Consulting
- Schatten-KI heißt: KI-Werkzeuge werden beruflich genutzt, ohne Freigabe und ohne Regeln des Unternehmens.
- Laut Bitkom gehen rund 4 von 10 Unternehmen zumindest davon aus, dass Beschäftigte private KI-Tools nutzen. Nur 26 Prozent stellen selbst einen Zugang zu generativer KI bereit.
- Die Hauptrisiken: personenbezogene Daten und Geschäftsgeheimnisse in fremden Systemen, ungeprüfte Ergebnisse und fehlender Überblick.
- Ein Verbot allein verlagert die Nutzung nur. Wirksamer sind freigegebene Werkzeuge, klare Regeln und eine kurze Schulung.
Was ist Schatten-KI?
Schatten-KI beschreibt eine Situation, die viele Geschäftsführer erst spät bemerken: Mitarbeitende nutzen KI-Werkzeuge für ihre Arbeit, ohne dass das Unternehmen diese Werkzeuge ausgewählt, freigegeben oder geregelt hat. Im Englischen heißt das Shadow AI. Der Begriff lehnt sich an Schatten-IT an, also Software, die an der offiziellen IT vorbei genutzt wird.
Typische Beispiele aus dem Alltag:
- Eine Mitarbeiterin im Vertrieb lässt sich Angebotstexte von ihrem privaten ChatGPT-Konto formulieren.
- Ein Teamleiter kopiert ein Protokoll mit Namen und Gesprächsinhalten in ein KI-Tool, um eine Zusammenfassung zu bekommen.
- Im Kundenservice werden Beschwerden mit einer kostenlosen Übersetzungs- und Schreib-App beantwortet.
Keines dieser Beispiele ist aus böser Absicht entstanden. Alle zeigen, dass das Team KI nützlich findet. Das Problem ist nicht die Nutzung, sondern dass sie unsichtbar und ungeregelt passiert.
Wie verbreitet Schatten-KI ist
Der Digitalverband Bitkom hat im Sommer 2025 604 Unternehmen ab 20 Beschäftigten in Deutschland befragt. Die Ergebnisse zeigen, wie groß die Lücke zwischen Nutzung und Regelung ist:
| Ergebnis der Bitkom-Umfrage 2025 | Anteil der Unternehmen |
|---|---|
| Private KI-Tools der Beschäftigten sind weit verbreitet | 8 % (2024: 4 %) |
| Es gibt Einzelfälle | 17 % (2024: 13 %) |
| Nicht sicher, aber Nutzung wird vermutet | 17 % |
| Sicher, dass keine privaten Zugänge genutzt werden | 29 % (2024: 37 %) |
| Unternehmen stellt selbst Zugang zu generativer KI bereit | 26 % |
| Unternehmen hat Regeln für den KI-Einsatz aufgestellt | 23 % (2024: 15 %) |
Zusammengefasst: Rund 4 von 10 Unternehmen gehen zumindest davon aus, dass private KI-Tools im Einsatz sind. Gleichzeitig bietet nur gut ein Viertel einen eigenen Zugang an, und weniger als ein Viertel hat Regeln. Bei Unternehmen mit 20 bis 99 Beschäftigten liegt der Anteil mit eigenem KI-Zugang laut Bitkom bei 23 Prozent, also noch etwas niedriger.
Warum Mitarbeitende zu Schatten-KI greifen
Wer verstehen will, wie man Schatten-KI in den Griff bekommt, sollte zuerst die Gründe verstehen. Meist sind es drei:
- Es gibt kein offizielles Werkzeug. Wenn das Unternehmen nichts anbietet, nutzen die Leute, was sie privat kennen.
- Es gibt keine Regeln. Niemand hat gesagt, was erlaubt ist. Also gilt im Kopf vieler: Was nicht verboten ist, ist erlaubt.
- Der Druck ist hoch. Wer viele E-Mails, Angebote und Protokolle schreibt, spürt den Zeitgewinn sofort. Das ist ein starkes Argument, auch ohne Freigabe.
Das ist eine wichtige Erkenntnis: Schatten-KI ist meist ein Zeichen für ungedeckten Bedarf. Sie zeigt dir, an welchen Stellen dein Team Unterstützung sucht.
