Schatten-IT & Unautorisierte KI (Shadow AI)

Unter Schatten-IT (Shadow IT) und Shadow AI (Unautorisierte KI-Nutzung) versteht man den Einsatz von Cloud-Diensten, Dateiablagen, Messengern und öffentlichen KI-Sprachmodellen durch Fachabteilungen oder einzelne Mitarbeitende ohne Prüfung und Freigabe durch die eigene IT-Leitung.

Während klassische Schatten-IT meist aus privat angelegten Cloud-Ordnern oder Projekt-Tools bestand, hat die Nutzung öffentlicher KI-Chatbots im Arbeitsalltag eine neue Dynamik erreicht: Mitarbeitende kopieren Kundenanfragen, Vertragstexte, interne Kalkulationen oder Programmcode direkt in kostenlose Web-Oberflächen externer KI-Anbieter, um schneller Texte oder Auswertungen zu erstellen.

Warum unkontrollierte KI-Nutzung Betriebsgeheimnisse und Datenschutz gefährdet

Bei vielen kostenlosen oder privat genutzten KI-Webdiensten werden die eingegebenen Texte (Prompts) und hochgeladenen Dokumente auf externen Servern gespeichert und zum weiteren Training der öffentlichen Sprachmodelle verwendet. Damit verliert das Unternehmen die Kontrolle über vertrauliche Kunden- und Projektdaten.

Hinzu kommt, dass Unternehmen nach dem europäischen EU AI Act (Art. 4 KI-Kompetenz)** sowie den Grundsätzen der DSGVO** organisatorisch sicherstellen müssen, dass Mitarbeitende im sicheren Umgang mit KI-Werkzeugen unterwiesen sind und personenbezogene Daten nicht in ungesicherte Drittsysteme eingeben.

Warum bloße Verbote und Firewall-Sperren das Problem meist verschärfen

Die häufigste Fehlreaktion auf Schatten-IT ist ein reines Verbot ohne Bereitstellung einer funktionierenden internen Alternative. Mitarbeitende nutzen KI-Werkzeuge in der Regel nicht aus böser Absicht, sondern um im Tagesgeschäft Zeit zu sparen.

Sperrt die IT-Abteilung bekannte KI-Webseiten lediglich in der Firmen-Firewall, weichen Beschäftigte erfahrungsgemäß sofort auf das private Smartphone oder das ungeschützte WLAN im Homeoffice aus – wodurch die IT-Leitung jeden Überblick verliert.

3 Maßnahmen, um Schatten-KI konstruktiv in sichere Bahnen zu lenken

• Eigene, sichere KI-Arbeitsumgebung bereitstellen: Geben Sie Ihren Teams mit einem internen KI-Portal (z. B. Open WebUI auf Basis von Ollama/vLLM oder einem europäischen KI-Dienst ohne Datenspeicherung) ein schnelles Werkzeug an die Hand, das offiziell genutzt werden darf.
• Eigenmächtige App-Freigaben über das Firmenkonto unterbinden: Deaktivieren Sie im zentralen Anmeldesystem (IAM) die Option, dass Nutzer beliebigen fremden Web-Apps per „Anmelden mit Unternehmenskonto“ Lesezugriff auf ihre E-Mails oder Kontakte erteilen können.
• Klare 1-Seiten-Leitlinie mit Ampel-Logik einführen: Definieren Sie kurz und verständlich, welche Daten (grün: öffentliche Texte; gelb: anonymisierte Entwürfe; rot: Kunden-, Personal- und Geheimdaten) in welchen Systemen verarbeitet werden dürfen.

**Verweise auf Gesetzestexte, Paragrafen (u. a. DSGVO, NIS-2, EU AI Act, DORA, GoBD, BetrVG) und Compliance-Normen dienen ausschließlich der unverbindlichen technischen Fachinformation für IT-Entscheider. Sie stellen keine Rechtsberatung nach dem Rechtsdienstleistungsgesetz (RDG) dar; für eine rechtsverbindliche Beurteilung Ihrer spezifischen Unternehmensorganisation konsultieren Sie bitte Ihren Rechtsbeistand oder Datenschutzbeauftragten.