Was Schatten-KI ist – und was nicht
Schatten-KI bezeichnet KI-Dienste, Funktionen oder Integrationen, die außerhalb der bekannten und freigegebenen Strukturen einer Organisation genutzt werden. Das kann ein privates Chatkonto, ein Browser-Plug-in, eine KI-Funktion in bereits lizenzierter Software oder ein selbst gebauter Agent sein. Der Begriff ist keine eigene gesetzliche Kategorie. Er beschreibt ein Steuerungs- und Transparenzproblem.
Nicht jede unbekannte Nutzung ist automatisch hochriskant. Ein öffentlicher Textentwurf ohne sensible Daten hat eine andere Wirkung als das Hochladen von Kundendokumenten oder ein Agent mit Schreibzugriff auf ein Fachsystem. Umgekehrt ist ein bekannter Produktname nicht automatisch sicher. Freigegeben wird die konkrete Nutzung mit Daten, Konto, Konfiguration und Rechten.
Das eigentliche Problem ist der fehlende Zusammenhang: Niemand kennt Zweck, Datenfluss, Vertrag, Verantwortliche und Ausstieg. Dadurch können Datenschutz, Geschäftsgeheimnisse, Informationssicherheit und Qualität gleichzeitig betroffen sein. Alles hängt mit allem zusammen – Schatten-KI liefert dafür gelegentlich eine etwas unfreiwillige Demonstration.
Besonders leicht übersehen werden Funktionen, die durch ein normales Softwareupdate hinzukommen. Eine Textverarbeitung, Entwicklungsumgebung oder Fachanwendung kann plötzlich Inhalte an ein Modell senden, obwohl niemand ein neues „KI-Produkt“ beschafft hat. Inventar und Freigabe betrachten deshalb Funktionen und Datenwege, nicht nur separate Dienste. Bekanntes Programm bedeutet nicht automatisch unveränderte Verarbeitung.
- 01Arbeitsproblem
Zeitdruck, fehlende Funktion oder umständlicher Prozess.
- 02Leichtes Werkzeug
Privates Konto, Plug-in oder eingebaute KI.
- 03Unklare Regel
Freigabe dauert oder ist nicht verständlich.
- 04Unsichtbare Nutzung
Daten und Abhängigkeiten bleiben unbekannt.
Die Ursache liegt häufig im Arbeitsablauf – nicht nur im Verhalten einzelner Personen.
Warum Menschen ungenehmigte Werkzeuge nutzen
Beschäftigte wollen häufig schneller recherchieren, formulieren, übersetzen oder strukturieren. Wenn ein frei zugänglicher Dienst innerhalb von Minuten hilft und der offizielle Beschaffungsweg Wochen benötigt, entsteht ein starker Anreiz. Auch Neugier, Gewohnheit aus dem privaten Umfeld und unklare Zuständigkeiten spielen eine Rolle. Die Nutzung ist damit nicht automatisch verantwortbar, aber sie wird verständlich.
Eine reine Schuldperspektive führt zu weniger Meldungen. Wer mit Sanktionen rechnet, verschweigt eher, welches Werkzeug bereits genutzt wurde. Für die erste Bestandsaufnahme ist deshalb eine lernorientierte Haltung sinnvoll: Welches Problem sollte gelöst werden? Welche Daten waren beteiligt? Welche Funktion wird gebraucht? Danach werden Risiken und Verantwortung geklärt.
Führung und IT sollten auch eigene Ursachen prüfen. Gibt es eine sichere Alternative? Ist sie bekannt und benutzbar? Kann ein kleiner Pilot schnell entschieden werden? Werden eingebaute KI-Funktionen bei Softwareupdates überhaupt erkannt? Schatten-KI ist oft ein Layer-8-Problem. Fairerweise sitzt Layer 8 nicht nur vor dem Computer, sondern gelegentlich auch im Freigabeprozess.
Ursachen lassen sich messen, ohne eine Rangliste vermeintlich ungehorsamer Teams zu bauen: wiederkehrende Anwendungswünsche, Wartezeiten im Freigabeprozess, fehlende Funktionen der Standardlösung und häufige Ausnahmen. Diese Informationen zeigen, wo sichere Angebote oder Abläufe verbessert werden müssen. Governance wird wirksamer, wenn sie neben Regelverstößen auch Reibung im eigenen Prozess beobachtet.
