KI-Schattennutzung im Unternehmen: Wenn Mitarbeiter*innen ChatGPT kennen, die IT aber nicht

Shadow AI ist bereits in mehr als der Hälfte aller deutschen Unternehmen Realität – und die meisten Führungskräfte wissen es nicht. Dabei ist KI-Schattennutzung kein Kavaliersdelikt: Sie birgt erhebliche Datenschutz-, Haftungs- und Compliance-Risiken. Dieser Beitrag erklärt, was Shadow AI genau ist, warum KMU jetzt handeln müssen und wie ihr euer Team rechtssicher aufstellt.

Was ist Shadow AI? Definition und Bedeutung für Unternehmen

Shadow AI bezeichnet die nicht genehmigte Nutzung von KI-Tools durch Mitarbeiter*innen – ohne Wissen oder Freigabe der IT-Abteilung oder Unternehmensleitung. Typische Beispiele sind ChatGPT, Gemini oder Copilot auf privaten Accounts, die für berufliche Aufgaben wie das Schreiben von E-Mails, die Zusammenfassung von Dokumenten oder die Analyse von Kundendaten genutzt werden.

Der Begriff ist angelehnt an das bekannte Konzept der „Shadow IT“ – also den Einsatz nicht genehmigter Software und Hardware. Im Unterschied zu herkömmlicher Shadow IT können KI-Tools jedoch aktiv sensible Daten verarbeiten und dauerhaft in externe Modelle einfließen lassen. Das macht Shadow AI zu einer besonders kritischen Variante des Problems.

Wie weit ist Shadow AI in deutschen Unternehmen verbreitet?

Die Zahlen sind eindeutig: Laut einer Studie der Software AG nutzen 54 Prozent der Wissensarbeiter*innen in Deutschland KI-Systeme ohne offizielle Genehmigung. Weltweit kommen in kleinen Unternehmen durchschnittlich 269 nicht genehmigte KI-Tools pro 1.000 Mitarbeitende zum Einsatz.

Besonders alarmierend ist dabei der Umgang mit vertraulichen Informationen: 38 Prozent der Mitarbeitenden teilen sensible Unternehmensdaten mit KI-Plattformen außerhalb jeder Unternehmenskontrolle. Dazu gehören Kundendaten, Vertragsunterlagen, Strategiepapiere und Finanzdaten.

Kurz gesagt: Shadow AI ist kein Randphänomen. Es ist in den meisten Unternehmen längst Normalzustand – ob man davon weiß oder nicht.

Welche Risiken entstehen durch Shadow AI im Unternehmen?

1. DSGVO-Verstöße und Datenschutzhaftung

Sobald Mitarbeiter*innen personenbezogene Daten in ein öffentliches KI-Tool eingeben, verlassen diese Daten potenziell den EU-Rechtsraum. Das ist ein Verstoß gegen die DSGVO – und kann mit Bußgeldern von bis zu 4 Prozent des weltweiten Jahresumsatzes bestraft werden. Darüber hinaus drohen Schadensersatzansprüche betroffener Personen.

2. EU AI Act: Pflichten für Unternehmen seit Februar 2025

Der EU AI Act ist seit Februar 2025 in zentralen Teilen anwendbar. Er verpflichtet Unternehmen zu einem risikobasierten KI-Inventar: Alle im Betrieb genutzten KI-Systeme müssen bekannt, bewertet und dokumentiert sein. Wer den Überblick verliert – etwa weil Mitarbeiter*innen unkontrolliert externe Tools nutzen –, verstößt gegen diese Transparenzpflicht.

Außerdem gilt seit Februar 2025 die KI-Kompetenz-Pflicht nach Art. 4 EU AI Act: Alle Mitarbeiter*innen, die mit KI-Systemen arbeiten, müssen nachweislich geschult sein. Wer diesen Nachweis nicht erbringen kann, riskiert Bußgelder und zunehmend auch Einschränkungen im Cyberversicherungsschutz.

3. Verlust von geistigem Eigentum

Angebote, Produktentwicklungen und Strategiepapiere – alles, was Mitarbeiter*innen in ein öffentliches KI-Tool eingeben, kann das Unternehmen dauerhaft verlassen. Viele kostenlose KI-Dienste trainieren ihre Modelle standardmäßig mit Nutzereingaben – sofern dies nicht aktiv deaktiviert wird. Das Ergebnis: Wettbewerbsrelevantes Wissen wandert ab, ohne dass irgendjemand im Unternehmen es bemerkt.

