transparenz.
