Schatten-KI im Unternehmen: erkennen und regeln
Schatten-KI im Unternehmen: woran Sie private KI-Konten und versteckte KI-Funktionen erkennen und wie Sie die Nutzung ohne Verbotskultur ordnen.
Kurz gesagt: Schatten-KI bedeutet: Mitarbeitende nutzen für die Arbeit KI-Tools, die das Unternehmen nicht freigegeben hat, etwa ein privates ChatGPT-Konto oder eine Browser-Erweiterung. Meist steckt gute Absicht dahinter. Statt Verboten helfen eine ehrliche Bestandsaufnahme, eine freigegebene Alternative, einfache Regeln, eine Ansprechperson und eine kurze Schulung.
Was ist Schatten-KI?
Von Schatten-KI (englisch Shadow AI) spricht man, wenn Mitarbeitende für die Arbeit KI-Tools nutzen, die das Unternehmen nicht freigegeben hat. Der Begriff lehnt sich an „Schatten-IT“ an: Software, die an der IT vorbei im Einsatz ist.
Das passiert selten aus böser Absicht. Eine Sachbearbeiterin lässt sich eine schwierige Kundenmail mit ihrem privaten ChatGPT-Konto vorformulieren, weil es schneller geht. Ein Vertriebsmitarbeiter installiert eine Browser-Erweiterung, die Webseiten zusammenfasst. Beide wollen gute Arbeit machen, und beide wissen vermutlich nicht, was mit den eingegebenen Daten passiert.
Wo begegnet Schatten-KI im Büroalltag?
- Private Konten: ChatGPT, Gemini, Claude oder andere Assistenten mit privatem Login, oft am Firmenrechner im Browser
- Browser-Erweiterungen: Schreibhilfen, Übersetzer oder Zusammenfasser, die Inhalte von Webseiten und Formularen mitlesen können
- KI-Funktionen in vorhandener Software: neue Assistenten in Videokonferenz-, Office- oder Fachprogrammen, die per Update dazukommen und einfach eingeschaltet werden
- Meeting-Notizen: Tools, die Besprechungen aufzeichnen, transkribieren und zusammenfassen
- Smartphone-Apps: Foto-Übersetzer, Texterkennung oder Sprachassistenten, mit denen Dokumente abfotografiert werden
Gerade der dritte Punkt wird oft übersehen: Schatten-KI muss kein neues Programm sein. Es reicht, wenn in einem vorhandenen Tool eine KI-Funktion aktiviert wird, die niemand bewertet hat.
Welche Risiken entstehen durch Schatten-KI?
- Datenabfluss: Eingaben landen beim Anbieter, ohne dass das Unternehmen geprüft hat, was dort mit ihnen geschieht. Bei privaten Konten gelten in der Regel nicht die Verträge und Einstellungen Ihres Unternehmens.
- Falsche Ergebnisse: KI formuliert überzeugend, auch wenn Fakten, Zahlen oder Quellen nicht stimmen. Ohne gemeinsame Regeln prüft jede Person unterschiedlich gründlich oder gar nicht.
- Fehlende Nachvollziehbarkeit: Das Unternehmen weiß nicht, welche KI eingesetzt wird, und kann den Einsatz weder steuern noch dokumentieren. Bei Fehlern ist unklar, wie ein Ergebnis entstanden ist.
- Uneinheitliche Qualität: Jeder arbeitet mit anderen Tools und Einstellungen. Was die eine Kollegin gelernt hat, hilft dem anderen nicht.
Warum helfen Verbote allein selten?
Ein pauschales KI-Verbot klingt nach Kontrolle, bewirkt aber oft das Gegenteil: Die Nutzung wandert aufs private Smartphone, und niemand spricht mehr offen darüber. Fehler werden dann nicht gemeldet, sondern versteckt.
Schatten-KI ist meist ein Zeichen für einen echten Bedarf. Wer ihn ernst nimmt und eine freigegebene Alternative anbietet, holt die Nutzung ins Licht und kann sie gestalten.
Wie gehen Unternehmen pragmatisch mit Schatten-KI um?
