Schatten-KI: Wenn Mitarbeiter KI ohne Freigabe nutzen

Was Schatten-KI ist — und was sie von klassischer Schatten-IT unterscheidet

Schatten-KI bezeichnet die berufliche Nutzung von KI-Werkzeugen, die das Unternehmen nicht freigegeben, nicht beschafft und nicht abgesichert hat: typischerweise kostenlose oder privat bezahlte Zugänge zu ChatGPT, Claude oder Gemini, aufgerufen über den Browser oder das private Handy. Der Begriff lehnt sich an die bekannte „Schatten-IT“ an, doch das Risikoprofil ist ein anderes.

Der Vergleich sollte dabei nicht überzogen werden. Auch nicht genehmigte Cloud-Dienste, Filesharing oder private SaaS-Konten transportieren seit Jahren Daten aus dem Unternehmen heraus; Schatten-KI ist also nicht pauschal „gefährlicher“. Ihr Profil unterscheidet sich aber in vier Punkten, die zusammengenommen den Unterschied ausmachen: Die Nutzungsschwelle ist minimal, ein Browser-Tab genügt, es braucht keine Installation. Es fließen große, unstrukturierte Kontextmengen ab, oft ganze Berichte, Verträge oder Code-Dateien statt einzelner Datenfelder. Wie Eingaben gespeichert oder weiterverwendet werden, hängt von Anbieter, Tarif und Konfiguration ab; bei privaten Zugängen fehlt dem Unternehmen die zentrale Kontrolle darüber. Und mit KI-Agenten kommt autonomes Handeln hinzu (dazu später mehr). In Summe ist Schatten-KI damit schwerer zu erkennen und schneller wirksam als klassische Schatten-IT.

Dass dies kein Randphänomen einzelner Technik-Enthusiasten ist, zeigt der Branchenverband Bitkom, der den Begriff selbst verwendet: Vier von zehn deutschen Unternehmen gehen davon aus, dass ihre Mitarbeiter private KI-Dienste im Job nutzen; rund ein Viertel kennt bereits konkrete Fälle ^[2].

Genau darin liegt der blinde Fleck. Während die IT ein freigegebenes System evaluiert, absichert und dokumentiert, läuft die tatsächliche Nutzung längst daran vorbei. Wer nur das offizielle System betrachtet, übersieht einen erheblichen, oft unbekannten Teil der tatsächlichen Nutzung. Diese Angriffsfläche wird meist ganz ohne Angreifer zum Problem.

Warum Schatten-KI entsteht: Reibung, nicht böser Wille

Der Grund ist selten böser Wille, fast immer Reibung. Das offiziell freigegebene Werkzeug ist umständlich zu beantragen, zu stark eingeschränkt, oder die Mitarbeiter kennen es schlicht nicht. Wo der genehmigte Weg ein IT-Ticket und zwei Tage Wartezeit bedeutet, der private Zugang aber fünf Minuten, entscheidet der Arbeitsalltag zuverlässig gegen den Prozess. Menschen wählen den Weg des geringsten Widerstands, besonders unter Termindruck.

Die Zahlen bestätigen das: Fast ein Drittel der ChatGPT-Nutzung am Arbeitsplatz läuft laut dem Sicherheitsanbieter Cyberhaven über private Konten ^[4], also vollständig außerhalb der unternehmensseitigen Verwaltung. Auch dieser Wert stammt aus der proprietären Endgeräte-Telemetrie des Anbieters und ist als Größenordnung zu lesen. Die Ursache ist dabei oft schlicht, dass es keinen offiziellen Weg gibt: Nur 26 % der deutschen Unternehmen stellen ihren Beschäftigten überhaupt einen Zugang zu generativer KI bereit, weitere 17 % planen es ^[2]. Wo kein freigegebenes Werkzeug existiert, ist der private Zugang nicht die bequemere, sondern die einzige Option.

Wenn selbst gewissenhafte Mitarbeiter so handeln, ist die Schlussfolgerung eindeutig: Schatten-KI ist kein Disziplinproblem, sondern ein Strukturproblem. Und Strukturprobleme lassen sich nicht durch Ermahnung lösen, sondern nur, indem man die Struktur ändert. Oft ist Schatten-KI zugleich ein Frühindikator: Wo Mitarbeiter eigene Wege finden, zeigen sie echten Produktivitätsbedarf und bauen Kompetenz auf, bevor die IT nachzieht. Solche Power-User früh als Multiplikatoren einzubinden, wirkt besser, als sie nur als Risiko zu behandeln.

