Kevin Engelhardt KI-Kompetenz fördern statt vorschreiben – das ist seit dem Digital Omnibus die neue Linie im EU AI Act. Für die Sicherheitslage im Unternehmen ändert das wenig: Eine KI-Policy in der Schublade schützt vor keinem einzigen Datenabfluss. Mitarbeitende nutzen ChatGPT, Claude & Co. längst im Alltag – mit oder ohne Freigabe, mit oder ohne Kontrolle. Jeder ungeprüfte Prompt ist ein potenzieller Abfluss von Kundendaten, Verträgen oder Source Code. Shadow AI ist damit kein Randthema mehr, sondern eine Angriffsfläche, die in den meisten Unternehmen komplett unüberwacht bleibt. Der Vortrag zeigt, wie Sicherheitsverantwortliche aus reiner Regulierung echte Steuerung machen – mit Ansätzen, die tatsächlich funktionieren, statt mit Policies, die niemand liest.