Schatten-KI: Das stille Compliance-Risiko im Mittelstand

Wenn Mitarbeiter KI nutzen – ohne dass die IT davon weiß

Ein umfangreiches Dokument muss zusammengefasst werden, eine Kundenmail klingt noch nicht professionell genug oder für ein Angebot fehlt die passende Formulierung. Ein kurzer Prompt in ChatGPT, Gemini oder Claude – und die Aufgabe ist in wenigen Sekunden erledigt.

Was nach einer praktischen Produktivitätshilfe klingt, kann für Unternehmen zum Problem werden: Denn möglicherweise gelangen dabei personenbezogene Daten, vertrauliche Dokumente oder interne Informationen an einen externen Dienst, ohne dass das Unternehmen die Nutzung geprüft oder geregelt hat.

Dieses Phänomen heißt Schatten-KI. Gemeint ist die Nutzung von KI-Werkzeugen im beruflichen Kontext, ohne dass diese vom Unternehmen freigegeben oder ausreichend geregelt wurden.

Wie verbreitet das Thema ist, zeigen Erhebungen des Digitalverbands Bitkom: Im Mai 2025 gaben 10 Prozent der befragten Berufstätigen an, KI im Beruf ohne Wissen ihres Arbeitgebers zu nutzen. Im Oktober 2025 gingen rund vier von zehn befragten Unternehmen zumindest teilweise davon aus, dass Beschäftigte private KI-Tools für ihre Arbeit einsetzen. Die Erhebungen beziehen sich auf unterschiedliche Befragungsgruppen und Zeitpunkte. Sie zeigen jedoch, dass Schatten-KI für Unternehmen ein relevantes Thema ist.

Quellen: Bitkom – KI-Nutzung ohne Wissen des Arbeitgebers und Bitkom – Beschäftigte nutzen vermehrt Schatten-KI.

Für Unternehmen stellt sich deshalb eine wichtige Frage: Wie lässt sich KI sinnvoll nutzen, ohne Datenschutz, Geschäftsgeheimnisse und Compliance zu gefährden?

Warum nutzen Mitarbeiter KI heimlich?

Schatten-KI entsteht häufig nicht aus böser Absicht. Viele Beschäftigte möchten ihre Arbeit effizienter erledigen, Routineaufgaben reduzieren oder bessere Ergebnisse erzielen.

Mehrere Faktoren begünstigen die Entwicklung:

1. KI ist leicht verfügbar

Viele KI-Dienste lassen sich direkt im Browser oder über private Smartphones nutzen. Eine Installation durch die IT-Abteilung ist dafür oft nicht erforderlich.

2. Der Produktivitätsdruck steigt

Wenn Aufgaben schnell erledigt werden müssen, greifen Mitarbeiter auf Werkzeuge zurück, die ihnen unmittelbar helfen. Eine KI-Anwendung ist dann oft nur einen Klick entfernt.

3. Es fehlen klare Regeln

Ist nicht definiert, welche KI-Tools verwendet werden dürfen und welche Informationen nicht eingegeben werden sollen, entstehen Unsicherheit und individuelle Entscheidungen.

4. Es gibt keine passende Alternative

Wenn ein Unternehmen KI-Nutzung vollständig untersagt, aber keine geeigneten Alternativen anbietet, können Beschäftigte auf private Zugänge ausweichen.

5. Die Risiken werden unterschätzt

Viele Mitarbeiter wissen nicht genau, wie ein KI-Dienst mit Eingaben umgeht, welche Daten gespeichert werden oder welche Einstellungen für den Datenschutz relevant sind.

Eine Untersuchung von Bitkom aus dem Jahr 2025 zeigte, dass 70 Prozent der befragten Berufstätigen keine KI-Fortbildungen von ihrem Arbeitgeber angeboten bekamen. Die Zahl bezieht sich auf diese damalige Befragung und ist kein aktueller Wert für 2026. Sie verdeutlicht jedoch, warum verständliche Regeln und Schulungen wichtig sind.

Quelle: Bitkom – Ein Fünftel wurde im Job zu KI geschult.

Welche Risiken entstehen durch Schatten-KI?

Schatten-KI betrifft nicht nur die IT-Abteilung. Die möglichen Folgen reichen von Datenschutzproblemen über den Verlust vertraulicher Informationen bis hin zu fehlerhaften Geschäftsergebnissen.

1. Datenschutz: Was passiert mit personenbezogenen Daten?

Wer Kundendaten, Bewerbungsunterlagen oder personenbezogene Informationen aus internen Dokumenten in ein nicht freigegebenes KI-Tool eingibt, muss prüfen, ob die Verarbeitung datenschutzrechtlich zulässig ist.

Dabei kommt es unter anderem darauf an:

• Welche personenbezogenen Daten werden verarbeitet?

