Schatten-KI: Ihre Mitarbeitenden nutzen längst KI — die Frage ist nur, wie

Es gibt eine Frage, bei der Geschäftsführer regelmäßig falsch liegen: „Nutzt Ihr Team KI?" Die Antwort „Nein, das haben wir nicht eingeführt" ist fast immer unzutreffend. Eingeführt vielleicht nicht — genutzt trotzdem. Auf dem Privathandy, im Browser-Tab, abends im Homeoffice. Das Phänomen hat einen Namen: Schatten-KI.

Warum es Schatten-KI in fast jedem Betrieb gibt

Der Grund ist unbequem, aber einfach: Die Werkzeuge sind nützlich. Wer jede Woche Angebote formuliert, Texte übersetzt oder E-Mails beantwortet, spart mit einem Sprachmodell real Zeit. Wenn der Betrieb kein offizielles Werkzeug anbietet, besorgen sich Mitarbeitende eben selbst eines — kostenlos, in zwei Minuten, ohne dass es jemand merkt.

Das ist keine Böswilligkeit. Es ist der Normalfall, wenn Nützlichkeit auf fehlende Regeln trifft.

Wo es gefährlich wird

• Kundendaten im Prompt: „Formuliere eine Antwort an Herrn Müller, der sich über die verspätete Lieferung seiner Bestellung beschwert" — schon sind Name und Vorgangsdetails auf fremden Servern, oft außerhalb der EU, ohne Auftragsverarbeitungsvertrag. Ein klassischer DSGVO-Verstoß, von dem der Betrieb nichts weiß.
• Betriebsgeheimnisse: Kalkulationen, Kundenlisten, Vertragsentwürfe — bei kostenlosen Diensten können Eingaben je nach Einstellung zum Training verwendet werden.
• Ungeprüfte Ergebnisse: Eine erfundene Rechtsauskunft oder falsche technische Angabe wandert ungeprüft ins Angebot — und der Betrieb haftet für das, was rausgeht.
• Compliance-Falle: Die Schulungspflicht aus Art. 4 EU AI Act gilt auch für Werkzeuge, von denen Sie nichts wissen. „Das hat der Mitarbeiter privat gemacht" schützt Sie nicht, wenn es dienstliche Aufgaben betraf.

Als Verantwortlicher können Sie sich nicht darauf berufen, nichts gewusst zu haben. Nicht-Wissen ist hier keine Verteidigung, sondern das Problem.

Der falsche Reflex: Verbieten

Die naheliegende Reaktion ist ein Verbot. Sie funktioniert nicht — sie treibt die Nutzung nur tiefer in den Schatten. Wer mit KI doppelt so schnell ist, hört nicht auf, weil ein Aushang es untersagt; er hört nur auf, darüber zu reden. Damit verlieren Sie das Einzige, was Sie schützt: Sichtbarkeit.

Was stattdessen funktioniert

• Amnestie zuerst: Fragen Sie offen und sanktionsfrei ab, wer was nutzt. Formulieren Sie es als Interesse, nicht als Kontrolle — Sie wollen wissen, was dem Team hilft.
• Erlaubte Wege anbieten: Stellen Sie ein freigegebenes Werkzeug mit vernünftigen Datenschutzeinstellungen bereit. Menschen nehmen den legalen Weg, wenn er genauso bequem ist.
• Eine Seite Regeln: Was darf hinein, was niemals (Kundendaten, Gesundheitsdaten, Passwörter, Kalkulationen), wer ist Ansprechpartner. Eine Seite, die jeder liest — nicht dreißig, die niemand liest.
• Schulen statt drohen: Wer versteht, warum Kundendaten nicht in den Prompt gehören, hält sich daran. Wer nur ein Verbot kennt, sucht Umwege.
• Dokumentieren: Inventar, Richtlinie, Schulungsnachweis — damit aus der aufgeräumten Praxis auch die Compliance-Akte wird, die Art. 4 verlangt.

Das Gute daran

Schatten-KI ist auch eine Information: Sie zeigt Ihnen kostenlos, wo Ihr Team Bedarf hat. Die Abläufe, für die sich Mitarbeitende heimlich Werkzeuge besorgen, sind fast immer dieselben, die sich für eine saubere, offizielle Automatisierung lohnen. Wer die Bestandsaufnahme ernst nimmt, bekommt zwei Ergebnisse zum Preis von einem: Rechtssicherheit und eine ehrliche Prozesslandkarte.

Die strukturierte Bestandsaufnahme samt Richtlinie und Schulung liefern wir unter KI-Schulungsnachweis.com — mehr dazu auf unserer Seite zur Schulungspflicht.