Schatten-IT 2.0: Die Entwicklung von KI-Lösungen außerhalb der IT-Abteilung legt Schwächen in der Daten-Governance von Unternehmen offen

Panorama Vibe Coding Brasil weist darauf hin, dass verstreute Daten, veraltete Systeme und das Senden von Informationen an externe Server die größten Engpässe darstellen

Die zunehmende Verbreitung generativer künstlicher Intelligenz ermöglicht es Fachkräften aus verschiedenen Bereichen, Automatisierungen, Anwendungen, Dashboards und Integrationen innerhalb von Unternehmen zu erstellen. Ein Großteil dieser Entwicklung findet jedoch außerhalb formaler Technologieprozesse und ohne klare Regeln darüber statt, welche Unternehmensdaten in diesen Tools zirkulieren dürfen. Dies zeigt die Studie „Panorama Vibe Coding Brasil“ von Skyone, einem brasilianischen Unternehmen für Cloud-, Daten-, KI- und Cybersicherheit, in Zusammenarbeit mit der TNS Group. Die Ergebnisse wurden am Dienstag, dem 6. Oktober, im Rahmen einer Veranstaltung in der Skyone-Zentrale in São Paulo präsentiert.

Von den 1.971 Teilnehmern gaben 50 % an, dass sie selbst oder ihre Unternehmen bereits eine solche Lösung ohne formelles IT-Projekt entwickelt haben. Dieser Trend ist neu: 43 % der Befragten gaben an, dies in den letzten sechs Monaten getan zu haben. Von denjenigen, die bereits eine Lösung entwickelt haben, taten dies 85,2 % ohne formelle Beteiligung der IT-Abteilung. Davon entwickelten 51,1 % die Lösung allein und 34,1 % mit ihrem eigenen Team. Nur 14,8 % erhielten gelegentlich Unterstützung von der IT-Abteilung.

Die Studie bezeichnet dieses Phänomen als „Schatten-IT 2.0“ – eine Erweiterung des traditionellen Konzepts der Schatten-IT, das die Beauftragung von Software ohne entsprechende Technologiekenntnisse beschreibt. Durch Vibe Coding, also die Erstellung von Systemen anhand von Anweisungen in natürlicher Sprache für KI-Tools, entzieht sich nun auch die IT-Abteilung der Kontrolle über Anwendungen, die von Mitarbeitern selbst entwickelt werden.

Die Ergebnisse wurden von Julia Travaioli, Marcela Lahoz und Gabriella Busse aus dem Bereich Vertrieb und Partnerschaften von Skyone präsentiert. Travaioli erinnerte daran, dass „Vibe Coding“ vom Collins Dictionary zum Wort des Jahres 2025 gekürt wurde. Laut ihrer Aussage betrachtet die Studie den Begriff als Verhaltensweise, nicht als spezifische Technologie: Der Experte beschreibt das Problem, die KI schreibt den Großteil des Codes, und der Nutzer testet und optimiert das Ergebnis. Julias Einschätzung zufolge bricht das Modell mit dem traditionellen Vorgehen, bei dem eine Anforderung zu einer Anfrage wird und in der Warteschlange der Technikabteilung feststeckt. Was früher Wochen dauerte, kann nun innerhalb eines Nachmittags in einen Prototyp umgesetzt werden.

Den präsentierten Daten zufolge wird der globale Markt für Vibe Coding im Jahr 2026 voraussichtlich rund 7 Milliarden US-Dollar und im Jahr 2031 15 Milliarden US-Dollar erreichen, was einem prognostizierten Wachstum von 17 % pro Jahr entspricht.

Marcela Lahoz hob hervor, dass KI für fast die Hälfte der Befragten bereits das wichtigste Werkzeug zur Informationssuche am Arbeitsplatz ist und damit traditionelle Suchmaschinen übertrifft. Laut Lahoz ist die Wahrscheinlichkeit, dass diejenigen, die bereits selbst eine Lösung entwickelt haben, direkt ein groß angelegtes Sprachmodell (LLM) konsultieren, doppelt so hoch.

Marcela stellte auch die Annahme infrage, dass dieses Profil vor allem bei jungen Menschen im Technologiebereich zu finden sei. Der Anteil derjenigen, die bereits Lösungen außerhalb der IT entwickelt haben, liegt bei 62,7 % unter Führungskräften im Technologiebereich (C-Level), 57 % unter Analysten und Spezialisten, 55,1 % unter Managern und Koordinatoren, 51,8 % unter Entwicklern und 50,5 % unter Führungskräften im Business-Bereich. Diese Praxis ist in großen Unternehmen zudem verbreiteter: 58,9 % der Fachkräfte in Unternehmen mit mehr als tausend Mitarbeitern haben bereits eigenständig etwas entwickelt, verglichen mit 40 % in Unternehmen mit bis zu 50 Mitarbeitern. Laut Marcela führt dies dazu, dass große Unternehmen anfälliger dafür sind, Lösungen zu entwickeln, die nicht von der IT validiert wurden. Die Studie geht nicht auf die Ursachen dieses Unterschieds ein.

