Künstliche Intelligenz ist längst im Arbeitsalltag angekommen. Mitarbeitende nutzen Chatbots, Textgeneratoren, Bildprogramme und Analysewerkzeuge, um schneller zu recherchieren, Texte zu erstellen oder wiederkehrende Aufgaben zu automatisieren. Doch nicht jede eingesetzte KI-Anwendung ist im Unternehmen offiziell bekannt oder freigegeben. Genau hier beginnt das Problem der sogenannten Schatten-KI.
Was bedeutet Schatten-KI?
Als Schatten-KI wird der Einsatz von KI-Werkzeugen bezeichnet, die Mitarbeitende eigenständig und ohne Wissen oder Zustimmung des Unternehmens verwenden. Dazu gehören beispielsweise private ChatGPT- oder Claude-Konten, nicht geprüfte Übersetzungsdienste oder KI-Anwendungen zur Erstellung von Texten und Bildern.
Der Einsatz erfolgt häufig nicht aus böser Absicht. Meist fehlt es an geeigneten Unternehmenslösungen, klaren Vorgaben oder schnellen Freigabeprozessen. Mitarbeitende suchen nach praktischen Wegen, ihre Aufgaben effizienter zu erledigen. Wenn offizielle Werkzeuge fehlen oder zu umständlich sind, werden private Alternativen genutzt.
Schatten-KI ist weiter verbreitet als viele Unternehmen vermuten
In vielen Organisationen kennt die Geschäftsführung nur einen Teil der tatsächlich verwendeten KI-Werkzeuge. Während offiziell vielleicht ein oder zwei Anwendungen freigegeben sind, nutzen einzelne Abteilungen bereits zahlreiche weitere Lösungen.
Eine Microsoft-Studie aus dem Jahr 2025 (Link) kam zu dem Ergebnis, dass 45 Prozent der Beschäftigten in deutschen Bundesbehörden nicht geprüfte KI-Werkzeuge verwenden. Gleichzeitig setzen immer mehr Unternehmen generell auf künstliche Intelligenz, sei es durch die Einführung von Produkten wie ChatGPT oder Claude, aber auch durch Automatisierungsworkflows mit n8n. Dadurch wächst auch die Wahrscheinlichkeit, dass Anwendungen außerhalb der offiziellen IT-Strukturen eingesetzt werden.
Die entscheidende Frage lautet deshalb nicht mehr, ob Schatten-KI existiert. Unternehmen sollten vielmehr klären, welche Werkzeuge konkret verwendet werden und welche Daten dabei verarbeitet werden.
Die wichtigsten Risiken
1. Vertrauliche Daten können nach außen gelangen
Ein typisches Beispiel: Ein Mitarbeiter kopiert einen Vertragsentwurf, eine Kundenanfrage oder interne Informationen in ein kostenloses KI-Tool, um den Text zusammenfassen oder verbessern zu lassen.
Dabei ist oft unklar, wie der Anbieter die eingegebenen Daten verarbeitet, wie lange sie gespeichert werden und ob sie zur Weiterentwicklung des Systems verwendet werden. Werden personenbezogene oder vertrauliche Informationen übermittelt, können zudem datenschutzrechtliche Probleme entstehen.
Besonders kritisch sind unter anderem:
- Kundendaten
- Vertragsinhalte
- Zugangsdaten
- interne Finanzinformationen
- technische Dokumentationen
- personenbezogene Mitarbeiterdaten
- noch nicht veröffentlichte Produkt- oder Geschäftsinformationen
2. KI-Ergebnisse werden nicht ausreichend geprüft
KI-Systeme können überzeugend formulierte, aber sachlich falsche Inhalte erzeugen. Sie können Quellen erfinden, Gesetzesstellen falsch wiedergeben oder Zahlen fehlerhaft interpretieren.
