Was ist Schatten-KI?
Schatten-KI ist der KI-Fall von Schatten-IT: Beschäftigte lösen eine Aufgabe mit einem Werkzeug, das im Unternehmen niemand ausgewählt, geprüft oder vertraglich abgesichert hat. Meistens ohne böse Absicht und fast immer aus dem naheliegendsten Grund der Welt: Es geht schneller. Typisch ist der private Zugang im Gratis-Tarif, aufgerufen auf dem Firmengerät oder auf dem eigenen Telefon, mit echten Kundendaten im Eingabefeld.
Der Schaden entsteht nicht durch die Nutzung, sondern durch die fehlende Zuordnung. Ohne Freigabe gibt es keinen Auftragsverarbeitungsvertrag, also fehlt für personenbezogene Daten die rechtliche Grundlage. Ohne Erfassung weiß niemand, welche Inhalte das Haus verlassen haben, wie lange sie beim Anbieter liegen und ob ein Mensch sie liest. Und ohne Kenntnis der eingesetzten Werkzeuge lässt sich auch die Kompetenzpflicht aus Artikel 4 der KI-Verordnung nicht erfüllen, die seit dem 2. Februar 2025 für jeden Betreiber gilt.
Die wirksame Antwort ist nicht das Verbot. Ein Verbot verlagert die Nutzung auf das private Gerät und macht sie unsichtbar, statt sie zu beenden. Wirksam ist die Kombination aus einem freigegebenen Werkzeug, das gut genug ist, einer `Datenklassifizierung`, die sagt, was hineindarf, und einer benannten Person, bei der neue Werkzeuge gemeldet werden. Wer Schatten-KI messen will, fragt nicht nach Verstößen, sondern nach Aufgaben: Welche Arbeit war zuletzt so dringend, dass jemand sie ohne freigegebenes Werkzeug erledigt hat.
Warum ist Schatten-KI wichtig?
Der Verizon Data Breach Investigations Report 2026 misst, dass 67 Prozent derjenigen, die auf einem Firmengerät auf KI-Dienste zugreifen, dafür ein privates Konto benutzen, und dass Schatten-KI dort inzwischen die dritthäufigste nicht böswillige Insider-Handlung in den Datenabfluss-Daten ist, eine Vervierfachung binnen eines Jahres. Der häufigste hochgeladene Inhalt ist Quellcode. Das Problem ist also nicht selten und betrifft ausgerechnet das, was ein Unternehmen am wenigsten teilen will.
Schatten-KI in der Praxis
- 01Angebot unter Zeitdruck: Eine Kalkulation samt Kundennamen wird in einen Gratis-Chat kopiert, um daraus schnell einen Text zu machen. Der Vorgang ist nirgends erfasst, der Anbieter hat keinen Vertrag mit dem Unternehmen.
- 02Übersetzung nebenbei: Ein Vertragsentwurf geht durch ein kostenloses Übersetzungswerkzeug, weil die freigegebene Lösung die Datei nicht annimmt. Das Werkzeug wurde nie geprüft und speichert nach eigenen Angaben Eingaben zur Verbesserung des Dienstes.
- 03Assistent im Browser: Eine Erweiterung fasst Seiten und E-Mails zusammen und liest dafür alles mit, was im Fenster steht. Installiert hat sie eine Person, gemerkt hat es niemand.
