# Schatten-KI im Unternehmen erkennen und regeln > Schatten-KI bezeichnet KI-Werkzeuge, die Mitarbeitende ohne Freigabe des Unternehmens nutzen, meist über private Konten bei Chatbots wie ChatGPT. Unternehmen regeln sie am wirksamsten, indem sie die tatsächliche Nutzung erfassen, eine freigegebene Alternative bereitstellen und klare Regeln in einer KI-Richtlinie festlegen. Hey2Ai zeigt in diesem Ratgeber, woran du Schatten-KI erkennst und wie du sie in fünf Schritten in geordnete Bahnen lenkst. Quelle: https://hey2.ai/ratgeber/schatten-ki/ · Stand: 24.10.2026 · Hey2Ai, München ## Das Wichtigste in Kürze - Laut Bitkom nutzen Beschäftigte 2025 in 8 Prozent der Unternehmen private KI-Tools weit verbreitet, in 17 Prozent vereinzelt - Weitere 17 Prozent der Unternehmen vermuten private KI-Nutzung, ohne es sicher zu wissen - Nur 26 Prozent der Unternehmen stellen offiziellen Zugang zu generativer KI bereit - Die DSK empfiehlt betriebliche Accounts statt privater Konten - Verbote allein wirken selten, eine freigegebene Alternative schon ## Wie verbreitet Schatten-KI ist Schatten-KI ist in deutschen Unternehmen kein Randphänomen, sondern wächst. Nach einer Bitkom-Umfrage unter 604 Unternehmen ab 20 Beschäftigten aus dem Jahr 2025 ist die Nutzung privater KI-Tools in 8 Prozent der Unternehmen weit verbreitet (2024: 4 Prozent), in 17 Prozent gibt es Einzelfälle (2024: 13 Prozent). Weitere 17 Prozent wissen es nicht sicher, gehen aber davon aus. Gleichzeitig stellt laut derselben Umfrage erst ein Viertel der Unternehmen (26 Prozent) seinen Beschäftigten offiziell Zugang zu generativer KI bereit. Wo kein freigegebenes Werkzeug existiert, greifen Mitarbeitende zum eigenen Konto. Auch die Datenschutzkonferenz (DSK) geht in ihrer Orientierungshilfe davon aus, dass eine eigenmächtige und unkontrollierte Nutzung in vielen Unternehmen bereits Realität ist. ## Welche Risiken Schatten-KI verursacht ### Personenbezogene Daten verlassen das Unternehmen Mitarbeitende fügen Kundenmails, Verträge oder Mandantenunterlagen in einen privaten Chatbot ein. Für diese Übermittlung fehlen Rechtsgrundlage und Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. So lässt sich das lösen: Eine freigegebene KI-Umgebung, entweder der fertige KI-Workspace (laut Anbieter in der EU gehostet) oder eine eigene KI-Plattform auf Servern in Deutschland, jeweils mit Vertrag zur Auftragsverarbeitung. ### Geschäftsgeheimnisse werden offengelegt Kalkulationen, Angebote und interne Strategien landen bei Anbietern, mit denen das Unternehmen keinen Vertrag hat. Bei privaten Konten kann der Inhalt je nach Einstellung auch zum Training verwendet werden. So lässt sich das lösen: Klare Datenklassen in der KI-Richtlinie, die festlegen, welche Informationen in welches Werkzeug dürfen. ### Niemand kennt den Bestand Ohne Inventar lässt sich weder prüfen, ob ein Einsatz unter die Pflichten des EU AI Act fällt, noch nachweisen, welche Maßnahmen zur KI-Kompetenz getroffen wurden. So lässt sich das lösen: Eine strukturierte Bestandsaufnahme aller Werkzeuge und Agenten, etwa im Format des Agent Estate Review. ## Schatten-KI in fünf Schritten regeln 1. **Fragen** (Erkennen): Befrage die Abteilungen offen und ohne Sanktionsdrohung, welche KI-Werkzeuge sie wofür nutzen. Ehrliche Antworten sind wertvoller als ein Verbot. 2. **Erfassen** (Inventar): Ergänze die Befragung um technische Hinweise aus der IT, etwa aufgerufene KI-Dienste und Browser-Erweiterungen, und führe alles in einem KI-Inventar zusammen. 3. **Anbieten** (Alternative): Stelle ein freigegebenes Werkzeug mit betrieblichen Konten bereit. Die DSK empfiehlt, dass Arbeitgeber Geräte und Accounts zur Verfügung stellen. 