Viele mittelständische Unternehmen glauben, sie hätten mit künstlicher Intelligenz noch nichts zu tun. Die Realität der sogenannten „Schatten-KI“ sieht anders aus und genau das ist das Problem.
„Wir nutzen keine KI“ – ein Satz, der selten stimmt
In vielen Gesprächen mit Geschäftsführern fällt früh derselbe Satz: „KI haben wir bei uns nicht eingeführt.“ Gemeint ist: Wir haben kein Tool ausgerollt, keine Schulung gemacht, keine Entscheidung getroffen.
Was dabei übersehen wird: Eine fehlende Einführung verhindert die Nutzung von KI nicht. Sie kann vielmehr dazu führen, dass KI ohne gemeinsamen Rahmen eingesetzt wird.
Denn viele Mitarbeitende warten nicht auf eine offizielle Einführung, wenn ein frei verfügbares Werkzeug ihre Arbeit erleichtert.
Sie möchten wissen, ob Schatten-KI auch bei Ihnen ein Thema sein könnte? → Zum Schnelltest
Was Schatten-KI im Alltag bedeutet
Schatten-KI ist kein Hackerangriff und kein Spezialfall. Sie entsteht aus ganz alltäglichen Situationen:
- Eine Mitarbeiterin lässt sich eine lange E-Mail schnell zusammenfassen.
- Ein Kollege strukturiert ein Protokoll mit einem kostenlosen Online-Tool.
- Jemand fotografiert ein Dokument ab und lädt es hoch, um eine Tabelle daraus zu machen.
Nicht selten über private Geräte oder frei zugängliche Online-Tools. Oft mit einem Tool, das niemand freigegeben hat. Und in diesen Fällen meist ohne eine Regel, welche Daten dabei das Unternehmen verlassen dürfen.
Dass dieser Umgang mit KI längst Alltag ist, zeigen aktuelle Zahlen. Laut Bitkom setzen inzwischen 41 Prozent der Unternehmen ab 20 Beschäftigten KI aktiv ein – ein Jahr zuvor waren es erst 17 Prozent. Weitere 48 Prozent planen oder diskutieren den Einsatz. Die Technik ist also in kurzer Zeit in den Unternehmen angekommen. Die Frage ist nur, ob sie gesteuert wird oder nicht.
Warum ein Verbot das Problem verschärft
Die naheliegende Reaktion vieler Führungskräfte ist ein Verbot: „Dann untersagen wir die Nutzung eben.“
Das klingt nach Kontrolle, bewirkt aber oft das Gegenteil. Ein Verbot ohne praktikable Alternative verlagert die Nutzung nur ins Unsichtbare. Die Nutzung hört dadurch häufig nicht auf, sie wird nur weniger sichtbar.
Und wo die Führung schweigt, entstehen informelle Regeln. Jeder entscheidet selbst, was erlaubt ist und was nicht. Genau so wächst der Bereich, den niemand mehr überblickt.
Die Risiken: Worauf Sie schauen sollten
Schatten-KI ist kein abstraktes Schreckgespenst. Aber sie bringt konkrete Risiken mit sich, die sich in vier Bereichen zeigen:
- Datenabfluss. Unternehmensinterne Informationen gelangen in Tools, deren Verarbeitung niemand geprüft hat. Was mit diesen Daten geschieht, bleibt offen.
- Fehlende Nachvollziehbarkeit. Wenn niemand weiß, wo KI im Unternehmen genutzt wird, lässt sich auch nicht beurteilen, ob Ergebnisse verlässlich sind.
- Abhängigkeit von Einzelpersonen. Das Wissen, welches Tool wofür genutzt wird, steckt in einzelnen Köpfen – nicht in einem gemeinsamen Verständnis.
- Vertrauen. Kunden und Partner erwarten einen sorgfältigen Umgang mit ihren Daten. Schatten-KI stellt genau das infrage.
Dass Unternehmen diese Risiken durchaus ernst nehmen, zeigt sich an anderer Stelle: Datenschutz gilt laut Bitkom für 77 Prozent der Unternehmen als größte Hürde der Digitalisierung. Das Bewusstsein ist also da. Was häufig fehlt, ist die Steuerung der Nutzung, die im Betrieb längst stattfindet. Genau in dieser Lücke entsteht Schatten-KI.
Ein konkreter Termin kommt hinzu
Der AI Act macht das Thema zusätzlich konkret. Seit dem 2. Februar 2025 gibt es Vorgaben zur KI-Kompetenz. Unternehmen, die KI-Systeme anbieten oder einsetzen, müssen sich darum kümmern, dass die Menschen, die damit arbeiten, ausreichend wissen und verstehen, wie sie diese Systeme sinnvoll und sicher nutzen. Was dafür konkret notwendig ist, hängt unter anderem vom jeweiligen Einsatz und den vorhandenen Kenntnissen ab.
