Warum Schatten-KI für Unternehmen riskant ist

Ein Marketing-Manager schreibt einen Blogartikel, ein HR-Team formuliert Absagen für Bewerber und eine Einkäuferin analysiert Preisentwicklungen. Immer häufiger erledigen Beschäftigte solche Aufgaben mithilfe Künstlicher Intelligenz – oft mit denselben Tools, die sie auch privat nutzen. Sie kopieren Kundendaten, Verträge oder interne Dokumente in die Eingabemasken der Tools und bekommen sofort Ergebnisse. Eine Mail ist in Sekunden geschrieben, ein Protokoll blitzschnell zusammengefasst.

„Diese Eigeninitiative ist kein Regelverstoß aus böser Absicht, sondern Ausdruck eines echten Bedarfs“, meint Marvin Pawelczyk, Referent für Künstliche Intelligenz beim Digitalverband Bitkom. Was privat selbstverständlich geworden ist, übertragen viele automatisch auf den Job. „Wer ChatGPT, Gemini oder Copilot zu Hause etwa zur Urlaubsplanung nutzt, will den Produktivitätsgewinn auch im Büro nicht missen“, sagt Pawelczyk. Zumal der Zugang denkbar einfach ist – es genügt bereits das Öffnen eines KI-Tools im Browser.

Ein Unternehmen, das genau diese Entwicklung erlebt hat, ist die Hagedorn Gruppe aus Gütersloh. „In der Praxis ist es nahezu unvermeidbar, dass Mitarbeiter KI-Tools eigenständig ausprobieren oder bereits genutzt haben“, glaubt Geschäftsführer Andreas Sudermann. Auch er selbst nutzte zunächst einen privaten Zugang, um unter Zeitdruck einen komplexen Businessplan zu erstellen – und erlebte dabei, wie stark KI die Arbeit erleichtern kann. Hagedorn ist ein Dienstleister für Rückbau, Entsorgung, Recycling, Tiefbau und Flächenrevitalisierung. Das 1997 gegründete Unternehmen beschäftigt über 2.000 Mitarbeiter und umfasst mehr als 30 Gesellschaften.
 

Was ist Schatten-KI?

Das eigenständige Arbeiten mit nicht freigegebenen KI-Tools hat einen Namen: Schatten-KI. Gemeint ist, dass die Anwendungen ohne Genehmigung oder Kontrolle durch IT-Teams oder Führungsebene genutzt werden. Meist passiert das über private Accounts oder frei verfügbare Dienste. Der Begriff lehnt sich an „Schatten‑IT“ an, bei der Mitarbeiter auf private Geräte oder nicht genehmigte Apps zurückgreifen.

Wie verbreitet Schatten-KI ist, zeigen aktuelle Studien. Fast 30 Prozent der Beschäftigten greifen laut Microsofts „Cyber Pulse“-Report für ihre Arbeit auf nicht genehmigte KI-Werkzeuge zurück. Und knapp ein Fünftel der deutschen Unternehmen geht laut Bitkom-Umfrage davon aus, dass Mitarbeiter private KI-Lösungen einsetzen. Die tatsächliche Verbreitung dürfte allerdings höher liegen, da Unternehmen oft gar nicht wissen, dass ihre Angestellten KI nutzen.

Für Firmen ist Schatten-KI alles andere als harmlos. Die ungeregelte Verwendung birgt erhebliche Risiken, etwa wegen regulatorischer Verstöße und Datenlecks. Knapp jedes fünfte Unternehmen berichtet bereits von Sicherheitsvorfällen, bei denen Schatten-KI eine Rolle spielte, heißt es im „Cost of a Data Breach Report 2025“ von IBM.

Öffentliche KI‑Anwendungen bringen laut Tobias Jonas mehrere Risiken mit sich. Der Co‑CEO der Rosenheimer KI‑Strategieberatung Innfactory begleitet vor allem mittelständische Unternehmen bei allen Themen rund um die Technologie. Das größte Risiko: Die Tools verarbeiten Daten in ihren frei zugänglichen Varianten „in der Regel nicht DSGVO-konform“, so der Experte: Anbieter wie OpenAI (ChatGPT) oder Anthropic (Claude) übertragen die Eingaben der Anwender auf Server in den USA. Bei privaten oder kostenlosen Zugängen sei zudem häufig unklar, ob Daten fürs Training genutzt werden, gibt Jonas zu bedenken.

All das ist für Unternehmen heikel: Sie können beispielsweise gegen Vertraulichkeitsvereinbarungen mit Kunden und Partnern verstoßen. „Im schlimmsten Fall erlischt der rechtliche Schutz eines Geschäftsgeheimnisses, sobald schützenswerte Informationen unkontrolliert nach außen gelangen“, erklärt Jonas. „Eine IT-Abteilung muss wissen, in welchen Anwendungen die Unternehmensdaten verarbeitet werden, und darf nicht zulassen, dass diese unkontrolliert irgendwo landen.“
 

Schatten-KI als Weckruf

Aber Schatten-KI kann auch ein Weckruf für ein Unternehmen sein. So war es bei Hagedorn, wie Geschäftsführer Sundermann erklärt. „Für uns war Schatten-KI nicht nur ein Risiko, sondern auch ein Signal: Die Mitarbeiter sehen den Nutzen und wollen solche Werkzeuge einsetzen.“ Diese Energie wollte die Firma aufgreifen und in geordnete Bahnen lenken – „mit klaren Regeln, sicheren Strukturen und einer Lösung, die zum Unternehmen passt“.

