Schatten-KI im Unternehmen

Was Schat­ten-KI von klas­si­scher Schat­ten-IT unter­schei­det #

Klas­si­sche Schat­ten-IT (ein nicht geneh­mig­tes SaaS-Tool, ein pri­va­ter Drop­box-Account) war ein Daten­trans­fer-Pro­blem. Der Scha­den war begrenzt: Daten wur­den ver­scho­ben oder kopiert, aber nicht ausgelegt.

Schat­ten-KI ist ein Offen­le­gungs­pro­blem ande­rer Größenordnung.

Prompts sind kom­pri­mier­te Betriebs­ge­heim­nis­se. Eine ein­zi­ge Anfra­ge an eine Cloud-KI kann mehr über lau­fen­de Pro­jek­te, Stra­te­gien und inter­ne Struk­tu­ren preis­ge­ben als mona­te­lan­ges Mit­le­sen des Inter­net-Traf­fics. Der Prompt ent­hält den Kon­text: wel­che Ver­trags­part­ner gera­de ver­han­deln, wel­ches Pro­jekt in wel­chem Sta­di­um läuft, wel­che Schwach­stel­le in wel­chem Pro­dukt beho­ben wer­den soll. Die Ant­wort ent­hält die Reak­ti­on des Unter­neh­mens darauf.

Trai­nings­da­ten-Risi­ko ist real, aber es ist das klei­ne­re Pro­blem. Bekann­te Diens­te nut­zen unter­neh­mens­ge­ne­rier­te Prompts laut ihren AGB in der Regel nicht für das Trai­ning ihrer Model­le, jeden­falls bei Unter­neh­mens­kon­ten mit ent­spre­chen­den Ein­stel­lun­gen. Schwe­rer wiegt der Spei­cher­ort: Die Daten lie­gen auf Ser­vern, die dem US CLOUD Act unter­lie­gen. Der ver­pflich­tet Anbie­ter, Daten aus ihrer Ver­fü­gungs­ge­walt her­aus­zu­ge­ben, unab­hän­gig davon, wo die­se Daten phy­sisch gespei­chert sind, und ohne dass das betrof­fe­ne Unter­neh­men davon erfährt. Hin­zu kommt die Über­wa­chungs­be­fug­nis nach FISA Sec­tion 702, deren Ver­län­ge­rung im US-Kon­gress 2026 ver­han­delt wird und deren bereits erteil­te Zer­ti­fi­zie­run­gen nach Ein­schät­zung des Brennan Cen­ter bis in das Jahr 2027 weiterlaufen.

Der EU AI Act erzeugt Doku­men­ta­ti­ons­pflich­ten. Unter­neh­men müs­sen nach­wei­sen kön­nen, wel­che KI-Sys­te­me sie ein­set­zen, wel­che Daten dort ver­ar­bei­tet wer­den und wie Risi­ken kon­trol­liert wer­den. Schat­ten-KI-Nut­zung ist per Defi­ni­ti­on nicht doku­men­tiert und damit nicht nach­weis­bar. Bei einer Prü­fung wird dar­aus ein hand­fes­tes Problem.

Seit dem 2. August 2026 ist der EU AI Act in der Durch­set­zung. An die­sem Tag sind die Trans­pa­renz­pflich­ten nach Arti­kel 50 wirk­sam gewor­den, zusam­men mit den Regeln zu Durch­set­zung und Sank­tio­nie­rung. Wer KI-gene­rier­te Inhal­te ein­setzt, muss sie kenn­zeich­nen, und Ver­stö­ße sind seit­her belangbar.

