So bekommen MSPs die Schatten-KI in den Griff

Vertreter einiger amerikanischer MSPs wie Phalanx Technology Group, Xperteks, Troinet, JMXi, Four Winds IT, Critical IT Solutions und Geeks-r-Us erläutern gegenüber CRN ihre Ansätze, um die Schatten-KI bei ihren Kunden unter Kontrolle zu bekommen und halten.

Beschäftigte nutzen Tools für künstliche Intelligenz, unabhängig davon, ob ihre Unternehmen darauf vorbereitet sind oder nicht. Das bestätigte diesen Monat einmal mehr ein Bericht von Clearwater Security & Compliance, einem auf Cybersicherheit und Compliance im Gesundheitswesen spezialisierten Unternehmen aus Nashville, Tennessee. Der Analyse zufolge konnten 91 Prozent der befragten Organisationen im Gesundheitswesen nicht überprüfen, welche KI tatsächlich in ihren IT-Umgebungen läuft. Fast die Hälfte der Organisationen im Gesundheitswesen verfügt demnach zwar über KI-Richtlinien, kann ihre Einhaltung aber technisch nicht durchzusetzen. Rund 31 Prozent nannten die unkontrollierte Nutzung nicht freigegebener KI-Tools durch Beschäftigte als ihre größte interne Sorge im Zusammenhang mit KI. Nur 14 Prozent konnten nachweisen, dass die KI-Kontrollmechanismen ihrer Anbieter vollständig überprüft sind.

Da Schatten-KI also ganz offensichtlich unvermeidbar ist, müssen IT-Dienstleister versuchen, den Schutz der Daten und IT-Umgebungen ihrer Kunden mit der Nutzung von KI und dem eigenständigen Experimentieren der Mitarbeiter mit der Technologie in Einklang zu bringen. Um einen Blick darauf zu bekommen, wie das gelingen kann, befragten CRN-Reporter die teilnehmenden IT-Dienstleister auf der Konferenz XChange NexGen 2026 der CRN-Muttergesellschaft The Channel Company in Florida: "Wie groß ist die Sorge um Schatten-KI, und wie helfen Sie Ihren Kunden, damit umzugehen?"

In ihren Antworten erläuterten Führungskräfte von Dienstleistern wie Phalanx Technology Group, Xperteks, Troinet, JMXi, Four Winds IT, Critical IT Solutions und Geeks-r-Us ihre Ansätze für diese Herausforderung. Dabei ging es auch um zentrale Fragen, wie die, ob Scans zur Erkennung von Schatten-KI ausreichen und welche Gefahren selbst von freigegebener KI ausgehen können.

Kelly Yeh
Präsident, Phalanx Technology Group (Chantilly, Virginia)

Schatten-KI ist für mich inzwischen eine große Geschäftschance. … Sobald man dokumentieren und dem Kunden zeigen kann: 'Sie haben mir gesagt, Sie hätten nur Copilot. Sie haben mir gesagt, es gebe überhaupt keine KI. Hier sind die 85 KI-Anwendungen und -Dienste, die bei Ihnen im Einsatz sind.' Das ist Schritt eins.

Schritt zwei ist dann, die Governance-Bausteine einzuführen. … Die KI-Nutzung ist unterschiedlich weit fortgeschritten. Alle wissen, dass es eine Herausforderung ist. Es ist ein bisschen wie beim iPhone. Als das iPhone auf den Markt kam, wurden BYOD-Richtlinien (Bring Your Own Device, also die Nutzung privater Geräte) zu einem großen Thema. … Es ist ein Paradigmenwechsel, weil der Impuls von den Beschäftigten kommt. 'Ich habe gerade ChatGPT gefragt. Und das ist die Antwort, die ich bekommen habe.'

Marcial Velez
Präsident und CEO, Xperteks Computer Consultancy (New York)

Im Moment kommen immer mehr KI-Tools auf den Markt. Und nicht nur ChatGPT. Die Arbeit damit wird so einfach und produktiv, dass die Menschen anfangen, Dinge einzugeben, die sie nicht eingeben sollten. Sie tun das aber nicht aus böser Absicht oder aus ähnlichen Motiven.

Wie schaffen wir als MSP nun eine Umgebung, in der sie mit diesen KI-Tools arbeiten können? Wie identifizieren wir die Tools und können sie als freigegebene KI-Tools einstufen? Und wie sorgen wir dafür, dass wir eingreifen können, wenn sie versehentlich sensible Daten übermitteln?

