KI · Schatten-KI

Schatten-KI stoppen – Inventur, Richtlinie und legitime Alternative.

71 % der Arbeitnehmer nutzen unfreigegebene KI-Tools – meist mit Firmendaten. Die Lösung ist nicht „verbieten“, sondern eine legitime, DSGVO-konforme Alternative plus Schulung.

KI-Erstgespräch anfragen Förderung prüfen

Inhalt

Aktualisiert Mai 2026 · ca. 9 Min. Lesezeit · von Martin Hofmann, Geschäftsführer z1Digital

Kurz & direkt

Schatten-KI (Shadow AI) ist die ungenehmigte, nicht-überwachte Nutzung von KI-Tools durch Mitarbeitende – meist mit Firmendaten, meist ohne Wissen der Geschäftsführung. Eine Microsoft-Studie 2026 zeigt: 71 % der Arbeitnehmer nutzen unfreigegebene KI-Tools im Berufsleben, 51 % davon wöchentlich. Über 80 % der Unternehmen sind in irgendeinem Bereich betroffen. Die Risiken: DSGVO-Verstöße, Geschäftsgeheimnis-Verlust, EU-AI-Act-Compliance-Brüche, Cybersecurity-Lücken. Die Lösung ist nicht „ChatGPT verbieten" – das funktioniert nachweislich nicht. Die Lösung ist eine legitime, DSGVO-konforme Alternative (CompanyGPT) plus strukturierte Schulung der Mitarbeitenden.

Definition

Schatten-KI (Shadow AI)

Die ungenehmigte und nicht-überwachte Nutzung von KI-Tools durch Mitarbeitende – meist mit Firmendaten und ohne Wissen oder Freigabe der Geschäftsführung. Anders als ein klassisches IT-Sicherheits-Thema ist Schatten-KI vor allem ein Kultur- und Management-Problem: Sie entsteht, weil Mitarbeitende ihre Arbeit effizienter machen wollen, aber keine legitime Alternative haben.

Das Problem in drei Zahlen

Wert	Befund	Quelle
71 %	der Arbeitnehmer nutzen unfreigegebene KI-Tools im Berufsleben	Microsoft Work Trend Index 2026
51 %	davon nutzen Schatten-KI wöchentlich	Microsoft Work Trend Index 2026
> 80 %	der untersuchten Unternehmen haben Schatten-KI-Aktivitäten	Branchenstudien 2025/2026

Stand 2026: Schatten-KI ist nicht eine Frage von „Sind wir betroffen?", sondern „Wie tief sind wir betroffen?".

Hintergründe, typische Szenarien und Risiken im Detail erklärt unser Ratgeber Schatten-KI im Unternehmen – erkennen und aufdecken.

Die vier typischen Schatten-KI-Szenarien

Szenario 1 – Der heimliche ChatGPT-Nutzer

Ein Mitarbeitender im Marketing nutzt ChatGPT-Pro mit seinem privaten Account, um Werbe-Texte zu schreiben. Kopiert dafür Kunden-Briefings, Wettbewerbs-Analysen und interne Markt-Daten in das Tool – vermutlich landen Teile davon in zukünftigen Trainingsdaten. Risiko: Geschäftsgeheimnisse in fremden Trainingsdaten, DSGVO-Verstoß bei personenbezogenen Daten.

Szenario 2 – Die KI-Übersetzung im HR

Eine HR-Mitarbeiterin übersetzt englische CVs internationaler Bewerber mit DeepL oder Google Translate, kopiert dafür die Klartexte (inkl. Namen, Adressen, Gehaltsvorstellungen) in das Tool. Risiko: DSGVO-Verstoß; mögliche Verletzung der Anti-Diskriminierungs-Pflichten, wenn die KI-Übersetzung subtile Bedeutungs-Verschiebungen einführt.

Szenario 3 – Der KI-Code-Assistent

Ein Entwickler nutzt GitHub Copilot oder ChatGPT für Code-Snippets. Lädt dafür Auszüge aus dem proprietären Unternehmens-Code hoch. Risiko: Code-Leak; bei lizenzpflichtigem Code potenzielle Lizenz-Verletzung.

Szenario 4 – Die KI-Analyse im Vertrieb

Ein Vertriebsleiter analysiert Kunden-Daten mit ChatGPT – kopiert dafür Umsatz-Listen, Vertrags-Konditionen und Kunden-Profile in das Tool, um „strategische Insights" zu generieren. Risiko: vollständiger Daten-Leak strategischer Vertriebs-Informationen.

Die fünf Hauptrisiken – strukturiert

1. DSGVO-Verstoß

Personenbezogene Daten (Namen, Adressen, Telefon, Bewerbungs-Unterlagen, Kunden-Profile) dürfen nicht ohne Rechtsgrundlage in externe KI-Dienste. Auch wenn der Mitarbeitende das nicht bewusst tut – die Verantwortung liegt bei Ihnen als Organisation.

2. Geschäftsgeheimnis-Verlust

Strategische Informationen (Pricing, Wettbewerbsanalysen, Vertragsentwürfe, Patente in Vorbereitung) können in fremden Trainingsdaten landen – auch wenn die Tool-Anbieter beteuern, dass das nicht passiert.

