# Schatten-KI im Unternehmen: Risiken und Lösung 2026

> Schatten-KI im Unternehmen: 4 von 10 Firmen vermuten private ChatGPT-Nutzung ohne Freigabe. DSGVO-Risiken, Bitkom-Zahlen 2026 und die Lösung im Überblick.

Quelle: https://gerlinger.ai/blog/schatten-ki-unternehmen
Stand: 2026-09-20

DSGVO und Datenschutz

- [Schatten-KI ist die Nutzung von KI-Tools ohne Freigabe des Unternehmens](https://gerlinger.ai/blog/schatten-ki-unternehmen#schatten-ki-ist-die-nutzung-von-ki-tools-ohne-freigabe-des-unternehmens)
- [So verbreitet ist Schatten-KI im deutschen Mittelstand 2026](https://gerlinger.ai/blog/schatten-ki-unternehmen#so-verbreitet-ist-schatten-ki-im-deutschen-mittelstand-2026)
- [Diese DSGVO-Risiken entstehen durch Schatten-KI](https://gerlinger.ai/blog/schatten-ki-unternehmen#diese-dsgvo-risiken-entstehen-durch-schatten-ki)
- [So sieht Schatten-KI in Handwerk, Handel und Industrie konkret aus](https://gerlinger.ai/blog/schatten-ki-unternehmen#so-sieht-schatten-ki-in-handwerk-handel-und-industrie-konkret-aus)
- [Ein pauschales Verbot löst Schatten-KI in der Praxis selten](https://gerlinger.ai/blog/schatten-ki-unternehmen#ein-pauschales-verbot-loest-schatten-ki-in-der-praxis-selten)
- [So ersetzt du Schatten-KI durch eine freigegebene Alternative in 5 Schritten](https://gerlinger.ai/blog/schatten-ki-unternehmen#so-ersetzt-du-schatten-ki-durch-eine-freigegebene-alternative-in-5-schritten)
- [Checkliste: So prüfst du, ob dein Unternehmen betroffen ist](https://gerlinger.ai/blog/schatten-ki-unternehmen#checkliste-so-pruefst-du-ob-dein-unternehmen-betroffen-ist)
- [Schatten-KI vs. freigegebene Unternehmens-KI im Vergleich](https://gerlinger.ai/blog/schatten-ki-unternehmen#schatten-ki-vs-freigegebene-unternehmens-ki-im-vergleich)
- [Diese Bußgelder drohen bei einem DSGVO-Verstoß durch Schatten-KI](https://gerlinger.ai/blog/schatten-ki-unternehmen#diese-bussgelder-drohen-bei-einem-dsgvo-verstoss-durch-schatten-ki)
- [Was das für deine KI-Einführung im Mittelstand bedeutet](https://gerlinger.ai/blog/schatten-ki-unternehmen#was-das-fuer-deine-ki-einfuehrung-im-mittelstand-bedeutet)
- [Fazit: Schatten-KI verschwindet nur mit einer echten Alternative](https://gerlinger.ai/blog/schatten-ki-unternehmen#fazit-schatten-ki-verschwindet-nur-mit-einer-echten-alternative)
- [Häufige Fragen](https://gerlinger.ai/blog/schatten-ki-unternehmen#faq)

Das Wichtigste in Kürze

- Schatten-KI bezeichnet KI-Tools, die Mitarbeiter ohne Freigabe von IT, Datenschutz oder Geschäftsführung im Job nutzen, meist private ChatGPT- oder Gemini-Zugänge.
- Laut Bitkom (2026) gehen 4 von 10 deutschen Unternehmen davon aus, dass ihre Mitarbeiter generative KI über private Zugänge einsetzen, nur 26 Prozent bieten einen offiziellen Zugang.
- In 8 Prozent der Unternehmen ist Schatten-KI bereits weit verbreitet, 2024 lag dieser Wert laut Bitkom noch bei 4 Prozent.
- Jede Eingabe personenbezogener oder vertraulicher Daten in ein privates KI-Konto ohne Auftragsverarbeitungsvertrag verstößt gegen Art. 28 DSGVO.
- Ein pauschales Verbot löst das Problem selten, weil Mitarbeiter dann auf noch schwerer kontrollierbare private Geräte ausweichen.
- Die wirksame Lösung ist eine freigegebene, DSGVO-konforme Alternative mit AVV, Nutzungsrichtlinie und Schulung nach Art. 4 KI-Verordnung.

