Schatten-KI ist das KI-Pendant zu Schatten-IT — Mitarbeiter nutzen private KI-Tools mit Firmendaten, ohne dass IT, Datenschutz oder Geschäftsführung davon wissen. Studien zeigen: 2026 nutzen über 60 % der Wissensarbeiter privat KI mit Firmenkontext. Das ist das größte unsichtbare Risiko, das du gerade hast.
Was Schatten-KI konkret ist
- Vertriebsmitarbeiter kopiert Kundenanfrage in seinen privaten ChatGPT-Account, um schnell eine Antwort zu formulieren.
- Personalerin lässt Bewerbungs-Lebensläufe von Gemini bewerten.
- Controller füttert Quartalszahlen in Claude, weil er „nur kurz" eine Analyse will.
- Marketing nutzt Midjourney mit hochgeladenen Kundenfotos für Mood-Boards.
- Entwickler lässt sich Quellcode von Copilot in seinem privaten GitHub-Account vorschlagen.
Jeder dieser Fälle ist meist gut gemeint („spart Zeit, ist nicht schlimm") und in fast allen Fällen DSGVO-rechtlich problematisch.
Die fünf Risiken im Detail
1. DSGVO-Verstoß durch private Datenverarbeitung
Wenn ein Mitarbeiter Kundendaten in einen privaten KI-Account gibt, ist das Unternehmen Verantwortlicher (Art. 4 Nr. 7 DSGVO) — und gleichzeitig liegt keine zulässige Auftragsverarbeitung vor. Bußgeldrahmen: bis 20 Mio. € oder 4 % des Jahresumsatzes. Bei Aufdeckung durch Datenpanne fast immer Meldepflicht binnen 72 Stunden.
2. Modell-Training mit deinen Daten
Bei privaten Free- oder Plus-Accounts werden Eingaben in der Regel zum Modell-Training verwendet (zumindest „opt-in" per Default). Das heißt: dein Geschäftsmodell, deine Verträge, deine Preise wandern ins Modell — und können theoretisch über Prompts wieder auftauchen.
3. Verlust von Geschäftsgeheimnissen
§ 2 Nr. 1 GeschGehG (Geschäftsgeheimnisgesetz) verlangt „angemessene Geheimhaltungsmaßnahmen". Wer keine KI-Richtlinie hat, riskiert, dass ein Gericht den Geschäftsgeheimnis-Status aberkennt — bei späteren Streitigkeiten ein massives Problem.
4. Urheberrechts- und Lizenzthemen
Mitarbeiter laden Quellcode oder Designs hoch, die nicht für externe Verarbeitung freigegeben sind. Verstöße gegen Lizenzbedingungen (OSS-Lizenzen, Kundenverträge mit NDA) sind die Folge.
5. Compliance- und Audit-Risiken
Wenn du in einer regulierten Branche bist (Finanz, Gesundheit, Energie), kann ein dokumentierter Schatten-KI-Vorfall deine Zertifizierungen kosten — und auch EU-AI-Act-Pflichten auslösen. ISO 27001-Audits fragen 2026 systematisch danach.
Woran du Schatten-KI erkennst
- Mitarbeiter liefern plötzlich erstaunlich gute Texte (zu gut, zu schnell).
- Browser-Verlauf-Spitzen auf chat.openai.com, gemini.google.com, claude.ai von Firmenrechnern.
- In Mitarbeitergesprächen tauchen Sätze auf wie „ich frag das mal kurz die KI".
- Netzwerk-Traffic-Analysen zeigen Aufrufe zu KI-Endpunkten ohne offiziellen Account.
Was nicht funktioniert
- Sperren per Firewall: Mitarbeiter nutzen dann das Smartphone — und das Problem wird unsichtbar.
- Dräuen mit Sanktionen ohne Alternative: Frustriert und treibt erst recht in den Schatten.
- „Wir nutzen KI eh nicht": Doch, deine Mitarbeiter tun es — du weißt es nur nicht.
Was funktioniert — der 3-Stufen-Ansatz
Stufe 1 — Aufklärungsoffensive
Eine 60-Minuten-Pflichtveranstaltung mit klaren Beispielen: Was geht, was geht nicht, was sind die echten Risiken. Wichtig: ohne Drohgebärde. Mitarbeiter handeln aus Hilflosigkeit, nicht aus böser Absicht.
Stufe 2 — Genehmigte Alternative anbieten
Das ist der Kern: Wenn du keine offizielle KI-Plattform hast, wandern Mitarbeiter in die private. Stelle Cortexion oder eine vergleichbare DSGVO-Plattform bereit, damit der Bedarf legal gestillt wird. Die Lösung gegen Schatten-IT war nie das Verbot, sondern eine gute eigene Plattform. Bei KI ist es identisch.
Stufe 3 — KI-Richtlinie und Schulung
Mit Positivliste der erlaubten Tools, Negativliste der verbotenen Datenkategorien, klarer Eskalationspfad bei Unsicherheit. Wir haben dafür eine eigene Anleitung mit Vorlage geschrieben.
Realistischer 90-Tage-Plan
| Phase | Aktivität |
|---|---|
| Woche 1–2 | Anonyme Umfrage bei Mitarbeitern: „Welche KI-Tools nutzt du wofür?" Tabu-frei, keine Sanktionen. |
| Woche 3 | Geschäftsführung, Datenschutz, Betriebsrat informieren. |
| Woche 4–6 | Plattform-Auswahl (DSGVO-konform), AVV unterschreiben. |
| Woche 7–8 | KI-Richtlinie schreiben, Betriebsvereinbarung mit BR. |
| Woche 9–10 | Pflichtschulung für alle Mitarbeiter. |
| Woche 11–13 | Plattform ausrollen, Schatten-KI parallel monitoring. |
Was du nach 90 Tagen messen kannst
- Anteil Mitarbeiter mit aktivem Cortexion-Account (Ziel: 80 % + nach 3 Monaten)
- Anteil der ursprünglichen Schatten-Use-Cases, die jetzt auf der offiziellen Plattform laufen
- Compliance-Audit-Ergebnis (sollte deutlich besser sein)
Schatten-KI lässt sich nicht verbieten, sie lässt sich nur ersetzen. Cortexion ist die Plattform, die Mitarbeiter freiwillig nutzen, weil sie besser ist als private Tools — DSGVO-konform, mit Firmenwissen, im Team-Kontext. Buche eine Demo.