--- title: "Schatten-KI: das Risiko, das Sie nicht sehen | Dawiso Blog" description: "Schatten-KI, also nicht freigegebene KI-Werkzeuge im Team, treibt Datenabfluss und Lücken in der Compliance. So finden, messen und regeln Sie sie ohne Verbot." url: "https://www.dawiso.com/de/blog-post/shadow-ai-enterprise-risk" language: "de" --- # Schatten-KI: die ungeregelten KI-Werkzeuge, die Ihre Belegschaft längst nutzt Petr Mikeska CEO & Co-Founder \4. Juni 2026 Hier eine unbequeme Wette: KI läuft in Ihrem Unternehmen längst auf Wegen, die Sie nicht freigegeben haben und nicht sehen können. Nicht weil jemand in böser Absicht handelt, sondern weil ein Chatbot schneller ist als ein Ticket. Das ist Schatten-KI, und sie gehört heute zu den größten ungeregelten Risiken, die die meisten Unternehmen tragen. ## Was Schatten-KI ist Schatten-KI ist die Nutzung von KI-Werkzeugen, die Ihr Unternehmen nicht freigegeben hat und von denen es oft nichts weiß. Es ist Schatten-IT mit stärkerem Motor. Stellen Sie sich eine Marketingfachkraft vor, die einen Vertragsentwurf in einen kostenlosen Chatbot kopiert, um ihn zusammenfassen zu lassen. Eine Analystin, die Kundendaten durch eine Browser-Erweiterung schickt, um sie zu bereinigen. Einen Entwickler, der eigenen Code in einen Assistenten wirft, um ihn zu debuggen. Keiner dieser Menschen ist leichtsinnig. Sie **lösen ein echtes Problem mit dem schnellsten Werkzeug zur Hand**. Das Werkzeug steht nur zufällig außerhalb von allem, was Sie regeln. Das ist der Kern. Schatten-KI kommt nicht über eine Beschaffungsentscheidung. Sie kommt als eine hilfreiche Abkürzung nach der anderen, und wenn jemand fragt „welche KI nutzen wir eigentlich?“, lautet die ehrliche Antwort „mehr, als wir benennen können“. ## Das Ausmaß: größer, als die IT denkt Wenn wir Führungskräfte schätzen lassen, wie viel Schatten-KI in ihrem Unternehmen läuft, raten sie fast immer zu niedrig. Die Umfragen erzählen etwas anderes. In Branchenuntersuchungen aus 2025 und 2026 geben **rund die Hälfte der Beschäftigten, in manchen Studien deutlich mehr, zu, KI-Werkzeuge zu nutzen, die ihr Arbeitgeber nie freigegeben hat**. Zugleich hat nur etwa ein Drittel der Unternehmen einen festen Rahmen für AI Governance. Die Lücke zwischen Nutzung und Governance ist das Risiko. Die Kosten sind nicht hypothetisch. IBM berichtet, dass **Schatten-KI bei etwa jeder fünften Datenpanne eine Rolle spielte** und die durchschnittlichen Kosten je Vorfall um Hunderttausende erhöhte. Ein großer Teil der Beschäftigten gibt zu, sensible Unternehmensdaten ohne Freigabe in KI-Werkzeuge einzugeben, und ein großer Teil dieser Werkzeuge speichert diese Daten an Orten, die das Unternehmen nicht sieht. ## Warum Schatten-KI ein Datenproblem ist Es liegt nahe, Schatten-KI bei der Sicherheit oder bei der Personalabteilung abzulegen. Sie gehört zur Data Governance, denn der Schaden trifft Ihre Daten. Jeder Prompt ist eine Datenübermittlung. Wenn eine Beschäftigte eine Tabelle mit Kundendaten in ein öffentliches Werkzeug kopiert, **verlassen diese Daten Ihren Bereich, ohne dass irgendwo steht, dass sie ihn je verlassen haben**. Sie können sie nicht verfolgen, nicht löschen und oft nicht sagen, wo sie liegen. Derselbe Handgriff kann die DSGVO verletzen, Ihre Pflichten nach dem AI Act untergraben und Geschäftsgeheimnisse preisgeben, alles auf einmal und alles unsichtbar. Drei Gefährdungen kehren wieder: - **Datenabfluss.** Sensible Daten landen in Werkzeugen, die sie an unbekannten Orten speichern oder mit ihnen trainieren können. - **Blinde Flecken in der Compliance.** Sie können [AI Governance](https://www.dawiso.com/de/glossary/ai-governance) oder die Compliance mit der DSGVO nicht für Systeme belegen, von deren Existenz Sie nichts wissen. Die erste Frage einer Prüfung, „zeigen Sie mir Ihr Verzeichnis der KI“, hat dann keine gute Antwort. - **Verlorene Lineage.