Die Vertriebsleiterin lässt sich das Angebot für einen Großkunden von ChatGPT umformulieren. Der Buchhalter lädt eine Excel-Liste mit offenen Posten in ein kostenloses KI-Tool, um sie schneller auszuwerten. Und im Einkauf übersetzt jemand einen Lieferantenvertrag mit einem Browser-Plugin, das er am Wochenende entdeckt hat.
Keiner dieser Fälle ist böswillig. Alle drei wollen einfach schneller arbeiten. Und genau das macht Schatten-KI so verbreitet: Sie entsteht nicht aus Nachlässigkeit, sondern aus Eigeninitiative, weil das Unternehmen selbst keine passende Lösung anbietet.
In diesem Artikel erfährst Du, was Schatten-KI genau ist, welche Risiken sie für Dein Unternehmen mit sich bringt und warum Verbote das Problem nicht lösen. Danach zeigen wir Dir, wie Du mit einer schlanken KI-Governance in fünf Schritten gegensteuerst und mit einer freigegebenen KI-Plattform für Unternehmen die private Nutzung überflüssig machst.
Was ist Schatten-KI (Shadow AI)?
Schatten-KI, englisch Shadow AI, bezeichnet den Einsatz von KI-Tools durch Mitarbeitende ohne Wissen, Freigabe oder Kontrolle des Unternehmens. Meist geht es um private Accounts bei bekannten Chat-Assistenten, aber auch um Browser-Erweiterungen, KI-Funktionen in Apps oder Online-Tools zum Übersetzen, Transkribieren und Zusammenfassen.
Das Phänomen ist verwandt mit der klassischen Schatten-IT, also nicht genehmigter Software und Cloud-Diensten. Der Unterschied: Bei KI fließen Inhalte direkt in fremde Systeme, oft genau die vertraulichsten Texte, weil die KI dort am meisten hilft.
Typische Beispiele aus dem Büroalltag:
- E-Mails an Kunden mit Namen und Vertragsdetails umformulieren lassen
- Protokolle aus Meetings mit einer kostenlosen Transkriptions-App erstellen
- Bewerbungsunterlagen zusammenfassen oder vergleichen lassen
- Angebote, Kalkulationen oder Preislisten in eine KI kopieren, um Texte daraus zu bauen
- Quellcode oder Konfigurationsdateien zur Fehlersuche hochladen
Wie verbreitet ist Schatten-KI in deutschen Unternehmen?
Der Digitalverband Bitkom hat im Sommer 2025 dazu 604 Unternehmen ab 20 Beschäftigten befragt. Das Ergebnis vom Oktober 2025:
- In 8 Prozent der Unternehmen ist die Nutzung privater KI-Tools weit verbreitet, 2024 waren es noch 4 Prozent.
- In weiteren 17 Prozent gibt es Einzelfälle (2024: 13 Prozent).
- Weitere 17 Prozent vermuten private KI-Nutzung, wissen es aber nicht sicher.
Gleichzeitig stellen laut Bitkom nur 26 Prozent der Unternehmen ihren Beschäftigten selbst Zugang zu generativer KI bereit, und nur 23 Prozent haben Regeln für den KI-Einsatz aufgestellt.
Die Zahlen zeigen ein klares Muster: Wo das Unternehmen keine KI anbietet, bringen die Mitarbeitenden sie selbst mit. Und die tatsächliche Dunkelziffer dürfte höher liegen, denn Schatten-KI ist per Definition schwer zu messen.
Die Risiken von Schatten-KI
Datenabfluss
Was in ein privates KI-Konto eingegeben wird, verlässt Dein Unternehmen. Bei vielen Consumer-Tarifen können Eingaben zur Weiterentwicklung der Modelle verwendet werden. Du hast keinen Überblick, welche Daten wo gelandet sind, und keine Möglichkeit, sie zurückzuholen.
Geschäftsgeheimnisse
Kalkulationen, Konstruktionsdaten, Strategiepapiere: Nach dem Geschäftsgeheimnisgesetz (GeschGehG) sind Informationen nur geschützt, wenn Du angemessene Geheimhaltungsmaßnahmen getroffen hast. Unkontrollierte KI-Nutzung kann diesen Schutz schwächen, weil Du im Streitfall nicht nachweisen kannst, dass Du Deine Geheimnisse ausreichend geschützt hast.
DSGVO-Verstöße
Sobald personenbezogene Daten von Kunden, Mitarbeitenden oder Bewerber:innen in ein privates Tool gelangen, fehlt der Auftragsverarbeitungsvertrag (AVV). Eine Rechtsgrundlage für die Übermittlung gibt es meist auch nicht. Das ist ein Datenschutzverstoß, für den Dein Unternehmen als Verantwortlicher haftet, nicht der oder die Mitarbeitende. Welche Punkte für eine rechtssichere Nutzung erfüllt sein müssen, zeigt unsere Checkliste für DSGVO-konforme KI.
