Schatten-KI im Mittelstand: 7 Muster, die Sie 2026 in den Griff bekommen müssen
Schatten-KI ist nicht das Problem — fehlende Regeln sind es. Wer sie strukturiert kanalisiert, gewinnt fachlich, rechtlich und kulturell.
Schatten-KI — von Mitarbeitenden ohne IT-Freigabe eingeführte KI-Tools — ist in KMU der häufigste Compliance-Bruch. Sieben Muster zeigen, wo sie typisch entsteht: private ChatGPT-Accounts, Browser-Plugins, „schnelle Übersetzungen“, Kalender-Assistenten und mehr. Ohne Inventur kein Nachweis.
Auf einen Blick
- Schatten-KI ist 2026 in fast jedem Unternehmen vorhanden — auch wenn die Geschäftsführung das Gegenteil glaubt.
- Typische Muster: private LLM-Accounts, Browser-Plugins, inoffizielle Automationen und „Behelfslösungen" in Finance und HR.
- Risiken reichen von DSGVO-Verstößen über Know-how-Leak bis hin zu intransparenten Entscheidungswegen.
- Statt Verbotskultur braucht es eine ehrliche Inventur, klare Leitplanken und schnell freigegebene, sichere Werkzeuge.
- Wer Schatten-KI strukturiert kanalisiert, gewinnt — fachlich, rechtlich und kulturell.
- Art. 4 als Kompetenz-Kreislauf im KMU
Dieser Beitrag ist Teil der Wissensbasis rund um das KI-Forum Linz am 24. Juni 2026 im OÖNachrichten Forum. Autor: Thomas Morawek, Co-Gründer KI-Forum.
Schatten-KI ist nicht das Problem — fehlende Regeln sind es. Wer sie ignoriert, zahlt später mit Bußgeldern und Vertrauensverlust. Wer sie strukturiert kanalisiert, bekommt kostenlosen Rückenwind aus der Belegschaft.
Was ist Schatten-KI — und warum ist sie so hartnäckig?
Schatten-KI umfasst alle KI-Anwendungen, die Mitarbeitende nutzen, ohne dass IT, Datenschutz oder Management sie offiziell freigegeben haben. Der Grund ist selten böser Wille, sondern Pragmatismus: Menschen wollen ihren Job besser und schneller erledigen — und KI-Tools liegen nur einen Browser-Tab entfernt.
Sieben typische Schatten-KI-Muster
1. Private ChatGPT-Accounts mit Unternehmensdaten
Mitarbeitende kopieren E-Mails, Verträge, Protokolle oder sogar Finanzdaten in private LLM-Accounts, um Texte übersetzen, strukturieren oder „schöner schreiben" zu lassen. Das spart Zeit, schafft aber einen kaum kontrollierbaren Datenabfluss.
2. Browser-Plugins, die Daten mitschneiden
Chrome- oder Edge-Plugins schicken ganze Webseiten oder Intranet-Seiten an externe KI-Services, um Zusammenfassungen oder Antworten zu generieren. Niemand weiß genau, welche Daten wohin gehen — die Datenschutz-Folgenabschätzung findet nicht statt.
3. Inoffizielle Automationen in Finance und HR
Findige Mitarbeitende bauen in Power Automate, Make oder Zapier Flows, die Rechnungen, Bewerbungen oder Tickets automatisch routen — oft mit KI-Schritten zum Klassifizieren. Governance, Dokumentation und klare Verantwortlichkeiten fehlen.
4. Word/Excel-Add-ins mit US-Backends
LLM-Plugins in Office-Dokumenten helfen beim Schreiben, Übersetzen oder Auswerten — basierend auf US-Cloud-Services mit unspezifizierter Datenhaltung. Hier lauern unerwünschte Drittlandstransfers und unklare Speicherfristen.
5. Generative Bild-Tools im Marketing
Marketing nutzt freie Bildgeneratoren für Kampagnen, Posts und Präsentationen — ohne Lizenzprüfung und ohne Klarheit, wie Trainingsdaten und Urheberrechte aussehen. Das kann zu Marken- und Urheberrechtsproblemen führen.
6. „Behelfslösungen" im Support
Support-Mitarbeitende lassen Chatbots Antwortvorschläge für Kunden generieren — zum Teil mit Bezug auf konkrete Ticketdaten. Versionierung und Nachvollziehbarkeit sind nicht geregelt, rechtliche Risiken bleiben beim Unternehmen.
7. KI-Nutzung im Recruiting
Fachabteilungen lassen Lebensläufe von generativen Tools „kondensieren", Motivationsschreiben umformulieren oder Kandidaten „einschätzen". Hier entsteht Nähe zu Hochrisiko-Bereichen des EU AI Act, insbesondere im Beschäftigungsbereich.
Vier Schritte, um Schatten-KI unter Kontrolle zu bringen
Schritt 1 — Anonyme, ehrliche Inventur
Eine kurze, anonyme Umfrage („Welche KI-Tools nutzen Sie im Alltag?") reicht oft, um 5–10 nicht freigegebene Tools pro Unternehmen sichtbar zu machen. Wichtig ist die Botschaft: Es geht nicht um Sanktionen, sondern um Transparenz.
Schritt 2 — Risiko-Clustering
Für jedes identifizierte Tool werden Datenarten, Betroffenheit und Entscheidungswirkung bewertet. Daraus entsteht ein einfaches Cluster: unproblematisch, steuerbar, kritisch. Kritische Tools werden eingefroren, bis eine Alternative steht.
Schritt 3 — KI-Policy & Positivliste
Eine kurze Richtlinie definiert Do's & Don'ts, erlaubte Tools und den Meldeweg. Eine Positivliste freigegebener Lösungen („diese Tools sind erlaubt") funktioniert deutlich besser als reine Verbote.
Schritt 4 — Schulung und Storytelling
Kurze, praxisnahe Schulungen mit echten Beispielen aus der Inventur machen klar: KI-Nutzung ist erwünscht, aber geregelt. Die Story lautet: „Wir wollen, dass ihr KI nutzt — nur nicht im Blindflug."
Schatten-KI ist ein Symptom für fehlende Angebote, nicht für „böse Mitarbeitende". Mitarbeitende greifen zu Schatten-KI, weil das offizielle Angebot fehlt oder zu kompliziert ist.
Zum Mitnehmen
- Schatten-KI ist ein Symptom für fehlende Angebote, nicht für „böse Mitarbeitende".
- Verbote allein treiben Nutzung in noch dunklere Ecken — Transparenz plus Alternativen sind die bessere Antwort.
- Eine Inventur plus Policy light lässt sich in wenigen Wochen umsetzen.
- Wer Schatten-KI kanalisiert, reduziert Compliance-Risiken und baut Vertrauen auf.
Häufige Fragen
Sollen wir Schatten-KI sofort verbieten?
Wie offen sollten wir kommunizieren?
Wie dokumentieren wir das für den AI Act?
Welche Tools sind „typische Verdächtige"?
Wie verhindern wir, dass die Inventur Schatten-KI noch verschärft?
Autoren-Profil · LinkedIn
Machen Sie das KI-Forum zu Ihrem Kompetenz-Turbo
Ein Tag Praxis. Sechs Speaker. EU-AI-Act-Kompetenz-Zertifikat inklusive.
Jetzt Ticket sichern