Mitarbeiter verwenden ChatGPT, Gemini oder Claude, um schneller zu agieren – häufig ohne Kenntnis der IT-Abteilung. Was als kleine Produktivitätshilfe beginnt, entwickelt sich für viele mittelständische Unternehmen zur stillen Datenschutz- und Compliance-Falle. Denn jeder Prompt mit vertraulichen Daten kann zum Datenleck werden und niemand bekommt es mit…
Eine kurze Frist, ein langes Dokument, ein unbeschriebenes Word-Dokument. Schnell den Text in ChatGPT einfügen, zusammenfassen lassen, fertig. Was nach unschädlichem Pragmatismus klingt, ist in etlichen Unternehmen längst Alltag und in den meisten Fällen weder erfasst noch genehmigt. Genau dieses Phänomen trägt einen eigenen Namen: Schatten-KI. Sie ist die kleine, unscheinbare Schwester der bekannten Schatten-IT – und sie wächst gerade schnell.
Wie rasant, zeigt eine repräsentative Umfrage des Digitalverbands Bitkom: Mittlerweile nutzen 10 Prozent der Erwerbstätigen in Deutschland KI im Beruf, ohne dass ihr Unternehmen davon weiß. Vor einem Jahr waren es noch 5 Prozent. Die verdeckte Verwendung hat sich also innerhalb eines Jahres verdoppelt. Auf Unternehmensseite gehen mittlerweile rund vier von zehn Firmen davon aus, dass ihre Angestellten private KI-Tools im Job einsetzen. Die Dunkelziffer dürfte wesentlich höher sein.
Schatten-KI im Unternehmenskontext einordnen
Der Begriff lehnt sich an die seit Jahren etablierte Schatten-IT an, also den eigenmächtigen Einsatz von Software, Cloud-Diensten oder Hardware ohne Genehmigung der IT-Sektion. Schatten-KI bezeichnet exakt dasselbe Muster, nur mit einer modernen Werkzeugklasse: generative KI-Tools wie ChatGPT, Microsoft Copilot, Google Gemini oder Claude, die Mitarbeitende ohne formelle Genehmigung im beruflichen Umfeld verwenden.
Typische Anwendungsfälle aus der Praxis sind das Verdichten vertraulicher Meeting-Mitschriften, das Übersetzen von Kunden-Korrespondenz, das Strukturieren interner Dokumente, das Optimieren von Verkaufstexten oder das Kontrollieren von Programmcode. All das erfolgt in der Regel über frei verfügbare, frei zugängliche Webdienste – und damit außerhalb jeder Datenschutz-Bewertung, ohne Auftragsverarbeitungs-Vereinbarung und ohne dass die IT-Abteilung weiß, welche Inhalte das Unternehmen übermittelt haben.
Entscheidend zu begreifen: Die Eingabe von Unternehmensdaten in eine frei zugängliche KI ist rechtlich keine Nebensächlichkeit. Sie gilt üblicherweise als Offenlegung gegenüber einem Außenstehenden – mit Konsequenzen für die Sicherheit von Geschäftsgeheimnissen, für DSGVO-Vorgaben und im Ernstfall auch für die individuelle Verantwortung der Unternehmensleitung.
Warum sich Schatten-KI so rasant ausbreitet
Schatten-KI ist kaum Ausdruck böser Absicht. Im Gegensatz: Wer ChatGPT verwendet, will meistens schneller agieren, hochwertigere Ergebnisse liefern oder einfach weniger Routine bewältigen. Der Zugang zur frei zugänglichen KI ist dabei der Weg des niedrigsten Widerstands – ein Browser-Tab, ein paar Sekunden, fertig.
Dazu kommt eine handfeste Lücke auf der Arbeitgeberseite. Laut Bitkom werden 70 Prozent der Mitarbeitenden in Deutschland von ihrem Arbeitgeber nicht zu KI geschult. Bloß jeder Fünfte hat pauschal eine Schulung erhalten. Wo formal weder eindeutige Vorgaben noch freigegebene Tools existieren, füllt die private KI-Verwendung das Vakuum. Mitarbeiter improvisieren, Teamleiter schauen weg, und die IT bemerkt erst dann davon, wenn etwas schiefgeht.