• Gibt es eine geeignete Rechtsgrundlage?

• Welche Rolle übernimmt der jeweilige KI-Anbieter?

• Sind die erforderlichen vertraglichen und organisatorischen Voraussetzungen erfüllt?

• Welche Speicher-, Lösch- und Zugriffsmöglichkeiten bestehen?

• Werden Daten an weitere Empfänger oder in Drittländer übermittelt?

Die Nutzung eines KI-Dienstes ist nicht automatisch ein DSGVO-Verstoß. Eine unkontrollierte Verarbeitung personenbezogener Daten kann jedoch erhebliche Risiken verursachen.

Wichtig: Nicht jede problematische Eingabe führt automatisch zu einer meldepflichtigen Datenschutzverletzung. Ob eine Meldung erforderlich ist, muss anhand des konkreten Sachverhalts und der gesetzlichen Voraussetzungen beurteilt werden.

2. Geschäftsgeheimnisse: Vertrauliche Informationen verlassen das Unternehmen

Nicht nur personenbezogene Daten sind kritisch. Auch interne Informationen können wirtschaftlich wertvoll sein.

Dazu zählen beispielsweise:

• Preis- und Angebotskalkulationen

• Kundenlisten und Vertragsdetails

• interne Finanzdaten

• technische Dokumentationen

• Quellcode und Zugangsinformationen

• Informationen zu geplanten Übernahmen oder strategischen Projekten

Das Geschäftsgeheimnisgesetz schützt Informationen unter anderem dann als Geschäftsgeheimnisse, wenn sie wirtschaftlichen Wert besitzen, nicht allgemein bekannt oder ohne Weiteres zugänglich sind und angemessene Geheimhaltungsmaßnahmen bestehen.

Werden vertrauliche Informationen unkontrolliert an externe Dienste übermittelt, kann das den Schutz erschweren oder im Einzelfall gefährden. Ein automatischer und unwiderruflicher Verlust des Geheimnisschutzes tritt dadurch allerdings nicht pauschal ein.

Quelle: Gesetz zum Schutz von Geschäftsgeheimnissen, § 2 GeschGehG.

3. Falsche Ergebnisse: Wenn die KI überzeugend irrt

KI-Systeme können falsche Informationen, unzutreffende Quellen oder fehlerhafte Berechnungen liefern. Solche Fehler werden häufig als Halluzinationen bezeichnet.

Problematisch wird das, wenn Ergebnisse ungeprüft in Angebote, Verträge, technische Dokumentationen oder Kundenkommunikation übernommen werden.

Die Verantwortung für geschäftliche Entscheidungen und die Qualität der verwendeten Ergebnisse bleibt beim Unternehmen. Deshalb sollte KI als Unterstützung eingesetzt werden – nicht als Ersatz für fachliche Prüfung.

4. Compliance: Fehlende Regeln und Nachweise

Unternehmen müssen nachvollziehen können, wie relevante Daten verarbeitet werden und welche Vorgaben für den KI-Einsatz gelten.

Fehlen Zuständigkeiten, Freigaben und dokumentierte Regeln, wird es schwieriger, Risiken systematisch zu steuern und die Einhaltung interner sowie gesetzlicher Anforderungen nachzuweisen.

Auch die europäische KI-Verordnung spielt eine Rolle. Artikel 4 verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zur Förderung der KI-Kompetenz ihrer Beschäftigten und weiterer beteiligter Personen zu ergreifen. Die konkrete Ausgestaltung richtet sich unter anderem nach Kenntnissen, Erfahrung und Einsatzkontext. Seit 2026 ist dabei auch die geänderte Rechtslage durch den Digital Omnibus zu berücksichtigen.

Quelle: Europäische Kommission – KI-Kompetenz und AI Act.

5. IT-Sicherheit: Unbekannte Tools und Erweiterungen

Neben den bekannten KI-Plattformen gibt es zahlreiche Drittanbieter, Browser-Erweiterungen und zusätzliche Anwendungen, die KI-Funktionen versprechen.

Nicht jedes Angebot ist gleichermaßen vertrauenswürdig. Ungeprüfte Erweiterungen können beispielsweise weitreichende Berechtigungen erhalten oder Informationen aus dem Browser verarbeiten.

Unternehmen sollten deshalb nicht nur die großen KI-Plattformen betrachten, sondern auch zusätzliche Tools, Erweiterungen und Schnittstellen berücksichtigen.

Wie holen Unternehmen Schatten-KI ans Licht?

Ein pauschales Verbot allein löst das Problem häufig nicht. Beschäftigte können auf private Geräte oder andere Zugänge ausweichen. Sinnvoller ist ein strukturierter Ansatz, der Risiken reduziert und eine kontrollierte Nutzung ermöglicht.

