Schatten KI im Unternehmen: Was passiert, wenn das Team KI längst nutzt – aber ohne Regeln?

KI-Anwendungen sind in vielen Unternehmen längst im Arbeitsalltag angekommen – häufig schneller, als Geschäftsführung, IT oder Datenschutz reagieren konnten. Mitarbeiterinnen und Mitarbeiter formulieren Texte, übersetzen Dokumente, fassen Besprechungsnotizen zusammen oder analysieren Tabellen. Werden dafür eigenständig ausgewählte und nicht freigegebene KI-Dienste genutzt, spricht man von „Schatten KI“. Das Problem ist nicht die Initiative der Beschäftigten. Sie zeigt vielmehr, dass ein konkreter Bedarf an effizienteren Werkzeugen besteht. Kritisch wird es, wenn niemand weiß, welche Anwendungen genutzt, welche Informationen eingegeben und wie die Ergebnisse weiterverwendet werden. Ein pauschales Verbot löst dieses Problem selten. Es verlagert die Nutzung lediglich in einen unsichtbaren Bereich.

 

Wenn Unternehmenswissen nach außen gelangt

Wer Inhalte in einen öffentlich zugänglichen KI-Dienst eingibt, übermittelt sie an einen externen Anbieter. Das können Kundendaten, Verträge, Kalkulationen, technische Zeichnungen, Maschinendaten, Quellcode oder interne Strategiepapiere sein. Je nach Dienst, Tarif und Einstellung ist nicht immer transparent, wo diese Daten verarbeitet, wie lange sie gespeichert oder wofür sie verwendet werden. Besonders kritisch sind personenbezogene Daten, Geschäftsgeheimnisse sowie Informationen, die Vertraulichkeitsvereinbarungen unterliegen. Die Datenschutzkonferenz des Bundes und der Länder empfiehlt deshalb, Datenschutz bereits bei der Auswahl und Einführung von KI-Systemen systematisch zu berücksichtigen. Auch das Bundesamt für Sicherheit in der Informationstechnik informiert über Chancen und Sicherheitsrisiken generativer KI.

 

Überzeugend formuliert heißt nicht richtig

Generative KI erzeugt sprachlich plausible Ergebnisse, garantiert aber keine inhaltliche Richtigkeit. Quellen können erfunden, Berechnungen falsch und Zusammenfassungen unvollständig sein. Werden solche Inhalte ungeprüft in Angebote, Arbeitsanweisungen, Produktinformationen oder Entscheidungen übernommen, entstehen Qualitäts-, Haftungs- und Reputationsrisiken. In Produktionsunternehmen kann das besonders weitreichend sein: Eine fehlerhafte technische Empfehlung, ein mangelhaft erzeugter Programmcode oder eine unvollständige Sicherheitsanweisung darf nicht ungeprüft in operative Prozesse gelangen. KI-Ausgaben sollten daher grundsätzlich als Entwurf betrachtet und von fachkundigen Personen kontrolliert werden. Die Verantwortung bleibt beim Unternehmen und bei den handelnden Personen – nicht beim KI-System.

 

Nutzung sichtbar machen

Der erste Schritt besteht darin, den tatsächlichen Einsatz zu erfassen. Geschäftsführung und Produktionsleitung sollten offen fragen:

• Welche KI-Anwendungen werden bereits genutzt?
• Für welche Aufgaben kommen sie zum Einsatz?
• Welche Daten werden dabei eingegeben?
• Wo sehen die Beschäftigten den größten Nutzen?

Diese Bestandsaufnahme sollte nicht als Fehlersuche angelegt sein. Mitarbeiterinnen und Mitarbeiter müssen ohne Angst vor Sanktionen berichten können, welche Lösungen sie bereits ausprobieren. Nur dann erhält das Unternehmen ein realistisches Bild seiner Schatten KI. Anschließend lassen sich Anwendungsfälle nach Risiken unterscheiden. Das Formulieren eines allgemeinen Einladungstextes ohne interne Informationen ist anders zu bewerten als die Analyse von Personalunterlagen, Kundenverträgen oder vertraulichen Konstruktionsdaten.

 

Eine verständliche KI-Richtlinie schaffen

Eine interne KI-Richtlinie muss keine umfangreiche juristische Abhandlung sein. Sie sollte kurz und eindeutig festlegen:

• welche KI-Anwendungen freigegeben sind,
• welche Informationen niemals eingegeben werden dürfen,
• wann eine vorherige Zustimmung erforderlich ist,
• wie KI-Ergebnisse geprüft werden müssen,
• wer bei Fragen oder Sicherheitsvorfällen zuständig ist.

Zusätzlich sollten Unternehmen prüfen, wie die Anbieter Daten speichern und verarbeiten. Für sensible Anwendungen können geschäftliche Tarife, abgeschottete Unternehmenslösungen oder weitere technische Schutzmaßnahmen erforderlich sein. Schnittstellen zu internen Systemen dürfen erst nach einer Sicherheits- und Datenschutzprüfung eingerichtet werden.

 

KI-Kompetenz ist eine Führungsaufgabe

Regeln allein reichen nicht. Beschäftigte müssen verstehen, wie generative KI arbeitet, welche Fehler auftreten können und warum bestimmte Informationen geschützt werden müssen. Artikel 4 der europäischen KI-Verordnung verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zur Förderung der KI-Kompetenz ihrer Mitarbeiterinnen und Mitarbeitern zu ergreifen. Schulungen sollten sich am tatsächlichen Arbeitsalltag orientieren. Vertrieb und Kommunikation benötigen andere Beispiele als Entwicklung, Verwaltung oder Produktion. Sinnvoll sind kurze, regelmäßige Formate und konkrete Übungen: Welche Daten sind vertraulich? Wie werden KI-Antworten geprüft? Welche Ergebnisse dürfen übernommen werden? Wie ist ein Fehler oder Vorfall zu melden?

 

Aus Schatten KI eine kontrollierte Chance machen

Schatten KI ist vor allem ein Warnsignal: Die Beschäftigten erkennen den Nutzen von KI, aber das Unternehmen stellt noch keinen sicheren Rahmen bereit. Wer nur verbietet, verliert Transparenz und Innovationspotenzial. Wer dagegen geeignete Werkzeuge bereitstellt, Risiken bewertet, Mitarbeiterinnen und Mitarbeiter einbindet und klare Regeln etabliert, kann aus unkontrollierter Nutzung einen produktiven und verantwortbaren KI-Einsatz entwickeln. Unternehmen sollten deshalb nicht zuerst fragen, wie sie KI verhindern können. Entscheidend ist, wie sie deren Nutzung so gestalten, dass Effizienz, Datenschutz, Informationssicherheit und Qualität zusammenpassen.

Nutzen Ihr Kollegium bereits KI – aber noch ohne klare Regeln? Wir unterstützen Sie dabei, praxistaugliche Leitplanken einzurichten. Sprechen Sie uns gern an: kontakt@mdz-sk.de.