Schatten-KI: Deine Leute nutzen längst KI. Du erfährst nur, was sie berichten.

Wahrscheinlich arbeitet gerade jemand in deinem Betrieb mit ChatGPT, ohne dass du es angeordnet hast. Das ist kein Vorwurf an deine Leute. Es ist der Normalfall, und die Zahlen dazu sind eindeutiger, als die meisten Geschäftsführer vermuten.

Die unangenehme Folge ist nicht der Regelverstoß. Es ist, dass du nicht mehr beurteilen kannst, was dir über KI berichtet wird.

Wie verbreitet ist das wirklich?

Der Digitalverband Bitkom hat im Sommer 2025 604 Unternehmen ab 20 Beschäftigten befragen lassen, telefonisch und repräsentativ. Ergebnis:

Quelle: Bitkom, Presseinformation vom 21.10.2025

Zwei Zahlen daraus sind die eigentliche Nachricht. Der Anteil derer, bei denen es weit verbreitet ist, hat sich binnen eines Jahres verdoppelt. Und mehr als drei von vier Betrieben haben bis heute keine einzige Regel dazu.

Die zweite Erhebung passt dazu. In einer repräsentativen Befragung von 1.005 Personen, davon 513 Erwerbstätige, gaben 20 Prozent an, vom Arbeitgeber im KI-Einsatz geschult worden zu sein. 70 Prozent bekommen keinerlei Fortbildung dazu (Bitkom, 07.07.2025).

Beide Erhebungen sind aus dem Jahr 2025, also inzwischen rund ein Jahr alt. Bei einem Thema, das sich so schnell bewegt, heißt das mit ziemlicher Sicherheit: Die heutigen Werte liegen höher, nicht niedriger.

Warum das kein Disziplinproblem ist

Der erste Reflex ist, das als Ungehorsam zu lesen. Das führt in die Irre.

Deine Leute nutzen diese Werkzeuge, weil sie damit schneller fertig werden. Der Angebotstext, der sonst eine Stunde gedauert hätte, ist in zehn Minuten da. Die Mail an den unzufriedenen Kunden klingt beim ersten Versuch verbindlich. Niemand tut das, um dich zu hintergehen. Sie tun es, weil es funktioniert.

Was daraus entsteht, ist trotzdem ein Problem, und zwar ein Wissensgefälle. Wer täglich mit einem Werkzeug arbeitet, sammelt Erfahrung. Du sammelst sie nicht, weil dein Tag mit Führen ausgefüllt ist. Das ist Arbeitsteilung, kein Versäumnis.

Nur führt sie dazu, dass du irgendwann nicht mehr unterscheiden kannst zwischen „das geht technisch nicht” und „das will ich nicht machen”. Und das ist die Stelle, an der Führung anfängt zu wackeln.

Was dabei wirklich schiefgehen kann

Drei Risiken sind konkret. Der Rest ist Panikmache.

Kundendaten landen bei einem Anbieter, mit dem du keinen Vertrag hast. Wer eine Reklamation samt Name, Adresse und Vorgangsnummer in ein privates ChatGPT-Konto kopiert, hat personenbezogene Daten an einen Auftragsverarbeiter übermittelt, den niemand geprüft hat. Was die DSGVO dazu sagt und welche Tarife das erfüllen, steht ausführlich in Kundendaten in ChatGPT.

Betriebsgeheimnisse verlassen das Haus. Kalkulationen, Lieferantenkonditionen, Angebotsstrategien. Bei privaten Konten ist oft nicht klar, ob die Eingaben zum Training verwendet werden. Bei Geschäftskonten ist es das meistens nicht, aber genau diese Unterscheidung kennt der Mitarbeiter nicht, der abends schnell etwas ausprobiert.

Falsches wandert ungeprüft in die Kundenkommunikation. Ein erfundener Paragraf in einer Mail, eine Zahl, die gut klingt und nicht stimmt. Das fällt oft erst auf, wenn der Kunde nachfragt.

