Schatten-KI bezeichnet KI-Werkzeuge, die Mitarbeiter ohne Wissen der Firma nutzen, meist über private Konten im Browser oder auf dem Smartphone. Das Risiko liegt nicht in der Nutzung selbst, sondern in den Daten, die dabei das Unternehmen verlassen. Die Lösung ist selten ein Verbot, sondern ein freigegebenes Werkzeug, das die Mitarbeiter lieber nutzen als das private.
Wie verbreitet das ist
Fragen Sie in Ihrem Team anonym, wer in den letzten vier Wochen ein KI-Werkzeug für die Arbeit genutzt hat. Bei unseren Kunden liegt die Quote regelmäßig deutlich über dem, was die Geschäftsführung erwartet. Genutzt wird, was gerade zur Hand ist: das private ChatGPT-Konto, die Übersetzungs-App, ein Browser-Plugin. Niemand tut das aus bösem Willen, es geht schneller als die alte Methode.
Welche Daten dabei typischerweise abfließen
Angebotstexte mit Kundennamen und Preisen. Excel-Tabellen mit Umsatzzahlen, weil eine Formel gebraucht wurde. Bewerbungen, die zusammengefasst werden sollten. Besprechungsprotokolle mit Personalthemen. Quellcode und Konfigurationen. In vielen Diensten mit privatem Konto dürfen diese Eingaben zum Training verwendet werden, und in jedem Fall liegen sie auf Servern, für die kein Vertrag zur Auftragsverarbeitung existiert. Für personenbezogene Daten ist das ein Datenschutzverstoß, für Geschäftsgeheimnisse ein Wettbewerbsrisiko.
Warum Verbote scheitern
Ein Verbot ohne Alternative verlagert die Nutzung nur aufs private Handy. Kontrolle über Firmenrechner erreicht die Smartphones nicht, und die Motivation bleibt: Die Werkzeuge sparen echte Zeit. Wer Schatten-KI beenden will, muss den Grund für die Schattennutzung beseitigen, nicht die Mitarbeiter bestrafen.
Der Weg heraus: freigeben, absichern, schulen
Erstens ein freigegebenes Werkzeug bereitstellen, bei dem die Daten im Unternehmen bleiben. Für Firmen mit Microsoft 365 ist Copilot der naheliegende Weg, weil er innerhalb des eigenen Mandanten arbeitet und die vorhandenen Berechtigungen respektiert. Zweitens die Datenregeln klar aufschreiben: Was darf hinein, was nicht. Drittens technisch absichern: Auf verwalteten Geräten lassen sich nicht freigegebene KI-Dienste blockieren, und Datenverlustrichtlinien erkennen, wenn Kundendaten in Browserformulare eingefügt werden. Viertens schulen: 45 Minuten mit Beispielen aus dem eigenen Arbeitsalltag wirken mehr als jede Richtlinie im Intranet.
Was das in der Praxis kostet
Weniger, als viele denken. Die Lizenzkosten für ein freigegebenes KI-Werkzeug stehen einem Datenschutzvorfall oder dem Verlust einer Kalkulation an den Wettbewerb gegenüber. Die Einführung selbst, also Freigabe, Regeln und Schulung, erledigen wir bei kleineren Unternehmen an ein bis zwei Tagen nach Aufwand.
Häufige Fragen
Wie finde ich heraus, welche KI-Tools bei uns genutzt werden?
Am ehrlichsten mit einer anonymen Abfrage im Team. Technisch zeigen Firewall- und Browserprotokolle auf Firmengeräten, welche Dienste aufgerufen werden.
Ist die Nutzung von ChatGPT mit privatem Konto verboten?
Nicht grundsätzlich. Verboten ist es, personenbezogene Daten oder Geschäftsgeheimnisse dort einzugeben. Genau das passiert aber im Alltag, wenn keine Alternative existiert.
Reicht Copilot als Alternative?
Für die meisten Büroaufgaben ja: Texte, Zusammenfassungen, E-Mails, Tabellen. Für Spezialfälle können weitere Werkzeuge freigegeben werden, dann aber mit Firmenkonto und geprüfter Datenverarbeitung.
Was ist mit Mitarbeitern, die privat weitermachen?
Wenn das freigegebene Werkzeug gut ist und die Regeln bekannt sind, bleibt kaum ein Grund dafür. Wer trotzdem Firmendaten in private Dienste kopiert, verstößt gegen eine klare Regel, und das lässt sich arbeitsrechtlich anders behandeln als eine Grauzone.
Schatten-KI beenden
Wir richten Copilot in Ihrem Microsoft-365-Mandanten ein, schreiben mit Ihnen die Datenregeln und schulen Ihr Team. Team Data GmbH, IT-Systemhaus in Osnabrück.
