Ihre Mitarbeiter nutzen KI. Wissen Sie auch, welche?
Die Kollegin lässt ChatGPT eine Kundenmail umformulieren, der Azubi fasst das Protokoll mit einer Gratis-App zusammen. Gut gemeint, nur weiß niemand, welche Daten dabei wohin gehen. Das nennt man Schatten-KI, auf Englisch Shadow AI: KI im Job, die niemand ausgewählt oder geregelt hat. Und sie ist häufiger, als viele denken. In kleinen Betrieben nutzt etwa jeder Dritte, der KI bei der Arbeit einsetzt, Tools, die die Firma nicht bereitgestellt hat. Ich helfe Ihnen, Ordnung hineinzubringen, ohne jemanden zu überwachen.
Erstgespräch: 30 Minuten, kostenfrei und unverbindlich.
Schatten-KI im Unternehmen ist kein Einzelfall
Das Institut der deutschen Wirtschaft hat 2026 Beschäftigte befragt, die beruflich KI nutzen. Knapp drei von zehn arbeiten mit Tools, die ihr Arbeitgeber nicht bereitgestellt hat, in kleinen Betrieben etwa jeder Dritte. Und ein deutsches Sonderthema ist das nicht.
29 %
der Beschäftigten, die beruflich KI nutzen, greifen dabei zu Tools, die ihr Arbeitgeber nicht bereitgestellt hat (29,1 %).
34 %
sind es in kleinen Unternehmen mit weniger als 50 Beschäftigten (33,5 %), also etwa jeder Dritte.
26 %
sind es in Unternehmen ab 250 Beschäftigten (25,5 %), die häufiger eigene KI-Tools bereitstellen.
78 %
der KI-Nutzenden weltweit bringen ihre eigenen KI-Tools mit zur Arbeit (Microsoft und LinkedIn, 2024).
Warum das passiert
Schatten-KI entsteht aus gutem Willen
Die Arbeit soll schneller gehen.
Wer einmal gesehen hat, wie schnell KI eine E-Mail entwirft, will nicht mehr zurück. Eigentlich ist das eine gute Nachricht.
Es gibt kein offizielles Werkzeug.
Wenn das Unternehmen nichts anbietet, nimmt man, was man privat schon kennt. Zum Beispiel ein Gratis-Konto mit der eigenen E-Mail-Adresse.
Niemand hat gesagt, was erlaubt ist.
Ohne Regel entscheidet jeder selbst. Die einen sind sehr vorsichtig, die anderen kopieren den ganzen Vertrag ins Chatfenster.
Fragen fühlt sich riskant an.
Wer zugibt, dass er KI nutzt, fürchtet Ärger. Also bleibt es still, und das Thema wird unsichtbar.
Risiken
Welche Risiken birgt Schatten-KI?
Niemand will dem Betrieb schaden. Trotzdem entstehen Risiken, die Sie als Geschäftsführer kennen sollten. Die meisten hängen am privaten Konto, nicht an der KI selbst.
Firmendaten liegen außerhalb Ihrer Kontrolle.
Ein Angebot, eine Kundenmail, die Notizen aus dem Mitarbeitergespräch: Was in einem privaten Konto landet, liegt bei einem Konto, das Sie nicht verwalten. Sie können dort weder nachsehen noch etwas löschen.
Eingaben können ins Modelltraining fließen.
Bei privaten ChatGPT-Konten (Free, Plus, Pro) ist laut OpenAI standardmäßig eingeschaltet, dass Eingaben zur Verbesserung der Modelle genutzt werden dürfen. Abschalten lässt sich das in den Einstellungen unter „Datenkontrollen“. Ob jemand in Ihrem Team das abgeschaltet hat, wissen Sie nicht.
Quelle: OpenAI Help Center: Data controls in ChatGPT (öffnet in neuem Fenster), abgerufen am 1. November 2026
Es gibt keinen Vertrag zur Auftragsverarbeitung.
Verarbeitet ein Anbieter personenbezogene Daten in Ihrem Auftrag, braucht es nach Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Dafür reicht schon der Name eines Kunden in einer E-Mail. Private Gratis-Konten bieten so einen Vertrag in der Regel nicht.
Das Wissen geht mit.
Gute Prompts, Vorlagen und der ganze Chatverlauf liegen im Konto der Person. Kündigt sie, ist das alles weg. Genauer gesagt: Es ist noch da, nur nicht mehr bei Ihnen.
