Schatten-KI im Team: Was Führungskräfte jetzt tun können

Wer mit KI arbeitet, die der Betrieb nicht bereitstellt

Anteil unter Beschäftigten, die KI beruflich nutzen

Senkrechte Linie: alle KI-Nutzenden, 29,1 %

Größe des Betriebs

• weniger als 50 Beschäftigte33,5 %
• ab 250 Beschäftigte25,5 %

Rolle

• Führungskräfte34,6 %
• ohne Führungsverantwortung25,6 %

Förderung der KI-Kompetenz durch den Arbeitgeber, wie Beschäftigte sie wahrnehmen

• starkes Engagement44,5 %
• kein Engagement21,3 %

Was ist Schatten-KI?

Schatten-KI sind KI-Werkzeuge, die Beschäftigte für ihre Arbeit nutzen, ohne dass der Betrieb sie ausgewählt oder bereitgestellt hat. Typisch sind private Konten bei Chat-Werkzeugen, Übersetzungsdienste im Browser oder KI-Funktionen in Apps auf dem eigenen Handy. Der Begriff lehnt sich an die bekannte Schatten-IT an.

Schatten-KI heißt nicht automatisch heimlich oder verboten. Das Institut der deutschen Wirtschaft (IW) meint damit eine Nutzung außerhalb der betrieblichen Kontrolle. Sie entsteht meist, wenn der Bedarf im Team schneller wächst als das Angebot im Betrieb.

Wie verbreitet ist Schatten-KI?

Das IW hat im März und April 2026 knapp 5.000 Beschäftigte befragt. Von denen, die KI beruflich nutzen, arbeiten 29,1 % mit Werkzeugen, die ihr Arbeitgeber nicht bereitgestellt hat. In Betrieben mit weniger als 50 Beschäftigten sind es 33,5 %, in Betrieben ab 250 Beschäftigten 25,5 %.

Für Führungskräfte sind zwei Befunde wichtig. Führungskräfte nutzen selbst häufiger Schatten-KI (34,6 %) als Beschäftigte ohne Führungsverantwortung (25,6 %). Und wo Beschäftigte ein starkes Engagement ihres Arbeitgebers für KI-Kompetenz wahrnehmen, liegt der Anteil bei 44,5 %, ohne solches Engagement bei 21,3 %. Das IW schreibt dazu: Der Befund belegt einen robusten Zusammenhang, aber keine Wirkrichtung.

Unsere Lesart: Wer Lust auf KI macht, aber kein passendes Werkzeug bereitstellt, schiebt die Nutzung in private Konten. Gleichzeitig ist KI im Mittelstand angekommen. Laut Bitkom nutzen 57 % der Unternehmen ab 20 Beschäftigten KI (603 befragte Unternehmen, Juli und August 2026, veröffentlicht am 14. September 2026).

Warum Schatten-KI ein Thema für Führungskräfte ist

Schatten-KI wirkt wie ein Thema für die IT. Entscheidend ist aber, was im Team passiert: welche Aufgaben mit KI erledigt werden, welche Daten dabei eingegeben werden und wer das Ergebnis prüft. Das sehen Sie als Führungskraft früher als jede IT-Abteilung. Drei Gründe, das Thema jetzt anzusprechen:

• Daten verlassen den Betrieb. Was in ein privates Konto eingegeben wird, liegt bei einem Anbieter, mit dem Ihr Betrieb keinen Vertrag hat. Sobald Kunden- oder Personaldaten dabei sind, gilt das Datenschutzrecht, egal mit welchem Werkzeug.
• Gratis-Tarife ändern sich laufend. Seit Ende August 2026 zeigt ChatGPT auch in Deutschland in den Tarifen Free und Go Werbung. Personalisierte Werbung, die mit Einwilligung auch frühere Chats nutzt, ist für Europa angekündigt. Die Berliner Datenschutzbeauftragte sieht darin eine neue Eingriffsintensität. Google stellt seit dem 9. Oktober 2026 für private Konten ohne Abo um, welche Gemini-Modelle verfügbar sind. Für die Arbeit ist das kein verlässlicher Rahmen.
• Fehler bleiben unsichtbar. Wenn niemand weiß, dass ein Text mit KI entstanden ist, prüft ihn auch niemand gezielt.

Warum ein Verbot selten hilft

Ein pauschales Verbot ist schnell ausgesprochen. Das Risiko: Die Nutzung wandert aufs private Handy, und Sie erfahren noch weniger. Dazu verlieren Sie den Nutzen. Ihre Leute haben oft schon gute Anwendungsfälle gefunden, von denen das ganze Team lernen kann. Besser ist ein Weg, der die Nutzung sichtbar macht und in geordnete Bahnen lenkt.

