Ein Vertriebsmitarbeiter lässt sich von einem Chatbot eine Angebotsmail formulieren. Eine Kollegin aus dem Einkauf lädt einen Lieferantenvertrag hoch, um ihn zusammenfassen zu lassen. Im Marketing wird eine Pressemitteilung per KI übersetzt. Keiner dieser Schritte ist böswillig, alle sparen Zeit. Und doch entsteht genau so Schatten-KI: der Einsatz von KI-Tools, von dem die Organisation nichts weiß und den niemand steuert.
Unsere Erfahrung aus Audits und Beratungsprojekten zeigt immer wieder dasselbe Bild: In vielen Unternehmen werden deutlich mehr KI-Anwendungen genutzt, als IT und Geschäftsführung vermuten. Dieser Beitrag erklärt, warum Schatten-KI zum Risiko für Informationssicherheit und Compliance wird und wie eine praxistaugliche KI-Governance aussieht.
Was ist Schatten-KI?
Der Begriff Schatten-KI, im Englischen Shadow AI, ist an die bekannte Schatten-IT angelehnt. Gemeint sind KI-Tools, die Mitarbeitende ohne Freigabe, ohne Prüfung und oft ohne Wissen der IT-Abteilung nutzen. Das reicht von kostenlosen Chatbots im Browser über KI-Funktionen in bereits eingesetzter Software bis zu Browser-Erweiterungen, die Texte automatisch umschreiben.
Warum Mitarbeitende zu nicht freigegebenen Tools greifen
Der Antrieb ist fast immer Effizienz. KI-Werkzeuge sind leicht zugänglich, oft kostenlos und liefern in Sekunden Ergebnisse, für die früher eine halbe Stunde nötig war. Gibt es im Unternehmen keine freigegebenen Alternativen und keine klaren Regeln, suchen sich Mitarbeitende eigene Lösungen. Ein pauschales Verbot ändert daran wenig. Es verlagert die Nutzung meist nur auf private Geräte und macht Schatten-KI noch unsichtbarer.
Welche Risiken Schatten-KI für die Informationssicherheit birgt
Das Problem ist nicht die Technologie selbst, sondern fehlende Transparenz. Solange niemand weiß, welche Tools im Einsatz sind, lassen sich die damit verbundenen Risiken weder bewerten noch behandeln.
Vertrauliche Daten verlassen das Unternehmen
Wer einen Vertrag, Kundendaten oder interne Konstruktionsdetails in ein öffentliches KI-Tool kopiert, gibt diese Informationen an einen externen Anbieter weiter. Je nach Nutzungsbedingungen können Eingaben gespeichert, ausgewertet oder für das Training weiterer Modelle verwendet werden. Für die Informationssicherheit bedeutet das: Daten verlassen den kontrollierten Bereich, ohne dass Klassifizierung, Risikobewertung oder ein Auftragsverarbeitungsvertrag berücksichtigt wurden. Gerade in Unternehmen mit TISAX- oder NIS-2-Anforderungen kann daraus schnell ein Datenschutzvorfall oder ein Auditbefund werden.
Fehlerhafte Ergebnisse und unklare Verantwortung
KI-Modelle können überzeugend klingende, aber falsche Inhalte erzeugen. Übernimmt jemand eine fehlerhafte Übersetzung in ein Kundendokument oder eine falsche Zusammenfassung in eine Entscheidungsvorlage, stellt sich die Frage, wer dafür verantwortlich ist. Ohne definierte Prüfprozesse und Zuständigkeiten bleibt diese Frage oft unbeantwortet, bis ein Schaden entstanden ist.
Compliance-Anforderungen werden verfehlt
Auch regulatorisch wächst der Druck. Die DSGVO gilt selbstverständlich auch für personenbezogene Daten, die in KI-Tools eingegeben werden. Die europäische KI-Verordnung (AI Act) verpflichtet Unternehmen zudem bereits seit Februar 2025, die KI-Kompetenz ihrer Mitarbeitenden zu fördern. Wer nicht weiß, welche KI-Systeme genutzt werden, kann solche Pflichten kaum nachvollziehbar erfüllen. Schatten-KI wird damit auch zum Compliance-Risiko.
