Was Schatten-KI im Mittelstand wirklich ist
Schatten-KI ist jede Nutzung von KI-Werkzeugen im Betrieb, die nicht von Geschäftsführung oder IT freigegeben ist. Im Mittelstand passiert das nicht aus Böswilligkeit. Mitarbeiter nutzen ChatGPT, weil es ihre Arbeit schneller macht. Sie fragen nicht, weil sie davon ausgehen, dass niemand es genehmigt. Das Ergebnis ist ein paralleles KI-System, das die Führung nicht kennt und das trotzdem täglich Kundendaten, Angebote und interne Informationen verarbeitet.
Die Zahlen dazu sind eindeutig. Laut Microsoft Work Trend Index 2024 bringen 78 Prozent der Beschäftigten eigene KI-Werkzeuge mit an den Arbeitsplatz. 55 Prozent sagen in der KPMG-Studie 2025, dass sie ihre KI-Nutzung dem Arbeitgeber gegenüber verschweigen. Und Cyberhaven hat dokumentiert, dass die Menge sensibler Unternehmensdaten, die innerhalb eines Jahres in generative KI-Tools eingegeben wird, um 485 Prozent gestiegen ist. 27,4 Prozent der eingegebenen Daten sind Kundendaten, Quellcode oder interne Dokumente.
Für einen Mittelständler mit 80 Mitarbeitern heißt das praktisch: Zwischen sieben und fünfzehn KI-Anwendungen sind heute im Einsatz, ohne dass die Geschäftsführung alle kennt.
Drei Risiko-Szenarien die wir in realen Mandaten gesehen haben
Szenario 1: Quellcode im Privataccount
Ein Softwareentwickler kopiert einen Ausschnitt der eigenen Codebasis in seinen privaten ChatGPT-Zugang, um einen Fehler zu analysieren. Der Code landet im Log-Pool des Anbieters. Wenn der Code Geschäftsgeheimnisse enthält, ist das ein IP-Verlust, der nicht zurückgeholt werden kann. Bekanntestes Beispiel ist der Samsung-Fall 2023, bei dem Halbleiter-Quellcode über ChatGPT geleakt wurde.
Szenario 2: Kundenliste im Chatbot
Eine Vertriebsassistentin nutzt ein kostenloses KI-Tool, um eine Kundenliste zu bereinigen. Die Liste wird an den Anbieter gesendet, der Server steht in den USA, und es gibt keinen Auftragsverarbeitungsvertrag. Damit liegt ein DSGVO-Verstoß gegen Artikel 28 und potenziell gegen Artikel 44 vor. Die durchschnittlichen Kosten eines Datenlecks lagen 2024 bei 4,88 Millionen US-Dollar laut IBM, deutlich verstärkt durch sogenannte Shadow Data.
Szenario 3: Bewerber-Vorauswahl durch heimliche KI
Ein HR-Mitarbeiter nutzt ein KI-Tool zur Bewerber-Vorauswahl, ohne dass die Geschäftsführung es weiß. Ab August 2026 fällt Recruiting-KI unter die Hochrisiko-Klasse der EU-KI-Verordnung. Die Pflicht zur Risikoklassifizierung, zur Dokumentation und zur menschlichen Aufsicht lässt sich nachträglich nicht rekonstruieren. Zusätzlich greift Artikel 22 DSGVO bei automatisierten Einzelentscheidungen.
Warum Verbote das Problem verschärfen
Die übliche Reaktion der Geschäftsführung ist ein schriftliches Verbot. Das funktioniert nicht. 55 Prozent der Beschäftigten verschweigen ihre KI-Nutzung heute schon, vor jedem formalen Verbot. Ein Verbot macht aus 55 Prozent eher 80. Die Nutzung verschwindet aus dem Blickfeld, geht aber weiter, oft mit schlechteren Werkzeugen. Der produktive Effekt geht verloren, das Risiko bleibt.
Der pragmatische Weg ist umgekehrt: Mitarbeiter bekommen einen genehmigten Werkzeugkasten, der besser ist als das, was sie privat nutzen würden. Dazu eine Richtlinie, die nicht wie ein Juristen-Text klingt, sondern wie eine Arbeitsanweisung. Wer die bessere Alternative hat, nutzt sie freiwillig.
