„Schatten-KI“ ist die Nutzung von KI-Diensten ohne Wissen und Freigabe des Unternehmens – meist mit den besten Absichten. Mitarbeitende wollen schneller sein und laden dabei Firmendaten in öffentliche Chatbots. Das Problem ist nicht die KI, sondern die fehlende Regelung.
Warum das ein echtes Risiko ist
- Datenabfluss. Kundendaten, Kalkulationen, Verträge oder Quellcode landen bei Anbietern außerhalb Ihrer Kontrolle – teils außerhalb der EU.
- DSGVO. Werden personenbezogene Daten in einen unregulierten Dienst gegeben, ist das in der Regel eine unzulässige Verarbeitung – mit Melde- und Haftungsfolgen.
- Geheimhaltung. Bei Kanzleien, Steuerberatung, Arztpraxen und Ingenieurbüros verletzt schon der Upload berufsrechtliche Verschwiegenheitspflichten.
- Falsche Ergebnisse. Ohne Regeln prüft niemand, ob KI-Ausgaben korrekt sind – erfundene Quellen und Zahlen wandern ungeprüft in Dokumente.
- Kein Überblick. Niemand weiß, welche Tools im Einsatz sind, wer sie nutzt und wofür.
Verbote wirken selten. Wo KI verboten, aber kein erlaubter Weg angeboten wird, wächst Schatten-KI weiter – nur unsichtbarer. Wirksam ist die Kombination aus klarer Regel und einem sicheren, freigegebenen Werkzeug.
In vier Schritten zur KI-Richtlinie
- Bestandsaufnahme. Kurze, anonyme Umfrage plus Blick in die Web-Protokolle: Welche Dienste werden genutzt, für welche Aufgaben, mit welchen Daten?
- Datenklassen festlegen. Drei Stufen reichen: öffentlich / intern / vertraulich. Für jede Stufe wird klar, welche KI-Nutzung erlaubt ist.
- Erlaubten Weg anbieten. Ein freigegebenes Werkzeug bereitstellen – Microsoft Copilot mit Governance für interne Daten, ein lokales LLM für vertrauliche.
- Richtlinie kommunizieren und schulen. Zwei Seiten, verständlich, mit Beispielen. Einmal vorstellen, danach Teil des Onboardings.
Vorlage: KI-Richtlinie in Kurzform
Diese Punkte gehören in jede Richtlinie – passen Sie Formulierungen und Zuständigkeiten an Ihr Unternehmen an:
| Abschnitt | Inhalt |
|---|---|
| Zweck & Geltungsbereich | Für wen die Richtlinie gilt, wofür KI genutzt werden darf und soll. |
| Freigegebene Werkzeuge | Abschließende Liste erlaubter KI-Dienste, je mit zulässiger Datenklasse. |
| Verbotene Nutzung | Kein Upload vertraulicher, personenbezogener oder mandatsbezogener Daten in nicht freigegebene Dienste. |
| Prüfpflicht | KI-Ausgaben sind Entwürfe. Fakten, Zahlen und Zitate werden vor Verwendung geprüft; die Verantwortung bleibt beim Menschen. |
| Kennzeichnung | Wann KI-Unterstützung intern oder gegenüber Kunden offengelegt wird. |
| Rollen | Wer Werkzeuge freigibt, wer Fragen beantwortet, wohin Vorfälle gemeldet werden. |
| Überprüfung | Die Richtlinie wird mindestens jährlich und bei neuen Werkzeugen aktualisiert. |
Zusammenhang mit NIS2 und DSGVO
Eine KI-Richtlinie ist Teil der grundlegenden Cyberhygiene, die NIS2 von betroffenen Unternehmen erwartet, und sie ist ein Baustein der DSGVO-Rechenschaftspflicht. Wer sie sauber dokumentiert, schlägt zwei Fliegen mit einer Klappe.
Häufige Fragen
Reicht nicht eine E-Mail an alle?
Als Sofortmaßnahme besser als nichts, aber nicht belastbar. Ohne freigegebenes Werkzeug und ohne Schulung bleibt die Wirkung gering, und im Streitfall zählt eine dokumentierte Richtlinie.
Wir sind zu zehnt – brauchen wir das?
Ja, gerade dann. In kleinen Teams entstehen die gleichen Risiken, nur fällt der Datenabfluss noch weniger auf. Die Richtlinie darf entsprechend knapp sein.
Wie erkennen wir, welche Dienste genutzt werden?
Aus einer anonymen Kurzumfrage und der Auswertung des Web-Datenverkehrs am Firewall- oder Proxy-Log. Wir richten diese Auswertung im Rahmen des Assessments ein.
Diese Vorlage ist ein Ausgangspunkt und keine Rechtsberatung. Berufsrechtliche Besonderheiten prüfen Sie mit Ihrer Standesvertretung oder Rechtsberatung.
KI-Assessment mit Schatten-KI-Analyse
Wir machen die Bestandsaufnahme, erarbeiten mit Ihnen die Richtlinie und richten einen sicheren, freigegebenen KI-Weg ein – Copilot mit Governance oder lokales LLM.
Assessment anfragen