Fast jeder Betrieb hat sie, kaum einer sieht sie. Gemeint ist Schatten-KI. Also die Nutzung von KI-Tools wie ChatGPT oder Copilot durch Mitarbeitende, ohne dass die Firma davon weiß. Studien zeigen ein klares Bild. Laut einer globalen KPMG-Studie 2025 nutzen 57 Prozent der Beschäftigten KI heimlich. Im deutschsprachigen Mittelstand liegt der Wert noch höher. Deshalb ist das Thema längst keine Randnotiz mehr.
Dieser Beitrag ordnet Schatten-KI für österreichische KMU ein. Zunächst klären wir den Begriff. Danach schauen wir auf die Ursachen und die Risiken. Zum Schluss geht es um konkrete Gegenmaßnahmen. Das Ziel ist ein geordneter Umgang statt eines Verbots, das ohnehin niemand befolgt. Somit gewinnen Sie die Kontrolle zurück, ohne die Produktivität abzuwürgen.
Was Schatten-KI genau bedeutet
Schatten-KI beschreibt die Nutzung von KI-Tools ohne Freigabe der Firma. Mitarbeitende greifen dabei auf Dienste wie ChatGPT, Gemini, Claude oder Copilot zu. Meist über private Accounts oder das eigene Smartphone. Somit läuft die Nutzung völlig an der IT vorbei. Der Begriff leitet sich von der bekannten Schatten-IT ab. Doch der Unterschied ist gewichtig.
Nicht Software, sondern Daten fließen ab
Bei klassischer Schatten-IT installiert jemand ein nicht freigegebenes Programm. Bei Schatten-KI passiert etwas anderes. Denn hier fließen Daten in Echtzeit nach außen. Jede Eingabe in ein KI-Tool ist potenziell eine Übermittlung an einen Dritten. Der Anbieter verarbeitet den Text auf seinen Servern. Zudem speichert er ihn je nach Tarif und Einstellung. Deshalb ist Schatten-KI vor allem ein Datenschutz- und Sicherheitsthema.
Ein Alltagsbeispiel
Nehmen wir eine Sachbearbeiterin im Vertrieb. Sie soll ein Angebot formulieren. Zunächst kopiert sie Kundendaten und Preise in ein KI-Tool. Danach lässt sie sich einen sauberen Text erzeugen. Das spart ihr zwanzig Minuten. Doch die Kundendaten liegen jetzt auf einem externen Server. Genau das ist Schatten-KI in der Praxis. Die Absicht ist gut, das Ergebnis riskant. Genau auf solche Datenrisiken weist die europäische Cybersicherheitsbehörde ENISA seit Langem hin.
Die Verbreitung ist enorm. Eine Software-AG-Erhebung zeigt, dass viele Beschäftigte selbst bei einem klaren Verbot weitermachen würden. Sie würden die Nutzung nur besser verstecken. Deshalb greift ein reines Verbot zu kurz. Wir ordnen die KI-Nutzung im Rahmen unserer KI-Security-Beratung strukturiert ein. Denn wer das Thema ignoriert, verliert den Überblick über seine eigenen Daten.
Ein Blick auf die Zahlen unterstreicht den Ernst. Eine Springer-Studie aus dem Jahr 2026 nennt für den deutschsprachigen Mittelstand 71 Prozent betroffene Wissensarbeiter. Andere Erhebungen kommen sogar auf über 80 Prozent. Somit ist Schatten-KI kein Einzelfall, sondern der Normalfall. Deshalb hilft es nicht, das Thema als Ausnahme zu behandeln. Vielmehr sollten Sie davon ausgehen, dass es Ihren Betrieb bereits betrifft. Die Frage lautet also nicht ob, sondern in welchem Umfang.
Warum Schatten-KI im Betrieb entsteht
Schatten-KI entsteht selten aus böser Absicht. Vielmehr ist sie die Folge eines Vakuums. Denn wo klare Regeln und freigegebene Werkzeuge fehlen, suchen sich Mitarbeitende eigene Wege. Die Tools sind kostenlos, schnell und überall verfügbar. Somit ist die Hürde niedrig. Wer verstehen will, wie er Schatten-KI eindämmt, muss zuerst die Ursachen kennen.
