Mit SASE Shadow AI beherrschen: Sicherheit & Transparenz für Gen-AI im Unternehmen

Shadow AI bezeichnet die Nutzung von KI-Tools im Unternehmen ohne Freigabe oder Kenntnis der IT- und Sicherheitsabteilung. In der Praxis sind das meist browserbasierte Dienste wie ChatGPT oder Copilot, die Mitarbeitende eigenständig für ihre Arbeit einsetzen. Anders als klassische Schatten-IT ist Shadow AI schwerer erkennbar, weil die Nutzung über verschlüsselte Verbindungen läuft und keine Software installiert werden muss. Genau daraus entstehen Sicherheitslücken und Compliance-Verstöße, wenn sensible Daten in externe Dienste gelangen.

Im Vordergrund stehen Datenabfluss, fehlerhafte Inhalte und Verstöße gegen Datenschutz und Compliance. Werden sensible Daten in nicht freigegebene Dienste eingegeben, verlassen sie den kontrollierten Bereich des Unternehmens dauerhaft. Hinzu kommen fehlende Transparenz über die tatsächlich genutzten Tools, unzureichend eingebundene Sicherheits- und IT-Teams sowie fehlende Schulungen, die das Risiko falscher Eingaben erhöhen. Bei Verstößen gegen den EU AI Act drohen zusätzlich erhebliche Bußgelder.

Der EU AI Act trat Mitte 2024 in Kraft und stuft KI-Systeme nach ihrem Risikopotenzial in die Kategorien verboten, Hochrisiko, begrenzt und minimal ein. Für Hochrisiko-Systeme gelten Transparenz- und Dokumentationspflichten. Unternehmen werden zu internen Kontroll- und Governance-Strukturen verpflichtet, oberstes Ziel sind Datenschutz, Sicherheit und Grundrechte. Bei Verstößen sieht die Verordnung erhebliche Sanktionen vor. KI lässt sich damit nicht mehr ohne verbindliche Governance betreiben.

Eine SASE-Architektur kombiniert SD-WAN mit Sicherheitsdiensten wie Cloud-Access-Security-Broker, Secure-Web-Gateway, Firewall-as-a-Service, Zero-Trust-Network-Access und Data-Loss-Prevention. Entscheidend ist die durchgängige Sichtbarkeit: Unternehmen erkennen, welche KI-Modelle und Anwendungen tatsächlich im Einsatz sind, auch wenn diese verschlüsselt oder nicht offiziell eingeführt wurden. Überwachung und Analysefunktionen machen Anomalien sichtbar, verhindern Datenlecks und ermöglichen Compliance mit Vorgaben wie der DSGVO. Damit lassen sich auch verschlüsselte oder nie offiziell eingeführte KI-Dienste zuverlässig sichtbar machen.

Es gibt vier gängige Varianten. Cloud-native ist schlank und skalierbar und eignet sich besonders für Filialstrukturen. Cloud-managed On-Premise bietet höhere Performance durch lokale Prüfungen. Bei Managed SASE übernimmt SAVECALL Betrieb und Konfiguration, optional auch co-managed. Hybride Modelle kombinieren Cloud- und On-Premise-Sicherheit für globale Umgebungen. Welche Variante passt, hängt von Unternehmensgröße, vorhandener Infrastruktur und strategischen Anforderungen ab. SAVECALL bewertet diese Faktoren herstellerneutral und empfiehlt die Variante, die wirklich passt.

Nein, ein technisches Fundament allein reicht nicht. Unternehmen müssen klare Richtlinien definieren, welche Tools genutzt werden dürfen, welche Datentypen verarbeitet werden und wer für Freigaben verantwortlich ist. Dazu gehören etablierte Freigabeprozesse und Verantwortlichkeiten, kontinuierliche Risikoanalysen und Monitoring sowie die Sensibilisierung der Mitarbeitenden durch Trainings. Erst das Zusammenspiel aus verbindlichen Policies und technischer Durchsetzung macht die Nutzung von Gen AI wirklich beherrschbar.