Shadow AI im Unternehmen
Kurz gesagt: Ihre Mitarbeitenden nutzen vermutlich schon KI-Tools, die Sie nicht kennen. Das ist kein Grund für ein Verbot, aber für einen Überblick und klare Regeln, bevor Kundendaten in einem privaten Konto landen.
Shadow AI ist die Nutzung von KI-Tools ohne Wissen oder Freigabe des Unternehmens. Typische Beispiele sind das private ChatGPT-Konto für Angebotstexte, ein Übersetzungstool für Kundenmails oder eine KI-Erweiterung im Browser, die Dokumente zusammenfasst.
Der Grund ist selten böser Wille. Die Tools sind einfach zu bekommen, sie sparen Zeit, und es fehlt eine freigegebene Alternative. Wo es keine Regeln gibt, entscheidet jeder selbst.
| Risiko | Was passieren kann |
|---|---|
| Datenschutz | Personenbezogene Daten von Kunden oder Beschäftigten werden in ein Tool eingegeben, mit dem kein Auftragsverarbeitungsvertrag besteht. Bei Tools von Anbietern in Drittländern (zum Beispiel den USA) kommt die Frage der Datenübermittlung in Drittländer nach Kapitel V DSGVO hinzu. |
| Geschäftsgeheimnisse | Preise, Konstruktionsdaten oder Verträge verlassen das Unternehmen. Der Schutz als Geschäftsgeheimnis setzt angemessene Geheimhaltungsmaßnahmen voraus. |
| Verträge und Berufsgeheimnisse | Geheimhaltungsvereinbarungen mit Kunden oder Berufsgeheimnisse werden verletzt. |
| Fehlerhafte Ergebnisse | Ungeprüfte KI-Antworten gehen als Angebot, Gutachten oder Auskunft an Kunden. |
| EU AI Act | Ohne Überblick über die eingesetzten KI-Systeme lassen sich Risiken und Kompetenzmaßnahmen nicht sinnvoll planen. |
Ob Eingaben in einem Tool zum Training verwendet werden, hängt vom Anbieter und vom Tarif ab. Prüfen Sie Vertragsbedingungen und Einstellungen, bevor Sie ein Tool freigeben.
Mit dem KI-Governance-Check erhalten Sie in 10 Minuten eine erste Einschätzung. Die KI-Checkliste mit 12 Fragen hilft bei der Bestandsaufnahme.
Wie der EU AI Act den Umgang mit KI im Mittelstand einordnet, steht auf der Seite EU AI Act für KMU.
Hinweis: Dieser Beitrag ist eine allgemeine Information und ersetzt keine Rechtsberatung im Einzelfall.
Shadow AI bezeichnet den Einsatz von KI-Tools durch Mitarbeitende ohne Wissen oder Freigabe des Unternehmens, zum Beispiel das private ChatGPT-Konto für Kundentexte oder Übersetzungen. Die Nutzung geschieht meist in guter Absicht, ist aber für die Geschäftsführung nicht sichtbar und nicht gesteuert.
Ein pauschales gesetzliches Verbot gibt es nicht. Entscheidend sind die Regeln im Betrieb und die Frage, welche Daten eingegeben werden. Personenbezogene Daten, Kundendaten oder Geschäftsgeheimnisse in einem nicht freigegebenen Tool können gegen Datenschutzrecht, Verträge und die Pflicht zum Schutz von Geschäftsgeheimnissen verstoßen.
Wer KI im Betrieb einsetzt, sollte einen Überblick haben. Für den EU AI Act ist ein Überblick über die eingesetzten KI-Systeme die Grundlage, um Risiken einzuordnen und Maßnahmen zur KI-Kompetenz sinnvoll auszurichten. Artikel 4 gilt seit 02.02.2025; seit 27.07.2026 verlangt er als Handlungspflicht, dass Anbieter und Betreiber Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Ein bestimmtes Kompetenzniveau müssen sie nicht garantieren.
Am besten ohne Misstrauen: mit einer offenen Abfrage, einem kurzen Fragebogen und einem Gespräch mit den Teams. Ergänzend helfen technische Hinweise, etwa aus Firewall oder Browser-Verwaltung. Die Auswertung sollte mit der Datenschutzbeauftragten oder dem Datenschutzbeauftragten und gegebenenfalls dem Betriebsrat abgestimmt sein.
In der Regel nicht. Ein Verbot ohne Alternative verlagert die Nutzung auf private Geräte, wo Sie sie noch weniger sehen. Besser ist eine freigegebene Lösung mit klaren Regeln, kurzer Schulung und einem einfachen Weg, neue Tools zur Prüfung vorzuschlagen.
Im kostenlosen Erstgespräch klären wir in 30 Minuten, wie Sie Shadow AI sichtbar machen und sinnvoll regeln.