Von denjenigen, die bereits Lösungen entwickelt haben, erstellten 52 % Prozessautomatisierungen, 47,6 % interne Anwendungen oder Systeme, 33 % KI-Agenten oder -Assistenten, 18,7 % Systemintegrationen und 14,4 % Chatbots. Mehrfachnennungen waren möglich.

Untersuchungen zeigen, dass die Regeln für die Nutzung von KI-Daten in Unternehmen noch immer unzureichend definiert sind. 42,9 % der Befragten gaben an, dass ihre Unternehmen keine Richtlinien für die Verwendung bestimmter Daten in diesen Tools haben. Weitere 26,3 % berichteten von klaren und formalisierten Regeln, 18,6 % gaben an, dass zwar Richtlinien existieren, diese aber schlecht kommuniziert werden, und 12,2 % wussten keine Antwort.

Die Nutzung ist ebenfalls uneinheitlich. 26,8 % der Befragten verwenden die Tools eigenständig, ohne offizielle Anleitung. Weitere 24,2 % geben an, dass jeder Bereich seine eigenen Lösungen wählt, ohne Standardisierung, und 18,8 % arbeiten in Unternehmen, die KI zwar fördern, aber keine festgelegten Richtlinien haben. Nur 25,1 % berichten von formeller Förderung mit klaren Regeln.

Das größte der drei identifizierten Adoptionsprofile, die sogenannte „Entwicklung mit fragmentierter Anleitung“, umfasst 42,7 % der Stichprobe. In dieser Gruppe haben 59,2 % bereits eine Lösung entwickelt, 60,9 % geben einen Mangel an Datenrichtlinien an, und 86,4 % der Entwicklungen erfolgten ohne formale Beteiligung der IT-Abteilung.

Laut Gabriella Busse, die den letzten Teil der Präsentation leitete, ist Agilität zwar real, doch die hohe Geschwindigkeit erschwert es, den Überblick darüber zu behalten, wer im Unternehmen die Lösung kennt und welche Informationen in die KI-Tools eingegeben werden. Sie fragte, was mit diesen Anwendungen und den zugehörigen Daten geschieht, wenn der Entwickler das Unternehmen verlässt. Für Gabriella Busse macht dieses Szenario Informationsmanagement und -sicherheit komplexer und teurer. Sie zog einen Vergleich mit der Reaktionszeit der IT-Abteilung: Befragte berichten von Bearbeitungszeiten zwischen weniger als einem Tag und mehr als zwei Wochen.

Felipe Wasserman, Marketing- und Wachstumsdirektor bei Skyone, ist überzeugt, dass KI die Einstiegshürden für die Lösungsentwicklung gesenkt hat. Dadurch können Anwendungen entstehen und skalieren, bevor sie die internen Kontrollmechanismen des Unternehmens durchlaufen müssen. Laut Wasserman wird die mangelnde Transparenz zu einem Governance-Problem, sobald ein Tool auf Unternehmensdaten zugreift, von mehreren Personen genutzt wird oder einen wichtigen Prozess unterstützt. Für Führungskräfte liegt das Risiko nicht im Experimentieren selbst, sondern im fehlenden Wissen darüber, was bereits entwickelt wurde, wer es nutzt, welche Daten im Umlauf sind und wer für etwaige Fehler verantwortlich ist.

In der anschließenden Diskussion erklärte Rennan Sanchez, CTO von Skyone, dass Datenorganisation und -governance derzeit die größten Herausforderungen bei der Umsetzung von KI-Experimenten in konkrete Geschäftsergebnisse darstellen. Seiner Einschätzung nach ist die Entwicklung von Lösungen durch die einzelnen Geschäftsbereiche ein positiver erster Schritt, da sie die Entwicklung näher an diejenigen bringt, die die Probleme verstehen. Der nächste Schritt betrifft jedoch Sicherheit, Governance und die Anbindung an primäre Quellen von Transaktionsdaten – und genau hier, so der Manager, beginnen die Probleme.

Laut Sanchez sind organisierte und strukturierte private und transaktionale Daten das Rohmaterial für KI-Anwendungen im Geschäftsleben. Ohne diese Daten beschränken sich die Anwendungen meist auf Bereiche wie Forschung und Entwicklung. Er nannte den Lebensmitteleinzelhandel als Beispiel für Datensilos: Kassendaten gelangen ins Lagerverwaltungssystem (WMS), durchlaufen weitere Prüfwerkzeuge und erreichen schließlich das ERP-System. Jedes System konzentriert zwar wertvolle Daten, diese sind jedoch in der Regel verstreut und schlecht integriert.

Aus Sicht des CTOs beginnt die KI-Reise mit dem Zugriff auf diese Daten und der Migration in die Cloud, um Skalierbarkeit und Sicherheit zu gewährleisten. Anschließend erfolgt die Zentralisierung verschiedener Datenquellen und erst dann die Anbindung von Agenten und anderen Anwendungen. Er nannte Legacy-Systeme als eines der größten Hindernisse für die KI-Skalierbarkeit, da ältere Transaktionssoftware oft eine schlechte Konnektivität, geringe API-Zugriffsmöglichkeiten und große Datenbanken aufweist.

