Unternehmerrisiko Schatten-KI
Warum unkontrollierte KI-Nutzung zur Managementaufgabe wird – und wie Unternehmen Haftung und Effizienzpotenziale in Einklang bringen können

Kassel, 29.12.2025 (PresseBox) - Generative KI ist 2025 in vielen Unternehmen längst Alltag – häufig nicht als offizielles Projekt, sondern als Schatten-KI, wenn Mitarbeitende eigenständig Tools wie ChatGPT, Gemini oder Copilot nutzen, um Texte zu schreiben, Daten zu analysieren oder Entscheidungen vorzubereiten. Während KI-Strategien, Richtlinien und Governance-Strukturen oft noch in der Entwicklung sind, hat sich eine parallele Nutzung etabliert: produktiv, aber weitgehend unkontrolliert und für IT, Datenschutz und Management nur begrenzt sichtbar. ^[3][4][5]

Was Schatten-KI bedeutet

Unter Schatten-KI versteht man den Einsatz von KI-Tools, die nicht offiziell freigegeben sind, außerhalb bestehender Governance-Prozesse laufen und bei denen Unternehmen keinen klaren Überblick darüber haben, welche Daten in welche Systeme gelangen. Anders als klassische Schatten-IT erfordern viele dieser Dienste keine Installation, laufen im Browser, sind mit privaten Geräten oder Mobilzugängen erreichbar und umgehen damit zentrale Kontrollmechanismen wie Lizenz- oder Netzwerkmonitoring. ^[6][7][3]

Aktuelle Studien zeigen, dass Schatten-KI kein Randphänomen mehr ist: 82 Prozent der Mitarbeitenden nutzen KI-Tools mindestens wöchentlich – viele davon ohne formale Genehmigung oder klare Richtlinien ihres Arbeitgebers. Gleichzeitig ist die Menge an Unternehmensdaten, die in KI-Tools landet, innerhalb eines Jahres um 485 Prozent angestiegen; der Anteil sensibler Daten in diesen Uploads hat sich dabei mehr als verdreifacht. ^{[8][9][10][3]}

Konkretes Beispiel aus dem Arbeitsalltag

Ein typisches Szenario: Eine Controllerin soll über Nacht eine Management-Präsentation zu den Quartalszahlen vorbereiten. Das interne BI-System liefert zwar korrekte, aber schwer zugängliche Reports; unter Zeitdruck kopiert sie deshalb Umsatz- und Margendaten, Kundenanteile und erste Übernahmeszenarien in ein öffentliches KI-Tool, um schnell eine verständliche Zusammenfassung und Handlungsempfehlungen zu erhalten. ^[3]

Fachlich funktioniert das: Die KI liefert in Minuten eine prägnante Analyse, die Präsentation ist rechtzeitig fertig, die Produktivität steigt subjektiv massiv. Gleichzeitig verlassen jedoch vertrauliche Finanzdaten und strategische Informationen – inklusive Kundenabhängigkeiten und möglicher Transaktionspläne – die geschützte Unternehmensumgebung und werden auf fremden Servern verarbeitet, teilweise in Drittländern mit anderen Rechtsrahmen. Je nach Nutzungsmodell können diese Daten in Trainingsprozesse einfließen, wodurch Elemente der eigenen Geschäftslogik später indirekt über das KI-Modell anderen Nutzern zugutekommen können.^[9][10][3]

Risiko- und Haftungsdimension für Unternehmen

Aus dieser Praxis ergeben sich mehrere Risikoklassen, die insbesondere für Geschäftsführung, Vorstand und Aufsichtsorgane relevant sind. Erstens der Datenschutz: Personenbezogene Daten – etwa Kundenlisten, Bewerbungen oder Supportfälle – dürfen nicht ohne Rechtsgrundlage in Drittstaaten oder in unklare KI-Infrastrukturen übertragen werden; Verstöße können Bußgelder bis zu 20 Millionen Euro bzw. 4 Prozent des weltweiten Jahresumsatzes nach sich ziehen. Zweitens der Schutz von Geschäftsgeheimnissen: Strategische Kennzahlen, Preisstrukturen, Konditionen oder Vertragsinhalte verlieren ihren rechtlichen Schutz, wenn keine „angemessenen Geheimhaltungsmaßnahmen“ nach GeschGehG nachweisbar sind; bei Leaks drohen wirtschaftliche Schäden und Vertrauensverlust bei Geschäftspartnern. ^[11][6][3]

