Nutzen meine Mitarbeiter KI ohne mein Wissen?

Die ehrliche Antwort ist unbequem: Wahrscheinlich nutzt bei Ihnen schon jemand KI, ohne dass Sie es genau wissen. Das ist kein Vorwurf an Ihr Team. Meistens heißt es nur, dass die Leute schneller fertig werden wollen und ihnen niemand ein offizielles Werkzeug gegeben hat.

Vorweg: Das hier ist eine Erklärung, keine Rechtsberatung. Für Ihren Einzelfall sind Ihr Datenschutzbeauftragter oder eine Anwältin zuständig.

Was die Zahlen sagen

Das Institut der deutschen Wirtschaft (IW) hat im März und April 2026 Beschäftigte in Deutschland befragt. Ausgewertet wurden 2.793 Erwerbstätige, die KI nutzen. Veröffentlicht hat das IW die Ergebnisse am 19. September 2026:

• 29,1 % der Beschäftigten, die beruflich KI nutzen, greifen dabei zu Tools, die ihr Arbeitgeber nicht bereitgestellt hat.
• In Unternehmen mit weniger als 50 Beschäftigten sind es 33,5 %, also etwa jeder Dritte.
• In Unternehmen ab 250 Beschäftigten sind es 25,5 %. Große Unternehmen stellen häufiger eigene KI-Tools bereit.

So belastbar sind die Zahlen: Laut IW ist die Befragung repräsentativ. Es sind aber Selbstauskünfte. Und „nicht bereitgestellt“ heißt laut IW nicht zwingend heimlich oder verboten. Vielleicht weiß die Chefin sogar davon und findet es in Ordnung. Außerhalb der betrieblichen Kontrolle ist es trotzdem.

Die Unternehmen selbst ahnen das. In einer Bitkom-Umfrage von 2025 gingen rund vier von zehn Unternehmen ab 20 Beschäftigten davon aus, dass Beschäftigte private KI-Werkzeuge nutzen. Auch das ist eine Selbstauskunft, diesmal der Unternehmen.

Und international? Im Work Trend Index 2024 von Microsoft und LinkedIn sagten 78 % der KI-Nutzenden, dass sie ihre eigenen KI-Tools mit zur Arbeit bringen. Befragt wurden 31.000 Menschen in 31 Ländern. Das ist eine weltweite Zahl, keine für Deutschland, aber sie zeigt die Richtung.

Was das für Sie bedeutet

Meistens steckt keine böse Absicht dahinter. Die Kollegin will die Kundenmail freundlicher formulieren, der Kollege das lange Protokoll schneller zusammenfassen. Das Problem ist meist nicht die KI, sondern das Konto:

• Firmendaten liegen außerhalb Ihrer Kontrolle. Was in ein privates Konto kopiert wird, liegt bei einem Konto, das Sie nicht verwalten. Sie können dort weder nachsehen noch etwas löschen.
• Eingaben können ins Training fließen. Bei privaten ChatGPT-Konten (Free, Plus, Pro) ist laut OpenAI standardmäßig eingeschaltet, dass Eingaben zur Verbesserung der Modelle genutzt werden dürfen. Abschalten lässt sich das unter „Datenkontrollen“.
• Es gibt keinen Vertrag. Verarbeitet ein Anbieter personenbezogene Daten in Ihrem Auftrag, braucht es nach Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Private Gratis-Konten bieten den in der Regel nicht.
• Das Wissen geht mit. Gute Prompts und Vorlagen liegen im Chatverlauf der Person. Kündigt sie, sind sie für Sie weg.

Was ChatGPT mit Eingaben macht und welche Einstellungen helfen, steht ausführlich in der Antwort zu ChatGPT und Datenschutz.

Wie Sie es herausfinden, ohne zu überwachen

Dafür brauchen Sie keine Software, die Ihre Leute beobachtet. Am meisten erfahren Sie, wenn Sie fragen und vorher klarmachen, dass niemand Ärger bekommt.

