Bildquelle: Pexels / https://www.pexels.com/photo/3861969/
Kurz gesagt Schatten-KI entsteht, wenn Beschäftigte frei verfügbare KI-Werkzeuge für Arbeitsaufgaben nutzen, ohne dass der Betrieb diese Nutzung kennt, bewertet oder sauber begleitet. Im Service Desk wirkt das zunächst praktisch: ein Text wird schneller formuliert, eine Fehlermeldung wird erklärt, eine Antwort an Nutzer klingt freundlicher. Das eigentliche Risiko liegt aber nicht in der Hilfe selbst, sondern in fehlender Kontrolle über Daten, Qualität und Verantwortung.
Der Service Desk steht unter Druck. Tickets sollen schneller beantwortet werden, Nutzer erwarten klare Sprache und interne Wissensartikel sind nicht immer aktuell. KI-Assistenten passen genau in diese Lücke, weil sie aus unübersichtlichen Informationen in Sekunden eine brauchbare Formulierung machen. Wenn Mitarbeitende solche Werkzeuge nebenbei einsetzen, entsteht jedoch eine neue Betriebsfrage: Wer prüft, ob die Antwort stimmt, ob sensible Daten eingegeben wurden und ob aus einer hilfreichen Formulierung eine falsche Zusage wird?
Warum das Thema im Service Desk besonders heikel ist
Im Service Desk treffen technische Details, personenbezogene Informationen, interne Störungsbilder und Nutzererwartungen zusammen. Ein Ticket kann Namen, Kundennummern, Geräteinformationen, Fehlermeldungen, Vertragsbezüge oder Hinweise auf Sicherheitsprobleme enthalten. Wird dieser Inhalt ungeprüft in ein externes KI-Werkzeug kopiert, verlässt nicht nur Text den geschützten Arbeitskontext. Auch die Organisation verliert den Überblick darüber, welche Informationen wo verarbeitet wurden.
Gleichzeitig kann eine KI-Antwort überzeugend klingen, obwohl sie fachlich unsauber ist. Genau das macht Schatten-KI für Generalisten im ITSM so wichtig. Es geht nicht darum, jede technische Nutzung zu verbieten. Es geht darum, ob der Betrieb eine verlässliche Grenze zwischen Unterstützung, Entscheidung und Verantwortung zieht. Eine freundlich formulierte Antwort bleibt eine betriebliche Aussage. Sie muss zum Service, zum Wissensstand und zu den internen Regeln passen.
Risikomanagement braucht einfache Leitplanken
Das NIST AI Risk Management Framework beschreibt KI-Risiken nicht nur als technische Frage, sondern als Managementaufgabe. Es geht darum, KI-Systeme zu verstehen, Risiken zu messen, geeignete Maßnahmen zu steuern und Verantwortung sichtbar zu machen. Für den Service Desk heißt das: Der Betrieb muss wissen, welche KI-Nutzung erlaubt ist, welche Daten niemals eingegeben werden dürfen und welche Ergebnisse vor dem Versand geprüft werden müssen.
Auch die OWASP Top 10 für Anwendungen mit großen Sprachmodellen zeigen, dass Risiken wie Datenabfluss, unsichere Ausgaben oder übermäßige Handlungsbefugnisse praktisch relevant sind. Für den Alltag genügt daraus schon eine einfache Konsequenz: KI darf helfen, aber sie darf nicht unbemerkt zum zweiten Wissenssystem, zur Schattenfreigabe oder zur unbeaufsichtigten Entscheidungsmaschine werden.
Eine Erlaubnis ohne Prozess löst das Problem nicht
Der leichteste Fehler besteht darin, Schatten-KI nur mit einem Toolentscheid zu beantworten. Ein Unternehmen erlaubt ein bestimmtes KI-Werkzeug und glaubt, damit sei das Thema erledigt. Für den Service Desk reicht das nicht. Entscheidend ist, in welchem Arbeitsablauf die Hilfe auftaucht. Darf KI ein Ticket zusammenfassen? Darf sie eine Antwort vorformulieren? Darf sie interne Wissensartikel vorschlagen? Darf sie Prioritäten bewerten oder Eskalationen empfehlen?