Nehmen wir als Beispiel ein Dokument, das sie einer KI übergeben möchten: Sie klicken auf "Alles auswählen", dann auf "Kopieren" und schließlich auf "Einfügen". Dabei merken sie nicht, dass … auf Seite drei sensible Daten standen. Wie verhindert man das und stellt sicher, dass dieses Einfügen nicht erlaubt ist, wenn sie es versuchen? … Das ist eine Chance für MSPs, sich jetzt zu überlegen: Wie schaffen wir den Governance-Rahmen? So wie wir es bereits bei der Cybersicherheit getan haben. So wie bei anderen Lösungen.

Dabei müssen wir stets am Ziel der KI-Einführung festhalten: Wie schaffen wir eine produktive, effektive und skalierbare Umgebung, in der sie wachsen können? Alle werden mit KI wachsen, aber sie verstehen die Leitplanken nicht unbedingt. Deshalb liegt es an uns, herauszufinden, wo wir Leitplanken einziehen können, die für sie möglicherweise nicht sichtbar sind, ihnen aber erlauben, zu experimentieren, Neues zu schaffen und mit KI mehr zu erreichen.

Ich möchte, dass sie an die Leitplanke stoßen und es merken: 'Oh, das kann ich nicht machen. Oh, das hätte ich nicht tun sollen.' Es ist wie beim Phishing. Warum haben wir Simulatoren? Auch hier geht es darum, das Verhalten zu beeinflussen. Bei Tools für KI-Leitplanken sind noch Verbesserungen nötig. Wir halten das für einen aufstrebenden Bereich.

Wayne Roye
CEO, Troinet (New York)

Das Thema kommt in Kundengesprächen ständig auf. Und wir sprechen es auch selbst an, weil alle davon hören. Man muss diesem Zug zuvorkommen, bevor er einen erfasst und überrollt.

Eines der schlechtesten Dinge, die man tun kann, ist, den Menschen etwas zu verbieten. Das hält sie nicht davon ab, sich mit KI zu beschäftigen. Vielmehr müssen sie besser verstehen, was KI leisten kann und worum es dabei geht.

Hier liegt die größte Lücke: Sie verstehen KI nicht und glauben, sie könne alles. Deshalb sollte man ganz am Anfang ansetzen und sagen: 'Okay, KI soll ein Problem lösen. Definieren Sie zuerst das Problem, das Sie haben.' Dann können wir darüber sprechen, wie wir etwas umsetzen können, das vielleicht nicht einmal KI ist. Vielleicht ist es etwas anderes.

Wenn wir diesem Zug durch Aufklärung zuvorkommen können, muss das von oben nach unten geschehen. Zwar sind es die Beschäftigten auf den unteren Ebenen, die damit experimentieren. Aber wenn die Führung nicht sagt: 'Das ist es, wofür unser Unternehmen steht', lässt sich keine echte Veränderung bewirken. … Geht man von oben nach unten vor, kann man das Verständnis schaffen und sagen: 'Okay, wir als Unternehmen, mit unserer Kultur, werden KI annehmen. Aber so werden wir dabei vorgehen.'

Wir führen keine Schatten-KI-Scans durch. Es geht vor allem um das Gespräch. Denn letztlich sind Scans zwar gut. Aber glauben Sie wirklich, dass sie die Menschen davon abhalten, sobald Sie Feierabend machen? Es geht also darum, vom 'Nein' wegzukommen. Sagen Sie: 'Okay. Wenn wir es machen, wie machen wir es als Unternehmen am besten?' Es ist wie mit den eigenen Kindern. Sobald man seinem Kind sagt, es solle etwas nicht tun, ist genau das das Erste, was es tun will, sobald man weggeht.

John Medaska

CEO, JMXi (St. Petersburg, Florida)

Das ist eine große Sorge für uns, wenn wir unsere Kunden vor internen und externen Risiken schützen und verhindern wollen, dass sensible Unternehmensinformationen nach außen gelangen.

Wir führen Sicherheits-, WLAN- und Netzwerkprüfungen durch, um sicherzustellen, dass ihre Daten innerhalb der Organisation bleiben und nicht nach außen offengelegt werden. Die Herausforderung besteht darin, dass Unternehmensinhaber häufig keine Kontrolle über das Geschehen haben und in vielen Fällen nicht einmal wissen, dass es passiert.

Dylan Borden

Vizepräsident für Betrieb und Wachstum, Four Winds IT (Sarasota, Florida)

Ich glaube, Schatten-KI entwickelt sich zu einer der größten Sorgen der Unternehmensleitungen, mit denen wir zusammenarbeiten – wenn nicht sogar zur größten. Sie gehört auf jeden Fall zu den drei wichtigsten.