Sanchez erwähnte auch das Konzept einer „KI-Fabrik“, das vom Markt verwendet wird, um die Kette zu beschreiben, die vom Chip und der Energie bis zu den generativen Modellen, Agenten und Frameworks reicht, die den Endnutzer erreichen.

Auf die Frage nach dem Risiko von Datenlecks erklärte der CTO, dass Fachleute Berichte, Gewinn- und Verlustrechnungen, Abrechnungsdaten und Kundenlisten an KI-Tools senden. Seiner Aussage nach verlassen die Daten das Unternehmen, wenn Edge-Modelle direkt eingesetzt werden. Neben der Datenverarbeitung werden Dateien wie Tabellenkalkulationen, PDFs und Bilder auf externen Servern gespeichert und können gemäß den Nutzungsbedingungen der jeweiligen Anbieter für Trainingszwecke verwendet werden.

Als Alternativen nannte Sanchez klare Regeln für die Inhalte von KI-Tools, die Einführung von Schutzmechanismen und – vorzugsweise – die Speicherung dieser Dateien auf privaten, dedizierten Servern. Für größere Unternehmen oder solche, die Compliance-Anforderungen unterliegen, empfahl er private Inferenz mit Open-Source-Modellen auf eigener Infrastruktur, um die Kontrolle über Verarbeitung und Dateien zu behalten.

Der Manager erklärte, dass CIOs, IT-Manager und Datenexperten aufgrund dieser Probleme unter Druck stünden, aber noch keine Lösungen gefunden hätten. Er zeigte sich überrascht über die Häufigkeit, mit der in großen Unternehmen Innovationen außerhalb der IT-Abteilung entstehen.

Laut Sanchez stehen Führungskräfte vor einem Dilemma: Entweder sie blockieren den Einsatz von KI, was Produktivität und Innovation hemmt, oder sie ermöglichen die Einführung und etablieren anschließend Kontrollmechanismen. Er verglich die aktuelle Situation mit der Entwicklung der Cybersicherheit in Unternehmen, die mit schlecht geschützten Netzwerken beginnen und das Problem erst im Zuge ihres Wachstums angehen. Stärker regulierte Märkte bieten aufgrund von Schutz- und Zertifizierungsanforderungen weniger Spielraum für eine Ausweitung des KI-Einsatzes.

Bezüglich des Return on Investment erklärte der CTO, dass sich viele Unternehmen noch in der Experimentierphase befänden. Er verglich die Kosten für Inferenz mit denen für Strom, die sich nur schwer direkt mit dem generierten Wert in Beziehung setzen ließen. Anstatt Einzellizenzen zu erwerben, von denen seiner Aussage nach ein erheblicher Teil ungenutzt bliebe, schlug er die Einrichtung von Guthabenpools vor, die es ermöglichen, nachzuverfolgen, wer die Tools wie nutzt.

Skyone schlägt ein sechsstufiges Rahmenwerk vor: Kartierung des bereits Erstellten; Definition von Daten- und Sicherheitsgrenzen; Befähigung von Fachkräften; Bereitstellung kontrollierter Experimentierumgebungen, wie z. B. Sandboxes, die keine Produktionsdaten beinhalten; Überbrückung der Kluft zwischen Business und IT; und Festlegung von Kriterien, nach denen ein Prototyp als Unternehmenslösung behandelt werden kann.

Für Wasserman stellt sich nicht mehr die Frage, ob KI zur Lösungsentwicklung eingesetzt wird, denn das geschieht bereits. Seiner Ansicht nach liegt die Chance darin, diese Experimente in nachhaltige Innovationen umzuwandeln – mit klaren Grenzen für Daten, Sicherheit und Governance. Auch die Rolle der IT wandelt sich: von einem Bereich, der Anforderungen entgegennimmt, hin zu einer Ebene, die Unternehmen dabei unterstützt, Experimente in sichere und skalierbare Lösungen zu überführen.

Hernane Ferreira, CEO von The News, erklärte, die Teilnehmerzahl sei für ein Nischenthema überraschend hoch und führte das Interesse auf die Popularität des Begriffs „Vibe Coding“ zurück, der in der Öffentlichkeit noch immer wenig bekannt sei. Laut Ferreira gewinnt die Erhebung von Primärdaten für Medienunternehmen zunehmend an Bedeutung.

Die Umfrage wurde von The News im Auftrag von Skyone zwischen dem 10. und 25. September 2026 online und anonym unter Abonnenten der Publikation durchgeführt. Es wurden 1.971 vollständige und 1.539 teilweise Antworten erfasst. Da es sich um eine Umfrage mit einem internen Publikum handelt, sind die Ergebnisse nicht unbedingt repräsentativ für alle brasilianischen Fachkräfte. Die Fragen zu den Inhalten und deren Entstehung basierten auf 986 Antworten.

Verfasst von Skyone