** Entscheidungen fallen auf Grundlage von KI-Ausgaben, die niemand zu einer Quelle zurückverfolgen kann, was das Vertrauen genau in die Arbeit untergräbt, die das Werkzeug beschleunigen sollte. **Jeder Prompt ist eine Datenübermittlung. Schatten-KI bedeutet, dass Daten Ihr Unternehmen verlassen, ohne dass irgendwo steht, dass sie es je verlassen haben.** ## Warum ein Verbot nicht wirkt Der Reflex ist das Verbot. Domains sperren, ein strenges Rundschreiben verfassen, weitermachen. Das wirkt nicht, und meist macht es die Sache schlimmer. Ein Verbot nimmt den Druck nicht weg, der Schatten-KI hervorgebracht hat. Die Frist ist weiterhin morgen, der Chatbot antwortet weiterhin in Sekunden, und die oder der Beschäftigte hat weiterhin eine Aufgabe zu erledigen. Also hört die Nutzung nicht auf, sie **rückt weiter aus dem Blick**, auf private Geräte und private Konten, wo Sie null Einblick haben. Sie tauschen ein messbares Problem gegen ein unmessbares. Menschen greifen zu Schatten-KI, weil der freigegebene Weg langsamer ist oder gar nicht existiert. Die Antwort ist, den sicheren Weg zum einfachen zu machen. „Menschen wählen Schatten-KI nicht, um Regeln zu brechen. Sie wählen sie, weil sie schneller ist als die Alternative, die Sie ihnen gegeben haben.“ ## Vom Schatten zur Governance Schatten-KI ans Licht zu holen ist eine Schleife, kein einmaliges Durchgreifen. Vier Schritte, wiederholt. **1. Entdecken.** Finden Sie heraus, welche KI-Werkzeuge tatsächlich genutzt werden und welche Daten sie berühren. Sie können nicht regeln, was Sie nicht benannt haben, also beginnen Sie mit einem ehrlichen Verzeichnis statt mit einer Annahme. **2. Einstufen.** Bewerten Sie Daten und Risiko. Ein Werkzeug, das öffentliche Marketingtexte zusammenfasst, ist nicht dasselbe wie eines, das Kundendaten aufnimmt. Verknüpfen Sie jede Nutzung mit einer Datenklassifizierung, damit die Antwort verhältnismäßig ausfällt. **3. Ermöglichen.** Bieten Sie geregelte, freigegebene Alternativen und eine klare, brauchbare Richtlinie. Diesen Schritt überspringen die meisten Programme, und er ist der, der das Verhalten wirklich ändert. Geben Sie den Menschen eine sichere Möglichkeit, die so bequem ist wie die unsichere. **4. Beobachten.** Behandeln Sie das als Dauerauftrag. Jeden Monat erscheinen neue Werkzeuge. Ein stehendes Verzeichnis mit klarer Verantwortung verhindert, dass das Entdecken zur jährlichen Hauruck-Aktion wird. Zur Richtlinienseite dieser Schleife beschreibt unser Beitrag zu [sicher geregelter KI](https://www.dawiso.com/de/blog-post/are-you-governing-ai-safely), was eine brauchbare interne KI-Richtlinie enthält und wie sie zum AI Act und zur DSGVO passt. ## Wo Dawiso hineinpasst Schatten-KI ist ein Problem der Sichtbarkeit, und Sichtbarkeit ist genau das, was ein geregeltes Datenfundament gibt. Der [Data Catalog](https://www.dawiso.com/de/product/data-catalog) wird zum Verzeichnis Ihrer Datenbestände und der Systeme, die sie berühren, also der Ort, an dem aus dem Entdecken ein lebendes Protokoll wird statt einer Tabelle, die über Nacht altert. Datenklassifizierung und [Zugriffsverwaltung](https://www.dawiso.com/de/glossary/data-access-management) lassen Sie festlegen, welche Daten wohin dürfen, sodass die Regeln an den Beständen hängen und nicht an guten Vorsätzen. Die [Interactive Data Lineage](https://www.dawiso.com/de/product/interactive-data-lineage) zeigt, wohin Daten fließen, und das ist genau die Spur, die Schatten-KI auslöscht. Vor allem aber hilft Dawiso, die geregelte Alternative anzubieten. Der [Context Layer](https://www.dawiso.com/de/context-layer) und die Unterstützung für das [Model Context Protocol (MCP)](https://www.dawiso.com/de/product/mcp) geben Ihren Teams KI, die auf vertrauenswürdigem fachlichem Kontext mit geregeltem Zugriff ruht, also einen freigegebenen Weg, der wirklich nützt und kein langsamerer Ersatz ist. So machen Sie die sichere Möglichkeit zur einfachen. Schatten-KI verschwindet nicht; der Zug zur Produktivität dahinter ist zu stark. Die Unternehmen, die gewinnen, sind nicht die, die sie verbieten. Es sind die, die sie **sehen, regeln und ihren Leuten etwas Besseres geben**. ## FAQ **Was ist Schatten-KI?