3. EU-AI-Act-Compliance-Bruch

Mitarbeitende, die KI nutzen, müssen seit dem 02.02.2025 nach Art. 4 geschult sein. Bei Schatten-KI-Nutzung gibt es keine Schulungs-Dokumentation – Compliance-Bruch. Mehr im EU AI Act im Detail.

4. Cybersecurity-Lücke

Unfreigegebene Tools wurden nicht von Ihrer IT geprüft. Sie können Sicherheits-Lücken haben, mit Schadcode infiziert sein oder unsichere Datenübertragung nutzen.

5. Wissens-Verlust

Was Mitarbeitende mit Schatten-KI erzeugen (Texte, Analysen, Code), wird oft nicht systematisch dokumentiert. Bei Mitarbeiter-Wechseln geht das KI-erzeugte Wissen mit – im Unternehmen bleibt nichts.

Kostenloses Tool

Drei Fragen genügen, um zu sehen, welche EU-AI-Act-Pflichten Ihre Schatten-KI-Nutzung auslöst — zum EU-AI-Act-Check.

Warum „ChatGPT verbieten" nicht funktioniert

Drei Gründe, warum Verbote in der Praxis scheitern:

1. Mitarbeitende wollen ihre Arbeit effizient machen

Wer mit ChatGPT in 10 Minuten erledigt, was sonst 40 Minuten dauert, wird das weiter tun. Das Verbot wird ignoriert oder umgangen (privates Smartphone, Heimnetz).

2. Technische Sperren sind unvollständig

Sie können chat.openai.com im Unternehmens-Netz blockieren. Aber: Claude, Gemini, DeepSeek, Mistral, Perplexity – es gibt Dutzende KI-Tools. Eine permanente IT-Aufholjagd.

3. Die rechtliche Schulungspflicht greift trotzdem

Auch wenn Sie KI verbieten – wenn Mitarbeitende sie heimlich nutzen, sind Sie als Organisation in der Verantwortung. Die EU-AI-Act-Schulungspflicht greift unabhängig von internen Vereinbarungen.

Die z1Digital-Lösung – Schatten-KI in legitime Nutzung überführen

Drei Bausteine, die zusammen wirken:

Baustein 1 – Eine DSGVO-konforme Alternative anbieten

Stellen Sie Ihren Mitarbeitenden eine legitime KI-Plattform zur Verfügung, die DSGVO-konform in Ihrer Infrastruktur läuft. CompanyGPT ist genau das:

selbstgehostet – Daten verlassen nicht Ihre Infrastruktur
modellunabhängig – bindet OpenAI/Anthropic/Llama nach Wahl ein
mit eigener Daten-Anbindung (humbee, SharePoint, eigene DB)
zentral administriert – Sie sehen, wer es nutzt, wofür und wann

Wenn Mitarbeitende eine bessere legitime Alternative haben, brauchen sie ChatGPT nicht heimlich.

Baustein 2 – Strukturierte Schulung

Mitarbeitende müssen wissen, was KI kann und was nicht, welche Daten in welche Tools gehören, wie man Halluzinationen erkennt, wie DSGVO-Compliance in der Praxis aussieht und was die EU-AI-Act-Pflichten konkret bedeuten. Eine 2–4-Stunden-Grundschulung deckt das ab. Mehr: KI-Grundschulung für Unternehmen – 240 €/TN.

Baustein 3 – Klare Verfahrens-Dokumentation

Schriftlich festgelegt: Welche KI-Tools sind erlaubt? Welche Daten dürfen wo eingegeben werden? Wer ist verantwortlich bei Verstößen? Wie werden neue Tools freigegeben? Das ist nicht „ein 30-Seiten-Compliance-Dokument im Schrank" – sondern eine 2-Seiten-Klarheit für alle Mitarbeitenden.

Was z1Digital konkret macht – die Schatten-KI-Beseitigung in 6 Wochen

Fünf Schritte von der anonymen Inventur bis zur klaren Kommunikation:

1
1 Woche
Schatten-KI-Inventur

Anonyme Mitarbeiter-Befragung: Welche KI-Tools werden tatsächlich genutzt? Mit welchen Daten? Wofür? Ergebnis: ein realistisches Bild der Schatten-KI in Ihrer Organisation.
2
1 Woche
Compliance-Check

Welche der gefundenen Nutzungen sind kritisch? Welche sind harmlos? Welche DSGVO-Verstöße liegen vor? Welche Schulungspflichten sind verletzt?
3
4–6 Wochen
CompanyGPT-Einführung

Eine eigene DSGVO-konforme KI-Plattform aufsetzen – mit den 3 wichtigsten Use Cases produktiv. Details unter CompanyGPT im Detail.
4
1 Tag pro Gruppe
Schulung der Mitarbeitenden

KI-Grundschulung nach Art. 4 EU AI Act – gleichzeitig Onboarding für CompanyGPT.
5

Verfahrens-Dokumentation und Kommunikation

Klare Regeln, klare Kommunikation. Mitarbeitende wissen ab Tag 1: was geht, was nicht und was die legitime Alternative ist.

