Schatten-KI: Ein Viertel der Firmen weiß davon, ein Viertel hat Regeln

Schatten-KI ist die Nutzung privater KI-Werkzeuge für dienstliche Arbeit, ohne dass das Unternehmen davon weiß oder sie freigegeben hat. Sie ist in deutschen Firmen keine Randerscheinung, und die Zahlen dazu sind unangenehm präzise.

Nach der Bitkom-Erhebung sagen 8 Prozent der Unternehmen, die Nutzung sei bei ihnen weit verbreitet, 17 Prozent kennen Einzelfälle. Weitere 17 Prozent vermuten, dass es passiert, wissen es aber nicht. Regeln für den KI-Einsatz haben 23 Prozent aufgestellt.

Die Zahlen, und was sich daran verschoben hat

	2024	2025
Nutzung ist weit verbreitet	4 %	8 %
Einzelfälle bekannt	13 %	17 %
Nutzung wird vermutet	17 %	17 %
Sicher, dass es nicht passiert	37 %	29 %
Regeln aufgestellt	15 %	23 %

Die interessanteste Zeile ist die vierte. Der Anteil der Firmen, die sich sicher sind, dass bei ihnen niemand private KI-Werkzeuge benutzt, ist von 37 auf 29 Prozent gefallen. Nicht weil die Sicherheit gewachsen wäre, sondern weil sie sich als falsch herausgestellt hat.

Und der Anteil derer, die eigenen Zugang bereitstellen, liegt bei 26 Prozent. Das heißt: Drei von vier Unternehmen erwarten von ihren Leuten, dass sie mit einer Technologie arbeiten, für die sie ihnen kein Werkzeug geben.

23 Prozent der Unternehmen haben Regeln für den KI-Einsatz aufgeschrieben. 41 Prozent setzen KI aktiv ein. Zwischen diesen beiden Zahlen liegt die eigentliche Lücke.

Bitkom, 21. Oktober 2025, und Bitkom, 11. März 2026, je 604 Unternehmen ab 20 Beschäftigten

Warum das Verbot die teuerste Variante ist

Ein Verbot verändert nicht, ob KI benutzt wird, sondern nur, ob man davon erfährt.

Das ist keine Vermutung über Menschen, das ist die Mechanik der Sache: Die Werkzeuge sind kostenlos, brauchen keine Installation und laufen im Browser oder auf dem privaten Handy. Eine Sperre im Firmennetz verschiebt den Vorgang auf das Gerät daneben. Was sich ändert, ist die Sichtbarkeit und mit ihr die Möglichkeit, den einen Fall zu erwischen, in dem tatsächlich etwas Heikles hochgeladen wurde.

Der Schaden bei Schatten-KI entsteht selten durch die Nutzung an sich. Er entsteht an drei Stellen:

Daten, die nicht hätten hochgeladen werden dürfen. Der Angebotsentwurf mit Kundennamen und Preisen, die Bewerbungsunterlagen, der Vertragsentwurf. Bei privaten Accounts gibt es keinen Auftragsverarbeitungsvertrag, keinen Trainingsausschluss und keine Löschfrist, auf die man sich berufen kann.

Ergebnisse, die niemand geprüft hat. Ein erfundener Paragraf in einem Kundenschreiben ist ein Fehler des Absenders, nicht des Modells. Ohne Regel gibt es keinen Punkt im Ablauf, an dem jemand hinschaut.

Wissen, das die Firma nicht behält. Wer sich privat einen guten Ablauf gebaut hat, nimmt ihn mit, wenn er geht. Das ist der stillste der drei Schäden und langfristig der größte.

Was das BSI zu Agenten sagt, und warum es hierher gehört

Im Juli 2026 schrieb BSI-Präsidentin Claudia Plattner über einen Vorfall, bei dem ein KI-Agent seine Testumgebung verließ, sich über das Internet mit Hugging Face verband und sich dort Zugriff auf Werkzeuge verschaffte. Nicht aus böser Absicht: Das System hatte einen legitimen Auftrag und entschied eigenständig, dafür seine Grenzen zu überschreiten.

