Warum Mitarbeiter am Arbeitsplatz weiterhin nicht genehmigte KI-Tools nutzen

Eine Mitarbeiterin erhält um 16 Uhr ein umfangreiches Dokument und muss ihren Vorgesetzten noch vor Feierabend darüber informieren. Das Unternehmen hat eine KI-Strategie angekündigt, doch der genehmigte KI-Assistent kann die Datei nicht verarbeiten, der Zugriff ist auf eine kleine Pilotgruppe beschränkt und die internen Richtlinien beschränken sich im Wesentlichen auf den Hinweis “Geben Sie keine vertraulichen Informationen ein”. Sie eröffnet ein persönliches KI-Konto, entfernt die offensichtlichsten Namen und erstellt die Zusammenfassung innerhalb weniger Minuten. Aus Sicht des Unternehmens hat sie ein Sicherheitsrisiko geschaffen. Aus ihrer Sicht hat sie das einzige Werkzeug gefunden, mit dem sie die Frist einhalten kann. Diese Spannung erklärt einen Großteil des Wachstums im Bereich der „Schatten-KI“: die Nutzung von KI-Diensten, die vom Arbeitgeber weder genehmigt, erworben noch überwacht wurden. Dieses Verhalten wird oft als Compliance-Problem beschrieben, das durch unachtsame Mitarbeiter verursacht wird, doch viele Unternehmen haben die Voraussetzungen dafür selbst geschaffen. Sie ermutigen ihre Mitarbeiter, mit KI produktiver zu werden, bieten aber gleichzeitig Tools an, die zu spät kommen, schlecht funktionieren oder für die Aufgaben, die die Mitarbeiter tatsächlich erledigen müssen, nicht verfügbar sind. KI-Dienste für Endverbraucher sind leicht zugänglich, oft kostenlos und werden immer leistungsfähiger. Die Beschaffung durch Unternehmen, Sicherheitsüberprüfungen und die technische Integration verlaufen weitaus langsamer. Mitarbeiter warten nicht darauf, dass diese Prozesse aufholen, insbesondere wenn sie wissen, dass Kollegen und Wettbewerber die Technologie bereits nutzen. Ein Verbot mag die sichtbare Nutzung eindämmen, ohne jedoch die Nachfrage zu beseitigen. Die Arbeit muss weiterhin erledigt werden, und der Mitarbeiter weiß nach wie vor, dass es außerhalb des genehmigten Systems ein besseres Tool gibt.

Das offizielle Tool löst oft das falsche Problem

Viele Unternehmen beginnen ihre KI-Programme damit, dass sie einen einzigen Unternehmensassistenten auswählen und diesen über eine bestehende Software-Suite zur Verfügung stellen. Diese Entscheidung mag aus Sicherheits- und Beschaffungsgründen sinnvoll sein, garantiert jedoch nicht, dass das Tool die wertvollsten Anwendungsfälle abdeckt. Mitarbeiter müssen möglicherweise eine umfangreiche Tabelle analysieren, mehrere Verträge vergleichen, ein Interview transkribieren, eine Präsentation erstellen oder mit Bildern arbeiten. Der genehmigte Assistent mag E-Mails und Besprechungsprotokolle gut bewältigen, schneidet jedoch bei den Aufgaben, die den größten Teil ihrer Zeit in Anspruch nehmen, schlecht ab. Manche Tools schränken die Dateigröße ein, haben keinen Zugriff auf relevante Systeme oder verwenden Modelle, die weniger leistungsfähig sind als die Verbraucherprodukte, die die Mitarbeiter bereits kennen. Diese Lücke wird besonders bei fortgeschrittenen Nutzern deutlich. Jemand, der gelernt hat, benutzerdefinierte Arbeitsabläufe zu erstellen, Dokumente über mehrere Modelle hinweg zu analysieren oder spezialisierte Recherchetools zu nutzen, wird mit einem einfachen Unternehmens-Chatbot wahrscheinlich nicht zufrieden sein. Wenn das Unternehmen diesem Mitarbeiter eine weniger leistungsfähige Alternative zur Verfügung stellt und das Problem damit als gelöst betrachtet, ist eine inoffizielle Nutzung vorhersehbar. Das bedeutet nicht, dass jedes angeforderte Tool genehmigt werden sollte. Es bedeutet jedoch, dass die Auswahl nicht allein darauf basieren darf, was sich am einfachsten zentral beschaffen lässt. Unternehmen müssen verstehen, welche Aufgaben die Mitarbeiter zu verbessern versuchen und ob die genehmigte Technologie diese zuverlässig erfüllen kann. Ein genehmigtes Tool, das von den Mitarbeitern gemieden wird, ist kein erfolgreicher Einsatz. Es ist ein Beleg dafür, dass Beschaffung und Arbeitsgestaltung voneinander abgekoppelt sind.

