Wenn ich in einem Betrieb frage, ob KI im Einsatz ist, lautet die Antwort der Geschäftsführung häufig: noch nicht, wir schauen uns das gerade an. Wenn ich zwei Stunden später mit drei Leuten aus der Sachbearbeitung spreche, sieht die Sache anders aus. Da wird seit einem Jahr formuliert, übersetzt, zusammengefasst und ausgewertet, mit privaten Zugängen, auf privaten Geräten, ohne dass jemand danach gefragt hätte.
Bitkom warnt vor genau diesem unkontrollierten Einsatz privater KI-Werkzeuge und beziffert ihn für einen erheblichen Teil der deutschen Unternehmen. Nach meiner Erfahrung ist die Dunkelziffer höher, weil in der Umfrage antwortet, wer davon weiß.
Das ist kein Disziplinproblem. Es ist ein Symptom, und es ist ein verwertbares.
Warum die Leute das tun
Nicht aus Leichtsinn. Sie tun es, weil die Werkzeuge gut genug geworden sind, um einen Nachmittag zu retten, und weil niemand im Haus eine Alternative angeboten hat. Ein Sachbearbeiter, der ein Angebot in zwanzig statt in neunzig Minuten fertig hat, wird das nicht wieder aufgeben, nur weil es keine Richtlinie dafür gibt.
Hinzu kommt: Der private Zugang ist in fünf Minuten eingerichtet und kostet zwanzig Euro. Der offizielle Weg dauert im Mittelstand realistisch drei Monate: IT-Prüfung, Datenschutz, Betriebsrat, Budget. Solange diese Differenz besteht, wird es Schatten-KI geben. Das ist keine Kulturfrage, das ist Arithmetik.
Was tatsächlich auf dem Spiel steht
Drei Dinge, in aufsteigender Unangenehmheit.
Personenbezogene Daten. Wer Bewerbungsunterlagen, Krankmeldungen oder Kundendaten in einen Dienst gibt, für den kein Auftragsverarbeitungsvertrag besteht, hat ein Datenschutzproblem, unabhängig davon, wie sorgfältig der Anbieter arbeitet.
Geschäftsgeheimnisse. Dieser Punkt wird am häufigsten übersehen. Nach § 2 Geschäftsgeheimnisgesetz genießt eine Information nur dann Schutz, wenn sie Gegenstand von den Umständen nach angemessenen Geheimhaltungsmaßnahmen ist. Wer nicht regelt, was in externe Werkzeuge eingegeben werden darf, riskiert im Streitfall die Frage, ob die Maßnahmen angemessen waren. Der Kalkulationsschlüssel, den ein Mitarbeiter in einen Chat kopiert, ist dann möglicherweise nicht nur draußen, sondern rechtlich auch nicht mehr geschützt.
Ergebnisse ohne Kontrolle. Angebote mit erfundenen Zahlen, Kundenkorrespondenz mit falschen Zusagen, Auswertungen, die niemand nachgerechnet hat. Das fällt selten sofort auf und kostet im Zweifel mehr als die beiden anderen Punkte zusammen.
Warum ein Verbot die schlechteste Reaktion ist
Die erste Reaktion vieler Geschäftsführungen ist eine Mail an alle: Der Einsatz von KI-Werkzeugen ist ab sofort untersagt. Das hat drei Wirkungen, alle unerwünscht.
Es verlagert die Nutzung endgültig auf private Geräte, wo Sie nichts mehr sehen und nichts mehr regeln können. Es macht diejenigen zu Regelbrechern, die im Haus am ehesten verstanden haben, worum es geht, also genau die Leute, die Sie für das offizielle Projekt bräuchten. Und es verschafft Ihnen keinen Vorteil, sondern nur die Illusion, das Thema erledigt zu haben.
Ein Verbot ohne Angebot ist ein Verbot des Sichtbaren, nicht des Tuns.
