69 Prozent der Unternehmen wissen oder vermuten, dass ihre Mitarbeiter nicht genehmigte KI-Tools nutzen.
Das zeigt eine aktuelle Gartner-Studie, bei der 302 Cybersecurity-Führungskräfte befragt wurden. Fast sieben von zehn Unternehmen wissen es oder vermuten es – aber die meisten können es nicht nachvollziehen.
Das nennt sich Schatten-KI: Mitarbeiter nutzen KI-Tools außerhalb der offiziellen IT-Infrastruktur – meist über private Accounts, ohne Wissen der Geschäftsführung und IT-Abteilung. ChatGPT auf dem Smartphone. Claude im privaten Browser. Copilot über einen persönlichen Microsoft-Account.
Das Problem: Niemand weiß, welche Daten dabei wohin fließen. Niemand kann kontrollieren, was mit sensiblen Informationen passiert. Und niemand übernimmt Verantwortung – bis zum ersten Vorfall.
Das Problem ist nicht die KI
Deine Mitarbeiter nutzen KI-Tools nicht aus Böswilligkeit. Sie wollen ihre Arbeit besser machen – Texte schneller schreiben, Daten analysieren, E-Mails zusammenfassen, Code debuggen.
Das Problem ist die fehlende Governance. Und die daraus resultierende Unsichtbarkeit.
Unkontrollierter Datenabfluss: Viele KI-Tools speichern Eingaben auf Servern außerhalb der EU. Was mit diesen Daten geschieht, hängt von den Nutzungsbedingungen ab. Vertrauliche Informationen können so außerhalb der Kontrolle des Unternehmens landen.
DSGVO-Risiken: Private Accounts fehlen in der Regel Auftragsverarbeitungsverträge (Art. 28 DSGVO) und dokumentierte Schutzmaßnahmen (Art. 32 DSGVO). Werden personenbezogene Daten verarbeitet, entsteht ein DSGVO-Risiko.
Kostenwildwuchs: Einzelne Premium-Accounts summieren sich unbemerkt. Verschiedene Teams nutzen unterschiedliche Tools für dieselben Aufgaben – ohne dass jemand die Gesamtrechnung kennt.
Wissensverlust: Prompts, Workflows und Best Practices bleiben in privaten Accounts. Wenn der Mitarbeiter kündigt, verschwinden sie – statt dem Unternehmen zu nutzen.
Warum Verbote scheitern
Die naheliegende Reaktion vieler IT-Abteilungen: KI-Tools sperren.
Das funktioniert nicht.
KI ist zu einfach zugänglich. Dein Mitarbeiter öffnet ChatGPT auf dem privaten Smartphone, während der Firmenlaptop daneben liegt. Technische Sperren greifen ins Leere. Ein Verbot treibt die Nutzung in den Untergrund.
Und es zerstört etwas anderes: das Vertrauen.
Mitarbeiter nutzen KI nicht aus Rebellion. Sie nutzen sie, weil sie schneller arbeiten wollen, bessere Ergebnisse liefern möchten oder weil die offiziellen Tools zu langsam oder kompliziert sind. Ein pauschales Verbot ignoriert diese legitimen Bedürfnisse. Statt offener Gespräche entstehen Workarounds. Statt Transparenz entsteht eine Kultur des Verschweigens.
Das Paradox: Je härter du verbietest, desto riskanter wird die Nutzung. Mitarbeiter sprechen nicht mehr darüber, welche Tools sie nutzen. Sie fragen nicht mehr nach sicheren Alternativen. Sie umgehen die Regeln – und dabei verschwinden auch die Chancen, das Risiko zu steuern. Das Risiko steigt, die Transparenz sinkt.
Der erste Schritt: Die Bestandsaufnahme
Bevor du über Lösungen nachdenkst, brauchst du Transparenz über den Ist-Zustand.