Dazu kommt eine Pflicht, von der die meisten noch nichts wissen: Seit dem 2. Februar 2025 verlangt Artikel 4 der KI-Verordnung, dass Unternehmen für ein ausreichendes Maß an KI-Kompetenz bei ihren Mitarbeitern sorgen. Eine Größenausnahme gibt es nicht. Wenn 70 Prozent der Beschäftigten keine Fortbildung bekommen, während diese Pflicht seit anderthalb Jahren gilt, ist das eine große Lücke. Mehr dazu in EU AI Act: Was dein Betrieb jetzt konkret tun muss.

Warum ein Verbot die Sache verschlimmert

Der naheliegende Reflex ist eine Anweisung: KI-Tools sind untersagt.

Das Ergebnis ist vorhersehbar. Die Nutzung hört nicht auf, sie wird nur unsichtbarer. Statt im Firmenkonto passiert sie auf dem privaten Handy, und dann hast du das Datenschutzproblem immer noch, nur ohne jede Möglichkeit, davon zu erfahren.

Ehrlich gesagt hat mich beim Nachlesen am meisten überrascht, wie klein die Lücke zwischen Verbot und Regelwerk ist. Nur 23 Prozent der Betriebe haben überhaupt Regeln. Es geht also gar nicht um die Wahl zwischen streng und locker. In den meisten Betrieben gibt es schlicht nichts, woran sich jemand halten könnte.

Drei Schritte, die heute gehen

1. Frag nach, ohne Konsequenz. Eine Runde im Team, ausdrücklich ohne Ärger: Wer nutzt was, wofür? Du wirst überrascht sein, was dabei herauskommt, und du bekommst das Bild, das dir bisher fehlt. Ohne die Zusicherung, dass es keine Folgen hat, bekommst du keine ehrlichen Antworten.
2. Schreib eine Seite Regeln. Nicht zwanzig. Welches Werkzeug ist freigegeben, was darf hinein, was auf keinen Fall, und wer entscheidet im Zweifel. Eine Seite, die gelesen wird, schlägt ein Handbuch, das im Ordner liegt.
3. Sorg für ein freigegebenes Werkzeug. Solange es keins gibt, nehmen die Leute das nächstbeste. Ein Geschäftskonto mit Auftragsverarbeitungsvertrag kostet weniger als der erste Datenschutzvorfall.

Was dabei nicht hilft, ist ein Tagesseminar über Möglichkeiten. Was hilft, ist ein paar Stunden an einem echten Fall aus dem eigenen Betrieb, bis du selbst siehst, wo die Grenzen liegen.

Die ehrliche Einordnung

Ich verkaufe hier keine Bedrohung. Für den allergrößten Teil der Betriebe ist Schatten-KI kein Skandal, sondern ein ungeordneter Zustand, der sich in einem halben Tag ordnen lässt.

Was ich nicht seriös sagen kann: wie hoch das Risiko in deinem konkreten Fall ist. Das hängt davon ab, mit welchen Daten deine Leute arbeiten, und das weiß niemand außer dir. Wer dir ohne Blick in den Betrieb eine Zahl nennt, rät.

Sicher ist nur die Richtung. Die Nutzung nimmt zu, die Regeln hinken hinterher, und die Kompetenzpflicht aus Artikel 4 gilt bereits.

---

Wenn du wissen willst, was in deinem Betrieb tatsächlich läuft und was davon in Ordnung ist: Das gehen wir im KI-fit Coaching an deinem echten Fall durch. Danach kannst du selbst beurteilen, was dir berichtet wird. Das Erstgespräch kostet nichts.

---

Kein Anwalt, keine Rechtsberatung. Das hier ist der Stand, den ich selbst recherchiert habe. Bei konkreten Haftungsfragen gehört ein Anwalt dazu.

Quellen: Bitkom, Beschäftigte nutzen vermehrt Schatten-KI (21.10.2025, 604 Unternehmen ab 20 Beschäftigten, repräsentativ) · Bitkom, Ein Fünftel wurde im Job zu KI geschult (07.07.2025, 1.005 Personen, davon 513 Erwerbstätige) · Art. 4 KI-VO, KI-Kompetenz

Alle Zahlen am 1. September 2026 an den Primärquellen geprüft. Beide Erhebungen stammen aus 2025 und sind damit rund ein Jahr alt.