Schatten-KI: Mitarbeiter nutzen ChatGPT längst – so wird es sicher
71 % der Wissensarbeiter nutzen KI über private Konten, 38 % laden sensible Daten hoch. Warum Verbote nicht helfen, wie eine Richtlinie in zwei Wochen steht.
Fragen Sie Ihre Geschäftsführung, ob im Betrieb KI genutzt wird, hören Sie oft: „Kaum.” Fragen Sie das Team anonym, hören Sie etwas anderes.
Schatten-KI heißt das Phänomen: Mitarbeiter nutzen ChatGPT, Gemini oder DeepL über private Konten für die Arbeit – ohne dass der Betrieb es weiß, ohne Vertrag, ohne Regeln. Eine Springer-Studie beziffert das für den DACH-Mittelstand 2026 auf 71 Prozent der Wissensarbeiter. 38 Prozent davon laden dabei sensible Geschäftsdaten in öffentliche KI-Dienste hoch.
Das ist kein Vorwurf an die Mitarbeiter. Es ist ein Zeichen, dass die Werkzeuge nützlich sind – und dass der Betrieb ihnen keinen sicheren Weg anbietet.
Warum das ein Problem ist – konkret
Kundendaten in einem Dienst ohne Auftragsverarbeitungsvertrag. ChatGPT Plus, das private Abo, bietet keinen AVV nach Art. 28 DSGVO. Wer dort einen Kundennamen mit Vertragsdetails eingibt, verarbeitet personenbezogene Daten ohne Rechtsgrundlage. Das ist kein theoretisches Risiko, das ist ein meldepflichtiger Vorfall, wenn es auffällt.
Training mit Ihren Daten. Bei kostenlosen und privaten Konten nutzen die Anbieter Eingaben standardmäßig zur Verbesserung ihrer Modelle. Ihre Kalkulation, Ihr Angebotstext, Ihr Quellcode – landet im Trainingsmaterial, sofern niemand widerspricht.
Niemand weiß, was rauskommt. Ohne Regeln entscheidet jeder nach Gefühl, was rein darf. Der eine tippt nur Überschriften ein, der andere die Personalakte. Beides sieht von außen gleich aus.
Seit Februar 2025 ist es auch eine Compliance-Frage. Artikel 4 des EU AI Act verlangt KI-Kompetenz bei allen, die KI beruflich nutzen. Ein Team, das heimlich ChatGPT nutzt, ist per Definition nicht geschult.
Warum Verbote nicht funktionieren
Ich habe Unternehmen gesehen, die ChatGPT im Firmennetz gesperrt haben. Das Ergebnis: Die Nutzung wanderte aufs private Handy. Weniger Kontrolle, nicht mehr.
Der Grund ist simpel. Wer mit KI eine Stunde pro Tag spart, gibt das nicht auf, weil die IT es verbietet. Die Alternative zum Verbot ist nicht Laissez-faire – sondern ein sicherer Weg, der genauso bequem ist.
Die drei Bausteine, die tatsächlich helfen
1. Ein offizielles Werkzeug mit Vertrag. ChatGPT Business, Microsoft 365 Copilot oder Gemini in Google Workspace bringen einen AVV mit, nutzen Eingaben nicht zum Training und verarbeiten in der EU. Kosten: 14 bis 34 Euro pro Nutzer und Monat. Das ist weniger als die erste vermiedene Datenpanne. Welches passt, hängt davon ab, was Sie schon nutzen – dazu mehr in Copilot, ChatGPT oder Gemini: Welches KI-Tool passt zu Ihrem Betrieb?
2. Eine Richtlinie, die man in fünf Minuten liest. Zwei bis drei Seiten: Welche Tools sind erlaubt, welche Datenklassen dürfen rein (öffentlich, intern, vertraulich, personenbezogen), wer gibt neue Tools frei. Kein Juristendeutsch. Wenn Mitarbeiter sie nicht lesen, existiert sie nicht.
3. 90 Minuten Schulung mit Teilnahmenachweis. Nicht „Was ist KI”, sondern: So schreiben Sie einen guten Prompt, das darf rein, das nicht, so erkennen Sie Halluzinationen. Mit Unterschrift – damit ist Artikel 4 dokumentiert. Was eine Schulung leisten kann und was nicht, habe ich in KI-Schulung im Mittelstand beschrieben.
Der erste Schritt: Bestandsaufnahme
Bevor Sie irgendetwas regeln, finden Sie heraus, was läuft. Anonyme Umfrage, drei Fragen: Welche KI-Tools nutzt du für die Arbeit? Wofür? Mit welchen Daten? Die Antworten sind meistens überraschend – und sie zeigen, was Ihr Team wirklich braucht.
Genau diese drei Bausteine – Bestandsaufnahme, Richtlinie, Schulung – bieten wir als Paket an, typischerweise in zwei bis drei Wochen: KI-Datenschutz und Team-Schulung. Oder Sie fangen mit einem Gespräch an: Erstgespräch vereinbaren.