Schatten-KI breitet sich aus – und das Risiko für Banken und Versicherer wächst

Immer mehr Beschäftigte greifen im Arbeitsalltag auf private KI-Tools wie ChatGPT oder Midjourney zurück – auch ohne Freigabe durch ihre Arbeitgeber. Laut einer aktuellen Bitkom-Umfrage unter 604 Unternehmen in Deutschland gehen vier von zehn Betrieben davon aus, dass Mitarbeitende generative KI über private Zugänge einsetzen. In acht Prozent der Unternehmen sei diese sogenannte „Schatten-KI“ sogar weit verbreitet – doppelt so viele wie im Vorjahr. Weitere 17 Prozent berichten von Einzelfällen, ebenso viele vermuten eine verdeckte Nutzung. Nur 29 Prozent sind sicher, dass keine privaten KI-Tools verwendet werden.

Diese Entwicklung zeigt, wie stark sich generative KI in den beruflichen Alltag eingeschlichen hat. „Künstliche Intelligenz entwickelt sich im Alltag vieler Menschen zu einer Standardtechnologie. Mit der Verbreitung von KI-Tools wächst auch der Wunsch, die Vorteile bei der Arbeit zu nutzen“, sagt Bitkom-Präsident Dr. Ralf Wintergerst. Doch dieser Trend birgt erhebliche Risiken – gerade für hochregulierte Branchen wie Banken und Versicherungen. Im Finanz- und Versicherungssektor zählen Datenschutz, Informationssicherheit und Nachvollziehbarkeit zu den zentralen Grundpfeilern des operativen Geschäfts. Wenn Mitarbeitende ohne Freigabe über private Konten sensible Daten – etwa Kundendaten, Vertragsunterlagen oder interne Memos – in externe KI-Systeme eingeben, kann das unmittelbar gegen die Datenschutz-Grundverordnung (DSGVO) verstoßen. Denn bei vielen kommerziellen KI-Plattformen ist unklar, wie eingegebene Daten gespeichert, verarbeitet oder weiterverwendet werden.

Zudem drohen Verstöße gegen interne Compliance-Regeln, aufsichtsrechtliche Anforderungen (z. B. BaFin-Rundschreiben zur IT- und Datenverarbeitung) und Geheimhaltungspflichten. Auch Urheberrechtsfragen können entstehen, wenn Texte oder Bilder aus generativen Modellen ohne klare Nutzungsrechte in offizielle Dokumente, Marketingmaterialien oder Kundenkommunikation einfließen. Besonders kritisch ist, dass Schatten-KI sich der Kontrolle und Protokollierung der IT- und Datenschutzabteilungen entzieht – ein klarer Widerspruch zu den Prinzipien digitaler Souveränität und regulatorischer Nachvollziehbarkeit.

Fehlende Richtlinien und unklare Zuständigkeiten

Erst 23 Prozent der befragten Unternehmen haben bislang verbindliche Regeln für den Einsatz von KI-Tools eingeführt – immerhin ein Anstieg gegenüber 15 Prozent im Vorjahr. 31 Prozent planen entsprechende Vorgaben, während 24 Prozent das Thema noch gar nicht angegangen sind. Damit besteht in vielen Organisationen weiterhin eine gefährliche Grauzone zwischen erlaubtem und faktischem KI-Einsatz. Gleichzeitig stellen bislang nur 26 Prozent der Unternehmen ihren Mitarbeitenden geprüfte und sichere Zugänge zu generativer KI zur Verfügung – bei großen Unternehmen (ab 500 Beschäftigten) liegt der Anteil mit 43 Prozent deutlich höher. Weitere 17 Prozent planen, eigene Lösungen bereitzustellen.

Banken und Versicherungen arbeiten mit großen Mengen personenbezogener und vertraulicher Daten – von Kundendaten über Schadensakten bis hin zu Risikomodellen. Schon ein einzelner unbedachter Prompt in einem privaten KI-Chat kann genügen, um interne Informationen preiszugeben. Wenn diese Daten bei einem Anbieter außerhalb der EU landen, kann das einen DSGVO-Verstoß darstellen, der empfindliche Bußgelder und Reputationsschäden nach sich zieht. Zudem kann Schatten-KI die Integrität automatisierter Entscheidungsprozesse gefährden. Wenn etwa KI-generierte Texte in Risikoberichte, Policen oder interne Bewertungssysteme einfließen, ohne dokumentierte Herkunft und Qualitätsprüfung, untergräbt das die Nachvollziehbarkeit und damit das Vertrauen in die Systeme.

Klare Regeln und eigene Lösungen statt Schatten-KI

Bitkom empfiehlt daher, klare Unternehmensrichtlinien für den KI-Einsatz zu formulieren. Diese sollten festlegen, welche Tools zu welchen Zwecken genutzt werden dürfen, welche Daten verarbeitet werden dürfen und wie Ergebnisse gekennzeichnet oder offengelegt werden müssen. Für Banken und Versicherer ist der Weg zur sicheren KI-Nutzung jedoch noch spezifischer: Nur durch eigene, geprüfte KI-Systeme innerhalb der kontrollierten IT-Infrastruktur lässt sich sicherstellen, dass Datenschutz, Compliance und Governance gewahrt bleiben. Dazu gehört auch, Mitarbeitende aktiv zu schulen und transparente Freigabeprozesse zu etablieren.

Mit der Verbreitung von KI-Tools, etwa auf dem Smartphone, wächst auch der Wunsch, die Vorteile bei der Arbeit zu nutzen. Die Unternehmen sollten KI-Wildwuchs vermeiden und der Entwicklung einer Schatten-KI vorbeugen. Dazu müssen sie klare Regeln für den KI-Einsatz aufstellen und ihren Beschäftigten KI-Technologien zur Verfügung stellen.“

Ralf Wintergerst, Präsident Bitkom

Anstatt den Wildwuchs einer Schatten-KI zu riskieren, ist es für Finanz- und Versicherungsunternehmen daher sinnvoller, den Einsatz von KI gezielt zu steuern – durch sichere, datenschutzkonforme Lösungen, die unternehmenseigene Standards erfüllen. Nur so lässt sich das Potenzial generativer KI verantwortungsvoll nutzen, ohne regulatorische oder datenschutzrechtliche Risiken einzugehen.tw