Schatten-KI im Unternehmen: Wenn Mitarbeitende ChatGPT & Co. ohne Freigabe nutzen
Studien zufolge sind bis zu 80 Prozent der Unternehmen von nicht genehmigter KI-Nutzung betroffen, ohne dass Geschäftsleitung oder IT-Abteilung davon wissen. Diese sogenannte Schatten-KI entsteht meist nicht aus böser Absicht, sondern aus dem Wunsch, schneller und produktiver zu arbeiten. Genau das macht sie so schwer zu kontrollieren. Dieser Artikel erklärt, was Schatten-KI ist, welche Risiken sie birgt und wie Unternehmen ihr begegnen können.
Was bedeutet Schatten-KI?
Schatten-KI, im Englischen Shadow AI, bezeichnet den Einsatz von KI-Anwendungen durch Mitarbeitende ohne Wissen oder Freigabe des Unternehmens. Klassische Beispiele sind private ChatGPT-Konten, die für Arbeitsaufgaben genutzt werden, KI-Browser-Erweiterungen oder KI-Funktionen in privat genutzten Tools, die unbemerkt mit dienstlichen Inhalten gefüttert werden.
Warum Mitarbeitende KI heimlich nutzen
Der Hauptgrund ist selten „Regelverstoß aus Prinzip“, sondern Produktivität: KI-Tools sparen spürbar Zeit, etwa beim Formulieren von Texten, Zusammenfassen von Dokumenten oder Programmieren. Fehlen freigegebene, gleichwertige Alternativen im Unternehmen, greifen Mitarbeitende auf private Accounts zurück, oft ohne sich der damit verbundenen Risiken bewusst zu sein.
Unterschied zu klassischer Shadow IT
Schatten-IT beschreibt allgemein die eigenmächtige Nutzung nicht freigegebener Software oder Hardware. Schatten-KI ist eine Sonderform davon, hat aber eine Besonderheit: KI-Systeme verarbeiten eingegebene Inhalte oft weiter, etwa zu Trainingszwecken und die Ergebnisse fließen unmittelbar in Arbeitsergebnisse wie Texte oder Entscheidungen ein. Das Risiko reicht damit über den reinen Kontrollverlust klassischer Schatten-IT hinaus.
Welche Risiken entstehen?
Unkontrollierte KI-Nutzung betrifft mehrere Ebenen gleichzeitig: Datenschutz, IT-Sicherheit und die Verlässlichkeit von Arbeitsergebnissen.
Datenschutzverstöße
Werden personenbezogene Daten, etwa Kundendaten oder Mitarbeiterinformationen, in ein nicht freigegebenes KI-Tool eingegeben, liegt regelmäßig ein Verstoß gegen die DSGVO vor. Für die Datenverarbeitung fehlt in solchen Fällen meist jede Rechtsgrundlage. Ein Auftragsverarbeitungsvertrag (AVV) mit dem KI-Anbieter besteht ebenfalls in der Regel nicht.
Verlust sensibler Unternehmensdaten
Geschäftsgeheimnisse, unveröffentlichte Vertragsentwürfe oder Quellcode, die in ein KI-Tool eingegeben werden, können je nach Anbieter dauerhaft außerhalb der Kontrolle des Unternehmens landen. Ein einmal eingegebener Inhalt lässt sich grundsätzlich nicht zuverlässig zurückholen oder löschen.
Fehlentscheidungen durch KI-Inhalte
Hinzu kommt ein inhaltliches Risiko: KI-Systeme können überzeugend klingende, aber falsche Informationen liefern, sogenannte Halluzinationen. Werden solche Inhalte ungeprüft übernommen, etwa in Angebote, Verträge oder Kundenkommunikation, entstehen daraus reale Haftungsrisiken.
Ob und in welchem Umfang Schatten-KI in einem Unternehmen bereits genutzt wird, lässt sich häufig nur durch eine strukturierte Bestandsaufnahme von Netzwerkverkehr, eingesetzten Anwendungen und Mitarbeiterbefragungen verlässlich klären. Wir unterstützen Unternehmen dabei, diesen Ist-Zustand zu ermitteln und darauf aufbauend praxistaugliche, statt rein verbietende Regeln für den Umgang mit KI zu entwickeln.