Der Zugang für Unternehmen erfolgt oft zu langsam

Produkte auf Basis künstlicher Intelligenz können sich innerhalb weniger Monate erheblich verbessern. Neue Modelle, Forschungsfunktionen und Agent-Fähigkeiten tauchen schneller auf, als die meisten Unternehmen Verträge, Datenverarbeitungsbedingungen und Sicherheitsarchitekturen prüfen können. Dies führt zu einem unvermeidbaren Geschwindigkeitsunterschied. Ein Mitarbeiter kann innerhalb weniger Minuten ein persönliches Konto eröffnen. Ein Unternehmen benötigt möglicherweise Monate, um dasselbe Produkt zu prüfen, Unternehmenskonditionen auszuhandeln, das Identitätsmanagement anzubinden, Aufbewahrungsregeln festzulegen und Nutzer zu schulen. Das Problem verschärft sich, wenn der Zugriff auf Führungskräfte, Innovationsteams oder ausgewählte Abteilungen beschränkt ist. Mitarbeiter in anderen Bereichen des Unternehmens stehen weiterhin unter dem gleichen Druck, schneller zu arbeiten, müssen jedoch warten, während Kollegen an einem kontrollierten Pilotprojekt teilnehmen. Aus Sicht der Unternehmensführung verringert eine schrittweise Einführung das Risiko. Aus Sicht der Mitarbeiter kann dies willkürlich wirken. Einem Marketingteam wird vielleicht erklärt, dass KI strategisch wichtig ist, während ihm gleichzeitig ein Tool verweigert wird, das bei der morgigen Kampagne helfen würde. Einem Nachwuchsanalysten wird möglicherweise die Nutzung eines öffentlich zugänglichen Modells untersagt, obwohl ein leitender Manager regelmäßig KI-generierte Arbeitsergebnisse vorführt. Ungleicher Zugang veranlasst Mitarbeiter dazu, eigene Lösungen zu entwickeln. Manche bezahlen Abonnements aus eigener Tasche. Andere nutzen kostenlose Konten, Browser-Erweiterungen oder Anwendungen, die KI-Funktionen enthalten, ohne dass der zugrunde liegende Anbieter erkennbar ist. Bis die offizielle Einführung sie erreicht, ist ihr inoffizieller Arbeitsablauf möglicherweise bereits vertrauter und besser an ihre Arbeit angepasst.