Wir sehen in der Praxis immer öfter, dass Schatten-KI dort am intensivsten wächst, wo zwei Einflussgrößen zusammenkommen: hoher Produktivitätszwang und fehlende offizielle Alternativen. Solange das Unternehmen keine sicheren KI-Tools anbietet, gewinnt das erstbeste Tool aus dem Browser. Und das ist fast immer die frei zugängliche Variante von ChatGPT.
Die Risiken von Schatten-KI im Mittelstand
Schatten-KI greift sofort in vier sensible Handlungsfelder ein: Datenschutz, Geschäftsgeheimniswahrung, Compliance und Informationssicherheit. Die Risiken überlappen sich und sind für mittelständische Unternehmen oft existenzieller, als die vermeintliche Unbedenklichkeit eines „mal eben“-Prompts vermuten lässt.
- DSGVO-Verstöße: Werden personenbezogene Daten – Kundendaten, Bewerberdossiers, interne Korrespondenz – in eine frei zugängliche KI übermittelt, fehlt es regelmäßig an einer Rechtsbasis, an einem Auftragsverarbeitungsvertrag und an der dokumentierten Rechenschaftsverantwortung nach Artikel 5 DSGVO.
- Wegfall des Geschäftsgeheimnisschutzes: Das Geschäftsgeheimnisgesetz schützt nur Daten, die durch geeignete Maßnahmen geheim gehalten werden. Wer Quellcode, Preisberechnungen oder M&A-Dokumente in einen frei zugänglichen Chatbot tippt, verliert diesen Schutz unter Umständen dauerhaft.
- Fehlerhafte Resultate und Halluzinationen: KI-Systeme erfinden Fakten glaubwürdig genug, dass sie in Angebote, Verträge oder Marketingunterlagen wandern – mit Folgen für Haftung, Gewährleistung und Reputation.
- Compliance-Lücken nach EU-AI-Act: Seit Februar 2025 verpflichtet die KI-Regulierung Unternehmen, dass alle Personen im Umgang mit KI über ein „ausreichendes Maß an KI-Kompetenz“ verfügen. Eine ungeregelte Schattenverwendung lässt sich gegenüber einer Aufsichtsstelle praktisch nicht nachweisen.
- Cybersicherheits-Einfallstore: Nicht jedes KI-Werkzeug, das Beschäftigte aus dem Browser laden, ist seriös. Veränderte Plugins, unsichere Browser-Add-ons oder fragwürdige Wrapper-Services sind ideale Einfallstore für Datenabfluss und Malware.
Speziell heikel ist die Verknüpfung dieser Gefahren: Eine einzelne Datenverletzung kann nach DSGVO Artikel 33 binnen 72 Stunden anzeigepflichtig werden – inklusive Benachrichtigung der betroffenen Personen. Ein Schreiben an Kunden mit der Mitteilung „Ein Mitarbeiter hat Ihre Daten in ChatGPT eingegeben“ ist nichts, was sich ein Geschäftsführer aussuchen würde. Hinzu kommt die individuelle Verantwortung der Geschäftsleitung nach § 43 GmbHG, falls Risikosteuerung und Aufsicht erkennbar versäumt wurden.
Schatten-KI vermeiden: Die wichtigsten Maßnahmen
Pauschale Untersagungen funktionieren nicht. Wer ChatGPT im Unternehmensnetz sperrt, erlebt nur, dass Mitarbeiter ihre Eingaben stattdessen über das Smartphone oder das private Notebook schicken. Die Verwendung endet nicht, sie wird nur unsichtbarer. Effektiver ist ein zweiter, pragmatischerer Weg: Schatten-KI nicht unterdrücken, sondern in sichere Strukturen lenken.
