Wie sichere KI-Nutzung innerhalb weniger Klicks zum Risiko wird

Eine freigegebene KI-Anwendung ist nicht automatisch eine kontrollierte KI-Anwendung. Denn während Unternehmen Produkte, Anbieter und Vertragsbedingungen prüfen, verändert sich die tatsächliche Nutzung oft innerhalb weniger Klicks – durch private Konten, neue Agenten, zusätzliche Konnektoren oder sensible Daten im Prompt. Shadow AI entsteht deshalb zunehmend nicht außerhalb der Governance, sondern mitten in eigentlich genehmigten Arbeitsabläufen.

Thomas Boele, Global Director Solutions Engineering – AI Security bei Check Point Software Technologies , erklärt, warum selbst freigegebene KI-Anwendungen jederzeit in einen unkontrollierten Shadow-AI-Zustand kippen können – und weshalb Governance künftig der konkreten Interaktion folgen muss.

Die Freigabe einer Anwendung schafft zunächst einen wichtigen Kontrollpunkt. Sicherheit, Recht, Datenschutz, Beschaffung und IT können einen Dienst gemeinsam bewerten, Vertragsbedingungen festlegen, Schutzmechanismen konfigurieren und Regeln für dessen Nutzung definieren.

Doch diese Freigabe beschreibt lediglich den Zustand zum Zeitpunkt der Prüfung. KI-Dienste entwickeln sich inzwischen erheblich schneller als klassische Governance- und Beschaffungszyklen. SaaS-Plattformen erhalten Copiloten und Agenten, Browser-Erweiterungen neue Konnektoren, Anwendungen unterstützen plötzlich externe Modelle oder MCP-Server. Gleichzeitig unterscheiden sich private und geschäftliche Konten desselben Dienstes oftmals erheblich hinsichtlich Datenschutz, Aufbewahrung und administrativer Kontrolle.

Damit wird die klassische Unterscheidung zwischen „freigegebener KI“ und „Shadow AI“ zunehmend unscharf.

Shadow AI ist ein Zustand, keine Produktkategorie

Entscheidend ist nicht mehr allein, welche Anwendung verwendet wird. Entscheidend ist, wie sie in diesem Moment genutzt wird.

Eine eigentlich kontrollierte KI-Interaktion kann ihren Sicherheitszustand bereits verändern, wenn sich nur ein einzelner Parameter verschiebt:

• Identität: Beschäftigte wechseln vom verwalteten Unternehmenszugang zu einem privaten Konto.
• Funktion: Eine bereits freigegebene SaaS-Plattform erhält einen GenAI-Assistenten, einen autonomen Workflow oder agentische Fähigkeiten.
• Integration: Ein Plug-in, eine Browser-Erweiterung, ein Konnektor, ein MCP-Server oder externer Agent bekommt Zugriff.
• Daten: Kundeninformationen, Quellcode, Zugangsdaten, Verträge oder andere schützenswerte Informationen fließen in die Interaktion ein.
• Zweck: Ein für allgemeine Texterstellung genehmigter Dienst wird plötzlich für regulierte Daten oder geschäftskritische Entscheidungen eingesetzt.
• Aktion: Ein bislang rein generativer Assistent darf nun Daten abrufen, Nachrichten verschicken, Systeme verändern oder weitere Prozesse auslösen.

Innerhalb einer einzigen Arbeitssitzung können mehrere solcher Zustandswechsel stattfinden.

Besonders deutlich wird das beim Wechsel der Identität. Ein Unternehmen kann für einen KI-Dienst Datenschutzbedingungen, Aufbewahrungsfristen, administrative Kontrollen und Protokollierung ausgehandelt haben. Meldet sich derselbe Beschäftigte jedoch mit seinem privaten Konto an, gelten diese Schutzmaßnahmen möglicherweise nicht mehr.

