Insights
Schatten-KI-Inventur: In vier Schritten die KI-Nutzung im Unternehmen kontrollieren
Wer ChatGPT verbietet, bekommt dieselben Kundendaten auf privaten Smartphones, nur ohne Protokoll. Vier Schritte, mit denen Geschäftsführer die tatsächliche KI-Nutzung erfassen und in einen kontrollierten Zugang überführen.
Schatten-KI ist die unkontrollierte Nutzung von Diensten wie ChatGPT, Claude oder Gemini über private Konten auf Firmengeräten. Für Sie als Geschäftsführung ist sie ein Datenschutz- und Haftungsrisiko, das durch Verbote nicht verschwindet, sondern nur unsichtbar wird.
Dieser Beitrag beschreibt vier Schritte, mit denen Sie die tatsächliche KI-Nutzung in Ihrem Unternehmen erfassen und in einen kontrollierten Zugang überführen.
Warum Verbote Schatten-KI verschlimmern
Ein Verbot beendet die Nutzung nicht. Es verlagert sie. Ihre Mitarbeiter nutzen KI, weil sie ihnen Zeit spart, und daran ändert eine Anweisung nichts. Sie weichen auf private Geräte oder unauffällige Browserfenster aus, und Sie verlieren die letzte Sicht darauf. Ein Vertriebsmitarbeiter, der Angebote mit ChatGPT formuliert, nimmt nach dem Verbot sein privates Smartphone, mit denselben Kundendaten, aber ohne jede Protokollierung. Das Risiko bleibt gleich. Ihre Steuerungsmöglichkeit sinkt auf null.
Die rechtliche Dimension: KI-Kompetenzpflicht nach EU AI Act
Seit Februar 2025 verpflichtet der EU AI Act Unternehmen, für ausreichende KI-Kompetenz bei den Personen zu sorgen, die in ihrem Auftrag KI-Systeme nutzen. Diese Pflicht hängt nicht davon ab, ob die Nutzung offiziell erlaubt ist. Wenn ein Mitarbeiter mit einem privaten Konto sensible Daten verarbeitet und es zu einem Vorfall kommt, stellt sich die Frage nach der Verantwortung der Geschäftsführung, die von der Nutzung wusste oder hätte wissen müssen. Ein Verbot schützt nicht, wenn die Nutzung faktisch stattfindet. Was das im Einzelfall rechtlich bedeutet, klärt Ihre Datenschutz- oder Rechtsberatung; dieser Beitrag handelt davon, wie Sie die Nutzung überhaupt sichtbar machen.
Schritt 1: Die Inventur, so erfassen Sie die tatsächliche Nutzung
Die Inventur macht Schatten-KI sichtbar und läuft in vier Phasen: anonyme Umfrage, Netzwerkanalyse, Datenflussprüfung, vertrauliche Gespräche.
Eine anonyme Umfrage ist der schnellste Weg zu einem realistischen Bild. Fragen Sie konkret nach Diensten, Häufigkeit und Art der Daten, nicht allgemein nach „KI-Nutzung“. Ergänzend werten Sie Netzwerkprotokolle auf Zugriffe auf bekannte KI-Domains aus. Dann prüfen Sie, ob sensible Daten in Eingaben auftauchen, etwa durch Stichwortsuche in Proxy-Protokollen. Zum Schluss führen Sie vertrauliche Gespräche mit Schlüsselpersonen, um zu verstehen, warum die Nutzung stattfindet. In vielen Betrieben zeigt sich dabei, dass ein großer Teil der Belegschaft KI nutzt, ein erheblicher Anteil davon mit Kundendaten.
Schritt 2: Die Bewertung, welche Risiken und welchen Nutzen die Nutzung hat
Nach der Inventur bewerten Sie die gefundenen Nutzungsmuster nach Risiko und Nutzen. Das Ergebnis ist eine Prioritätenliste für Maßnahmen.
Hohes Risiko entsteht, wenn personenbezogene Daten, Geschäftsgeheimnisse oder vertraglich geschützte Informationen in externe Modelle gelangen. Hoher Nutzen zeigt sich dort, wo KI messbar Zeit spart, etwa bei Angebotserstellung oder Übersetzungen. Ein Logistikunternehmen stellte so fest, dass Mitarbeiter KI für die Tourenplanung nutzten: klarer Nutzen, unklare Datenlage. Die Bewertung ergab, dass diese Nutzung auf eine kontrollierte Plattform gehört, nicht auf die Verbotsliste.
Schritt 3: Die Lösung, ein offizieller Zugang, der besser ist als das Privatkonto
Die tragfähige Lösung ist ein eigener, offizieller KI-Zugang, der dem Privatkonto überlegen ist. Er muss drei Bedingungen erfüllen: mindestens so bequem wie ChatGPT, automatische Maskierung sensibler Daten, Protokollierung der Nutzung. Nur dann wird er von Mitarbeitern angenommen und von Ihnen kontrolliert.
Ein Finanzdienstleister führte einen solchen Zugang auf europäischer Infrastruktur ein. Die Akzeptanz war hoch, weil der Zugang interne Dokumente durchsuchen konnte, ein Vorteil, den kein Privatkonto bietet. Wie ein solcher Zugang technisch aufgebaut ist, beschreibt der Beitrag KI-Governance im Mittelstand: Datenflüsse kontrollieren.
Schritt 4: Die Kommunikation, so nehmen Sie Ihre Mitarbeiter mit
Die Einführung gelingt nur, wenn Sie den Nutzen für die Mitarbeiter in den Vordergrund stellen. Erklären Sie, warum der Zugang sicherer ist und was er zusätzlich kann, etwa Zugriff auf Firmenwissen. Schulen Sie nachweislich, damit die KI-Kompetenzpflicht erfüllt ist, und zwar an echten Aufgaben des jeweiligen Teams statt an Definitionen. Ein Handelsunternehmen kommunizierte den neuen Zugang als Arbeitserleichterung und bot freiwillige Schulungen an; die Nutzung wuchs innerhalb weniger Wochen auf den Großteil der Belegschaft.
Häufige Fragen zur Schatten-KI
Was ist Schatten-KI? Die Nutzung von KI-Diensten durch Mitarbeiter ohne Freigabe der IT, meist über private Konten auf Firmengeräten. Sie umgeht Sicherheits- und Datenschutzregeln, ohne dass jemand davon weiß.
Woran erkennen Sie Schatten-KI? An der Kombination aus anonymer Umfrage, Netzwerkprotokollen mit Zugriffen auf KI-Domains und der Prüfung von Datenflüssen auf sensible Inhalte. Gespräche mit Schlüsselpersonen ergänzen das Bild.
Wie lange dauert eine Inventur? Wenige Wochen, abhängig von Unternehmensgröße und Datenlage. Die Umfrage liefert die ersten Ergebnisse in Tagen; die Netzwerkanalyse braucht einen längeren Beobachtungszeitraum.
Der nächste Schritt: die Umfrage noch diese Woche
Setzen Sie die anonyme Umfrage aus Schritt 1 noch diese Woche auf, mit drei Fragen: Welche KI-Dienste nutzen Sie, wie oft, mit welchen Daten? Bringen Sie die Ergebnisse mit. In eine halbe Stunde sortieren wir gemeinsam, welche Nutzung sofort auf einen kontrollierten Zugang gehört und welche vorerst gesperrt bleiben sollte: Potenzial-Check buchen.