Einen Aha-Moment hatte Sudermann, als ein Mitarbeiter eine Fuhrpark-Anwendung zeigte, die er mit dem KI-Werkzeug „Claude Code“ entwickelt hatte. Sie ist effizienter und kostengünstiger als das bisherige System. „Dadurch haben wir gesehen, dass KI nicht nur Prozesse beschleunigt, sondern völlig neue Lösungen ermöglichen kann.“ Heute nutzt Hagedorn KI in verschiedenen Bereichen wie Marketing, Reporting und Ausschreibungen. Zudem überprüft die Firma aktuell, welche operativen Prozesse sich optimieren lassen. Das können etwa automatisierte Entsorgungstagebücher, ausgelesene Lieferscheine und datenbasierte Analysen auf Baustellen sein.

Das Beispiel Hagedorn zeigt, wie Unternehmen Künstliche Intelligenz strukturiert einführen können – auch wenn sie zu Beginn unkontrolliert genutzt wurde. Ein generelles Verbot der KI-Nutzung ist dagegen kontraproduktiv. „Das ist weder realistisch noch klug“, sagt Bitkom-Experte Pawelczyk. Auf privaten Geräten lässt sich die Nutzung sowieso kaum kontrollieren, sie wird nur unsichtbar. Wer die Verwendung untersagt, vergrößert das Risiko, dass sensible Informationen oder Geschäftsgeheimnisse in nicht freigegebene Tools wandern.

Dazu kommt: Wer KI pauschal verbietet, verzichte auf erhebliche Effizienzgewinne, so Pawelczyk. Nicht zuletzt würden Firmen als Arbeitgeber unattraktiver für Fachkräfte, die mit zeitgemäßen Werkzeugen arbeiten wollten. Er rät Unternehmen daher zu klaren Regeln und offiziellen, datenschutzkonformen Angeboten, die einen sicheren KI-Einsatz ermöglichen. Unternehmen müssen wissen, ob, wie und wo KI im Arbeitsalltag eingesetzt wird.

Aber auch vielen Beschäftigten ist nicht bewusst, dass sie mit bestimmten KI-Tools gegen interne Vorgaben verstoßen, beobachtet Tobias Jonas von Innfactory. Das ist für ihn ein typisches Symptom fehlender Leitplanken. Genau hier setzt eine KI-Strategie an. Sie sollte seiner Empfehlung nach mindestens zwei Dinge leisten: sichere Zugänge zu freigegebenen KI-Tools schaffen, damit niemand mehr auf private Anwendungen ausweichen muss, und den Umgang mit selbst gebauten KI-Lösungen regeln. „Vibe Coding ist heute das, was früher die selbst gebaute Excel-Tabelle mit Makros war“, sagt Jonas. Solche Eigenentwicklungen brauchen ebenfalls einen klaren Rahmen, um kontrolliert in den Betrieb zu gelangen.

Was können Unternehmen tun, um Ordnung in die KI-Nutzung im eigenen Haus zu bringen? Jonas empfiehlt zwei Sofortmaßnahmen: Firmen sollten unternehmensweit einen sicheren KI-Kanal für alle Mitarbeiter schaffen. Ein interner Chatbot kann dann beispielsweise Anfragen auf Basis von Firmenrichtlinien, Dokumenten oder Datenbanken beantworten. Außerdem rät der KI-Berater dazu, systematisch zu prüfen, welche Anwendungsfälle den größten Nutzen für das Geschäft haben: „KI ist kein Selbstzweck, sie muss dem Unternehmen unterm Strich einen messbaren Mehrwert bringen.“

Darauf legt auch die Hagedorn Gruppe wert. „Unser Ansatz war von Anfang an sehr praxisnah“, erzählt Geschäftsführer Sudermann: Zuerst gab es im Tagesgeschäft einen konkreten Bedarf – ein Businessplan unter Zeit-, Effizienz- und Kostendruck. Danach folgten einzelne, starke Use Cases, etwa die Fuhrpark-Software oder ein Vertriebswerkzeug. Daraus entwickelte sich laut Sudermann „eine strukturierte KI-Initiative, mit eigener Technologie, einem internen Expertenteam“. Das Ziel: KI fest in den Arbeitsalltag der Hagedorn Gruppe zu integrieren.

Am Ende ist der Umgang mit KI weniger eine IT- als vielmehr eine Führungs- und Governance-Frage. Unternehmen müssen definieren, welche Regeln gelten und welche Tools genutzt werden dürfen – und wie sie Risiken kontrollieren können. Nur so können sie das Potenzial der Technologie nutzen, ohne die Kontrolle zu verlieren.