Hinzu kommt drittens regulatorische Nicht-Compliance: Der EU AI Act verlangt für bestimmte Hochrisiko-Anwendungen strukturierte Dokumentation, Transparenz und Steuerung der KI-Nutzung. Werden in sensiblen Bereichen (z.B. Bonitätsentscheidungen, Risiko-Scoring, automatisierte Vertragsauswertung) informell Schatten-KI-Tools eingesetzt, kann dies zu erheblichen Sanktionen führen – inklusive Bußgeldern bis zu 60 Millionen Euro oder 3 Prozent des Jahresumsatzes. ^[12][3]

Rechtlich besonders brisant ist die Frage, wer für Schäden durch Schatten-KI haftet: Geschäftsführende tragen in Deutschland eine Organisationspflicht, KI-Risiken – ähnlich wie IT- oder Datenschutzrisiken – durch angemessene Prozesse, Richtlinien und technische Maßnahmen zu adressieren. Kommt es zu einem Datenschutzvorfall, einem Leak von Geschäftsgeheimnissen oder fehlerhaften KI-basierten Entscheidungen ohne dokumentierte Governance, kann die persönliche Haftung der Geschäftsleitung gegenüber Gesellschaft, Kunden oder Behörden im Raum stehen. ^[13][3]

Warum Verbote nicht ausreichen

Umfragen zeigen, dass ein reines Verbot externer KI-Tools selten ausreicht: Beschäftigte greifen unter Produktivitätsdruck trotzdem auf leistungsfähige Werkzeuge zurück, insbesondere, wenn kein attraktives internes Alternativangebot existiert. Bitkom und andere Studien berichten, dass viele Fachkräfte KI trotz fehlender Freigabe nutzen – aus ihrer Sicht rational, um Ziele, Deadlines und Arbeitslast bewältigen zu können. Gleichzeitig belegen Untersuchungen von MIT und anderen Institutionen, dass KI-Einsatz in wissensintensiven Tätigkeiten messbar Produktivität und Ergebnisqualität steigern kann, wenn er sinnvoll eingebettet wird. ^{[14][15][16][8][3]}

Dieses Spannungsfeld – zwischen Effizienzdruck, Innovationsanspruch und Risikoaversion – macht Schatten-KI zur strategischen Managementaufgabe. Unternehmen, die ausschließlich verbieten, ohne sichere Alternativen und klare Leitplanken anzubieten, laufen Gefahr, Risiken lediglich zu verstecken statt sie zu steuern. ^[17][18][3]

Schatten-KI als Chance und Weg nach vorn

Trotz aller Risiken ist Schatten-KI auch ein Indikator für echten Bedarf: Dort, wo Teams bereit sind, Richtlinien zu umgehen, um KI zu nutzen, sind Use Cases mit hohem Nutzenpotenzial sichtbar – etwa bei Text- und Angebotserstellung, Wissenssuche, Support, Dokumentenauswertung oder Projektkommunikation. Unternehmen, die diese Signale ernst nehmen, können daraus eine praxisnahe KI-Roadmap entwickeln, statt KI-Einsatz nur top-down theoretisch zu planen. ^[10][19][3]

Ein zentraler Baustein ist der Aufbau sicherer, kontrollierter KI-Assistenzsysteme mit klarer Datenhoheit: Lösungen, die innerhalb der eigenen Infrastruktur oder in isolierten Cloud-Umgebungen betrieben werden, DSGVO-konformes Hosting (z.B. auf deutschen Servern), Verschlüsselung und Zero-Knowledge-Prinzipien bieten und zugleich die Produktivitätsvorteile generativer KI erschließen. Plattformen wie we-are-two.ai adressieren diesen Ansatz, indem sie unternehmensspezifische KI-Assistenten für Wissensmanagement, Support, Dokumentenverarbeitung oder Kommunikation bereitstellen – bei voller Kontrolle darüber, welche Daten wie verarbeitet und gespeichert werden. ^[20][21][3]

Statt Schatten-KI zu verdrängen, empfiehlt sich für Führungsteams ein dreistufiges Vorgehen: In der ersten Stufe geht es darum, Transparenz zu schaffen – also systematisch zu erheben, wo und wofür Mitarbeitende heute bereits KI nutzen, inklusive privater Tools, und diese Use Cases strukturiert zu dokumentieren. In der zweiten Stufe sollten Governance-Strukturen etabliert werden, etwa durch klare KI-Policies, Schulungen, definierte Rollen und Prüfprozesse sowie Mindeststandards für Datenschutz, Informationssicherheit, Qualitätssicherung und Einsatzbereiche. In der dritten Stufe ist entscheidend, sichere Alternativen anzubieten: eigene KI-Angebote mit Datenhoheit und Auditierbarkeit, damit Mitarbeitende eine leistungsfähige, erlaubte Option haben und Schatten-KI schrittweise durch gesteuerte Nutzung ersetzt wird. ^{[22][13][14][20][3]}