Jeder arbeitet nach eigenen Regeln.
Die eine prüft jede Zahl nach, der andere übernimmt die Antwort ungelesen. KI kann sich irren und klingt dabei sehr überzeugt. Ohne gemeinsame Regeln schwankt die Qualität dessen, was bei Ihren Kunden ankommt.
Was ChatGPT mit Ihren Eingaben macht und welche Einstellungen helfen, steht ausführlich unter ChatGPT und Datenschutz. Die rechtlichen Grundlagen in kurzen Sätzen finden Sie unter Sicherer KI-Einsatz. Das alles ist eine Erklärung, keine Rechtsberatung.
Der Agent sagt: Keine Sorge, ich spioniere niemandem hinterher. Fragen ist sowieso schneller.
Bestandsaufnahme
Schatten-KI prüfen: So finden Sie heraus, was Ihr Team nutzt
Dafür brauchen Sie keine Software, die Ihre Leute beobachtet. Am meisten erfahren Sie, wenn Sie fragen und vorher klarmachen, dass niemand Ärger bekommt. Wer es genauer wissen will, findet mehr in der Antwort auf Nutzen meine Mitarbeiter KI ohne mein Wissen?
- 1
Offen im Team fragen
Sprechen Sie es im nächsten Teammeeting an. Sagen Sie zuerst, dass KI willkommen ist und Sie nur Ordnung hineinbringen wollen. Dann fragen Sie: Wer nutzt was, und wofür? Oft kommen dabei gute Ideen auf den Tisch.
- 2
Anonym nachfragen
Fünf kurze Fragen, ohne Namen. So antworten auch die, die sich im Meeting nicht melden. Wie das aussehen kann, zeigt das Beispiel. In kleinen Teams fragen Sie besser nicht nach der Abteilung, sonst ist anonym schnell nicht mehr anonym.
- 3
Bestandsaufnahme mit mir
Ich spreche mit Ihnen und einigen aus dem Team, werte die Umfrage aus und schaue, welche Software Sie schon haben. Danach wissen Sie, was genutzt wird, wo es heikel ist und womit Sie anfangen. Das ist der erste Schritt im Paket KI-Startklar.
Und technisch auswerten?
Manche Firewalls zeigen, welche KI-Seiten im Firmennetz aufgerufen werden. Solche Auswertungen berühren Datenschutz und Mitbestimmung, gerade wenn sie Rückschlüsse auf einzelne Personen zulassen. Wenn Sie so etwas wollen, dann nur offen angekündigt und vorher abgestimmt mit Ihrem Datenschutzverantwortlichen und, falls es einen gibt, dem Betriebsrat. Heimlich kontrollieren rate ich ab. Wer sich beobachtet fühlt, nutzt KI weiter, nur unauffälliger.
Anonyme Umfrage: fünf Fragen
BeispielKurz genug, dass alle mitmachen. Davor steht ein Satz von Ihnen: Für ehrliche Antworten bekommt niemand Ärger.
Nutzen Sie bei der Arbeit KI-Werkzeuge?
Nein · Ab und zu · Fast täglich
Welche?
z. B. ChatGPT, Copilot, DeepL oder eine App auf dem Handy
Mit welchem Konto?
Privat · Vom Unternehmen · Weiß ich nicht
Wofür vor allem?
z. B. E-Mails, Übersetzen, Zusammenfassen, Recherche
Was würde Ihnen helfen?
Ein Werkzeug vom Unternehmen · Klare Regeln · Eine Schulung
Danach: Erzählen Sie dem Team, was herauskam und was Sie jetzt ändern. Sonst antwortet beim nächsten Mal keiner mehr.
Viele ahnen es. Wenige haben es geregelt.
Auch die Unternehmen selbst sehen das. In einer Bitkom-Umfrage von 2025 gingen rund vier von zehn davon aus, dass Beschäftigte private KI-Werkzeuge nutzen. Regeln für den KI-Einsatz hatte nicht einmal jedes vierte.
42 %
gehen davon aus, dass Beschäftigte private KI-Werkzeuge nutzen: weit verbreitet, in Einzelfällen oder vermutet.
8 %
sprechen von weiter Verbreitung. Ein Jahr vorher waren es 4 %.
23 %
haben Regeln für den KI-Einsatz.