Was es kostet – und was es bringt

Position	Kosten	Mit Förderung
Schatten-KI-Inventur + Compliance-Check	2.400 €	mit BAFA: ab 480 €
CompanyGPT Setup + 3 Use Cases	18.000 €	mit go-digital + BAFA: ab 7.200 €
KI-Grundschulung 30 Mitarbeitende (2 Durchgänge)	7.200 €	mit ESF Plus: ab 3.600 €
Verfahrens-Dokumentation	inklusive	—
Gesamt	~27.600 €	ab ~11.300 €

Was Sie dafür bekommen:

ein klares Bild über Ihre tatsächliche KI-Nutzung
eine DSGVO-konforme Alternative im Einsatz
30 Mitarbeitende auditfest geschult
Verfahrens-Dokumentation für Audits
Compliance nach EU AI Act erfüllt
60 % weniger Schatten-KI-Aktivitäten (typisch in den ersten 6 Monaten)

71 %: der Arbeitnehmer nutzen Schatten-KI
> 80 %: der Unternehmen sind betroffen
6 Wochen: von der Inventur bis zur Lösung
60 %: weniger Schatten-KI (erste 6 Monate)

Quelle: Microsoft Work Trend Index 2026 · z1Digital-Projekterfahrung

Weiterführend

FAQ

Schatten-KI: häufige Fragen

Wir haben „nur" 20 Mitarbeitende – sind wir betroffen?

Mit hoher Wahrscheinlichkeit ja. Die Microsoft-Zahlen (71 % nutzen Schatten-KI) gelten quer durch alle Unternehmensgrößen. Bei 20 Mitarbeitenden bedeutet das im Schnitt 14 Schatten-KI-Nutzer.

Wie führe ich die Schatten-KI-Inventur durch, ohne Mitarbeitende zu erschrecken?

Anonyme Befragung. Wir geben klar kommunizierten Schutz: keine Konsequenzen für ehrliche Antworten. Ziel ist nicht Bestrafung, sondern Schadens-Verhinderung. In der Praxis melden 80 %+ der Mitarbeitenden ehrlich, wenn der Rahmen passt.

Was, wenn die Geschäftsführung selbst Schatten-KI nutzt?

Sehr häufig der Fall. Geschäftsführer sind oft die größten Schatten-KI-Nutzer (ChatGPT für Vorstandsreden, Strategie-Skizzen, Mitarbeitergespräche). Die Beseitigungs-Strategie funktioniert auch hier – die Geschäftsführung bekommt CompanyGPT als bevorzugte Plattform.

Reicht nicht eine Microsoft-Copilot-Lizenz?

Eingeschränkt. Microsoft Copilot ist in den Microsoft-365-Diensten gut integriert, aber: Daten gehen zur Microsoft-Cloud (mit AV-Vertrag). Bei sensiblen Daten (Kunden, Strategie, Patente) ist eine selbstgehostete Lösung wie CompanyGPT deutlich sicherer. Plus: Copilot deckt nur Microsoft-Tools ab – wer im Browser ChatGPT braucht, hat damit keine Alternative.

Wir haben schon eine KI-Policy. Reicht das nicht?

Eine Policy auf dem Papier reicht nicht – Mitarbeitende halten sich nicht an Verbote, wenn sie eine bessere Alternative haben. Die Policy muss eine Erlaubnis-Komponente haben: „Diese Tools sind freigegeben für diese Daten – und CompanyGPT ist die zentrale Plattform für alles andere."

Was ist mit Bring-Your-Own-Device (BYOD)?

Schwieriger zu kontrollieren. Aber: Auch auf privatem Smartphone gilt die Schulungspflicht und die DSGVO-Verantwortung der Organisation. Eine klare Vereinbarung, dass Firmendaten auf privaten Geräten nicht in fremde KI gegeben werden dürfen, ist Mindeststandard.

Kann ich Schatten-KI auch ohne CompanyGPT in den Griff bekommen?

Möglich, aber schwieriger. Ohne legitime Alternative bleibt der Anreiz für Schatten-KI hoch. Sie können mit Microsoft Copilot Business, ChatGPT Enterprise oder Anthropic Claude Enterprise arbeiten – alle drei sind DSGVO-konformer als Free-Tier-Nutzung. CompanyGPT hat den Vorteil der eigenen Infrastruktur und Modellunabhängigkeit.

Was kostet eine reine Schatten-KI-Inventur ohne CompanyGPT-Einführung?

2.400 € netto. Mit BAFA-Förderung in Thüringen (80 %) liegt der Eigenanteil bei 480 €. Sie bekommen ein klares Bild der Lage – und können dann entscheiden, ob Sie die nächsten Schritte mit uns oder anderswo gehen.

Loslegen

Wie tief sind Sie von Schatten-KI betroffen?

Im kostenlosen 30-Minuten-Erstgespräch besprechen wir Ihre Schatten-KI-Lage, die DSGVO-Risiken und den Weg zur legitimen, geförderten Alternative.

Kostenloses Erstgespräch Zur KI-Übersicht