Schatten-KI: Ihr Team nutzt längst KI, nur wissen Sie nicht, welche

Wenn Sie ein Unternehmen führen, nutzt Ihr Team mit hoher Wahrscheinlichkeit bereits KI. Nicht als Projekt, das Sie gestartet haben, sondern nebenbei: eine Formulierung von ChatGPT hier, eine schnelle Übersetzung dort, eine Zusammenfassung eines langen Dokuments. Das Problem ist nicht, dass es passiert. Das Problem ist, dass Sie nicht wissen, welche Tools im Einsatz sind und wohin dabei Ihre Daten fließen.

Genau das ist Schatten-KI. Und sie ist kein Randthema mehr. Laut einer Erhebung des Digitalverbands Bitkom greifen Beschäftigte in vielen Unternehmen zu privaten KI-Diensten, in einem Teil der Betriebe ist das bereits weit verbreitet. Der Nutzen ist real, deshalb tun sie es. Und genau deshalb lässt es sich nicht einfach abstellen.

Was ist Schatten-KI?

Schatten-KI bezeichnet den nicht genehmigten und unbeaufsichtigten Einsatz von KI-Systemen im Unternehmen. Der Begriff lehnt sich an die ältere Schatten-IT an: Software, die im Betrieb läuft, ohne dass die Geschäftsführung oder die IT sie freigegeben hat oder überhaupt davon weiß. Bei Schatten-KI sind es KI-Werkzeuge, meist kostenlose oder private Accounts, die Mitarbeitende eigenständig nutzen, weil sie ihnen die Arbeit erleichtern.

Der entscheidende Punkt ist das Wort unbeaufsichtigt. Niemand hat entschieden, dass dieses Tool erlaubt ist. Niemand hat geprüft, wohin die eingegebenen Daten gehen. Und niemand kann sagen, ob dabei etwas das Haus verlässt, das es nicht dürfte.

Beispiele: wie Schatten-KI im Mittelstand aussieht

Schatten-KI ist selten spektakulär. Sie sieht aus wie ganz normale Arbeit:

• Ein Mitarbeiter fügt ein Angebot oder einen Vertragsentwurf in einen öffentlichen Chatbot ein, um ihn „schöner formulieren“ zu lassen.
• Jemand übersetzt ein internes Dokument mit Kundendaten über ein kostenloses Online-Tool.
• Eine Kalkulation oder eine Konstruktionszeichnung wird hochgeladen, damit die KI sie erklärt oder prüft.
• Eine Browser-Erweiterung mit KI-Funktion liest im Hintergrund mit, was auf dem Bildschirm passiert.
• In einer eigentlich genehmigten Software ist eine KI-Funktion aktiv, die niemand bewusst eingeschaltet hat.

Jedes einzelne davon ist harmlos gemeint. In Summe entsteht ein unkontrollierter Datenabfluss, den niemand überblickt.

Warum das gefährlich ist, auch wenn nichts passiert

Der offensichtliche Schaden ist das Datenleck: Kundendaten oder Interna landen auf Servern, über die Sie keine Kontrolle haben, womöglich in Ländern, deren Datenschutz Sie nicht einschätzen können. Das allein ist schon ein Datenschutzproblem.

Der teurere Schaden ist subtiler. Ihr eigentliches Kapital im Mittelstand ist Ihr Know-how: Konstruktionen, Kalkulationen, Verfahren, Kundenbeziehungen. Wenn ein Ingenieur eine Zeichnung in ein fremdes KI-Tool eingibt, schickt er dieses Kapital außer Haus. Und es geht noch weiter: Ein Betriebsgeheimnis bleibt rechtlich nur dann geschützt, wenn Sie angemessene Geheimhaltungsmaßnahmen treffen. Wo KI-Nutzung völlig unkontrolliert läuft, kann diese Voraussetzung entfallen. Dann verlieren Sie im Ernstfall nicht nur die Information, sondern auch den rechtlichen Schutz für sie.

Dazu kommt die Pflichtseite. Seit Februar 2025 verlangt der EU AI Act ausreichende KI-Kompetenz Ihrer Mitarbeitenden und einen geordneten, nachvollziehbaren KI-Einsatz. Die Verantwortung dafür liegt bei der Geschäftsführung, nicht beim einzelnen Mitarbeiter. Schatten-KI ist damit auch ein Haftungsthema für die Leitung.

Wie erkennt man Schatten-KI im Unternehmen?

Die meisten Unternehmen entdecken Schatten-KI erst, wenn etwas schiefgeht. Das muss nicht sein, aber die Erkennung braucht mehr als eine Rundmail mit der Frage „nutzt hier jemand KI?“. Denn niemand meldet freiwillig etwas, das nach einem Regelverstoß klingen könnte.

Wirksam ist eine Kombination aus zwei Wegen. Der technische Weg schaut in die Spuren: Hinweise aus Netzwerk- und Endpunktdaten, Anfragen an bekannte KI-Dienste, installierte Browser-Erweiterungen, kleine wiederkehrende Tool-Abos auf der Kreditkartenabrechnung. Der menschliche Weg ist oft wichtiger: offen und anonym fragen, wofür KI heute genutzt wird, und zwar so, dass die Antwort niemandem schadet.

Verbieten funktioniert nicht. Regeln schon.

Die verständliche erste Reaktion ist ein Verbot. Es ist auch die wirkungsloseste. Der Nutzen von KI für die tägliche Arbeit ist real, und ein Verbot ändert daran nichts, es macht die Nutzung nur unsichtbarer. Sie haben dann nicht weniger Schatten-KI, sondern nur weniger Einblick.

Der Weg, der trägt, ist ein anderer. Statt zu verbieten, geben Sie einen sicheren, freigegebenen Werkzeugkasten vor: KI-Werkzeuge, die EU-gehostet oder lokal laufen, sodass Ihr Team produktiv arbeiten kann, ohne dass Daten das Haus verlassen. Dazu eine klare, kurze Regel, welches Tool wofür erlaubt ist. Und ein Nachweis, dass Ihre Leute sicher damit umgehen, wie ihn der EU AI Act ohnehin verlangt.

In der Reihenfolge, in der es funktioniert: erst entdecken, was tatsächlich läuft. Dann entscheiden, was erlaubt ist. Dann befähigen, sicher damit zu arbeiten. Dann durchsetzen und aktuell halten. Kein einmaliger Termin, sondern ein Zustand, den Sie halten.

Der erste Schritt: eine Schatten-KI-Inventur

Bevor Sie irgendetwas regeln, müssen Sie wissen, wo Sie stehen. Eine Schatten-KI-Inventur macht genau das sichtbar: welche KI Ihr Team nutzt, wohin dabei welche Daten fließen, und wo die dringendsten Lücken sind. Kein 60-seitiges Konzept, sondern eine ehrliche Karte und eine klare Empfehlung, was zuerst zu tun ist.

Häufige Fragen zu Schatten-KI