Schatten-KI im Unternehmen: Warum Verbote nicht funktionieren

Wie verbreitet ist Schatten-KI in deutschen Unternehmen?

Laut einer Bitkom-Befragung von 604 Unternehmen ab 20 Beschäftigten, veröffentlicht im Oktober 2025, vermuten 42 Prozent, dass ihre Belegschaft private KI-Zugänge für die Arbeit nutzt. Nur 29 Prozent halten es für sicher, dass das im eigenen Haus nicht passiert. Gleichzeitig stellen nur 26 Prozent überhaupt einen offiziellen Zugang bereit.

Schatten-KI meint die Nutzung von KI-Werkzeugen ohne Freigabe des Arbeitgebers. Kundendaten, die zum Formulieren einer Antwortmail in ChatGPT kopiert werden. Ein Vertragsentwurf, der zur Zusammenfassung in einen Cloud-Dienst hochgeladen wird. Ein privater Account, angemeldet im Browser auf dem Firmenrechner. Es gibt keinen Auftragsverarbeitungsvertrag, keine Protokollierung, kein Verarbeitungsverzeichnis und meist niemanden, der davon weiß.

Die Bitkom-Zahlen zeigen eine Lücke, die sich fast von selbst füllt. Wo kein Werkzeug bereitsteht, bringen Beschäftigte ihr eigenes mit.

Besonders im Mittelstand ist die Lücke groß. Nach Angaben des Statistischen Bundesamts nutzten im Erhebungsjahr 2025 nur 26 Prozent aller Unternehmen in Deutschland KI, bei 10 bis 49 Beschäftigten waren es 23 Prozent, bei 50 bis 249 Beschäftigten 36 Prozent. Bitkom zählt bei Unternehmen mit 20 bis 99 Beschäftigten 23 Prozent, die ihrer Belegschaft einen KI-Zugang bereitstellen, gegenüber 43 Prozent bei den Großen ab 500 Beschäftigten. Die Kluft zwischen dem, was Mitarbeiter privat längst täglich benutzen, und dem, was ihnen der Arbeitgeber anbietet, ist also gerade dort am breitesten, wo die IT-Abteilung am kleinsten ist. Wer wissen will, woran der Einstieg sonst noch hängt, findet die Hürden im Artikel zu KI im Mittelstand.

Warum funktionieren Verbote nicht?

Ein Verbot adressiert das Verhalten, nicht das Motiv. Wer eine Aufgabe statt in einer Stunde in zehn Minuten erledigen kann, hört damit nicht auf, sondern wechselt auf das private Handy. Der US-Anbieter Cyberhaven, der Datenabflüsse in Unternehmen misst, kam in seiner Auswertung über rund 3 Millionen Beschäftigte auf 73,8 Prozent private ChatGPT-Konten im Arbeitskontext.

Diese Zahl stammt von einem Hersteller, der genau dagegen ein Produkt verkauft, und ist entsprechend vorsichtig zu lesen. Die Richtung deckt sich aber mit den Bitkom-Ergebnissen: Der Schwerpunkt der KI-Nutzung liegt außerhalb der kontrollierten Firmen-IT. Cyberhaven berichtet außerdem, dass 82,8 Prozent der juristischen Dokumente, die überhaupt in KI-Werkzeuge gelangen, über solche privaten Konten laufen. Also ausgerechnet die Kategorie, bei der ein Abfluss am teuersten wird.

Der entscheidende Punkt ist, was ein Verbot am Risiko ändert. Vorher lief die Nutzung auf einem Firmengerät, im Firmennetz, potenziell sichtbar. Nachher läuft sie auf einem Privatgerät, über eine private Mobilfunkverbindung, in einem Account, auf den das Unternehmen keinerlei Zugriff hat. Die Daten fließen weiter, nur ist die letzte verbliebene Beobachtungsmöglichkeit weg. Ein Verbot ohne Alternative erzeugt keine Compliance, sondern ein Dokumentationsloch.

Rechtlich verschiebt sich die Lage dadurch nicht zum Guten. Werden personenbezogene Daten ohne Rechtsgrundlage an einen Dienstleister übermittelt, bleibt das ein Verstoß, unabhängig davon, ob es dem Arbeitgeber verboten war. Er muss nachweisen, dass er geeignete technische und organisatorische Maßnahmen getroffen hat, und eine Betriebsanweisung ohne durchsetzbare Alternative ist keine besonders starke Maßnahme. Welche Pflichten konkret greifen, steht im Überblick zu DSGVO-konformer KI-Nutzung. Bei Berufsgeheimnisträgern kommt eine zweite Ebene dazu: Bei Ärzten, Anwälten und Steuerberatern kann schon die Offenbarung gegenüber dem Dienstleister strafbar sein, wie der Artikel zu Paragraf 203 StGB zeigt.

Es gibt eine Ausnahme, in der ein Verbot funktioniert. Nämlich dann, wenn es sich auf eine eng umrissene Datenklasse beschränkt und daneben ein freigegebener Weg existiert, der die Arbeit genauso schnell erledigt. Pauschalverbote fallen durch, präzise Verbote mit Alternative halten.