Der Rahmen den wir im Mittelstand einsetzen
Ein handhabbarer Schatten-KI-Rahmen hat fünf Bausteine, die in sechs bis acht Wochen stehen.
- Ehrliche Bestandsaufnahme. Wir erheben im vertraulichen Gespräch, welche KI heute genutzt wird. Ohne Sanktionsandrohung. Das Ergebnis ist ein realistisches Bild, nicht eine geschönte IT-Liste.
- Rechtliche Einordnung. Jede Anwendung wird gegen DSGVO, AVV-Pflicht und EU-KI-Verordnung geprüft. Drei Stapel: stoppen, auflagen-basiert weiterführen, freigeben.
- Genehmigter Werkzeugkasten. Drei bis fünf offizielle KI-Werkzeuge mit klarer Nutzungsberechtigung pro Abteilung. Business-Lizenzen, die die Datentrennung sicherstellen.
- Richtlinie in Alltagssprache. Maximal sechs Seiten. Klare Do-and-Don’t-Beispiele. Kein Jurajargon.
- Wirkungsmessung nach 90 Tagen. Nutzungsquote, gemeldete Vorfälle, Zufriedenheit. Nachjustierung statt Einmalprojekt.
Der Gesamtrahmen ist Teil des KI-Betriebssystems für den Mittelstand, genauer der Governance-Schicht, ohne die alle anderen Schichten rechtlich wackeln.
Vor- und Nachteile einer formalen Schatten-KI-Regelung
Vorteile
- Haftungsschutz der Geschäftsführung. Dokumentierte KI-Inventur und Richtlinie entlasten im Audit und bei Datenschutzbehörden.
- Bessere Werkzeuge zu kontrollierten Kosten. Statt privater Abos laufen Lizenzen zentral, mit Mengenrabatten und Datentrennung.
- Compliance-Lücke geschlossen. EU-KI-Verordnung und DSGVO sind nachweisbar erfüllt.
- Mitarbeiter bleiben produktiv. Keine Pseudo-Verbote, die umgangen werden.
Nachteile
- Ehrlichkeit in der Bestandsaufnahme nötig. Das erfordert eine Kultur, in der Mitarbeiter ohne Sanktionsangst berichten.
- Laufender Pflegeaufwand. Neue KI-Werkzeuge kommen wöchentlich. Die Richtlinie braucht vierteljährliche Überprüfung.
- Budget für Business-Lizenzen. Statt privater Gratis-Varianten fallen reale Kosten an, meist 15 bis 40 Euro pro Mitarbeiter pro Monat.
Was das mit BAFA und EU-KI-Verordnung zu tun hat
Die Governance-Schicht eines KI-Betriebssystems ist die Stelle, an der DSGVO und EU-KI-Verordnung ineinandergreifen. Wer Schatten-KI duldet, kann die Pflichten der Artikel 9 bis 17 der EU-KI-Verordnung für Hochrisiko-Systeme nicht erfüllen, weil das Inventar fehlt. Wer die Pflichten ignoriert, riskiert Bußgelder bis 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist.
Die gute Nachricht: Die Aufarbeitung ist BAFA-förderfähig. Die Beratung zur Schatten-KI-Governance fällt unter das Programm Unternehmerisches Know-how. 50 Prozent Zuschuss, in strukturschwachen Regionen bis zu 80. Der Antrag muss vor Beratungsbeginn gestellt werden. ST Strategieberatung übernimmt die Antragstrecke vollständig.
“Die Geschäftsführung, die Schatten-KI nicht kennt, haftet trotzdem dafür. Wer das Thema früh strukturiert, spart sich im Ernstfall den Anwalt.” — Safak Tepecik, Inhaber ST Strategieberatung, BAFA-gelisteter Berater
Nächster Schritt
Wenn Sie den Verdacht haben, dass in Ihrem Betrieb mehr KI im Einsatz ist, als Sie offiziell wissen, ist das kostenlose Erstgespräch der richtige Einstieg. Im 30-Minuten-Termin klären wir, wie belastbar Ihre aktuelle Governance ist und ob eine BAFA-geförderte Bestandsaufnahme die richtige Maßnahme ist.