Shadow IT 2.0: Ist Citizen Development in Brasilien ein Segen oder ein drohendes Sicherheitsrisiko?

Ist die IT-Abteilung Ihres Unternehmens immer noch der einzige Hüter der Softwareinnovation, oder entwickeln Mitarbeiter still und heimlich ihre eigenen Lösungen ohne formelle Aufsicht? Eine neue Studie aus Brasilien deutet darauf hin, dass Letzteres zunehmend die Norm ist, was auf eine tiefgreifende Verschiebung der Innovationsprozesse in Unternehmen hindeutet. Weit davon entfernt, ein Nischentrend zu sein, demokratisiert der Aufstieg des „Citizen Developer“, oft angetrieben durch zugängliche KI-Tools, die Entwicklung, wirft aber auch dringende Fragen zu Kontrolle und Risiko auf.

Die Umfrage „Panorama Vibe Coding Brasil“, durchgeführt von Skyone in Partnerschaft mit Grupo TNS und veröffentlicht im Oktober 2026, offenbart eine bemerkenswerte Entwicklung: Die Hälfte aller Fachkräfte in brasilianischen Unternehmen hat bereits Automatisierungen, Anwendungen, Dashboards oder Integrationen ohne formelle IT-Projekte erstellt. Dieses Phänomen, das die Studie als „Shadow IT 2.0“ bezeichnet, geht über die bloße Nutzung nicht genehmigter Software hinaus; es beinhaltet, dass Mitarbeiter aktiv digitale Lösungen entwickeln, oft unter Nutzung von KI durch sogenanntes „Vibe Coding“ – die Verwendung natürlicher Sprache, um eine KI zur Codegenerierung anzuweisen. Erstaunliche 85,2 % dieser Initiativen erfolgen ohne formelle Beteiligung der IT, wobei 51,1 % individuell und 34,1 % von Abteilungsteams entwickelt werden, wie IT Forum berichtet.

Hierbei geht es nicht nur um technikaffine Personen; der Trend erstreckt sich über alle Ebenen, von C-Level-Führungskräften (62,7 % bei Tech-C-Levels und 50,5 % bei Business-/Operations-C-Levels) bis hin zu Analysten und Managern. Die Lösungen reichen von Prozessautomatisierungen (52 %) und internen Anwendungen (47,6 %) bis hin zu KI-Agenten (33 %) und Chatbots (14,4 %), was ein breites Spektrum an internen Problemlösungskapazitäten demonstriert. Während diese Bottom-up-Innovation eine beispiellose Agilität verspricht, schafft sie auch erhebliche blinde Flecken in der Governance, die Unternehmen nicht länger ignorieren können.

Das zweischneidige Schwert der Citizen Development

Das überzeugendste Argument für die Akzeptanz dieser dezentralen Entwicklung ist die rohe Geschwindigkeit der Innovation, die sie ermöglicht. Wenn Geschäftsbereiche schnell Prototypen entwickeln und Tools bereitstellen können, um unmittelbare operative Herausforderungen zu lösen, umgehen sie lange IT-Warteschlangen und komplexe Projektlebenszyklen. Diese Agilität ist in der heutigen schnelllebigen digitalen Wirtschaft besonders wichtig, wo zeitnahe Lösungen den Unterschied zwischen dem Ergreifen einer Chance und dem Zurückfallen bedeuten können. Die einfache Zugänglichkeit von KI, die die Eintrittsbarriere für die Entwicklung senkt, bedeutet, dass Experimente nicht länger die exklusive Domäne von Programmierern sind, wie Felipe Wasserman, Director of Marketing and Growth bei Skyone, in Portal ERP betont. Dies befähigt Mitarbeiter, aktive Teilnehmer an der digitalen Transformation zu werden, und fördert eine Kultur der Proaktivität und Problemlösung.

Dieser Anstieg der inoffiziellen Entwicklung birgt jedoch auch erhebliche, oft ungesehene Risiken. Die Studie ergab, dass 42,9 % der Unternehmen keine klaren Richtlinien für die Nutzung von Unternehmensdaten in KI-Tools haben und lediglich 26,3 % formalisierte Regeln besitzen. Dieser fragmentierte Ansatz zur KI-Einführung bedeutet, dass sensible Unternehmensdaten unbeabsichtigt durch individuell erstellte Anwendungen offengelegt oder missbraucht werden könnten, was potenziell Sicherheit und Compliance gefährdet. Wie Wasserman betont: „Das Risiko liegt nicht darin, dass Menschen experimentieren. Es liegt darin, dass das Unternehmen nicht weiß, was bereits erstellt wurde, wer es nutzt, welche Daten dort zirkulieren und wer für die Lösung verantwortlich ist, wenn etwas schiefgeht. Shadow IT 2.0 erfordert einen Haltungswechsel: weniger verzögerte Reaktion und mehr Sichtbarkeit, Kriterien und Überwachung von Anfang an.“