Für den Nutzer sieht die Anwendung nahezu identisch aus. Aus Sicht der Sicherheit handelt es sich jedoch um einen völlig anderen Datenpfad.

Das Asset-Inventar reicht nicht mehr aus

Sicherheitsteams müssen weiterhin wissen, welche KI-Anwendungen und Agenten eingesetzt werden, wer sie nutzt und mit welchen Systemen sie kommunizieren. Doch dieses Inventar ist bei KI zunehmend nur noch der Ausgangspunkt.

Dass eine Anwendung offiziell zugelassen wurde, beantwortet nicht die entscheidenden Fragen: Erfolgt die Anmeldung im verwalteten Unternehmens-Mandanten? Welche KI-Funktion ist aktiv? Welche Informationen gelangen in den Prompt? Darf ein neu hinzugekommener Konnektor Unternehmensdaten abrufen? Und wohin werden Ergebnisse anschließend übertragen?

Diese Informationen finden sich nicht im Softwarekatalog. Sie entstehen während der Interaktion.

Wie relevant diese Ebene inzwischen ist, zeigt der aktuelle AI Security Report 2026 von Check Point Research. Danach stieg der Anteil risikoreicher GenAI-Prompts innerhalb eines Jahres von zwei auf vier Prozent. Gleichzeitig verwenden Unternehmen durchschnittlich zehn verschiedene KI-Anwendungen pro Monat, viele davon ohne formale Freigabe.

Das Problem entsteht dabei keineswegs nur durch gezielte Angriffe. Sensible Informationen verlassen Unternehmen häufig im Rahmen vollkommen legitimer Alltagsarbeit.

Der Grund dafür liegt in der Funktionsweise generativer KI selbst: Je mehr Kontext ein Modell erhält, desto hilfreicher fällt normalerweise die Antwort aus. Also werden Verträge, Kundenhistorien, Quellcode, Meeting-Protokolle oder interne Diskussionen ergänzt.

Die Qualität des Ergebnisses steigt – gleichzeitig wächst jedoch die potenzielle Datenexposition. Vertraute Anwendungen schaffen neue Datenpfade Hinzu kommt, dass KI nicht mehr unbedingt als eigenständige Anwendung erkennbar ist.

Generative Funktionen stecken inzwischen in Produktivitätssuiten, CRM-Plattformen, Entwicklungsumgebungen, Videokonferenzsystemen, Browsern und Desktop-Anwendungen. Damit wächst die Angriffs- und Datenexpositionsfläche gerade innerhalb jener Produkte, die Unternehmen längst freigegeben haben.

Microsofts Work Trend Index 2026 verdeutlicht die Geschwindigkeit dieser Entwicklung. Die Zahl aktiver Agenten im Microsoft-365-Ökosystem ist innerhalb eines Jahres um den Faktor 15 gestiegen, in großen Unternehmen sogar um den Faktor 18. Gleichzeitig zeigt die Untersuchung, dass organisatorische Faktoren wie Unternehmenskultur, Unterstützung durch Führungskräfte und Talententwicklung wesentlich stärker mit erfolgreicher KI-Nutzung zusammenhängen als individuelles Verhalten.

Für die Sicherheit entsteht dadurch ein neues Problem: Eine vertraute Anwendung kann Informationen auf bislang unbekannte Weise miteinander kombinieren.

Eine Mitarbeiterin darf beispielsweise mehrere Kundendatensätze einzeln einsehen. Ein integrierter Assistent fasst diese Daten zusammen, verknüpft sie mit E-Mails und übergibt das Resultat anschließend an einen automatisierten Workflow. Das Risiko liegt dann nicht zwingend im einzelnen Datenzugriff. Es entsteht durch die Aggregation des Kontexts und den nachgelagerten Datenfluss. Ein schlichtes Label wie „freigegeben“ verliert damit erheblich an Aussagekraft.

Regulierung richtet sich nach der tatsächlichen Nutzung

Diese Verschiebung ist nicht nur eine technische Herausforderung, sondern auch eine regulatorische.

