Kennisbank

Eine Browsererweiterung mit Zugriff auf Ihre Mail fragt niemanden um Erlaubnis

Wie eine Erweiterung an Ihre Mail kommt

Ein Mitarbeiter möchte eine Besprechung zusammenfassen lassen, eine Mail formulieren lassen oder einen Kalender verwalten lassen. Es gibt eine Erweiterung dafür, kostenlos im Browser zu installieren, mit ein paar Klicks Zugriff auf das Postfach. Die Erweiterung fragt nicht die IT, ob dies erlaubt ist. Sie fragt den Mitarbeiter, ob er Zugriff gewähren möchte, und die meisten Menschen klicken auf Zustimmen, ohne die Berechtigungen zu lesen. Damit hat ein externes Stück Software Lesezugriff auf Korrespondenz, Anhänge und Kontaktdaten, außerhalb jeder Sichtbarkeit der Organisation.

Das ist keine Ausnahme. Es ist die gewöhnliche Art, wie KI in eine Organisation gelangt: nicht über ein Projekt mit einem Auftraggeber und einem Budget, sondern über eine individuelle Entscheidung, eine Aufgabe einfacher zu machen. Die Erweiterung steht nicht auf einer IT-Liste, denn die IT hat sie nicht installiert. Sie steht nicht in einem Risikoregister, denn niemand hat sie gemeldet. Sie funktioniert, und das ist für den Nutzer Grund genug, weiter zu klicken.

Warum die IT-Liste nicht stimmt

Eine Übersicht genehmigter Software sagt etwas darüber aus, was beantragt und erlaubt wurde. Sie sagt nichts darüber aus, was tatsächlich genutzt wird. Zwischen diesen beiden liegt ein Unterschied, der größer wird, je einfacher KI-Tools zu installieren sind und je weniger sichtbar sie arbeiten. Eine Erweiterung im Browser hinterlässt im Netzwerk keine Spur, wie es eine neue Anwendung tun würde. Sie läuft mit in einer Sitzung, die im Übrigen ganz normal aussieht.

Was dabei entsteht, ist nicht ein einzelnes Datenleck, sondern ein verstreutes Muster: hier eine Erweiterung mit Mailzugriff, dort ein kostenloses Chatfenster, in das Unternehmensdaten eingefügt werden, anderswo eine Abteilung, die auf eigene Initiative ein Abonnement abgeschlossen hat. Einzelne Entscheidungen, ohne böse Absicht getroffen, die zusammen eine Schattenschicht von KI-Nutzung bilden, die die Organisation nicht überblicken kann, weil sie nicht danach gefragt hat.

Warum es durch ein Verbot nicht verschwindet

Ein Verbot von Erweiterungen mit Mailzugriff klingt wie eine Lösung, aber ein Verbot, das niemand kontrolliert, ist eine Regel auf Papier. Der Mitarbeiter, der die Erweiterung nutzte, tat das, weil die Arbeit dadurch schneller ging. Dieses Problem besteht nach dem Verbot weiterhin. Er entfernt die Erweiterung vielleicht, oder er lässt sie stehen und sagt nichts mehr dazu. Beide Ergebnisse sind schlechter als der Zustand vor dem Verbot: vorher wussten Sie zumindest, dass die Erweiterung existierte, jetzt wissen Sie es nicht mehr, oder der Grund, warum sie existierte, ist ungelöst.

Die einzige Möglichkeit, wirklich zu erfahren, was tatsächlich läuft, ist zu fragen. Nicht als Kontrolle, sondern als Bestandsaufnahme. Wer eine Abrechnung fürchtet, antwortet nicht ehrlich, oder antwortet gar nicht. Das macht die Frage, wie Sie fragen, ebenso wichtig wie die Frage selbst. Dieses Muster, und die Art, wie eine Organisation ohne Hexenjagd damit umgehen kann, wird auf der Seite über was Sie mit Mitarbeitern tun, die ein von niemandem genehmigtes Tool nutzen beschrieben.

Was in der Zwischenzeit mit der Aufsicht geschieht

Solange eine Erweiterung mit Mailzugriff außerhalb des Blickfelds bleibt, gibt es auch keine Aufsicht darüber, was sie mit den verarbeiteten Daten macht. Nicht weil niemand das regeln möchte, sondern weil Aufsicht nur über etwas Bekanntes bestehen kann. Bei Tools, die tatsächlich bekannt sind, ist die Frage, was Aufsicht in der Praxis bedeutet, schon schwierig genug: wer schaut mit, wie oft, und was passiert bei einer Abweichung. Diese Frage wird auf der Seite über was menschliche Aufsicht in der Praxis bedeutet behandelt. Für eine Erweiterung, die niemand gemeldet hat, lautet die Antwort auf diese Frage: noch nichts, denn der erste Schritt, wissen, dass sie existiert, hat noch nicht stattgefunden.

Dasselbe Muster von etwas, das neben der bestehenden Struktur entsteht, statt darin aufgenommen zu werden, spielt sich auf größerem Maßstab ab, wenn ein Lieferant KI in sein Produkt einbaut, ohne dass dies im Vertrag oder in der Risikobewertung zurückkommt; wie das erscheint und warum es an bestehenden Vereinbarungen vorbeigleitet, steht beschrieben bei was Sie mit einem Lieferanten tun, der KI in sein Produkt eingebaut hat. Und wenn tatsächlich ein Prozess eingerichtet wurde, um diese Art von Nutzung zu melden, dieser Prozess aber ignoriert wird, weil er neben der bestehenden Arbeit steht statt darin, dann ist das ein erkennbares Muster, das auf der Seite über warum ein zweiter Prozess neben dem bestehenden ignoriert wird ausgearbeitet ist.

Von der Bestandsaufnahme zum Verständnis, was KI übernimmt

Eine Bestandsaufnahme von Erweiterungen, Abonnements und Tools, die niemand genehmigt hat, zeigt, wo KI bereits in der Arbeit mitläuft. Diese Information ruft von selbst eine Folgefrage hervor: Wenn jemand bereits einen Teil seiner Aufgaben der KI überlassen hat, welcher Teil dieser Arbeit ist das dann genau, und wie verhält sich das zu dem, was für den Rest der Organisation möglich oder wünschenswert ist? Der Werkscan von FTE TO AI berechnet je Aufgabe, welcher Teil der Arbeit von KI übernommen werden kann, und liefert damit einen zahlenmäßigen Anhaltspunkt neben dem Governance-Bild, das eine Bestandsaufnahme ergibt.