4. Haftungsrisiko für die Geschäftsführung

Inhalte, die mit nicht genehmigten KI-Tools erstellt werden, können rechtlich dem Unternehmen zugerechnet werden – etwa bei Angeboten, Verträgen oder Kundenkommunikation. Gleichzeitig übernimmt kein KI-Anbieter Haftung für Fehler in unautorisierten Einsatzbereichen. Im Schadensfall haftet damit im Zweifel die Geschäftsführung persönlich.

5. Finanzielle Schäden durch Datenpannen

Laut IBMs Bericht „2025 Cost of a Data Breach“ kosten Sicherheitsvorfälle im Zusammenhang mit Shadow AI durchschnittlich 4,63 Millionen US-Dollar – rund 670.000 Dollar mehr als bei herkömmlicher Datenpannen. Für KMU kann ein einziger solcher Vorfall existenzbedrohend sein.

Wie KMU Shadow AI wirksam in den Griff bekommen

Verbote funktionieren nicht. Das zeigen Erfahrungen aus der Praxis immer wieder: Wer KI-Tools sperrt, ohne Alternativen anzubieten, erzwingt lediglich kreativere Umwege. Das Risiko steigt, anstatt zu sinken.

Erfolgreicher ist ein dreiteiliger Ansatz:

• Erstens: Sichtbarkeit schaffen.
  Ein offener Workshop-Austausch im Team zeigt in der Regel schnell, welche Tools bereits genutzt werden – und baut keine Fronten auf.
• Zweitens: Klare Spielregeln definieren.
  Eine praxisnahe KI-Nutzungsrichtlinie legt fest, welche Tools erlaubt sind, für welche Zwecke sie genutzt werden dürfen und welche Daten unter keinen Umständen eingegeben werden dürfen.
• Drittens – und entscheidend: Mitarbeiter*innen schulen.
  Wer versteht, warum bestimmte Daten nicht in öffentliche KI-Tools gehören, hält sich daran. Wer es einfach verboten bekommt, sucht einen Weg drumherum.

Shadow AI sicher managen: Schulungsangebote der procado Akademie

Genau für diese Herausforderung hat die procado Akademie passgenaue Formate entwickelt – flexibel, nachweisbar und direkt auf die KI-Kompetenz-Pflicht abgestimmt:

• E-Learning Informationssicherheit
  Elf kompakte Module zu Cyber-Risiken, sicherer Datennutzung, Passwortsicherheit und mehr. Ortsunabhängig, mit Zertifikatsnachweis – ideal für den Nachweis der KI-Kompetenzpflicht nach Art. 4 EU AI Act. Die Module sind in unter 20 Minuten pro Einheit absolvierbar und setzen keine IT-Vorkenntnisse voraus.
• Webinare Informationssicherheit
  Für alle, die lieber in der Gruppe lernen und direkt Fragen stellen möchten. Die Webinare greifen aktuelle Themen wie den EU AI Act und sicheren KI-Einsatz im Unternehmensalltag auf.
• Präsenzschulungen
  Maßgeschneiderte Inhalte für euer Team – auf Wunsch auch direkt in eurem Unternehmen. Besonders geeignet, wenn ihr spezifische Tools oder interne Richtlinien direkt in die Schulung einbinden möchtet.

Zusätzlich beraten wir euch im Bereich Datenschutz & Künstliche Intelligenz damit ihr nicht nur compliant seid, sondern KI auch strategisch sinnvoll nutzen könnt. Und falls ihr euren gesamten IT-Sicherheitsstatus prüfen möchtet, hilft unser Managed Security-Team weiter.

Fazit: Shadow AI ist lösbar – wenn ihr jetzt handelt

Shadow AI ist kein Zeichen dafür, dass Mitarbeiter*innen leichtsinnig sind. Es ist ein Zeichen dafür, dass sie produktiver sein wollen – und das ist gut so. Eure Aufgabe als Unternehmen ist es, diesen Antrieb in sichere Bahnen zu lenken: mit klaren Richtlinien, genehmigten Tools und nachweislich geschulten Menschen.

Wer das jetzt angeht, ist doppelt im Vorteil – sicherer und produktiver als der Wettbewerb.

Ihr wollt wissen, wo ihr gerade steht? Meldet euch – wir schauen’s uns gemeinsam an.
⟶ Jetzt unverbindlich Kontakt aufnehmen

FAQ: Shadow AI im Unternehmen

Weitere Links und Hinweise

• E-Learning Informationssicherheit | procado Akademie
• Webinare Informationssicherheit | procado Akademie
• Datenschutz & Künstliche Intelligenz | procado Beratung
• Managed Security | procado MSP
• EU AI Act – Offizieller Rahmen der EU-Kommission (externer Link)

← zurück zum Blog