Schatten-KI

Was bedeutet Schatten-KI?

Schatten-KI entsteht selten aus böser Absicht. Meist will jemand schlicht schneller fertig werden: Die Sachbearbeiterin lässt eine verärgerte Kundenmail umformulieren, der Projektleiter fasst ein langes Protokoll zusammen, der Azubi übersetzt eine Bedienungsanleitung. Dafür nimmt er das Werkzeug, das er vom Handy kennt – mit seinem privaten Konto. Die Arbeit wird erledigt, aber der Betrieb weiß nicht, dass sie so erledigt wurde, welche Daten dabei das Haus verlassen haben und ob das Ergebnis jemand geprüft hat.

Der Begriff ist an die ältere „Schatten-IT“ angelehnt: Software und Cloud-Dienste, die Abteilungen an der IT vorbei nutzen. Schatten-KI ist ein Sonderfall davon, aber mit einer eigenen Schärfe. Ein KI-Werkzeug speichert nicht nur Daten, es verarbeitet Inhalte – und es liefert Texte, Zahlen und Einschätzungen zurück, die ungeprüft in Angebote, Kundenmails oder Entscheidungsvorlagen wandern. Das Risiko liegt also an zwei Stellen: bei dem, was hineingeht, und bei dem, was herauskommt.

Von Nachbarbegriffen ist Schatten-KI klar abzugrenzen. Eine KI-Richtlinie im Unternehmen ist die Gegenmaßnahme: Sie legt fest, was erlaubt ist – wo sie fehlt, ist praktisch jede KI-Nutzung Schatten-KI. DSGVO-konforme KI beschreibt einen Einsatz mit Rechtsgrundlage, Vertrag und klarem Speicherort; Schatten-KI ist das Gegenteil, weil niemand diese Fragen gestellt hat. Und KI-Kompetenz meint das Wissen der Mitarbeitenden – das kann hoch sein, und trotzdem findet die Nutzung im Schatten statt, wenn der Betrieb keinen offiziellen Weg anbietet.

Rechtlich wird Schatten-KI vor allem an drei Stellen spürbar. Gehen personenbezogene Daten an einen Anbieter, mit dem kein Vertrag zur Auftragsverarbeitung besteht, verletzt der Betrieb in der Regel seine Pflichten aus der Datenschutz-Grundverordnung. Werden vertrauliche Unterlagen von Kunden oder Lieferanten eingegeben, kann das gegen Geheimhaltungsvereinbarungen verstoßen und den Schutz eigener Geschäftsgeheimnisse schwächen. Und die KI-Verordnung verlangt von Betrieben, die KI beruflich einsetzen, für ausreichende KI-Kompetenz ihres Personals zu sorgen – das gelingt kaum bei einer Nutzung, von der die Geschäftsführung nichts weiß.

Schatten-KI kurz erklärt: die wichtigsten Punkte

• Ursache ist fast immer ein Mangel an offiziellen Wegen, nicht an Disziplin: Wo der Betrieb kein geprüftes Werkzeug anbietet, nehmen Mitarbeitende das private.
• Das Hauptrisiko sind die Eingaben: Kundendaten, Personaldaten, Preise, Konstruktionsunterlagen landen bei Anbietern ohne Vertrag mit dem Betrieb.
• Das zweite Risiko sind die Ausgaben: KI-Ergebnisse gehen ungeprüft an Kunden, obwohl sie falsch, erfunden oder unpassend sein können.
• Die Verantwortung bleibt beim Betrieb – gegenüber Kunden und Behörden auch dann, wenn die Geschäftsführung von der Nutzung nichts wusste.
• Schatten-KI verschwindet nicht durch Verbote, sondern durch einen offiziellen Weg, der einfacher ist als der inoffizielle.