Wenn ein KI-generierter Text ohne Kontrolle in ein Angebot, eine Präsentation oder eine Kundenkommunikation übernommen wird, kann das erhebliche Folgen haben. Die Verantwortung bleibt beim Unternehmen und bei der Person, die den Inhalt veröffentlicht oder verwendet.
Eine menschliche Prüfung ist daher unverzichtbar. KI kann unterstützen, aber die fachliche Verantwortung nicht ersetzen. Einen Artikel zum Thema Halluzination von KI-Systemen findest du hier.
3. Rechtliche Fragen bleiben ungeklärt
Bei KI-generierten Texten, Bildern und anderen Inhalten stellen sich verschiedene rechtliche Fragen. Dazu zählen unter anderem:
- Welche Nutzungsrechte bestehen an einem erzeugten Inhalt?
- Wurden geschützte Inhalte zur Erstellung verwendet?
- Muss ein synthetisch erzeugtes Bild gekennzeichnet werden?
- Dürfen Kundendaten in das jeweilige System eingegeben werden?
- Ist der verwendete Dienst datenschutzrechtlich ausreichend abgesichert?
Seit dem 2. August 2026 gelten im Rahmen der europäischen KI-Verordnung weitere Anforderungen an Transparenz und den Umgang mit künstlich erzeugten Inhalten. Unternehmen können diese Vorgaben jedoch nur zuverlässig umsetzen, wenn sie wissen, welche Anwendungen intern verwendet werden.
4. Wissen bleibt bei Einzelpersonen
Schatten-KI führt nicht nur zu Sicherheits- und Rechtsrisiken. Auch wertvolles Wissen kann im Unternehmen verloren gehen. Wenn sich eine Mitarbeiterin oder ein Mitarbeiter eigene Prompts, Arbeitsabläufe und Methoden entwickelt, aber diese nicht dokumentiert oder geteilt werden, bleibt das Wissen an eine einzelne Person gebunden. Verlässt sie das Unternehmen, gehen möglicherweise wichtige Prozesse und Erfahrungen verloren. Eine offiziell eingeführte KI-Umgebung schafft dagegen die Möglichkeit, erfolgreiche Anwendungen zu dokumentieren, weiterzuentwickeln und im Team verfügbar zu machen.
Warum ein pauschales Verbot meist nicht funktioniert
Ein vollständiges Verbot von KI klingt zunächst nach einer einfachen Lösung. In der Praxis verlagert es die Nutzung jedoch häufig nur in den privaten Bereich.
Mitarbeitende, die bereits mit KI arbeiten, werden ihre Aufgaben weiterhin erledigen müssen. Wenn ihnen keine sichere Alternative angeboten wird, greifen sie möglicherweise auf private Konten oder nicht geprüfte Anwendungen zurück. Für das Unternehmen wird die Nutzung dadurch unsichtbarer und schwerer kontrollierbar.
Ein Verbot beseitigt also nicht automatisch die Risiken. Es kann sogar dazu führen, dass Daten weiterhin verarbeitet werden, ohne dass die Verantwortlichen davon erfahren. Sinnvoller ist es, klare Leitplanken zu schaffen und den Einsatz geeigneter Werkzeuge aktiv zu begleiten.
Was Unternehmen jetzt tun sollten
1. Die tatsächliche Nutzung erfassen
Der erste Schritt ist eine ehrliche Bestandsaufnahme. Unternehmen sollten ihre Mitarbeitenden fragen, welche KI-Anwendungen sie bereits nutzen und für welche Aufgaben. Eine anonyme Befragung kann dabei helfen, realistische Antworten zu erhalten. Entscheidend ist, dass die Erhebung nicht als Kontroll- oder Sanktionsmaßnahme verstanden wird. Nur wenn Mitarbeitende offen über ihre Nutzung sprechen können, entsteht ein brauchbares Bild der Situation.