Haftung
Verantwortung lässt sich nicht delegieren. Die Geschäftsleitung muss dafür sorgen, dass Datenschutz und Informationssicherheit eingehalten werden. Wer weiß oder ahnt, dass Schatten-KI genutzt wird, und nichts unternimmt, hat ein Organisationsproblem.
Fehlentscheidungen ohne Quellen
KI-Modelle können überzeugend klingende, aber falsche Antworten erzeugen. Private Tools greifen in der Regel nicht auf Dein Firmenwissen zu und zeigen nicht, woher eine Information stammt. Wenn ein Angebot, eine Vertragsklausel oder eine technische Auskunft ungeprüft auf einer solchen Antwort basiert, kann das teuer werden.
Warum Verbote nicht funktionieren
Die naheliegende Reaktion ist ein Verbot: „Die Nutzung von KI-Tools ist untersagt.“ Das Problem: Es funktioniert in der Praxis kaum.
- KI ist überall: Das Smartphone liegt neben der Tastatur, KI-Funktionen stecken in Suchmaschinen, Browsern und Apps. Eine Sperre im Firmennetz hält niemanden auf.
- Der Nutzen ist real: Wer einmal erlebt hat, dass eine E-Mail in 30 Sekunden statt 10 Minuten fertig ist, gibt das ungern wieder her.
- Verbote treiben die Nutzung in den Untergrund: Statt offen zu fragen, nutzen Mitarbeitende KI heimlich. Du verlierst den letzten Rest an Überblick.
Auch der Bitkom rät deshalb, klare Regeln aufzustellen und den Beschäftigten selbst KI-Technologien zur Verfügung zu stellen. Das Ziel ist nicht weniger KI, sondern kontrollierte KI.
KI-Governance in 5 Schritten
KI-Governance bezeichnet die Regeln, Rollen und Prozesse, mit denen ein Unternehmen den Einsatz von KI steuert. Das klingt nach Konzern, lässt sich im Mittelstand aber schlank umsetzen.
Schritt 1: KI-Richtlinie aufstellen
Halte in einer kurzen Richtlinie fest, welche Tools erlaubt sind, welche Daten hinein dürfen und wie Ergebnisse geprüft werden. Eine Muster-KI-Richtlinie zum Anpassen findest Du weiter unten. Wichtig sind klare Datenklassen: öffentlich, intern, vertraulich, streng vertraulich. Für jede Klasse steht fest, ob und in welchem Tool sie verwendet werden darf. Zwei Seiten in verständlicher Sprache reichen.
Schritt 2: Ein freigegebenes Tool bereitstellen
Das ist der wichtigste Schritt. Mitarbeitende brauchen eine offizielle Alternative, die mindestens so bequem ist wie die private Variante. Ist das freigegebene Tool umständlich oder kann weniger, kehren die Teams schnell zu ihren privaten Accounts zurück.
Schritt 3: Rollen und Rechte festlegen
Wer verwaltet das Tool? Wer darf Firmenwissen anbinden? Wer entscheidet über neue Anwendungsfälle? Lege Verantwortlichkeiten fest, typischerweise IT-Leitung, Datenschutz und eine fachliche Ansprechperson. Wenn die KI auf Dokumente zugreift, müssen bestehende Zugriffsrechte gelten.
Schritt 4: Schulen
Der EU AI Act verlangt seit Februar 2025 Maßnahmen für ausreichende KI-Kompetenz der Mitarbeitenden (Art. 4). Eine praxisnahe Schulung erklärt, was die freigegebene KI kann, wo ihre Grenzen liegen und wie man Ergebnisse prüft. Gut geschulte Teams nutzen die offizielle Lösung auch eher.
Schritt 5: Monitoring ohne Überwachung
Du willst wissen, ob das freigegebene Tool angenommen wird, aber nicht lesen, was einzelne Mitarbeitende eingeben. Sinnvolle Kennzahlen sind zum Beispiel die Anzahl aktiver Nutzer:innen pro Abteilung oder genutzte Funktionen. Inhalte von Chats gehören nicht dazu. Das schützt das Vertrauen der Belegschaft und erleichtert die Abstimmung mit dem Betriebsrat.
Eine freigegebene Alternative statt privater Accounts
Schritt 2 entscheidet, ob Deine KI-Governance funktioniert. Deshalb lohnt sich ein genauer Blick auf die Anforderungen an das freigegebene Tool:
- Datenschutz: Verarbeitung in der EU, AVV, kein Training mit Deinen Daten
- Alltagstauglichkeit: Texte, Zusammenfassungen, Office-Dateien, Zugriff auf Firmenwissen
- Vertrauen: Admins sehen Nutzungskennzahlen, aber keine Inhalte
Genau dafür haben wir snutig.ai gebaut. Die Plattform verarbeitet Anfragen in der EU, speichert Daten und Logs in Frankfurt, trainiert nicht mit Deinen Daten und trennt jede Organisation von anderen Kunden. Admins verwalten Rollen und Rechte, lesen aber keine Chats mit. Die Nutzung lässt sich trotzdem als Kennzahl auswerten, damit Du siehst, ob die Einführung gelingt.