Par­al­lel dazu hat der Digi­tal Omni­bus, Ver­ord­nung (EU) ²⁰²⁶⁄₁₇₄₄, die Fris­ten für Hoch­ri­si­ko-Sys­te­me nach hin­ten ver­scho­ben: Anhang III auf den 2. Dezem­ber 2027, in regu­lier­te Pro­duk­te ein­ge­bet­te­te Sys­te­me nach Anhang I auf den 2. August 2028. Dar­aus lässt sich aller­dings kei­ne Ruhe­pau­se ablei­ten. Die Pflicht, Pro­to­kol­le und Doku­men­ta­ti­on vor­zu­hal­ten, knüpft an die Nut­zung an. Am Stich­tag der Hoch­ri­si­ko-Ein­stu­fung hängt sie nicht. Wer heu­te Prompts in ein nicht geprüf­tes Chat­fens­ter gibt, pro­du­ziert genau die Lücke, die spä­ter nie­mand mehr schlie­ßen kann.

War­um Ver­bo­te nicht funk­tio­nie­ren #

Die intui­ti­ve Reak­ti­on auf Schat­ten-KI ist ein Ver­bot. ChatGPT gesperrt, pri­va­te Accounts unter­sagt, Schu­lung ​„KI-Nut­zung ist unzu­läs­sig“ für alle Mit­ar­bei­ter. Das Ergeb­nis ist vorhersehbar.

Ers­tens: Mit­ar­bei­ter, die pro­duk­ti­ve KI-Tools ken­nen und täg­lich nut­zen, machen das wei­ter, vor­sich­ti­ger, aber nicht weni­ger. Die Nut­zung geht in den Unter­grund, die Mel­dungs­be­reit­schaft sinkt gegen null.

Zwei­tens: Unter­neh­men, die ihre Mit­ar­bei­ter nicht mit einer geprüf­ten KI-Alter­na­ti­ve ver­sor­gen, ver­lie­ren die Chan­ce, einen Pro­duk­ti­vi­täts­vor­teil intern zu struk­tu­rie­ren. Laut McK­in­sey (Super­agen­cy in the Work­place, 2025) spa­ren regel­mä­ßi­ge KI-Nut­zer durch­schnitt­lich rund 5,4 Pro­zent ihrer Wochen­ar­beits­zeit. Wer die­se Stun­den nicht intern nutzt, schaut zu, wie Wett­be­wer­ber es tun.

Drit­tens: Ver­bo­te ohne Alter­na­ti­ve ver­schie­ben das Pro­blem an eine Stel­le, die nie­mand beob­ach­tet. Ein CISO unter­schreibt ein ChatGPT-Ver­bot, und zwei Wochen spä­ter läuft das­sel­be über einen Dienst, den nie­mand auf dem Radar hatte.

Ein Neben­ef­fekt, der oft über­se­hen wird: Die Kom­pe­tenz­pflicht aus Arti­kel 4 EU AI Act erfasst jede Per­son, die im Auf­trag des Unter­neh­mens mit KI-Sys­te­men arbei­tet. Sie greift damit auch dort, wo das Unter­neh­men von der Nut­zung nichts weiß.

Woher Schat­ten-KI kommt: Kein geprüf­tes Ange­bot für sen­si­ble Daten #

Schat­ten-KI ent­steht aus Prag­ma­tis­mus. Mit­ar­bei­ter haben eine ech­te Auf­ga­be, ein effek­ti­ves Werk­zeug und kei­ne geneh­mig­te Alter­na­ti­ve dafür. Sie ent­schei­den sich für das Werkzeug.

Com­pli­ance-Ver­ant­wort­li­che kom­men wei­ter, wenn sie die Fra­ge anders stel­len: Für wel­che Daten­klas­sen haben wir noch kei­ne geprüf­te KI bereitgestellt?

In den meis­ten Unter­neh­men gibt es drei Kategorien.

Klas­se A, unkri­ti­sche Daten und all­ge­mei­ne Auf­ga­ben. Über­set­zun­gen, Zusam­men­fas­sun­gen öffent­li­cher Tex­te, Bild- und Video­be­ar­bei­tung, all­ge­mei­ne Recher­ché. Hier sind Cloud-KIs oft die bes­se­re Wahl. Vie­le Unter­neh­men haben für die­se Kate­go­rie bereits eine Lösung (Micro­soft 365 Copi­lot, geneh­mig­tes ChatGPT-Unter­neh­mens­kon­to) oder könn­ten eine einrichten.