Die europäische KI-Verordnung definiert einen Betreiber als natürliche oder juristische Person beziehungsweise Organisation, die ein KI-System in eigener Verantwortung verwendet. Entscheidend ist damit die tatsächliche Nutzung und nicht allein der Beschaffungsvorgang.

Wer nicht erkennen kann, welche KI-Funktion in welchem Kontext und mit welchen Daten genutzt wird, bekommt zwangsläufig Schwierigkeiten, daraus resultierende Pflichten zuverlässig zu bewerten und nachzuweisen.

Das zeigt sich bereits bei der KI-Kompetenz nach Artikel 4 des AI Acts. Die entsprechenden Verpflichtungen gelten seit dem 2. Februar 2025 und richten sich ausdrücklich an Anbieter und Betreiber von KI-Systemen. Seit dem 3. August 2026 greifen zudem die dazugehörigen Überwachungs- und Durchsetzungsregelungen.

Auch die Verschiebung verschiedener Hochrisiko-Regelungen schafft nur begrenzt Luft. Nach dem im Juli 2026 in Kraft getretenen AI Omnibus gelten die entsprechenden Vorschriften für Hochrisiko-KI-Systeme nach Artikel 6 Absatz 2 und Anhang III ab dem 2. Dezember 2027. Für KI-Systeme, die Bestandteil regulierter Produkte nach Anhang I sind, gilt der 2. August 2028.

Doch bevor ein Unternehmen beurteilen kann, ob ein KI-Einsatz überhaupt in eine bestimmte Risikoklasse fällt, muss es diesen Einsatz zunächst kennen. Genau daran kann Shadow AI Governance scheitern lassen.

Governance muss der Interaktion folgen

Die Konsequenz daraus ist eine kontinuierliche, kontextbezogene Bewertung der KI-Nutzung. Sicherheitsteams müssen erkennen können, wer welche KI über welches Konto und welches Gerät nutzt, welche Erweiterungen und Agenten beteiligt sind, welche Daten verarbeitet werden und welche Aktionen daraus entstehen können.

Erst dieser Kontext unterscheidet beispielsweise einen Mitarbeiter, der mit einem kontrollierten Unternehmensassistenten einen öffentlichen Pressetext optimiert, von demselben Mitarbeiter, der über ein privates Konto unveröffentlichte Finanzzahlen analysiert.

Auf dieser Grundlage lassen sich Schutzmaßnahmen zudem abgestuft einsetzen. Eine risikoarme Aktivität kann ohne Eingriff weiterlaufen. Eine private Anmeldung kann einen Hinweis auslösen oder den Wechsel zum Unternehmenszugang erzwingen. Sensible Daten lassen sich maskieren. Nicht zugelassene Integrationen können blockiert werden. Und Aktionen eines KI-Agenten können vor der Ausführung eine zusätzliche Freigabe erfordern. Damit verschiebt sich KI-Governance von einer statischen Produktentscheidung hin zu einer dynamischen Kontrolle des Nutzungskontexts.

Fazit: „Freigegeben“ ist nur eine Momentaufnahme

Unternehmen können KI-Richtlinien besitzen, Anbieter prüfen, Enterprise-Lizenzen einkaufen und trotzdem Shadow AI im eigenen Netzwerk haben.

Denn Shadow AI entsteht zunehmend in den Zwischenräumen dieser Kontrollen: beim Wechsel auf ein privates Konto, durch eine neue Funktion innerhalb einer freigegebenen Anwendung, einen zusätzlichen Konnektor, bislang unbekannte Daten im Prompt oder eine Aktion, die der ursprüngliche Assistent überhaupt nicht ausführen konnte.

Die eigentliche Herausforderung besteht deshalb nicht mehr darin, KI-Werkzeuge dauerhaft in „erlaubt“ und „unerlaubt“ einzuteilen.