Damit die Teams gar nicht erst zum privaten Account greifen, muss das Tool im Alltag überzeugen: snutig.ai erstellt Office-Dateien aus Deinen eigenen Vorlagen, durchsucht Wissenssammlungen mit Quellenangabe und bindet über Microsoft Entra, SharePoint, OneDrive und Outlook Deine Microsoft-365-Umgebung an. Die bestehenden Berechtigungen bleiben dabei erhalten. Mit dem Agenten-Baukasten lassen sich wiederkehrende Aufgaben automatisieren. Was KI-Agenten konkret leisten, zeigen unsere Beispiele für KI-Agenten im Mittelstand.
Du willst lieber eine maßgeschneiderte Lösung entwickeln lassen? Dann sprich mit unserer KI-Beratung über die passende Strategie.
Vorlage: Muster-KI-Richtlinie
Damit Du nicht bei null anfangen musst, haben wir eine Muster-KI-Richtlinie für den Mittelstand vorbereitet. Sie enthält:
- Geltungsbereich und Begriffe
- Freigegebene Tools und Zwecke
- Datenklassen mit klaren Beispielen
- Prüfpflicht für KI-Ergebnisse
- Zuständigkeiten und Ansprechpartner
- Umgang mit Verstößen
Muster-KI-Richtlinie als PDF herunterladen
Die Vorlage ist ein Startpunkt. Passe sie an Dein Unternehmen an und stimme sie mit Datenschutz und Betriebsrat ab.
Häufige Fragen zu Schatten-KI
Was ist der Unterschied zwischen Schatten-KI und Schatten-IT?
Schatten-IT umfasst jede Software oder Hardware, die ohne Freigabe der IT genutzt wird. Schatten-KI ist ein Teilbereich davon. Das besondere Risiko: Bei KI werden Inhalte aktiv in fremde Systeme eingegeben, oft gerade die vertraulichsten Texte.
Wie erkenne ich Schatten-KI im Unternehmen?
Technisch helfen Auswertungen von Netzwerk- und Proxy-Logs auf bekannte KI-Dienste. Aufschlussreicher ist oft eine anonyme Umfrage unter den Mitarbeitenden: Welche Tools nutzt ihr, wofür und warum? Die Antworten zeigen Dir nicht nur das Ausmaß, sondern auch den tatsächlichen Bedarf.
Darf ich Mitarbeitenden die private KI-Nutzung verbieten?
Ja, für dienstliche Daten kannst Du das per Weisung oder Richtlinie regeln. Ein Verbot allein wirkt aber selten. Kombiniere es mit einer freigegebenen Alternative und erkläre die Gründe, dann wird die Regel auch eingehalten.
Was gehört in eine KI-Richtlinie im Unternehmen?
Mindestens: welche Tools erlaubt sind, welche Daten verwendet werden dürfen, wie Ergebnisse geprüft werden und wer zuständig ist. Ergänzend sinnvoll sind Regeln zur Kennzeichnung KI-generierter Inhalte und zum Umgang mit Verstößen.
Was ist KI-Governance?
KI-Governance ist der Rahmen aus Regeln, Rollen und Prozessen, mit dem ein Unternehmen den KI-Einsatz steuert. Dazu gehören Richtlinie, freigegebene Tools, Verantwortlichkeiten, Schulung und ein Monitoring, das Nutzung misst, ohne Inhalte zu überwachen.
Fazit: Schatten-KI löst Du mit einem besseren Angebot
Schatten-KI ist kein Disziplinproblem, sondern ein Zeichen dafür, dass Deine Teams KI nutzen wollen. Die Lösung liegt deshalb nicht im Verbot, sondern im Angebot:
- Regeln, die jede:r versteht
- Ein freigegebenes Tool, das im Alltag mithalten kann
- Vertrauen durch Monitoring ohne Mitlesen
So holst Du die KI-Nutzung aus dem Schatten und machst sie zu einem echten Produktivitätsgewinn.
Du willst sehen, wie eine freigegebene KI-Lösung für Dein Team aussehen kann? Vereinbare eine Demo von snutig.ai und erfahre, wie Du Schatten-KI durch eine DSGVO-konforme Alternative ersetzt.
Markenhinweis: ChatGPT ist eine Marke der OpenAI OpCo, LLC. Microsoft, Microsoft 365, SharePoint, OneDrive, Outlook und Entra sind Marken der Microsoft Corporation. Die Nennung erfolgt ausschließlich zu Informationszwecken.