1. Offen im Team fragen. Sagen Sie im Teammeeting zuerst, dass KI willkommen ist und Sie nur Ordnung hineinbringen wollen. Dann fragen Sie, wer was wofür nutzt.
2. Anonym nachfragen. Eine kurze Umfrage ohne Namen, zum Beispiel mit diesen fünf Fragen: Nutzen Sie bei der Arbeit KI-Werkzeuge? Welche? Mit welchem Konto, privat oder vom Unternehmen? Wofür vor allem? Was würde Ihnen helfen? In kleinen Teams lassen Sie die Frage nach der Abteilung besser weg, sonst ist anonym schnell nicht mehr anonym.
3. Bestandsaufnahme mit mir. Ich spreche mit Ihnen und einigen aus dem Team, werte die Umfrage aus und schaue, welche Software Sie schon haben. Danach wissen Sie, was genutzt wird und womit Sie anfangen.

Und technisch auswerten? Manche Firewalls zeigen, welche KI-Seiten im Firmennetz aufgerufen werden. Solche Auswertungen berühren Datenschutz und Mitbestimmung, vor allem, wenn sie Rückschlüsse auf einzelne Personen zulassen. Wenn überhaupt, dann nur offen angekündigt und vorher abgestimmt mit Ihrem Datenschutzbeauftragten und, falls es einen gibt, dem Betriebsrat. Von heimlicher Kontrolle rate ich ab. Wer sich beobachtet fühlt, nutzt KI weiter, nur unauffälliger.

Wie das zusammen aussieht, zeige ich unter Schatten-KI prüfen.

Was Sie jetzt tun sollten

1. Eine Übergangsregel aufstellen. Zum Beispiel: Keine Kunden- und Personaldaten in private Konten. Und wer bis auf Weiteres privat arbeitet, schaltet das Modelltraining unter „Datenkontrollen“ ab.
2. Ein Werkzeug mit Firmenkonto anbieten. Es muss mindestens so gut sein wie das private, sonst bleibt alles beim Alten. Bei ChatGPT Business, Enterprise und Edu nutzt OpenAI Inhalte laut eigener Aussage standardmäßig nicht zum Training. Die Datenschutzkonferenz empfiehlt ohnehin, dass Arbeitgeber für die berufliche Nutzung eigene Accounts bereitstellen.
3. Regeln aufschreiben. Welche Werkzeuge wofür erlaubt sind und welche Daten draußen bleiben. Eine Gliederung als Muster steht in der Antwort auf Brauchen wir eine KI-Richtlinie?
4. Schulen. Damit alle wissen, wo KI hilft und wo sie danebenliegt. Das gehört auch zu Art. 4 KI-Verordnung: Unternehmen, die KI-Systeme beruflich einsetzen, ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals zu unterstützen. Ein Zertifikat ist laut EU-Kommission nicht vorgeschrieben. Wie ich das angehe, steht unter KI-Schulungen.

Die meisten dieser Schritte stecken im Paket KI-Startklar: Bestandsaufnahme, Datenschutz-Check mit Ihrem Datenschutzverantwortlichen, Entwurf einer KI-Richtlinie und ein Workshop für das Kernteam. Was dabei rechtlich zu beachten ist, finden Sie unter Sicherer KI-Einsatz.

Praxisbeispiel

Erfundenes Beispiel. Ein Sanitärgroßhandel mit 18 Leuten. Der Geschäftsführer ist sicher: Bei uns nutzt niemand KI. Dann macht er eine anonyme Umfrage mit fünf Fragen und schreibt vorher dazu, dass niemand Ärger bekommt. Das Ergebnis überrascht ihn. Im Büro entstehen Angebotstexte längst mit KI, und im Lager übersetzt jemand Mails an Lieferanten mit einer App auf dem Handy. Fast alles läuft über private Konten. Gerügt wird niemand. Stattdessen gibt es ein Firmenkonto und eine Seite mit Regeln. Die beiden, die am meisten ausprobiert hatten, zeigen den anderen in einer kurzen Schulung, wie es geht.