Schatten-KI ist jede KI-Anwendung, die Mitarbeiter im Job nutzen, ohne dass IT, Datenschutz oder Geschäftsführung davon wissen oder sie freigegeben haben. Meist handelt es sich um private ChatGPT-, Gemini- oder Claude-Zugänge, in die Mitarbeiter Kundendaten, Angebotstexte oder interne Dokumente eingeben. Laut Bitkom (2026) gehen 4 von 10 deutschen Unternehmen davon aus, dass genau das in ihrem eigenen Betrieb passiert.

Dieser Leitfaden zeigt, wie verbreitet Schatten-KI im Mittelstand tatsächlich ist, welche DSGVO-Risiken daraus entstehen und warum ein Verbot allein selten hilft. Er richtet sich an Geschäftsführer im Handwerk, Handel und in der Industrie, die eine sichere Alternative aufbauen wollen, statt das Thema zu ignorieren. Am Ende steht ein konkreter 5-Schritte-Plan, mit dem sich private KI-Nutzung durch eine freigegebene, kontrollierte Lösung ersetzen lässt.

### Schatten-KI ist die Nutzung von KI-Tools ohne Freigabe des Unternehmens

Schatten-KI beschreibt den Einsatz generativer KI-Anwendungen am Arbeitsplatz, der außerhalb jeder offiziellen Kontrolle stattfindet. Der Begriff lehnt sich an die ältere "Schatten-IT" an, also private Software oder Cloud-Dienste, die Mitarbeiter ohne Wissen der IT-Abteilung einsetzen. Schatten-KI ist eine Unterkategorie der Schatten-IT, mit einer Besonderheit: Nutzer geben dabei aktiv Text, Zahlen und teils ganze Dokumente in ein fremdes System ein, statt nur eine Anwendung zu installieren.

In der Praxis tauchen vier Formen besonders häufig auf:

- Private ChatGPT-, Gemini- oder Claude-Konten für Texte, Übersetzungen oder Recherche.
- KI-Funktionen in Browser-Erweiterungen, die automatisch Formulare oder E-Mails vorschlagen.
- KI-gestützte Transkriptions-Apps, die Meetings ungefragt mitschneiden und in die Cloud laden.
- KI-Bildgeneratoren für Marketingmaterial, die mit Firmenlogos oder Produktfotos gefüttert werden.

Stell dir vor, ein Vertriebsmitarbeiter im Großhandel kopiert eine Kundenanfrage samt Namen, Adresse und Bestellhistorie in ChatGPT, um schnell ein Angebot zu formulieren. Aus seiner Sicht spart das Zeit. Für das Unternehmen entsteht in diesem Moment eine nicht dokumentierte Datenverarbeitung bei einem externen Anbieter, ohne Vertrag und ohne Kontrolle darüber, was mit den Daten weiter passiert.

### So verbreitet ist Schatten-KI im deutschen Mittelstand 2026

Schatten-KI ist laut Bitkom (2026) in deutschen Unternehmen längst Alltag, nicht die Ausnahme. Die Zahlen zeigen eine Lücke zwischen Vermutung und offiziellem Angebot.

der Unternehmen vermuten private KI-Nutzung ihrer Mitarbeiter

bieten ihren Mitarbeitern offiziellen Zugang zu generativer KI

Unternehmen mit weit verbreiteter Schatten-KI, 2024 waren es 4%

Die Lücke zwischen 40 Prozent Vermutung und 26 Prozent offiziellem Angebot ist der eigentliche Befund. In den meisten Betrieben ist KI-Nutzung längst da, nur nicht dort, wo sie kontrollierbar wäre. Die Bitkom-Erhebung zeigt zusätzlich, dass der Anteil der Unternehmen mit weit verbreiteter Schatten-KI sich von 2024 auf 2026 verdoppelt hat, von 4 auf 8 Prozent. Einzelfälle ohne breite Nutzung stiegen im gleichen Zeitraum von 13 auf 17 Prozent.

Bitkom empfiehlt Unternehmen, die Schatten-KI vermeiden wollen, drei Schritte: eigene KI-Lösungen anbieten, Transparenz über erlaubte Tools schaffen und verbindliche Regeln für den Umgang mit vertraulichen Daten einführen.

