Schatten-KI (Shadow AI)

Was bedeutet Schatten-KI (Shadow AI)?

Der Begriff ist an die bekannte Schatten-IT angelehnt: Software und Dienste, die Beschäftigte an der IT-Abteilung vorbei einsetzen. Bei Schatten-KI geht es um genau dieses Muster, nur mit KI-Werkzeugen. Die Vertriebsmitarbeiterin lässt ein Angebot von einem Chat-Assistenten über ihr privates Konto glätten, der Werkstattmeister übersetzt eine Reklamation mit einem kostenlosen Online-Dienst, die Buchhaltung fasst Mahnschreiben mit einer Browser-Erweiterung zusammen. Dazu kommen Transkriptions-Assistenten, die sich in Videokonferenzen einwählen, und KI-Funktionen, die in längst vorhandener Software plötzlich eingeschaltet sind. Gemeinsam ist allen Fällen: Niemand im Betrieb hat entschieden, ob und wie dieses Werkzeug genutzt werden darf.

Schatten-KI entsteht selten aus Leichtsinn, sondern weil der Nutzen sofort spürbar ist und Regeln fehlen. Das Risiko liegt in den Daten. Was in einen öffentlichen Chat-Assistenten eingegeben wird, verlässt das Unternehmen. Je nach Tarif und Einstellung kann der Anbieter Eingaben speichern, zum Training seiner Modelle nutzen oder außerhalb der EU verarbeiten. Gibt es keinen Vertrag zur Auftragsverarbeitung, ist die Weitergabe personenbezogener Daten nach DSGVO kaum zu rechtfertigen. Geschäftsgeheimnisse wie Kalkulationen oder Konstruktionsdaten sind nach dem Geschäftsgeheimnisgesetz nur geschützt, solange der Betrieb angemessene Geheimhaltungsmaßnahmen trifft. Hinzu kommt die Qualität: Ein Large Language Model (LLM) kann plausibel klingende, aber falsche Angaben erzeugen, die ungeprüft beim Kunden landen.

Von Nachbarbegriffen lässt sich Schatten-KI klar abgrenzen. Schatten-IT ist der Oberbegriff für jede nicht freigegebene Technik. Die KI-Nutzungsrichtlinie ist das wichtigste Gegenmittel: Sie legt fest, welche Werkzeuge erlaubt sind und welche Daten hinein dürfen. Die KI-Kompetenzpflicht nach Artikel 4 der KI-Verordnung (AI Act) gilt seit dem 2. Februar 2025 und verlangt, dass Beschäftigte im Umgang mit KI ausreichend befähigt sind – das setzt voraus, dass der Betrieb überhaupt weiß, welche KI genutzt wird. Ein Unternehmens-GPT schließlich ist die freigegebene Alternative: ein eigener Assistent mit geklärten Verträgen, der auf internes Wissen zugreifen darf.

Wichtig für die Einordnung: Schatten-KI ist in erster Linie ein Signal und kein Fehlverhalten einzelner Mitarbeitender. Sie zeigt, dass im Team echter Bedarf an Entlastung besteht und die Organisation darauf noch keine Antwort gegeben hat. Der Weg heraus führt deshalb nicht über Kontrolle allein, sondern über vier Schritte: Nutzung sichtbar machen, sichere Werkzeuge bereitstellen, Regeln festlegen und das Team schulen. Dieser Eintrag ist eine praktische Einordnung, keine Rechtsberatung.

Schatten-KI (Shadow AI) kurz erklärt: die wichtigsten Punkte

• Schatten-KI ist jede KI-Nutzung im Betrieb, die weder bekannt noch freigegeben noch geregelt ist – vom privaten Chatbot-Konto bis zur stillschweigend aktivierten KI-Funktion in Bürosoftware.
• Das Hauptrisiko sind Daten: Kundendaten, Personalinformationen, Preise und Konstruktionswissen landen bei Anbietern, mit denen kein Vertrag besteht.
• Rechtlich berührt sie vor allem die DSGVO, den Schutz von Geschäftsgeheimnissen und die KI-Kompetenzpflicht der KI-Verordnung.
• Pauschalverbote wirken selten, weil die Nutzung dann auf private Smartphones ausweicht und noch schwerer zu erkennen ist.
• Die wirksame Antwort ist eine Kombination aus freigegebenen Werkzeugen, einer kurzen Nutzungsrichtlinie, Schulung nach Rollen und einer festen Ansprechperson.

