Schatten-KI: die ungeregelten KI-Werkzeuge, die Ihre Belegschaft längst nutzt

Schatten-KI ist die Nutzung von KI-Werkzeugen, die Ihr Unternehmen nicht freigegeben hat und von denen es oft nichts weiß. Es ist Schatten-IT mit stärkerem Motor.

Stellen Sie sich eine Marketingfachkraft vor, die einen Vertragsentwurf in einen kostenlosen Chatbot kopiert, um ihn zusammenfassen zu lassen. Eine Analystin, die Kundendaten durch eine Browser-Erweiterung schickt, um sie zu bereinigen. Einen Entwickler, der eigenen Code in einen Assistenten wirft, um ihn zu debuggen. Keiner dieser Menschen ist leichtsinnig. Sie lösen ein echtes Problem mit dem schnellsten Werkzeug zur Hand. Das Werkzeug steht nur zufällig außerhalb von allem, was Sie regeln.

Das ist der Kern. Schatten-KI kommt nicht über eine Beschaffungsentscheidung. Sie kommt als eine hilfreiche Abkürzung nach der anderen, und wenn jemand fragt „welche KI nutzen wir eigentlich?“, lautet die ehrliche Antwort „mehr, als wir benennen können“.

Wenn wir Führungskräfte schätzen lassen, wie viel Schatten-KI in ihrem Unternehmen läuft, raten sie fast immer zu niedrig. Die Umfragen erzählen etwas anderes.

In Branchenuntersuchungen aus 2025 und 2026 geben rund die Hälfte der Beschäftigten, in manchen Studien deutlich mehr, zu, KI-Werkzeuge zu nutzen, die ihr Arbeitgeber nie freigegeben hat. Zugleich hat nur etwa ein Drittel der Unternehmen einen festen Rahmen für AI Governance. Die Lücke zwischen Nutzung und Governance ist das Risiko.

Die Kosten sind nicht hypothetisch. IBM berichtet, dass Schatten-KI bei etwa jeder fünften Datenpanne eine Rolle spielte und die durchschnittlichen Kosten je Vorfall um Hunderttausende erhöhte. Ein großer Teil der Beschäftigten gibt zu, sensible Unternehmensdaten ohne Freigabe in KI-Werkzeuge einzugeben, und ein großer Teil dieser Werkzeuge speichert diese Daten an Orten, die das Unternehmen nicht sieht.

Es liegt nahe, Schatten-KI bei der Sicherheit oder bei der Personalabteilung abzulegen. Sie gehört zur Data Governance, denn der Schaden trifft Ihre Daten.

Jeder Prompt ist eine Datenübermittlung. Wenn eine Beschäftigte eine Tabelle mit Kundendaten in ein öffentliches Werkzeug kopiert, verlassen diese Daten Ihren Bereich, ohne dass irgendwo steht, dass sie ihn je verlassen haben. Sie können sie nicht verfolgen, nicht löschen und oft nicht sagen, wo sie liegen. Derselbe Handgriff kann die DSGVO verletzen, Ihre Pflichten nach dem AI Act untergraben und Geschäftsgeheimnisse preisgeben, alles auf einmal und alles unsichtbar.

Drei Gefährdungen kehren wieder:

• Datenabfluss. Sensible Daten landen in Werkzeugen, die sie an unbekannten Orten speichern oder mit ihnen trainieren können.
• Blinde Flecken in der Compliance. Sie können AI Governance oder die Compliance mit der DSGVO nicht für Systeme belegen, von deren Existenz Sie nichts wissen. Die erste Frage einer Prüfung, „zeigen Sie mir Ihr Verzeichnis der KI“, hat dann keine gute Antwort.
• Verlorene Lineage. Entscheidungen fallen auf Grundlage von KI-Ausgaben, die niemand zu einer Quelle zurückverfolgen kann, was das Vertrauen genau in die Arbeit untergräbt, die das Werkzeug beschleunigen sollte.

