Schatten-KI ist ein Compliance-Risiko, weil Mitarbeiter Firmen- und Kundendaten ohne Freigabe in externe KI-Dienste eingeben, ohne Log und ohne Auftragsverarbeitungsvertrag. Der EU AI Act verlangt dagegen, dass Unternehmen eingesetzte KI-Systeme dokumentieren und beaufsichtigen. Ein Verbot hilft wenig; wirksam ist eine kontrollierte, ebenso bequeme Alternative.
Stellen Sie sich vor: Ihr IT-Team aktualisiert gerade die Sicherheitsrichtlinien. Zur gleichen Zeit schickt ein Vertriebsmitarbeiter das neueste Kundenangebot an ChatGPT – inklusive Kundendaten, interner Kalkulation und Preisstrategie. Kein böser Wille. Er will einfach schneller fertig werden. 57 % der Mitarbeiter nutzen generative KI-Tools bei der Arbeit – ohne IT-Genehmigung. Und seit Inkrafttreten des EU AI Act wird daraus ein ernstes Compliance-Risiko.
Das stille Datenleck: Wenn Firmendaten täglich in die KI fließen
Firmendaten verlassen das Unternehmen – nicht durch Hacker, sondern durch gut gemeinte Produktivität. Mitarbeiter laden Vertragsvorlagen hoch, fügen Kundendaten in Prompts ein und schicken Strategiepapiere an externe KI-Dienste.
Das Problem: Die meisten dieser Dienste laufen auf US-amerikanischen Servern. Sie können eingegebene Daten für das Training ihrer Modelle verwenden. Was einmal eingegeben wurde, ist unkontrollierbar. In den meisten Unternehmen gibt es keinen Überblick darüber, was täglich an externe KI-Dienste übertragen wird. Kein Log. Kein Audit. Keine Kontrolle. Wie solche Lecks im Mittelstand konkret entstehen, beschreibt unser Beitrag zu Schatten-KI und Datenlecks im Mittelstand.
Was ist Schatten-KI – und warum ist sie gefährlicher als Schatten-IT?
Schatten-KI (englisch: Shadow AI) bezeichnet KI-Tools, die Mitarbeiter eigenständig und ohne IT-Genehmigung im beruflichen Alltag einsetzen. Doch Schatten-KI ist um ein Vielfaches gefährlicher als klassische Schatten-IT:
- Verarbeitungsvolumen: Mitarbeiter übergeben aktiv sensible Inhalte – Texte, Zahlen, Verträge
- Semantische Tiefe: KI-Modelle verarbeiten Inhalte inhaltlich; Geschäftsgeheimnisse können in zukünftige Modellversionen einfließen
- Fehlender Audit-Trail: Kein Log, keine Zugriffskontrolle, keine Nachvollziehbarkeit
- Null Einstiegshürde: Ein Browser-Tab reicht. Keine Installation, keine IT-Rechte nötig
Warum nutzen Mitarbeiter KI-Tools eigenständig?
Es wäre einfach, Schatten-KI als Fehlverhalten abzustempeln. Die Realität: Mitarbeiter handeln rational. KI-Tools sind so leistungsfähig geworden, dass sie das Arbeitsleben spürbar verbessern.
💡 Kernproblem: Ein Verbot ohne Alternative löst das Problem nicht. Es verlagert es dorthin, wo niemand mehr hinschaut.
KI-Risiken im Detail: ChatGPT, Datenschutz und DSGVO
Datenschutz und DSGVO-Konformität bei ChatGPT sind keine theoretischen Risiken. Bei unkontrolliertem Einsatz drohen konkrete Rechtsverstöße:
- Personenbezogene Daten in Prompts verstoßen ohne gültigen Auftragsverarbeitungsvertrag gegen Art. 28 DSGVO
- Know-how und Geschäftsgeheimnisse können in zukünftige Modellversionen einfließen
- Keine Rückverfolgbarkeit: Unternehmen können nicht belegen, welche Daten wann wo verarbeitet wurden
KI-Kontrolle im Unternehmenskontext bedeutet: Wer hat welche Daten wann in welchen Dienst eingegeben? Ohne zentral verwaltete Infrastruktur ist diese Frage nicht beantwortbar.
Schatten-IT war ein IT-Problem. Schatten-KI ist gleichzeitig ein Datenschutz-, Compliance- und Haftungsproblem.
EU AI Act und KI-Verordnung: Jetzt wird’s teuer
Der EU AI Act ist keine Zukunftsvision. Er ist Gesetz. Die KI-Verordnung ist unmissverständlich: Unternehmen müssen KI-Systeme nach Risikoklassen dokumentieren, klassifizieren und wirksam beaufsichtigen.
KI-Compliance und KI-Governance als Pflicht
KI-Compliance heißt: nachweisbarer Überblick über eingesetzte KI-Systeme. KI-Governance schafft die strukturelle Basis – klare Richtlinien, definierte Verantwortlichkeiten, dokumentierte Prozesse. Unterstützung dabei bietet unser Bereich DSGVO- und NIS2-Compliance.
Wer Schatten-KI duldet, erfüllt diese Anforderungen nicht. Die KI-Regulierung unterscheidet nicht zwischen bewusstem Einsatz und geduldeter Nutzung. Verantwortlich ist das Unternehmen.
