Die Schatten-IT auf dem Privatcomputer
Mitarbeitende nutzen KI-Tools ohne das Wissen ihrer Vorgesetzten und bauen so eine parallele Tech-Welt auf. Das birgt enorme Risiken für Firmen. Was die Schatten-IT für Firmen bedeutet, erklärt ZHAW-Dozentin und Arbeitsrechtsexpertin Nicole Vögeli Galli im Interview mit der Handelszeitung.
Welche Risiken bestehen arbeitsrechtlich, wenn Angestellte eine Schatten-IT nutzen?
Entscheidend ist, wie der Umfang der unerlaubten Nutzung ausfällt und welche Inhalte über externe Kanäle bearbeitet werden. Es ist weit weniger problematisch, wenn ich Chat GPT frage, wie eine schöne Grussformel für das Geschäftsmail auf Französisch lautet, als wenn ich ein ganzes Arbeitszeugnis mit Namen schreiben lasse.
Was, wenn Mitarbeitende KI auf eigene Faust nutzen, weil sie mit dem Angebot ihrer Firma unzufrieden sind?
Die Nutzung externer IT-Infrastruktur stellt eine Fehlerquelle dar, die ein erhebliches Haftungsrisiko für die Arbeitgeberinnen und die Mitarbeitenden birgt. Dies kann nicht nur zu Vermögensschäden, sondern auch zu Personen- sowie Sachschäden führen, womit wiederum die Strafbarkeit ebenfalls Thema ist. Deshalb muss die Nutzung von KI geschult sein und sorgfältig erfolgen.
Wie erfahren Firmen von Schatten-IT?
Selbst wenn ich als Arbeitgeberin den Zugriff auf anderweitige Tools sperre, kann ich nicht verhindern, dass Mitarbeitende auf privaten Geräten KI nutzen und dort unrechtmässig Daten eingeben. Doch eine ständige Überwachung des Verhaltens der Mitarbeitenden mit technologischen Möglichkeiten ist grundsätzlich unzulässig. Deshalb erfolgt die Überwachung in der Regel auf anonymisierter Basis zur Sicherung des Systems und die personenbezogene Auswertung erst bei konkretem Verdacht auf Missbrauch. Dies ist zulässig, wenn in arbeitsvertraglichen Dokumenten vorgesehen, und nur möglich, sofern geschäftliche Geräte oder ein VPN genutzt wird.
Auf welche Daten auf einem Computer eines Mitarbeiters darf die Firma zugreifen?
Jegliche geschäftliche Nutzung und deren Produkte wie Dokumente, E-Mails oder Daten gehören der Arbeitgeberin. Diese darf und muss jederzeit darauf Zugriff haben. Insofern können Arbeitgeberinnen jederzeit auf die geschäftlichen Daten inklusive E-Mails zugreifen. Sie haben jedoch Privates unbeachtet zu lassen.