Wie verbreitet Schatten-KI wirklich ist

In einem ISACA-Pulse-Poll unter 3.270 Digital-Trust-Fachleuten berichten rund 70 %, dass in ihrer Organisation Mitarbeiter KI einsetzen, 60 % nennen ausdrücklich generative KI. Zugleich verfügen nur 15 % der Organisationen über eine formale KI-Richtlinie und 40 % bieten gar keine KI-Schulung an ^[5]. Zwischen dem, was Mitarbeiter tun, und dem, was Unternehmen geregelt haben, klafft also ein Abstand. Die Befragten sind Fachleute für Governance und Sicherheit, also eine für dieses Thema besonders sensibilisierte Gruppe; die Werte sind daher eher eine Untergrenze als eine Übertreibung.

Diese Lücke zeigt sich auch in einer Gartner-Befragung von 302 Sicherheitsverantwortlichen: 69 % vermuten oder haben Belege dafür, dass Mitarbeiter verbotene öffentliche GenAI-Tools nutzen. Gartner prognostiziert zudem, dass bis 2030 mehr als 40 % der Unternehmen einen sicherheits- oder compliance-relevanten Vorfall im Zusammenhang mit Schatten-KI erleben werden ^[6]. In Deutschland kennt rund ein Viertel der Unternehmen bereits konkrete Fälle, vier von zehn rechnen zumindest mit privater KI-Nutzung, doch nur knapp jedes vierte hat Regeln aufgestellt ^[2]. Die deutschen 23 % und die 15 % aus dem ISACA-Poll sind dabei nicht dieselbe Kennlinie, sondern zwei getrennte Erhebungen mit unterschiedlichen Grundgesamtheiten: repräsentativ befragte deutsche Unternehmen ab 20 Beschäftigten auf der einen, global befragte Fachleute auf der anderen Seite. Beide zeigen in dieselbe Richtung, sind aber nicht ineinander umzurechnen.

Für Entscheider folgt daraus ein nüchterner Prüfauftrag: Wo bislang keine Schatten-KI sichtbar ist, lohnt zuerst die Frage, ob überhaupt gemessen wurde. Die Verbreitungszahlen legen nahe, dass Nutzung häufig existiert, aber selten systematisch erfasst wird. Umgekehrt gilt aber auch: Wer freigegebene Tools früh und attraktiv bereitgestellt, den Netzverkehr geprüft und die Belegschaft offen befragt hat und dennoch kaum Schatten-Nutzung findet, hat vermutlich wirklich ein kleines Problem. Nicht jedes Haus braucht denselben Aufwand.

Was konkret auf dem Spiel steht

1. Datenabfluss, der stetig wächst

Ein erheblicher Teil dessen, was Mitarbeiter in KI-Tools eingeben, ist schützenswert. Nach Auswertung des Sicherheitsanbieters Cyberhaven enthalten rund 40 % aller Datenbewegungen in KI-Tools sensible Daten; dazu zählt Cyberhaven Eingaben und Copy-and-paste-Aktionen ^[4]. Das ist eine Anbieter-Erhebung mit proprietärer Methodik, erhoben auf Endgeräten von Unternehmen, die bereits ein Datenschutzwerkzeug dieses Anbieters einsetzen. Sie ist daher als Größenordnung zu lesen, nicht als amtliche Statistik. Die Richtung ist gleichwohl plausibel: Je nützlicher die Werkzeuge werden, desto vertraulicher werden die Inhalte, die man ihnen anvertraut.