Schatten-KI im Team ansprechen: fünf Schritte

1. Offen fragen, ohne Vorwurf. Nehmen Sie sich in der nächsten Teamrunde zehn Minuten: Wer nutzt welche KI wofür? Was hilft, was nervt? Sagen Sie vorher, dass es ums Lernen geht, nicht um Kontrolle.
2. Ein freigegebenes Werkzeug einfordern. Klären Sie mit Geschäftsführung oder IT, welches Werkzeug Ihr Team dienstlich nutzen darf. Fragen Sie dabei nach dem Vertrag zur Auftragsverarbeitung und danach, ob der Anbieter Ihre Eingaben zum Training nutzt.
3. Eine Daten-Ampel vereinbaren. Legen Sie gemeinsam fest, welche Daten wohin dürfen. Einen Vorschlag finden Sie in der Tabelle unten.
4. Zeit zum Lernen geben. Eine kurze Einweisung und feste Zeit zum Ausprobieren wirken mehr als ein Rundschreiben. Solche Maßnahmen zählen auch für die KI-Kompetenz nach Art. 4 der KI-Verordnung. Wie Sie das festhalten, steht in KI-Kompetenz nachweisen.
5. Einen Meldeweg festlegen. Wer merkt, dass vertrauliche Daten im falschen Werkzeug gelandet sind, muss wissen, an wen er sich wendet, ohne Angst vor Ärger. Laut einer Studie von TÜV-Verband und BSI haben nur 11 % der Unternehmen, die KI nutzen oder planen, spezielle Abläufe für Sicherheitsvorfälle mit KI-Bezug (mehr als 500 befragte Unternehmen ab 20 Beschäftigten, veröffentlicht am 7. Oktober 2026).

Die Daten-Ampel

Passwörter und Zugangsdaten gehören in kein KI-Werkzeug. Die Ampel ist ein Vorschlag. Passen Sie sie an Ihren Betrieb an und stimmen Sie sie mit der Stelle ab, die bei Ihnen für den Datenschutz zuständig ist.

Ein Beispiel aus dem Alltag

So könnte es in einem Maschinenbaubetrieb mit 80 Beschäftigten aussehen: Der Leiterin des Vertriebsinnendienstes fällt auf, dass Angebotstexte plötzlich einheitlicher klingen. In der Teamrunde stellt sich heraus, dass drei von fünf Leuten im Team private Chat-Konten nutzen, eine Kollegin kopiert dafür ganze Kundenanfragen hinein. Statt eines Verbots bittet die Leiterin die Geschäftsführung um ein freigegebenes Werkzeug. Bis es da ist, gilt die Ampel: In private Konten kommen nur allgemeine Fragen und Entwürfe ohne Namen und Zahlen. Nach vier Wochen arbeitet das Team im freigegebenen Werkzeug, und die besten Anwendungsfälle stehen auf einer gemeinsamen Seite.

Was die KI-Verordnung verlangt und was nicht

Für Betriebe, die gängige KI-Werkzeuge nutzen, verlangt die KI-Verordnung vor allem Maßnahmen zur KI-Kompetenz (Art. 4). Seit der Änderung durch die Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, ergreifen Betriebe Maßnahmen, die die KI-Kompetenz ihres Personals unterstützen. Ein Zertifikat ist nicht nötig. Die Bundesnetzagentur empfiehlt, die Maßnahmen zu dokumentieren.

Eine KI-Richtlinie, eine Liste der Werkzeuge oder eine benannte Ansprechperson verlangt die KI-Verordnung nicht. Als gute Praxis helfen sie trotzdem, gerade gegen Schatten-KI. Unabhängig davon gilt die Datenschutz-Grundverordnung, sobald personenbezogene Daten eingegeben werden. Gibt es in Ihrem Betrieb einen Betriebsrat, binden Sie ihn früh ein, bevor ein Werkzeug eingeführt wird. Je nach Werkzeug hat er dabei mitzubestimmen.

Fazit: Schatten-KI sichtbar machen statt verbieten

Schatten-KI zeigt vor allem, dass Ihr Team KI nutzen will. Ihre Aufgabe als Führungskraft ist, diese Nutzung sichtbar zu machen und einen sicheren Rahmen zu schaffen. Drei Schritte für die nächste Woche:

1. Fragen Sie in der nächsten Teamrunde offen, wer welche KI wofür nutzt.
2. Vereinbaren Sie die Daten-Ampel, zunächst auf einer Seite.
3. Klären Sie mit der Geschäftsführung, welches Werkzeug Ihr Team dienstlich nutzen darf, und bis wann.

Wenn Sie wissen möchten, wo Ihr Betrieb bei KI insgesamt steht, ist der Selbstcheck ein erster Schritt, ohne Anmeldung. Wir übernehmen für mittelständische Betriebe die Rolle des KI-Managers. Entscheiden tun Sie, die Pflichten bleiben bei Ihrem Haus.