So steuern Sie BYOAI, ohne Innovation zu bremsen

Die Verbreitung von Remote-Arbeit während und nach der Pandemie hat über die Jahre deutlich zugenommen. Beschäftigte, die remote arbeiten, profitieren zwar von einigen Vorteilen, es gibt aber auch zahlreiche Nachteile. Einer davon ist die sogenannte „Schatten-IT“. Damit sind Systeme, Geräte, Software und Services gemeint, die in einem Unternehmen ohne ausdrückliche Genehmigung oder Aufsicht der zentralen IT-Abteilung genutzt werden.

Mit dem gleichzeitigen Aufkommen künstlicher Intelligenz hat sich die Schatten-IT um eine Praxis namens „Bring Your Own Artificial Intelligence“, kurz BYOAI, erweitert. Gemeint ist damit, dass Beschäftigte nicht genehmigte KI-Systeme für die von ihnen bevorzugten Abläufe auswählen oder „mitbringen“. Was harmlos wirkt, kann sensible Informationen offenlegen, sobald diese Tools außerhalb der Unternehmenskontrollen laufen.

Bring Your Own AI bezeichnet die nicht genehmigte oder nicht verwaltete Nutzung von KI-Diensten durch Beschäftigte. Der richtige Ansatz ist kein Verbot. In diesem Blogbeitrag zeigen wir Ihnen, wie Sie BYOAI verantwortungsvoll ermöglichen, gestützt auf klare Richtlinien, freigegebene Tools und messbare Kontrolle.

Sie lernen lieber visuell? Dann sehen Sie sich „So steuern Sie BYOAI, ohne Innovation zu bremsen“ für weitere Details an.

Best Practices im Überblick

Voraussetzungen für die BYOAI-Governance

Bevor Sie ein BYOAI-Governance-Konzept aufsetzen, sollten Sie folgende Voraussetzungen schaffen:

• Schriftliche Richtlinie zur akzeptablen KI-Nutzung: Diese Dokumentation sollte klar definieren, was als angemessene KI-Nutzung gilt und wann sie unsicher wird. Außerdem gehören zulässige Datentypen und bestimmte Einschränkungen hinein.
• Identitäts- und Zugriffsmanagement (IAM): Setzen Sie Minimalprivilegien und Regeln für bedingten Zugriff um, damit nur Berechtigte bestimmte KI-Tools nutzen können.
• Transparenz und Überwachung: Verschaffen Sie sich Einblick in Web-, DNS- und Endpunktaktivitäten, um Nutzung aufzudecken und zu überwachen. So lassen sich potenzielle Risiken der BYOAI-Nutzung erkennen und eindämmen.
• Workflows für Ausnahmen: Dokumentieren Sie Genehmigungen, Ausnahmen und Richtlinienüberprüfungen über Ticketing-Systeme.
• Framework für Risikobewertungen: Erstellen Sie ein einfaches Raster, das KI-Tools nach Datenkategorie, Vertrauenswürdigkeit des Anbieters und Sicherheitslage bewertet.

Aufgabe 1: BYOAI definieren und den Geltungsbereich festlegen

📌 Anwendungsfall:

Damit wird klar definiert, was BYOAI nach den Standards Ihres Unternehmens bedeutet.

Klare Grenzen sind entscheidend, damit Beschäftigte und Administrator:innen wissen, was das Unternehmen im Hinblick auf BYOAI erlaubt. Mit den folgenden Schritten setzen Sie BYOAI-Richtlinien um.

1. BYOAI definieren: Legen Sie eine konkrete Definition fest: BYOAI ist die Nutzung von KI-Tools oder -Modellen, die nicht freigegeben, nicht für Datenkontrollen auf Unternehmensebene konfiguriert oder außerhalb genehmigter Kontexte eingesetzt werden.
2. Eine Allowlist erstellen: Listen Sie erlaubte Tools, erlaubte Datentypen und verbotene Datenklassen auf, etwa Anmeldeinformationen, regulierte personenbezogene Daten (PII), Gesundheitsdaten (PHI) oder Zahlungsdaten.
3. Beispiele bereitstellen: Veröffentlichen Sie Beispiele für sichere und unsichere Prompts, um Erwartungen zu setzen.

Aufgabe 2: Ein freigegebenes KI-Toolkit mit Risikobewertungen erstellen

📌 Anwendungsfall:

Diese Aufgabe soll den Beschäftigten ein fundiertes Verständnis davon vermitteln, welche KI-Tools für die Sicherheit des Unternehmens unbedenklich sind.