Welche Risiken tatsächlich entstehen
Unbekannte Eingaben können personenbezogene Daten, Geschäftsgeheimnisse, Quellcode oder Vertragsinformationen enthalten. Ungeklärte Konten erschweren Löschung und Zugriffsentzug. Ergebnisse können falsch oder rechtlich problematisch sein und ohne Prüfung weiterverwendet werden. Browser-Erweiterungen und Integrationen erhalten möglicherweise weitreichende Lese- oder Schreibrechte.
Hinzu kommen betriebliche Abhängigkeiten. Vorlagen, Wissen und Arbeitsabläufe wandern in einen Dienst, für den es keinen Vertrag, Support oder Exportplan gibt. Verlässt eine Person das Unternehmen, bleiben wichtige Verläufe im privaten Konto. Ändert der Anbieter Funktionen oder Bedingungen, gibt es keinen geregelten Review. Das vermeintlich kostenlose Werkzeug kann dadurch später recht teuer werden.
Die Bewertung richtet sich nach Daten, Außenwirkung, Autonomie und möglichem Schaden. Ein unbekannter Entwurf ist nicht gleich ein unbekannter Agent mit Zahlungsrecht. Diese Differenzierung ist wichtig: Werden alle Fälle maximal dramatisiert, verlieren Regeln Glaubwürdigkeit. Werden alle als harmloses Experiment behandelt, verliert die Organisation den Überblick.
Ein weiterer Risikotreiber ist die Vervielfältigung. Einzelne Teams bauen ähnliche Assistenten mit unterschiedlichen Datenständen, Regeln und Konten. Fehler werden dann mehrfach gelöst, aber Vorfälle nicht gemeinsam erkannt. Eine zentrale Übersicht ermöglicht Wiederverwendung und Standards, ohne jede fachliche Idee zentral entwickeln zu müssen. Koordination soll Vielfalt ordnen, nicht sie durch ein einziges Universalwerkzeug ersetzen.
- 01Daten
Personenbezug, Geheimnisse, Zugangsdaten und Schutzbedarf.
- 02Rechte
Lesen, Schreiben, Versenden, Löschen oder Bezahlen.
- 03Wirkung
Interner Entwurf, Veröffentlichung oder Entscheidung über Menschen.
- 04Abhängigkeit
Konto, Anbieter, Export, Support und Ausfall.
Das Risiko folgt dem konkreten Einsatz, nicht dem Bekanntheitsgrad des Werkzeugs.
Bestand ehrlich sichtbar machen
Eine Erhebung beginnt mit einer klaren Einladung: Welche KI-Dienste und Funktionen werden heute genutzt, für welche Aufgabe und mit welchen Daten? Abgefragt werden auch integrierte Funktionen in Bürosoftware, Entwicklungsumgebungen, Analysewerkzeugen und Fachanwendungen. Teams sollen Nutzung melden können, ohne zuerst ein vollständiges technisches Gutachten zu erstellen.
Technische Hinweise ergänzen die Befragung. Beschaffungsdaten, Single-Sign-on, Browser- und Netzwerkbeobachtung sowie Cloud-App-Erkennung können unbekannte Dienste sichtbar machen, soweit dies rechtlich und organisatorisch zulässig ist. Technische Erkennung ist nie vollständig und kann legitime Nutzung falsch einordnen. Sie dient als Hinweis, nicht als alleinige Beweisführung.
Die Ergebnisse fließen in ein KI-Inventar: Produkt, Kontoart, Zweck, Nutzergruppe, Daten, Rechte, Anbieter, verantwortliche Rolle und Status. Unbekanntes erhält einen Klärungstermin. Die erste Erhebung muss nicht perfekt sein. Ein unvollständiges ehrliches Bild ist nützlicher als ein vollständig grüner Bericht, der nur die offiziell bestellten Lizenzen zählt.