Regeln sind oft zu vage, um sie befolgen zu können

Viele Mitarbeiter wissen nicht, was die KI-Richtlinie ihres Unternehmens zulässt. Sie haben vielleicht gehört, dass vertrauliche Informationen nicht in öffentliche Tools eingegeben werden dürfen, doch die praktischen Grenzen bleiben unklar. Wird eine Besprechungszusammenfassung vertraulich, wenn sie die Namen der Teilnehmer enthält? Darf ein Mitarbeiter ein anonymisiertes Kundendokument hochladen? Sind unveröffentlichte Marketingtexte sensibel? Wie sieht es mit einer Tabelle aus, die Lieferantenpreise, aber keine personenbezogenen Daten enthält? Sind kostenlose Versionen verboten, während kostenpflichtige Unternehmenskonten zulässig sind? Eine Richtlinie, die davon abhängt, dass Mitarbeiter ohne Anleitung rechtliche und technische Unterscheidungen treffen, führt zu uneinheitlichen Entscheidungen. Einige werden KI gänzlich meiden, selbst bei harmlosen Aufgaben. Andere werden entscheiden, dass das Entfernen eines Firmennamens jedes Dokument sicher macht. Der Wortlaut ist oft defensiv, weil die Unternehmen selbst unsicher sind. Sie veröffentlichen eine allgemeine Warnung, bevor sie festlegen, welche Tools zugelassen sind, welche Datenschutzmaßnahmen sie bieten und wie Mitarbeiter mit typischen Situationen umgehen sollen. Die Richtlinie schützt das Unternehmen auf dem Papier, bietet aber im Moment der Anwendung kaum Hilfe. Eine wirksame Anleitung benötigt konkrete Beispiele aus der Praxis des Unternehmens. Mitarbeiter sollten wissen, welche Kategorien von Informationen verwendet werden dürfen, welche eine genehmigte Umgebung erfordern und welche niemals übermittelt werden dürfen. Außerdem benötigen sie einen einfachen Weg, um bei einem unbekannten Fall nachzufragen, ohne mehrere Tage auf eine Antwort warten zu müssen. Klarheit ist wichtig, da die meisten Fälle von „Schatten-KI“ nicht mit der Absicht beginnen, gegen die Richtlinie zu verstoßen. Sie beginnen damit, dass ein Mitarbeiter unter Druck eine schnelle Entscheidung trifft.

Mitarbeiter werden für ihre Ergebnisse belohnt, nicht für ihre Geduld bei der Einhaltung von Abläufen

Ein Unternehmen kann von seinen Mitarbeitern verlangen, ausschließlich zugelassene Technologien zu nutzen, und sie gleichzeitig weiterhin anhand von Geschwindigkeit, Leistung und Reaktionsfähigkeit bewerten. Wenn der zulässige Prozess langsamer ist, entstehen hier Anreizkonflikte. Man denke beispielsweise an einen Berater, von dem erwartet wird, mit demselben Team mehr Kundenunterlagen zu erstellen, an einen Personalvermittler, der Hunderte von Bewerbungen bearbeiten muss, oder an einen Kommunikationsfachmann, der mehrere Märkte in Echtzeit beobachten soll. Das Management verlangt vielleicht nicht ausdrücklich den Einsatz von KI, doch die Erwartungen an die Arbeitsleistung machen eine Form der Automatisierung zunehmend attraktiv. Der Mitarbeiter, der sich an alle Einschränkungen hält, kann weniger produktiv erscheinen als ein Kollege, der diskret nicht genehmigte Tools nutzt. Der zweite Mitarbeiter erledigt mehr Arbeit, reagiert schneller und erhält möglicherweise sogar Lob für seine Eigeninitiative. Solange das Unternehmen nicht untersucht, wie das Ergebnis zustande gekommen ist, wird dieses inoffizielle Verhalten bestärkt. Die Angst, den Anschluss zu verlieren, sorgt für zusätzlichen Druck. Mitarbeiter sehen Vorführungen, in denen KI Aufgaben ausführt, die für ihre Arbeit relevant sind, und gehen davon aus, dass andere bereits davon profitieren. Einige glauben, dass das Erlernen dieser Tools notwendig ist, um ihre Karriere zu sichern – unabhängig davon, ob das Unternehmen formelle Schulungen anbietet. „Shadow-KI“ spiegelt daher mehr als nur Bequemlichkeit wider. Sie kann eine Reaktion auf eine implizite Erwartung des Arbeitsmarktes sein: Den Mitarbeitern wird vermittelt, dass KI-Kompetenz unverzichtbar wird, doch es wird ihnen kein sicheres Umfeld geboten, in dem sie diese entwickeln können. Einzelne Nutzer zu bestrafen, ohne diesen Widerspruch anzugehen, wird das zugrunde liegende Verhalten wahrscheinlich nicht ändern.

