Business Skills Academy: 48 Module für Ihre Mitarbeiterschulungen, sofort verfügbar als Add-On zum elearnio LMS.
Jetzt kostenlos lesen
Eine Vertriebsmitarbeiterin lässt ein Angebot schnell von ChatGPT umformulieren, ein Teamleiter fasst die Notizen aus den Jahresgesprächen mit einem kostenlosen KI-Tool zusammen. Beides passiert über private Accounts, und im Unternehmen weiß niemand davon. Genau das ist Schatten-KI: KI-Tools, die Mitarbeitende beruflich nutzen, ohne dass das Unternehmen sie kennt oder freigegeben hat. Die Risiken liegen vor allem bei den Daten, die dabei das Haus verlassen, und bei Pflichten aus DSGVO und EU AI Act, die Sie für unbekannte Tools kaum erfüllen können.
Dieser Ratgeber erklärt, was hinter Schatten-KI steckt, wie verbreitet sie in deutschen Unternehmen ist, welche Risiken sie birgt und wie Sie sie in 5 Schritten in den Griff bekommen.
Schatten-KI, englisch “Shadow AI”, bezeichnet den Einsatz von KI-Anwendungen am Arbeitsplatz ohne Wissen oder Freigabe des Unternehmens. Meist geht es um frei verfügbare Chatbots, Übersetzungs- oder Schreibtools, die Mitarbeitende mit einem privaten Account oder auf dem eigenen Smartphone nutzen. Der Begriff lehnt sich an Schatten-IT an, also Software und Geräte, die ohne Freigabe der IT-Abteilung im Einsatz sind.
Typische Situationen im Arbeitsalltag sind:
Heikel wird das, weil das Unternehmen weder weiß, welche Daten in die Tools gelangen, noch welche Regeln der Anbieter für diese Daten hat.
Schatten-KI nimmt zu. Laut einer repräsentativen Umfrage des Digitalverbands Bitkom unter 604 Unternehmen ab 20 Beschäftigten, veröffentlicht im Oktober 2025, gehen 42 Prozent der Unternehmen davon aus, dass ihre Mitarbeitende private KI-Tools für die Arbeit nutzen. Der Anteil der Unternehmen, in denen das weit verbreitet ist, hat sich gegenüber 2024 von 4 auf 8 Prozent verdoppelt.
| Aussage der befragten Unternehmen | 2025 | 2024 |
|---|---|---|
| Private KI-Nutzung ist weit verbreitet | 8 % | 4 % |
| Private KI-Nutzung kommt in Einzelfällen vor | 17 % | 13 % |
| Nutzung wird vermutet, ist aber nicht sicher | 17 % | 17 % |
| Sicher keine private KI-Nutzung | 29 % | 37 % |
| Es gibt Regeln für den KI-Einsatz | 23 % | 15 % |
Gleichzeitig stellt nur etwa jedes 4. Unternehmen (26 Prozent) seinen Beschäftigten einen eigenen KI-Zugang bereit. Bitkom-Präsident Ralf Wintergerst rät deshalb, klare Regeln für den KI-Einsatz aufzustellen und den Beschäftigten KI-Technologien zur Verfügung zu stellen.
Die Risiken betreffen vor allem den Datenschutz, vertrauliche Informationen, die Qualität der Ergebnisse und die Pflichten aus dem EU AI Act. Allen gemeinsam ist: Was Sie nicht kennen, können Sie nicht steuern.
Sobald personenbezogene Daten in einem Prompt landen, etwa der Name einer Kundin oder Angaben aus einer Bewerbung, gilt die DSGVO. Nach Artikel 5 Absatz 2 DSGVO muss das verantwortliche Unternehmen nachweisen können, dass es die Grundsätze der Datenverarbeitung einhält. Für Tools, von denen es nichts weiß, gelingt dieser Nachweis nicht. In der Regel fehlt zudem ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO mit dem Anbieter.
Fließen personenbezogene Daten unkontrolliert an einen fremden Anbieter, kann das eine meldepflichtige Datenschutzverletzung sein. Nach Artikel 33 DSGVO muss das Unternehmen sie innerhalb von 72 Stunden der Aufsichtsbehörde melden, es sei denn, sie führt voraussichtlich zu keinem Risiko für die Betroffenen. Wer von der Schatten-KI im eigenen Haus nichts weiß, kann solche Datenschutzverletzungen weder erkennen noch fristgerecht melden.