1. Bestandsaufnahme ohne Schuldzuweisung. Fragen Sie im Team offen nach: Welche KI-Tools nutzt ihr, wofür und mit welchen Daten? Kündigen Sie vorher an, dass es um einen Überblick geht und nicht um Konsequenzen. Ergänzend kann Ihre IT installierte Browser-Erweiterungen und aktivierte KI-Funktionen in vorhandener Software prüfen.
2. Freigegebene Tools benennen. Entscheiden Sie, welche Tools für welche Zwecke erlaubt sind, und nennen Sie sie beim Namen, möglichst mit Version oder Lizenz. Wo ein Bedarf besteht, aber kein Tool freigegeben werden kann, sagen Sie offen, warum.
3. Einfache Regeln festlegen. Wenige Regeln, die jede Person im Kopf behält, wirken besser als ein langes Dokument. In der Online-Schulung von KI-Mitarbeiter-Kompetenz sind sie als „Die 3 Momente“ zusammengefasst:
- Moment 1 – Vor der Eingabe: Ist das Tool freigegeben? Steckt etwas Vertrauliches drin? Nur eingeben, was die interne Regel erlaubt, Platzhalter statt echter Namen.
- Moment 2 – Nach der Antwort: Fakten, Zahlen, Namen und Quellen prüfen, anpassen und selbst entscheiden.
- Moment 3 – Bei ungewöhnlichen Bitten: Bei Bitten um Geld, Daten oder Zugänge unter Zeitdruck nichts ausführen, über einen bekannten Kanal zurückrufen, Vorfall melden.
- Immer: im Zweifel fragen.
Wenn Sie die Regeln schriftlich festhalten möchten, nutzen Sie die Vorlage im Artikel Regeln für ChatGPT und Copilot.
4. Ansprechperson festlegen. Eine Person, an die sich alle wenden, wenn sie ein neues Tool ausprobieren möchten oder unsicher sind. Neue Tools werden dort vorgeschlagen und nicht einfach installiert.
5. Schulen. Regeln wirken erst, wenn alle verstehen, warum es sie gibt. Eine kurze Schulung für alle, die mit KI arbeiten, schafft eine gemeinsame Grundlage.
Was passiert, wenn trotzdem etwas schiefgeht?
Hat jemand vertrauliche Daten in ein nicht freigegebenes Tool eingegeben, zählt vor allem, dass es schnell gemeldet wird. Das gelingt nur, wenn Mitarbeitende keine Angst vor Konsequenzen haben. Die Ansprechperson klärt dann mit IT und Datenschutz, was zu tun ist. Ob etwa eine Meldung an eine Behörde nötig ist, hängt vom Einzelfall ab und sollte mit Ihrer Datenschutzverantwortlichen bzw. Ihrem Datenschutzbeauftragten geklärt werden.
Wie unterstützt die Online-Schulung?
Im Basiskurs von KI-Mitarbeiter-Kompetenz behandelt Modul 2 „KI im Arbeitsalltag“ Schatten-KI ausdrücklich: was darunter fällt, warum private Konten kein Ersatz für das Firmen-Tool sind und wann man vorher fragt. Der Kurs umfasst sechs Module mit rund 60 Minuten Lernzeit und ein Abschlussquiz, sieben Rollenmodule sind inklusive. Die Merkkarte zum Ausdrucken enthält Ihre freigegebenen Tools und Ihre Ansprechperson, damit die Regeln am Arbeitsplatz sichtbar bleiben.
Jede Person erhält nach dem Abschluss eine PDF-Teilnahmebestätigung, im Admin-Bereich sehen Sie den Fortschritt. Wie Sie das sinnvoll festhalten, lesen Sie unter KI-Kompetenz dokumentieren. Einen Eindruck vom Kurs gibt die Demo, Preise und Buchung finden Sie auf der Buchungsseite.
Ist Schatten-KI verboten?
Wie finde ich heraus, welche KI-Tools im Team genutzt werden?
Ist die kostenlose Version eines KI-Tools automatisch Schatten-KI?
Gehören KI-Funktionen in Office- oder Fachprogrammen auch dazu?
Was sollen Mitarbeitende tun, wenn sie ein neues Tool nutzen möchten?
Hinweis: Diese Seite gibt einen allgemeinen Überblick und ist keine Rechtsberatung.