KI-Tools wie ChatGPT, GitHub Copilot oder Notion AI erobern den Büroalltag – oft jedoch ohne Wissen oder Kontrolle der IT-Abteilungen. Diese Form der Schatten-IT birgt beträchtliche Risiken, aber auch ungenutzte Potenziale für Unternehmen. Zeit, das Spannungsfeld zwischen Innovation und Sicherheit zu beleuchten.
Was ist Schatten-IT mit KI – und warum ist sie ein Problem?
Der Begriff Schatten-IT beschreibt IT-Systeme oder Anwendungen, die von Mitarbeitenden unabhängig von der offiziellen IT-Freigabe eingesetzt werden. Im KI-Kontext bedeutet das: Tools wie ChatGPT, Midjourney, Copy.ai oder auch automatisierte Excel-Makros auf Basis von OpenAI werden genutzt, um Inhalte zu erstellen, Texte umzuschreiben oder E-Mails vorzuformulieren – ohne Compliance, Freigabe oder Monitoring.
Das Problem dabei: Diese Nutzung geschieht oft in einer rechtlichen und sicherheitstechnischen Grauzone. Die Unternehmen verlieren die Kontrolle über Datenflüsse, Zugriffsrechte und Datenschutzkonformität. Laut einer Studie von Cisco aus dem Jahr 2023 verwenden über 97 % der Unternehmen Schatten-IT-Services, im Schnitt etwa 1.083 nicht genehmigte Anwendungen pro Unternehmen (Quelle: Cisco Security Outcomes Report 2023). Der Anteil von KI-Tools darin wächst rapide – oft unbemerkt.
Treiber der unregulierten KI-Nutzung
Warum greifen Mitarbeitende auf inoffizielle KI-Tools zurück? Die Gründe sind vielfältig:
- Effizienzsteigerung: KI kann repetitive Aufgaben automatisieren, Texte schneller formulieren oder analysieren und bei Entscheidungen unterstützen – ohne Wartezeit auf interne Freigaben.
- Fehlende Alternativen: Unternehmen stellen oft keine offiziellen oder leistungsfähigen Tools bereit. Mitarbeitende suchen sich ihre Lösungen selbst.
- Unklarheit über Risiko: Vielen Nutzern ist nicht bewusst, dass sie personenbezogene Daten oder Geschäftsgeheimnisse an externe Plattformen senden – oft unverschlüsselt oder ohne DSGVO-Konformität.
Ein Beispiel: Ein Vertriebler nutzt ChatGPT, um E-Mail-Entwürfe für Kundenkommunikation zu generieren. Dabei lädt er echte Kundendaten hoch – die OpenAI-Server sind dabei der Empfänger. Ohne eine Data Processing Agreement (DPA) oder interne Kontrolle ist ein Datenschutzverstoß bereits erfolgt.
Rechtliche Risiken: Datenschutz, Urheberrecht & Nachhaltigkeit
Datenschutz: Laut Datenschutz-Grundverordnung (DSGVO) dürfen personenbezogene Daten nur zweckgebunden und unter vertraglich geregelten Bedingungen übermittelt werden. Viele KI-Dienste verarbeiten Daten in Nicht-EU-Rechenzentren, oft ohne ausreichend transparente Informationen zur Datenspeicherung oder Löschung.
Urheberrecht: Wer KI-basierte Tools nutzt, um Inhalte zu generieren, kopiert teilweise urheberrechtlich geschützte Werke, ohne es zu ahnen. Auch Werke, die mit generativer KI erstellt wurden, sind in puncto Urheberrecht juristisch umstritten. Unternehmen laufen Gefahr, künftig für Plagiate oder Rechteverstoßes haftbar gemacht zu werden.
Nachhaltigkeit & Energieverbrauch: Großmodelle wie GPT-4 benötigen enorme Rechenleistung. Eine einzige KI-Anfrage kann laut Schätzungen der University of California 4–5 Mal mehr Energie verbrauchen als eine traditionelle Online-Suchanfrage (Quelle: UC Riverside, 2023). Bei massenhaften Einsätzen durch Schatten-IT skaliert auch der ökologische Fußabdruck unkontrolliert.
Technische Gefahren durch unkontrollierten KI-Einsatz
Neben juristischen Risiken drohen auch sicherheitstechnische Angriffsflächen:
- Datenaustritte (Data Leakage): KI-Tools speichern Nutzereingaben temporär oder zur Verbesserung der Modelle. Vertrauliche Firmeninformationen könnten dadurch externen Zugriffen offenstehen.
