Schatten-KI: Warum Ihre Mitarbeiter heimlich ChatGPT nutzen und was Sie tun sollten

Schatten-KI: Was ist das eigentlich?

Schatten-KI ist die betriebliche Nutzung von KI-Werkzeugen, die niemand offiziell freigegeben, geprüft oder auch nur bemerkt hat. Der Begriff ist die KI-Variante eines älteren Phänomens, der Schatten-IT: Software und Dienste, die Mitarbeiter am Einkauf und an der IT-Abteilung vorbei einführen, weil die offiziellen Werkzeuge zu langsam, zu umständlich oder schlicht nicht vorhanden sind. Neu ist nur, wie leicht das bei KI geht. Für einen ChatGPT-Zugang braucht es keine Installation und kein Budget, eine E-Mail-Adresse genügt.

Konkret sieht Schatten-KI so aus: Die Vertriebsmitarbeiterin lässt sich das Nachfass-Schreiben an einen Kunden von ChatGPT formulieren und kopiert dafür die Gesprächsnotizen samt Namen und Konditionen ins Eingabefeld. Der Projektleiter übersetzt eine vertrauliche Ausschreibung mit einem kostenlosen Online-Tool. Die Assistenz lädt das Protokoll der letzten Geschäftsführungssitzung hoch, um eine Zusammenfassung zu bekommen. Nichts davon ist böse gemeint. Aber nichts davon ist geprüft, und genau darin liegt das Problem.

Warum Ihre Mitarbeiter heimlich ChatGPT nutzen

Die wichtigste Erkenntnis vorweg: Mitarbeiter nutzen heimlich ChatGPT nicht aus Illoyalität, sondern aus Pragmatismus. Sie wollen ihre Arbeit schneller und besser erledigen. Ein Werkzeug, das eine halbe Stunde Textarbeit auf fünf Minuten verkürzt, benutzt man, wenn es verfügbar ist. Dass es dabei ums heimliche geht, hat meist zwei Gründe, und beide liegen beim Unternehmen, nicht beim Mitarbeiter.

Erstens die Lücke: In vielen Betrieben gibt es schlicht kein freigegebenes KI-Werkzeug und keine Regel dazu. Wer trotzdem produktiv sein will, greift zur privaten Lösung. Zweitens die Unsicherheit: Wo Regeln fehlen oder unklar sind, ahnen die Leute, dass die Nutzung heikel sein könnte, und machen sie deshalb lieber leise. Das ist die gefährlichste Kombination, denn so entsteht Nutzung ohne jede Kontrolle. Die Bitkom-Zahlen bestätigen die Lücke: Nur 15 Prozent der Unternehmen hatten 2025 überhaupt Regeln für den KI-Einsatz, gut ein Drittel hatte sich mit dem Thema noch gar nicht befasst. Heimliche Nutzung ist in diesem Umfeld kein Ausreißer, sondern die logische Folge.

Welche Risiken Schatten-KI für Unternehmen birgt

Das eigentliche Risiko der Schatten-KI ist nicht die KI, sondern die fehlende Kontrolle darüber, welche Daten in welches Werkzeug wandern. Vier Felder sollten Sie kennen.

• Datenabfluss und Datenschutz: Wer Kundendaten, Personaldaten oder Geschäftsgeheimnisse in ein kostenloses KI-Tool eingibt, gibt sie an einen externen Anbieter weiter, oft ohne die datenschutzrechtlich nötige Grundlage. Bei personenbezogenen Daten fehlt in aller Regel der Vertrag zur Auftragsverarbeitung, den die DSGVO verlangt. Das ist ein häufiger und teurer Fehler. Was beim Einsatz von ChatGPT und Co. datenschutzkonform erlaubt ist und welche Version dafür nötig ist, haben wir in unserem Leitfaden dazu ausführlich behandelt.
• Verlust von Betriebsgeheimnissen: Eine vertrauliche Kalkulation, eine Produktidee oder eine Vertragsklausel, die in ein Consumer-Tool eingegeben wird, verlässt Ihre Kontrolle. Im schlimmsten Fall entfällt sogar der rechtliche Schutz als Geschäftsgeheimnis, weil Sie die dafür nötigen angemessenen Schutzmaßnahmen nicht mehr nachweisen können.
• Vertragliche und regulatorische Pflichten: Viele Kunden- und Lieferantenverträge, gerade mit größeren Auftraggebern, enthalten Vertraulichkeits- und Datenschutzklauseln. Landen deren Daten in einem nicht freigegebenen Tool, verletzen Sie womöglich eine zugesagte Pflicht, ohne es zu merken. Hinzu kommt der EU AI Act, der von Unternehmen ausreichende KI-Kompetenz der Nutzenden verlangt, was bei unkontrollierter Schatten-KI kaum zu gewährleisten ist.
• Qualität und Haftung: KI-Werkzeuge erfinden gelegentlich Fakten, Zahlen oder Quellen. Wenn ein ungeschulter Mitarbeiter solche Ausgaben ungeprüft in ein Angebot oder eine Kundenmail übernimmt, haftet am Ende das Unternehmen für den Fehler, nicht das Tool.

