Während Sie diesen Artikel lesen, nutzen Ihre Mitarbeiter bereits generative KI-Dienste, ob Sie es wollen oder nicht.

Sie laden potenziell sensible Unternehmensdaten in ChatGPT oder ähnliche Dienste hoch. Sie erstellen Zusammenfassungen von Dokumenten, fragen nach Geschäftsstrategien, verbessern Management-Präsentationen oder führen einfach nur eine einfache und altmodische Grammatikprüfung oder Übersetzung durch.

Für den Durchschnittsangestellten scheint das alles harmlos zu sein, aber Sie sollten es besser wissen. Sensible und wertvolle Unternehmensdaten werden mit öffentlichen generativen KI-Tools geteilt, die dann zum Training ihrer großen Sprachmodelle (LLMs) verwendet werden können.

Haben Sie sich jemals gefragt, woher diese Bilder im Stil von Studio Ghibli kommen?

Sie können es Ihren Kollegen nicht verübeln. Generative KI-Dienste ermöglichen es ihnen, produktiver, kreativer und innovativer zu sein. ChatGPT ist unglaublich einfach zu bedienen, sehr kooperativ und freundliche für einen Nicht-Menschen und liefert beeindruckende Ergebnisse.

Was gibt es da nicht zu mögen? Wir haben das Zeitalter der Schatten-KI erreicht.

In diesem Artikel zeige ich Ihnen, wie Sie die Schatten-KI in Ihrem Unternehmen im Auge behalten können, und gebe Ihnen einige praktische Tipps, wie Sie Ihre (sensiblen) Daten sicher halten können.

Überwachung Ihrer sensiblen Daten mit Shadow AI

Microsoft Purview bietet mehrere Dienste, die Sie bei der Überwachung von Schatten-KI in Ihrem Unternehmen unterstützen. Werfen wir zunächst einen Blick auf das Data Security Posture Management für KI.

Datensicherheits-Positionsmanagement für KI

Öffnen Sie zunächst das Data Security Posture Management for AI im Microsoft Purview Portal.

Die Übersichtsseite gibt Ihnen Einblicke in sensible Informationstypen, die mit Microsoft Copilot und anderen KI-Apps geteilt werden. Ein Beispiel:

Zugegebenerweise, musste ich selber Claude und Perplexity nachschlagen. Wie Sie vielleicht schon vermutet haben, handelt es sich bei beiden um KI-Assistenten .

Zu Bedenken ist, dass es sich bei dieser Art von Erkennungen in Purview manchmal um false-positives handeln kann. Sie müssen etwas genauer nachforschen, um festzustellen, ob sensible Daten tatsächlich mit öffentlichen KI-Diensten geteilt werden. Das Wichtigste ist jedoch, dass Sie jetzt einen klaren Beweis dafür haben, dass Ihre Mitarbeiter generative KI-Tools verwenden. Wenn Sie auf Details anzeigen klicken, öffnet sich der Aktivitäten-Explorer. Es werden weitere Details zu diesen Ergebnissen angezeigt.

Jede Aktivität bietet zusätzliche Informationen. 

Diese Ergebnisse werden von einer Data Loss Prevention (DLP)-Richtlinie erzeugt.

Insider-Risikomanagement

Insider Risiko Management hilft Unternehmen, interne Risiken zu identifizieren und zu minimieren, indem es Signale aus Microsoft 365 und anderen Quellen nutzt. Es ermöglicht die proaktive Erkennung von risikoreichem Benutzerverhalten, wie z. B. Datenlecks, Verstöße gegen Sicherheitsrichtlinien oder Schatten-KI. Der Berichtsabschnitt bietet eine Analyse der potenziell riskanten KI-Nutzung (Vorschau) in Ihrem Unternehmen. 

IRM enthält eine Vorschaurichtlinie zur Erkennung riskanter KI-Nutzung:

Ich empfehle, die Richtlinie an die spezifischen Anforderungen Ihres Unternehmens anzupassen, anstatt bei den Standardeinstellungen zu bleiben. Nur als Vorwarnung: Diese Richtlinie befindet sich noch in der Vorschau. Microsoft könnte die Funktionen optimieren oder sogar Änderungen vornehmen, die die Funktionsweise beeinträchtigen - Sie sollten sie also auf jeden Fall im Auge behalten.

Defender für Cloud-Apps

Microsoft Defender for Cloud Apps ist eine umfassende Cloud Access Security Broker (CASB)-Lösung, die Ihnen umfassende Transparenz, Kontrolle und Schutz für Ihre Cloud-Anwendungen und -Dienste bietet. Die Lösung lässt sich in Microsoft 365 und Anwendungen von Drittanbietern integrieren und hilft Unternehmen, Schatten-IT zu erkennen, Datenlecks zu verhindern und riskantes Nutzerverhalten in der Cloud zu überwachen. Innerhalb von Cloud Discovery gibt es eine Registerkarte namens Discovered Apps.

Eine der spannenden Funktionen hier ist eine eigene Kategorie für generative KI. 

Wenn Sie eine generative KI-App auswählen, erhalten Sie weitere Details.

Sie haben jetzt wertvolle Erkenntnisse, um geeignete Maßnahmen gegen die Verwendung von ChatGPT in Ihrem Unternehmen zu ergreifen.