Schatten-KI (Shadow AI) in der Praxis

• Bauunternehmen mit Ausschreibungen: Ein Kalkulator kopiert komplette Leistungsverzeichnisse samt eigener Einheitspreise in einen kostenlosen Chat-Assistenten, um Positionen schneller zu prüfen. Die Preise sind das wertvollste Wissen des Betriebs – und liegen nun bei einem Anbieter, dessen Nutzungsbedingungen niemand gelesen hat.
• Personaldienstleister mit Bewerbungen: Disponenten lassen Lebensläufe von einem Online-Werkzeug zusammenfassen und mit Stellenprofilen abgleichen. Dabei fließen Namen, Adressen, Geburtsdaten und Zeugnisse ohne Rechtsgrundlage an Dritte. Hinzu kommt: Wer Bewerber mit KI vorsortiert, bewegt sich in einem Bereich, den die KI-Verordnung besonders streng behandelt.
• Arztpraxis mit Patientenkommunikation: Eine Mitarbeiterin formuliert Antworten auf Patientenanfragen mit einem Chat-Assistenten und kopiert dafür die Anfrage samt Befundangaben hinein. Gesundheitsdaten gehören zu den besonders geschützten Daten; ein solcher Vorfall kann meldepflichtig sein und das Vertrauen der Patienten kosten.

Woran Sie Schatten-KI im eigenen Betrieb erkennen

1. Texte, Angebote oder E-Mails werden spürbar schneller fertig und klingen anders als früher, ohne dass ein neues Werkzeug eingeführt wurde.
2. In Spesenabrechnungen oder auf Firmenkreditkarten tauchen kleine Monatsabos für KI-Dienste auf, die niemand beantragt hat.
3. In Videokonferenzen wählen sich unbekannte Assistenten ein, die mitschreiben und anschließend Protokolle versenden.
4. Auf Arbeitsrechnern sind Browser-Erweiterungen installiert, die Texte umschreiben, übersetzen oder zusammenfassen.
5. Auf die Frage „Wer nutzt bei uns eigentlich KI?“ gibt es keine klare Antwort – und kein Dokument, das regelt, was erlaubt ist.

Typische Fehler

• Wegschauen: Solange nichts passiert, wird das Thema vertagt – bis ein Kunde fragt, wo seine Daten verarbeitet werden, oder ein Vorfall gemeldet werden muss.
• Das Pauschalverbot: „KI ist bei uns nicht erlaubt“ hält niemanden ab, verschenkt aber Entlastung und treibt die Nutzung vollständig ins Unsichtbare.
• Werkzeug ohne Regeln: Ein Firmenkonto für einen Chat-Assistenten wird eingerichtet, aber niemand legt fest, welche Daten hinein dürfen und wer Ergebnisse prüft.
• Regeln ohne Schulung: Wer nicht weiß, was personenbezogene Daten sind oder warum KI Fakten erfinden kann, kann auch die beste Richtlinie nicht sinnvoll anwenden.

Mein Bezug

Ich bin selbst Unternehmer und arbeite in unseren eigenen Firmen täglich mit KI, bis hin zu digitalen Mitarbeitern, die Aufgaben im Hintergrund vorbereiten. Auch bei uns stand am Anfang die Frage, wer eigentlich schon welche Werkzeuge nutzt – und welche Daten wohin dürfen. Als zertifizierter KI-Manager und BAFA-akkreditierter Berater begleite ich Betriebe in Rostock, Mecklenburg-Vorpommern und Norddeutschland dabei, Schatten-KI sichtbar zu machen und in geregelte Bahnen zu lenken: Bestandsaufnahme der tatsächlichen Nutzung, freigegebene Werkzeuge, eine kurze Nutzungsrichtlinie und Schulung nach Rollen. Wie Sie Chat-Assistenten im Betrieb rechtlich einordnen, beschreibe ich im Beitrag ChatGPT im Betrieb: erlaubt oder Datenschutz-Falle?