Unternehmen, die diesen Weg frühzeitig gehen, reduzieren nicht nur Haftungs- und Reputationsrisiken, sondern können KI als strategischen Produktivitätshebel nutzen – auf Basis nachvollziehbarer, rechtssicherer und dokumentierter Strukturen. Anbieter wie we-are-two.ai positionieren sich dabei als Partner für datensouveräne KI-Assistenzsysteme „Made in Germany“, die technologische Leistungsfähigkeit mit Compliance- und Governance-Anforderungen europäischer Unternehmen verbinden. ^{[2][21][20][3]}

Weiterführende Informationen, vertiefende rechtliche Einordnung und ein strukturiertes Vorgehensmodell für den Umgang mit Schatten-KI im Unternehmen finden sich im ausführlichen Whitepaper unter: https://schatten-ki.com. ^[3]

Quellen:
we-are-two / Kommunikationsmaterial Schatten-KI, Subline-Ausrichtung Managementaufgabe.^[1][2]
Bitkom, „KI-Nutzung boomt – Angst vor Abhängigkeit vom Ausland groß“, 20.11.2025.^[2][17]
Schatten-KI: Haftungsrisiken und Governance für Führungskräfte (interne Auswertung Kernaussagen und Studienzitate).^[2][3]
Handelsblatt, „Schatten-KI: Sieben von zehn Arbeitnehmern nutzen KI-Werkzeuge ohne Freigabe ihrer Firma“, 2025.^[4][23]
Der Betrieb / Bitkom-Auswertung „Beschäftigte nutzen vermehrt Schatten-KI“, 20.10.2025.^[5][24]
vonwestfalen.de, „Schatten-KI im Unternehmen: Risiken erkennen und …“, 2025.^[4][6]
Markus Groß, „Schatten-IT 2.0: Wenn KI-Tools unbemerkt ins Unternehmen drängen“, 29.09.2025.^[7][25]
Bitkom: „Beschäftigte nutzen vermehrt Schatten-KI“, 2025 (Bericht über verdeckte KI-Nutzung).^[26][8]
Netskope, „Cloud- und Bedrohungsbericht: Generative KI 2025“, 13.10.2025.^[9][12]
Netskope, „Cloud and Threat Report: AI Apps in the Enterprise 2024“, 2025.^[21][10]
Security-Insider, „Schatten-KI: Risiken und Gefahren für Unternehmen durch KI-Tools“, 08.10.2025.^[27][11]
AP-Verlag, „Schatten-KI im Unternehmen: Risiken erkennen, Vertrauen sichern“, 23.07.2025.^[16][12]
SRD Rechtsanwälte, „KI-Nutzungsrichtlinie richtig erstellen (mit Muster)“, 17.06.2025.^[28][13]
Bitkom, Presseinfo „Beschäftigte nutzen Schatten-KI“, 20.10.2025.^[6][14][3]
Zeit / dpa, „‚Schatten-IT‘: Viele Fachkräfte nutzen KI ohne Erlaubnis“, 21.11.2025.^[15][29]
the-decoder.de, „KI-Nutzung am Arbeitsplatz gewinnt laut neuer Umfrage an Geschwindigkeit“, 15.12.2025 (mit Verweis auf Produktivitätsstudien, u.a. MIT).^[8][16]
smart-labs.ai, „Wie LLM-Sicherheit und KI-Governance Antworten auf …“, 04.10.2025.^[30][17]
Computerwoche, „So schützen Sie sich vor Schatten-KI“, 01.07.2025.^[18][31]
i40-magazin.de, „Schatten-KI in Unternehmen“, 30.10.2025.^[19][22]
we-are-two, „KI-Assistenzsysteme mit 100% Datenhoheit“ (Produkt- und Lösungsbeschreibung).^[32][20][1]
we-are-two Website, Unternehmensprofil und Leistungsversprechen „Made in Germany“, 2025.^[21][32]
VIER, „So verhindern Unternehmen die Nutzung von Schatten-KI“, 12.10.2025.^[33][22]