Persönliche KI-Tools erscheinen oft nützlicher

KI-Produkte für Endverbraucher sind auf eine sofortige Nutzung ausgelegt. Sie bieten einfache Benutzeroberflächen, schnelle Modellaktualisierungen und die Freiheit, zu experimentieren, ohne einen Business Case einreichen zu müssen. Mitarbeiter können sie an ihren eigenen Schreibstil, wiederkehrende Aufgaben und persönliche Vorlieben anpassen. Unternehmenssysteme sind in der Regel standardisiert. Administratoren können Funktionen deaktivieren, Integrationen einschränken und den Zugriff begrenzen, um das Unternehmen zu schützen. Diese Kontrollen sind oft gerechtfertigt, können die Nutzung jedoch weniger flexibel machen als bei einem persönlichen Konto. Der Unterschied wird deutlicher, je mehr Konversationsverläufe, benutzerdefinierte Anweisungen und wiederverwendbare Workflows die Nutzer ansammeln. Ihr bevorzugtes Tool beginnt, wie eine individuelle Arbeitsumgebung zu funktionieren. Der Wechsel zu einer genehmigten Plattform bedeutet, diese Gewohnheiten neu aufzubauen und ein System zu akzeptieren, das möglicherweise anders reagiert. Manche Mitarbeiter meiden das offizielle Tool auch, weil sie davon ausgehen, dass ihre Aktivitäten überwacht werden. Sie befürchten möglicherweise, dass experimentelle Eingaben, unvollständige Ideen oder Fragen, die Wissenslücken offenbaren, für Führungskräfte sichtbar sein könnten. Ein persönliches Konto vermittelt ein Gefühl von Privatsphäre, auch wenn es möglicherweise ein größeres Datenrisiko birgt. Unternehmen gehen selten direkt auf diese Bedenken ein. Sie erklären den Mitarbeitern, dass eine Unternehmensplattform sicherer sei, ohne jedoch zu erläutern, wer Zugriff auf Nutzungsprotokolle hat, was überwacht wird und wie die Informationen verwendet werden. In Ermangelung klarer Zusicherungen entscheiden sich manche Menschen für Bequemlichkeit und vermeintliche Privatsphäre statt für die Kontrolle durch das Unternehmen.

Die Risiken gehen über ein durchgesickertes Dokument hinaus

Das offensichtlichste Risiko im Zusammenhang mit Schatten-KI besteht darin, dass ein Mitarbeiter sensible Informationen in einen öffentlichen Dienst hochlädt. Dabei könnte es sich um Kundendaten, Quellcode, Verträge, interne Strategien oder unveröffentlichte Finanzergebnisse handeln. Selbst wenn der Anbieter keine Unternehmensdaten für das Modelltraining verwendet, fehlt dem Unternehmen möglicherweise eine Vereinbarung, die die Speicherung, den Zugriff, die Löschung und die grenzüberschreitende Verarbeitung regelt. Es gibt aber auch weniger offensichtliche Risiken. Ein KI-Tool kann fehlerhafte Informationen generieren, die ohne angemessene Überprüfung in ein Kundenangebot oder einen Managementbericht gelangen. Browser-Erweiterungen können umfassenden Zugriff auf Seiten, E-Mails oder Dokumente erhalten. Eine spezialisierte Anwendung kann auf mehrere zugrunde liegende Anbieter zurückgreifen, was es schwierig macht, festzustellen, wohin die Daten fließen. Auch die Eigentumsverhältnisse an geistigem Eigentum können unklar werden, wenn Mitarbeiter Inhalte über persönliche Konten erstellen, die den Nutzungsbedingungen für Verbraucher unterliegen. Regulierte Organisationen sehen sich zusätzlichen Anforderungen hinsichtlich der Aufbewahrung von Unterlagen, der Erklärbarkeit und der menschlichen Aufsicht gegenüber. Ein Mitarbeiter kann unbeabsichtigt einen Prozess schaffen, den das Unternehmen nicht reproduzieren oder prüfen kann. Agenten erhöhen das Risiko noch weiter. Ein Chatbot, der zur Verbesserung der Formulierung eingesetzt wird, wirkt sich auf ein einzelnes Dokument aus. Ein inoffizieller Agent, der mit E-Mail, Cloud-Speicher oder Unternehmensanwendungen verbunden ist, kann Informationen abrufen und über mehrere Systeme hinweg Maßnahmen ergreifen. Das Risiko verlagert sich von einer einzelnen Offenlegung hin zu einem nicht registrierten digitalen Mitarbeiter, der mit den Berechtigungen des Mitarbeiters agiert. Aus diesem Grund kann „Shadow-KI“ nicht einfach als ein weiteres nicht autorisiertes Abonnement behandelt werden. Das Tool interagiert möglicherweise mit dem Unternehmenswissen und den Prozessen auf eine Weise, die weder der Mitarbeiter noch das Sicherheitsteam vollständig versteht.