26 %
stellen eigene Zugänge zu generativer KI bereit.
Schatten-KI verhindern? Besser ordnen.
Wer Schatten-KI verhindern will, denkt zuerst an Sperren und Verbote. Verständlich, nur bleibt der Wunsch, schneller zu arbeiten. Die Nutzung wandert dann aufs private Handy, und Sie wissen noch weniger als vorher. Ich setze lieber auf ein gutes Werkzeug mit Firmenkonto und klare Regeln, ohne Überwachung und ohne jemanden bloßzustellen. Wie ein Einstieg aussehen kann, zeigt das Paket KI-Startklar.
Kostenloses ErstgesprächVerbieten und kontrollieren
Der schnelle Reflex
- Die Nutzung wird oft nur unsichtbarer
- Wer ehrlich ist, fürchtet Ärger
- Gute Ideen aus dem Team gehen verloren
Ordnen und anbieten
Was ich empfehle
- Geschäftliche Konten mit Vertrag
- Regeln auf einer Seite, die jeder versteht
- Schulung passend zum Vorwissen
- Gute Ideen werden geteilt statt versteckt
Zugelassene Werkzeuge
KI-Nutzung regeln, ohne jemanden vorzuführen
Die beste Regel ist ein Werkzeug, das besser ist als das private. Dazu kommen klare Spielregeln und eine Schulung, in der jeder mit seiner eigenen Aufgabe übt. So gehe ich dabei vor.
- 1
Wissen, was genutzt wird
Am Anfang steht die Bestandsaufnahme, so wie oben beschrieben: offen fragen, anonym nachhaken, ohne Schuldfrage. Erst danach suchen wir ein Werkzeug aus.
- 2
Ein Werkzeug, das mithalten kann
Ein geschäftliches Konto mit Vertrag, ausgesucht nach Ihren Aufgaben. Es muss mindestens so gut sein wie das private, sonst bleibt alles beim Alten.
- 3
Regeln auf eine Seite bringen
Welche Werkzeuge erlaubt sind, wofür, und welche Daten draußen bleiben. Der Bitkom empfiehlt außerdem Regeln zur Kennzeichnung von KI-Inhalten und zum Urheberrecht. Eine Gliederung als Muster steht in der Antwort auf Brauchen wir eine KI-Richtlinie?
- 4
Zeigen, wie es gut geht
Ein Workshop, in dem jeder mit einer echten Aufgabe übt. Gute Ideen aus dem Team kommen auf eine gemeinsame Liste, statt im privaten Chat zu verschwinden. Mehr dazu unter KI-Schulungen.
Was dabei rechtlich zu beachten ist, steht unter Sicherer KI-Einsatz. Wie das in eine ganze Einführung passt, zeigt KI im Unternehmen einführen.
KI bei uns: Was gilt
BeispielSo kann eine Seite Regeln aussehen. Ihre sieht anders aus, je nach Aufgaben und Werkzeugen.
Zugelassen
- Chat-Assistent mit Firmenkonto: Texte, E-Mails, Zusammenfassungen
- Wissensassistent mit freigegebenen Dokumenten: Fragen zu Abläufen und Vorlagen
Nur ohne Namen
- Kundenanfragen umformulieren: Namen und Adressen vorher durch Platzhalter ersetzen
Bleibt draußen
- Firmendaten in privaten Konten
- Personaldaten, Bewerbungen, Krankmeldungen
- Passwörter und Zugangsdaten
Immer: Was rausgeht, liest vorher ein Mensch. Bei Fragen hilft eine feste Ansprechperson im Haus.
Der Agent sagt: Kleiner Tipp: Wer bisher heimlich ChatGPT genutzt hat, ist vielleicht Ihr bester Tester für das neue Werkzeug.
Meine Empfehlung für den Start
KI-Startklar
Sie bekommen Überblick, Regeln und Prioritäten: die Grundlage für alles Weitere.
Für Unternehmen, in denen KI schon genutzt wird, aber ohne gemeinsamen Plan.
Enthalten
- Bestandsaufnahme von Werkzeugen und Nutzung
- Datenschutz- und Rechte-Check mit Ihrem Datenschutzverantwortlichen
- Entwurf einer KI-Richtlinie
- 3 bis 5 priorisierte Anwendungsfälle
- Grundlagen-Workshop für das Kernteam
Ergebnis: Überblick, klare Regeln, eine Prioritätenliste und ein geschultes Kernteam.