Die Risiken von Schatten-KI
1. Personenbezogene Daten in fremden Systemen
Werden Kundendaten, Bewerbungen oder Gesprächsnotizen in ein privates KI-Konto kopiert, verlässt das Unternehmen die Kontrolle über diese Daten. Es gibt keinen Vertrag zur Auftragsverarbeitung, keine Prüfung des Anbieters und keine Information der Betroffenen. Die Datenschutzkonferenz der deutschen Aufsichtsbehörden beschreibt genau dieses Risiko in ihrer Orientierungshilfe zu KI vom Mai 2024: Ohne klare Regeln nutzen Beschäftigte KI-Anwendungen eigenmächtig und unkontrolliert. Sie empfiehlt deshalb dokumentierte interne Weisungen und betriebliche Geräte und Accounts, damit niemand mit privaten Konten arbeiten muss. Kläre die Details mit der Person, die sich bei dir um den Datenschutz kümmert. Dieser Artikel ist keine Rechtsberatung.
2. Geschäftsgeheimnisse verlieren ihren Schutz
Kalkulationen, Angebotspreise, Konstruktionsdaten oder Strategiepapiere gehören nicht in ein privates Konto. Das deutsche Geschäftsgeheimnisgesetz schützt Informationen nur, wenn das Unternehmen angemessene Geheimhaltungsmaßnahmen trifft (§ 2 GeschGehG). Fehlen Regeln dazu, wie mit vertraulichen Informationen in KI-Werkzeugen umzugehen ist, wird es schwerer, diese Maßnahmen nachzuweisen.
3. Ungeprüfte Ergebnisse
KI-Werkzeuge formulieren überzeugend, auch wenn der Inhalt falsch ist. Ohne die Regel, dass ein Mensch jedes Ergebnis vor der Weitergabe prüft, landen erfundene Zahlen, falsche Zitate oder unpassende Zusagen in E-Mails an Kunden.
4. Kein Überblick, kein Lerneffekt
Wenn jede Person ihr eigenes Werkzeug mit eigenen Eingaben nutzt, bleibt gutes Wissen im Einzelkonto. Gute Vorlagen werden nicht geteilt, Fehler wiederholen sich, und niemand kann sagen, wie viel Zeit KI tatsächlich spart.
Warum ein Verbot selten funktioniert
Die naheliegende Reaktion ist: KI wird verboten. Das wirkt entschlossen, löst das Problem aber selten. Der Bedarf bleibt, und die Nutzung wandert auf private Geräte und ins Homeoffice, wo du noch weniger siehst. Auch Bitkom empfiehlt deshalb zwei Dinge gleichzeitig: klare Regeln für den KI-Einsatz und eigene KI-Werkzeuge für die Beschäftigten.
Ein Verbot ist nur dort sinnvoll, wo es um klar umrissene Fälle geht, zum Beispiel: keine Personaldaten in KI-Werkzeuge ohne Freigabe. Als Generalregel für alles erzeugt es eher Schatten als Sicherheit.
Schatten-KI in 5 Schritten in geregelte Bahnen lenken
- Offen nachfragen. Eine kurze, anonyme Umfrage: Wer nutzt welche KI-Werkzeuge, wofür und wie oft? Mach klar, dass es um Verbesserung geht, nicht um Sanktionen.
- Anwendungsfälle sammeln. Die Antworten zeigen dir, wo der Bedarf liegt. Das sind die ersten Kandidaten für einen offiziellen Einsatz.
- Ein Werkzeug freigeben. Wähle mindestens ein Werkzeug mit geschäftlichem Zugang, bei dem Vertrag, Datenverarbeitung und Einstellungen geprüft sind. Dann gibt es eine erlaubte Alternative zum privaten Konto.
- Regeln auf einer Seite festhalten. Welche Werkzeuge sind erlaubt, welche Daten dürfen hinein, wer prüft Ergebnisse, wen fragt man im Zweifel? Wie so eine Seite aufgebaut ist, zeigt der Artikel KI-Richtlinie erstellen.
- Kurz schulen. Eine Stunde mit Beispielen aus dem eigenen Alltag bringt mehr als ein langes Regelwerk. Was dazugehört, steht im Artikel KI-Kompetenz schulen.
