Datenabfluss im KI-Kontext tritt auf, wenn sensible Informationen versehentlich über Benutzereingaben, Datei-Uploads oder API-Integrationen an KI-Dienste weitergegeben werden. Dies ist eines der Hauptrisiken im Zusammenhang mit Shadow AI und der ungesteuerten Nutzung von KI-Tools und betrifft Organisationen in allen Branchen.
Zu den häufigen Szenarien für Datenabfluss zählen: Mitarbeitende, die proprietären Quellcode in KI-Programmierassistenten wie GitHub Copilot oder Claude einfügen; das Teilen von Kunden-PII in Chatbot-Konversationen zur Analyse; das Hochladen vertraulicher Verträge oder Vorstandsunterlagen zur Zusammenfassung; die Eingabe von Finanzprognosen oder M&A-Zielen in KI-Tools; das Teilen von Anmeldedaten oder API-Schlüsseln in Debugging-Eingaben; sowie die Eingabe von Patientenakten in KI-Tools zur medizinischen Dokumentation.
Das Ausmaß des KI-bezogenen Datenabflusses ist erheblich. Eine Cisco-Umfrage aus dem Jahr 2024 ergab, dass 48 % der Mitarbeitenden zugaben, nicht öffentliche Unternehmensinformationen in externe KI-Tools eingegeben zu haben. Zugleich stellte IBMs Cost of a Data Breach Report 2024 fest, dass KI-bezogene Datenschutzverletzungen im Durchschnitt 4,88 Millionen US-Dollar kosten, 10 % mehr als die durchschnittlichen Kosten einer Datenschutzverletzung.
Die regulatorischen Folgen variieren je nach Datentyp. Verstöße gegen die DSGVO durch die Verarbeitung von Daten mittels KI können Strafen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes nach sich ziehen. Verstöße gegen HIPAA durch die Eingabe von Gesundheitsdaten in KI-Tools sind mit Strafen von 100 bis 50.000 US-Dollar pro Verstoß verbunden. Aufsichtsbehörden im Finanzdienstleistungssektor (SEC, FCA, APRA) betrachten den KI-bezogenen Datenabfluss zunehmend als wesentliches, offenlegungspflichtiges Risiko.
Zu den Präventionsstrategien gehören DLP-Tools, die KI-Interaktionen scannen, Richtlinien zur Datenklassifizierung, die Sensibilitätsstufen den Nutzungsberechtigungen für KI zuordnen, Schulungen der Mitarbeitenden zur Datenhygiene im Umgang mit KI, Listen freigegebener Tools mit Vereinbarungen zur unternehmensgerechten Datenverarbeitung sowie Workforce-AI-Security-Plattformen, die eine Echtzeitüberwachung und die unmittelbare Durchsetzung von Richtlinien zur Datenverarbeitung ermöglichen.