Druck, Tempo und fehlende Alternativen
Der stärkste Treiber ist der Zeitdruck. Ein KI-Tool erledigt in Sekunden, was sonst eine halbe Stunde dauert. Deshalb greifen viele einfach zu. Zudem fehlt oft eine freigegebene Alternative im Haus. Wenn die Firma kein sicheres Werkzeug bereitstellt, nutzt der Mitarbeiter das nächstbeste. Also die kostenlose Version aus dem Netz. Ebenso spielt Neugier eine Rolle. Neue Tools erscheinen wöchentlich und wecken Interesse.
Unklare oder fehlende Regeln
Oft weiß niemand, was erlaubt ist. Gibt es keine Richtlinie, entsteht ein Graubereich. In diesem Graubereich wächst Schatten-KI. Denn die Beschäftigten interpretieren die Lage nach eigenem Gefühl. Manche halten sich für vorsichtig genug. Andere denken gar nicht an Datenschutz. Deshalb ist eine klare Regelung der erste Schritt. Ohne sie bleibt jede Nutzung Auslegungssache.
Ein weiterer Faktor ist die Angst vor dem Verbot. Wer eine Bestrafung fürchtet, meldet seine Nutzung nicht. Somit verschwindet das Thema in den Untergrund. Genau deshalb setzen wir auf eine offene Security-Awareness. Denn nur wer offen reden darf, meldet auch Probleme. Eine gelebte Meldekultur schlägt jedes stille Verbot.
Die konkreten Risiken für Ihr Unternehmen
Schatten-KI birgt vier greifbare Risiken. Nämlich Datenabfluss, DSGVO-Verstöße, den Verlust von Geschäftsgeheimnissen und Compliance-Probleme. Dabei wirken sie oft zusammen. Denn eine unbedachte Eingabe kann alle vier zugleich auslösen. Deshalb lohnt sich ein genauer Blick auf jedes einzelne.
Datenabfluss und Geschäftsgeheimnisse
Das größte Risiko ist der Abfluss sensibler Daten. Kundendaten, Preise, Verträge oder Quellcode landen auf fremden Servern. Ein bekannter Fall aus der Industrie zeigt die Gefahr. Dort hatten Beschäftigte eines Konzerns vertraulichen Quellcode in ChatGPT eingegeben. Danach verbot das Unternehmen die Nutzung. Denn der Code war nicht mehr unter Kontrolle. Für ein KMU wäre der Verlust von Geschäftsgeheimnissen existenzbedrohend. Ein Wettbewerbsvorteil verpufft, sobald er das Haus verlässt. Ein zweites Beispiel zeigt die Bandbreite. Eine Assistenz fasst ein internes Strategiepapier mit einem KI-Tool zusammen. Der Inhalt liegt danach beim Anbieter. Somit ist die Vertraulichkeit dahin, obwohl niemand böse Absicht hatte.
DSGVO-Verstöße und Bußgelder
Jede Eingabe personenbezogener Daten ist eine Verarbeitung. Also braucht sie eine Rechtsgrundlage. Zudem fehlt bei den meisten KI-Tools ein Auftragsverarbeitungsvertrag. Deshalb ist die Nutzung im Zweifel rechtswidrig. Die Aufsichtsbehörden schauen genau hin. Kritisch wird es etwa beim KI-gestützten Bewerber-Screening, wenn die Betroffenen nicht informiert werden oder keine dokumentierte menschliche Kontrolle stattfindet. Für solche Verstöße sieht die DSGVO Geldbußen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor (Art. 83 Abs. 5). Wie Sie personenbezogene Daten korrekt behandeln, klärt unsere Datenschutz-Beratung. Ein sauberer Auftragsverarbeitungsvertrag gehört dabei zur Pflicht.