Mögliche Konsequenzen:
- Bußgelder nach EU AI Act bis zu 3 % des weltweiten Jahresumsatzes oder 15 Mio. €
- Zusätzliche DSGVO-Bußgelder bei personenbezogenen Daten
- Reputationsschäden nach Datenpannen oder Aufsichtsverfahren
Schatten-KI vs. kontrollierte KI-Plattform
| Kriterium | Schatten-KI (z. B. ChatGPT Free) | bios UNIVERSE |
|---|---|---|
| Datenspeicherung | US-Server, intransparent | bios-tec Cloud im bios-tec Rechenzentrum in Deutschland, auf DSGVO-Konformität ausgelegt |
| Modelltraining | Daten können einfließen | Nicht vorgesehen – eigene Instanz |
| Audit-Trail | Nicht vorhanden | Nachvollziehbar protokolliert |
| EU AI Act | Keine Nachweise | Unterstützt die Dokumentation |
| Kosten pro Nutzer | „Kostenlos“ – unkontrolliert | Keine Nutzergebühren |
| KI-Modelle | 1–3 | Große Auswahl führender Sprachmodelle |
| Software erstellen | Nicht möglich | Per Chat, ohne Code |
So stoppen Sie Schatten-KI: Die Alternative, die funktioniert
Das Gegenmittel gegen Schatten-KI ist nicht das Verbot. Es ist eine bessere, kontrollierte Alternative. bios UNIVERSE ist die KI-Plattform der bios-tec GmbH aus München:
- Führende Sprachmodelle – für jede Aufgabe das passende Modell
- Keine Nutzergebühren – ob 5 oder 500 Mitarbeiter, es kostet nicht mehr. DER Hebel gegen Schatten-KI
- Planbare Kosten – 399 € netto je Monat und Anbindung bei jährlicher Laufzeit
- Auf DSGVO-Konformität ausgelegt – bios-tec Cloud in Deutschland, eigene Instanz, KI-Datenschutz als Fundament
- Chat + Automatisierung – echte Software per Chat erstellen, nicht nur chatten
5 Schritte gegen Schatten-KI
- Bestandsaufnahme: Inventarisieren Sie, welche KI-Tools Mitarbeiter aktuell einsetzen – offiziell und inoffiziell.
- KI-Richtlinie erstellen: Klare Regeln für KI-Nutzung, Datenweitergabe und genehmigte Tools.
- Kontrollierte KI-Plattform bereitstellen: Wenn Mitarbeiter eine gute Alternative haben, entfällt der Anreiz für Umgehung.
- Mitarbeiter sensibilisieren: Offen über KI-Risiken und Datenschutz bei ChatGPT kommunizieren – ohne erhobenen Zeigefinger. Hilfreich ist eine strukturierte Security Awareness.
- KI-Governance etablieren: Monitoring, Audit-Trails und Dokumentation für die Nachweisführung nach EU AI Act.
Schatten-KI auf einen Blick
| Fakt | Wert |
|---|---|
| Mitarbeiter nutzen KI ohne IT | 57 % |
| EU AI Act Bußgeld (max.) | 3 % Umsatz / 15 Mio. € |
| Häufigstes Tool | ChatGPT (Free) |
| Daten-Risiko | US-Server, kein AVV |
| Lösung | Kontrollierte KI-Plattform |
| bios UNIVERSE | Führende Sprachmodelle, keine Nutzergebühr |
Lernen Sie bios UNIVERSE kennen: bios UNIVERSE entdecken
Häufige Fragen
Was genau ist Schatten-KI?
Schatten-KI (Shadow AI) bezeichnet den eigenständigen, ungenehmigten Einsatz von KI-Tools durch Mitarbeiter – ohne Wissen der IT. Typisch sind ChatGPT für Angebote, Claude für Analysen oder Copilot in der kostenlosen Version für Zusammenfassungen mit Kundendaten.
Ist Schatten-KI ein DSGVO-Verstoß?
In vielen Fällen ja. Die meisten KI-Dienste verarbeiten Daten auf US-Servern ohne gültigen Auftragsverarbeitungsvertrag. Werden personenbezogene Daten eingegeben, liegt ein Verstoß gegen Art. 28 DSGVO vor – unabhängig davon, ob ein Schaden entsteht.
Was fordert der EU AI Act?
Unternehmen müssen KI-Systeme klassifizieren, dokumentieren und beaufsichtigen. Schatten-KI-Tools lassen sich nicht klassifizieren, weil niemand von ihnen weiß. Bußgelder reichen bis zu 3 % des weltweiten Jahresumsatzes oder 15 Mio. €.
Reicht ein KI-Verbot im Unternehmen?
Nein. Verbote ohne Alternative verlagern das Problem auf private Geräte und Accounts, mit noch weniger Kontrolle. Die Lösung ist eine kontrollierte KI-Plattform, die Mitarbeitern echten Nutzen bietet.
Warum hilft bios UNIVERSE gegen Schatten-KI?
bios UNIVERSE bietet führende Sprachmodelle ohne Nutzergebühren – ob 5 oder 500 Mitarbeiter, es kostet nicht mehr. Wenn jeder Mitarbeiter Zugang hat, entfällt der Grund für Schatten-KI. Die Plattform läuft als eigene Instanz in der bios-tec Cloud im bios-tec Rechenzentrum in Deutschland.
