Shadow AI und KI-Agenten: 81 Prozent deutscher Unternehmen sehen Risiken bei sensiblen Daten

KI-Agenten entwickeln sich vom Produktivitätswerkzeug zum neuen Governance-Risiko: In Deutschland berichten 81 Prozent der befragten Führungskräfte, dass automatisierte Workflows ohne ausreichende Kontrolle mit sensiblen Unternehmensdaten interagieren. Gleichzeitig entstehen immer mehr KI-Prozesse außerhalb der Sichtweite von IT und Security. Damit verschiebt sich die entscheidende Frage von „Welche KI nutzen wir?“ zu „Können wir noch kontrollieren, auf welche Daten autonome Systeme zugreifen?“

Eine neue Studie von Veeam Software zeigt, wie stark sich sogenannte Shadow Agents bereits in Unternehmen der EMEA-Region ausbreiten. Gemeint sind autonome oder automatisierte KI-Workflows, die nicht vollständig genehmigt, überwacht oder durch zentrale Governance-Prozesse kontrolliert werden.

EMEA-weit geben 70 Prozent der Unternehmen an, dass automatisierte KI-Workflows ohne vollständige Kontrolle mit sensiblen Unternehmensdaten interagieren. 67 Prozent berichten zudem, dass Mitarbeiter autonome KI-Prozesse erstellen, die von der IT nicht vollständig nachverfolgt werden können.

Das Problem erinnert an die bekannte Shadow-IT – allerdings mit einer neuen Qualität. Während nicht autorisierte Anwendungen bislang vor allem zusätzliche Angriffsflächen oder Compliance-Probleme verursachten, können autonome Agenten selbstständig Daten abrufen, verarbeiten, weitergeben und Aktionen auslösen. Fehlende Transparenz wird damit unmittelbar zum Daten- und Geschäftsrisiko.

Deutschland besonders stark von Shadow Agents betroffen

Besonders ausgeprägt ist die Situation laut Studie in Deutschland. 81 Prozent der befragten Führungskräfte berichten hierzulande von automatisierten Workflows, die ohne ausreichende Aufsicht mit sensiblen Daten interagieren.

79 Prozent geben außerdem an, dass Mitarbeiter sogenannte Schatten-Workflows aufbauen, die von den zuständigen IT-Teams nicht nachvollzogen werden können.

Damit liegt Deutschland deutlich über den EMEA-weiten Durchschnittswerten. Auch Großbritannien kämpft mit der Entwicklung: Dort berichten 75 Prozent der Unternehmen, dass ihnen eine angemessene Kontrolle über KI-Agenten fehlt, die auf sensible Daten zugreifen.

Für Unternehmen entsteht daraus ein grundlegendes Governance-Problem. Je autonomer KI-Systeme arbeiten, desto weniger reicht es aus, lediglich einzelne Anwendungen oder Agenten freizugeben. Entscheidend wird vielmehr, welche Daten ein Agent nutzen darf, woher diese stammen und ob Zugriffe, Entscheidungen und Aktionen nachvollziehbar bleiben.

Daten werden zur eigentlichen Sicherheitsgrenze der Agentic AI

Die Veeam-Ergebnisse unterstreichen damit eine zentrale Entwicklung der Agentic-AI-Ära: Der Schutz einzelner KI-Agenten allein skaliert nicht.

Unternehmen müssen vielmehr das Datenfundament absichern, auf dem autonome Systeme arbeiten. Fehlen Governance, Transparenz, Zugriffskontrollen und belastbare Wiederherstellungsmechanismen, können sensible Informationen unkontrolliert in KI-Workflows gelangen.

Das erhöht nicht nur das Risiko eines Datenabflusses. Auch regulatorische Vorgaben, Datenschutzanforderungen und interne Sicherheitsrichtlinien lassen sich schwerer nachweisen, wenn Unternehmen nicht mehr eindeutig nachvollziehen können, welche Agenten auf welche Daten zugegriffen haben.

Tim Pfälzer, General Manager und Senior Vice President EMEA bei Veeam , sieht deshalb die Daten selbst im Mittelpunkt der Sicherheitsstrategie. Der Versuch, Tausende autonome Agenten einzeln zu kontrollieren, sei nicht skalierbar. Stattdessen müssten Unternehmen die Daten schützen, steuern und verstehen, auf denen diese Systeme basieren.

Die wachsenden Governance-Anforderungen wirken sich bereits auf die Architektur von KI-Umgebungen aus.