Compliance und der EU AI Act
Seit Februar 2025 gilt der EU AI Act stufenweise. Er verlangt unter anderem Maßnahmen für die KI-Kompetenz der Beschäftigten. Wer KI unkontrolliert nutzen lässt, kann kaum zeigen, dass er solche Maßnahmen ergriffen hat. Zudem drohen weitere Sanktionen bei Hochrisiko-Anwendungen. Welche Stufen es gibt, erklärt unser Beitrag zu den EU-AI-Act-Risikoklassen. Auch die konkrete KI-Schulungspflicht sollten Sie kennen. Einen kompakten Überblick zum Rechtsrahmen bietet die WKO-Übersicht zum EU AI Act. Ein technisches Risiko kommt hinzu. Manipulierte Eingaben können ein KI-System aushebeln, wie unser Beitrag zum Schutz vor Prompt Injection zeigt.
Die Summe dieser Risiken macht Schatten-KI zu einem Führungsthema. Denn die Verantwortung liegt am Ende bei der Leitung. Ein einzelner unbedachter Prompt kann teuer werden. Deshalb gehört das Thema auf die Agenda der Geschäftsführung. Wer die Risiken kennt, kann sie steuern. Wer sie verdrängt, wird von ihnen eingeholt.
Schatten-KI im Betrieb erkennen
Bevor Sie Schatten-KI steuern, müssen Sie sie sehen. Deshalb steht am Anfang eine Bestandsaufnahme. Sie klärt, welche Tools im Umlauf sind und wer sie nutzt. Zudem zeigt sie, welche Daten dabei verarbeitet werden. Ohne dieses Bild bleibt jede Maßnahme ein Ratespiel. Die Reihenfolge ist klar. Erst Sichtbarkeit, dann Regeln, dann sichere Alternativen.
Technische und organisatorische Wege
Es gibt zwei Wege zur Sichtbarkeit. Zunächst der technische Weg. Ein Blick in die Protokolle der Firewall oder des Proxys hilft. Er zeigt Zugriffe auf bekannte KI-Dienste. Zudem erkennen moderne Sicherheitswerkzeuge solche Verbindungen. Praktische Hinweise zur sicheren KI-Nutzung sammelt das deutsche BSI. Danach folgt der organisatorische Weg. Eine ehrliche, anonyme Umfrage im Team bringt oft mehr als jede Technik. Denn viele nutzen KI über das private Handy. Und das taucht in keinem Firmenprotokoll auf.
Die richtigen Fragen stellen
Eine gute Bestandsaufnahme fragt konkret. Welche Aufgaben erledigen Sie mit KI? Zudem: Welche Tools nutzen Sie dafür? Und welche Daten geben Sie ein? Diese Fragen decken den echten Bedarf auf. Zudem verraten sie, wo eine sichere Alternative fehlt. Genau hier liegt der Hebel. Denn wer den Bedarf kennt, kann ihn geordnet bedienen.
Der Ton entscheidet über den Erfolg. Wer mit Drohungen fragt, bekommt keine ehrlichen Antworten. Wer offen fragt, erfährt die Wahrheit. Deshalb ist die Bestandsaufnahme auch ein Kulturthema. Ein neutraler Blick von außen hilft dabei oft. Genau das leistet ein IT-Security-Audit. Es macht die reale Nutzung sichtbar, ohne Schuldige zu suchen. Somit entsteht eine belastbare Grundlage für die nächsten Schritte.
Gegenmaßnahmen: von der Freigabeliste bis zur Schulung
Gegen Schatten-KI hilft kein Verbot, sondern ein geordneter Rahmen. Dieser Rahmen ruht auf vier Säulen. Nämlich einer Freigabeliste, sicheren Firmen-Tarifen, einer klaren Richtlinie und laufender Schulung. Zusammen lenken sie die Nutzung in sichere Bahnen. Somit bleibt die Produktivität erhalten, das Risiko sinkt.