Zur Förderung bleibe ich ehrlich: Für das Aufräumen von Schatten-KI gibt es kein eigenes Förderprogramm. Geschieht es als Teil einer Beratung, in der Prozesse analysiert, ein KI-Konzept erarbeitet und Regeln für den Betrieb entwickelt werden, kann der beratende Anteil über die BAFA-Beratungsförderung bezuschusst werden – in Mecklenburg-Vorpommern und den übrigen neuen Bundesländern mit 80 Prozent, höchstens 2.800 Euro je Beratung. Die Umsetzung selbst ist nicht gefördert. Die Richtlinie wurde bis zum 31. Dezember 2028 verlängert; für Anträge ab dem 1. Januar 2027 gelten geänderte Bedingungen, unter anderem die Antragstellung über ELSTER oder BundID. Alle Details stehen in meinem Beitrag BAFA verlängert die Förderung von Unternehmensberatungen.

Verwandte Begriffe

• KI-Nutzungsrichtlinie
• KI-Kompetenzpflicht
• KI-Verordnung (AI Act)
• Unternehmens-GPT
• KI-Schulung
• Large Language Model (LLM)

Weiterführende Beiträge

• ChatGPT im Betrieb: erlaubt oder Datenschutz-Falle?
• ChatGPT und Co. datenschutzkonform nutzen: Was Unternehmen bei KI und DSGVO wirklich beachten müssen
• KI-Schulung für Mitarbeiter nach EU AI Act: Was die Pflicht zur KI-Kompetenz verlangt und wie Sie sie pragmatisch erfüllen
• Unternehmens-GPT: Was ein eigener KI-Assistent mit Firmenwissen kann – und was er kostet
• EU AI Act ab 2. August 2026: Was jetzt gilt

Häufige Fragen zu Schatten-KI (Shadow AI)

Was ist Schatten-KI?

Schatten-KI ist die Nutzung von KI-Werkzeugen durch Mitarbeitende, ohne dass die Unternehmensleitung davon weiß, sie freigegeben oder Regeln dafür aufgestellt hat. Typisch sind private Konten bei öffentlichen Chat-Assistenten, in die dienstliche Texte, Kundendaten oder Kalkulationen eingegeben werden.

Ist Schatten-KI verboten?

Nein, ein ausdrückliches gesetzliches Verbot von Schatten-KI gibt es nicht. Problematisch wird sie, weil dabei häufig personenbezogene Daten ohne Vertrag mit dem Anbieter verarbeitet werden, Geschäftsgeheimnisse ihren Schutz verlieren können und der Betrieb seine Pflichten aus der KI-Verordnung kaum noch nachweisen kann.

Wie finde ich heraus, ob es in meinem Betrieb Schatten-KI gibt?

Am schnellsten, indem Sie offen fragen – am besten in einer kurzen, anonymen Umfrage ohne Sanktionsandrohung. Ergänzend helfen ein Blick auf Spesenabrechnungen und Firmenkreditkarten, auf installierte Browser-Erweiterungen und auf die KI-Funktionen, die in vorhandener Software bereits eingeschaltet sind.

Sollte man KI im Unternehmen einfach verbieten?

Nein, ein Pauschalverbot verlagert die Nutzung meist nur auf private Geräte und macht sie noch unsichtbarer. Wirksamer ist es, sichere Werkzeuge mit Unternehmenskonten bereitzustellen, klare Datenregeln in einer KI-Nutzungsrichtlinie festzulegen und das Team zu schulen.

Was hat Schatten-KI mit der KI-Verordnung zu tun?

Die KI-Verordnung verpflichtet Unternehmen, die KI einsetzen, seit dem 2. Februar 2025 nach Artikel 4, für ausreichende KI-Kompetenz ihrer Beschäftigten zu sorgen. Wer nicht weiß, welche KI im Haus genutzt wird, kann weder gezielt schulen noch nachweisen, dass der Einsatz sachkundig erfolgt.