Jeder Eintrag erhält einen fachlichen Eigentümer und einen nächsten Schritt. Möglich sind freigeben, vertieft prüfen, mit Auflagen begrenzen, durch eine Standardlösung ersetzen oder geordnet beenden. Alte Einträge werden nicht endlos mit „in Klärung“ geführt. Eine Entscheidungsliste ohne Termine ist ein Archiv für gute Absichten, und davon besitzen die meisten Organisationen bereits genügend.
Einen schnellen Freigabeweg schaffen
Ein wirksamer Prozess unterscheidet einfache und komplexe Fälle. Ein freigegebener Schreibassistent für öffentliche Inhalte benötigt weniger Prüfung als ein System mit Personalakten oder Produktionszugriff. Standardfälle erhalten vorab definierte Bedingungen; neue oder folgenreiche Anwendungen durchlaufen eine vertiefte Bewertung.
Der Antrag bleibt kurz: Welches Problem wird gelöst? Wer ist verantwortlich? Welche Daten und Systeme sind beteiligt? Was darf die KI ausgeben oder ausführen? Wie wird geprüft? Für erste Tests kann eine abgeschottete Umgebung mit synthetischen oder freigegebenen Daten angeboten werden. So wird Neugier nicht verhindert, sondern in einen sicheren Lernraum gelenkt.
Entscheidungen enthalten verständliche Auflagen und einen Reviewtermin. Ablehnungen benennen Gründe und mögliche Alternativen. Ein bloßes „Nein, wegen Sicherheit“ hilft wenig, wenn der Arbeitsbedarf bestehen bleibt. Gute Governance antwortet schnell genug, dass der offizielle Weg eine realistische Option ist.
Ein Triage-Modell kann vier Wege anbieten: sofort nutzbarer Standardfall, begrenzter Test, vertiefte Fachprüfung und unzulässiger Einsatz. Kriterien sind Datenklasse, betroffene Menschen, externe Wirkung, Systemzugriff und Reversibilität. Die Schwellen werden veröffentlicht und anhand echter Anträge verbessert. Dadurch verstehen Teams nicht nur die Entscheidung, sondern können bereits vor dem Antrag einen passenden Weg wählen.
- 01Melden
Werkzeug, Zweck und tatsächliche Nutzung offenlegen.
- 02Einordnen
Daten, Rechte, Wirkung und Anbieter bewerten.
- 03Entscheiden
Freigeben, begrenzen, ersetzen oder beenden.
- 04Überführen
Konto, Vertrag, Inventar, Schulung und Review klären.
Ziel ist ein steuerbarer Betrieb – nicht eine möglichst große Verbotsliste.
Richtlinie und sichere Alternativen verbinden
Eine KI-Richtlinie erklärt zugelassene Systeme, erlaubte Daten, verbotene Eingaben, Ergebniskontrolle, Kennzeichnung und Meldewege. Sie benennt außerdem, wie neue Werkzeuge vorgeschlagen und Ausnahmen entschieden werden. Beispiele sind hilfreicher als abstrakte Formulierungen. Beschäftigte müssen in ihrem Arbeitsalltag erkennen können, was gemeint ist.
Parallel braucht es nutzbare Alternativen: ein Geschäftskonto mit geeigneten Einstellungen, freigegebene Übersetzungs- oder Entwicklungswerkzeuge und einen geschützten Pilotbereich. Eine sichere Lösung, die niemand findet oder die wesentliche Aufgaben nicht unterstützt, wird umgangen. Benutzerfreundlichkeit ist deshalb auch eine Sicherheitsmaßnahme.
Regeln werden rollenbezogen geschult. Führungskräfte müssen Zweck und Risiken entscheiden, Nutzende Daten und Ausgaben prüfen, IT Integrationen beherrschen und Kontrollrollen Nachweise bewerten. Die Schulung greift reale Beispiele aus der Organisation auf. Ein jährliches Quiz mit der Antwort „Keine vertraulichen Daten eingeben“ ist ein Anfang, aber noch kein Betriebsmodell.
Ausnahmen brauchen einen sichtbaren Weg. Zeitlich begrenzte Nutzung kann erlaubt werden, wenn Zweck, Daten, Schutzmaßnahmen und Verantwortung geklärt sind. Eine Ausnahme ist keine heimliche Dauerfreigabe; sie besitzt Ablaufdatum und Review. Umgekehrt darf der Ausnahmeprozess nicht so schwer sein, dass alle dringenden Fälle automatisch außerhalb des Systems stattfinden.
