Was ist Schatten-KI?
Deine Kollegin hat einen Berichtstermin, den Kopf voll und einen ChatGPT-Tab offen. Sie kopiert die Kundendaten rein, bekommt in Minuten einen Entwurf und sagt niemandem etwas. Das ist Schatten-KI.
Gemeint ist jede Nutzung von KI-Tools im Job ohne Freigabe oder Aufsicht durch IT oder Geschäftsführung. Eine gesetzliche Definition gibt es nicht. Der Begriff kommt aus der Branche und ist der kleine Bruder der Schatten-IT, also jeder nicht genehmigten Software.
Der Unterschied: Bei KI gehen Inhalte aktiv in ein fremdes System, und es kommt ein Ergebnis zurück, das jemand ungeprüft weiterverwendet. Die Risiken liegen also bei Daten und bei der Qualität.
Böse Absicht steckt selten dahinter. Meist ist es Zeitdruck. In den meisten Firmen fehlt schlicht ein erlaubtes Tool.
Wie verbreitet ist Schatten-KI?
Befund
Wert
Firmen, die private KI-Nutzung kennen oder vermuten
42 %
Firmen, die generative KI bereitstellen
26 %
Firmen mit Regeln
23 %
KI-Nutzer in KMU mit eigenen Tools
80 %
Die ersten drei Werte stammen von Bitkom aus dem Sommer 2025: 604 deutsche Unternehmen ab 20 Beschäftigten. 8 % nennen die Nutzung weit verbreitet, 17 % sprechen von Einzelfällen, 17 % vermuten sie. Nur 29 % schließen sie sicher aus, und das ist bloß ihre Einschätzung.
Die 80 % kommen aus dem Work Trend Index von Microsoft 2024, einer weltweiten Befragung von 31.000 Menschen. Dort geben 52 % auch an, ungern zuzugeben, dass sie KI für wichtige Aufgaben nutzen. In Großbritannien nutzten laut einer Microsoft-Umfrage vom Oktober 2025 71 % der Beschäftigten schon nicht genehmigte KI, meist für Kommunikation und Berichte. Die Zahlen messen Unterschiedliches, addier sie also nicht.
Welche Risiken bringt Schatten-KI mit sich?
- Datenabfluss: Kundendaten oder Angebote landen beim Anbieter. Bei persönlichen ChatGPT-Tarifen können Eingaben laut OpenAI fürs Training genutzt werden, abschaltbar. Bei Business-Tarifen ist das standardmäßig aus.
- Datenschutz: Personenbezogene Daten im Privatkonto verarbeitest du ohne Vertrag und ohne Kontrolle. Die DSGVO gilt trotzdem.
- Geschäftsgeheimnisse: Das Gesetz schützt nur, was du angemessen geheim hältst. Fehlende Regeln können diesen Schutz schwächen.
- Qualität: Falsche Fakten, eine erfundene Quelle im Kundentext und niemand merkt es.
- Pflichten: Art. 4 der KI-Verordnung verlangt Maßnahmen für KI-Kompetenz. Was du nicht kennst, kannst du nicht schulen.
Und das kostet. Im Report von IBM für 2025 meldete jede fünfte der 600 befragten Organisationen eine Datenpanne durch Schatten-KI. Bei viel Schatten-KI lagen die Kosten im Schnitt 670.000 US-Dollar höher. Das sind überwiegend Großunternehmen, die Richtung gilt aber auch für dich.
Fall · Samsung, 2023
Quellcode im Chatfenster
3
Vorfälle in unter drei Wochen
1.024 Byte
Limit je Eingabe danach
Im Mai 2023 folgte ein zeitweises Verbot
Streng genommen kein reiner Schatten-Fall, denn ChatGPT war damals erlaubt. Die Details stammen aus koreanischen Medien, das spätere Verbot hat Samsung bestätigt.
Häufige Fehler
Fehler 1 · Pauschal verbieten
Ein Verbot treibt die Nutzung nur weiter in den Schatten, aufs private Handy. Dort siehst du sie gar nicht mehr. Bitkom rät deshalb zu Regeln statt Wildwuchs.
Fehler 2 · „Bei uns nicht“
Wer es nicht weiß, hat es selten geprüft. Eine offene Frage im Team bringt mehr als jede Vermutung.
Fehler 3 · Private Pro-Konten für sicher halten
Training abschalten ist gut. Es ersetzt aber weder eine Freigabe noch einen Vertrag mit dem Anbieter. Das Konto gehört weiter der Person, nicht der Firma.
Fehler 4 · Nur der IT überlassen
Schatten-KI ist kein Firewall-Thema. Sie entsteht in Marketing, Vertrieb und Personal. Die Regeln müssen dort passen, wo gearbeitet wird.
So holst du KI aus dem Schatten
- Fragen statt jagen: Wer nutzt was wofür? Sag vorher, dass es keinen Ärger gibt.
- Ein Tool freigeben: etwa ChatGPT Business, Microsoft 365 Copilot oder Claude for Work, mit Dienstkonten.
- Daten einteilen: Was darf rein, was nie? Eine einfache Ampel reicht für den Anfang.
- Regeln aufschreiben: Eine Seite genügt. Was ist erlaubt, und wer prüft Ergebnisse?
- Schulen und festhalten: Kurze Einweisung, Teilnahme dokumentieren.
- Nachhalten: Einmal im Quartal fragen, was neu dazukam.
Häufige Fragen
Ist ChatGPT mit Privatkonto bei der Arbeit erlaubt?
Das entscheidet dein Arbeitgeber. Ohne Regelung ist es zumindest riskant, sobald Kunden- oder Firmendaten eingegeben werden. Frag nach oder nutze nur Texte ohne vertrauliche Inhalte.
Was ist der Unterschied zwischen Schatten-KI und Schatten-IT?
Schatten-IT ist jede nicht genehmigte Software oder Hardware. Schatten-KI ist ein Teil davon. Sie bringt zusätzlich Risiken bei Ergebnissen und Entscheidungen, weil das Tool selbst Inhalte erzeugt.
Muss ich Mitarbeitende zu KI schulen?
Für Unternehmen, die KI einsetzen, verlangt Art. 4 der KI-Verordnung Maßnahmen für KI-Kompetenz, auch bei ChatGPT für Werbetexte. Ein Zertifikat ist nicht nötig, interne Dokumentation genügt laut EU-Kommission.
Reicht ein Verbot gegen Schatten-KI?
Selten. Die Nutzung wandert dann aufs Privatgerät. Besser ist ein erlaubtes Tool plus klare Regeln. Ein Verbot bleibt als Notbremse für einzelne Datenarten sinnvoll.