Ein Beispiel: In einem Beratungsunternehmen mit 15 Mitarbeitenden zeigt die Umfrage, dass fünf Personen privat ChatGPT für E-Mails und Protokolle nutzen. Statt eines Verbots gibt die Geschäftsführung einen geschäftlichen Zugang frei, legt fest, dass Kundennamen vor der Eingabe entfernt werden, und sammelt die besten Eingaben in einer gemeinsamen Vorlage. Aus fünf Einzelnutzern wird ein Team, das KI nach denselben Regeln einsetzt.
Schatten-KI als Startpunkt nutzen
Schatten-KI hat einen Vorteil: Sie zeigt dir ehrlich, wo dein Team Entlastung sucht. Genau dort lohnt es sich, mit einem geregelten KI-Einsatz anzufangen. Wer die privaten Experimente sichtbar macht, hat oft schon die ersten zwei oder drei Anwendungsfälle gefunden. Wie du daraus Schritt für Schritt einen echten Einsatz machst, beschreibt der Leitfaden KI im Unternehmen einführen.
Schatten-KI ist nicht das einzige Risiko. Welche weiteren Gefahren auf KMU zukommen, von Halluzinationen über Prompt Injection bis zum Chef-Betrug per Deepfake, zeigt der Überblick KI-Risiken im Unternehmen.
Fazit
Schatten-KI ist in vielen Unternehmen längst Alltag, auch wenn niemand darüber spricht. Die Risiken liegen bei Daten, Geschäftsgeheimnissen und ungeprüften Ergebnissen. Die Lösung ist selten ein Verbot, sondern ein geregelter Rahmen: offen nachfragen, ein Werkzeug freigeben, Regeln auf einer Seite festhalten und kurz schulen. So wird aus unsichtbaren Einzelversuchen ein KI-Einsatz, der nachvollziehbar und messbar ist.
Häufige Fragen
Was versteht man unter Schatten-KI?
Schatten-KI bezeichnet die Nutzung von KI-Werkzeugen für berufliche Aufgaben, die das Unternehmen weder freigegeben hat noch kennt. Typisch ist ein privates ChatGPT-Konto, mit dem jemand E-Mails formuliert, Angebote zusammenfasst oder Tabellen auswertet. Der Begriff lehnt sich an Schatten-IT an, also Software, die außerhalb der offiziellen IT genutzt wird.
Ist ChatGPT im Unternehmen gefährlich?
Das Werkzeug selbst ist nicht das Problem, sondern die Art der Nutzung. Kritisch wird es, wenn Kundendaten, Personaldaten oder vertrauliche Unterlagen in ein privates Konto kopiert werden oder wenn Ergebnisse ungeprüft weitergegeben werden. Mit einem freigegebenen Zugang, klaren Regeln zu Daten und einer Prüfpflicht lässt sich ChatGPT sinnvoll einsetzen.
Wie erkenne ich Schatten-KI im Unternehmen?
Am einfachsten durch Fragen statt Kontrolle. Eine kurze, offene Umfrage im Team zeigt meist schnell, wer welche Werkzeuge wofür nutzt. Wichtig ist, dass niemand Nachteile befürchten muss. Sonst bekommst du keine ehrlichen Antworten.
Sollte ich private KI-Tools einfach verbieten?
Ein Verbot ohne Alternative führt oft dazu, dass die Nutzung nur unsichtbarer wird. Sinnvoller ist es, mindestens ein geeignetes Werkzeug freizugeben, Regeln für Daten und Prüfung festzulegen und klar zu sagen, was ausdrücklich nicht erlaubt ist.
Was ist der Unterschied zwischen Schatten-IT und Schatten-KI?
Schatten-IT umfasst jede Software, die ohne Freigabe genutzt wird, zum Beispiel ein privater Cloud-Speicher. Schatten-KI ist ein Teil davon. Das Besondere: Bei KI werden oft ganze Texte, Dokumente oder Datensätze eingegeben, und die Ergebnisse fließen direkt in Arbeitsergebnisse ein. Dadurch sind Datenabfluss und Qualitätsrisiko meist größer.
Maschinenbauingenieur mit Master in Kunststofftechnik und MBA, sieben Jahre Team- und Abteilungsleitung in der Industrie. Seit 2019 baut er digitale Vertriebs-, Schulungs- und KI-Systeme. Mehr über Fabian
Quellen
Dieser Beitrag wurde mit KI-Unterstützung erstellt.