4. **Regeln** (Richtlinie): Lege in einer KI-Richtlinie fest, welche Werkzeuge, Daten und Zwecke erlaubt sind und wer neue Anwendungen freigibt. 5. **Begleiten** (Schulung): Schule dein Team rollenbezogen und wiederhole die Bestandsaufnahme regelmäßig, damit neue Schatten-KI früh sichtbar wird. ## Warum Verbote allein nicht genügen Ein Verbot ohne Alternative verschiebt die Nutzung nur weiter in den Schatten. Mitarbeitende nutzen KI, weil sie Zeit spart. Wer diesen Nutzen in ein geprüftes Werkzeug überführt, gewinnt Kontrolle und Produktivität zugleich. Hey2Ai bietet dafür den fertigen [KI-Workspace](https://hey2.ai/ki-workspace/) oder eine [eigene KI-Plattform](https://hey2.ai/firmen-ki-chat/) als freigegebene Alternative zu privaten Konten. Für den Überblick über bestehende Agenten und Automatisierungen steht das [Agent Estate Review](https://hey2.ai/agent-estate-review/) bereit. Wie du die Regeln aufschreibst, erklärt der Ratgeber zur [KI-Richtlinie für Unternehmen](https://hey2.ai/ratgeber/ki-richtlinie-unternehmen/). ## Fragen zu Schatten-KI ### Was ist Schatten-KI? Schatten-KI sind KI-Werkzeuge, die Mitarbeitende ohne Wissen oder Freigabe des Unternehmens beruflich nutzen. Typisch sind private Konten bei Chatbots, Browser-Erweiterungen oder KI-Funktionen in nicht freigegebenen Apps. ### Wie finde ich heraus, ob Mitarbeitende privat ChatGPT nutzen? Am zuverlässigsten durch eine offene Befragung, ergänzt um technische Hinweise aus der IT. Kündige an, dass es um Bestandsaufnahme und nicht um Sanktionen geht, sonst bleibt die Nutzung verborgen. ### Ist Schatten-KI ein DSGVO-Verstoß? Sie kann einer werden, sobald personenbezogene Daten in ein nicht freigegebenes Werkzeug gelangen. Dann fehlen in der Regel Rechtsgrundlage und Auftragsverarbeitungsvertrag, und das Unternehmen bleibt als Verantwortlicher in der Pflicht. ### Soll ich private KI-Konten im Unternehmen verbieten? Ja, für dienstliche Aufgaben, aber nur zusammen mit einer freigegebenen Alternative. Die DSK empfiehlt, dass Arbeitgeber betriebliche Accounts bereitstellen, statt Beschäftigte auf private Konten zu verweisen. ### Haftet das Unternehmen für Schatten-KI seiner Mitarbeitenden? Für Datenschutzverstöße bei dienstlicher Datenverarbeitung bleibt in der Regel das Unternehmen als Verantwortlicher zuständig. Klare Regeln, Schulungen und ein freigegebenes Werkzeug senken dieses Risiko deutlich. Für die Bewertung im Einzelfall ziehe deine Datenschutzbeauftragten hinzu. ## Kostenlose Vorlagen Per E-Mail nach der Anmeldung zum Hey2Ai-Newsletter, als PDF und als Datei zum Bearbeiten: - Vorlage KI-Richtlinie (PDF und Word): Muster mit Werkzeugen, Datenklassen, erlaubten Zwecken, Prüfpflicht, Freigabe und Zuständigkeit, zum Ausfüllen. - Vorlage KI-Inventar (PDF und Excel): Alle KI-Werkzeuge, Agenten und Automatisierungen auf einen Blick, mit Ausfüllhilfe und Spalten für Rolle und Risikoklasse. ## Quellen - [Bitkom, Presseinformation „Beschäftigte nutzen vermehrt Schatten-KI“, 21. Oktober 2025](https://www.bitkom.org/Presse/Presseinformation/Beschaeftigte-nutzen-Schatten-KI) - [DSK, Orientierungshilfe „Künstliche Intelligenz und Datenschutz“, Version 1.0, 6. Mai 2024](https://www.datenschutzkonferenz-online.de/media/oh/20240506_DSK_Orientierungshilfe_KI_und_Datenschutz.pdf) - [Verordnung (EU) 2016/679 (DSGVO), EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679) - [OpenAI Help Center, Data Controls in ChatGPT](https://help.openai.com/en/articles/7730893-data-controls-faq) - [Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689) ## Kontakt Kostenlose KI-Analyse (30 Minuten): https://cal.com/hey2ai-ki-check/termin · E-Mail: info@hey2.ai