Worum es geht

Laut Bitkom-Studie 2025 nutzen rund 25 % der Beschäftigten in mittelständischen Betrieben (50-249 MA) bereits KI-Werkzeuge im Berufsalltag - oft ohne dass die Geschäftsleitung davon weiß.1 Das hat einen Namen: Schatten-KI (englisch: Shadow AI).

Das Problem ist nicht, dass Mitarbeiter KI nutzen. Das Problem ist, wo sie sie nutzen - und welche Daten dabei wohin gehen.

Was Schatten-KI konkret bedeutet

Vier typische Szenarien aus dem Mittelstand:

1. Innendienst-Mail-Triage (Großhandel)

Die Sachbearbeiterin bekommt 80 Mails am Tag. ChatGPT auf dem Privat-Handy hilft, eine erste Sortierung zu machen. Sie kopiert die ersten zwei Sätze aus jeder Mail. Mit Kundennamen, Lieferanten-Daten, Preisinformationen.

2. Aufmaß-Übersetzung (Handwerk)

Der Monteur ist auf der Baustelle. Er nimmt das Aufmaß mit dem Smartphone auf, dazu ein Foto. ChatGPT hilft, daraus eine Materialliste zu machen. Kundenadresse, Lageplan, Schaltplan - alles geht mit.

3. Reklamations-Wortlaut (Mikro-KMU)

Der Inhaber soll eine schwierige Reklamation beantworten. ChatGPT formuliert einen Entwurf. Kundenname, Auftragsnummer, Streit-Wert - in der Anfrage enthalten.

4. Mandanten-Akten-Recherche (Steuerkanzlei)

Der Steuerfach-Angestellte sucht eine Klausel in einer Mandanten-Akte. ChatGPT erklärt die Klausel. § 57 StBerG-relevante Übermittlung an Dritte - potenzieller Verstoß gegen das Mandantengeheimnis.

Warum „Verbieten" nicht funktioniert

Die typische Reflex-Reaktion: „Wir verbieten ChatGPT im Betrieb."

Drei Probleme damit:

  1. Sie können es nicht durchsetzen. Das Privat-Handy ist privat.
  2. Sie verlieren den Geschwindigkeits-Vorteil. Die Konkurrenz nutzt KI - produktiv.
  3. Sie verlieren die Kontrolle. Wer informell verboten ist, fragt nicht mehr nach - sondern macht still.

Was Sie stattdessen tun können

Schatten-KI entsteht meist dort, wo Wissen im Betrieb verstreut liegt - im Kopf einzelner Mitarbeitender, in vergessenen Postfächern, in Insellösungen. Wer hier für Ordnung sorgt, braucht keine heimlichen Zusatz-Tools mehr.

Ordnen statt verbieten. Drei Schritte:

Schritt 1: Eigenen DSGVO-konformen Zugang bereitstellen

  • Open-Source-Sprachmodell als unsere Empfehlung (Llama, Mistral, Qwen, Granite)
  • Hosting-Infrastruktur in Deutschland, ISO-27001/9001-zertifiziert - mehr zur technischen Grundlage auf der Infrastruktur-Seite
  • AVV-Vorab bei Echt-Daten-Verwendung
  • Klare Use-Cases mit Mitarbeiter-Onboarding

Schritt 2: Schulung statt Verbot

  • AI-Act Artikel 4 KI-Kompetenz-Pflicht ohnehin gesetzlich vorgeschrieben (seit 2. Februar 2026)
  • Awareness-Workshop (Halbtag) klärt, was geht und was nicht - Workshop-Details und Festpreis
  • Klartext-Glossar für Mitarbeiter

Schritt 3: Werkstück bauen, nicht Power-Point ansehen

  • Live-Vibe-Coding am Workshop-Tag - konkretes Mini-Werkstück
  • Sie sehen, was geht - und was nicht
  • Sie nehmen den Code mit

Was kostet das?

Workshop-Festpreis im Pilot Q3 2026 - konkrete Staffel nach Betriebsgröße siehe Workshop-Seite. Pilot: 50 % Rabatt gegen veröffentlichungsfähige KPI-Referenz.

Was Sie als nächstes tun können

  1. 30 Minuten Vorgespräch mit uns - kostenfrei, telefonisch oder per Video.
  2. Halbtag-Workshop bei Ihnen vor Ort oder in Reutlingen - Festpreis im Pilot.
  3. Werkstück am Tag-Ende, das Sie mitnehmen.

1 Quelle: Bitkom-Studie 2025 zur KI-Nutzung im Mittelstand. Verifikation vor Live-Schaltung - falls die 25-%-Zahl nicht hält, wird auf Verband-Mittelstand-Studie oder generischere Formulierung umgestellt.

Schatten-KI bezeichnet die ungesteuerte Nutzung von KI-Werkzeugen wie ChatGPT durch Mitarbeitende ohne Wissen der Unternehmensleitung. Laut Bitkom-Studie 2025 nutzen rund 25 % der Beschäftigten in mittelständischen Betrieben (50-249 MA) bereits KI-Werkzeuge im Berufsalltag. Das Risiko: Kundendaten, Preisinformationen oder vertrauliche Dokumente werden an US-Cloud-Server übertragen - ohne AVV, ohne DSGVO-Grundlage.
Ein Verbot ist aus drei Gründen wirkungslos: Erstens lässt sich die private Smartphone-Nutzung nicht kontrollieren. Zweitens verliert der Betrieb den Produktivitätsvorteil, während Wettbewerber KI produktiv einsetzen. Drittens führt ein informelles Verbot dazu, dass Mitarbeitende still weiternutzen und nicht mehr nachfragen - die Transparenz sinkt, das Risiko steigt.
Der wirksame Ansatz lautet „ordnen statt verbieten": Erstens einen DSGVO-konformen Zugang zu Open-Source-Sprachmodellen bereitstellen - als unsere Empfehlung für den späteren Betrieb. Zweitens Mitarbeitende schulen (AI-Act Artikel 4 KI-Kompetenz-Pflicht gilt seit 2. Februar 2026 ohnehin gesetzlich). Drittens klare Use-Cases mit Onboarding definieren, sodass Mitarbeitende wissen, welche Werkzeuge für welche Aufgaben erlaubt sind.
Werden personenbezogene Daten (Kundennamen, Adressen, Auftragsdaten) in externe KI-Dienste wie ChatGPT eingegeben, liegt eine Übermittlung an einen Drittanbieter vor. Ohne Auftragsverarbeitungsvertrag (AVV) ist das eine DSGVO-Verletzung nach Art. 28 DSGVO. Für Steuerkanzleien kommt zusätzlich der potenzielle Verstoß gegen das Mandantengeheimnis nach § 57 StBerG hinzu.
Unser Awareness-Workshop (Halbtag, Festpreis im Pilot Q3 2026) gibt Geschäftsleitung und Mitarbeitenden gemeinsam die Grundlage: DSGVO-konforme Werkzeuge im Überblick, Live-Demo eines konkreten Use-Cases, Klartext-Glossar. Die Staffel nach Betriebsgröße finden Sie auf der Workshop-Seite. Pilot-Konditionen: 50 % Rabatt gegen veröffentlichungsfähige KPI-Referenz.

Häufige Fragen zur Schatten-KI

Weiterlesen

Verwandte Seiten - branchenspezifische Schatten-KI-Konsequenzen und technische Grundlage

Ordnen statt verbieten - fangen wir an.

30 Minuten Vorgespräch, kostenfrei. Danach ein Halbtag-Workshop mit Werkstück, das Sie mitnehmen - DSGVO-konform gedacht, Open-Source-Modelle als Empfehlung.