Der Reflex ist das Verbot. Domains sperren, ein strenges Rundschreiben verfassen, weitermachen. Das wirkt nicht, und meist macht es die Sache schlimmer.

Ein Verbot nimmt den Druck nicht weg, der Schatten-KI hervorgebracht hat. Die Frist ist weiterhin morgen, der Chatbot antwortet weiterhin in Sekunden, und die oder der Beschäftigte hat weiterhin eine Aufgabe zu erledigen. Also hört die Nutzung nicht auf, sie rückt weiter aus dem Blick, auf private Geräte und private Konten, wo Sie null Einblick haben. Sie tauschen ein messbares Problem gegen ein unmessbares.

Menschen greifen zu Schatten-KI, weil der freigegebene Weg langsamer ist oder gar nicht existiert. Die Antwort ist, den sicheren Weg zum einfachen zu machen.

Schatten-KI ans Licht zu holen ist eine Schleife, kein einmaliges Durchgreifen. Vier Schritte, wiederholt.

1. Entdecken. Finden Sie heraus, welche KI-Werkzeuge tatsächlich genutzt werden und welche Daten sie berühren. Sie können nicht regeln, was Sie nicht benannt haben, also beginnen Sie mit einem ehrlichen Verzeichnis statt mit einer Annahme.

2. Einstufen. Bewerten Sie Daten und Risiko. Ein Werkzeug, das öffentliche Marketingtexte zusammenfasst, ist nicht dasselbe wie eines, das Kundendaten aufnimmt. Verknüpfen Sie jede Nutzung mit einer Datenklassifizierung, damit die Antwort verhältnismäßig ausfällt.

3. Ermöglichen. Bieten Sie geregelte, freigegebene Alternativen und eine klare, brauchbare Richtlinie. Diesen Schritt überspringen die meisten Programme, und er ist der, der das Verhalten wirklich ändert. Geben Sie den Menschen eine sichere Möglichkeit, die so bequem ist wie die unsichere.

4. Beobachten. Behandeln Sie das als Dauerauftrag. Jeden Monat erscheinen neue Werkzeuge. Ein stehendes Verzeichnis mit klarer Verantwortung verhindert, dass das Entdecken zur jährlichen Hauruck-Aktion wird.

Zur Richtlinienseite dieser Schleife beschreibt unser Beitrag zu sicher geregelter KI, was eine brauchbare interne KI-Richtlinie enthält und wie sie zum AI Act und zur DSGVO passt.

Schatten-KI ist ein Problem der Sichtbarkeit, und Sichtbarkeit ist genau das, was ein geregeltes Datenfundament gibt.

Der Data Catalog wird zum Verzeichnis Ihrer Datenbestände und der Systeme, die sie berühren, also der Ort, an dem aus dem Entdecken ein lebendes Protokoll wird statt einer Tabelle, die über Nacht altert. Datenklassifizierung und Zugriffsverwaltung lassen Sie festlegen, welche Daten wohin dürfen, sodass die Regeln an den Beständen hängen und nicht an guten Vorsätzen. Die Interactive Data Lineage zeigt, wohin Daten fließen, und das ist genau die Spur, die Schatten-KI auslöscht.

Vor allem aber hilft Dawiso, die geregelte Alternative anzubieten. Der Context Layer und die Unterstützung für das Model Context Protocol (MCP) geben Ihren Teams KI, die auf vertrauenswürdigem fachlichem Kontext mit geregeltem Zugriff ruht, also einen freigegebenen Weg, der wirklich nützt und kein langsamerer Ersatz ist. So machen Sie die sichere Möglichkeit zur einfachen.

Schatten-KI verschwindet nicht; der Zug zur Produktivität dahinter ist zu stark. Die Unternehmen, die gewinnen, sind nicht die, die sie verbieten. Es sind die, die sie sehen, regeln und ihren Leuten etwas Besseres geben.