Für kleinere Mittelstandsbetriebe ohne eigene IT-Abteilung ist die Dunkelziffer vermutlich höher als der bundesweite Schnitt. Ohne zentrale Geräteverwaltung und ohne dokumentierte Software-Freigabe fehlt oft schon die technische Grundlage, um private KI-Nutzung überhaupt zu bemerken.

Gleichzeitig wächst die öffentliche Aufmerksamkeit für das Thema spürbar. Mit der KI-Schulungspflicht aus Art. 4 der KI-Verordnung und den seit dem 2. August 2026 geltenden Kennzeichnungspflichten rückt die Frage, welche KI-Tools im eigenen Betrieb tatsächlich genutzt werden, stärker in den Fokus von Geschäftsführung und Datenschutzbeauftragten als noch vor zwei Jahren.

### Diese DSGVO-Risiken entstehen durch Schatten-KI

Schatten-KI verstößt in den meisten Fällen gegen die DSGVO, sobald personenbezogene Daten in ein privates KI-Konto gelangen. Vier Risiken wiegen dabei am schwersten.

Erstens fehlt der Auftragsverarbeitungsvertrag. Ohne einen AVV nach [Art. 28 DSGVO](https://gerlinger.ai/lexikon/dsgvo) darf kein deutsches Unternehmen personenbezogene Daten an einen externen KI-Anbieter übermitteln, unabhängig davon, ob es sich um Kundennamen, Bewerberdaten oder Mitarbeiterinformationen handelt. Welche konkreten Pflichten ein solcher Vertrag regeln muss, erklärt der Leitfaden zum [AVV mit KI-Anbietern](https://gerlinger.ai/blog/avv-ki-anbieter-dsgvo).

Zweitens verlieren Unternehmen die Kontrolle darüber, wie ihre Eingaben weiterverwendet werden. Bei kostenlosen oder privaten Consumer-Zugängen behalten sich viele Anbieter vor, Eingaben zur Modellverbesserung zu nutzen, sofern der Nutzer dem nicht ausdrücklich widerspricht. Ein Business- oder Enterprise-Tarif schließt diese Nutzung dagegen vertraglich aus, ebenso wie ein eigenes [Corporate LLM](https://gerlinger.ai/blog/corporate-llm-dsgvo-kmu), das vollständig unter Kontrolle des Unternehmens läuft.

Drittens fehlt jede Löschkontrolle. Verlässt ein Mitarbeiter das Unternehmen, bleiben seine über private Accounts hochgeladenen Firmendaten dort liegen, wo sie niemand mehr zurückverfolgen oder löschen kann.

Viertens verarbeiten viele KI-Anbieter Daten auf Servern außerhalb der EU. Eine solche Übermittlung ist nach Kapitel V DSGVO nur mit einer gültigen Grundlage zulässig, etwa Standardvertragsklauseln oder einer Angemessenheitsentscheidung wie dem EU-US Data Privacy Framework. Ein privater Consumer-Zugang bietet dafür in aller Regel keine dokumentierte Grundlage, weil der einzelne Mitarbeiter selbst keinen Vertrag mit dem Anbieter über eine solche Übermittlung abschließt, sondern nur die Nutzungsbedingungen einer App akzeptiert.

Auch Betriebsgeheimnisse sind betroffen. Ein Konstruktionsplan, eine Kalkulation oder ein internes Angebot, das in ein privates KI-Konto eingegeben wird, verlässt die Kontrolle des Unternehmens dauerhaft, selbst wenn keine personenbezogenen Daten enthalten sind.

Fünf Datenarten gehören grundsätzlich nicht in eine private, nicht freigegebene KI-Anwendung:

- Kunden- und Bewerberdaten mit Namen, Adresse oder Kontaktdaten.
- Mitarbeiterdaten, etwa Gehaltsangaben, Krankmeldungen oder Leistungsbeurteilungen.
- Vertragsentwürfe, Kalkulationen und Preislisten mit Wettbewerbsrelevanz.
- Konstruktionspläne, Rezepturen oder andere Betriebsgeheimnisse.
- Interne Zugangsdaten, Passwörter oder API-Schlüssel.

### So sieht Schatten-KI in Handwerk, Handel und Industrie konkret aus

Schatten-KI wirkt abstrakt, bis ein konkretes Beispiel aus dem eigenen Arbeitsalltag auftaucht. Drei hypothetische Situationen zeigen, wie unterschiedlich das Risiko je nach Branche aussieht.