Freigabeliste und Firmen-Tarife
Der erste Schritt ist eine Positivliste. Sie nennt die Tools, die erlaubt sind. Zudem legt sie fest, für welche Aufgaben. Ergänzen Sie diese Liste um sichere Firmen-Tarife. Denn viele Anbieter bieten Business-Versionen ohne Training mit Ihren Daten. Ein solcher Tarif hält die Daten im Haus. Somit fällt der Hauptgrund für die heimliche Nutzung weg. Wer ein gutes Werkzeug bekommt, sucht sich kein schlechtes. Achten Sie bei der Auswahl auf zwei Punkte. Zunächst darf der Anbieter Ihre Eingaben nicht für das Training seiner Modelle nutzen. Danach sollte ein Auftragsverarbeitungsvertrag vorliegen. Somit erfüllen Sie die Vorgaben der DSGVO und schließen den größten Graubereich.
Richtlinie und Schulung statt Verbot
Eine KI-Richtlinie ist das Herzstück. Sie beantwortet drei Fragen. Welche Tools sind erlaubt? Welche Daten dürfen hinein? Wer ist verantwortlich? Halten Sie die Richtlinie außerdem kurz und verständlich. Denn eine Regel, die niemand liest, wirkt nicht. Danach folgt die Schulung. Sie erklärt die Gefahren an echten Beispielen. Ein solches Vorgehen wirkt besser als jedes Verbot. Praxisnahe Tipps für Beschäftigte bietet auch die österreichische Plattform onlinesicherheit.gv.at. Wie Sie das Thema dauerhaft verankern, zeigt der Aufbau einer KI-Governance im Unternehmen.
Der Mensch bleibt der wichtigste Faktor. Deshalb reicht Technik allein nicht. Regelmäßige Schulung hält das Bewusstsein wach. Unser Beitrag zum Faktor Mensch vertieft diesen Punkt. Bei der Umsetzung der Richtlinie und der Auswahl der Tools begleiten wir Sie gern. Nehmen Sie dazu einfach Kontakt auf. So wird aus einem Risiko ein kontrollierter Vorteil.
Sofortmaßnahmen im Überblick
Gegen Schatten-KI können Sie sofort handeln. Die folgende Tabelle fasst die wichtigsten Maßnahmen zusammen. Sie ordnet jede Maßnahme nach Aufwand und Wirkung. Somit sehen Sie auf einen Blick, wo Sie starten. Beginnen Sie deshalb mit den Punkten, die viel bringen und wenig kosten.
| Maßnahme | Aufwand | Wirkung |
|---|---|---|
| Bestandsaufnahme der genutzten Tools | Niedrig | Hoch: schafft überhaupt erst Sichtbarkeit |
| KI-Richtlinie erstellen und kommunizieren | Mittel | Hoch: klare Regeln beenden den Graubereich |
| Freigabeliste erlaubter Tools | Niedrig | Mittel: lenkt die Nutzung auf sichere Dienste |
| Sichere Firmen-Tarife bereitstellen | Mittel | Hoch: entfernt den Hauptgrund für heimliche Nutzung |
| Mitarbeitende schulen | Mittel | Hoch: senkt das Risiko dauerhaft |
| Technische Kontrolle über Proxy/Firewall | Hoch | Mittel: ergänzt, ersetzt aber keine Kultur |
Die richtige Reihenfolge
Die Reihenfolge macht den Unterschied. Zunächst schaffen Sie Sichtbarkeit. Danach setzen Sie Regeln und stellen sichere Werkzeuge bereit. Erst zum Schluss folgt die technische Absicherung. Wer mit dem Verbot beginnt, hat schon verloren. Denn er verschiebt das Problem nur in die Unsichtbarkeit. Genau das gilt es zu vermeiden.
Ein kleiner Start ist besser als kein Start. Beginnen Sie also mit der Bestandsaufnahme und der Richtlinie. Beide kosten wenig und wirken sofort. Danach bauen Sie den Rahmen Schritt für Schritt aus. Somit wird aus dem diffusen Risiko Schatten-KI ein geordneter Prozess. Und Ihr Betrieb nutzt die Chancen der KI, ohne die Kontrolle zu verlieren.
