Schatten-KI im Mittelstand: 7 Muster + Kontroll-Plan

Schatten-KI ist nicht das Problem — fehlende Regeln sind es. Wer sie ignoriert, zahlt später mit Bußgeldern und Vertrauensverlust. Wer sie strukturiert kanalisiert, bekommt kostenlosen Rückenwind aus der Belegschaft.

Was ist Schatten-KI und warum ist sie so hartnäckig?

Schatten-KI umfasst alle KI-Anwendungen, die Mitarbeitende nutzen, ohne dass IT, Datenschutz oder Management sie offiziell freigegeben haben. Der Grund ist selten böser Wille, sondern Pragmatismus: Menschen wollen ihren Job besser und schneller erledigen — und KI-Tools liegen nur einen Browser-Tab entfernt.

Sieben typische Schatten-KI-Muster

1. Private ChatGPT-Accounts mit Unternehmensdaten

Mitarbeitende kopieren E-Mails, Verträge, Protokolle oder sogar Finanzdaten in private LLM-Accounts, um Texte übersetzen, strukturieren oder „schöner schreiben“ zu lassen. Das spart Zeit, schafft aber einen kaum kontrollierbaren Datenabfluss.

2. Browser-Plugins, die Daten mitschneiden

Chrome- oder Edge-Plugins schicken ganze Webseiten oder Intranet-Seiten an externe KI-Services, um Zusammenfassungen oder Antworten zu generieren. Niemand weiß genau, welche Daten wohin gehen — die Datenschutz-Folgenabschätzung findet nicht statt.

3. Inoffizielle Automationen in Finance und HR

Findige Mitarbeitende bauen in Power Automate, Make oder Zapier Flows, die Rechnungen, Bewerbungen oder Tickets automatisch routen — oft mit KI-Schritten zum Klassifizieren. Governance, Dokumentation und klare Verantwortlichkeiten fehlen.

4. Word/Excel-Add-ins mit US-Backends

LLM-Plugins in Office-Dokumenten helfen beim Schreiben, Übersetzen oder Auswerten — basierend auf US-Cloud-Services mit unspezifizierter Datenhaltung. Hier lauern unerwünschte Drittlandstransfers und unklare Speicherfristen.

5. Generative Bild-Tools im Marketing

Marketing nutzt freie Bildgeneratoren für Kampagnen, Posts und Präsentationen — ohne Lizenzprüfung und ohne Klarheit, wie Trainingsdaten und Urheberrechte aussehen. Das kann zu Marken- und Urheberrechtsproblemen führen.

6. „Behelfslösungen“ im Support

Support-Mitarbeitende lassen Chatbots Antwortvorschläge für Kunden generieren — zum Teil mit Bezug auf konkrete Ticketdaten. Versionierung und Nachvollziehbarkeit sind nicht geregelt, rechtliche Risiken bleiben beim Unternehmen.

7. KI-Nutzung im Recruiting

Fachabteilungen lassen Lebensläufe von generativen Tools „kondensieren“, Motivationsschreiben umformulieren oder Kandidaten „einschätzen“. Hier entsteht Nähe zu Hochrisiko-Bereichen des EU AI Act, insbesondere im Beschäftigungsbereich.

Vier Schritte, um Schatten-KI unter Kontrolle zu bringen

Schritt 1 — Anonyme, ehrliche Inventur

Eine kurze, anonyme Umfrage („Welche KI-Tools nutzen Sie im Alltag?“) reicht oft, um pro Unternehmen 5 bis 10 nicht freigegebene Tools sichtbar zu machen. Wichtig ist die Botschaft: Es geht nicht um Sanktionen, sondern um Transparenz.

Schritt 2 — Risiko-Clustering

Für jedes identifizierte Tool werden Datenarten, Betroffenheit und Entscheidungswirkung bewertet. Daraus entsteht ein einfaches Cluster: unproblematisch, steuerbar, kritisch. Kritische Tools werden eingefroren, bis eine Alternative steht.

Schritt 3 — KI-Policy & Positivliste

Eine kurze Richtlinie definiert Do's & Don'ts, erlaubte Tools und den Meldeweg. Eine Positivliste freigegebener Lösungen („diese Tools sind erlaubt“) funktioniert deutlich besser als reine Verbote.

Schritt 4 — Schulung und Storytelling

Kurze, praxisnahe Schulungen mit echten Beispielen aus der Inventur machen klar: KI-Nutzung ist erwünscht, aber geregelt. Die Story lautet: „Wir wollen, dass ihr KI nutzt — nur nicht im Blindflug.“

Schatten-KI ist ein Symptom für fehlende Angebote, nicht für „böse Mitarbeitende“. Mitarbeitende greifen zu Schatten-KI, weil das offizielle Angebot fehlt oder zu kompliziert ist.