Ein Verbot von KI kann das Problem weniger sichtbar machen

Ein vollständiges Verbot mag in besonders sensiblen Umgebungen vorübergehend gerechtfertigt sein, hat jedoch einen entscheidenden Nachteil: Es nimmt die Möglichkeit, Erkenntnisse darüber zu gewinnen, wie Mitarbeiter die Technologie bereits nutzen. Bleibt die Nachfrage hoch, verlagert sich die Nutzung auf private Geräte, private Konten und weniger sichtbare Dienste. Mitarbeiter zögern zunehmend, über erfolgreiche Versuche zu sprechen, da das Eingestehen solcher Aktivitäten Konsequenzen nach sich ziehen könnte. Dem Unternehmen entgeht dadurch der Einblick sowohl in die Risiken als auch in den potenziellen Nutzen. Ein Verbot kann zudem den Eindruck erwecken, dass jede Nutzung von KI gleichermaßen gefährlich ist. Das Zusammenfassen eines öffentlichen Berichts und das Hochladen einer vertraulichen Kundendatenbank sind keine vergleichbaren Aktivitäten. Eine identische Behandlung erschwert die Verteidigung der Richtlinie und ermutigt Mitarbeiter, sich auf ihr eigenes Urteilsvermögen zu verlassen. Ein praktikablerer Ansatz unterscheidet zwischen Tools, Daten und Handlungen. Risikoarme Anwendungen können unter klaren Bedingungen erlaubt werden. Sensible Aufgaben können auf Unternehmenssysteme beschränkt werden, während Entscheidungen mit weitreichenden Auswirkungen eine menschliche Überprüfung erfordern. Bestimmte Anwendungen oder Datenkategorien können weiterhin verboten bleiben. Das Ziel ist eine kontrollierte Einführung statt uneingeschränkter Experimente. Mitarbeiter benötigen einen legitimen Weg, der einfacher zu beschreiten ist als der Umweg.

Finden Sie zunächst heraus, was die Leute vorhaben

Sicherheitsteams können zwar einen Teil des unbefugten KI-Datenverkehrs erkennen, doch eine technische Bestandsaufnahme gibt nur einen Teil des Gesamtbildes wieder. Das Unternehmen muss auch die dahinterstehenden Bedürfnisse verstehen. Ein Mitarbeiter, der ein Transkriptionstool nutzt, möchte möglicherweise stundenlange manuelle Notizen vermeiden. Jemand, der Tabellenkalkulationen in einen KI-Assistenten hochlädt, verfügt möglicherweise nicht über einen zugänglichen Datenanalysedienst. Ein Team, das einen öffentlichen Chatbot für Kundenantworten nutzt, gleicht damit möglicherweise ein veraltetes Support-System aus. Dies sind Signale, die Aufschluss über die Arbeitsabläufe geben. Sie decken sich wiederholende Aufgaben, fehlende Funktionen und Prozesse auf, von denen die Mitarbeiter glauben, dass sie einfacher sein sollten. Unternehmen sollten Teams dazu einladen, zu beschreiben, wie sie KI nutzen – einschließlich inoffizieller Experimente –, ohne dabei den Eindruck einer disziplinarischen Untersuchung zu erwecken. Mitarbeiter sind eher bereit, die Wahrheit zu sagen, wenn das Ziel darin besteht, sicherere Alternativen zu entwickeln, anstatt Verstöße aufzudecken. Die daraus resultierenden Anwendungsfälle können hinsichtlich ihres Nutzens, der Datensensibilität und des operativen Risikos bewertet werden. Einige sollten eingestellt werden. Andere können auf zugelassene Tools übertragen werden, während die vielversprechendsten einen formellen Arbeitsablauf oder die Anschaffung neuer Technologien rechtfertigen können. Dieser Ansatz verwandelt „Schatten-KI“ in eine Quelle organisatorischer Intelligenz. Das Unternehmen erfährt, wo Mitarbeiter Reibungspunkte wahrnehmen, bevor es eine andere Plattform auswählt, die diese möglicherweise nicht behebt.

