Ein vollständiger Notfallplan für Sicherheitsvorfälle mit Shadow AI. Deckt von der Erkennung bis zur Wiederherstellung Schweregrade, Kommunikationsvorlagen und Leitlinien zur DSGVO-Verletzungsbewertung ab.
Vorfälle mit Shadow AI weisen einzigartige Merkmale auf, für deren Bewältigung herkömmliche Notfallpläne für IT-Sicherheitsvorfälle nicht ausgelegt sind. Anders als bei einer herkömmlichen Datenschutzverletzung können Sie an einen KI-Dienst übermittelte Daten oft nicht zurückrufen, und die rechtlichen Auswirkungen der Trainingsbedingungen von KI-Anbietern schaffen eine neuartige DSGVO-Exposition, die eine fachkundige Bewertung erfordert.
Klicken Sie auf jede Phase, um sie aufzuklappen. Passen Sie die hervorgehobenen Platzhalter an und richten Sie die Schweregradschwellen an der Risikobereitschaft Ihrer Organisation aus.
Vorfälle mit Shadow AI werden nach dem Schweregrad der Datenexposition und den regulatorischen Auswirkungen klassifiziert. Verwenden Sie diese Matrix, um den passenden Reaktionspfad zu bestimmen.
Bestätigte Exposition von beschränkten Daten (PII von über 100 Personen, Anmeldedaten, Gesundheitsdaten, Finanzkontodaten) gegenüber einem externen KI-Dienst mit möglicher Aufbewahrung als Trainingsdaten. Regulatorische Meldung wahrscheinlich erforderlich.
Sofortige Eskalation an CISO + DPO. Incident Commander aktiviert. Die 72-Stunden-Frist der DSGVO läuft möglicherweise bereits.
Bestätigte Exposition von vertraulichen Daten (strategische Pläne, IP, Verträge, begrenzte PII) gegenüber einem nicht freigegebenen KI-Dienst. Keine Aufbewahrung als Trainingsdaten bestätigt, kann aber nicht ausgeschlossen werden.
Leiter des Sicherheitsteams innerhalb von 2 Stunden informiert. Recht/Datenschutz eingebunden. Eindämmung am selben Geschäftstag eingeleitet.
Nutzung eines nicht freigegebenen KI-Tools mit als intern eingestuften Daten bestätigt. Keine personenbezogenen Daten bestätigt, aber eine Untersuchung ist erforderlich, um den Umfang zu überprüfen.
Sicherheitsanalyst innerhalb von 4 Stunden zugewiesen. Vorgesetzter des betroffenen Mitarbeitenden informiert. Untersuchung eingeleitet.
Nutzung eines nicht freigegebenen KI-Tools ausschließlich mit öffentlichen oder nicht sensiblen internen Daten bestätigt. Richtlinienverstoß, aber kein Risiko einer Datenexposition festgestellt.
Protokolliert und nachverfolgt. Vorgesetzter informiert. Richtlinienerinnerung ausgegeben. Keine Notfallreaktion erforderlich.
Ein Notfallplan funktioniert nur, wenn er vor dem Eintreten eines Vorfalls operationalisiert wurde. Befolgen Sie diese Schritte, um von der Vorlage zu einem laufenden Prozess zu gelangen.
Aona erkennt kontinuierlich nicht freigegebene KI-Tools in Ihrer Organisation, erkennt sensible Daten, die an externe KI-Dienste übermittelt werden, und alarmiert Ihr Sicherheitsteam in Echtzeit, bevor aus einem Vorfall mit Shadow AI eine DSGVO-Verletzung wird.