- Einfallstore für Malware: Einige KI-Dienste erlauben Datei-Uploads (z. B. PDF-Analyse mit KI). Ist der Anbieter kompromittiert, könnten Schadsoftware oder Zero-Day-Exploits in Unternehmenssysteme getragen werden.
- Integrationsrisiken: Inoffizielle APIs oder Browser-Plugins, die auf KI-Dienste zugreifen, arbeiten oft mit unverschlüsselten oder nicht überprüften Tokens, die Dritten Zugriff auf interne Netzwerke ermöglichen.
Besonders kritisch ist dabei die mangelnde Sichtbarkeit: Die typische Unternehmenssecurity erkennt solche Schatten-Kanäle nicht, bis es zu spät ist.
Aufbau eines verantwortungsvollen KI-Governance-Modells
Angesichts der Dynamik braucht es ein robustes und gleichzeitig flexibles Regelwerk für den KI-Einsatz im Unternehmen. Das Ziel: Chancen der Technologie nutzen, ohne Kontrollverlust.
- Tools katalogisieren: Erfassen Sie alle eingesetzten KI-Anwendungen, ob offiziell oder inoffiziell, und kategorisieren Sie diese nach Datentyp, Risiko und Nutzungshäufigkeit.
- Richtlinien veröffentlichen: Legen Sie transparent fest, welche Tools, Datenarten und Nutzungsformen erlaubt sind – unter Mitwirkung von IT, Datenschutzbeauftragten und Fachabteilungen.
- Datenschutz und Sicherheit einbauen: Verwenden Sie geprüfte KI-Anbieter, die DSGVO-konform handeln, Audits anbieten und optionale Speicherverweigerung („no data retention“) erlauben.
Nur wer klare Grenzen definiert, ermöglicht eine sichere Nutzung – auch für motivierte Mitarbeitende mit Innovationsgeist.
Was erfolgreiche Unternehmen anders machen
Marktführer wie SAP, Adobe oder Siemens setzen bereits strukturierte „AI Usage Policies“ ein. Diese beinhalten:
- KI-Freigabelisten: Nur bestimmte, sicherheitsgeprüfte Tools dürfen verwendet werden – mit regelmäßigem Reviewprozess.
- Schulungen & Awareness-Kampagnen: Mitarbeitende lernen in praxisnahen Sessions den verantwortungsvollen Umgang mit generativer KI.
- Sandboxing-Umgebungen: Kreative Tests von KI-Integrationen dürfen in abgekapselten Umgebungen stattfinden – isoliert vom Produktivnetzwerk.
Die positive Wirkung zeigt sich: Unternehmen mit offiziellen KI-Richtlinien berichten laut einer Deloitte-Studie aus 2024 23 % höhere Mitarbeitereffizienz bei gleichzeitiger Wahrung von Compliance (Quelle: Deloitte AI Readiness Report 2024).
Regulatorische Entwicklungen im Blick
Mit dem geplanten EU AI Act entsteht derzeit ein regulatorischer Rahmen, der den Einsatz von KI in Unternehmen klar klassifizieren und begrenzen soll. Systeme werden dabei in Risikogruppen („minimal“, „hoch“, „nicht erlaubt“) eingeordnet. Für viele KI-Ausprägungen in der Schatten-IT könnten damit 2026 Einschränkungen oder Prüfpflichten entstehen. Unternehmen sollten sich jetzt vorbereiten.
Zudem fordern Wirtschaftsprüfer wie EY und KPMG bereits 2025 verpflichtende KI-Governance-Strukturen als Teil der internen Kontrollsysteme – insbesondere für börsennotierte Unternehmen. Die Schattennutzung von KI wird damit nicht nur ein Tech-, sondern auch ein Compliance- und Reputationsrisiko.
Fazit: KI-Schatten-IT erkennen und in Chancen verwandeln
Die Begeisterung für KI am Arbeitsplatz ist groß – und berechtigt. Doch ohne klare Spielregeln wird aus dem Innovationsmotor schnell eine Risikoquelle. Unternehmen sollten die Neugier ihrer Teams nicht unterbinden, sondern in strukturierte Bahnen lenken.
Mit klugen Richtlinien, technischer Kontrolle und offener Kommunikation können Organisationen aus Schatten-IT eine Smarte IT machen – sicher, DSGVO-konform und innovationsstark.
Welche Strategien verfolgen Sie, um KI-Nutzung im Unternehmen zu regulieren? Teilen Sie Ihre Erfahrungen und diskutieren Sie mit unserer Community!