Wissen
Schatten-KI und ChatGPT-Datenschutz, kurz erklärt
Kurze Antworten auf Fragen, die ich in Gesprächen immer wieder höre. Mit Quellen und Stand-Datum.
Fragen
Häufige Fragen.
Schatten-KI heißt: Beschäftigte nutzen für die Arbeit KI-Werkzeuge, die das Unternehmen nicht ausgewählt oder geregelt hat, oft mit privaten Konten. Der Begriff kommt von Schatten-IT. Meist steckt keine böse Absicht dahinter, eher der Wunsch, schneller fertig zu werden.
Fragen Sie. Erst offen im Team, dann mit einer kurzen anonymen Umfrage. Vorher muss klar sein, dass für ehrliche Antworten niemand Ärger bekommt. In einer Bestandsaufnahme schaue ich außerdem mit Ihnen, welche Werkzeuge zu Ihren Aufgaben passen.
Vor allem, dass das Unternehmen keinen Vertrag und keinen Überblick hat. Verarbeitet ein Anbieter personenbezogene Daten im Auftrag, braucht es nach Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung, und den bieten private Gratis-Konten in der Regel nicht. Bei privaten ChatGPT-Konten (Free, Plus, Pro) ist laut OpenAI standardmäßig eingeschaltet, dass Eingaben zur Verbesserung der Modelle genutzt werden dürfen. Abschalten lässt sich das in den Einstellungen unter „Datenkontrollen“. Und wer geht, nimmt seine Chats und Vorlagen mit.
Als Übergangsregel ist das ein guter Schritt: Bitten Sie Ihr Team, die Freigabe unter „Datenkontrollen“ abzuschalten. Das Grundproblem bleibt aber. Das Konto gehört weiter der Person, und einen Vertrag mit Ihrem Unternehmen gibt es nicht. Inhalte aus ChatGPT Business, Enterprise und Edu nutzt OpenAI laut eigener Aussage standardmäßig nicht zum Training.
Ein Verbot allein löst das Problem selten, denn der Wunsch, schneller zu arbeiten, bleibt. Sinnvoll ist eine klare Übergangsregel, zum Beispiel: keine Kunden- und Personaldaten in private Konten. Und dann zügig ein gutes Werkzeug mit geschäftlichem Konto.
Darum geht es mir nicht. Ich setze auf gute Werkzeuge und klare Regeln. Wenn Sie zusätzlich technisch auswerten wollen, gehören Ihr Datenschutzverantwortlicher und, falls es einen gibt, der Betriebsrat vorher an den Tisch. Von heimlicher Kontrolle rate ich ab.
Setzt Ihr Unternehmen KI-Werkzeuge beruflich ein, betrifft Sie in der Regel Art. 4 KI-Verordnung. Danach ergreifen Sie Maßnahmen, um die KI-Kompetenz Ihrer Leute zu unterstützen, passend zu Rolle, Vorwissen und Einsatz. Ein Zertifikat ist laut EU-Kommission nicht vorgeschrieben. Eine gute Schulung hilft also doppelt: für die Pflicht und gegen Schatten-KI.
Das sage ich Ihnen erst, wenn ich weiß, wofür Ihr Team KI braucht und welche Software Sie schon haben. Ein Werkzeug, das nicht zu Ihren Aufgaben passt, wird nicht genutzt, und dann ist das private Konto schnell wieder offen.
Eine einfache Übergangsregel steht schnell. Bestandsaufnahme, Richtlinie und Schulung brauchen etwas länger. Einen Zeitplan bekommen Sie nach dem Erstgespräch.
Nein. Ich arbeite mit Ihrem Datenschutzverantwortlichen zusammen und erkläre die Anforderungen verständlich. Für rechtliche Einzelfragen ziehen wir Fachleute hinzu.
Wollen Sie wissen, was bei Ihnen läuft?
Erzählen Sie kurz, wie viele Leute bei Ihnen arbeiten und was Sie über die KI-Nutzung vermuten. Ich melde mich persönlich, und im Erstgespräch überlegen wir, wie Sie Überblick bekommen, ohne jemanden vorzuführen.
Erstgespräch: 30 Minuten, kostenfrei und unverbindlich.
Danke. Ihre Nachricht ist angekommen.
Ich melde mich persönlich bei Ihnen.