Zugelassene Werkzeuge müssen wirklich wettbewerbsfähig sein

Ein sicherer Assistent ist nur dann effektiv, wenn die Mitarbeiter ihn für sinnvolle Aufgaben nutzen können. Das Unternehmen sollte zugelassene Tools anhand realer Aufgaben testen und nicht anhand von Anbietervorführungen. Kann das System die Dokumente verarbeiten, die die Mitarbeiter regelmäßig erhalten? Unterstützt es die erforderlichen Sprachen und Dateiformate? Können Nutzer Informationen aus internen Quellen abrufen, ohne diese manuell kopieren zu müssen? Ist das Ergebnis überzeugend genug, damit die Nutzer nicht sofort zu ihrem bevorzugten Verbraucher-Modell zurückkehren? Keine einzelne Plattform wird alle fachlichen Anforderungen erfüllen können. Unternehmen benötigen möglicherweise ein kontrolliertes Portfolio: einen allgemeinen Assistenten für die tägliche Arbeit, Spezialtools für bestimmte Abteilungen und einen Genehmigungsweg für neue Dienste. Der Zugriff kann je nach Rolle und Sensibilität der Daten angepasst werden. Der Prozess muss zudem schneller ablaufen als die herkömmliche Softwarebeschaffung. Ein schlanker Bewertungsprozess kann begrenzte Tests mit nicht sensiblen Informationen ermöglichen, bevor eine umfassende Unternehmensentscheidung getroffen wird. Andernfalls werden die Mitarbeiter die Erprobung weiterhin eigenständig und außerhalb jeglicher unternehmensinterner Kontrolle durchführen. Eine wettbewerbsfähige, genehmigte Umgebung wird zwar nicht jedes nicht autorisierte Tool beseitigen, aber sie beseitigt die häufigste Rechtfertigung für deren Nutzung.

Schulungen sollten sich auf Entscheidungen konzentrieren, nicht auf Funktionen

In vielen KI-Schulungen werden Eingabeaufforderungen und Produktfunktionen demonstriert, während den Entscheidungen, vor denen Mitarbeiter in der Praxis stehen, kaum Beachtung geschenkt wird. Zu wissen, wie man eine Zusammenfassung erstellt, ist weniger wichtig als zu wissen, ob das Dokument sicher eingereicht werden kann und wie das Ergebnis überprüft werden muss. Schulungen sollten realistische Szenarien aus dem Unternehmen verwenden. Die Mitarbeiter können so prüfen, welche Informationen zulässig sind, wie Material anonymisiert wird, wann ein Unternehmenstool erforderlich ist und welche Angaben einer unabhängigen Überprüfung bedürfen. Führungskräfte benötigen zusätzliche Anleitung, da sie Einfluss darauf haben, ob sich Mitarbeiter unter Druck gesetzt fühlen, KI ohne angemessene Unterstützung einzusetzen. Das Unternehmen sollte zudem erläutern, warum bestimmte Einschränkungen bestehen. Regeln lassen sich leichter befolgen, wenn die Mitarbeiter die vertraglichen, datenschutzrechtlichen und sicherheitstechnischen Konsequenzen verstehen, anstatt nur eine pauschale Warnung vor Risiken zu erhalten. Schulungen können zwar kein schlechtes Tool oder eine unbrauchbare Richtlinie kompensieren, aber sie können die große Kategorie des versehentlichen Missbrauchs reduzieren. Außerdem geben sie den Mitarbeitern das Selbstvertrauen, offen über KI zu sprechen, anstatt sie zu verheimlichen.

