Schatten-KI

Schatten-KI folgt demselben Muster wie früher die Schatten-IT (private Dropbox, WhatsApp mit Kunden): Beschäftigte greifen zu Werkzeugen, die schneller helfen als der offizielle Weg. Bei KI ist die Schwelle besonders niedrig — ein Gratis-Account ist in Minuten angelegt, und der Nutzen im Alltag ist sofort spürbar. Deshalb ist Schatten-KI in vielen Betrieben Realität, die sie noch nicht aktiv adressiert haben.

Das Risiko liegt in dem, was mit den Eingaben passiert: In privaten Gratis-Accounts fehlen Auftragsverarbeitungsvertrag und Trainings-Ausschluss — Kundendaten, Kalkulationen oder Vertragsentwürfe landen damit bei einem Drittanbieter, ohne Rechtsgrundlage und außerhalb jeder Kontrolle. Dazu kommen Compliance-Folgen: Die KI-Kompetenzpflicht und eure eigenen Vertraulichkeitszusagen gegenüber Kunden lassen sich mit unbekannter Tool-Nutzung nicht einhalten.

Der Reflex „dann verbieten wir KI eben" verschärft das Problem nur — die Nutzung wandert tiefer in den Schatten. Betriebe, die stattdessen einen freigegebenen, leistungsfähigen Weg anbieten, trocknen die Schatten-Nutzung erfahrungsgemäß schnell aus.

Schatten-KI ernst zu nehmen heißt zweierlei Gewinn: Ihr schließt eine reale Datenschutz-Lücke, und ihr entdeckt dabei, wo euer Team längst Bedarf hat — jede heimliche Nutzung ist ein unbezahlter Hinweis auf einen lohnenden Anwendungsfall. Die Bestandsaufnahme („Wer nutzt heute was wofür?") ist deshalb kein Kontrolltermin, sondern eine der schnellsten Use-Case-Recherchen überhaupt — vorausgesetzt, sie läuft sanktionsfrei.

Die Gegenmaßnahmen sind günstig: eine sanktionsfreie Bestandsaufnahme, eine kurze KI-Richtlinie (erlaubte Tools, verbotene Eingaben, Prüfregeln), Business-Accounts mit AVV statt privater Logins (typisch zweistelliger Euro-Betrag pro Kopf und Monat) und eine Team-Schulung. Wo trotzdem personenbezogene Daten in Eingaben landen, ergänzt ein Anonymisierungs-Layer wie der unseres Partners anymize den Schutz. Das ist zusammen ein überschaubares Projekt von wenigen Tagen — verglichen mit einem meldepflichtigen Datenschutzvorfall die deutlich billigere Variante. Keine Rechtsberatung; Meldepflichten im Ernstfall klärt euer Datenschutzbeauftragter.

Bei einem Personaldienstleister mit 50 Mitarbeitenden ergab die anonyme Abfrage: 14 Beschäftigte nutzten private KI-Accounts, darunter für Bewerberprofile — ein echtes DSGVO-Problem. Statt Abmahnungen gab es binnen vier Wochen freigegebene Business-Accounts, eine Zwei-Seiten-Richtlinie und eine Schulung. Sechs Monate später läuft die Nutzung sichtbar über die Firmen-Accounts, und aus zwei der „heimlichen" Anwendungsfälle wurden offizielle Workflows.