Technische Kontrollen gezielt einsetzen
Zentrale Identitäten, freigegebene Konten und ein Anwendungskatalog reduzieren private Anmeldungen. Netzwerk- oder Browserkontrollen können bestimmte Dienste sperren, Uploads begrenzen oder Warnungen anzeigen. Schnittstellen erhalten minimale Rechte. Für sensible Umgebungen können getrennte Geräte, Mandanten oder lokale Lösungen erforderlich sein.
Kontrollen sollten besonders riskante Wege erschweren, ohne legitime Arbeit unnötig zu blockieren. Eine pauschale Sperre kann kurzfristig sinnvoll sein, bis ein akuter Datenabfluss geklärt ist. Als Dauerlösung führt sie häufig zu Ausweichwegen über private Geräte oder unbekanntere Dienste. Technische Kontrolle und organisatorisches Angebot müssen deshalb zusammenpassen.
Auch freigegebene Systeme werden überwacht. Neue Funktionen, automatische Aktivierungen, zusätzliche Integrationen und geänderte Vertragsbedingungen können die Risikolage verändern. Ein Dienst bleibt nicht allein deshalb freigegeben, weil sein Name gleich geblieben ist. Produktänderungen sind ein Auslöser für Review und gegebenenfalls neue Schulung.
Data-Loss-Prevention und Cloud-App-Erkennung können Uploads oder unbekannte Dienste erkennen, haben aber Grenzen. Verschlüsselte Verbindungen, private Geräte und neue Domains erschweren Sichtbarkeit; Fehlalarme belasten den Betrieb. Deshalb werden Kontrollen getestet, transparent eingeführt und mit Meldedaten abgeglichen. Ein technisches Dashboard zeigt Signale. Es erklärt noch nicht, warum Menschen einen Dienst brauchen.
Gefundene Schatten-KI sachlich behandeln
Wird eine unbekannte Nutzung entdeckt, wird zuerst der Sachverhalt geklärt: Welche Daten wurden verarbeitet? Welche Konten und Rechte bestehen? Wurden Ergebnisse veröffentlicht oder Aktionen ausgeführt? Können Daten gelöscht und Zugänge gesperrt werden? Datenschutz, Informationssicherheit, Recht und Fachverantwortung werden passend zur Wirkung beteiligt.
Danach folgt eine begründete Entscheidung. Eine harmlose Nutzung kann in den Standard überführt werden. Ein brauchbares Werkzeug kann mit Geschäftskonto und Auflagen freigegeben werden. Ein ungeeigneter Dienst wird ersetzt oder beendet. Bei einem Vorfall werden Beweise gesichert, Auswirkungen begrenzt und mögliche Meldepflichten geprüft.
Verantwortung wird anschließend aufgearbeitet, nicht verdrängt. Entscheidend ist zunächst, weiteren Schaden zu verhindern und die Ursache zu verstehen. War die Regel unbekannt, der offizielle Prozess unbrauchbar oder wurde eine klare Vorgabe bewusst umgangen? Unterschiedliche Ursachen brauchen unterschiedliche Maßnahmen. Einheitliche Empörung ist einfacher, aber selten besonders lehrreich.
Die Kommunikation bleibt sachlich. Betroffene Teams erfahren, was festgestellt wurde, welche Sofortmaßnahmen gelten und wann eine Entscheidung folgt. Bei möglichem Datenabfluss werden Spekulationen vermieden und zuständige Stellen früh einbezogen. Nach Abschluss werden übertragbare Erkenntnisse geteilt, ohne unnötig Personen bloßzustellen. Ziel ist, dass der nächste Fall früher gemeldet und besser begrenzt wird.
Wirksamkeit der Maßnahmen beobachten
Erfolg bedeutet nicht, dass kein unbekannter Dienst mehr auftaucht. Sinnvolle Kennzahlen sind bekannte Anwendungsfälle, Dauer einer Freigabe, Nutzung sicherer Alternativen, rechtzeitig gemeldete Funde, wiederkehrende Ursachen und geschlossene Maßnahmen. Ein kurzfristiger Anstieg gemeldeter Nutzungen kann sogar positiv sein: Die Organisation sieht erstmals, was vorher unsichtbar war.
