Emails lesen und bearbeiten gehört zu den arbeitsintensivsten Einzelfähigkeiten im Büroalltag und dominiert in vielen Büro die Arbeitszeit. Um die Effizienz zu steigern und vor allem Zeit zu sparen verwenden Mitarbeiter oft in guter Absicht KI Modelle um Emails zusammenzufassen und  Antworten vorzubereiten.

User sind sich an dieser Stelle oft nicht bewusst, dass genau hier Shadow AI entsteht. Werden komplette Emailverläufe eingefügt, da die KI den Kontext braucht, ist hier das Risiko groß, dass sensible personenbezogene Daten oder Geschäftsgeheimnisse unzulässiger Weise an Dritte, in dem Fall, an die Betreiber von KI Modellen, weitergegeben werden. 

Sobald der User die Daten an die KI Modelle übermittelt, hat er oft keine Kontrolle mehr darüber, wie die KI die Daten verarbeitet, loggt oder löscht. Und genau hier kann der Mitarbeiter bzw. das Unternehmen gegenüber dem Betroffenen seine Informations-, Zweckbindungs-, und Löschpflichten nicht mehr erfüllen. Ob das KI Modell die übermittelten für Trainingszwecke verwendet, kann der User je nach Modell nur bedingt steuern. Auskunfts- oder Löschanfragen können kaum noch erfüllt werden.

Der Einsatz von KI sollte aber an dieser Stelle ganz klar nicht verteufelt werden – KI sollte in modernen Unternehmen zur Effizienzsteigerung unbedingt eingesetzt werden. Dazu braucht es nur eine klare Linie:

Webbasierte, externe  KI-Dienste dürden verwendet werden, wenn die hochgeladenen Daten anonymisiert sind, also keine identifizierbaren Personen enthalten und KI Tools so konfiguriert sind, dass die Inhalte nicht für Trainingszwecke verwendet werden.

Nur von der Unternehmensleitung freigegebene Enterprise KI Tools sind zu verwenden und keine Privaten for free Varianten. Zudem sind Auftragsverarbeitungsverträge mit dem Modell Anbieter abzuschließen. Je nach Anwendungsfall können auch lokale KI-Modelle bevorzugt werden, da die Verarbeitung innerhalb der eigenen IT-infrastruktur erfolgt und sensible Daten nicht an externe Anbieter übertragen werden.

Technisch kann mittels Data-Loss-Prevention Lösung verhindert werden, dass überhaupt sensible Daten wie Emailadressen, Passwörter, vertrauliche Vertragsinhalte in ein KI- Modell hochgeladen werden können.

Bei den Usern ist ein Bewusstsein im Umgang mit KI zu schaffen. Es ist wichtig zu verstehen, dass es nicht erlaubt ist, komplette Postfächer per OAuth automatisiert auszulesen und komplette Postfächer, Kalendereinträge an einen Drittanbieter zu übermitteln.

 Ohne Freigabe der Unternehmensleistung, ohne vorherige datenschutzrechtliche Prüfung des Tools auf Zweckbindung, Drittlandtransfer, technische Schutzmaßnahmen, Transparenz und Löschung ist eine Übermittlung der Daten rechtswidrig.