41 Prozent der Unternehmen in der EMEA-Region entwickeln laut Veeam eigene lokale oder souveräne KI-Modelle, unter anderem um Risiken durch Schatten-KI besser kontrollieren zu können. Weitere 49 Prozent verfolgen einen hybriden Ansatz: Sensible Daten werden über lokale oder souveräne Modelle verarbeitet, während globale KI-Dienste für weniger kritische Aufgaben eingesetzt werden.

Anders stellt sich die Lage im Mittleren Osten und in Afrika dar. Dort verlassen sich 41 Prozent der befragten Unternehmen für sämtliche Anwendungsfälle vollständig auf globale KI-Anbieter.

Die Unterschiede deuten darauf hin, dass regulatorische Vorgaben zunehmend Einfluss darauf haben, wie Unternehmen ihre KI-Infrastruktur aufbauen. Gerade in Europa entwickeln sich Datenstandort, Datenhoheit und Nachvollziehbarkeit damit von Compliance-Fragen zu Architekturentscheidungen.

KI-Governance erreicht die Vorstandsetage

Parallel zum technologischen Kontrollverlust steigt der regulatorische Druck auf das Management. 58 Prozent der befragten Unternehmen geben laut Studie an, inzwischen Regelungen zur Unternehmenshaftung zu unterliegen. Gleichzeitig sind die Verantwortlichkeiten offenbar nicht überall eindeutig geklärt: Jeder zehnte Befragte beschreibt die individuelle Zuständigkeit als geteilt oder unklar.

Die Folgen reichen bis in die Führungsetagen. 40 Prozent sorgen sich um persönliche Haftung oder andere Konsequenzen, 39 Prozent berichten von einer stärkeren Kontrolle durch den Vorstand und 37 Prozent von zunehmendem persönlichem Stress oder Ängsten. Bei 32 Prozent haben die neuen Verantwortlichkeiten bereits zu Spannungen oder Konflikten unter Führungskräften geführt.

Die Entwicklung hat allerdings auch einen positiven Effekt. 45 Prozent der Befragten berichten, dass die erhöhte Rechenschaftspflicht die Abstimmung und den Fokus auf Führungsebene verbessert habe.

Damit wird deutlich: KI-Governance ist längst keine Aufgabe mehr, die allein bei IT, Datenschutz oder Informationssicherheit angesiedelt werden kann. Sobald autonome Systeme geschäftskritische Daten verarbeiten und selbstständig handeln, wird ihre Kontrolle zu einer Frage der Unternehmensführung.

EU AI Act verstärkt die Unsicherheit

Zusätzlichen Druck erzeugt der EU AI Act. Zwar bewerten 83 Prozent der Führungskräfte die Regulierung grundsätzlich positiv. Gleichzeitig sehen viele Unternehmen erhebliche Unsicherheiten bei der praktischen Umsetzung.

62 Prozent befürchten, dass Unklarheiten oder regulatorische Grauzonen zu Compliance-Risiken führen könnten. 63 Prozent rechnen darüber hinaus mit unbeabsichtigten operativen oder rechtlichen Folgen.

Besonders groß ist die Unsicherheit in Deutschland und Großbritannien: Rund 74 Prozent der Befragten betrachten bestehende Grauzonen als mögliches Compliance-Risiko.

Gerade im Zusammenspiel mit autonomen KI-Agenten entsteht daraus eine schwierige Situation. Unternehmen sollen zunehmend nachweisen können, wie KI eingesetzt wird, während gleichzeitig immer mehr Workflows außerhalb klassischer Governance-Strukturen entstehen.

Shadow AI wird zur Frage der Datenkontrolle

Die Veeam-Studie zeigt damit weniger ein isoliertes KI-Problem als eine strukturelle Verschiebung in der Informationssicherheit.

Wenn autonome Agenten Aufgaben selbstständig übernehmen, APIs aufrufen und Unternehmensdaten verarbeiten, lässt sich Sicherheit nicht mehr ausschließlich über das einzelne Tool herstellen. Unternehmen benötigen vielmehr eine belastbare Governance für Identitäten, Datenzugriffe, Klassifizierung, Protokollierung und Wiederherstellung.

Shadow Agents sind deshalb möglicherweise nur das sichtbare Symptom. Das eigentliche Risiko entsteht dort, wo Unternehmen nicht mehr zuverlässig beantworten können, welche Daten ihre KI-Systeme verwenden, wer ihnen Zugriff gewährt hat und welche Entscheidungen daraus entstehen.