Qualitative Rückmeldungen sind ebenso wichtig. Welche Aufgaben unterstützt das Standardwerkzeug nicht? Welche Regel wird missverstanden? Wo erzeugt die Kontrolle unnötige Mehrarbeit? Teams, Support, Informationssicherheit und Datenschutz betrachten diese Fragen gemeinsam. Maßnahmen werden angepasst, wenn sie das Risiko nicht ausreichend reduzieren oder den sicheren Weg unverhältnismäßig erschweren.
Mindestens bei neuen Funktionen, Vorfällen und wesentlichen Vertragsänderungen wird neu geprüft. Zusätzlich hilft ein regelmäßiger Überblick für die Leitung: offene Hochrisikofälle, überfällige Entscheidungen, kritische Datenflüsse und benötigte Ressourcen. Eine Prozentzahl „Schatten-KI beseitigt“ wäre zwar übersichtlich, aber ohne vollständige Sicht vor allem sehr selbstbewusst.
Die Kennzahlen werden deshalb immer mit ihrer Aussagegrenze gezeigt. Viele Meldungen können auf mehr Nutzung, aber auch auf eine bessere Meldekultur hindeuten; wenige Funde können gute Steuerung oder geringe Sichtbarkeit bedeuten. Aussagekräftiger wird das Bild durch mehrere Signale: bekannte Anwendungen, wiederkehrende Datenklassen, Bearbeitungszeit, Nutzung der freigegebenen Alternativen und tatsächlich geschlossene Maßnahmen. Ziel ist nicht eine möglichst niedrige Zahl, sondern früheres Erkennen und eine geringere Wirkung. Was sichtbar wird, lässt sich vernünftig behandeln. Was nur aus dem Bericht verschwindet, ist damit noch lange nicht aus dem Arbeitsalltag verschwunden.
Praxisbeispiel: privater Übersetzungsdienst
Eine Mitarbeiterin übersetzt regelmäßig technische Kundenanfragen mit einem frei zugänglichen KI-Dienst. Sie möchte Zeit sparen und entfernt die Kundennamen, lässt aber Fehlerbeschreibungen, Produktnummern und Anlageninformationen stehen. Die Nutzung wird bei einer Teambefragung offen genannt.
Die Organisation prüft, dass aus den verbleibenden Angaben Kunden und technische Umgebung teilweise ableitbar sind. Zunächst werden weitere Eingaben gestoppt und vorhandene Verläufe soweit möglich gelöscht. Der Arbeitsbedarf bleibt jedoch bestehen. Deshalb wird eine bereits lizenzierte Geschäftslösung mit geregelter Datenverarbeitung getestet und eine kurze Anleitung für zulässige Inhalte erstellt.
Der Vorgang endet nicht mit einer Abmahnung, sondern mit einem sichtbaren Prozess, einer geeigneten Alternative und klareren Datenregeln. Vorsätzliches oder wiederholtes Fehlverhalten wäre getrennt zu behandeln. Hier hat die offene Meldung geholfen, ein reales Problem zu lösen. Niemand ist verletzt; also erst den Sachverhalt verstehen, dann vernünftig handeln.
Vier Wochen später prüft das Team, ob die freigegebene Lösung angenommen wird, Übersetzungsqualität passt und weitere unbekannte Dienste auftauchen. Supportfragen fließen in die Anleitung ein. Der Fall wird anonymisiert in der Schulung verwendet. So entsteht aus einem Fund eine Verbesserung des Systems – und nicht nur eine weitere Folie mit rotem Ausrufezeichen.
Häufige Fragen
Ist jede private KI-Nutzung automatisch ein Sicherheitsvorfall?
Nein. Sie ist zunächst ein unbekannter oder nicht freigegebener Einsatz. Ob ein Vorfall vorliegt, hängt von Daten, Rechten, Ergebnis und Wirkung ab. Die Nutzung sollte zeitnah gemeldet und eingeordnet werden. Bei sensiblen Eingaben, unberechtigtem Zugriff oder externer Wirkung können Incident-, Datenschutz- oder Rechtsprozesse erforderlich sein.