Die BSI-Empfehlung daraus ist kurz und für den Mittelstand übersetzbar: Ein KI-System braucht ein durchdachtes Identitäts- und Berechtigungsmanagement, so wie jeder andere Zugang auch.

Das ist der Punkt, an dem Schatten-KI aufhört, ein Datenschutzthema zu sein. Solange Beschäftigte Texte in ein Chatfenster kopieren, ist der Schaden begrenzt und rückholbar. Sobald sie sich Werkzeuge verbinden, die mit Postfach, Kalender und Dateiablage im Namen ihres Accounts handeln, hat ein nicht freigegebenes System Schreibrechte in eurer Firma.

Die eine Seite Papier

Eine KI-Richtlinie, die gelesen wird, passt auf eine Seite und beantwortet vier Fragen. Alles darüber hinaus ist ein Dokument für den Ordner, nicht für die Arbeit.

Was nie hineingeht. Konkret und aufzählbar, keine Kategorien wie „vertrauliche Daten”. Also: keine personenbezogenen Daten von Kunden, Bewerbern und Kolleginnen, keine Preise aus laufenden Verhandlungen, keine Vertragsentwürfe, kein Quellcode aus Kundenprojekten. Fünf Zeilen, die jeder ohne Nachdenken anwenden kann.

Welche Werkzeuge freigegeben sind. Mit Namen und Zugangsweg. Eine Liste mit zwei Einträgen ist besser als eine Freigabepolitik mit einem Antragsformular.

Was geprüft werden muss, bevor es rausgeht. Zahlen, Namen, Rechtsaussagen, Zusagen an Kunden. Wer unterschreibt, haftet, und daran ändert das Werkzeug nichts.

Wen man fragt, wenn der Fall nicht drinsteht. Eine Person, namentlich. Nicht „die IT”.

Dazu gehört die Gegenleistung, sonst funktioniert die Seite nicht: Wer Regeln aufstellt, muss Zugang bereitstellen. Eine Richtlinie ohne freigegebenes Werkzeug ist ein Verbot mit besserer Rechtschreibung, und die Nutzung wandert wieder auf das private Handy. Welche Form dieser Zugang mit eigener Oberfläche, EU-Hosting und Rechteverwaltung haben sollte, haben wir am Langdock-Test durchgespielt.

Der Pflichtteil, der ohnehin gilt

Seit dem 2. Februar 2025 verlangt Artikel 4 des AI Acts von Unternehmen, die KI-Systeme einsetzen, ausreichende KI-Kompetenz der Menschen, die damit arbeiten. Das ist keine Zertifikatspflicht und schreibt kein Curriculum vor; es ist eine Organisationspflicht, die sich mit einer Richtlinie, einer Einweisung und einem Nachweis darüber erfüllen lässt.

Seit dem 2. August 2026 sind die nationalen Marktüberwachungsbehörden dafür zuständig, und der Bußgeldrahmen der Verordnung greift. Wer die Seite Papier ohnehin schreibt, erledigt beides in einem Zug, und die Einordnung dazu steht in unserem Artikel zu den Transparenzpflichten.

Was wir empfehlen

Fragt zuerst, was schon läuft, und zwar so, dass die Antwort folgenlos ist. Eine anonyme Umfrage mit drei Fragen nach Werkzeug, Zweck und Häufigkeit liefert in einer Woche mehr als ein Quartal Governance-Projekt. In den meisten Firmen kommt dabei dasselbe heraus: zwei bis vier Anwendungsfälle, die überraschend gut funktionieren, und einer, bei dem allen im Raum unwohl wird.

Danach die Seite schreiben, den Zugang bereitstellen, und die zwei bis vier Fälle als Kandidatenliste für die erste richtige Automatisierung behandeln. Die Leute haben euch die Arbeit schon abgenommen, sie haben nur niemandem Bescheid gesagt.

Wenn ihr wissen wollt, welcher dieser Fälle sich zu einem gebauten Ablauf lohnt, sprecht dreißig Minuten mit uns.

Häufige Fragen zu Schatten-KI