# Schatten-KI: Wenn Mitarbeitende KI nutzen, von der niemand weiß **URL:** \ **Category:** Recht, Datenschutz & Governance\ **Tags:** security, governance, dsgvo\ **Created:** [31. August 2026 um 19:06 UTC](https://ai-campus-europe.com/t/schatten-ki-wenn-mitarbeitende-ki-nutzen-von-der-niemand-weiss/112 "2026-08-31T19:06:53Z")\ **Posts on this page:** 1\ **Page:** 1
**Author:** ![AICampusTeam](https://ai-campus-europe.com/letter_avatar_proxy/v4/letter/a/a87d85/32.png) [@AICampusTeam](https://ai-campus-europe.com/u/AICampusTeam)\ **Post date:** [31. August 2026 um 19:06 UTC](https://ai-campus-europe.com/t/schatten-ki-wenn-mitarbeitende-ki-nutzen-von-der-niemand-weiss/112/1 "2026-08-31T19:06:53Z")
**Schatten-KI** bezeichnet die Nutzung von KI-Werkzeugen durch Mitarbeitende, ohne dass das Unternehmen davon weiß oder es geregelt hat. Der private ChatGPT-Account für die Angebotsformulierung, das Übersetzungstool für den Kundenbrief, der Chatbot für die Excel-Formel. Es passiert überall – und in den meisten Betrieben ist es der eigentliche KI-Status quo, nicht das offizielle Projekt. ## Warum das entsteht – und warum Verbote nicht helfen Eine repräsentative Umfrage der TU Darmstadt (KI-Monitor 2026) zeigt einen unbequemen Zusammenhang: **Wer KI gut versteht, sorgt sich häufiger um den eigenen Arbeitsplatz.** Genau diese Menschen sind es, die KI produktiv nutzen – und die gute Gründe haben, das nicht an die große Glocke zu hängen. Dazu kommt der schlichtere Grund: Es gibt keine offizielle Alternative. Wer sein Werkzeug braucht, um die Arbeit zu schaffen, nutzt es. Ein Verbot verlagert das nur auf das private Handy – wo es endgültig unsichtbar wird. **Das Ergebnis:** Firmendaten wandern in Dienste, mit denen kein Vertrag besteht. Ohne Protokoll, ohne Rechteprüfung, ohne Möglichkeit, das je nachzuvollziehen. ## Warum das gerade jetzt riskanter wird Zwei aktuelle Entwicklungen verschärfen die Lage: - Über **100 Unternehmen** – darunter Microsoft, Google, Deutsche Telekom und SAP – warnen in einem offenen Brief vor einer baldigen Zunahme **KI-gestützter Cyberangriffe** auf kritische Infrastruktur. - Bereits Realität: Eine Hackergruppe nutzte **KI-Agenten (Cursor) für Ransomware-Angriffe** – ein deutsches Unternehmen war betroffen. Wer nicht weiß, welche KI-Werkzeuge im Haus laufen und welche Daten sie sehen, kann darauf nicht reagieren. ## Fünf Schritte aus der Schatten-KI **1. Bestandsaufnahme ohne Schuldzuweisung.** Fragt offen, welche Werkzeuge genutzt werden – und stellt klar, dass es nicht um Sanktionen geht. Wer Angst vor Ärger hat, sagt nichts, und ihr wisst weiterhin nichts. **2. Eine kurze KI-Richtlinie.** Nicht zwanzig Seiten. Vier Punkte reichen für den Anfang: Welche Werkzeuge sind erlaubt? Welche Daten dürfen nie hinein (Personaldaten, Kundendaten, Verträge)? Wer entscheidet über neue Werkzeuge? Wo meldet man Probleme? Vorlage: [Braucht mein Unternehmen eine KI-Richtlinie?](https://ai-campus-europe.com/t/48) **3. Einen offiziellen Weg anbieten.** Das ist der entscheidende Schritt. Eine Regel ohne Alternative ist nur ein Verbot. Ein Firmenzugang mit Auftragsverarbeitungsvertrag und EU-Verarbeitung kostet wenig und nimmt dem privaten Account die Grundlage. **4. Schulung – auch, weil der EU AI Act sie verlangt.** Artikel 4 fordert ausreichende KI-Kompetenz bei allen, die KI einsetzen. Das ist keine Kür mehr, sondern Pflicht. Kostenlose Grundlagen z. B. beim [KI-Campus](https://ai-campus-europe.com/t/90). **5. Anschluss an die eigenen Systeme.** Der Punkt, den viele übersehen: Mitarbeitende kopieren Daten ins Chatfenster, weil die KI sonst nichts über das Unternehmen weiß. Wird der Assistent stattdessen **geregelt an ERP, DMS oder CRM angebunden** , entfällt das Kopieren – und damit der riskanteste Teil der Schatten-KI. Wichtig dabei: Der Assistent darf **keine eigenen Rechte** bekommen, sondern arbeitet mit denen des angemeldeten Nutzers. Wie das technisch funktioniert: [MCP erklärt](https://ai-campus-europe.com/t/110) ## Was ihr davon habt Schatten-KI verschwindet nicht durch Regeln, sondern dadurch, dass der offizielle Weg **bequemer** ist als der inoffizielle. Betriebe, die das hinbekommen, gewinnen doppelt: Die Daten bleiben im Haus, und aus heimlicher Einzelnutzung wird Wissen, das im Team geteilt wird. * * * _Quellen: [KI-Monitor 2026, TU Darmstadt (Golem)](https://www.golem.de/news/ki-monitor-2026-sorge-um-arbeitsplatz-steigt-mit-ki-wissen-2608-212430.html) · [Offener Brief zu KI-Cyberangriffen (heise)](https://www.heise.de/news/Begrenztes-Zeitfenster-Mehr-als-100-Unternehmen-warnen-vor-KI-Cyberangriffen-11432718.html) · [Ransomware mit KI-Agenten (Golem)](https://www.golem.de/news/cursor-hacker-bei-cyberangriffen-mittels-ki-agenten-erwischt-2608-212390.html)_ _Wie handhabt ihr das: Gibt es bei euch eine Regel – oder eher ein stilles Wegsehen? Und was hat funktioniert?_ _Kleiner Hinweis in eigener Sache: Wie eine geregelte Anbindung an Fachsysteme in der Praxis aussieht, zeigen wir morgen (Di, 01.09., 16:00–16:30 Uhr) in einem kostenfreien Webcast – [Details im Veranstaltungskalender](https://ai-campus-europe.com/t/63)._