Über die Tech-Abteilung hinaus: Ein weit verbreitetes Phänomen

Dieses Phänomen ist nicht auf eine bestimmte demografische Gruppe innerhalb von Unternehmen beschränkt. Während wir traditionell erwarten würden, dass Entwickler an der Spitze solcher Initiativen stehen, zeigt die Umfrage „Panorama Vibe Coding Brasil“, dass Citizen Development allgegenwärtig ist. Von C-Levels in Technologie (62,7 %) und Business/Operations (50,5 %) bis hin zu Analysten, Spezialisten, Managern und sogar Softwareentwicklern selbst hat mindestens die Hälfte der Fachkräfte in diesen Gruppen bereits Lösungen außerhalb formeller IT-Projekte erstellt. Dieses breite Engagement unterstreicht den inhärenten Bedarf an agilen Lösungen in allen Geschäftsfunktionen.

Interessanterweise ist die Praxis in großen Organisationen intensiver, wobei 58,9 % der Befragten in Unternehmen mit über tausend Mitarbeitern ihre eigenen Lösungen erstellen, verglichen mit 40 % in kleineren Firmen (bis zu 50 Mitarbeiter). Obwohl die Studie die Ursachen nicht genau benennt, könnte man ableiten, dass größere Organisationen möglicherweise starrere IT-Prozesse oder eine größere Vielfalt sehr spezifischer Abteilungsbedürfnisse haben, die die zentrale IT nur schwer schnell adressieren kann. Dies macht Self-Service-Lösungen besonders attraktiv.

Dennoch bleibt die primäre Barriere für diejenigen, die eigene Lösungen erstellen wollen, ein Mangel an technischem Wissen (von 52,6 % genannt). Bedenken hinsichtlich Sicherheit und Governance sind zwar vorhanden, werden aber von einem kleineren Anteil von 17,8 % der Fachkräfte genannt. Diese Diskrepanz verdeutlicht einen entscheidenden blinden Fleck: Die vermeintliche Einfachheit der Erstellung überschattet oft die komplexen Auswirkungen der Datenverarbeitung und Systemintegration, was auf einen Bedarf an größerem Bewusstsein und besserer Aufklärung hindeutet.

Von Verbot zu Partnerschaft: Der Weg nach vorn

Die Ergebnisse der brasilianischen „Panorama Vibe Coding“-Studie machen deutlich: Die Debatte dreht sich nicht mehr darum, ob Mitarbeiter KI nutzen werden, um Lösungen zu entwickeln, sondern wie Unternehmen diese unvermeidliche Innovationswelle managen werden. Ein Verbot der Praxis ist nicht nur unrealistisch, sondern verschwendet auch eine wertvolle Quelle für Agilität und Problemlösung. Stattdessen muss sich der Fokus darauf verlagern, eine sichere und nachhaltige Citizen Development zu ermöglichen.

Skyone schlägt ein sechsstufiges Framework zur Verwaltung dieser neuen Ära der Shadow IT vor. Dazu gehören: zu verstehen, was bereits erstellt wird, klare Grenzen für Datennutzung und -sicherheit zu definieren, Fachkräfte zu befähigen und zu schulen, sichere Umgebungen für Experimente (wie Sandboxes) anzubieten, eine engere Zusammenarbeit zwischen Geschäftsbereichen und IT zu fördern und Kriterien festzulegen, wann ein Prototyp zu einer formalen Unternehmenslösung entwickelt werden sollte. Dieser Ansatz wandelt die Rolle der IT vom Gatekeeper zum strategischen Wegbereiter.

Wie Wasserman treffend feststellt: „Die Chance für Unternehmen besteht darin, diese experimentelle Energie in nachhaltige Innovation umzuwandeln: Umgebungen zu schaffen, in denen Menschen Lösungen testen und entwickeln können, aber mit klaren Grenzen für Daten, Sicherheit und Governance. In diesem Szenario entwickelt sich auch die Rolle der IT weiter: von einem Bereich, der nur Anforderungen entgegennimmt, zu einer Ebene, die dem Unternehmen hilft, Experimente in sichere und skalierbare Lösungen umzuwandeln.“ Diese Verlagerung dient nicht nur dem Risikomanagement; es geht darum, einen leistungsstarken, dezentralen Innovationsmotor für einen langfristigen strategischen Vorteil zu nutzen.