Diese Risiken sollen nicht in Panik versetzen, sondern die Richtung weisen. Sie zeigen alle auf denselben Punkt: Das Problem ist nicht, dass jemand KI nutzt, sondern dass es unsichtbar und ungeregelt geschieht. Wer die Nutzung sichtbar und geregelt macht, entschärft fast alle dieser Risiken auf einmal.

KI-Tools verbieten oder erlauben?

Der erste Reflex vieler Geschäftsführer ist ein klares Verbot: Wer KI nicht offiziell freigibt, hat auch kein Datenschutzproblem. So einfach ist es leider nicht. Ein reines Verbot löst die Schatten-KI nicht auf, es treibt sie nur tiefer in den Untergrund. Die Nutzung verschwindet nicht, sie wird nur noch heimlicher und damit noch schwerer zu kontrollieren. Der Produktivitätsdruck, der die Leute überhaupt erst zur privaten KI greifen lässt, verschwindet ja nicht durch eine Ansage.

Die tragfähige Antwort liegt in der Mitte und lautet: nicht pauschal verbieten und nicht wahllos erlauben, sondern bewusst entscheiden, und zwar pro Werkzeug und pro Datenart. Für viele unkritische Aufgaben, etwa das Formulieren eines allgemeinen Textes ohne interne Daten, spricht wenig gegen einen freigegebenen KI-Einsatz. Für sensible Daten dagegen brauchen Sie klare Grenzen oder eine Umgebung, die den Anforderungen genügt, etwa eine Geschäftskundenversion mit Auftragsverarbeitungsvertrag. Die entscheidende Linie verläuft nicht zwischen KI und keiner KI, sondern zwischen welchen Daten in welches Werkzeug.

Ein Wort zum Betriebsrat, falls es einen gibt: Ob dessen Mitbestimmung greift, hängt vom Einzelfall ab. Das Arbeitsgericht Hamburg hat Anfang 2024 entschieden, dass die bloße Erlaubnis, ChatGPT über private Accounts freiwillig zu nutzen, im konkreten Fall nicht mitbestimmungspflichtig war. Sobald Sie aber ein firmeneigenes System einführen, das die Nutzung der Beschäftigten protokolliert oder auswerten könnte, sieht die Lage nach der ständigen Rechtsprechung zu Paragraf 87 Betriebsverfassungsgesetz oft anders aus. Wo ein Betriebsrat besteht, gehört er also früh mit an den Tisch, nicht erst, wenn die Regelung steht.

Schatten-KI verhindern: Maßnahmen, die wirklich helfen

Schatten-KI verhindern Sie nicht durch Härte, sondern indem Sie den Grund für die Heimlichkeit beseitigen. Fünf Schritte haben sich bewährt, und keiner davon braucht ein IT-Großprojekt.