Einhaltung der Kommunikationsvorschriften

Microsoft Purview Communication Compliance ist eine Lösung, die Unternehmen dabei unterstützt, unangemessene oder riskante Kommunikation in ihren digitalen Umgebungen zu erkennen, zu untersuchen und entsprechend zu handeln. Es sind sieben Richtlinienvorlagen verfügbar:

Jede Vorlage enthält eine Standortauswahloption, die Generative AI abdeckt:

Sobald Ihre Richtlinie beginnt, Nachrichten zu erkennen, können Sie jede einzelne überprüfen. Ein Beispiel:

Prüfer können die Benachrichtigungsfunktion nutzen, um den betreffenden Nutzer direkt zu kontaktieren. Diese Funktion ist verfügbar, wenn Sie eine ausstehende Meldung öffnen. Sie können entweder eine neue Benachrichtigungsvorlage erstellen oder eine vorhandene verwenden. Ein Beispiel:

Nach einem Klick auf die blaue Schaltfläche "Speichern" erhält der Anwender die E-Mail - und passt im Idealfall sein KI-bezogenes Verhalten entsprechend an.

Schützen Sie Ihre sensiblen Daten vor Schatten-KI

Wir haben uns mit den verschiedenen Tools beschäftigt, die Sie verwenden können, um Schatten-KI zu entdecken und ihre Verwendung in Ihrem Unternehmen zu überwachen. Werfen wir nun einen Blick darauf, wie Microsoft Purview Data Loss Prevention (DLP) zum Schutz Ihrer sensiblen Daten beitragen kann - insbesondere mit Endpunkt DLP.

Öffnen Sie zunächst das Einstellungsmenü im Microsoft Purview Admin Center. Hier müssen Sie Ihre Service-Domänen und sensiblen Service-Domänengruppen konfigurieren. .

Sie verwenden diese Optionen in den Regeln Ihrer Endpunkt DLP-Richtlinie.

Ich empfehle, zunächst mit einer Blockierungs- und Überschreibungsrichtlinie zu beginnen, bevor Sie eine vollständige Blockierung vornehmen. Stellen Sie sicher, dass Sie mit Ihren Geschäftsanwendern darüber kommunizieren, warum die Richtlinie existiert, und bieten Sie ihnen alternative Tools an - vielleicht den Microsoft 365 Copilot?

Und zu guter Letzt: Vergessen Sie nicht, die Purview Chrome Extension zu installieren. Ohne sie funktioniert Endpoint DLP in Google Chrome nicht.

Fazit

Wir haben uns auf eine Auswahl von Microsoft-Tools und -Diensten konzentriert, die Sie zur Überwachung sensibler Informationen im Kontext von Schatten-KI  verwenden können. Diese Tools wurden zwar nicht speziell für Schatten-KI  entwickelt, sind aber sehr effektiv für die Überwachung Ihrer breiteren Microsoft 365-Umgebung, einschließlich SharePoint, OneDrive, Teams und Microsoft 365 Copilot.

Der Schutz Ihrer Daten hört jedoch nicht mit Endpoint DLP auf. Wir empfehlen dringend die Verwendung von Vertraulichkeitsbezeichnungen, um sensible Informationen in Ihrer gesamten Umgebung zu klassifizieren und zu schützen.

Vor kurzem hat Microsoft eine Vorschaufunktion eingeführt, mit der Sie Microsoft 365 Copilot als Richtlinienstandort festlegen können.:

In den Regeleinstellungen können Sie nun eine Sensibilitätskennzeichnung auswählen, die Copilot daran hindert, alle mit dieser Kennzeichnung versehenen Inhalte zu verarbeiten. Bevor Sie diese Richtlinie bereitstellen, sollten Sie Folgendes beachten:

Und damit - viel Erfolg auf Ihrem Weg zu KI und Datensicherheit!

Ein Hinweis von Rencore

Die Einrichtung von Richtlinien zur Verhinderung von Datenverlusten (DLP) und die Anwendung von Vertraulichkeitsbezeichnungen, wie sie in Jaspers Blog besprochen wurden, bilden eine wichtige Grundlage für die effektive Verwaltung generativer Schatten-KI in Ihrem Unternehmen. Dennoch gibt es immer noch spürbare Lücken in der IT-Lebenszyklus-Governance in Bezug auf alle KI-Instanzen, insbesondere bei der Integration in Ihre Collaboration-, Low-Code- und No-Code-Anwendungen.

Wir bei Rencore haben in zahlreichen Kundeninterviews Erkenntnisse gesammelt, die die Bedeutung von Tools von Drittanbietern hervorheben, die das Governance-Lebenszyklusmanagement und mehr automatisieren. Diese Tools sind für Unternehmen unerlässlich, um die Kontrolle zu behalten und den Anwendern die Möglichkeit zu geben, KI verantwortungsvoll und mit angemessenen Sicherheitsvorkehrungen zu nutzen.

Rencore ist ein vertrauenswürdiger Partner für Unternehmen, der die Überwachung von kritischer Cloud-Kollaboration-, KI- und no-code/low-code-Umgebungen bietet. Unsere Software ermöglicht es Unternehmen, sicher, effizient und kosteneffektiv zu arbeiten, damit das Unternehmen wettbewerbsfähig bleibt und auf zukünftige Herausforderungen gut vorbereitet ist.

Um ein umfassendes Verständnis dafür zu erlangen, wie Rencore Sie bei Ihrer gesamten KI-Governance-Reise unterstützen kann, setzen Sie sich gerne mit uns in Verbindung setzen.