Stand: 30. September 2026
Fast jedes Unternehmen erlebt inzwischen eine neue Form von Schatten-IT: Shadow AI. Mitarbeiter nutzen KI-Assistenten, Browser-Erweiterungen, Coding-Tools, Meeting-Bots oder Agent-Plattformen, ohne dass Security, Datenschutz oder IT diese Lösungen vollständig bewertet haben. Das Problem ist nicht die KI selbst, sondern fehlende Sichtbarkeit und fehlende Governance.
Google Cloud nennt Shadow AI 2026 ausdrücklich als einen der Bereiche, die neue Security- und Governance-Funktionen adressieren sollen. Das zeigt, dass das Thema längst über einzelne Chatbots hinausgeht. Mit AI Agents entstehen zusätzliche Verbindungen zu Unternehmensdaten, APIs und Cloud-Ressourcen.
Was Shadow AI konkret bedeutet
Shadow AI umfasst jede KI-Nutzung außerhalb definierter Unternehmensprozesse. Das kann ein kostenloser Web-Chat sein, aber auch ein lokal installierter Coding Assistant, eine Browser Extension, ein externer Meeting-Transcriber oder ein Agent, der Zugriff auf Google Drive, Microsoft 365 oder Git-Repositories erhält.
Entscheidend ist, welche Daten übertragen werden, wie lange sie gespeichert werden, ob sie für Training verwendet werden, welche Unterauftragnehmer beteiligt sind und welche Rechte der Dienst über OAuth oder API-Tokens erhält.
Die fünf größten Risiken
1. Datenabfluss
Mitarbeiter kopieren vertrauliche Inhalte in KI-Tools, um schneller zu arbeiten. Quellcode, Kundendaten, Verträge oder interne Dokumente können dadurch das kontrollierte Unternehmensumfeld verlassen.
2. Unkontrollierte OAuth-Berechtigungen
Viele AI-Tools verbinden sich mit Cloud-Apps. Ein Klick auf „Mit Microsoft anmelden“ oder „Connect Google Drive“ kann weitreichende Berechtigungen erzeugen, die später kaum jemand prüft.
3. Fehlende Nachvollziehbarkeit
Wenn Entscheidungen oder Inhalte mit nicht genehmigten Modellen erzeugt werden, fehlen Audit-Trails. Das ist besonders problematisch bei regulierten Prozessen oder personenbezogenen Daten.
4. Prompt Injection und Agent-Risiken
Ein Agent, der externe Webseiten liest und gleichzeitig interne Tools ausführen darf, kann durch manipulierte Inhalte beeinflusst werden. Shadow AI vergrößert dieses Risiko, weil Sicherheitskontrollen häufig fehlen.
5. Lizenz- und Compliance-Fragen
Kostenlose Konten, private Accounts und nicht geprüfte Datenverarbeitungsverträge können juristische und organisatorische Probleme verursachen.
Verbieten allein funktioniert selten
Ein generelles KI-Verbot klingt einfach, führt aber häufig dazu, dass Mitarbeiter Tools heimlich nutzen. Besser ist ein abgestuftes Modell mit klaren erlaubten Tools, Datenklassen und Use Cases.
Ein Unternehmen kann beispielsweise festlegen: öffentliche Informationen dürfen mit freigegebenen SaaS-KI-Diensten verarbeitet werden; interne Daten nur mit Enterprise-Konten; vertrauliche Daten ausschließlich in kontrollierten Plattformen oder gar nicht.
Visibility zuerst
Bevor Policies greifen, muss die tatsächliche Nutzung sichtbar werden. CASB-, Secure-Web-Gateway-, DNS- und Endpoint-Daten können zeigen, welche KI-Dienste aufgerufen werden. OAuth-App-Reviews helfen dabei, verbundene Cloud-Anwendungen zu erkennen.
Dieser Governance-Gedanke ergänzt EU AI Act 2026 und AI Governance im Unternehmen.
Ein praxisnahes Governance-Modell
Allow List: Definieren Sie genehmigte KI-Dienste und Vertragsmodelle.
Data Policy: Legen Sie fest, welche Datenklassen verarbeitet werden dürfen.
Identity: Unternehmens-SSO statt privater Accounts verwenden.
Logging: Nutzung und Admin-Änderungen auditierbar machen.
Agent Permissions: AI Agents nur minimal notwendige Rechte geben.
Review: Neue Tools vor Freigabe technisch und datenschutzrechtlich prüfen.
AI-BOM und Agent-Identitäten
Neue Security-Ansätze gehen inzwischen weiter als klassische App-Inventarisierung. Google beschreibt 2026 unter anderem AI-BOM-Ansätze und Agent Identities, um Komponenten, Modelle, Tools und Zugriffe besser sichtbar zu machen. Für Unternehmen ist die Richtung klar: KI muss wie andere produktive IT inventarisiert und kontrolliert werden.
Fazit
Shadow AI wird nicht verschwinden, weil der Produktivitätsdruck weiter steigt. Unternehmen gewinnen mehr, wenn sie sichere Alternativen bereitstellen und Nutzung sichtbar machen, statt ausschließlich zu verbieten. Gute AI Governance schafft kontrollierte Freiräume: klare Tools, klare Datenregeln, zentrale Identitäten, begrenzte Agent-Rechte und nachvollziehbares Monitoring.
Weiterführende Quellen
Google Cloud: Redefining security for the AI era
Titelbild: Compagnons / Unsplash
Autor: Salman Dolatpanah Gortlar