Ihr Team nutzt AI auf dem Smartphone. Mitarbeiter verfassen pendelnd E-Mails mit AI-Assistenten. Sie fügen Besprechungsnotizen in ChatGPT ein, während sie auf einen Anruf warten. Sie laden Dokumente vom Tablet zu Claude hoch. Sie bitten Gemini auf der Rückbank eines Taxis, Kunden-Briefings zusammenzufassen.
Jede einzelne dieser Interaktionen findet auf einem Gerät statt, das Ihre IT-Abteilung vermutlich nicht vollständig kontrolliert. Und nichts davon taucht in Ihren AI-Governance-Protokollen auf.
Mobile ist die AI-Oberfläche, die die meisten Organisationen übersehen — und sie wächst für viele Teams schneller als die Nutzung über Browser oder Desktop.
Warum mobile AI ein blinder Fleck der Governance ist
Drei Faktoren machen mobile AI schwerer zu steuern als Browser- oder Desktop-AI.
Private Geräte dominieren. In den meisten KMU und Mittelstandsorganisationen ist BYOD die Norm. Mitarbeiter nutzen private iPhones und Android-Geräte für die Arbeit. Einen vollständigen MDM-Agenten auf einem privaten Gerät zu installieren, ist politisch schwierig und stößt häufig auf Widerstand. Ohne Kontrolle auf Geräteebene hat die Organisation keinerlei Einblick, welche AI-Tools installiert sind oder welche Daten durch sie fließen.
Mobile AI-Apps sind eigenständig. Auf dem Desktop findet die meiste AI-Nutzung über einen Browser statt — eine Oberfläche, auf der Kontrollen der Browser-Schicht (wie Prompt-Prüfung und Richtliniendurchsetzung) wirken können. Auf Mobilgeräten sind AI-Tools eigenständige Apps: ChatGPT, Claude, Copilot, Gemini und Dutzende spezialisierter Alternativen. Jede App hat ihre eigene Datenverarbeitung, ihre eigenen Nutzungsbedingungen und ihren eigenen Kanal, über den Daten das Gerät verlassen können.
Kopieren und Einfügen ist unkontrolliert. Mobile Betriebssysteme machen es leicht, Text aus einer App zu kopieren und in eine andere einzufügen. Ein Mitarbeiter kopiert einen Absatz aus einer Kunden-E-Mail in Outlook, wechselt zur ChatGPT-App und fügt ihn in einen Prompt ein. Dieser Datentransfer findet vollständig innerhalb des Geräts statt, unsichtbar für jede Überwachung auf Netzwerkebene.
Das Risikoprofil
Lücken in der mobilen AI-Governance erzeugen drei Kategorien von Risiken.
Datenabfluss über private AI-Konten
Wenn Mitarbeiter private AI-Konten auf privaten Geräten nutzen, fließen Kundendaten, interne Strategie und personenbezogene Daten zu Consumer-AI-Diensten außerhalb jeder Unternehmensvereinbarung. Es gibt keinen AVV, der die Verarbeitung abdeckt. Es gibt keine Aufbewahrungskontrolle. Es gibt keinen Audit-Trail. Die Daten sind weg, und die Organisation erfährt möglicherweise nie, dass sie geteilt wurden.
Regulatorische Exposition
Die DSGVO, der EU AI Act und branchenspezifische Regularien (DORA, MaRisk, HIPAA) unterscheiden nicht zwischen Daten, die über einen Firmen-Laptop verarbeitet werden, und Daten, die über ein privates Smartphone verarbeitet werden. Erreichen personenbezogene Daten über ein Mobilgerät ein unkontrolliertes AI-Modell, ist die regulatorische Exposition identisch. Dass das Gerät privat war, ist keine Verteidigung.
Shadow AI im großen Maßstab
Mobile AI-Nutzung ist von Natur aus schwerer zu entdecken als Browser-AI-Nutzung. Ohne Erkennungsmechanismen auf der mobilen Oberfläche unterschätzen Organisationen ihre AI-Nutzung, unterschätzen ihre Datenexposition und bauen Governance-Programme, die Desktop und Browser abdecken, Mobile aber weit offen lassen.
Wie mobile AI-Governance aussieht
Wirksame mobile AI-Governance erfordert keine Sperrung privater Geräte. Sie funktioniert, indem sie eine sichere Alternative bereitstellt, die bequem genug zur Nutzung ist — und indem sie Kontrollen innerhalb dieser Alternative anwendet.
Sichere mobile Arbeitsbereiche
Statt zu versuchen, das gesamte Gerät zu kontrollieren, schafft ein Ansatz mit sicheren Arbeitsbereichen einen verwalteten Container auf dem Smartphone des Mitarbeiters. Innerhalb des Arbeitsbereichs:
- Der Zugriff auf AI-Tools erfolgt über einen verwalteten Browser oder eine verwaltete App-Umgebung
- Prompt-Prüfung und Upload-Kontrollen greifen, bevor Daten den Arbeitsbereich verlassen
- Kopieren und Einfügen zwischen dem Arbeitsbereich und privaten Apps wird kontrolliert
- AI-Nutzung wird protokolliert und ist prüfbar
Die privaten Apps, Fotos, Nachrichten und das Surfverhalten des Mitarbeiters bleiben unangetastet. Der Arbeitsbereich steuert nur arbeitsbezogene AI-Interaktionen.