Klas­se B, inter­ne, nicht regu­lier­te Unter­neh­mens­da­ten. Inter­ne Wiki-Inhal­te, Pro­zess­do­ku­men­ta­tio­nen, Mee­ting­no­ti­zen, nicht regu­lier­te Pro­jek­te. Für die­se Kate­go­rie fehlt häu­fig eine geprüf­te Lösung. Cloud-KIs wären zu ris­kant, ein eige­nes Sys­tem noch nicht aufgebaut.

Klas­se C, sen­si­ble, regu­lier­te oder ver­trau­li­che Daten. Ver­trags­un­ter­la­gen, Per­so­nal­ak­ten, Pati­en­ten­da­ten, Kon­struk­ti­ons­da­ten, Finanz­da­ten unter DORA- und BaFin-Auf­sicht, Behör­den­vor­gän­ge. Hier schei­det Cloud-KI struk­tu­rell aus. Eine lokal betrie­be­ne RAG-Lösung hält Prompt und Ant­wort im eige­nen Haus und setzt die bestehen­den Berech­ti­gun­gen durch. Das sind die bei­den Eigen­schaf­ten, an denen Cloud-Archi­tek­tu­ren für die­se Daten­klas­se scheitern.

Was kon­kret hilft #

Schritt 1: Daten­klas­sen defi­nie­ren, nicht KI-Tools verbieten. Erstel­len Sie eine Klas­si­fi­ka­ti­on, wel­che Daten in wel­chen KI-Sys­te­men ver­ar­bei­tet wer­den dür­fen. Klas­se A kann in Cloud-KI, Klas­se B nur in geneh­mig­ten inter­nen Sys­te­men, Klas­se C aus­schließ­lich in einer lokal betrie­be­nen Lösung.

Schritt 2: Für jede Klas­se eine geneh­mig­te Alter­na­ti­ve bereitstellen. Ein Ver­bot ohne Alter­na­ti­ve für Klas­se B und C ist wir­kungs­los. Der Roll­out einer loka­len KI-Lösung für sen­si­ble Daten gibt Mit­ar­bei­tern eine lega­le und pro­duk­ti­ve Opti­on und macht Schat­ten-KI für die­se Daten struk­tu­rell unattraktiver.

Schritt 3: Ver­ar­bei­tungs­ver­zeich­nis und KI-Richt­li­nie vervollständigen. Der EU AI Act ver­pflich­tet Unter­neh­men, KI-Nut­zung zu doku­men­tie­ren. Eine voll­stän­di­ge Daten­klas­sen-Poli­cy und ein Ein­trag im Ver­ar­bei­tungs­ver­zeich­nis für jede genutz­te KI-Lösung sind Pflicht.

Schritt 4: Arti­kel 4 EU AI Act umsetzen. Seit dem 2. Febru­ar 2025 müs­sen Anbie­ter und Betrei­ber von KI-Sys­te­men ​„nach bes­ten Kräf­ten ein aus­rei­chen­des Maß an KI-Kom­pe­tenz“ bei ihrem Per­so­nal sicher­stel­len. Das ist eine Bemü­hungs­pflicht, kein Zer­ti­fi­kat: For­ma­le Zer­ti­fi­zie­run­gen sind aus­drück­lich nicht vor­ge­schrie­ben. Was zählt, sind doku­men­tier­te Maß­nah­men, die im Prüf­fall vor­lie­gen. Die Pflicht erfasst neben eige­nen Beschäf­tig­ten auch Auf­trag­neh­mer und Dienst­leis­ter. Nie­mand muss Prompt Engi­nee­ring beherr­schen, aber jeder muss ver­ste­hen, wel­che Daten er in wel­che KI ein­ge­ben darf und war­um. Durch­setz­bar ist die Pflicht seit dem 2. August 2025, der Buß­geld­rah­men reicht bis 15 Mil­lio­nen Euro oder 3 Pro­zent des welt­wei­ten Jahresumsatzes.