** Schatten-KI ist die Nutzung von KI-Werkzeugen und Diensten, die ein Unternehmen nicht freigegeben hat oder von denen es nichts weiß. Sie ist das Gegenstück zur Schatten-IT: Beschäftigte greifen zu einem öffentlichen Chatbot, einer Browser-Erweiterung oder einer KI-Funktion in einer anderen Anwendung, um schneller fertig zu werden, ohne dass das Werkzeug je eine Prüfung durch Sicherheit oder Governance durchlaufen hat. **Warum ist Schatten-KI ein Risiko?** Weil sensible Daten Ihren Bereich verlassen, ohne dass es irgendwo festgehalten wird. Beschäftigte fügen Kundendaten, Quellcode oder Strategiepapiere in Werkzeuge ein, die diese Eingaben an Orten speichern oder auf ihnen trainieren können, die Sie nicht steuern. Daraus entstehen Datenabfluss, Lücken in der Compliance mit der DSGVO und dem AI Act sowie urheberrechtliche Risiken, und nichts davon taucht in Ihrem Audit-Trail auf. **Wie verbreitet ist Schatten-KI?** Sehr. Branchenumfragen aus 2025 und 2026 schätzen, dass rund die Hälfte der Beschäftigten, in manchen Studien mehr, nicht freigegebene KI-Werkzeuge nutzt, während nur etwa ein Drittel der Unternehmen einen festen Rahmen für AI Governance hat. IBM hat außerdem berichtet, dass Schatten-KI bei etwa jeder fünften Datenpanne eine Rolle spielte und die durchschnittlichen Kosten um Hunderttausende erhöhte. **Sollten wir KI-Werkzeuge einfach verbieten?** Verbote wirken selten. Ein Verbot nimmt den Produktivitätsdruck nicht weg, der Schatten-KI hervorbringt; es schiebt die Nutzung weiter aus dem Blick. Der bessere Weg ist, geregelte, freigegebene Alternativen und eine klare Richtlinie anzubieten, damit Beschäftigte eine sichere Möglichkeit haben, die so bequem ist wie die nicht freigegebene. **Wie holen wir Schatten-KI ans Licht?** Folgen Sie einer einfachen Schleife: entdecken, welche KI-Werkzeuge und Daten tatsächlich im Einsatz sind, Daten und Risiko einstufen, geregelte Alternativen mit einer brauchbaren Richtlinie ermöglichen und fortlaufend beobachten. Ein geregelter Datenkatalog und klare Verantwortung machen aus einer einmaligen Bestandsaufnahme eine dauerhafte Fähigkeit. ### Inhalt Was Schatten-KI istDas Ausmaß: größer, als die IT denktWarum Schatten-KI ein Datenproblem istWarum ein Verbot nicht wirktVom Schatten zur GovernanceWo Dawiso hineinpasstFAQ ## Mehr zum Thema Lesen Sie weiter und tauchen Sie tiefer in unsere neuesten Beiträge zu Metadatenmanagement und mehr ein: ### [Regeln Sie KI sicher? AI Act, DSGVO, Urheberrecht und Ihre interne KI-Richtlinie](https://www.dawiso.com/de/blog-post/are-you-governing-ai-safely) KI sicher zu regeln heißt vier Dinge: Systeme nach dem AI Act einstufen, KI mit der DSGVO abstimmen, Urheberrecht klären, interne KI-Richtlinie festlegen. Weiterlesen ### [Der AI Omnibus: was sich im EU AI Act geändert hat und was das für Ihre KI-Strategie bedeutet](https://www.dawiso.com/de/blog-post/ai-omnibus-eu-ai-act-changes) Der AI Omnibus schiebt die Hochrisiko-Fristen des AI Act auf 2027 und 2028, ergänzt Verbote und vereinfacht die Compliance. Was das für Ihre KI-Strategie heißt. Weiterlesen ### [10 KI-Risiken im Unternehmen: die wichtigsten Gefahren und wie Sie sie steuern](https://www.dawiso.com/de/blog-post/10-ai-risks-in-the-enterprise-key-dangers-and-how-to-manage-them) KI bringt Chancen und eine neue Art von Unternehmensrisiko. Zehn Risiken, die jedes Führungsteam verstehen muss, bevor es KI in der gesamten Organisation ausbaut. Weiterlesen