Datensicherheit
Schatten-KI: Das Risiko, das längst im Haus ist
Verbote erzeugen Schatten. Gute Angebote schaffen Kontrolle.
In fast jedem Unternehmen nutzen Mitarbeitende bereits KI, oft über private Konten und meist ohne böse Absicht: Sie wollen einfach ihre Arbeit schneller erledigen. Genau dort entsteht das Risiko. Dieser Beitrag erklärt, warum Schatten-KI entsteht, was auf dem Spiel steht und wie du die Nutzung zurück in geordnete Bahnen holst, ohne die Produktivität zu opfern.
Woran du Schatten-KI erkennst
Private Konten. Firmentexte entstehen in Chatbots, die nie jemand freigegeben hat.
Stille Umwege. Dokumente wandern zum Übersetzen oder Zusammenfassen auf fremde Seiten.
Keine Verträge. Für keinen dieser Dienste existiert ein AVV, niemand kennt die Datenflüsse.
Kein Grund zur Panik, aber einer zum Handeln: Der Fahrplan steht weiter unten.
Kurz erklärt
Was ist Schatten-KI?
Schatten-KI ist jede KI-Nutzung mit Firmenbezug außerhalb der offiziell bereitgestellten Werkzeuge, typischerweise über private Chatbot-Konten. Sie entsteht nicht aus Böswilligkeit, sondern weil das inoffizielle Werkzeug schneller hilft als der offizielle Weg. Riskant ist sie trotzdem: keine Verträge, keine Anonymisierung, keine Kontrolle darüber, wo Kundendaten und Geschäftsgeheimnisse landen.
Die Ursachen
Warum Schatten-KI entsteht
Vier Muster, die sich in fast jedem Unternehmen wiederholen.
Bequemlichkeit gewinnt immer
Wenn das private KI-Konto in Sekunden hilft und der offizielle Weg Wochen dauert, entscheidet der Arbeitsalltag. Menschen wählen das Werkzeug, das ihre Aufgabe löst, nicht das, das im Intranet freigegeben ist.
Verbote ohne Alternative wirken rückwärts
Ein reines Verbot beendet die Nutzung nicht, es verlagert sie: auf private Geräte, private Konten und Kanäle, die niemand mehr sieht. Aus einem sichtbaren Risiko wird ein unsichtbares.
Unklare Regeln erzeugen Grauzonen
„Seid vorsichtig mit KI“ ist keine Regel. Ohne klare Ansage, was mit welchen Daten erlaubt ist, entscheidet jede Person selbst, und zwar jeden Tag neu, unter Zeitdruck.
Die Beschaffung ist zu langsam
KI-Werkzeuge entwickeln sich in Wochen, klassische Software-Beschaffung denkt in Quartalen. Diese Lücke füllen Mitarbeitende selbst, mit dem, was frei verfügbar ist.
Der Ausweg
In vier Schritten raus aus dem Schatten
Sichtbarkeit, Regeln, ein besseres Angebot, Kompetenz.
Die Reihenfolge ist bewusst gewählt: Wer mit dem Verbot beginnt, verliert die Sichtbarkeit, bevor er sie je hatte.
- 01
Sichtbarkeit schaffen, ohne Schuldzuweisung: Eine anonyme Abfrage, welche KI-Werkzeuge wofür genutzt werden, bringt mehr als jede Kontrolle. Wer ehrlich antwortet, darf dafür nicht bestraft werden.
- 02
Klare, kurze Regeln aufstellen: welche Datenkategorien dürfen in welche Werkzeuge, welche nie. Eine Seite, verständlich formuliert, wirkt mehr als eine 40-Seiten-Richtlinie.
- 03
Ein freigegebenes Werkzeug anbieten, das mindestens so bequem ist wie das private Konto, mit AVV, Anonymisierung und klaren Verträgen. Der Umstieg passiert nur, wenn er sich nicht wie Verzicht anfühlt.
- 04
Kompetenz aufbauen und dranbleiben: kurze Schulungen, echte Beispiele aus dem Alltag, regelmäßige Auffrischung. Das erfüllt nebenbei die KI-Kompetenz-Pflicht aus Art. 4 EU AI Act.
Die wichtigste Erkenntnis: Schatten-KI ist kein Disziplinproblem, sondern ein Angebotsproblem. Sie endet, wenn der sichere Weg auch der bequemste ist.
Zwei Strategien
Verbieten vs. besser anbieten
Beides kostet Aufwand. Nur eines senkt das Risiko wirklich.