Die Bestandsaufnahme
Bevor irgendetwas entschieden wird, brauchen Sie ein Bild der Lage. Drei Quellen liefern es in wenigen Tagen.
Eine anonyme Abfrage in der Belegschaft, ausdrücklich straffrei gestellt und auch so formuliert: Welche Werkzeuge nutzen Sie, wofür, wie oft, was würde Ihnen fehlen, wenn es weg wäre. Ohne die Zusicherung der Straffreiheit bekommen Sie unbrauchbare Antworten.
Ein Blick in die Kreditorenbuchhaltung und in die Spesenabrechnungen. Zwanzig-Euro-Abos auf Mitarbeiternamen sind erstaunlich gut dokumentiert.
Und, falls vorhanden, die Auswertung des Netzwerkverkehrs; hier allerdings mit dem Betriebsrat sprechen, bevor Sie anfangen, sonst schaffen Sie sich das nächste Problem.
Der eigentliche Ertrag
Und jetzt der Teil, der diese Übung von einer Compliance-Pflicht in eine strategische macht.
Die Liste, die dabei herauskommt, ist die ehrlichste Use-Case-Analyse, die Sie je bekommen werden. Ihre Mitarbeiter haben in Eigenregie und ohne Budget genau die Tätigkeiten identifiziert, die sich mit heutiger Technik lohnen, und sie haben es an ihrem eigenen Arbeitstag validiert. Kein Berater, ich eingeschlossen, kommt in zwei Tagen zu einer besseren Liste.
Wenn drei Leute unabhängig voneinander Angebotstexte generieren lassen, ist das kein Verstoß, den Sie abstellen müssen. Es ist ein Hinweis darauf, wo Ihr nächstes offizielles Projekt liegt, mit dem Vorteil, dass die Nachfrage bereits nachgewiesen ist.
Was ich empfehle
Machen Sie die Bestandsaufnahme, straffrei. Stellen Sie danach schnell ein sanktioniertes Werkzeug bereit, auch wenn es nicht das perfekte ist; Geschwindigkeit schlägt hier Gründlichkeit, weil jeder Monat Verzögerung die Schattennutzung verfestigt. Schreiben Sie eine Regel, die auf eine Seite passt und sagt, was hinein darf und was nicht; Listen von verbotenen Werkzeugen veralten, Kategorien von Daten nicht. Und schulen Sie die Leute, die es ohnehin schon benutzen, statt sie zu ermahnen.
Dann ist aus dem Problem, das Sie nicht gesehen haben, ein Projekt geworden, für das die Belegschaft bereits Partei ergreift. Das ist eine bessere Ausgangslage, als die meisten KI-Vorhaben je erreichen.
Quellen
- § 2 Gesetz zum Schutz von Geschäftsgeheimnissen – Begriffsbestimmungen – Bundesministerium der Justiz
- Verordnung (EU) 2024/1689 (KI-Verordnung), Artikel 4 – KI-Kompetenz – EUR-Lex
- Bitkom: Repräsentative Erhebung zur unkontrollierten Nutzung generativer KI in Unternehmen (Schatten-IT im deutschen Mittelstand)
Wie dieser Text entstanden ist: Grundlage sind Bestandsaufnahmen in begleiteten Betrieben und die Erfahrung aus den eigenen Unternehmen und Projekten.
Zum Autor
Philip Hohn berät mittelständische Unternehmen beim Einsatz von künstlicher Intelligenz. Er ist Geschäftsführer der HBC Hohn Business Consulting UG und führt mehrere eigene Unternehmen und Projekte, darunter die Edura Akademie GmbH, einen nach AZAV zugelassenen Träger für KI-Weiterbildung. Zuvor leitete er eine Agentur mit siebzig Mitarbeitern an vier Standorten sowie eine Entwicklungsagentur mit fünfzehn Programmierern. Er ist kein Rechtsanwalt; rechtliche Einordnungen in seinen Texten ersetzen keine Beratung im Einzelfall.