Was ist Schatten-KI?

Der Begriff kommt von Schatten-IT: Technik, die im Unternehmen genutzt wird, ohne dass die IT davon weiß. Bei Schatten-KI ist es zum Beispiel das private ChatGPT-Konto, mit dem jemand schnell eine E-Mail formuliert oder ein langes Dokument zusammenfasst.

Meistens steckt keine böse Absicht dahinter. Die Leute wollen gut und schnell arbeiten, und die Werkzeuge sind nur einen Klick entfernt. Gerade deshalb lohnt es sich, genauer hinzuschauen.

Was die Zahlen sagen

Die Sicht der Beschäftigten: IW Köln 2026

Das Institut der deutschen Wirtschaft (IW) hat im März und April 2026 Beschäftigte in Deutschland befragt. Ausgewertet wurden 2.793 Erwerbstätige, die KI nutzen. Die Ergebnisse hat das IW am 19. September 2026 veröffentlicht:

• 29,1 % der Beschäftigten, die beruflich KI nutzen, greifen dabei zu Tools, die ihr Arbeitgeber nicht bereitgestellt hat.
• In Unternehmen mit weniger als 50 Beschäftigten sind es 33,5 %, also etwa jeder Dritte.
• In Unternehmen ab 250 Beschäftigten sind es 25,5 %. Große Unternehmen stellen häufiger eigene KI-Tools bereit.

So belastbar sind die Zahlen: Laut IW ist die Befragung repräsentativ. Es sind aber Selbstauskünfte der Beschäftigten. Und „nicht bereitgestellt“ heißt laut IW nicht zwingend heimlich oder verboten. Außerhalb der betrieblichen Kontrolle ist es trotzdem.

Die Sicht der Unternehmen: Bitkom 2025

Der Digitalverband Bitkom hat 2025 Unternehmen in Deutschland dazu befragt und die Ergebnisse am 21. Oktober 2025 veröffentlicht. Gefragt wurde nach generativer KI, also KI, die Texte, Bilder oder anderes neu erzeugt:

• In 8 % der Unternehmen ist die Nutzung privater KI-Tools nach eigener Aussage weit verbreitet. Im Jahr davor waren es 4 %.
• 17 % kennen Einzelfälle. Weitere 17 % wissen es nicht sicher, gehen aber davon aus. Zusammen sind das rund vier von zehn Unternehmen.
• 24 % wissen es ebenfalls nicht sicher, gehen aber nicht davon aus.
• 23 % haben Regeln für den Einsatz von KI-Tools aufgestellt.
• 26 % stellen ihren Beschäftigten selbst einen Zugang zu generativer KI bereit.

So belastbar sind die Zahlen: Bitkom Research hat 604 Unternehmen in Deutschland ab 20 Beschäftigten telefonisch befragt, in den Kalenderwochen 27 bis 32 des Jahres 2025. Laut Bitkom ist die Umfrage repräsentativ. Es sind aber Selbstauskünfte der Unternehmen, keine Messung des tatsächlichen Verhaltens. Betriebe mit weniger als 20 Beschäftigten sind nicht erfasst.

Und international?

Im Work Trend Index 2024 von Microsoft und LinkedIn sagten 78 % der KI-Nutzenden, dass sie ihre eigenen KI-Tools mit zur Arbeit bringen. Befragt wurden 31.000 Menschen in 31 Ländern. Das ist eine weltweite Zahl, keine für Deutschland. Sie zeigt aber, dass Schatten-KI kein deutsches Sonderthema ist.

Welche Risiken birgt Schatten-KI?

• Daten landen in privaten Konten. Ohne Vertrag mit dem Anbieter und ohne Überblick, was eingegeben wurde. Für personenbezogene Daten braucht es nach Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung, und den bieten private Gratis-Konten in der Regel nicht.
• Eingaben können ins Training fließen. Bei privaten ChatGPT-Konten (Free, Plus, Pro) ist laut OpenAI standardmäßig eingeschaltet, dass Eingaben zur Verbesserung der Modelle genutzt werden dürfen. Abschalten lässt sich das unter „Datenkontrollen“. Mehr dazu in der Antwort zu ChatGPT und Datenschutz.
• Niemand prüft die Ergebnisse. KI kann sich irren, und ein falsches Angebot fällt dann erst beim Kunden auf.
• Wissen bleibt privat. Gute Prompts und Erfahrungen liegen im Chatverlauf einzelner Leute, nicht im Unternehmen. Wer geht, nimmt sie mit.

Auch die Datenschutzkonferenz, das Gremium der deutschen Datenschutzaufsichtsbehörden, schreibt in ihrer Orientierungshilfe zu KI: Ohne klare Regeln besteht das Risiko, dass Beschäftigte KI eigenmächtig und unkontrolliert nutzen. Schon im Mai 2024 ging sie davon aus, dass das in vielen Unternehmen Realität ist.

Schatten-KI prüfen und ordnen: Was hilft, und was nicht

Was nicht hilft: Mitarbeitende überwachen oder vorführen. Wer Angst hat, nutzt KI weiter, nur heimlicher.

Was hilft:

1. Offen fragen. Wer nutzt was wofür? Ohne Schuldfrage, gern anonym. Wie das geht, steht in der Antwort auf Nutzen meine Mitarbeiter KI ohne mein Wissen?
2. Gute Werkzeuge erlauben. Ein geschäftliches Konto, das mindestens so gut ist wie das private. Sonst bleibt das private im Einsatz.
3. Regeln aufschreiben. Welche Werkzeuge wofür, welche Daten nicht. Eine Gliederung als Muster steht in der Antwort auf Brauchen wir eine KI-Richtlinie?
4. Schulen. Damit alle wissen, wo KI hilft und wo sie danebenliegt. Das gehört auch zur KI-Kompetenz nach Art. 4 KI-Verordnung. Mehr dazu unter KI-Schulungen.

Bitkom empfiehlt in derselben Veröffentlichung Ähnliches: klare Regeln für den KI-Einsatz und eigene KI-Werkzeuge für die Beschäftigten.

Wie ich dabei vorgehe, zeige ich unter Schatten-KI. Was rechtlich zu beachten ist, steht unter Sicherer KI-Einsatz. Der Einstieg ist das Paket KI-Startklar. Das alles ist eine Erklärung, keine Rechtsberatung.

Praxisbeispiel

Erfundenes Beispiel. In einem Planungsbüro mit 30 Leuten klingen manche Texte plötzlich sehr glatt. Statt nachzuforschen, wer da was nutzt, fragt die Geschäftsführung im Teammeeting offen nach. Es stellt sich heraus: Ein Teil des Teams probiert KI schon länger aus, meist mit privaten Konten. Niemand wird dafür gerügt. Stattdessen gibt es ein geschäftliches Konto, eine Seite mit Regeln und eine kurze Schulung. Für die Arbeit braucht danach niemand mehr sein privates Konto.