Stell dir vor, ein Bauleiter im Handwerksbetrieb fotografiert den Baufortschritt und lädt die Bilder samt Namen der beteiligten Subunternehmer in eine KI-App hoch, um automatisch einen Bautagesbericht erstellen zu lassen. Die App liegt außerhalb jeder Firmenkontrolle, die Fotos und Namen verlassen damit unkontrolliert das Unternehmen.

Stell dir vor, eine Verkäuferin im Einzelhandel nutzt einen KI-Chat, um Produktbeschreibungen für den Onlineshop zu formulieren, und fügt dafür echte Lagerbestände und interne Einkaufspreise ein. Für sie ist das ein Zeitgewinn beim Texten, für das Unternehmen entstehen dabei offengelegte Kalkulationsgrundlagen bei einem fremden Anbieter.

Stell dir vor, ein Qualitätsmanager in der Produktion lässt ein KI-Tool ein Fehlerprotokoll zusammenfassen, das Maschinendaten und Mitarbeiterkürzel enthält. Sobald sich aus den Kürzeln einzelne Personen identifizieren lassen, handelt es sich um personenbezogene Daten im Sinne der DSGVO, verarbeitet ohne Rechtsgrundlage und ohne AVV.

Alle drei Beispiele haben denselben Kern: Der einzelne Mitarbeiter handelt aus einer nachvollziehbaren Motivation heraus, nämlich Zeit zu sparen. Das Unternehmen trägt trotzdem das volle rechtliche Risiko, weil es als Verantwortlicher im Sinne der DSGVO gilt, unabhängig davon, wer die Daten tatsächlich eingegeben hat.

### Ein pauschales Verbot löst Schatten-KI in der Praxis selten

Ein reines Verbot von ChatGPT und Co. verschiebt das Problem meist nur, statt es zu lösen. Mitarbeiter, die eine KI-gestützte Arbeitsweise bereits als schneller erlebt haben, geben diesen Vorteil selten freiwillig auf. Ein Verbot ohne Alternative führt in der Praxis häufig dazu, dass die Nutzung auf private Smartphones außerhalb des Firmennetzwerks abwandert, wo sie noch schwerer zu erkennen ist als zuvor.

Technisch lässt sich ein Verbot zudem kaum durchsetzen. Eine gesperrte Domain im Firmennetzwerk verhindert nicht, dass derselbe Mitarbeiter dieselbe KI-App über die mobile Datenverbindung seines privaten Smartphones nutzt. Die Daten verlassen das Unternehmen dann genauso, nur ohne jede Möglichkeit der nachträglichen Kontrolle durch die IT-Abteilung.

[KI vs. klassische Automatisierung](https://gerlinger.ai/blog/ki-vs-klassische-automatisierung) zeigt an anderer Stelle ein ähnliches Muster: Ein Verbot ohne funktionierende Alternative erzeugt selten die gewünschte Kontrolle, sondern nur eine schlechtere Ausgangslage für die Geschäftsführung. Wer Schatten-KI stoppen will, kommt deshalb nicht um eine freigegebene, DSGVO-konforme Alternative herum, die den ursprünglichen Zeitgewinn erhält.

### So ersetzt du Schatten-KI durch eine freigegebene Alternative in 5 Schritten

Der Weg von unkontrollierter Schatten-KI zu einer freigegebenen Lösung folgt in den meisten Mittelstandsbetrieben demselben Muster.

Frage dein Team offen, welche KI-Tools bereits im Alltag genutzt werden, ohne Konsequenzen anzudrohen.

Stelle einen Firmentarif oder ein eigenes Corporate LLM mit unterschriebenem AVV zur Verfügung.

Dokumentiere erlaubte Tools, verbotene Datenkategorien und den Freigabeprozess für neue KI-Anwendungen.

Vermittle konkret, welche Daten in welches Tool dürfen und welche Risiken ein privater Zugang birgt.

Kläre die Mitbestimmung bei der neuen Richtlinie frühzeitig, bevor sie unternehmensweit gilt.

Schritt 2 entscheidet meist über den Erfolg der übrigen vier. Eine [lokale KI-Lösung](https://gerlinger.ai/blog/lokale-ki-mittelstand) hält alle Daten im eigenen Haus und nimmt dem Team das Argument, eine externe Cloud-KI sei schneller oder komfortabler. Schritt 4 braucht ohnehin jedes Unternehmen unabhängig von Schatten-KI, denn die [KI-Schulungspflicht](https://gerlinger.ai/blog/ki-schulungspflicht-eu-ai-act) aus Art. 4 der KI-Verordnung gilt seit dem 2. Februar 2025 für alle Betriebsgrößen.