Wir erstellen für alle unsere Kunden Schatten-KI-Berichte, damit sie sehen können, welche Tools ihre Teams nutzen, und besser verstehen, wie diese Tools miteinander verknüpft sind.

Darauf aufbauend helfen wir ihnen, eine klarer ausgerichtete Strategie zu entwickeln, um KI unter der Kontrolle des Unternehmens zu skalieren, statt die Beschäftigten beliebige Tools nutzen zu lassen.

Hani Eshack

Gründer und CEO, Critical IT Solutions (Clarksburg, Maryland)

Das ist eine enorme Sorge, besonders in letzter Zeit – für unsere Kunden und für uns selbst, denn unsere Aufgabe ist es, sie zu schützen.

Die Herausforderung geht auch vom Kunden aus: Die Kunden hören davon, wollen KI nutzen, nutzen sie bereits, und ihre Anwender tun es ebenfalls. Unsere Aufgabe ist es also, all das abzusichern. Dazu müssen wir das Thema koordinieren, es ihnen erklären, die Tools einführen und zunächst eine Richtlinie haben. Wie lautet Ihre Richtlinie? Welche Tools werden Sie zulassen? Und anschließend müssen wir verhindern, dass alle anderen etwas anderes nutzen, beispielsweise ein privates ChatGPT-Konto. Wir blockieren diesen Zugang derzeit. Wer KI nutzen will, muss sich an die Unternehmensrichtlinie halten.
Dann gibt es auch Fälle, in denen viele Prozesse laufen – etwa PowerShell. Wir setzen Zero Trust ein, um zu verhindern, dass PowerShell im Hintergrund ausgeführt wird. Das Ganze ist also noch in Arbeit.

Wir versuchen, eine Strategie zu entwickeln und festzulegen, mit der wir unseren Kunden Lösungen anbieten können. Wir können ihnen nicht einfach sagen: 'Da gibt es ein Problem. Hören Sie damit auf.' Das wird nicht passieren. Das ist nicht realistisch. Unsere Aufgabe ist es also, aufzuklären, die Richtlinie zu erarbeiten und sicherzustellen, dass die Kunden einen Mehrwert erhalten.

KI ist wirklich ein gutes Werkzeug, aber sie ist auch riskant. Es sind viele Risiken damit verbunden. Sobald die Kunden das verstehen, ergibt es aus meiner Sicht viel Sinn. Das ist unser Ansatz. Aber der Umgang damit ist sehr anspruchsvoll.

David Yates

Gründer und geschäftsführender Inhaber, Geeks-r-Us (Fort Myers, Florida)

Leider bereitet mir das größere Sorgen als meinen Kunden. Ich habe das Glück, dass wir mit vielen Kanzleien, Praxen und ähnlichen Dienstleistungsbüros zusammenarbeiten, die von sich aus zurückhaltend sind, wenn es darum geht, auf die neuesten Tools aufzuspringen. Deshalb hatten wir bislang nicht viele Probleme mit Beschäftigten, die eigenmächtig etwas einführen, von dem wir nichts wissen.

Aber wir ringen mit der Frage: Wie führen wir die nötigen Tools ein? Wie schaffen wir Werkzeuge, mit denen wir das überprüfen und unter Kontrolle behalten können? Das ist eines der wenigen Themen, die mir noch immer den Schlaf rauben.
Es muss etwas geben, das durch das Raster fällt – Menschen, die Dinge tun, von denen wir nicht unbedingt wissen. Wenn wir mit dem Kunden darüber sprechen, versuchen wir deshalb, Projekte umzusetzen, von denen wir wissen, dass sie sich eingrenzen und überprüfen lassen.

Denn eines der anderen großen Probleme, die wir sehen, ist: Die Software ermöglicht ihnen, mithilfe von KI Code zu schreiben, aber es gibt dafür keine Qualitätskontrolle. Es gibt keine Qualitätssicherung. … Heute mag das Ergebnis stimmen. Aber wir wissen nicht, ob Änderungen daran, wie sie Kundentypen im Code abbilden, künftig zu einer schleichenden Veränderung der Qualität führen.

Solange uns Werkzeuge fehlen, mit denen wir das besser unter Kontrolle haben, gehen wir deshalb behutsam vor. Unsere Kunden haben sehr positiv darauf reagiert, bei klar abgegrenzten Projekten zu bleiben, die entweder von uns oder von ihren eigenen Mitarbeitenden überprüft und betreut werden können.

Dieser Artikel erschien zuerst bei unserer Schwesterpublikation crn.com.

CRN-Newsletter beziehen und Archiv nutzen - kostenlos: Jetzt bei der CRN Community anmelden