Planen Sie die Maßnahmen als Kreislauf, nicht als Einmalprojekt. Denn neue Tools kommen laufend hinzu. Deshalb gehört die Bestandsaufnahme regelmäßig wiederholt. Prüfen Sie einmal im Quartal, was sich verändert hat. Passen Sie die Freigabeliste und die Richtlinie daran an. Somit bleibt Ihr Rahmen aktuell und Schatten-KI hat keine Chance, sich still auszubreiten.
Häufig gestellte Fragen
Was ist Schatten-KI?
Schatten-KI ist die Nutzung von KI-Tools wie ChatGPT oder Copilot durch Mitarbeitende ohne Freigabe der Firma. Meist läuft sie über private Accounts oder das Smartphone. Deshalb entzieht sie sich der Kontrolle der IT. Das Hauptproblem ist der Abfluss von Daten an externe Anbieter.
Wie verbreitet ist Schatten-KI in Unternehmen?
Sehr verbreitet. Eine globale KPMG-Studie von 2025 nennt 57 Prozent der Beschäftigten, die KI heimlich nutzen. Im deutschsprachigen Mittelstand liegen manche Erhebungen bei über 70 Prozent. Somit betrifft das Thema fast jeden Betrieb.
Welche Risiken bringt Schatten-KI mit sich?
Vor allem vier. Nämlich Datenabfluss, DSGVO-Verstöße, den Verlust von Geschäftsgeheimnissen und Compliance-Probleme. Jede Eingabe sensibler Daten kann mehrere davon zugleich auslösen. Deshalb ist Schatten-KI ein Thema für die Geschäftsführung.
Ist die Nutzung von ChatGPT im Job DSGVO-konform?
Nicht ohne Weiteres. Jede Eingabe personenbezogener Daten ist eine Verarbeitung und braucht eine Rechtsgrundlage. Zudem fehlt meist ein Auftragsverarbeitungsvertrag. Deshalb ist die Nutzung mit echten Personendaten im Zweifel rechtswidrig.
Sollte man KI-Tools im Unternehmen einfach verbieten?
Ein Verbot wirkt selten. Studien zeigen, dass viele Beschäftigte trotzdem weitermachen und die Nutzung nur besser verstecken. Deshalb ist ein geordneter Rahmen wirksamer. Also eine Freigabeliste, sichere Tarife, eine Richtlinie und Schulung.
Wie erkenne ich Schatten-KI im eigenen Betrieb?
Über zwei Wege. Zunächst technisch, etwa durch einen Blick in die Protokolle von Firewall und Proxy. Danach organisatorisch, durch eine offene, anonyme Umfrage im Team. Da viele KI über das private Handy nutzen, ist die Umfrage oft aussagekräftiger.
Was gehört in eine KI-Richtlinie?
Drei Punkte. Welche Tools erlaubt sind, welche Daten hinein dürfen und wer verantwortlich ist. Halten Sie die Richtlinie kurz und verständlich. Denn eine Regel, die niemand liest, hat keine Wirkung. Ergänzen Sie sie um regelmäßige Schulung.
Fazit: Steuern statt verbieten
Schatten-KI ist Realität in fast jedem Betrieb. Ein Verbot löst das Problem nicht, es verschiebt es nur in die Unsichtbarkeit. Deshalb ist ein geordneter Rahmen der bessere Weg. Zunächst schaffen Sie Sichtbarkeit durch eine Bestandsaufnahme. Danach setzen Sie eine klare Richtlinie und stellen sichere Werkzeuge bereit. Zum Schluss schulen Sie Ihr Team. So wird aus einem diffusen Risiko ein kontrollierter Nutzen.
Der beste Zeitpunkt dafür ist jetzt. Denn die Nutzung wächst schneller als die Regeln. Ein früher Start schützt Ihre Daten und Ihre Geschäftsgeheimnisse. Zudem erfüllen Sie die Pflichten aus DSGVO und EU AI Act. Wir begleiten Sie gern auf diesem Weg, von der Bestandsaufnahme bis zur fertigen Governance.
SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren