Schatten-KI erkennen und vermeiden – Datenschutz in Berlin und Brandenburg

Was ist Schatten-KI (Shadow AI)?

Immer mehr Beschäftigte nutzen künstliche Intelligenz, um Texte zu erstellen, Dokumente auszuwerten oder betriebliche Abläufe zu vereinfachen. Problematisch wird es, wenn solche KI-Anwendungen ohne Wissen oder Freigabe des Unternehmens eingesetzt werden.

Diese unkontrollierte Nutzung wird als Schatten-KI (Shadow AI) bezeichnet. Dabei können personenbezogene Daten, Geschäftsgeheimnisse oder vertrauliche Unternehmensinformationen an externe KI-Anbieter gelangen.

eDSB-Deutschland unterstützt Unternehmen, Vereine und Organisationen in Berlin und Brandenburg dabei, Schatten-KI zu erkennen, Datenschutzrisiken zu bewerten und geeignete Schutzmaßnahmen einzuführen.

Wie entsteht Schatten-KI im Unternehmen?

Schatten-KI entsteht häufig nicht aus böser Absicht. Beschäftigte möchten ihre Arbeit erleichtern und nutzen dafür frei verfügbare KI-Anwendungen.

Typische Beispiele sind:

• Nutzung privater ChatGPT-Konten für berufliche Aufgaben

• Eingabe von Kundendaten in nicht freigegebene KI-Systeme

• KI-gestützte Auswertung von Bewerbungsunterlagen

• Übersetzung vertraulicher Dokumente durch externe KI-Dienste

• Verarbeitung interner Geschäfts- und Personaldaten ohne vorherige Prüfung

Fehlen verbindliche KI-Richtlinien und klare Zuständigkeiten, können solche Anwendungen unbemerkt zum Bestandteil betrieblicher Arbeitsabläufe werden.

Welche Datenschutzrisiken entstehen durch Schatten-KI?

Unkontrollierte Verarbeitung personenbezogener Daten

Werden personenbezogene Informationen ohne ausreichende Rechtsgrundlage oder geeignete Schutzmaßnahmen in KI-Anwendungen verarbeitet, können Verstöße gegen die DSGVO entstehen.

Fehlende Prüfung externer KI-Anbieter

Unternehmen müssen klären, wie KI-Anbieter Daten verarbeiten, welche vertraglichen Vereinbarungen erforderlich sind und ob personenbezogene Daten in Drittländer übermittelt werden.

Verlust vertraulicher Informationen

Geschäftsgeheimnisse, Kundendaten, Vertragsunterlagen und interne Dokumente können durch die unkontrollierte Nutzung externer KI-Dienste gefährdet werden.

Fehlende Kontrolle und Verantwortlichkeiten

Ohne dokumentierte Freigabeprozesse und klare Zuständigkeiten können Unternehmen die eingesetzten KI-Anwendungen und damit verbundene Risiken nur schwer überblicken.

Schatten-KI, DSGVO und EU AI Act

Der Einsatz künstlicher Intelligenz muss die jeweils anwendbaren rechtlichen Anforderungen erfüllen.

Besonders relevant sind:

• Art. 5 und 6 DSGVO: Grundsätze und Rechtmäßigkeit der Datenverarbeitung

• Art. 28 DSGVO: Auftragsverarbeitung, sofern der KI-Anbieter als Auftragsverarbeiter tätig wird

• Art. 32 DSGVO: Technische und organisatorische Schutzmaßnahmen

• Art. 35 DSGVO: Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko

• Art. 4 EU AI Act: Maßnahmen zur Sicherstellung ausreichender KI-Kompetenz

Nicht jede unkontrollierte KI-Nutzung stellt automatisch einen Datenschutzverstoß dar. Entscheidend sind die konkrete Anwendung, die verarbeiteten Daten und die rechtlichen Rahmenbedingungen.

Wie können Unternehmen Schatten-KI vermeiden?

Ein wirksames KI-Management sollte folgende Maßnahmen umfassen:

1. KI-Bestandsaufnahme: Erfassen, welche KI-Anwendungen tatsächlich eingesetzt werden.

2. KI-Richtlinie: Verbindliche Regeln zur erlaubten Nutzung und zum Umgang mit Daten festlegen.

3. Freigabeverfahren: Neue KI-Anwendungen vor ihrem Einsatz prüfen.

4. Datenschutzprüfung: Anbieter, Vertragsbedingungen und mögliche Datenübermittlungen bewerten.

5. Mitarbeiterschulungen: Beschäftigte über Chancen, Grenzen und Risiken künstlicher Intelligenz informieren.

6. Regelmäßige Kontrolle: Eingesetzte KI-Systeme und betriebliche Schutzmaßnahmen überprüfen.

Ziel ist nicht, künstliche Intelligenz grundsätzlich zu verbieten, sondern ihren Einsatz sicher, nachvollziehbar und rechtskonform zu gestalten.

Schatten-KI-Check für Unternehmen

Mit dem Schatten-KI-Check von eDSB-Deutschland können Unternehmen und Organisationen ihre betriebliche KI-Nutzung anhand eines strukturierten Fragenkatalogs überprüfen.

Der Check betrachtet insbesondere die Freigabe von KI-Anwendungen, den Umgang mit personenbezogenen Daten, interne Verantwortlichkeiten, Mitarbeiterschulungen und organisatorische Schutzmaßnahmen.

Die Ergebnisse dienen als erste Orientierung und helfen dabei, mögliche Schwachstellen und erforderliche Maßnahmen zu erkennen.

Der Schatten-KI-Check ersetzt keine individuelle Datenschutzprüfung oder rechtliche Einzelfallbewertung.

Datenschutzberatung zu Schatten-KI in Berlin und Brandenburg

eDSB-Deutschland unterstützt kleine und mittelständische Unternehmen, Vereine und Organisationen in Berlin und Brandenburg beim datenschutzgerechten Einsatz künstlicher Intelligenz.

Unsere Leistungen umfassen die Bewertung vorhandener KI-Anwendungen, die Erstellung betrieblicher KI-Richtlinien, die Prüfung datenschutzrechtlicher Anforderungen sowie die Sensibilisierung von Mitarbeitenden.

Als externer Datenschutzbeauftragter verbinden wir Datenschutzberatung mit praxisorientierter Unterstützung bei der Einführung und Nutzung künstlicher Intelligenz.

Häufige Fragen zur Schatten-KI

Ist Schatten-KI grundsätzlich verboten?

Nein. Die nicht genehmigte Nutzung einer KI-Anwendung ist nicht automatisch ein Gesetzesverstoß. Datenschutzrechtliche und betriebliche Vorgaben müssen jedoch eingehalten werden.

Darf ChatGPT im Unternehmen eingesetzt werden?

Ja, sofern die konkrete Nutzung rechtlich zulässig ist und angemessene Datenschutz- und Sicherheitsmaßnahmen bestehen.

Braucht jedes Unternehmen eine KI-Richtlinie?

Eine allgemeine Pflicht zu einem Dokument mit dieser Bezeichnung besteht nicht. Eine interne KI-Richtlinie ist jedoch ein wichtiges Instrument zur kontrollierten und sicheren Nutzung künstlicher Intelligenz.

Schatten-KI jetzt prüfen lassen

Wissen Sie, welche KI-Anwendungen Ihre Mitarbeitenden tatsächlich verwenden?

Nutzen Sie unseren Schatten-KI-Check zur ersten Einschätzung oder lassen Sie sich individuell beraten.

eDSB-Deutschland – Ihr Ansprechpartner für Schatten-KI, Datenschutz und KI-Compliance in Berlin und Brandenburg.