Neben personenbezogenen Daten landen oft Geschäftsgeheimnisse in den Tools, zum Beispiel Preise, Vertragsentwürfe oder interne Strategiepapiere. Ob ein Anbieter Eingaben für das Training seiner KI nutzt, hängt vom Tool und von den Kontoeinstellungen ab. Die Datenschutzkonferenz (DSK), das Gremium der deutschen Datenschutzaufsichtsbehörden, rät, genau das vor dem Einsatz zu prüfen undprüfen, und hält Systeme ohne Trainingsnutzung für vorzugswürdig. Bei einem privaten Account entscheidet über diese Einstellung allein die einzelne Person.
KI-Systeme können falsche Inhalte erfinden. Gibt es keine Regel, dass Mitarbeitende Ergebnisse vor der Weiterverwendung prüfen, landen fehlerhafte Zahlen oder Aussagen ungefiltert in Angeboten, Verträgen oder in der Kommunikation mit Kund:innen.
Der EU AI Act nimmt in Artikel 3 Nummer 4 nur die Nutzung im Rahmen einer persönlichen, nicht beruflichen Tätigkeit aus. Laut EU-Kommission ist ein Unternehmen bereits Betreiber eines KI-Systems, wenn Mitarbeitende Tools wie ChatGPT beruflich einsetzen, etwa für Werbetexte oder Übersetzungen. Als Betreiber muss es nach Artikel 4 Maßnahmen ergreifen, die die KI-Kompetenz seines Personals fördern. Schatten-KI erschwert das, denn gezielt schulen können Sie nur zu Tools, von denen Sie wissen.
Besonders heikel ist der Personalbereich. KI-Systeme, die Bewerbungen sichten oder filtern, zählen nach Anhang III der KI-Verordnung zu den Hochrisiko-Systemen. Nach dem Digital Omnibus gelten die strengen Anforderungen für diese Systeme ab dem 2. Dezember 2027. Wer Bewerbungen mit einem privaten KI-Tool vorsortieren lässt, schafft einen solchen Fall, ohne dass das Unternehmen davon weiß.
Bitkom und DSK setzen auf dieselben Hebel: dienstliche KI-Tools, klare Regeln und geschulte Mitarbeitende. Aus der Orientierungshilfe der DSK zu KI und Datenschutz vom Mai 2024 lassen sich 5 Schritte ableiten.
Fragen Sie in den Abteilungen nach, welche KI-Tools wofür im Einsatz sind, auch mit privaten Accounts. Diese Bestandsaufnahme zeigt, welche Anwendungsfälle es gibt und wo Regeln am dringendsten fehlen.
Die DSK empfiehlt, dass Arbeitgeber:innen für die berufliche Nutzung von KI-Anwendungen Geräte und Accounts zur Verfügung stellen. Mitarbeitende solltensollen nicht eigenständig mit privaten Accounts und Geräten arbeiten. Wählen Sie Tools, die die Anwendungsfälle aus Schritt 1 abdecken, bei denen Sie die Trainingsnutzung ausschließen können und mit deren Anbieter Sie einen Auftragsverarbeitungsvertrag schließen.
Laut DSK sollten Unternehmen klare interne Weisungen erteilen und dokumentieren, ob, unter welchen Voraussetzungen und zu welchen Zwecken welche KI-Anwendungen eingesetzt werden dürfen. Eine KI-Richtlinie bündelt das: freigegebene Tools, Daten, die tabu sind, der Weg zur Freigabe neuer Tools und die Pflicht, Ergebnisse zu prüfen. Wie Sie dabei vorgehen, zeigt der Leitfaden KI-Richtlinie im Unternehmen erstellen. Gibt es einen Betriebsrat, kommt auch eine Betriebsvereinbarung in Frage.
Die DSK empfiehlt, Datenschutzbeauftragte stets einzubinden, wenn Entscheidungen über KI-Anwendungen anstehen. Prüfen Sie gemeinsam, ob für ein Tool eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO nötig ist. Laut DSK wird das beim KI-Einsatz vielfach der Fall sein.