Kontrollen für verwaltete Apps
Für Organisationen mit MDM- oder MAM-Infrastruktur (Microsoft Intune, Jamf, VMware Workspace ONE) kann mobile AI-Governance bestehende Richtlinien für verwaltete Apps erweitern:
- Einschränken, welche AI-Apps im verwalteten Profil zulässig sind
- Durchsetzung von Data-Loss-Prevention-Richtlinien innerhalb verwalteter Apps
- Steuerung von „Öffnen in" und Teilen zwischen verwalteten und privaten Apps
- Anwendung von bedingtem Zugriff: Nur verwaltete Geräte oder verwaltete App-Sitzungen können auf unternehmensweite AI-Ressourcen zugreifen
Plattformspezifische Ansätze
iOS: Apples Funktionen für verwaltete Apps und Per-App-VPN ermöglichen es Organisationen, verwaltete Container zu schaffen, ohne das Gerät vollständig zu verwalten. Ein sicherer Browser-Arbeitsbereich kann Zugriff auf freigegebene AI-Tools mit Prompt-Prüfung, Upload-Kontrollen und Kopier-Einfüge-Einschränkungen bieten — alles innerhalb einer einzigen verwalteten App.
Android: Das Arbeitsprofil von Android bietet ein stärkeres Trennungsmodell. AI-Tools, die im Arbeitsprofil installiert sind, unterliegen den Verwaltungsrichtlinien des Unternehmens. Daten können nicht frei zwischen Arbeits- und Privatprofil fließen. Für BYOD-Szenarien bietet das Arbeitsprofil Governance, ohne den privaten Bereich des Mitarbeiters anzutasten.
BYOD-freundliche Bereitstellung
Die zentrale Einschränkung für mobile AI-Governance ist die Akzeptanz der Mitarbeiter. Kontrollen, die sich invasiv anfühlen — vollständige MDM-Agenten, Funktionen zur Gerätelöschung, Standortverfolgung — werden von Mitarbeitern abgelehnt, die private Geräte nutzen. Wirksame mobile Governance arbeitet innerhalb der Grenzen, die Mitarbeiter akzeptieren:
- Keine vollständige Geräteverwaltung erforderlich
- Private Daten und Apps bleiben privat
- Der sichere Arbeitsbereich ist bei BYOD optional (verpflichtend für Firmengeräte)
- Die Governance-Kontrollen sind transparent: Mitarbeiter wissen, was überwacht wird und was nicht
Mobile mit Ihrem Governance-Programm verbinden
Mobile AI-Governance ist keine eigenständige Fähigkeit. Sie muss mit derselben Richtlinien-Engine, demselben Audit-Trail und derselben Reporting-Infrastruktur verbunden sein, die die Browser- und Desktop-AI-Nutzung steuert.
Einheitliche Richtlinie. Dieselben Datenklassifizierungsregeln, die verhindern, dass Kunden-PII über den Browser externe Modelle erreicht, sollten auch für mobile AI-Interaktionen gelten. Separate Richtlinien für jede Oberfläche zu pflegen, erzeugt Lücken und Inkonsistenzen.
Einheitlicher Audit-Trail. AI-Interaktionen von Mobile, Browser und Desktop sollten alle in dasselbe strukturierte Audit-Protokoll einfließen. Wenn ein Prüfer fragt „Welche Daten haben Ihre AI-Systeme verarbeitet?", sollte die Antwort alle Oberflächen abdecken — nicht nur jene mit Protokollierung.
Einheitliches Reporting. Operations- und Compliance-Teams benötigen eine einzige Sicht auf die AI-Nutzung in der gesamten Organisation. Ist die mobile Nutzung unsichtbar, untertreiben die Berichte das Risiko und das Governance-Programm hat einen blinden Fleck.
Erste Schritte
Wenn Ihr Team AI auf Mobilgeräten nutzt — und das tut es mit ziemlicher Sicherheit — schließen drei Schritte die kritischsten Lücken:
-
Mobile AI-Nutzung entdecken. Befragen Sie Teams zur Nutzung mobiler AI-Apps. Prüfen Sie MDM/MAM-Daten, sofern verfügbar. Die Ergebnisse zeigen wahrscheinlich mehr Nutzung als erwartet.
-
Einen sicheren mobilen Arbeitsbereich bereitstellen. Stellen Sie einen verwalteten Container für mobile AI-Interaktionen bereit. Machen Sie ihn einfach in der Nutzung — der sichere Weg muss bequemer sein als das Öffnen einer privaten ChatGPT-App.
-
Mobile Telemetrie mit Ihrem Governance-Programm verbinden. Stellen Sie sicher, dass mobile AI-Interaktionen in denselben Audit-Trail und dieselbe Reporting-Infrastruktur einfließen wie Browser und Desktop.
Das Ziel ist nicht, die Smartphones der Mitarbeiter zu kontrollieren. Es ist, einen verwalteten Weg für die AI-Nutzung auf Mobilgeräten bereitzustellen, der die Daten der Organisation schützt und zugleich das private Gerät des Mitarbeiters respektiert.
Qadar AI Shield Mobile bringt AI-Governance auf iOS und Android — sichere Arbeitsbereiche, Prompt-Prüfung und BYOD-freundliche Kontrollen. So funktioniert es