Schatten-KI in der Praxis

• Angebot im Vertrieb: Ein Vertriebsmitarbeiter kopiert die Anfrage eines Stammkunden samt Ansprechpartner, Mengen und Zielpreis in ein kostenloses Chatkonto, um schneller einen Angebotstext zu bekommen. Das Angebot geht pünktlich raus – aber die Kundendaten liegen nun bei einem Anbieter, mit dem der Betrieb keinen Vertrag hat, und unter Bedingungen, die Eingaben möglicherweise zum Training zulassen.
• Personalakte in der Verwaltung: Die Büroleitung lässt sich eine Abmahnung „rechtssicher formulieren“ und gibt dazu Name, Fehlzeiten und Vorgeschichte des Mitarbeiters ein. Beschäftigtendaten gehören zu den sensibelsten Daten eines Betriebs; ihre Übermittlung an einen fremden Dienst ohne Rechtsgrundlage ist ein klarer Datenschutzverstoß – und die Formulierung hat niemand mit Fachkenntnis geprüft.
• Zeichnung in der Konstruktion: Ein Techniker lädt die Zeichnung eines Kundenbauteils hoch, um sich Fertigungsvarianten vorschlagen zu lassen. Der Kunde hat mit dem Betrieb eine Geheimhaltungsvereinbarung geschlossen. Ob die Weitergabe dagegen verstößt, prüft niemand, weil niemand davon weiß.

Woran Sie Schatten-KI im eigenen Betrieb erkennen

1. Es gibt keine schriftliche Regel, welche KI-Werkzeuge erlaubt sind – oder die Regel ist ein pauschales Verbot, an das sich erkennbar niemand hält.
2. Texte von Mitarbeitenden sind plötzlich auffallend glatt, gleichförmig im Ton oder enthalten Formulierungen, die nicht zur Person passen.
3. Aufgaben, die früher Stunden dauerten, sind ohne neue Software in Minuten erledigt, und auf Nachfrage bleibt die Antwort vage.
4. Auf Diensthandys und Arbeitsrechnern finden sich KI-Apps oder Browser-Erweiterungen, die nie offiziell eingeführt wurden.
5. Niemand im Betrieb kann sagen, wer KI-Ergebnisse vor dem Versand an Kunden liest – weil es offiziell keine KI-Ergebnisse gibt.

Typische Fehler

• Verbieten statt anbieten: Ein Verbot ohne geprüfte Alternative treibt die Nutzung auf private Geräte und macht sie damit noch unsichtbarer.
• Mitarbeitende bloßstellen: Wer die ersten Fälle sanktioniert, erfährt nie wieder, wo KI genutzt wird. Eine ehrliche Bestandsaufnahme braucht die Zusage, dass Offenheit keine Folgen hat.
• Nur das Werkzeug regeln: Ein Geschäftskonto allein löst das Problem nicht, wenn weiter offen bleibt, welche Daten hineindürfen und wer Ergebnisse freigibt.
• Abwarten: Je länger KI im Schatten läuft, desto mehr Daten sind schon abgeflossen und desto fester sind die Gewohnheiten.

Unser Bezug

Wir arbeiten seit 14 Monaten im eigenen Betrieb mit KI-Stellen – und haben dabei gelernt, dass Schatten-KI kein Fehlverhalten einzelner ist, sondern ein Zeichen für einen fehlenden offiziellen Weg. Unsere Antwort darauf steht über allem: Die KI bereitet vor, der Mensch gibt frei. Die KI-Mitarbeiter arbeiten bei uns in einem gemeinsamen Arbeitsplatz mit Datenhaltung auf Servern in Deutschland, jede Außenwirkung geht über einen menschlichen Tisch, und KI-Absender sind gekennzeichnet. Damit gibt es für niemanden einen Grund, zum privaten Konto zu greifen.

In der Beratung machen wir mit Ihnen zuerst sichtbar, wo in Ihrem Betrieb bereits KI genutzt wird – ohne Schuldzuweisung –, welche Daten dabei betroffen sind und wo freigegeben werden muss. Daraus entstehen klare Regeln und eine Empfehlung, welcher offizielle Weg zu Ihrem Alltag passt. Für die Beratung ist bis zu 80 % Förderung möglich, je nach Betrieb und Standort. Die Umsetzung beauftragen Sie getrennt, wenn Sie wollen: im AI Workspace, in dem Freigaben fest eingebaut sind, oder als individuelle Lösung.

Verwandte Begriffe

• KI-Richtlinie im Unternehmen
• DSGVO-konforme KI
• KI-Kompetenz
• Freigabe durch Menschen
• KI-Verordnung

Weiterführende Beiträge

• Datenschutz bei KI-Stellen: Was in Deutschland bleibt, was vertraglich abgesichert ist
• Warum der erste KI-Versuch im Mittelstand fast immer scheitert
• Ein Arbeitsplatz für Menschen und KI-Stellen: Warum ein Chatfenster nicht reicht
• KI-Kontrolle im Unternehmen: der Freigabe-Prozess
• KI mit Betriebsrat: Mitbestimmung und Betriebsvereinbarung