- KI-Nutzung im Unternehmen
- Findet trotzdem statt, unsichtbar
- Wo Firmendaten landen
- Private Konten, unbekannte Logs
- Anonymisierung
- Keine
- Nachweisbarkeit
- Nichts dokumentiert
- Stimmung im Team
- Verstecken und schlechtes Gewissen
- KI-Nutzung im Unternehmen
- Findet sichtbar und geregelt statt
- Wo Firmendaten landen
- Vertraglich geregelte Umgebung mit AVV
- Anonymisierung
- Automatisch vor jeder Modell-Anfrage
- Nachweisbarkeit
- Audit-Trail und klare Zuständigkeiten
- Stimmung im Team
- Offener Umgang, geteilte gute Praxis
Verwandte Themen
Tiefer einsteigen
Schatten-KI berührt Datenschutz, Recht und Schulung. Hier sind die Nachbarthemen.
DSGVO und KI
Welche Pflichten verletzt werden, wenn Firmendaten in private KI-Konten fließen, und wie es richtig geht.
KI-Kompetenz (Art. 4)
Die Schulungspflicht, die seit Februar 2025 gilt, und nebenbei das beste Mittel gegen Schatten-KI.
PII-Anonymisierung
Der technische Schutz, den private KI-Konten nicht haben: maskieren, bevor ein Modell etwas sieht.
Häufige Fragen
Häufige Fragen zu Schatten-KI
Von der Bestandsaufnahme bis zur Sperr-Frage: die Diskussionen aus echten Unternehmen.
Was genau zählt als Schatten-KI?
Jede KI-Nutzung mit Unternehmensbezug, die außerhalb der offiziell bereitgestellten und vertraglich geregelten Werkzeuge stattfindet: das private Chatbot-Konto für den Kundentext, die Übersetzungs-App fürs Vertragsdokument, das Browser-Plugin, das E-Mails zusammenfasst. Gemeinsames Merkmal: Es gibt keinen Vertrag, keine Kontrolle und meist keine Kenntnis der IT.
Wie verbreitet ist das wirklich?
Sehr. Branchenbefragungen zeichnen seit Jahren dasselbe Bild: Ein erheblicher Teil der Beschäftigten nutzt KI-Werkzeuge beruflich, ein großer Teil davon ohne Freigabe, und die Dunkelziffer liegt naturgemäß höher. Die realistische Annahme für jedes Unternehmen lautet: Es passiert bereits, die Frage ist nur, ob sichtbar oder unsichtbar.
Was riskiert das Unternehmen konkret?
Drei Dinge: Datenschutzverstöße, wenn personenbezogene Daten ohne Rechtsgrundlage und AVV an einen Anbieter fließen (mit Bußgeldrisiko nach Art. 83 DSGVO). Verlust von Geschäftsgeheimnissen, wenn vertrauliche Inhalte in fremden Systemen und womöglich in Trainingsdaten landen. Und Vertragsverletzungen gegenüber Kunden, deren Daten vertraulich zu behandeln sind.
Sollten wir öffentliche KI-Chatbots einfach sperren?
Eine Sperre im Firmennetz kann Teil der Lösung sein, trägt aber allein nicht: Sie erreicht weder Homeoffice noch private Geräte und signalisiert „KI ist hier nicht erwünscht“, während die Konkurrenz produktiver wird. Wirksam ist die Kombination: klare Regeln, ein gutes freigegebenes Werkzeug und Schulung. Dann verliert der Umweg über private Konten seinen Reiz.
Wie finde ich heraus, was bei uns genutzt wird?
Am ehesten durch Fragen statt Fahnden: eine kurze, anonyme Umfrage („Welche KI-Werkzeuge nutzt du wofür?“) mit zugesicherter Straffreiheit. Sie liefert ein realistisches Bild und gleich die Anforderungsliste für das offizielle Werkzeug. Technische Auswertungen des Netzwerkverkehrs zeigen nur einen Ausschnitt und vergiften schnell das Vertrauen.
Wie hilft AI Link gegen Schatten-KI?
Indem es den Grund für Schatten-KI beseitigt: Ein offizielles Werkzeug, das im Alltag mindestens so schnell und bequem ist wie das private Konto, mit Auftragsverarbeitungsvertrag (AVV), automatischer Anonymisierung, Team-Funktionen und Prüfprotokoll. Dazu eine dokumentierte Einführung, die die Regeln gleich mitvermittelt. Die bequeme Wahl und die sichere Wahl sind dann dieselbe.
Der bequeme Weg, sicher gemacht
Gib deinem Team einen besseren Weg als das private Konto.
AI Link macht die sichere Wahl zur bequemen: Vertrag (AVV), Anonymisierung und Prüfprotokoll inklusive.