Leitfaden Schatten-KI:
In sieben Schritten vom Risiko zum Gewinn

Kurz erklärt:
Schatten-KI entsteht, wenn Mitarbeiter nicht freigegebene KI-Dienste für geschäftliche Aufgaben nutzen. Dabei wird unter anderem die Verarbeitung vertraulicher Informationen zum Problem. In sieben Schritten holen Sie die KI-Nutzung aus dem Schatten und schaffen die Grundlage eine sichere und wirtschaftlich sinnvolle KI-Einführung.

Ihre Mitarbeiter formulieren E-Mails mit ChatGPT, lassen Dokumente zusammenfassen oder erstellen Präsentationen mit anderen KI-Diensten – und Sie wissen nichts davon? Ein dauerhaftes Verbot löst dieses Problem ebenso wenig wie der vorschnelle Kauf einer Unternehmenslizenz. Gefragt ist ein geordnetes Vorgehen, das Risiken begrenzt, den tatsächlichen Bedarf sichtbar macht und sinnvolle Anwendungsfälle kontrolliert in den Arbeitsalltag überführt.

1. Schatten-KI stoppen – sensible Daten schützen

Untersagen Sie vorläufig die geschäftliche Nutzung nicht freigegebener KI-Dienste. Stellen Sie dabei besonders klar, dass Kunden- und Personaldaten, Verträge, Kalkulationen, Zugangsdaten, interne Dokumentationen und Geschäftsgeheimnisse nicht in öffentliche oder ungeprüfte Anwendungen eingegeben werden dürfen.

Kommunizieren Sie diese Regel nicht als Bestrafung. Der Tenor lautet: Sie verbieten nicht die Produktivitätssteigerung, sondern die unkontrollierte Verarbeitung von Unternehmensdaten. Benennen Sie einen Ansprechpartner und kündigen Sie an, dass eine sichere Alternative geprüft wird.

2. Transparenz schaffen und Feedback erhalten

Ermitteln Sie, welche KI-Dienste Ihre Mitarbeiter bereits nutzen, welche Aufgaben sie damit erledigen und welche Daten oder Dokumente dafür verwendet wurden. Dabei geht es nicht um Schuldzuweisungen, sondern um eine sachliche Bestandsaufnahme.

Fragen Sie außerdem, wo KI tatsächlich Zeit spart und welche Funktionen im Arbeitsalltag fehlen. Die vorhandene Schatten-KI zeigt Ihnen nicht nur Risiken, sondern auch, wo in Ihrem Unternehmen konkreter Bedarf besteht.

3. Risiken und mögliche Vorfälle prüfen

Wurden bereits personenbezogene Daten, Geschäftsgeheimnisse, Zugangsdaten oder andere sensible Informationen verarbeitet, lassen Sie den Vorgang von Ihrer IT und dem Datenschutzbeauftragten bewerten. Zu klären ist unter anderem, ob Eingaben oder hochgeladene Dokumente noch gespeichert sind und welche Löschmöglichkeiten bestehen.

Stellen Sie zudem fest, ob Ergebnisse ungeprüft weiterverwendet wurden. KI-generierte Inhalte können fehlerhaft, unvollständig oder frei erfunden sein. Besonders kritisch ist das bei Kundenkommunikation, Angeboten, Verträgen, Auswertungen und technischen Empfehlungen.

4. Bedarf und wirtschaftlichen Hebel erkennen

Beginnen Sie nicht mit der Frage, welche KI Sie kaufen sollen. Prüfen Sie zunächst Ihre Prozesse:

• Wo entsteht regelmäßig hoher manueller Aufwand?
• Welche Aufgaben wiederholen sich?
• Wo fehlt ein schneller Zugriff auf internes Wissen?
• Wo entstehen Fehler durch manuelle Datenübertragungen?

Für erste Projekte eignen sich klar abgrenzbare Aufgaben wie Dokumentenzusammenfassungen, interne Wissenssuche, Recherche, Auswertung oder Dokumentation. Priorisieren Sie mögliche Anwendungsfälle nach Nutzen, Aufwand und Risiko.

5. Verantwortung festlegen und Chaos verhindern

Die Geschäftsführung gibt Ziele, Prioritäten, Budget und Rahmenbedingungen vor. Ein zentraler Koordinator steuert die Einführung, führt die beteiligten Bereiche zusammen und dient als Ansprechpartner für Mitarbeiterfragen.

Binden Sie die interne IT oder betreuende IT-Dienstleister von Anfang an ein. Fachabteilungen liefern Anforderungen und praktische Anwendungsfälle, während der Datenschutz die Datenverarbeitung und die Einhaltung der Vorgaben begleitet.

Dafür ist in kleinen und mittelständischen Unternehmen kein großes KI-Gremium notwendig. Entscheidend sind klare Zuständigkeiten und verbindliche Entscheidungen.

6. Sichere und passende KI-Lösung einführen

Eine Unternehmenslizenz allein macht noch keine geregelte KI-Einführung. Zusätzlich benötigen Sie:

• zentral verwaltete Konten
• passende Benutzerrechte
• geprüfte Sicherheits- und Datenschutzeinstellungen
• klare Regeln für zulässige Daten und Aufgaben
• verbindliche Prüfprozesse geschulte Anwender

Die gewählte Lösung muss zu Ihren Prozessen und Ihrer bestehenden IT-Landschaft passen. Prüfen Sie außerdem, wo Daten verarbeitet werden, ob Eingaben gespeichert oder für Trainingszwecke genutzt werden und welche Lösch- und Vertragsregelungen gelten.

Formulieren Sie klare Leitplanken. Ihre Mitarbeiter müssen wissen, was erlaubt ist, welche Daten ausgeschlossen sind und wann ein Ergebnis zwingend durch einen Menschen geprüft werden muss.

7. Klein starten und stetig nach oben skalieren

Starten Sie mit einem klar abgegrenzten Pilotprojekt, einer kleinen Nutzergruppe und einem konkreten Anwendungsfall. Legen Sie vorab fest:

• welches Problem gelöst werden soll
• welche Daten verwendet werden dürfen
• wer Ergebnisse prüft
• wie der Erfolg gemessen wird

Geeignete Kriterien sind Zeitersparnis, Ergebnisqualität, Fehlerquote und Akzeptanz bei den Mitarbeitern. Nach der Testphase entscheiden Sie bewusst, ob der Anwendungsfall angepasst, ausgeweitet oder verworfen wird.

Planen Sie zugleich den dauerhaften Betrieb. Benutzer und Berechtigungen müssen verwaltet, Kosten kontrolliert, neue Anwendungsfälle bewertet und interne Vorgaben regelmäßig aktualisiert werden. Fehlen intern Zeit oder Erfahrung, kann ein externer Partner wie masea Auswahl, Absicherung, Integration und laufende Betreuung übernehmen.

Fazit:

Schatten-KI lässt sich weder durch Ignorieren noch durch ein dauerhaftes Verbot sinnvoll lösen. Entscheidend ist, zunächst Risiken zu begrenzen und anschließend eine sichere, verständliche und praxistaugliche Alternative zu schaffen. Wir helfen Ihnen dabei.

Schatten-KI wird dann zum Gewinn, wenn Sie aus unkontrollierter Nutzung klare Regeln, sichere Prozesse und messbaren Nutzen machen.

René Keil, Inhaber des IT-Systemhauses masea