Unsicher, wie stark Schatten-KI in deinem Unternehmen bereits verbreitet ist? In einer kostenlosen Erstberatung schauen wir gemeinsam auf euer aktuelles Setup und klären, welche Schritte zuerst nötig sind.

### Checkliste: So prüfst du, ob dein Unternehmen betroffen ist

Fünf Punkte zeigen zuverlässig, wie weit ein Unternehmen bereits gegen Schatten-KI abgesichert ist.

- Offizieller KI-Zugang vorhanden Mitarbeiter nutzen einen freigegebenen Firmentarif statt eines privaten Kontos.
- AVV mit dem KI-Anbieter unterschrieben Für jeden genutzten KI-Dienst liegt ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vor.
- Schriftliche KI-Nutzungsrichtlinie Erlaubte Tools, verbotene Datenkategorien und der Freigabeprozess sind dokumentiert.
- Schulung nach Art. 4 KI-VO durchgeführt Mitarbeiter kennen die Risiken und Regeln im Umgang mit KI-Tools.
- Klarer Ansprechpartner für neue KI-Wünsche Mitarbeiter wissen, an wen sie sich wenden, statt eigenmächtig ein neues Tool auszuprobieren.

Je mehr dieser Punkte offen sind, desto höher ist die Wahrscheinlichkeit, dass in deinem Unternehmen bereits unkontrollierte KI-Nutzung stattfindet. Fehlen mehr als zwei Punkte, lohnt sich ein zeitnahes Gespräch mit der Geschäftsführung, statt das Thema auf die nächste Teambesprechung zu vertagen.

### Schatten-KI vs. freigegebene Unternehmens-KI im Vergleich

Der Unterschied zwischen Schatten-KI und einer freigegebenen Unternehmens-KI zeigt sich vor allem in der Vertragslage und der Kontrolle über Daten.

| Kriterium | Schatten-KI (privater Zugang) | Freigegebene Unternehmens-KI |
| --- | --- | --- |
| Auftragsverarbeitungsvertrag | fehlt in der Regel | vertraglich mit dem Anbieter geregelt |
| Zugriff auf Firmendaten | unkontrolliert über privates Konto | zentral verwaltet mit Rechten und Rollen |
| Nutzung der Eingaben durch den Anbieter | oft zur Modellverbesserung ohne Widerspruch | vertraglich für Training ausgeschlossen |
| Haftung bei einem Datenschutzverstoß | liegt beim Unternehmen als Verantwortlicher | durch AVV und Richtlinie klar geregelt |
| Kostenkontrolle | verteilt auf einzelne private Abos | zentral abgerechnet und budgetierbar |

Zum Vergleichen seitlich wischen

Die letzte Zeile der Tabelle wird in der Praxis oft unterschätzt: Verteilte private Abos wirken einzeln günstig, summieren sich in einem Team mit zehn oder mehr Mitarbeitern aber schnell zu höheren Kosten als ein zentraler Firmentarif mit Mengenrabatt.

### Diese Bußgelder drohen bei einem DSGVO-Verstoß durch Schatten-KI

[Art. 83 DSGVO](https://gerlinger.ai/lexikon/dsgvo) erlaubt Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher liegt. Diese Obergrenze gilt für schwere Verstöße wie eine fehlende Rechtsgrundlage für die Datenverarbeitung, zu der auch der Einsatz von Schatten-KI ohne AVV zählt.

Die tatsächliche Bußgeldhöhe richtet sich nach Schwere, Dauer und Vorsatz des Verstoßes sowie danach, ob das Unternehmen bereits zuvor Maßnahmen ergriffen hat. Ein Unternehmen, das nachweislich eine Nutzungsrichtlinie und Schulungen eingeführt hat, steht bei einer Prüfung durch die Datenschutzbehörde deutlich besser da als eines, das Schatten-KI schlicht ignoriert hat. Verantwortlich im Sinne der DSGVO ist dabei das Unternehmen selbst, nicht der einzelne Mitarbeiter, der die Anfrage in ein privates Konto eingegeben hat.