Was funktioniert stattdessen?

Der Ausweg besteht aus zwei Teilen. Erstens ein freigegebener Zugang, der gut genug ist, damit niemand ausweicht. Zweitens eine Datenklassifizierung, die festlegt, welche Inhalte wohin dürfen. Laut Bitkom haben bisher erst 23 Prozent der Unternehmen klare Regeln zur KI-Nutzung, nach 15 Prozent im Vorjahr.

Für die meisten Fälle reicht dafür ein kommerzieller Geschäftstarif völlig aus. Business- und Enterprise-Verträge der großen Anbieter enthalten einen Auftragsverarbeitungsvertrag, schließen die Nutzung der Eingaben zum Modelltraining vertraglich aus und bieten Nutzerverwaltung sowie Protokollierung. Wer heute nichts hat, kommt mit einem solchen Vertrag und einer halben Seite Regeln weiter als mit jedem Verbot. Ein privater Gratis-Account gegen einen verwalteten Geschäftszugang zu tauschen, ist der größte Einzelschritt beim Risiko, und er kostet ein paar Euro pro Kopf und Monat.

Damit ist nicht alles gelöst. Der Anbieter bleibt ein Auftragsverarbeiter, es bleibt in aller Regel eine Übermittlung in ein Drittland, und der Kreis der Personen, die technisch Zugriff haben könnten, wird größer statt kleiner. Für Werbetexte und interne Zusammenfassungen ist das unerheblich. Für Mandantenakten, Patientendaten, Personalakten oder Konstruktionsdaten wiegt es schwerer, und genau für diese Klassen ist lokale Verarbeitung die Antwort, weil die Übermittlung an Dritte dann schlicht nicht stattfindet.

Diese Tabelle ist der eigentliche Kern einer KI-Richtlinie. Sie muss auf eine Seite passen, sie muss Beispiele aus dem eigenen Betrieb enthalten, und sie muss benennen, welches Werkzeug für welche Klasse freigegeben ist. Alles, was länger ist, wird nicht gelesen. Dazu gehört ein Weg, auf dem jemand ein neues Werkzeug vorschlagen kann, ohne sich zu verraten, denn sonst entsteht die nächste Schattenzone. Und es gehört eine Schulung dazu, die zeigt, was ein Modell mit einer Eingabe tut, statt nur Verbote aufzuzählen. Der EU AI Act verlangt ab August 2026 ohnehin ein Inventar der eingesetzten Systeme und ausreichende KI-Kompetenz der Anwender, was ohne freigegebene Werkzeuge kaum nachweisbar ist, wie der Überblick zu AI Act und DSGVO zeigt.

Fazit

Schatten-KI ist kein Disziplinproblem. Sie ist ein Signal, dass Beschäftigte einen Engpass gefunden haben und ihn selbst lösen, und in vielen Fällen lösen sie ihn richtig. Wer das nur als Regelverstoß behandelt, verliert die nützlichste Information, die darin steckt: welche Aufgaben im Betrieb tatsächlich zu lange dauern.

Worauf es ankommt, ist die Reihenfolge. Erst ein freigegebener Zugang, der die Arbeit genauso schnell erledigt, dann die Regel, welche Daten wohin dürfen, und erst danach die Durchsetzung. Umgekehrt funktioniert es nicht, weil ein Verbot ohne Alternative die Nutzung nur dorthin verschiebt, wo niemand mehr hinsieht.

Für den größten Teil der täglichen Arbeit reicht ein sauberer Geschäftsvertrag mit einem Cloud-Anbieter aus, und wer heute nichts hat, sollte genau dort anfangen. Erst für die Datenklassen, bei denen keine Übermittlung an Dritte vertretbar ist, lohnt der Schritt zur lokalen Verarbeitung. Mit dem vollständigen Wirksamwerden des EU AI Act im August 2026 wird ein Inventar der eingesetzten KI-Systeme zur Pflicht, und das lässt sich nur für Werkzeuge führen, von denen man weiß.

---

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für die Bewertung des eigenen Falls solltest du qualifizierte Rechtsberatung hinzuziehen.

Quellen

1. Bitkom: Beschäftigte nutzen vermehrt Schatten-KI (Oktober 2025)
2. Bitkom: Wenn das Unternehmen keine KI verwendet, bringen die Beschäftigten sie mit
3. Statistisches Bundesamt: Unternehmen mit Einsatz von künstlicher Intelligenz
4. Cyberhaven: Shadow AI Report
5. Cyberhaven Labs: 2025 AI Adoption and Risk Report
6. Handelsblatt: Schatten-KI in deutschen Unternehmen
7. Microsoft: Schatten-KI macht Deutschland verwundbar (November 2025)
8. EU AI Act, Volltext und Erläuterungen
9. DSGVO Art. 32, Sicherheit der Verarbeitung