Wer BYOAI befürwortet, ermöglicht sichere Entscheidungen und dokumentiert gleichzeitig die Gründe dafür. Dazu müssen Sie aber zuerst bestimmen, welche KI-Tools die Belegschaft gefahrlos einsetzen darf.

Gehen Sie dafür so vor:

1. Bewerten Sie Tools nach Datenspeicherort, Verschlüsselung, Protokollierung, Zugriffskontrollen und Zusagen des Anbieters.
2. Dokumentieren Sie Bedingungen, zum Beispiel: nur freigegeben mit Single-Sign-On (SSO), Mandantentrennung, Schutz vor Datenverlust oder kundenseitig verwalteten Schlüsseln.
3. Teilen Sie die Tools in folgende Gruppen ein:

• • Freigegeben: Tools, die für die allgemeine Nutzung als sicher eingestuft wurden.
  • Bedingt freigegeben: Tools, die nur unter bestimmten Voraussetzungen erlaubt sind.
  • Nicht erlaubt: KI-Tools, deren Nutzung untersagt ist, weil sie ein hohes Datenrisiko bergen.

4. Halten Sie Ausnahmen mit verantwortlicher Person, Begründung und Ablaufdatum fest.

Aufgabe 3: Bestehende BYOAI-Nutzung aufdecken

📌 Anwendungsfall:

Diese Aufgabe erweitert die Reichweite der geplanten BYOAI-Governance-Richtlinien, indem ermittelt wird, welche KI-Tools die Beschäftigten bereits nutzen.

Bevor Sie einheitliche BYOAI-Richtlinien durchsetzen, sollten Sie zunächst nicht verwaltete Tools und Nutzungsmuster finden. So berücksichtigen Sie beim Erstellen der BYOAI-Governance-Richtlinien mehr relevante Aspekte.

Achten Sie zu Beginn auf Signale wie diese:

• Endpunktprozesse und Browser-Erweiterungen, die mit KI-Diensten in Verbindung stehen
• DNS– und Proxy-Protokolle zu bekannten KI-Domains und neuen Abfragen
• CASB– oder Secure-Web-Gateway-Erkennungen für KI-Kategorien
• Hinweise in Tickets und Chats, die auf wiederkehrende Tool-Nutzung hindeuten

Sobald diese Informationen vorliegen, können Sie folgende Schritte gehen:

1. Erfassen Sie nicht freigegebene Tools im Inventar und ordnen Sie sie Teams und Datentypen zu.
2. Überführen Sie unbedenkliche Nutzungsmuster in Richtlinien und nehmen Sie freigegebene Tools in den Katalog auf.
3. Eröffnen Sie Tickets für riskante Nutzung, inklusive Handlungsempfehlungen und Fristen für den Wechsel zu genehmigten Alternativen.

Aufgabe 4: Gestaffelte technische Kontrollen anwenden

📌 Anwendungsfall:

Diese Aufgabe listet technische Kontrollen auf und liefert IT- und Sicherheitsteams damit konkrete, umsetzbare Schritte.

Eine gut gesteuerte BYOAI-Strategie stützt sich auf mehrere Durchsetzungsebenen: Endpunkte, Browser, Netzwerke und Cloud-Umgebungen. Hier sind die einzelnen Bereiche und die passenden Kontrollen dazu:

1. Kontrollen auf Endpunktebene

• • Nutzen Sie, wo sinnvoll, Windows-11-Einstellungen, Gruppenrichtlinien oder Registrierungsschlüssel, um generative KI-Funktionen zuzulassen oder zu sperren.
  • Setzen Sie Allow-Listing für Anwendungen oder Kontrollen für Browser-Erweiterungen bei riskanten Add-ons ein.
  • Erzwingen Sie Gerätekonformität, bevor Sie Zugriff auf genehmigte KI-Tools gewähren.

2. Kontrollen im Browser und Netzwerk

• • Blockieren Sie nicht freigegebene KI-Domains oder belegen Sie sie mit eingeschränkten Richtlinien, die verhindern, dass sensible Inhalte das Unternehmen verlassen.
  • Aktivieren Sie je nach Sensibilität SSL-Inspektion, Inhaltsprüfung oder Upload-Scans.
  • Überwachen Sie neu beobachtete KI-Domains und prüfen Sie diese monatlich.