Eine Prüfung entsteht in der Praxis selten zufällig. Häufige Auslöser sind eine Beschwerde eines betroffenen Kunden, eine Meldung aus dem eigenen Betrieb oder ein Datenschutzvorfall bei einem der genutzten KI-Anbieter, der die Behörde ohnehin auf betroffene Unternehmen aufmerksam macht. Wer erst nach einer Anfrage der Aufsichtsbehörde reagiert, hat die Beweislast für angemessene Maßnahmen bereits verloren.

Dokumentiere jede eingeführte Gegenmaßnahme schriftlich, vom ersten Hinweis-Rundschreiben bis zur unterschriebenen Nutzungsrichtlinie. Diese Dokumentation wiegt bei einer späteren Prüfung durch die Datenschutzbehörde oft stärker als das reine Ergebnis.

### Was das für deine KI-Einführung im Mittelstand bedeutet

Gründer Jannis Gerlinger, TÜV-zertifiziert in Verkaufspsychologie, bringt Digital-Erfahrung seit 2007 mit, von UX/UI über E-Commerce bis heute KI. Ein wiederkehrendes Muster zeigt sich dabei: Unternehmen, die eine freigegebene KI-Lösung anbieten, bevor Mitarbeiter selbst nach Alternativen suchen, verhindern Schatten-KI von Anfang an, statt sie nachträglich einzudämmen.

Diese Erfahrung deckt sich mit der Bitkom-Empfehlung: Wer den Bedarf im Team ernst nimmt und eine eigene, kontrollierte KI-Lösung bereitstellt, nimmt Mitarbeitern den Grund, überhaupt auf private Accounts auszuweichen. Ein Verbot ohne Angebot bekämpft dagegen nur das Symptom, nicht die eigentliche Ursache, nämlich den echten Zeitgewinn, den Mitarbeiter durch KI im Alltag erleben.

In der Beratungspraxis zeigt sich zusätzlich ein zweiter Effekt: Mitarbeiter, die eine freigegebene KI-Lösung aktiv mitgestalten dürfen, etwa durch eine Umfrage zu gewünschten Anwendungsfällen vor der Einführung, akzeptieren die spätere Nutzungsrichtlinie deutlich leichter als ein Team, dem eine fertige Regel ohne Erklärung vorgesetzt wird. Transparenz über den Grund der Regelung, nämlich den Schutz von Kunden- und Firmendaten, macht aus einer Einschränkung eine nachvollziehbare Maßnahme.

![Geschäftsführerin und IT-Verantwortlicher erarbeiten gemeinsam eine KI-Nutzungsrichtlinie am Konferenztisch, im Hintergrund ein Bildschirm mit einer Tabelle erlaubter KI-Tools](https://gerlinger.ai/assets/blog/schatten-ki-unternehmen-richtlinie.webp)

### Fazit: Schatten-KI verschwindet nur mit einer echten Alternative

Schatten-KI ist in deutschen Unternehmen laut Bitkom (2026) längst Alltag, mit einer klaren Lücke zwischen 40 Prozent vermuteter Nutzung und nur 26 Prozent offiziellem Zugang. Diese Lücke schließt sich nicht durch ein Verbot, sondern durch eine freigegebene, DSGVO-konforme Alternative mit AVV, Nutzungsrichtlinie und Schulung.

Eine durchdachte [KI-Strategie](https://gerlinger.ai/lexikon/ki-strategie) denkt Schatten-KI von Anfang an mit, genauso wie Datenschutz und Mitbestimmung. Wer diesen Schritt vorzieht, gewinnt die Kontrolle über die eigenen Daten zurück, ohne den Zeitgewinn zu verlieren, den KI dem Team bereits gebracht hat. Der entscheidende Unterschied liegt dabei selten in der Technik selbst, sondern darin, ob ein Unternehmen die Nachfrage im eigenen Team ernst nimmt, bevor sie unkontrolliert entsteht.

![Mitarbeiter nutzt zufrieden eine freigegebene Unternehmens-KI am Desktop-Monitor im Büro, das Interface zeigt ein internes Firmenlogo](https://gerlinger.ai/assets/blog/schatten-ki-unternehmen-freigabe.webp)

Du willst Schatten-KI in deinem Unternehmen durch eine sichere, freigegebene Lösung ersetzen? Wir bauen KI-Systeme für den Mittelstand und begleiten die Einführung von Anfang an. Buch dir eine kostenlose Erstberatung, in 15 Minuten klären wir deinen Stand.

