Risiken durch Schatten-KI: Warum Geschäftsführer jetzt klare Leitplanken setzen sollten!

Mitarbeiter nutzen Künstliche Intelligenz (KI) oft ohne Freigabe – und gefährden damit Datenschutz, Haftung und Wissenstransfer. Wie GmbHs Schatten-KI erkennen und sicher in produktive Bahnen lenken können, zeigt dieser Beitrag.

Es passiert jetzt gerade: Mitarbeiter schicken sich ein Dokument an ihre private E-Mail- Adresse, laden es – ungeachtet aller firmen-, kunden- und personenbezogenen Daten – in ChatGPT, Gemini oder Claude hoch und holen sich dort ein Ergebnis, das anschließend wieder im Firmen-Account landet. Was die Hersteller großer Sprachmodelle mit den übermittelten Daten tun, bleibt unklar – ebenso, ob seitens der Mitarbeiter Schutzvorkehrungen beachtet wurden. Dieses Phänomen trägt einen Namen: Schatten-KI.

Schatten-KI bezeichnet jede Nutzung KI-basierter Tools außerhalb der kontrollierten Unternehmens-IT – also ohne formale Freigaben, dokumentierte technische und organisatorische Maßnahmen (TOMs), verbindliche Richtlinien, Logging, Schulungen oder Auftragsverarbeitungsverträge (AVV). Sie ist kein einzelnes Tool, sondern ein Nutzungsverhalten, getrieben von einer Vielzahl betrieblicher Ursachen.

Seit dem Launch von ChatGPT Ende 2022 hat sich die Nutzung KI-basierter Tools rasant verbreitet. OpenAI berichtet von rund 700 Millionen wöchentlich aktiven Nutzern, rund 30 Prozent davon bereits im Arbeitskontext. Auch in Deutschland zeigt sich eine klare Entwicklung: Laut Bitkom setzen in rund jedem dritten Unternehmen (34 Prozent) Beschäftigte KI-Tools mit privaten Accounts ein – außerhalb der Unternehmensrichtlinien.

Datenschutz und Geschäftsgeheimnisse

Schatten-KI kann dazu führen, dass personenbezogene oder vertrauliche Geschäftsund Kundendaten unkontrolliert in externe Systeme gelangen. Zwar bieten Anbieter wie OpenAI mittlerweile erweiterte Datenschutzund Compliance-Kontrollen an, doch passen diese selten zum individuellen Rechtsrahmen eines Unternehmens. Was mit den Daten tatsächlich geschieht, bleibt meist im Dunkeln – ein erhebliches Risiko im Hinblick auf die Datenschutz-Grundverordnung und den Schutz von Geschäftsgeheimnissen.

Nach § 43 GmbH-Gesetz sind Geschäftsführer verpflichtet, die „Sorgfalt eines ordentlichen Geschäftsmanns“ anzuwenden. Dazu gehört, technische und organisatorische Maßnahmen zum Schutz von Unternehmensdaten sicherzustellen. Schatten-KI kann als Organisationsverschulden ausgelegt werden – und im Ernstfall persönliche Haftung nach sich ziehen. Gegen Schatten-KI vorzugehen ist also Pflicht.

Qualität und Verlässlichkeit

Falsche, unvollständige oder halluzinierte Ergebnisse entstehen häufig dann, wenn Eingaben unsauber oder unvollständig sind. Fehlende Prompt-Standards, mangelnde Kontextinformationen und das Fehlen eines Vier-Augen-Prinzips führen dazu, dass fehlerhafte Inhalte in Prozesse einfließen. Das Ergebnis ist sogenannter „AI Workslop“ – minderwertige KI-Arbeit, die mehr Zeit kostet, als sie einspart.

Vendor-Lock-in und Wissensinseln

Wenn Teams eigenständig mit verschiedenen KI-Diensten experimentieren, entstehen Insellösungen ohne Dokumentation oder Transferfähigkeit. Das erzeugte Wissen bleibt unsichtbar, geht bei Personalwechsel verloren und führt langfristig zu einem Flickenteppich, der Innovation ausbremst. Das Wissen einer Organisation bleibt in privaten KI-Accounts gespeichert.

Technische Ursachen

Schatten-KI entsteht häufig dort, wo zwar eine offizielle KI-Lösung existiert, diese aber nicht überzeugt. Wenn interne Systeme qualitativ nicht mit frei verfügbaren Tools mithalten können, greifen Mitarbeiter zu diesen Alternativen. Hinzu kommt: Der Datenabfluss erfolgt meist per E-Mail, und die Nutzung hinterlässt kaum Spuren – ein „Vergehen ohne Beweise“, das sich technisch nur schwer nachweisen lässt.