Ab dem 2. August 2026 gelten weitere Transparenzpflichten für bestimmte KI-Systeme und Inhalte. Dazu können beispielsweise Kennzeichnungspflichten für Deepfakes oder bestimmte KI-generierte Texte zu Angelegenheiten von öffentlichem Interesse gehören. Welche Anforderungen konkret greifen, hängt von der Art des Systems, seiner Nutzung und dem jeweiligen Inhalt ab.
Daraus folgt ein praktisches Problem: Wer nicht weiß, wo und wie KI im eigenen Betrieb eingesetzt wird, kann nur schwer beurteilen, welche Anforderungen überhaupt relevant sind. Ob und in welcher Form Ihr Unternehmen betroffen ist, lässt sich deshalb nicht pauschal beantworten.
Welche rechtlichen Anforderungen im konkreten Fall gelten, sollte bei Bedarf fachjuristisch geprüft werden.
Die bessere Frage
Der entscheidende Schritt ist ein Wechsel der Perspektive.
Viele Unternehmen fragen zunächst: „Wie verhindern wir, dass unsere Mitarbeitenden KI nutzen?“ Dahinter stehen berechtigte Sorgen um Daten, Qualität und Kontrolle. Ein pauschales Verbot schafft jedoch noch keine Transparenz darüber, wo KI möglicherweise bereits eingesetzt wird.
Die hilfreichere Frage lautet deshalb: „Wie schaffen wir einen Rahmen, in dem KI sicher, nachvollziehbar und dort genutzt werden kann, wo sie tatsächlich sinnvoll ist?“
Dafür muss ein Unternehmen zunächst verstehen, was im Arbeitsalltag bereits passiert. Erst dann lässt sich entscheiden, welche Nutzung akzeptabel ist, wo klare Grenzen notwendig sind und welche Anwendungsfälle einen echten Nutzen bringen können.
Der Unterschied ist groß: Statt KI entweder zu ignorieren oder pauschal zu untersagen, wird der Umgang damit bewusst gestaltet. Genau dadurch verliert Schatten-KI ihren Schatten.
Was ein Rahmen leisten muss
Ein solcher Rahmen muss keine 30-seitige Richtlinie sein. Er muss aber ein paar grundlegende Fragen beantworten:
- Wofür nutzen wir KI – und wofür bewusst nicht?
- Welche Daten dürfen verarbeitet werden, welche nicht?
- Welche Tools sind freigegeben?
- Wer entscheidet das, und wer ist ansprechbar?
So weit die Fragen. Die Antworten lassen sich allerdings nicht aus einer Vorlage abschreiben. Sie hängen davon ab, wie Ihr Unternehmen arbeitet, welche Daten eine Rolle spielen und wo KI überhaupt sinnvoll ist.
Genau deshalb beginnt ein tragfähiger Rahmen nicht mit einem Tool und nicht mit einer Checkliste. Er beginnt mit einem ehrlichen Blick auf den Ist-Zustand – am besten gemeinsam und vor Ort.
Der KI-Schnelltest
Drei Fragen, eine ehrliche Antwort.
Augenzwinkernder KI-Schnelltest, der bewusst immer dasselbe Ergebnis liefert
Ihr Ergebnis: Dafür reichen drei Klicks nicht.
Überraschung: Ganz gleich, was Sie ausgewählt haben, dieser Schnellcheck kommt immer zum gleichen Ergebnis. Nicht, weil die Auswertung nicht funktioniert. Sondern weil sich der tatsächliche Umgang mit KI nicht aus drei Antworten ablesen lässt.
Entscheidend ist, was im Arbeitsalltag wirklich passiert: Welche Tools werden genutzt? Welche Daten werden eingegeben? Welche Regeln sind bekannt? Und wo bietet KI einen echten Nutzen?
Das hängt von Ihren Prozessen, Ihren Daten, den Verantwortlichkeiten und den Menschen im Unternehmen ab. Ein Fragebogen zeigt davon nur einen kleinen Ausschnitt.
Deshalb beginnt der sinnvolle nächste Schritt mit einem ehrlichen Blick auf den Ist-Zustand, nicht mit einem weiteren Tool.
Mit einem Augenzwinkern, weil drei Klicks keine belastbare Antwort ersetzen.
Wie es weitergeht
Schatten-KI verschwindet nicht, wenn man sie ignoriert. Sie wird nur schwerer zu überblicken.
Wie wir Unternehmen dabei unterstützen, tatsächliche KI-Nutzung sichtbar zu machen, sinnvolle Anwendungsfälle zu bewerten und einen realistischen nächsten Schritt festzulegen, erfahren Sie hier: → KI-Potenziale erkennen und priorisieren
Quellen: Bitkom, Pressemitteilung „Digitalisierung der Wirtschaft“ (11. März 2026); Verordnung (EU) 2024/1689 (EU AI Act), insbesondere Art. 4, 50 und 113.
Beitragsbild: KI-generiert (Symbolbild)