Jannis Gerlinger berät kleine und mittlere Unternehmen bei der Einführung von Künstlicher Intelligenz und setzt die Lösungen selbst um: KI-Assistenten, Automationen und individuelle Web-Apps. Als Geschäftsführer der JANGER GmbH arbeitet er seit 20 Jahren an digitalen Systemen für Handwerk, Handel und Industrie, von Onlineshops bis zu internen Werkzeugen. Seine TÜV-Zertifizierung in Verkaufspsychologie verbindet technisches Know-how mit einem tiefen Verständnis für Geschäftsprozesse.

### Häufige Fragen.

Deine Frage fehlt? [Schreib mir](mailto:hallo@gerlinger.ai), ich antworte innerhalb eines Werktags.

#### Was ist Schatten-KI genau?

Schatten-KI sind KI-Anwendungen, die Mitarbeiter im Arbeitsalltag nutzen, ohne dass IT, Datenschutz oder Geschäftsführung davon wissen oder sie freigegeben haben. Typisch sind private ChatGPT-, Gemini- oder Claude-Zugänge, die für Firmendaten genutzt werden.

#### Warum ist Schatten-KI ein DSGVO-Problem?

Für die Verarbeitung personenbezogener Daten durch einen externen KI-Anbieter braucht es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Bei privaten Consumer-Zugängen fehlt dieser Vertrag fast immer, das Unternehmen verstößt dann als Verantwortlicher gegen die DSGVO.

#### Wie verbreitet ist Schatten-KI im deutschen Mittelstand?

Laut Bitkom (2026) gehen 4 von 10 Unternehmen davon aus, dass ihre Mitarbeiter private KI-Zugänge im Job nutzen. In 8 Prozent der Unternehmen ist das bereits weit verbreitet, gegenüber 4 Prozent im Jahr 2024.

#### Reicht ein Verbot von ChatGPT im Unternehmen aus?

Ein reines Verbot löst das zugrunde liegende Problem meist nicht. Mitarbeiter weichen dann häufig auf private Smartphones außerhalb jeder Kontrolle aus, statt auf eine sichere Alternative zurückzugreifen.

#### Welche Alternative zu privater KI-Nutzung ist DSGVO-konform?

Ein Firmentarif oder ein eigenes Corporate LLM mit unterschriebenem AVV, zentraler Zugriffsverwaltung und einer schriftlichen Nutzungsrichtlinie. Lokale KI-Lösungen halten Daten zusätzlich vollständig im eigenen Haus.

#### Muss der Betriebsrat bei einer KI-Richtlinie gegen Schatten-KI mitbestimmen?

Sobald die Richtlinie das Ordnungsverhalten im Betrieb regelt, greift in der Regel § 87 Abs. 1 Nr. 1 BetrVG. Ist zusätzlich ein System im Einsatz, das Mitarbeiterverhalten erfassen könnte, kommt oft zusätzlich § 87 Abs. 1 Nr. 6 BetrVG hinzu.

#### Wie erkennt ein Unternehmen, ob Schatten-KI genutzt wird?

Eine anonyme Mitarbeiterbefragung zu genutzten KI-Tools, ein Blick in die Firewall-Logs auf KI-Domains und offene Gespräche in Teammeetings liefern meist schnell ein realistisches Bild.

#### Was droht bei einem DSGVO-Verstoß durch Schatten-KI?

Art. 83 DSGVO erlaubt Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher liegt. Die tatsächliche Höhe richtet sich nach Schwere und Dauer des Verstoßes.

### Passt dazu.

Drei Beiträge, die dieselbe Frage aus einem anderen Winkel beantworten.

#### Datenschutz-Folgenabschätzung KI: Wann sie Pflicht ist

Eine Datenschutz-Folgenabschätzung ist bei KI-Systemen fast immer Pflicht: die 9 Risikokriterien, der Unterschied zur FRIA und 5 Schritte zur Umsetzung.

#### Art. 22 DSGVO und KI: Pflichten für Unternehmen 2026

Art. 22 DSGVO regelt automatisierte KI-Entscheidungen bei Bewerbern, Bonität und Preisen. So prüfst du deinen KI-Einsatz und bleibst compliant.

#### Betriebsrat und KI: Wann Mitbestimmung Pflicht ist

Betriebsrat und KI: § 87 BetrVG macht Mitbestimmung fast immer Pflicht. Welche Systeme betroffen sind und wie du es in 5 Schritten klärst.