Schatten-KI im Betrieb: wenn Mitarbeitende eigene KI nutzen

Schatten-KI ist jede KI-Nutzung im Job, die der Betrieb nicht ausgewählt, eingerichtet und freigegeben hat. Der Landesbeauftragte für den Datenschutz Niedersachsen beschreibt sie so: Mitarbeiterinnen oder Mitarbeiter nutzen „im Web verfügbare KI-Systeme wie ChatGPT, Gemini oder Claude […], ohne dass diese in die IT-Infrastruktur der Behörde oder des Unternehmens integriert sind und die Nutzung genehmigt wurde“ (LfD Niedersachsen, FAQ Künstliche Intelligenz, Stand August 2026). Die Mail an den Kunden wird im privaten ChatGPT-Konto umformuliert, das Angebot mit Claude zusammengefasst, das Besprechungsprotokoll von einer Browser-Erweiterung geschrieben.

Schatten-KI ist kein Disziplinproblem, sondern ein Beschaffungsproblem. Wer ein Werkzeug braucht und keines bekommt, nimmt das, was er privat schon hat. Der Work Trend Index 2024 von Microsoft und LinkedIn, eine Umfrage unter 31.000 Personen in 31 Ländern, kam auf 75 % der Wissensarbeiter, die KI im Job nutzen, und auf 78 % der KI-Nutzer, die dafür eigene Werkzeuge mitbringen (Microsoft, Work Trend Index 2024). In einem kleinen Betrieb ohne IT-Abteilung ist der Anteil eher höher, weil niemand etwas anderes bereitstellt.

Fünf Wege, auf denen dabei Daten abfließen#

1. Training mit Kundendaten. Private Konten bei ChatGPT trainieren standardmäßig mit, bei Claude nach Zustimmung, und wer den Schalter nie gesehen hat, hat ihn auch nicht umgelegt. Was in welchem Tarif gilt und wo der Schalter sitzt, steht in ChatGPT, Claude, Copilot: Datenschutz im Vergleich.

2. Kein Vertrag, falsche Rolle. Auf einem Verbraucherzugang gibt es keinen Auftragsverarbeitungsvertrag. Der Anbieter ist dort eigener Verantwortlicher, und der Betrieb hat Kundendaten an einen Dritten gegeben, ohne es zu wissen. Welcher Tarif einen AVV mitbringt, steht in Auftragsverarbeitungsvertrag mit KI-Anbietern.

3. Browser-Erweiterungen mit Lesezugriff auf alles. Viele KI-Helfer zum Zusammenfassen, Umschreiben oder Übersetzen sind Erweiterungen. Eine Erweiterung mit der Berechtigung „Ihre Daten auf allen Websites“ darf laut Google Daten von jeder besuchten Seite lesen, anfordern und ändern, als Beispiele nennt Google Bankkonto und Facebook (Chrome Web Store-Hilfe). Im Büro heißt das: auch das Kundenportal, das Webmail und die Buchhaltung im Browser.

4. Besprechungsassistenten. Ein Transkriptions-Bot, den jemand privat mit dem Kalender verbunden hat, nimmt an jeder Besprechung teil, zu der die Einladung kommt, auch an der mit dem Kunden, der davon nichts weiß. Aufnahme und Protokoll liegen danach beim Anbieter des Bots, nicht beim Betrieb.

5. Zugangsdaten im Prompt. Wer eine Fehlermeldung samt Konfigurationsdatei in den Chat kopiert, kopiert oft die Datenbank-Zugangsdaten mit. OWASP führt die Preisgabe von Zugangsdaten, Geschäftsdaten und personenbezogenen Daten als eigenen Punkt LLM02:2025 Sensitive Information Disclosure (OWASP Gen AI Security Project). Ein Konto mit einem ganzen Jahr solcher Chats ist ein lohnendes Ziel; was zu tun ist, wenn es übernommen wird, steht in ChatGPT-Konto gehackt.

Herausfinden, was genutzt wird, ohne zu überwachen#

Der Weg dauert eine Woche und braucht keine Software.

1. Fragen. Eine kurze, anonyme Umfrage: Welche KI-Dienste nutzt du im Job, wofür, mit welchem Konto, welche Daten kommen hinein? Wer vorher sagt, dass es um Bereitstellung geht und nicht um Sanktion, bekommt ehrliche Antworten. Die Antworten zeigen nebenbei den Bedarf: Texte, Übersetzungen, Tabellen, Code.
2. Abrechnungen ansehen. Spesen, Firmenkreditkarte, App-Store-Belege. Ein Pro-Abo, das als „Software“ abgerechnet wird, ist ein Fund und eine Information, keine Verfehlung.
3. Browser-Erweiterungen auflisten. Auf verwalteten Geräten zeigt die Verwaltungskonsole, welche Erweiterungen installiert sind. Ohne Verwaltung reicht eine Liste, die alle einmal selbst abschreiben.
4. DNS- oder Proxy-Protokolle nur zusammengefasst. Wie oft wird chatgpt.com, claude.ai oder gemini.google.com aus dem Netz aufgerufen, nicht: von wem. Die Zahl je Dienst reicht für die Entscheidung, welcher bereitgestellt werden sollte.

