Schatten-KI — einfach erklärt

Was ist Schatten-KI?

Schatten-KI beschreibt den Einsatz von KI-Werkzeugen durch Mitarbeitende, der an der Geschäftsführung oder IT-Abteilung vorbeiläuft. Jemand tippt schnell eine Kundenanfrage in ein öffentliches Chat-Tool, lässt sich eine Vertragsklausel umformulieren oder wirft interne Zahlen in eine KI, um eine Zusammenfassung zu bekommen — ohne dass dafür eine Freigabe existiert oder jemand davon weiß.

Der Begriff ist an „Schatten-IT” angelehnt, also Software und Dienste, die neben den offiziell freigegebenen Systemen genutzt werden. Bei Schatten-KI kommt eine zusätzliche Schwierigkeit dazu: Die eingegebenen Daten verlassen das Unternehmen und landen bei einem externen Anbieter, dessen Umgang mit diesen Informationen oft unklar bleibt.

Wie entsteht Schatten-KI im Betrieb?

1. Fehlende Alternative — Es gibt keine freigegebene KI-Lösung im Unternehmen, obwohl der Bedarf da ist. Mitarbeitende greifen dann zu dem, was sie privat schon kennen.
2. Zeitdruck — Eine KI liefert in Sekunden, was sonst Minuten oder Stunden dauert. Unter Druck wird selten hinterfragt, wohin die eingegebenen Daten gehen.
3. Fehlendes Bewusstsein — Vielen Mitarbeitenden ist schlicht nicht klar, dass eine Kundenliste oder ein interner Vertrag in einem öffentlichen KI-Tool nichts zu suchen hat.
4. Keine klaren Regeln — Ohne dokumentierte Vorgaben, welche Tools erlaubt sind und welche Daten dort nicht hineingehören, entscheidet am Ende jeder für sich.

Worauf KMU achten sollten

1. Nicht mit Verboten allein arbeiten — Ein reines Verbot verlagert die Nutzung nur ins Verborgene und schafft keine Kontrolle zurück.
2. Klare Regeln aufstellen — Schriftlich festhalten, welche KI-Werkzeuge genutzt werden dürfen und welche Daten dort keinesfalls eingegeben werden (Kundendaten, Verträge, Personaldaten, Geschäftszahlen).
3. Freigegebene Alternative anbieten — Wenn ein Unternehmen selbst eine geprüfte KI-Lösung bereitstellt, sinkt der Anreiz, auf private Tools auszuweichen.
4. Mitarbeitende schulen statt beschuldigen — In den meisten Fällen will niemand bewusst ein Risiko eingehen, es fehlt schlicht das Wissen um die Konsequenzen. Eine kurze, verständliche Schulung wirkt oft mehr als jede Regel auf Papier.
5. DSGVO im Blick behalten — Sobald personenbezogene Daten in ein KI-Tool eingegeben werden, stellt sich sofort die Frage nach Auftragsverarbeitung, Serverstandort und Löschfristen.

Schatten-KI in der Praxis

Ein typisches Bild: In der Buchhaltung soll eine Mahnung freundlicher formuliert werden. Die Mitarbeiterin kopiert kurzerhand den kompletten Text samt Kundenname, Rechnungsnummer und offenem Betrag in ein öffentliches KI-Tool, um sich eine bessere Formulierung vorschlagen zu lassen. Die neue Formulierung ist gut — nur ist der komplette Datensatz jetzt bei einem Anbieter gelandet, mit dem das Unternehmen nie einen Vertrag über die Verarbeitung dieser Daten geschlossen hat. Niemand hat böswillig gehandelt, aber genau so entstehen Datenabflüsse, die im Ernstfall schwer nachzuvollziehen sind.

Der wirksamere Weg ist selten das Verbot, sondern eine bewusste Entscheidung: welche KI-Werkzeuge im Betrieb offiziell genutzt werden dürfen, welche Daten dabei tabu sind und wie Mitarbeitende geschult werden, damit sie diese Grenze im Alltag auch kennen. Bei der KI-Beratung von LNIT klären wir genau das gemeinsam mit Ihnen — bevor aus gut gemeinter Eigeninitiative ein Datenschutzproblem wird.