Schritt 5: Regel­mä­ßi­ge Amnestie-Umfragen. Schat­ten-KI-Nut­zung lässt sich nur durch anony­mi­sier­te Mit­ar­bei­ter-Umfra­gen mit expli­zi­tem Straf-Aus­schluss mes­sen. Wer weiß, wie weit die Nut­zung tat­säch­lich geht, kann sie struk­tu­riert adres­sie­ren. Wer nur das mel­det, was er weiß, reagiert immer zu spät.

Schat­ten-KI-Risi­ken im Über­blick #

Häu­fi­ge Fra­gen #

Kann ich Schat­ten-KI-Nut­zung tech­nisch unterbinden? Voll­stän­dig nicht. Mit­ar­bei­ter mit Mobil­ge­rä­ten oder pri­va­ten Rech­nern kön­nen im Home­of­fice wei­ter­hin pri­va­te KI nut­zen. Netz­werk-Sper­ren auf Unter­neh­mens­ge­rä­ten sen­ken die Schwel­le, eli­mi­nie­ren das Pro­blem aber nicht. Wirk­sam ist die geprüf­te Alternative.

Gilt der EU AI Act auch für Schatten-KI-Nutzung? Ja. Unter­neh­men haf­ten für den KI-Ein­satz ihrer Mit­ar­bei­ter, auch wenn die­ser ohne Geneh­mi­gung erfolgt. Die Ver­ant­wor­tung für ein KI-Sys­tem liegt beim Betrei­ber. Seit dem 2. August 2026 sind Ver­stö­ße durch­setz­bar und sanktionierbar.

Wie erken­ne ich, ob in mei­nem Unter­neh­men Schat­ten-KI genutzt wird? Netz­werk-Moni­to­ring kann bekann­te KI-Diens­te sicht­bar machen. Anony­mi­sier­te Mit­ar­bei­ter­be­fra­gun­gen lie­fern ver­läss­li­che­re Zah­len, weil sie auch die Nut­zung auf pri­va­ten Gerä­ten erfas­sen. Als indi­rek­te Indi­ka­to­ren tau­gen Doku­men­te mit KI-typi­schen For­mu­lie­run­gen und unge­wöhn­li­che Zugriffs­mus­ter auf Unternehmensdateien.

Was ist mit Micro­soft Copi­lot, ist das kei­ne Lösung? Copi­lot ist für Micro­soft-Daten eine Opti­on, mit zwei Ein­schrän­kun­gen. Ers­tens unter­liegt auch Copi­lot dem US CLOUD Act. Zwei­tens gibt Copi­lot Inhal­te ent­spre­chend den vor­han­de­nen Share­Point-Berech­ti­gun­gen aus. Wo die­se Berech­ti­gun­gen nicht sau­ber gepflegt sind, kann ein Nut­zer über Copi­lot Inhal­te zu sehen bekom­men, die er selbst nicht öff­nen dürf­te. Für regu­lier­te Daten und eine voll­stän­di­ge Rech­te-Durch­set­zung ist eine lokal betrie­be­ne Lösung die pas­sen­de­re Architektur.

Fazit #

Schat­ten-KI lässt sich nicht durch Ver­bo­te lösen. Voll­stän­dig eli­mi­nie­ren lässt sie sich auch nicht. Solan­ge Cloud-KI für all­ge­mei­ne Auf­ga­ben legi­tim und nütz­lich ist, wer­den Beschäf­tig­te sie nutzen.

Die Auf­ga­be für Com­pli­ance- und IT-Ver­ant­wort­li­che liegt woan­ders: Daten­klas­sen defi­nie­ren und für jede Klas­se ein geprüf­tes Ange­bot bereit­stel­len. Doku­men­tiert ist die Nut­zung dann von selbst.

Für sen­si­ble, regu­lier­te und ver­trau­li­che Daten führt der Weg über eine lokal betrie­be­ne RAG-Lösung, die Prompt und Ant­wort im Haus hält und die bestehen­den Berech­ti­gun­gen durchsetzt.

Silent AI anse­hen · Demo anfra­gen