Aus unserer Erfahrung als IT-Dienstleister hat sich dabei eine eindeutige Reihenfolge etabliert:
- Bestandsanalyse: Transparent analysieren, welche KI-Tools im Unternehmen wirklich verwendet werden – über knappe, vertrauliche Mitarbeiterumfragen, über Analyse des Web-Traffics oder über direkte Abstimmungen mit den Fachbereichen.
- KI-Richtlinie erstellen: Eine kompakte, nachvollziehbare Policy regelt, welche Daten niemals in frei zugängliche KI eingespeist werden dürfen (Personeninformationen, Verträge, Quellcode, Finanzinformationen, Geschäftsinterna), welche Tools genehmigt sind und wie KI-Ergebnisse vor der Nutzung geprüft werden müssen.
- Sichere Lösungen bereitstellen: Enterprise-Varianten wie Microsoft 365 Copilot, ChatGPT Enterprise oder Claude for Work bieten rechtliche Zusicherungen zu Datennutzung, Logging und Datenspeicherung. Auch spezialisierte Lösungen wie AuxData.ai, können einen sicheren KI-Einsatz im Arbeitsalltag unterstützen. Wo immer möglich sollten genehmigte Tools die einfachste Wahl sein, nicht die umständlichste.
- Training statt Sanktion: Kurze, praxisnahe Trainings zu Prompt-Hygiene, Dateneinstufung und KI-Fachwissen schaffen Sicherheit und decken zugleich die Pflicht aus Artikel 4 EU-AI-Act ab.
- Markierung und Vier-Augen-Prinzip: Für geschäftsrelevante Dokumente gehört eine menschliche Prüfung zwingend dazu. KI-erstellte Texte werden gekennzeichnet, damit ihre Herkunft transparent bleibt.
- Betriebsrat beteiligen: In mitbestimmungsrelevanten Unternehmen ist eine Rahmenvereinbarung zur KI-Nutzung der sauberste Weg und meist schneller verhandelt, als viele annehmen.
Wir raten unseren Kunden, dieses Vorgehen nicht als Compliance-Maßnahme zu betrachten, sondern als Möglichkeit: Wer Schatten-KI transparent macht, erfährt nebenbei, an welchen Stellen im Unternehmen besonders viel händische Tätigkeit steckt und wo sich der gezielte Einsatz freigegebener KI wirklich auszahlt.
Fazit: Vom blinden Fleck zum gestalteten Rahmen
Schatten-KI ist kein Phänomen, das wieder verschwindet. Sie ist die unmittelbare Folge davon, dass generative KI in der gesamten Struktur der Mitarbeiterschaft schneller etabliert ist als in den IT- und Compliance-Abteilungen vieler Mittelständler. Wer das Handlungsfeld jetzt systematisch angeht, hat zwei Vorteile: Er reduziert Datenschutz- und Haftungsgefahren spürbar und er legt die Basis dafür, dass KI im Unternehmen produktiv und kontrolliert zugleich genutzt werden kann.
Aus unserer Perspektive ist klar: Schatten-KI ist kein reines IT-Thema, sondern ein Führungsthema. Geschäftsleitung, Datenschutz, IT und Fachabteilungen müssen gemeinsam festlegen, wo KI im Unternehmen erlaubt, erwünscht oder verboten ist. Wer hier zögert, riskiert nicht nur Bußzahlungen und Reputationsverluste, sondern verpasst auch die Möglichkeit, KI gezielt als Instrument für die eigene Wertgenerierung zu nutzen.
Sie möchten wissen, welche KI-Tools in Ihrem Unternehmen im Einsatz sind und wie Sie klare Regeln für eine sichere KI-Nutzung schaffen? Mit unserer 4-Stufen-Strategie für den erfolgreichen KI-Einsatz begleiten wir Sie von der strategischen Planung über die Auswahl geeigneter Lösungen bis zur technischen Umsetzung. Gemeinsam finden wir einen Ansatz, der zu Ihren Anforderungen passt und Ihnen ermöglicht, Künstliche Intelligenz sicher, effizient und gewinnbringend in Ihrem Unternehmen einzusetzen.