1. Bestandsaufnahme: Welche KI wird tatsächlich genutzt?

Der erste Schritt ist Transparenz.

Unternehmen sollten ermitteln, welche KI-Anwendungen bereits verwendet werden, welche Aufgaben damit erledigt werden und welche Daten dabei eine Rolle spielen.

Mögliche Ansätze sind:

• eine kurze Mitarbeiterbefragung

• Gespräche mit den Fachbereichen

• eine Prüfung vorhandener Software- und Cloud-Nutzung

• eine technische Analyse im Rahmen der geltenden Datenschutz- und Beschäftigtenvorgaben

Dabei sollte klar kommuniziert werden, dass es um die sichere Gestaltung der KI-Nutzung geht – nicht darum, einzelne Mitarbeiter pauschal zu kontrollieren.

2. Eine verständliche KI-Richtlinie erstellen

Eine KI-Richtlinie sollte nicht aus komplizierten juristischen Formulierungen bestehen. Sie muss im Arbeitsalltag verständlich und umsetzbar sein.

Sie sollte mindestens regeln:

• Welche KI-Anwendungen sind freigegeben?

• Für welche Aufgaben dürfen sie verwendet werden?

• Welche Daten dürfen eingegeben werden?

• Welche Informationen sind ausdrücklich ausgeschlossen?

• Wie müssen KI-Ergebnisse überprüft werden?

• Wer ist bei Unsicherheiten anzusprechen?

• Wie werden neue KI-Anwendungen geprüft und freigegeben?

Besonders wichtig ist eine klare Dateneinstufung. Mitarbeiter müssen erkennen können, ob eine Information öffentlich, intern, vertraulich oder besonders schutzbedürftig ist.

3. Sichere und passende KI-Werkzeuge bereitstellen

Wenn KI die Arbeit sinnvoll erleichtert, sollte das Unternehmen prüfen, ob eine freigegebene Lösung bereitgestellt werden kann.

Dazu können je nach vorhandener IT-Umgebung und Anwendungsfall beispielsweise geschäftliche KI-Angebote von Microsoft, OpenAI oder anderen Anbietern gehören.

Dabei gilt: Ein kostenpflichtiger oder geschäftlicher Tarif ist nicht automatisch für jeden Anwendungsfall rechtssicher.

Vor der Freigabe sollten unter anderem Vertragsbedingungen, Datenverwendung, Speicherfristen, Berechtigungen, Administrationsmöglichkeiten und gegebenenfalls Anforderungen an die Auftragsverarbeitung geprüft werden.

Ziel ist eine Lösung, die den Beschäftigten hilft und zugleich den Anforderungen des Unternehmens entspricht.

4. Mitarbeiter schulen statt nur verbieten

Eine Richtlinie funktioniert nur, wenn die Beschäftigten sie verstehen.

Kurze, praxisnahe Schulungen sollten vermitteln:

• welche Informationen nicht in ungeprüfte KI-Dienste gehören

• wie personenbezogene und vertrauliche Daten geschützt werden

• wie gute Prompts formuliert werden

• warum KI-Ergebnisse überprüft werden müssen

• wie mit Unsicherheiten und möglichen Vorfällen umzugehen ist

Sinnvoll sind konkrete Beispiele aus dem Arbeitsalltag: eine Kundenmail, ein internes Protokoll oder ein Angebot mit vertraulichen Zahlen.

5. Ergebnisse prüfen und Verantwortung festlegen

KI-generierte Inhalte sollten vor ihrer geschäftlichen Verwendung auf Richtigkeit, Vollständigkeit und Angemessenheit geprüft werden.

Für besonders kritische Inhalte – beispielsweise Verträge, rechtliche Aussagen, sicherheitsrelevanten Code oder wichtige Kundenentscheidungen – sind verbindliche Prüfprozesse sinnvoll.

Eine allgemeine gesetzliche Kennzeichnungspflicht für sämtliche KI-generierten Texte besteht nicht. Ob eine Kennzeichnung erforderlich ist, hängt vom konkreten Einsatz, den geltenden Vorschriften und den internen Vorgaben ab.

6. Zuständigkeiten und Prozesse festlegen

Die Verantwortung sollte nicht allein bei der IT liegen.

Eine wirksame Steuerung von Schatten-KI benötigt die Zusammenarbeit von:

• Geschäftsführung

• IT und Informationssicherheit

• Datenschutz

• Fachbereichen

• gegebenenfalls Betriebsrat und weiteren zuständigen Stellen

In Unternehmen mit Betriebsrat sollten mögliche Mitbestimmungsrechte frühzeitig geprüft werden, insbesondere wenn technische Systeme zur Überwachung von Beschäftigten eingesetzt werden könnten.