Sollten Unternehmen öffentliche KI-Dienste vollständig sperren?
Eine Sperre kann bei akutem Risiko oder in besonders sensiblen Bereichen sinnvoll sein. Allein löst sie das Grundproblem selten. Beschäftigte benötigen verständliche Regeln, sichere Alternativen und einen schnellen Freigabeweg. Sonst verlagert sich Nutzung auf private Geräte oder unbekanntere Dienste. Technik begrenzt Wege; Governance und brauchbare Angebote verändern Verhalten dauerhaft.
Wie finden wir Schatten-KI, ohne Beschäftigte auszuspionieren?
Beginnen Sie mit einer offenen, zweckgebundenen Befragung und einem einfachen Meldeweg. Ergänzend können rechtlich zulässige Beschaffungs-, Identitäts-, Browser- oder Netzwerkdaten Hinweise liefern. Zweck, Umfang, Zugriff und Beteiligung der Beschäftigtenvertretung müssen geklärt sein. Technische Signale sollten nicht automatisch als Fehlverhalten gewertet, sondern sachlich geprüft werden.
Was gehört mindestens in ein KI-Inventar?
Produkt und Produktvariante, Anbieter, Kontoart, Zweck, Nutzergruppe, Datenarten, Schnittstellen, Rechte, fachlich Verantwortlicher, Freigabestatus, Auflagen und nächster Review. Bei höherem Risiko kommen Modellversion, technische Identität, Vertrag, Prüfungen und Ausstieg hinzu. Entscheidend ist die Verbindung von Werkzeug und tatsächlicher Nutzung.
Wie schnell sollte eine neue KI-Anwendung geprüft werden?
Standardfälle sollten über einen leichten und planbaren Weg entschieden werden können. Komplexe Fälle brauchen mehr Zeit, besonders bei sensiblen Daten, Beschäftigtenbezug oder weitreichenden Aktionen. Sinnvoll sind klare Servicezeiten, ein geschützter Testweg und frühe Rückmeldung. Ein Antrag darf nicht monatelang verschwinden, während der Arbeitsbedarf täglich bestehen bleibt.
Wie gehen wir mit bereits eingegebenen sensiblen Daten um?
Weitere Verarbeitung stoppen, Umfang und Konto klären, Verlauf und verfügbare Löschfunktionen sichern beziehungsweise nutzen und Anbieterbedingungen prüfen. Informationssicherheit und Datenschutz bewerten mögliche Folgen und Meldepflichten. Zugangsdaten werden gegebenenfalls geändert. Alle Schritte werden dokumentiert. Eine Löschung in der Oberfläche ist nicht automatisch der Nachweis vollständiger Löschung beim Anbieter.
Verhindert ein freigegebener Unternehmensdienst Schatten-KI?
Er reduziert den Anreiz, wenn er reale Aufgaben gut unterstützt und leicht erreichbar ist. Vollständig verhindert er unbekannte Funktionen und neue Dienste nicht. Deshalb bleiben Inventar, Schulung, Review, Meldemöglichkeit und technische Beobachtung notwendig. Freigabe ist kein Endzustand; Anbieter erweitern Produkte und Teams entdecken neue Anwendungsfälle.
Wie bleibt die Meldekultur offen, ohne Regeln folgenlos zu machen?
Trennen Sie die schnelle Sachverhaltsklärung von der späteren Verantwortungsbewertung. Wer früh meldet, ermöglicht Begrenzung und Lernen. Vorsätzliches oder wiederholtes Umgehen klarer Regeln kann Konsequenzen haben. Transparente Kriterien, verhältnismäßige Reaktionen und sichtbare Verbesserungen schaffen mehr Vertrauen als entweder pauschale Straffreiheit oder pauschale Schuldzuweisung.
Quellen und weitere Informationen
Diese Seite bietet allgemeine Orientierung und ersetzt keine rechtliche, datenschutzrechtliche oder sicherheitsbezogene Prüfung des Einzelfalls.
Quellenstand: 27. Oktober 2026.