Bevor Protokolle ausgewertet oder neue Kontrollwerkzeuge eingeführt werden, ist das Arbeitsrecht zu klären. In Österreich braucht die Einführung von Kontrollmaßnahmen, die die Menschenwürde berühren, nach § 96 Abs. 1 Z 3 ArbVG die Zustimmung des Betriebsrats, und Systeme zur automationsunterstützten Verarbeitung von Beschäftigtendaten fallen unter § 96a (RIS, Arbeitsverfassungsgesetz). In Deutschland bestimmt der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG bei technischen Einrichtungen mit, die Verhalten oder Leistung überwachen sollen. Der Beitrag ist Orientierung, keine Rechtsberatung; die Umfrage und die Abrechnungen sind in beiden Ländern der unproblematische Anfang.

Was zu tun ist#

Ein bereitgestellter Dienst ersetzt zehn private. Die Reihenfolge:

1. Einen Dienst im Geschäftstarif bereitstellen, für den Bedarf, den die Umfrage gezeigt hat. Auf die Firma gebucht, mit AVV, Training aus, Aufbewahrung festgelegt. Welche Tarife das leisten und was sie kosten, steht in Claude oder ChatGPT: Kosten und Tarife. Wer bestimmte Daten gar nicht an einen Cloud-Dienst geben will, findet in Lokale KI mit Ollama die Alternative.
2. Eine Regel auf einer Seite schreiben. Sie beantwortet sechs Fragen:

- Welche Dienste sind freigegeben, mit welchem Konto? - Welche Daten dürfen hinein, welche nie (Gesundheitsdaten, Passwörter, Zugangsdaten, Personalakten)? - Wer prüft, bevor ein KI-Ergebnis an Kunden geht? - Welche Erweiterungen und Besprechungs-Bots sind erlaubt? - Wen fragt man, wenn ein Dienst fehlt? - Was passiert, wenn doch etwas Falsches eingegeben wurde: an wen melden, bis wann? 3. Einweisen. Artikel 4 des AI Act verlangt seit 2. Februar 2025, dass Betreiber die KI-Kompetenz ihres Personals unterstützen. Eine dokumentierte Einweisung in die Regel und die freigegebenen Dienste erfüllt das für einen kleinen Betrieb; die Einzelheiten stehen in EU AI Act für kleine Unternehmen. 4. Erweiterungen eingrenzen. Auf verwalteten Geräten eine Liste erlaubter Erweiterungen hinterlegen statt einzelne zu sperren. 5. Nach drei Monaten nachsehen. Dieselbe Umfrage noch einmal. Werden noch private Dienste genutzt, fehlt etwas im bereitgestellten, und das ist die eigentliche Antwort.

Wie sich das in die übrigen Datenschutzpflichten einfügt, vom Verarbeitungsverzeichnis bis zur Information der Betroffenen, steht in KI DSGVO-konform einsetzen.

Was nicht hilft#

Ein Verbot ohne Ersatz. Der LfD Niedersachsen rät, Schatten-KI nicht zu tolerieren, etwa per Dienstanweisung, und bewusst zu entscheiden, welche Systeme unter welchen Bedingungen einsetzbar sind. Der zweite Teil wird gern weggelassen. Er beschreibt in derselben FAQ auch, was dann passiert: Wer am Dienstrechner keinen Chatbot nutzen kann, nimmt das private Gerät. Dort sieht niemand mehr etwas.

Domains sperren. Es gibt jede Woche neue Dienste, und jedes Smartphone hat mobiles Netz. Eine Sperrliste misst, wie kreativ die Belegschaft ist, nicht, wie sicher die Daten sind.

Eine Richtlinie mit zwölf Seiten. Sie wird unterschrieben und nicht gelesen. Eine Seite mit sechs Antworten wird gelesen.

Jede Eingabe mitschneiden. Technisch möglich, arbeitsrechtlich in beiden Ländern zustimmungspflichtig und für einen kleinen Betrieb unverhältnismäßig. Es zerstört genau das Vertrauen, das die Umfrage braucht.

Der ehrliche Schluss#

Schatten-KI verschwindet nicht durch Kontrolle, sondern dadurch, dass der offizielle Weg bequemer ist als der private. Ein Dienst im Geschäftstarif, eine Seite Regeln und eine halbe Stunde Einweisung kosten weniger als ein einziger Vorfall mit Kundendaten in einem fremden Konto. Wer nicht weiß, wo er anfangen soll: mit der Umfrage. Sie zeigt in einer Woche, welche Daten heute schon wohin fließen.

Stand 04.10.2026. Quellen am selben Tag abgerufen.