Schatten-KI: wenn alle KI nutzen und keiner darüber spricht

Woran ihr Schatten-KI erkennt

Sie ist per Definition unsichtbar, aber sie hinterlässt Spuren. Fünf Anzeichen, die wir in Trainings regelmäßig sehen:

• Texte in Mails und Dokumenten klingen plötzlich anders – glatter, länger, mit einer Sprache, die vorher niemand benutzt hat.
• Jemand liefert eine Auswertung deutlich schneller als früher und erklärt nicht, wie.
• In der Runde sagt niemand, dass er KI nutzt – im Einzelgespräch sagen es fast alle.
• Es gibt keine Lizenzen, aber die Ergebnisse sehen aus, als gäbe es welche.
• Bei der Frage nach Werkzeugen kommt betretenes Schweigen statt einer Antwort.

Warum das teuer werden kann

• Unternehmensdaten in privaten Konten. Kundendaten, Angebote, unveröffentlichte Zahlen – in Umgebungen ohne Auftragsverarbeitungsvertrag, mit Trainingsnutzung der Eingaben.
• Niemand kann Auskunft geben. Fragt eine Kundin, ob ihre Daten durch KI gelaufen sind, gibt es keine belastbare Antwort.
• Die Kompetenzpflicht läuft ins Leere. Artikel 4 EU AI Act verlangt KI-Kompetenz bei denen, die KI einsetzen. Wer nicht weiß, wer das ist, kann nichts nachweisen.
• Qualität ohne Kontrolle. Ungeprüfte Ergebnisse wandern in Dokumente, die niemand mehr hinterfragt.

Warum Verbote das Gegenteil bewirken

Die erste Reaktion vieler Geschäftsführungen ist ein Verbot. Es wirkt entschlossen und verschlimmert die Lage zuverlässig.

Ein Verbot beseitigt nicht den Nutzen, den Menschen erlebt haben. Es beseitigt nur ihre Bereitschaft, darüber zu reden. Die Nutzung wandert damit noch tiefer ins Private – und der Rest des Hauses verliert jede Möglichkeit, Qualität und Datenschutz zu beeinflussen.

Hinzu kommt ein Nebeneffekt: Wer produktiv arbeiten will und nicht darf, erlebt das Unternehmen als Bremse. Das merkt man spätestens beim nächsten Wechselgespräch.

Was stattdessen funktioniert: Amnestie und Angebot

Der einzige Weg, der in der Praxis funktioniert, beginnt mit einem Eingeständnis: Es wird bereits genutzt, und das ist nachvollziehbar.

1. Fragt, ohne Konsequenzen anzukündigen. Anonym, mit einer Frage: Wofür nutzt ihr KI schon heute? Die Antworten überraschen die Geschäftsführung fast immer.
2. Benennt das Risiko konkret, statt allgemein vor Datenschutz zu warnen. „Kundendaten in einem privaten Konto" versteht jede:r – „DSGVO-Compliance" niemand.
3. Stellt einen freigegebenen Weg bereit, bevor ihr den inoffiziellen schließt. Ein Werkzeug, das benutzt werden darf, ist das stärkste Argument gegen Schatten-IT.
4. Schreibt auf, was hinein darf und was nicht. Eine Seite reicht. Sechs Fragen dafür stehen im Leitlinien-Baukasten.
5. Befähigt die Menschen. Wer sicher ist, was er tut, versteckt sich nicht. Das ist zugleich die Pflicht aus Artikel 4 EU AI Act.

Die Reihenfolge ist entscheidend. Wer mit Schritt vier anfängt, bekommt eine Richtlinie, die niemand liest.

Passende Angebote

• KI Strategie Workshop: Bestandsaufnahme, bewertete Use Cases, gemeinsame Spielregeln.
• KI-Champions Ausbildung: Multiplikator:innen, die den Einsatz sichtbar und ansprechbar machen.
• KI für Führungskräfte: Wie Führung mit einer Nutzung umgeht, die längst stattfindet.
• EU AI Act Schulung: KI-Kompetenz nach Artikel 4, dokumentierbar.

Zum Weiterlesen

• Leitlinien-Baukasten: Die sechs Fragen, die eure KI-Leitlinie beantworten muss.
• KI-Regeln vereinbaren: Wie Regeln entstehen, die eingehalten werden.
• Welches Werkzeug freigeben?: Entscheidungslogik nach Systemlandschaft.
• KI-Reifegrad-Check: Zwölf Aussagen, fünf Minuten, ehrliche Einordnung.

Häufige Fragen

Was ist Schatten-KI?

Die Nutzung von KI-Werkzeugen im Arbeitskontext ohne Kenntnis oder Freigabe des Unternehmens – meist über private Konten und kostenlose Varianten. Der Begriff lehnt sich an Schatten-IT an. Das Kennzeichen ist nicht die Absicht zu schaden, sondern das Fehlen einer Absprache.

Wie verbreitet ist das?

In unseren Trainings ist es der Normalfall, nicht die Ausnahme: In fast jeder Gruppe nutzen einzelne KI längst, oft ohne dass die Führung davon weiß. Belastbare Zahlen für einzelne Betriebe gibt es nicht – das liegt in der Natur der Sache.

Sollten wir KI erst einmal verbieten, bis wir Regeln haben?

Davon raten wir ab. Ein Verbot beendet nicht die Nutzung, sondern das Gespräch darüber. Besser ist die umgekehrte Reihenfolge: einen freigegebenen Weg schaffen, die roten Linien benennen, und parallel die Regeln erarbeiten. Das dauert Wochen, nicht Monate.

Wie fragen wir, ohne dass sich jemand angegriffen fühlt?

Anonym und ohne angekündigte Konsequenzen, mit einer Frage nach dem Nutzen statt nach dem Verstoß: „Wofür nutzt ihr KI heute schon?" Wer mit „Wer hat gegen Regeln verstoßen?" einsteigt, bekommt keine ehrlichen Antworten – und braucht dann gar nicht erst zu fragen.

Was gehört mindestens in eine Regelung?

Welche Werkzeuge in welcher Variante freigegeben sind, was auf keinen Fall hineingehört, wo ein Mensch prüfen muss, wer über neue Werkzeuge entscheidet und wo Fragen und Fehler landen dürfen. Eine Seite genügt. Länger liest es niemand.

Stand: 11.09.2026. Diese Seite ordnet organisatorisch ein und ersetzt keine Rechts- oder Datenschutzberatung.