Was KI-Governance gegen Schatten-KI leisten muss
KI-Governance bedeutet nicht, Innovation auszubremsen. Ziel ist, klare Rahmenbedingungen zu schaffen, damit Mitarbeitende KI sicher und produktiv nutzen können. In der Praxis haben sich mehrere Bausteine bewährt.
Transparenz schaffen und Schatten-KI sichtbar machen
Am Anfang steht eine Bestandsaufnahme. Eine kurze, anonyme Umfrage unter den Mitarbeitenden, ergänzt um Auswertungen aus Proxy- oder Firewall-Logs, zeigt häufig überraschend schnell, welche Tools tatsächlich genutzt werden. Wichtig ist, diese Erhebung nicht als Kontrolle zu kommunizieren, sondern als Einladung zum Dialog.
Freigegebene Tools und klare Nutzungsrichtlinien
Wer Schatten-KI wirksam reduzieren will, braucht attraktive Alternativen. Unternehmen sollten geprüfte KI-Tools bereitstellen und in einer verständlichen Richtlinie festlegen, welche Daten eingegeben werden dürfen, wie Ergebnisse zu prüfen sind und wann eine Kennzeichnung nötig ist. Eine einfache Ampellogik nach Schutzklassen, also öffentlich, intern und vertraulich, hilft im Arbeitsalltag mehr als ein zwanzigseitiges Regelwerk.
Verantwortlichkeiten und risikobasierte Prozesse
Zu einer belastbaren KI-Governance gehören benannte Verantwortliche, ein Freigabeprozess für neue Tools und eine Risikobewertung, die sich an den bestehenden Prozessen des ISMS orientiert. Wer bereits nach ISO 27001 arbeitet, kann viele Strukturen wiederverwenden, etwa das Lieferantenmanagement oder die Risikoanalyse. Ergänzend bietet die Norm ISO/IEC 42001 einen Rahmen für ein eigenes KI-Managementsystem, das sich gut mit einem bestehenden ISMS verbinden lässt.
Schulung und Sensibilisierung
Regeln wirken nur, wenn sie verstanden werden. Kurze, praxisnahe Schulungen mit Beispielen aus dem eigenen Arbeitsalltag fördern die KI-Kompetenz, wie sie der AI Act verlangt, und senken gleichzeitig das Risiko unbeabsichtigter Datenabflüsse.
Schatten-KI in der Praxis: ein typisches Szenario
Ein mittelständisches Maschinenbauunternehmen stellt bei einer internen Erhebung fest, dass rund ein Dutzend verschiedener KI-Tools im Einsatz ist, vom Übersetzungsdienst bis zum Code-Assistenten. Statt alles zu verbieten, gibt das Unternehmen zwei geprüfte Werkzeuge frei, führt eine einseitige Nutzungsrichtlinie ein und sensibilisiert alle Teams in einer kurzen Schulung. Nach einigen Wochen sinkt die Nutzung nicht freigegebener Tools deutlich, und die IT hat erstmals einen vollständigen Überblick. Die Schatten-KI ist damit nicht vollständig verschwunden, aber sichtbar und steuerbar geworden.
Bei Syngenity unterstützen wir Unternehmen dabei, praxistaugliche Strukturen für KI-Governance aufzubauen: von klaren Nutzungsrichtlinien über risikobasierte Prozesse bis zur Festlegung von Verantwortlichkeiten.
Fazit: Schatten-KI braucht Governance statt Verbote
KI ist in vielen Unternehmen längst Teil des Arbeitsalltags, ob offiziell oder nicht. Entscheidend ist, ob ihr Einsatz transparent, kontrolliert und im Einklang mit Informationssicherheit und Compliance erfolgt. Schatten-KI entsteht nicht aus böser Absicht, sondern aus fehlenden Regeln und fehlenden Alternativen. Wer Transparenz schafft, geprüfte Tools bereitstellt und Verantwortlichkeiten klar regelt, macht aus einem unkontrollierten Risiko einen echten Produktivitätsgewinn. KI braucht mehr als Einführung. Sie braucht Governance.