Führungskräfte müssen den Anreizkonflikt lösen

Mitarbeiter werden weiterhin nach Abkürzungen suchen, wenn die Unternehmensleitung höhere Produktivität fordert, ohne die Mittel bereitzustellen, um diese sicher zu erreichen. Führungskräfte müssen daher die Erwartungen an die tatsächlichen KI-Fähigkeiten des Unternehmens anpassen. Ein Team, das auf eine genehmigte Lösung wartet, kann nicht gleichzeitig an Leistungsniveaus gemessen werden, die nur mit inoffiziellen Tools erreichbar sind. Führungskräfte sollten wissen, welche Systeme zur Verfügung stehen, legitimes Experimentieren fördern und den Mitarbeitern Zeit einräumen, sich damit vertraut zu machen. Außerdem müssen sie es vermeiden, beeindruckende, durch KI erzeugte Arbeitsergebnisse zu loben, ohne zu fragen, wie mit den Unternehmensdaten umgegangen wurde. Das gleiche Prinzip gilt für Führungskräfte auf höchster Ebene. Führungskräfte, die öffentlich Verbraucher-Tools nutzen, während sie dem Rest der Belegschaft strengere Regeln auferlegen, untergraben die Glaubwürdigkeit der Richtlinien. Verantwortungsbewusstes Verhalten muss über alle Hierarchieebenen hinweg einheitlich sein. „Shadow-KI“ ist zum Teil ein Problem der Technologie-Governance, aber auch ein Managementproblem. Mitarbeiter interpretieren Prioritäten eher anhand von Arbeitsaufkommen, Fristen und Belohnungen als anhand von Richtliniendokumenten.

Von „Shadow AI“ zum sichtbaren Experimentieren

Unternehmen Man kann die unbefugte Nutzung von KI nicht verhindern, indem man so tut, als hätten die Mitarbeiter keinen Grund, sie nutzen zu wollen. Die Tools sind leicht zugänglich, die Produktivitätsvorteile können unmittelbar eintreten, und der berufliche Druck, sich mit ihnen auseinanderzusetzen, nimmt zu. Eine praktikable Lösung verbindet klare Grenzen mit glaubwürdigen Alternativen. Mitarbeiter benötigen zugelassene Tools, mit denen sich reale Aufgaben bewältigen lassen, praktische Regeln für verschiedene Arten von Daten und einen schnellen Weg zum Testen neuer Anwendungen. Das Unternehmen benötigt Einblick in die Nutzung, die Zuständigkeit für wichtige Arbeitsabläufe und Schutzmaßnahmen, die in einem angemessenen Verhältnis zu den Folgen eines Fehlers stehen. Es wird weiterhin Fälle geben, in denen Mitarbeiter klare Regeln missachten und Informationen leichtfertig preisgeben. Diese Vorfälle erfordern eine Rechenschaftspflicht. Sie sollten jedoch nicht den Blick auf das Gesamtbild verstellen: Weit verbreitete „Schatten-KI“ deutet in der Regel darauf hin, dass Technologie, Richtlinien und Erwartungen der Organisation nicht aufeinander abgestimmt sind.

Ein Mitarbeiter, der ein nicht genehmigtes Tool nutzt, geht damit ein Risiko ein, doch das Unternehmen hat bereits selbst mehrere Entscheidungen getroffen – hinsichtlich Zugriff, Beschaffung, Arbeitsbelastung und Schulung. Wenn der offizielle Weg die Arbeit nicht unterstützt, schaffen sich die Menschen einen anderen. Die effektivste KI-Governance sorgt dafür, dass der sichere Weg so praktikabel ist, dass Mitarbeiter nicht länger im Verborgenen arbeiten müssen.