2. Sichere Werkzeuge bereitstellen
Wer produktive KI-Nutzung verhindern möchte, schafft häufig erst den Anreiz für Schatten-KI. Unternehmen sollten daher geprüfte und möglichst benutzerfreundliche Werkzeuge zur Verfügung stellen. Dabei sollten unter anderem folgende Punkte geprüft werden:
- Werden Eingaben für das Training des Modells verwendet?
- Wo werden die Daten gespeichert?
- Welche Datenschutzvereinbarungen bestehen?
- Gibt es Administrations- und Zugriffsrechte?
- Lassen sich Nutzer und Anwendungen verwalten?
- Können sensible Daten technisch geschützt werden?
Ein professioneller Enterprise-Tarif kann bereits viele Risiken reduzieren. Er ersetzt jedoch nicht die interne Regelung und Schulung.
3. Eine kurze und verständliche Richtlinie erstellen
Eine KI-Richtlinie muss nicht zwangsläufig umfangreich sein. In vielen Fällen ist eine verständliche Zusammenfassung auf einer Seite hilfreicher als ein langes Dokument, das niemand liest. Eine gute Richtlinie sollte mindestens folgende Fragen beantworten:
- Welche KI-Werkzeuge sind freigegeben?
- Welche Daten dürfen nicht eingegeben werden?
- Wer prüft die Ergebnisse?
- An wen können sich Mitarbeitende bei Fragen oder neuen Werkzeugen wenden?
Besonders wichtig ist der letzte Punkt. Wenn Mitarbeitende einen klaren und schnellen Weg für neue Anwendungen haben, sinkt die Wahrscheinlichkeit, dass sie dauerhaft auf nicht freigegebene Lösungen ausweichen.
4. KI-Kompetenz aufbauen
Sichere KI-Nutzung entsteht nicht allein durch technische Sperren. Mitarbeitende müssen wissen, wie KI-Systeme funktionieren, welche Fehler auftreten können und welche Inhalte besonders geschützt werden müssen. Schulungen sollten deshalb unter anderem folgende Themen behandeln:
- Datenschutz und vertrauliche Informationen
- typische Fehler von KI-Systemen
- Prüfung und Nachbearbeitung von Ergebnissen
- Urheberrecht und Nutzungsrechte
- sichere Gestaltung von Eingaben
- Kennzeichnung KI-generierter Inhalte
- Meldewege bei Problemen
Ziel ist nicht, jede Nutzung zu verhindern. Ziel ist eine verantwortungsvolle und nachvollziehbare Nutzung.
Schatten-KI als Warnsignal verstehen
Schatten-KI ist nicht nur ein Sicherheitsproblem. Sie zeigt auch, dass Mitarbeitende konkrete Verbesserungspotenziale sehen und nach effizienteren Arbeitsweisen suchen. Wenn viele Beschäftigte dieselben privaten Werkzeuge verwenden, deutet das häufig auf eine Lücke zwischen den vorhandenen Unternehmensprozessen und dem tatsächlichen Arbeitsbedarf hin. Unternehmen sollten diese Erkenntnis nutzen, statt sie ausschließlich als Regelverstoß zu behandeln.
Die entscheidende Frage lautet daher: Warum greifen Mitarbeitende auf externe Anwendungen zurück, und welche sichere Alternative kann das Unternehmen anbieten?
Fazit
Schatten-KI lässt sich nicht dauerhaft durch Verbote beseitigen. Solange Mitarbeitende einen praktischen Nutzen in KI-Werkzeugen sehen, werden sie Wege finden, diese einzusetzen.
Unternehmen brauchen deshalb einen realistischen Ansatz: Sie sollten die tatsächliche Nutzung sichtbar machen, sichere Werkzeuge bereitstellen, verständliche Regeln formulieren und ihre Mitarbeitenden im Umgang mit künstlicher Intelligenz schulen.
Wer Schatten-KI als Anlass für bessere Prozesse versteht, kann aus einem Risiko eine Chance machen. Aus unkontrollierter Nutzung wird dann ein strukturierter, sicherer und produktiver Einsatz von KI.