Schatten-KI — und was jetzt zu tun ist

Stand: 11.09.2026. Diese Lektion enthält weniger Rechtsstand als die vorigen; wo sie ihn braucht, verweist sie auf die Lektionen 2 bis 4. Keine Rechtsberatung.

Lernziele

Nach dieser Lektion kannst du:

Was Schatten-KI ist

Schatten-KI heißt: KI-Nutzung, die stattfindet, ohne dass jemand sie beschlossen hat. Kein privater Zweck, keine böse Absicht — Leute erledigen ihre Arbeit mit dem Werkzeug, das greifbar ist.

Sie zeigt sich an drei Stellen:

Die zweite Form ist die häufigste und die unauffälligste. Wer nur nach neuen Programmen sucht, findet sie nicht.

Was dabei tatsächlich das Haus verlässt

Der Schaden ist selten spektakulär und fast immer derselbe: Betriebsinterna, Kundendaten und gelegentlich Beschäftigtendaten landen in einem Dienst, mit dem kein Vertrag besteht, dessen Aufbewahrungsfristen niemand kennt und der die Eingaben je nach Tarif zum Trainieren verwendet.

Aus den fünf Fragen der Lektion 3 fällt damit jede einzelne aus: keine geprüfte Rechtsgrundlage, kein Auftragsverarbeitungsvertrag, keine Aussage über Training und Aufbewahrung, keine Kontrolle über den Speicherort, keine Möglichkeit zu löschen oder Auskunft zu geben.

Dazu kommt ein zweiter Schaden, der oft übersehen wird: Ihr könnt die Frage nach dem Ist-Zustand nicht mehr beantworten. Das Verzeichnis aus Lektion 5 ist falsch, und zwar in die unangenehme Richtung — es behauptet Ordnung, wo keine ist.

Warum das Verbot der schlechteste Hebel ist

Die erste Reaktion ist fast immer eine Untersagung. Sie hat drei Eigenschaften, die sie unbrauchbar machen:

Sie beendet die Nutzung nicht, sie verlagert sie. Ein Werkzeug, das die Arbeit spürbar erleichtert, wird nach einem Verbot auf dem privaten Gerät benutzt. Die Daten fließen weiter, nur der Vorgang ist jetzt unsichtbar.

Sie macht die Lage schlechter, nicht besser. Vorher wusstet ihr zu wenig. Nachher wisst ihr nichts — und niemand wird euch von sich aus erzählen, was er tut, wenn darauf eine Abmahnung steht.

Sie ist als Aufsichtsmaßnahme schwach. Erinnere dich an Lektion 1: Zur Aufsichtspflicht gehören Auswahl und Überwachung. Ein Verbot ohne Kenntnis der tatsächlichen Lage ist keine Überwachung, sondern ihr Gegenteil.

Ein Verbot ist nicht falsch, weil es streng wäre. Es ist falsch, weil es die einzige Information zerstört, auf die du angewiesen bist.

Der Weg, der funktioniert

Drei Schritte, in dieser Reihenfolge:

Erstens: ein erlaubtes Werkzeug, das taugt. Nicht das billigste, sondern eines, das die Arbeit tatsächlich erleichtert — sonst konkurriert ihr mit einem besseren Angebot und verliert. Ein geschäftlicher Tarif mit Auftragsverarbeitungsvertrag und abgeschaltetem Training kostet im Mittelstand deutlich weniger als die Folgen eines Vorfalls.

Zweitens: ein Weg für alles andere. Das ist der Freigabeprozess aus Lektion 5. Wer ein anderes Werkzeug braucht, bekommt eine Antwort in einer Woche — und zwar auch mal ein begründetes Nein.

Drittens: eine Amnestie. Der Schritt, den fast alle auslassen und der über den Erfolg entscheidet. Sag ausdrücklich und schriftlich: Wer bis zum Datum X meldet, was er bisher genutzt hat, dem passiert nichts. Wir wollen wissen, was ist, nicht wer schuld ist.

Ohne diesen dritten Schritt bleibt die Liste unvollständig, weil ehrliche Antworten ein Risiko wären. Mit ihm bekommt ihr in zwei Wochen ein Bild, für das eine Bestandsaufnahme Monate bräuchte.

Für die Geschäftsführung: Die Amnestie ist eine Leitungsentscheidung und muss von dir kommen. Von der IT ausgesprochen, glaubt sie niemand.

Für Team- und Abteilungsleitung: Deine Leute sagen dir eher, was sie benutzen, als irgendjemandem sonst. Das ist kein Kontrollauftrag — es ist der einzige Weg, wie die Information überhaupt entsteht.

Die nächsten 90 Tage

Damit ist der Kurs am Ende, und du hast nichts in der Hand außer einem Plan. Genau das ist die Absicht: Dieser Kurs stellt keinen Abschlussnachweis aus, weil er keine Schulungspflicht erfüllt. Was er hinterlässt, ist eine Liste.

Tag 1 bis 30 — hinsehen Verzeichnis anlegen und ehrlich füllen. Amnestie aussprechen. Die drei Fragen aus Lektion 1 in einer Leitungssitzung beantworten, schriftlich.

Tag 31 bis 60 — entscheiden Ein Werkzeug freigeben, samt Tarif und Auftragsverarbeitungsvertrag. Freigabeprozess aufsetzen: eine Person, fünf Felder, eine Woche. Prüfen, ob eine der zwei Fallen aus Lektion 2 bei euch schon zuschnappt — Bewerberauswahl oder Leistungsbewertung. Falls ja: Folgenabschätzung und, wenn es einen Betriebsrat gibt, das Gespräch aus Lektion 4.

Tag 61 bis 90 — verankern Richtlinie auf vier Seiten schreiben und von der Leitung zeichnen lassen. Schulung für alle, die mit KI arbeiten — Kurs 2 dieser Akademie ist ein Baustein dafür und stellt einen Teilnahmenachweis aus. Kompetenznachweis anlegen. Termin für die Quartalsdurchsicht setzen.

Was danach kommt, ist Wiederholung: einmal im Quartal ins Verzeichnis sehen, einmal im Jahr die Richtlinie lesen. Mehr ist es nicht.

Merksätze

- Schatten-KI ist Arbeit, nicht Ungehorsam. Leute nehmen das Werkzeug, das greifbar ist. - Die häufigste Form kam per Update — nicht als neues Programm. - Ein Verbot verlagert die Nutzung und zerstört die Information, auf die du angewiesen bist. - Erlaubtes Werkzeug, gangbarer Weg, Amnestie — in dieser Reihenfolge. - Die Amnestie muss von der Leitung kommen. Von der IT glaubt sie niemand. - Am Ende steht kein Zertifikat, sondern eine Liste. Abgehakt ist sie der Nachweis, der zählt.

Quellen