Jede dieser Nutzungen hat eine andere Risikostufe. Eine Zusammenfassung für den internen Gebrauch ist etwas anderes als eine verbindliche Antwort an einen Nutzer. Ein Vorschlag für eine Fehlersuche ist etwas anderes als eine Freigabe für einen Workaround. Deshalb braucht der Service Desk keine abstrakte KI-Policy, die niemand im Alltag liest. Er braucht kurze, sichtbare Regeln direkt dort, wo Tickets bearbeitet werden.
Was in die Service-Desk-Regeln gehört
Ein praxistauglicher Rahmen beginnt mit Datenklassen. Beschäftigte müssen sofort erkennen, welche Inhalte nicht in ein KI-Werkzeug gehören: personenbezogene Daten, Sicherheitsdetails, Zugangsdaten, Kundendaten, vertrauliche Vertragsinformationen und interne Schwachstellenhinweise. Die Regel muss so konkret sein, dass sie im Stress eines Arbeitstags funktioniert.
Danach folgt die Prüfpflicht. KI-generierte Antworten dürfen nicht ungeprüft versendet werden. Der Mitarbeitende bleibt verantwortlich, die Aussage mit dem bekannten Servicezustand, der Wissensdatenbank und den internen Vorgaben abzugleichen. Bei Störungen mit größerer Auswirkung sollte außerdem klar sein, welche Formulierungen zentral freigegeben werden und welche der Service Desk selbst anpassen darf.
- Erlaubte KI-Nutzungen werden in einfachen Beispielen beschrieben.
- Verbotene Eingaben werden nach Datenart benannt, nicht nur allgemein als vertraulich.
- Jede externe Antwort aus KI-Hilfe braucht menschliche Prüfung.
- Unsichere KI-Vorschläge werden nicht als Lösung dokumentiert, sondern als Hinweis geprüft.
- Wissensartikel nennen, ob KI bei der Formulierung geholfen hat und wer fachlich geprüft hat.
- Wiederkehrende Fehlvorschläge fließen zurück in Training, Wissensbasis und Toolkonfiguration.
Transparenz schützt auch die Mitarbeitenden
Schatten-KI entsteht oft nicht aus böser Absicht. Beschäftigte suchen eine Abkürzung, weil Arbeit liegen bleibt, Texte schwer zu formulieren sind oder Wissen verstreut ist. Ein reiner Verbotsansatz verschiebt die Nutzung dann leicht in den unsichtbaren Bereich. Besser ist ein kontrollierter Raum, in dem klar ist, welche Hilfe willkommen ist und wo die rote Linie beginnt.
Für Führungskräfte bedeutet das auch, den Grund für die Nutzung ernst zu nehmen. Wenn KI vor allem deshalb verwendet wird, weil Wissensartikel veraltet, Ticketvorlagen unklar oder Eskalationswege langsam sind, liegt das eigentliche Problem tiefer. Dann ist Schatten-KI ein Symptom für Lücken im Serviceprozess. Der Betrieb sollte diese Lücken schließen, statt nur das Werkzeug zu diskutieren.
Die neue Vertrauensfrage im IT-Betrieb
Der Service Desk kann KI sinnvoll nutzen, aber nur mit klaren Grenzen. Vertrauen entsteht nicht dadurch, dass ein Text gut klingt. Vertrauen entsteht, wenn Daten geschützt bleiben, Aussagen geprüft werden und Verantwortlichkeiten sichtbar sind. Genau hier entscheidet sich, ob KI den Service Desk entlastet oder neue Unsicherheit in die Kommunikation bringt.
Die wichtigste Kontrollfrage lautet deshalb: Könnte der Betrieb später nachvollziehen, welche KI-Hilfe in einer Antwort steckte, welche Daten dafür genutzt wurden und wer die Aussage fachlich getragen hat? Wenn diese Antwort fehlt, ist Schatten-KI kein kleines Komfortproblem mehr. Dann wird sie zu einem Betriebsrisiko, das im nächsten heiklen Ticket sichtbar wird.