Die Frage ist nicht: „Nutzt jemand KI?“ Die Frage ist: „Wer nutzt was, wofür und mit welchen Daten?“
Eine strukturierte Bestandsaufnahme gibt dir drei Dinge:
Klarheit über die Risiken: Du siehst, wo sensible Daten bereits abfließen. Welche Mitarbeiter haben Zugriff auf kritische Informationen und nutzen gleichzeitig private KI-Tools? Wo drohen DSGVO-Verstöße?
Verständnis für die Use Cases: Du verstehst, warum deine Mitarbeiter diese Tools nutzen. Welche Aufgaben lösen sie damit? Welche Produktivitätsgewinne sehen sie? Welche Bedürfnisse bleiben unerfüllt?
Eine Basis für Entscheidungen: Du kannst keine sinnvolle KI-Strategie entwickeln, wenn du nicht weißt, was bereits passiert. Die Bestandsaufnahme ist der Ausgangspunkt für alles Weitere.
So funktioniert die Bestandsaufnahme in drei Schritten
1. Erfassen – Die Inventur
Der erste Schritt ist simpel: Finde heraus, was läuft. Führe offene Gespräche mit deinem Team. Stelle klar, dass es nicht um Kontrolle geht, sondern darum, gemeinsam einen sicheren Rahmen zu schaffen.
Frag nach den Fakten: Welches Tool? Für welche Aufgabe? Welche Daten? Wie oft? Privater oder Unternehmens-Account?
Schreib jeden Fall auf – ohne zu bewerten. Am Ende hast du eine vollständige Liste aller KI-Nutzungsfälle in deinem Unternehmen.
2. Kategorisieren – Struktur schaffen
Jetzt bringst du Ordnung in die Rohdaten. Fasse ähnliche Aufgaben zu Use Cases zusammen: Texterstellung, Datenanalyse, Code-Review. Ordne die Daten ein: Sind es personenbezogene Daten, Geschäftsgeheimnisse, interne Prozessdaten oder öffentliche Informationen? Schau dir die Nutzungsmuster an: Wird täglich gearbeitet oder nur gelegentlich? Einzeln oder im ganzen Team?
Zusätzlich: Wo nutzen verschiedene Abteilungen unterschiedliche Tools für die gleiche Aufgabe? Das zeigt dir Standardisierungspotenzial.
Das Ergebnis: Eine strukturierte Übersicht statt ungeordneter Einzelfälle.
3. Bewerten – Entscheidungen treffen
Jetzt wird es strategisch. Bewerte jeden Use Case nach Risiko und Potenzial. Hohes Risiko durch kritische Daten in unsicheren Tools? Sofortiger Handlungsbedarf. Hohes Potenzial durch messbare Produktivitätsgewinne? Lohnt sich eine Investition in sichere Alternativen. Mehrere Teams nutzen verschiedene Tools für dieselbe Aufgabe? Standardisierungschance.
Aus dieser Bewertung leitest du konkrete Schritte ab: Was geben wir offiziell frei? Was ersetzen wir? Was unterbinden wir – und warum?
Dann der wichtigste Schritt: Teile die Erkenntnisse transparent. Kein Rundschreiben, sondern ein Gespräch. Zeige, was du gesehen hast. Erkläre, warum bestimmte Praktiken riskant sind. Aber vor allem: Zeige Lösungen. „Wir schaffen jetzt sichere Alternativen für die Use Cases, die ihr braucht.“ Das schafft Akzeptanz statt Widerstand.
Der erste Schritt: Gespräch statt Verbot
Die Frage ist nicht mehr, ob deine Mitarbeiter KI nutzen. Sie tun es bereits. Die Frage ist: Läuft das weiter im Schatten – oder gestaltest du einen sicheren Rahmen?
Der erste Schritt ist ein offenes Gespräch. Keine Verbote, keine Vorwürfe. Nur Klarheit darüber, was läuft. Aus dieser Klarheit entsteht eine Strategie, die funktioniert – weil sie auf Realität basiert, nicht auf Annahmen.
Wenn du weißt, was läuft, kannst du handeln.