Organisatorische Ursachen

In vielen Unternehmen fehlen klare Zuständigkeiten, Richtlinien und Prozesse für den Umgang mit KI. Wo Vorgaben unklar bleiben, suchen Mitarbeiter eigene Wege – Schatten-KI wird zur Notlösung. Auch unzureichende Einarbeitung begünstigt den Effekt: Neue Mitarbeiter finden Antworten in ChatGPT oft schneller als im internen Wissenssystem. Selbst wenn diese nicht zu 100 Prozent korrekt sind, sorgt der Zeitgewinn für kurzfristige Produktivität, was Führungskräfte wiederum gerne sehen.

Kulturelle Ursachen

In zahlreichen Organisationen herrscht eine unausgesprochene „Don’t ask, do it“- Mentalität, befeuert durch Zeitdruck und Zielvorgaben. Mitarbeiter nutzen KI, um Ergebnisse zu liefern – oft mit stillschweigender Duldung der Führungskräfte, die selbst damit experimentieren. In Kulturen, die Output über Qualität stellen, wird KI zum Überlebens- statt Effizienzinstrument. Ambitionierte Angestellte sehen darin einen Karrierevorteil, weniger ambitionierte eine Arbeitserleichterung – beides fördert Schatten-KI.

Wege aus dem Schatten

Unternehmen, die Schatten-KI begegnen wollen, müssen dieselben Hebel nutzen, auf denen sie beruht – technisch, organisatorisch und kulturell. Der folgende Fünf-Schritte- Ansatz hat sich in der Praxis bewährt:

1. KI-Richtlinie entwickeln: Eine verbindliche Richtlinie legt fest, wie, wann und wofür KI eingesetzt werden darf. Sie schafft Transparenz und Sicherheit – sowohl für die Organisation als auch für die Beschäftigten. Eine gute Richtlinie definiert Ziele, Anwendungsfelder und Grenzen und reduziert Unsicherheiten im Umgang mit neuen Technologien. Sie ist der erste und wichtigste Schritt
   – und sollte keinesfalls übersprungen
   werden.
2. Betriebsvereinbarung abschließen: Die Vereinbarung regelt, welche Tools eingesetzt werden dürfen, und definiert Konsequenzen bei Verstößen. Nur wer die Spielregeln und Konsequenzen kennt, kann verantwortlich handeln. Da sich der KI-Markt schnell entwickelt, sollten Richtlinie und Vereinbarung mindestens jährlich überprüft werden.
3. KI-Baukasten pilotieren: Bevor flächendeckend Lizenzen beschafft werden, empfiehlt es sich, eine Testgruppe von fünf bis sieben Personen auszuwählen und über drei Monate laufen zu lassen. Regelmäßiges Feedback hilft, geeignete Tools, Prompts und Vorgehensweisen zu identifizieren. So entstehen Akzeptanz und interne Multiplikatoren. Selbst ein gescheiterter Test ist kein Rückschlag, sondern ein Glücksfall auf dem Weg zu einer langfristigen Lösung.
4. KI-Schulungen etablieren („AI Literacy“): Schulungen sind Investition und Absicherung zugleich. Der EU AI Act verlangt, dass Nutzende Chancen, Risiken und Grenzen von KI kennen. Wer frühzeitig Kompetenz aufbaut, reduziert Fehlanwendungen und nutzt KI produktiv, statt Schatten-KI Vorschub zu leisten. Gleichermaßen entlasten diese Schulungen die Geschäftsführung.
5. Prozessintegration vorantreiben: Am Ende des Pilotzeitraums sollte die Expertengruppe konkrete Einsatzpotenziale identifiziert und ihr neues KI-Know-how in die Breite getragen haben. Damit wird der Umgang mit KI sicherer und strategisch verankert.
   Führungskräfte spielen hierbei die Schlüsselrolle: Sie müssen den Prozess tragen, kommunizieren und vorleben. Die Erarbeitung der Richtlinie sollte daher vorrangig durch Personen mit fachlicher und disziplinarischer Verantwortung erfolgen. Eine entsprechende Zielvereinbarung ist zu empfehlen und bereits gängige Praxis.

Fazit: Vom Risiko zur Ressource

Schatten-KI ist kein technisches Problem, sondern ein organisatorisches und kulturelles Symptom. Sie existiert in fast jedem Unternehmen – ihr Ausmaß ist jedoch schwer zu bemessen. Künstliche Intelligenz generell wirkt wie ein Katalysator: Leistungsstarke Mitarbeiter steigern damit ihre Ergebnisse, andere verlangsamen Prozesse durch unreflektierte Nutzung zusätzlich.

Schatten-KI zeigt, wo eine Organisation zu langsam, zu unklar oder zu restriktiv (bzw. nicht restriktiv genug) agiert – und zugleich, wo das Innovationspotenzial liegt. Dort, wo Mitarbeiter KI freiwillig und kreativ nutzen, entstehen Kompetenzen, die künftig entscheidend sein werden. Statt also Schatten-KI zu bekämpfen, sollten Unternehmen sie als Frühwarnsystem für Veränderung begreifen. Wo sie entsteht, zeigt sie, wo Strukturen modernisiert werden müssen. Wer diese Energie nutzt, verwandelt Schatten-KI vom Risiko zur wettbewerbsentscheidenden Ressource.