Mehr als ein Drittel der sensiblen Geschäftsinformationen, die in generative KI-Apps eingegeben werden, sind persönliche Daten

Der Einsatz von generativer KI hat sich in den letzten 12 Monaten mehr als verdreifacht, aber Unternehmen haben immer noch Schwierigkeiten, ein Gleichgewicht zwischen Sicherheit und Risikomanagement zu finden.

Netskope veröffentlicht heute eine neue Studie, aus der hervorgeht, dass mehr als ein Drittel der sensiblen Daten, die mit generativen KI-Tools ausgetauscht werden, regulierte Daten sind – Daten, zu deren Schutz Unternehmen gesetzlich verpflichtet sind. Dies stellt für Unternehmen ein potenzielles Risiko für kostspielige Datenschutzverletzungen dar.

Die neue Studie von Netskope Threat Labs zeigt, dass drei Viertel der befragten Unternehmen mindestens eine genAI-App vollständig blockieren. Dies spiegelt den Wunsch der Technologieverantwortlichen in Unternehmen wider, das Risiko der Verbreitung sensibler Daten zu begrenzen. Da jedoch weniger als die Hälfte der Unternehmen datenbezogene Kontrollen anwenden, um zu verhindern, dass sensible Informationen weitergegeben werden, sind die meisten Unternehmen im Rückstand bei der Einführung fortschrittlicher Data Loss Prevention (DLP)-Lösungen. Diese sind für die sichere Nutzung von genAI jedoch erforderlich.

Anhand globaler Datensätze fanden die Forscher heraus, dass 96 % der Unternehmen inzwischen genAI einsetzen – eine Zahl, die sich in den letzten 12 Monaten verdreifacht hat. Im Durchschnitt nutzen Unternehmen jetzt fast zehn genAI-Apps, im letzten Jahr waren es noch drei. Die Top 1 % der Unternehmen, die genAI einsetzen, nutzen jetzt durchschnittlich 80 Apps, eine deutliche Steigerung von zuvor 14. Mit der zunehmenden Nutzung haben Unternehmen einen Anstieg bei der Freigabe von firmeneigenem Quellcode innerhalb von genAI-Apps erlebt, der 46 % aller dokumentierten Verstöße gegen die Datenrichtlinie ausmacht. Diese sich verändernde Dynamik erschwert die Risikokontrolle in Unternehmen und macht stärkere DLP-Maßnahmen erforderlich.

Es gibt positive Anzeichen für ein proaktives Risikomanagement bei verschiedenen Sicherheits- und Datenverlustkontrollen, die Unternehmen anwenden: Beispielsweise implementieren 65 % der Unternehmen jetzt ein Nutzer-Coaching in Echtzeit, um die Anwenderinteraktionen mit genAI-Apps zu steuern. Laut der Studie spielt ein effektives Nutzer-Coaching eine entscheidende Rolle bei der Minderung von Datenrisiken, da 57 % der Nutzer ihre Handlungen nach dem Erhalt von Warnungen ändern.

„Die Absicherung von genAI bedarf weiterer Investitionen und größerer Aufmerksamkeit, da sich die Nutzung von genAI Tools in Unternehmen durchsetzt und es keine Anzeichen dafür gibt, dass sich diese Entwicklung bald verlangsamen wird“, sagt James Robinson, Chief Information Security Officer bei Netskope. „Unternehmen müssen sich darüber im Klaren sein, dass genAI-Outputs ungewollt sensible Informationen preisgeben, Fehlinformationen verbreiten oder sogar bösartige Inhalte einschleusen können. Das erfordert einen starken Risikomanagement-Ansatz, um Daten, Ruf und Geschäftskontinuität zu schützen.“

Der Cloud- und Threat Report von Netskope „AI Apps in the Enterprise“ zeigt außerdem:

• ChatGPT bleibt die beliebteste App – sie wird von mehr als 80 % der Unternehmen genutzt
• Microsoft Copilot verzeichnete mit 57 % den stärksten Anstieg der Nutzung seit seiner Einführung im Januar 2024
• 19 % der Unternehmen haben ein generelles Verbot von GitHub CoPilot erhoben

Wichtige Erkenntnisse für Unternehmen

Netskope empfiehlt Unternehmen, ihre Risiko-Frameworks zu überprüfen, anzupassen und speziell auf AI oder genAI zuzuschneiden, indem sie Ansätze wie das NIST AI Risk Management Framework nutzen.

Taktischen Schritte zur Bewältigung von Risiken durch genAI:

• Kennen Sie Ihren aktuellen Stand: Beginnen Sie damit, die aktuelle Nutzung von KI und maschinellem Lernen, Datenpipelines und genAI-Anwendungen zu bewerten. Identifizieren Sie Schwachstellen und Lücken in den Sicherheitskontrollen.
• Kernkontrollen implementieren: Legen Sie grundlegende Sicherheitsmaßnahmen fest, wie z. B. Zugriffskontrollen, Authentifizierungsmechanismen und Verschlüsselungen.
• Erweiterte Kontrollmaßnahmen planen: Entwickeln Sie über die Grundlagen hinaus eine Roadmap für erweiterte Sicherheitskontrollen. Ziehen Sie Bedrohungsmodellierung, Anomalieerkennung, kontinuierliche Überwachung und Verhaltenserkennung in Betracht, um verdächtige Datenbewegungen in Cloud-Umgebungen und genAI-Apps zu identifizieren, die von normalen Verhaltensmustern abweichen.
• Messen, Starten, Überarbeiten, Wiederholen: Bewerten Sie regelmäßig die Wirksamkeit Ihrer Sicherheitsmaßnahmen. Passen Sie sie an und verfeinern Sie diese auf der Grundlage von Erfahrungen aus der Praxis und neu auftretenden Bedrohungen.

Den vollständigen Cloud- und Bedrohungsbericht „AI Apps in the Enterprise“ finden Sie hier. Weitere Informationen über Cloud-basierte Bedrohungen und die neuesten Erkenntnisse der Netskope Threat Labs finden Sie im Threat Research Hub von Netskope.