Schatten-KI im Betrieb: Wie Sie KI rechtssicher einsetzen, ohne alles zu verbieten
Wir bei Media Nord führen gerade sehr oft dasselbe Gespräch. Der Chef sagt: „Bei uns arbeitet noch niemand mit KI." Zwei Wochen später stellt sich heraus: Doch, fast alle. Nur eben mit privaten Zugängen, auf privaten Geräten, ohne dass jemand davon weiß. Für dieses Phänomen gibt es einen Begriff — Schatten-KI.
Wie groß ist das Problem wirklich?
Größer, als die meisten vermuten. Aktuelle Erhebungen zeichnen ein recht eindeutiges Bild:
- Rund 75 Prozent der Wissensarbeiter — also Menschen, die überwiegend am Schreibtisch arbeiten — nutzen bereits KI-Werkzeuge.
- Nur etwa 26 Prozent der Unternehmen stellen dafür offiziell freigegebene Dienste bereit.
- 78 Prozent der Nutzenden bringen also ihre eigenen Lösungen mit zur Arbeit.
- 98 Prozent der Unternehmen sagen, sie hätten eine KI-Strategie. Aktiv gesteuert wird sie in 39 Prozent der Fälle.
Die letzte Zahl ist die ehrlichste. Eine Strategie in der Schublade ist keine Strategie, sondern ein Dokument.
Was ist daran eigentlich riskant?
Nicht die KI. Das Risiko sind die Daten, die hineinwandern. Wenn eine Mitarbeiterin ein Angebot mit Kundennamen, Preisen und Konditionen in einen kostenlosen Chatbot kopiert, um es „mal schöner formulieren" zu lassen, dann hat sie personenbezogene Daten und Geschäftsgeheimnisse an einen Dienstleister übergeben, mit dem niemand einen Vertrag geschlossen hat.
Und jetzt der unangenehme Teil: Verantwortlich dafür ist nicht sie. Verantwortlich ist das Unternehmen. Bei einem Datenschutzvorfall fragt die Aufsichtsbehörde nicht, wer es getan hat, sondern welche Regeln es gab und ob sie durchgesetzt wurden.
Warum Verbote nicht funktionieren
Ehrlich gesagt halte ich das pauschale Verbot für die schlechteste aller Optionen — und ich sage das jedem Kunden, der damit anfängt. Es passiert nämlich Folgendes: Die Leute hören nicht auf, KI zu nutzen. Sie hören auf, davon zu erzählen. Damit haben Sie exakt dasselbe Risiko wie vorher, nur ohne jede Möglichkeit, es zu sehen.
Unsere Erfahrung aus der Praxis: Beschäftigte nutzen diese Werkzeuge nicht aus Nachlässigkeit, sondern weil ihr Arbeitstag damit besser funktioniert. Wer das verbietet, kämpft gegen einen echten Nutzen an — und verliert.
Vier Schritte, mit denen kleine Betriebe anfangen können
1. Ehrlich fragen — ohne Konsequenzen
Setzen Sie sich einmal zusammen und fragen Sie offen: Wer nutzt was, und wofür? Sagen Sie vorher deutlich, dass es keinen Ärger gibt. Sonst bekommen Sie keine ehrlichen Antworten. Nach diesem einen Termin wissen Sie mehr über Ihre Risiken als nach jedem Audit.
2. Ein bis zwei Werkzeuge offiziell freigeben
Wählen Sie einen Anbieter mit Geschäftskundenvertrag, bei dem Ihre Eingaben nicht zum Training verwendet werden, und bezahlen Sie ihn. Ein bezahlter Zugang für alle ist billiger als ein einziger Datenschutzvorfall — und er trocknet die Schatten-KI aus, weil das offizielle Werkzeug besser ist als das private.
3. Eine halbe Seite Regeln
Kein Handbuch. Eine halbe Seite reicht: Welche Daten dürfen rein (allgemeine Texte, öffentliche Informationen), welche nicht (Kundendaten, Personaldaten, Gesundheitsdaten, Zugangsdaten, komplette Verträge). Dazu ein Satz, dass Ergebnisse vor der Verwendung geprüft werden — KI erfindet gelegentlich Dinge, und das darf nicht ungeprüft zum Kunden gehen.
4. Verantwortung benennen
Eine Person, die zuständig ist. Nicht in Vollzeit — aber jemand, den man fragen kann, wenn ein neues Werkzeug auftaucht. Ohne Namen bleibt jede Regelung folgenlos.
Häufige Fragen
Brauchen wir dafür einen Anwalt?
Für den Einstieg nicht. Die vier Schritte oben schaffen Sie selbst. Sobald Sie KI in sensiblen Bereichen wie Personalauswahl oder Bonitätsprüfung einsetzen wollen, sollten Sie juristischen Rat holen — dort gelten unter der EU-KI-Verordnung strengere Regeln.
Reicht es, wenn ich eine Betriebsvereinbarung habe?
Sie ist ein guter Baustein, ersetzt aber nicht die praktische Freigabe von Werkzeugen. Sonst haben Sie Regeln für etwas, das offiziell nicht existiert.
Was ist mit kostenlosen KI-Zugängen?
Bei kostenlosen Diensten sind Ihre Eingaben oft Teil des Geschäftsmodells. Für interne Spielereien in Ordnung, für Kundendaten nicht.
Wie oft sollte man das überprüfen?
Einmal im Halbjahr reicht völlig. Der Markt verändert sich schnell, Ihre Regeln müssen nur mitwachsen, nicht mitrennen.
Unser Tipp aus der Praxis: Fangen Sie mit Schritt eins an, noch diese Woche. Das offene Gespräch kostet eine Stunde und ist der mit Abstand wirksamste Teil des Ganzen. Alles andere ergibt sich daraus fast von selbst.
Quellen
- https://t3n.de/news/ki-governance-compliance-check-rechtssichere-ki-nutzung-1755591/
- https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
- https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/start.html
Hinweis zur Transparenz: Dieser Beitrag wurde KI-gestützt erstellt und vor der Veröffentlichung redaktionell geprüft. Inhalte können Fehler enthalten — für wichtige Entscheidungen bitte die verlinkten Originalquellen heranziehen.
