Kennisbank

Die Erweiterung, die niemand genehmigt hat, aber trotzdem mitliest

Ein Mitarbeiter installiert eine Browsererweiterung, die E-Mails zusammenfasst, Terminvorschläge macht oder Entwurfstexte in Gmail oder Outlook Web schreibt. Die Installation dauert eine Minute und fragt um Erlaubnis für den Zugriff auf den Seiteninhalt. Diese Erlaubnis wird erteilt, ohne dass jemand liest, was genau geteilt wird, wie lange es aufbewahrt wird, ob das Modell damit trainiert wird, oder ob der Anbieter es weiterverkauft. Die Erweiterung funktioniert, spart Zeit, und verbreitet sich anschließend informell: ein Kollege sieht es, fragt nach dem Link, installiert sie ebenfalls.

Wie das entsteht

Browsererweiterungen fallen außerhalb der meisten Einkaufsprozesse. Es wird nichts angeschafft, es gibt keinen Vertrag, keine Rechnung, die bei Finance auffällt. Die Installation läuft über den Browser selbst, oft mit einem persönlichen oder Arbeitskonto, das nicht über IT läuft. Für den Mitarbeiter ist es kein 'neues Tool' im Sinne, das um Genehmigung fragt — es ist ein kleines Hilfsmittel, vergleichbar mit einer Rechtschreibprüfung. Dass die Erweiterung Lesezugriff auf die gesamte Mail hat, einschließlich Anhänge, Verträge und Kundendaten, ist ein technisches Detail, das bei der Installation weggeklickt wurde.

Dieses Muster ist nicht einzigartig für Mail. Derselbe Weg läuft über ein Tool, das niemand genehmigt hat im weiteren Sinne, über Unternehmensdaten, die in ein kostenloses Chatfenster eingefügt werden, und über eine Abteilung, die auf eigene Initiative ein Abonnement abgeschlossen hat. Die Browsererweiterung ist nur die Variante mit dem direktesten Zugriff: nicht zu einem einzelnen Dokument, sondern zur vollständigen Mailbox.

Warum es nicht von selbst verschwindet

Eine IT-Liste genehmigter Software erfasst das nicht. Die Erweiterung steht nicht in der Vertragsübersicht, nicht im Rechnungsfluss, nicht in einem SSO-Log, wenn dieser nicht genutzt wird. Die einzige Möglichkeit zu wissen, ob sie vorhanden ist, ist das Fragen — an die Menschen, die sie nutzen. Und das funktioniert nur, wenn Fragen keine Konsequenzen hat. Sobald eine Meldung zu einem Vorwurf führt, versiegt die Information. Die nächste Erweiterung wird dann nicht gemeldet, sondern stiller genutzt.

Die Erweiterung verschwindet auch nicht, weil sie nützlich ist. Wer Mail schneller abarbeiten kann, gibt das nicht auf, weil irgendwo ein Richtliniendokument liegt, das davon abrät. Ein Verbot ohne Alternative verlagert das Verhalten auf ein anderes Konto, einen anderen Browser, ein privates Telefon. Das Problem wird dann unsichtbarer, nicht kleiner.

Was eine Organisation damit tun kann

Der Ausgangspunkt ist nicht Aufspüren und Abrechnen, sondern erfassen, was vorhanden ist, und auf dieser Grundlage eine Wahl treffen. Das beginnt mit einer Inventur, die nicht nur betrachtet, was angeschafft wurde, sondern was genutzt wird: wie Sie eine KI-Inventur aufbauen beschreibt diesen Ansatz, einschließlich der Frage, wie Sie Menschen dazu bringen, selbst zu melden, was sie nutzen.

Für jede Erweiterung, die zum Vorschein kommt, sind einige Fragen relevant. Welche Daten betrifft sie — nur das, was auf dem Bildschirm steht, oder die vollständige Mailbox über eine API-Anbindung? Wird der Inhalt von einem externen Modell verarbeitet, und wenn ja, unter welchen Bedingungen? Gibt es einen geschäftlichen Grund für die Nutzung, oder ersetzt sie etwas, das die Organisation bereits hatte? Was pro Anwendung festgehalten werden muss — wer der Eigentümer ist, welche Daten hineingehen, welches Risikoniveau anwendbar ist — steht beschrieben in was Sie pro Anwendung festhalten müssen. Das ist keine juristische Übung an sich; es ist die Grundlage, um von Fall zu Fall zu entscheiden: zulassen, durch eine verwaltete Variante ersetzen, oder abbauen.

Dazu gehört auch der Blick nach außen. Nicht jede KI-Funktion in der Mailumgebung stammt von einer Erweiterung, die ein Mitarbeiter selbst installierte. Ein Anbieter eines bestehenden Tools kann eine KI-Funktion zu einem Update hinzugefügt haben, ohne dass dies als neue Beurteilung angesehen wurde. Was das für bestehende Verträge und Verarbeitervereinbarungen bedeutet, steht bei ein Anbieter, der KI in sein Produkt eingebaut hat.

Ohne Hexenjagd

Das Ziel dieser Inventur ist nicht, den Mitarbeiter aufzuspüren, der die Erweiterung installierte. Wer dabei landet, sieht die nächste Erweiterung nicht mehr, weil niemand mehr etwas meldet. Das Ziel ist ein Bild davon, was tatsächlich mit Mail-Daten, Vertragsdokumenten und Kundenkommunikation geschieht, damit ein Vorstand oder General Counsel eine fundierte Entscheidung treffen kann, was bleibt, was ersetzt wird, und was abgebaut wird — mit einer Begründung, die einer Aufsichtsbehörde oder einem Prüfer vorgelegt werden kann.

Von Risiko zu Einblick in den Zeitaufwand

Dieselbe Frage, die aufdeckt, dass eine Erweiterung die Mail mitliest, deckt auch auf, wie viel Zeit diese Erweiterung tatsächlich von der Arbeit übernimmt, die zuvor von Hand erledigt wurde. Diese beiden Fragen liegen nahe beieinander: die eine betrifft Risiko und Aufsicht, die andere, wo sich der Zeitaufwand in der Arbeit selbst verändert. Für Letzteres berechnet der Werkscan von FTE TO AI pro Aufgabe, welcher Teil der Arbeit von KI übernommen werden kann, unabhängig davon, welches Tool das tut — ein Folgeschritt für diejenigen, die nach der Inventur wissen möchten, was die bereits vorhandene KI für die Organisation der Arbeit bedeutet.