Regeln wirken erst, wenn alle sie kennen. Die DSK rät, Mitarbeitende durch Schulungen, Leitfäden und Gespräche zu sensibilisieren, ob und wie sie KI-Anwendungen nutzen dürfen. Damit erfüllen Sie zugleich einen Teil der EU AI Act Schulungspflicht aus Artikel 4. Die EU-Kommission empfiehlt, solche Maßnahmen intern zu dokumentieren.
Viele Unternehmen halten Schulungen heute noch immer in einer Excel-Liste fest. Bei einer KI-Schulung für die ganze Belegschaft wird das schnell aufwendig: Neue Mitarbeitende müssen nachgetragen werden, und jede Änderung der Regeln bedeutet eine neue Runde. Ein Lernmanagementsystem mit Reporting für Pflichtunterweisungen weist Kurse nach Abteilung oder Rolle zu und dokumentiert Abschlüsse an einer Stelle.
Nein, ein Gesetz, das Schatten-KI ausdrücklich verbietet, gibt es nicht. Die Nutzung kann aber gegen die DSGVO verstoßen und zu Datenschutzverletzungen führen, etwa wenn personenbezogene Daten ohne Rechtsgrundlage oder Vertrag an einen KI-Anbieter gehen. Ihr Unternehmen kann außerdem interne Regeln aufstellen, die bestimmte Tools untersagen. Welche Folgen ein Verstoß dagegen hat, hängt vom Einzelfall ab.
Schatten-IT umfasst jede Software und Hardware, die ohne Freigabe der IT im Einsatz ist, etwa private Cloud-Speicher oder Messenger. Schatten-KI ist ein Teilbereich davon und meint KI-Anwendungen wie Chatbots oder Schreibtools. Die Besonderheit liegt in den Eingaben: Mitarbeitende kopieren oft ganze Texte, Dokumente oder Kund:innendaten in die Tools.
Nein, eine Sperre allein beseitigt den Bedarf nicht, denn Mitarbeitende können auf private Geräte ausweichen. Bitkom-Präsident Ralf Wintergerst rät, klare Regeln aufzustellen und Beschäftigten KI-Technologien bereitzustellen. Auch die DSK empfiehlt dienstliche Accounts und Geräte. Freigegebene Tools mit klaren Regeln kann Ihr Unternehmen steuern, private Accounts entziehen sich jeder Kontrolle.
Sinnvoll ist ein zweiteiliger Aufbau: ein Basiskurs zum Umgang mit KI für alle Mitarbeitenden und ein kurzes Modul zu den Regeln Ihres Unternehmens. Der Basiskurs erklärt Chancen und typische Risiken wie erfundene Inhalte. Das eigene Modul zeigt, welche Tools freigegeben sind und welche Daten tabu bleiben. Als E-Learning erreicht die Schulung alle Standorte gleichzeitig.
Am einfachsten mit einem Lernmanagementsystem, das Abschlüsse automatisch erfasst. Sie sehen jederzeit, wer welche Schulung wann abgeschlossen hat, und haben die Daten für eine Prüfung schnell beisammen. Eine Excel-Liste geht auch, Sie müssen sie aber bei jedem Personalwechsel und jedem neuen Kurs händisch pflegen.
Schatten-KI ist ein Baustein der KI-Compliance. Wie Datenschutz, EU AI Act und Schulungspflicht zusammenspielen, zeigt der Überblick KI-Compliance im Unternehmen.
Dienstliche Tools und eine KI-Richtlinie holen die KI-Nutzung aus dem Schatten, wirken aber nur, wenn alle Mitarbeitenden die Regeln kennen. Mit dem Lernmanagementsystem elearnio weisen Sie die Schulung zu Ihrer KI-Richtlinie gezielt nach Abteilung oder Rolle zu und sehen in den Berichten, wer sie abgeschlossen hat.
Für die Basisschulung enthält das zubuchbare Compliance Academy Add-On den Kurs „EU AI Act: Dos & Don’ts im Umgang mit KI“ und Kurse zum Datenschutz wie „Basiswissen DSGVO“, jeweils auf Deutsch und Englisch. Ihre eigenen Regeln bringen Sie mit dem integrierten Autorentool in ein kurzes Modul.
Jetzt Mitarbeitende zu KI schulen und die Kurse der Compliance Academy im Überblick ansehen.
Sie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Turnstile. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