Schatten-KI im Mittelstand: Die häufigsten Herausforderungen

Gerade kleinere und mittelständische Unternehmen stehen oft vor einem Spagat: Sie möchten neue Technologien nutzen, verfügen aber nicht über große Compliance- oder IT-Sicherheitsabteilungen.

Drei Situationen begegnen Unternehmen dabei besonders häufig.

„Wir verbieten KI einfach komplett.“

Ein Verbot kann in bestimmten Bereichen sinnvoll oder erforderlich sein. Es sollte aber mit klarer Kommunikation, geeigneten technischen Maßnahmen und einer Überprüfung der tatsächlichen Nutzung verbunden werden. Sonst droht die Nutzung lediglich unsichtbarer zu werden.

„Unsere Mitarbeiter wissen doch, was sie eingeben dürfen.“

Darauf allein sollte sich ein Unternehmen nicht verlassen. Ohne klare Regeln können selbst gut gemeinte Eingaben zu Datenschutz- oder Vertraulichkeitsproblemen führen.

„Wir nutzen doch Microsoft 365 – damit ist das Thema erledigt.“

Auch vorhandene Unternehmenssoftware macht eine Prüfung nicht überflüssig. Entscheidend ist, welche KI-Funktionen tatsächlich genutzt werden, wie sie konfiguriert sind und welche Daten verarbeitet werden dürfen.

Häufig gestellte Fragen

Ist die Nutzung von ChatGPT im Unternehmen verboten?

Nein, nicht grundsätzlich. Ob und unter welchen Bedingungen ChatGPT oder andere KI-Anwendungen eingesetzt werden dürfen, hängt vom konkreten Dienst, dem Tarif, den Einstellungen, den verarbeiteten Daten und den geltenden rechtlichen sowie internen Vorgaben ab. Unternehmen sollten freigegebene Anwendungen und klare Nutzungsregeln definieren.

Was dürfen Mitarbeiter nicht in eine öffentliche KI eingeben?

Ohne vorherige Prüfung und Freigabe sollten insbesondere personenbezogene Daten, vertrauliche Kundendokumente, interne Finanzinformationen, Geschäftsgeheimnisse, Zugangsdaten und nicht veröffentlichter Quellcode nicht in ungeprüfte KI-Dienste eingegeben werden. Welche Daten im Einzelfall zulässig sind, hängt von der jeweiligen Anwendung und den getroffenen Schutzmaßnahmen ab.

Müssen Unternehmen ihre Mitarbeiter zum Umgang mit KI schulen?

Artikel 4 der europäischen KI-Verordnung sieht Maßnahmen zur Förderung der KI-Kompetenz bei Anbietern und Betreibern von KI-Systemen vor. Die Maßnahmen sollten zum Kenntnisstand der Beschäftigten und zum konkreten Einsatz passen. Unternehmen sollten deshalb dokumentieren, welche Kompetenzen erforderlich sind und wie sie diese durch geeignete Informationen und Schulungen fördern.

Fazit: Schatten-KI ist ein Führungs- und Sicherheitsthema

Schatten-KI ist die Folge einer Entwicklung, die viele Unternehmen bereits erleben: Beschäftigte entdecken die Vorteile generativer KI oft schneller, als interne Regeln und Prozesse entstehen.

Die Lösung besteht nicht darin, jede KI-Nutzung pauschal zu unterbinden. Unternehmen müssen vielmehr verstehen, welche Anwendungen genutzt werden, welche Risiken damit verbunden sind und wie sich sinnvolle Einsatzmöglichkeiten sicher gestalten lassen.

Wer eine verständliche KI-Richtlinie erstellt, passende Werkzeuge bereitstellt, Beschäftigte schult und klare Verantwortlichkeiten festlegt, schafft die Grundlage für einen kontrollierten KI-Einsatz.

Denn das Ziel sollte nicht sein, KI aus dem Unternehmen herauszuhalten – sondern sie dort sinnvoll einzusetzen, wo sie einen echten Mehrwert bietet und die Risiken beherrschbar bleiben.

Möchten Sie Schatten-KI in Ihrem Unternehmen kontrolliert steuern?

Wir unterstützen Sie dabei, bestehende KI-Nutzung sichtbar zu machen, geeignete Werkzeuge zu bewerten und praxisnahe Regeln für den sicheren Einsatz zu entwickeln.

Gemeinsam betrachten wir Ihre IT-Umgebung, Ihre Anforderungen an Datenschutz und Informationssicherheit sowie die konkreten Arbeitsabläufe Ihrer Mitarbeiter.

Sprechen Sie mit uns darüber, wie Sie KI produktiv nutzen und gleichzeitig Ihre Unternehmensdaten schützen können.