3. Kontrollen in der Cloud

• • Deaktivieren Sie KI-Konnektoren für Repositories mit regulierten Daten, solange keine Schutzmechanismen greifen.
  • Setzen Sie Schutz vor Datenverlust ein, um sensible Muster in Uploads und Chat-Prompts zu erkennen.
  • Verlangen Sie für freigegebene Tools Single-Sign-On (SSO), bedingten Zugriff und Sitzungskontrollen.

Aufgabe 5: Benutzer:innen schulen und unterstützen

📌 Anwendungsfall:

Diese Aufgabe stellt sicher, dass alle im Team auf demselben Stand sind und die Governance-Richtlinien kennen.

BYOAI-Richtlinien lassen sich nur dann erfolgreich umsetzen, wenn alle Beteiligten gut darüber informiert sind. Das senkt den Datenabfluss durch menschliches Fehlverhalten und hält die Produktivität hoch.

Schulungen sollten folgende Bereiche abdecken:

• Welche Daten mit KI-Tools geteilt werden dürfen und welche nicht
• Wie sich sichere Prompts formulieren lassen, die keine Geheimnisse preisgeben
• Wie KI-Ergebnisse geprüft werden, bevor sie in Tickets, Dokumenten oder in der Kommunikation verwendet werden
• Wie ein neues Tool oder eine Ausnahme von der Richtlinie mit klarer geschäftlicher Begründung beantragt wird

Greifen Sie diese Schwerpunkte auf, wenn Sie kurze vierteljährliche Auffrischungen mit Beispielen aus dem freigegebenen Toolkit planen.

Aufgabe 6: Überwachen, überprüfen und verbessern

📌 Anwendungsfall:

Diese Aufgabe garantiert fortlaufende Sicherheit und Schutz für das Unternehmen, während die BYOAI-Richtlinien umgesetzt werden.

KI-Tools entwickeln sich rasant weiter, deshalb müssen sich Ihre Richtlinien laufend anpassen. Sobald Sie BYOAI steuern, gehört es daher zur Routine, Ihre Richtlinien zu überwachen, zu überprüfen und zu verbessern. Diese Kennzahlen sollten Sie im Blick behalten:

• Anteil des KI-Traffics, der über freigegebene Tools läuft
• Anzahl der Ausnahmen und durchschnittliche Zeit bis zum Ablauf
• DLP-Vorfälle im Zusammenhang mit KI-Nutzung, nach Schweregrad
• Neu erkannte KI-Domains und Zeit bis zur Entscheidung

Überwachung und Überprüfung erfolgen idealerweise monatlich im Rahmen der operativen Durchsicht von Erkennungen und Ausnahmen. Verbesserungen setzen Sie über vierteljährliche Toolkit-Updates und Richtlinien-Aktualisierungen auf Basis der Erkenntnisse um.

Integrationen von NinjaOne

Eine umfassende Plattform für Endpunkt-Management wie NinjaOne bietet leistungsstarke Werkzeuge für die BYOAI-Governance. So funktioniert es:

BYOAI wirksam steuern

BYOAI ist unter Beschäftigten längst gängige Praxis. Es zu steuern ist der richtige Weg, um Produktivitätsgewinne zuzulassen. So erhalten Beschäftigte klare Leitplanken für den Einsatz der KI ihrer Wahl, während die Unternehmensdaten geschützt bleiben.

Wichtigste Erkenntnisse:

• Definieren Sie BYOAI, veröffentlichen Sie erlaubte Tools und untersagen Sie riskante Datenklassen.
• Decken Sie aktuelle Nutzungsmuster auf, bevor Sie strengere Kontrollen durchsetzen.
• Richten Sie Schutzmechanismen für Endpunkte, Browser, Netzwerk und Cloud ein, passend zur Sensibilität der Daten.
• Schulen Sie Benutzer:innen mit praxisnahen Beispielen und einem einfachen Ausnahmeprozess.
• Überwachen Sie die Ergebnisse, lassen Sie Ausnahmen auslaufen und aktualisieren Sie das freigegebene Toolkit regelmäßig.

Mit diesen Governance-Strategien kann BYOAI Beschäftigte voranbringen, sie zum verantwortungsvollen Umgang mit KI-Tools befähigen und zugleich eine robuste Sicherheit im Unternehmen gewährleisten.

Verwandte Themen:

• Was ist AIOps (künstliche Intelligenz für den IT-Betrieb)?
• Agentische KI und KI-Agenten: Wo liegt der Unterschied?
• Anwendungen künstlicher Intelligenz im ITSM
• Die Rolle von KI in der Endpunkt-Sicherheit