• Erkennen Sie an, dass es Schatten-KI gibt. Der erste Schritt ist eine Haltung, keine Maßnahme. Solange die Geschäftsführung so tut, als nutze niemand heimlich KI, bleibt das Thema im Dunkeln. Sprechen Sie es offen und ohne Drohung an, dann trauen sich die Leute, ehrlich zu sein.
• Verschaffen Sie sich einen Überblick, welche KI-Tools Ihre Mitarbeiter tatsächlich nutzen. Fragen Sie es einfach ab, informell und anonym, statt es zu erraten. Weiter unten skizzieren wir dafür einen einfachen Audit-Ansatz.
• Entscheiden Sie pro Werkzeug: freigeben, mit Auflagen zulassen oder untersagen. Nutzen Sie dabei die Faustregel welche Daten in welches Werkzeug, statt eine Ja-oder-Nein-Entscheidung übers Ganze zu fällen.
• Halten Sie die Entscheidung in einer kurzen, verständlichen KI-Richtlinie fest. Sie muss nicht lang sein, aber sie muss beantworten, welche Werkzeuge freigegeben sind, welche Daten hinein dürfen und an wen man sich bei Fragen wendet. Das ist das wirksamste einzelne Dokument gegen Schatten-KI.
• Stellen Sie eine freigegebene Alternative bereit. Das ist der am häufigsten vergessene und zugleich wichtigste Schritt. Wer ein gutes, erlaubtes Werkzeug an die Hand bekommt, hat kaum noch Grund, heimlich zur privaten Lösung zu greifen. Ein Verbot ohne Alternative erzeugt Schatten-KI, eine Alternative macht das Verbot überflüssig.

Ein einfacher Schatten-KI-Audit für den Anfang

Um herauszufinden, welche KI-Tools Ihre Mitarbeiter nutzen, brauchen Sie keine Überwachungssoftware. Ein informeller Audit auf einer Seite reicht für den Anfang und schafft in wenigen Tagen ein realistisches Bild. Wichtig ist der Ton: Es geht ums Verstehen, nicht ums Ertappen. Wer Angst vor Sanktionen hat, antwortet nicht ehrlich, und dann war die Mühe umsonst.

Fragen Sie anonym drei Dinge ab: Welche KI-Werkzeuge nutzen Sie für die Arbeit, sei es privat oder dienstlich? Für welche Aufgaben setzen Sie sie ein? Und welche Art von Daten geben Sie dabei ein, etwa allgemeine Texte, interne Dokumente, Kunden- oder Personaldaten? Ergänzen Sie eine offene Frage danach, was den Leuten fehlt, um es offiziell und sicher tun zu können. Die Antworten zeigen Ihnen zweierlei: wo die realen Risiken liegen, weil sensible Daten in ungeeignete Werkzeuge wandern, und wo der Bedarf ist, den eine freigegebene Lösung decken müsste. Aus dieser einen Seite ergibt sich die halbe Richtlinie von selbst.

Fazit

Schatten-KI ist kein Zeichen dafür, dass Ihre Mitarbeiter etwas falsch machen, sondern dafür, dass sie produktiv sein wollen und das offizielle Angebot fehlt. Die heimliche Nutzung von ChatGPT und Co. ist im deutschen Mittelstand längst Alltag, und ein Verbot allein macht sie nur unsichtbarer. Der Ausweg ist unspektakulär und gerade deshalb wirksam: das Phänomen anerkennen, informell auditieren, pro Werkzeug entscheiden, eine schlanke Richtlinie schreiben und eine sichere Alternative bereitstellen. Damit wird aus einem Kontrollverlust ein geordneter Umgang, und die Produktivität, die Ihre Leute ohnehin schon aus der KI ziehen, kommt endlich auf sicherem Boden im Unternehmen an.

Der pragmatischste nächste Schritt ist eine KI-Richtlinie. Sie können sie mit dem Generator auf dieser Seite in wenigen Minuten erstellen, zugeschnitten auf Ihr Unternehmen und Ihre freigegebenen Werkzeuge. Wer zudem wissen will, welche Pflichten der EU AI Act ab August 2026 für den Mittelstand bringt, findet in unserem Beitrag zum EU AI Act die Einordnung dazu, gerade zur Frage der KI-Kompetenz.

Und noch einmal, weil es beim Datenschutz darauf ankommt: Dieser Beitrag ist eine Orientierung, keine Rechtsberatung. Ob und wie ein bestimmtes Werkzeug für Ihre Daten zulässig ist und ob in Ihrem Betrieb ein Betriebsrat mitbestimmt, klären Sie mit einer Fachanwältin oder Ihrem Datenschutzbeauftragten. Nutzen Sie diesen Text, um gut vorbereitet in dieses Gespräch zu gehen.