2. Geschäftsgeheimnisse geraten außer Kontrolle

Was einmal in einen fremden Dienst eingegeben wurde, entzieht sich zunächst der unmittelbaren Kontrolle des Unternehmens; nachträgliche Löschmöglichkeiten hängen vom Anbieter und Vertrag ab. Der prominenteste Fall: Samsung untersagte 2023 die Nutzung von ChatGPT und ähnlichen Diensten auf Firmengeräten, nachdem ein Ingenieur internen Quellcode in das Tool eingegeben hatte ^[7]. Vertragsentwürfe, Rezepturen, Kundenlisten oder Quellcode sind im Mittelstand oft das Kronjuwel und genau die Inhalte, die sich besonders gut „schnell zusammenfassen“ lassen. Hinzu kommt: Je nach Anbieter und Tarif können Eingaben in Trainingsdaten einfließen und später in fremden Ausgaben wieder auftauchen. Genau das begründet die spätere Empfehlung, Training und Speicherung vertraglich zu regeln. Dass dieses Risiko real ist, zeigen die Vorfallsdaten: Bei Sicherheitsvorfällen rund um Schatten-KI war geistiges Eigentum in 40 % der Fälle betroffen, gegenüber 33 % im Gesamtdurchschnitt ^[3].

Für den Mittelstand hängt daran mehr als der Abfluss selbst. Ein Geschäftsgeheimnis genießt den gesetzlichen Schutz des Geschäftsgeheimnisgesetzes nur, solange es „Gegenstand von den Umständen nach angemessenen Geheimhaltungsmaßnahmen durch ihren rechtmäßigen Inhaber“ ist (§ 2 Nr. 1 b GeschGehG) ^[8]. Wer nicht belegen kann, dass er die Weitergabe seiner Kronjuwelen an externe KI-Dienste überhaupt geregelt hat, riskiert deshalb nicht nur die Daten, sondern die Rechtsposition: Ohne angemessene Schutzmaßnahmen kann der Anspruch gegen den entfallen, der das Geheimnis später verwertet. Eine schriftliche Regel, welche Inhalte nicht in externe KI dürfen, ist damit nicht nur Governance, sondern ein Baustein des eigenen Geheimnisschutzes. Wie streng die Anforderungen im Einzelfall sind, hängt vom Wert des Geheimnisses und von der Unternehmensgröße ab und gehört anwaltlich geprüft.

3. Verlust von Kontrolle und Nachweisbarkeit

Läuft die Nutzung im Schatten, fehlt alles, worauf sich Governance stützt: kein Protokoll, keine Zugriffskontrolle, keine definierte Datenresidenz. Das schlägt sich in den Zahlen nieder. Jedes fünfte Unternehmen berichtete im IBM „Cost of a Data Breach Report“ 2025 von einer Datenpanne im Zusammenhang mit Schatten-KI. Wer sie stark einsetzte, verzeichnete im Schnitt 670.000 US-Dollar höhere Kosten je Panne als Unternehmen mit wenig oder ohne Schatten-KI. Wichtig für die Einordnung: Das ist eine Differenz zwischen zwei Vergleichsgruppen, kein Aufschlag auf den globalen Durchschnitt von 4,44 Millionen US-Dollar, und es ist ein beobachteter Zusammenhang, kein Kausalnachweis. Bei Schatten-KI-Vorfällen waren zudem häufiger personenbezogene Daten betroffen (65 % gegenüber 53 % im Durchschnitt). Und bei den 13 % der Unternehmen, die einen Vorfall an KI-Modellen oder KI-Anwendungen meldeten, fehlten in 97 % der Fälle angemessene KI-Zugriffskontrollen ^[3].

Hier liegt ein ehrlicher Einwand nahe: Wenn nur 13 % einen solchen Vorfall melden, wo ist dann das Problem? Die Antwort steckt in derselben Erhebung. Eine Meldequote ist keine Vorfallquote. Wer ohne Protokollierung und ohne Zugriffskontrolle arbeitet, kann einen Vorfall gar nicht bemerken, geschweige denn melden, und genau diesen Zustand beschreiben die 97 %. Dazu passt, dass 63 % der betroffenen Unternehmen keine KI-Governance-Richtlinie haben oder sie erst entwickeln und nur 34 % derjenigen mit Richtlinie regelmäßig auf nicht freigegebene KI prüfen ^[3]. Die gemeldeten Fälle sind deshalb als Untergrenze zu lesen. Wer daraus Entwarnung ableitet, verwechselt fehlende Sichtbarkeit mit fehlendem Risiko.

Der Blick zurück bestätigt das Muster: Schon im Berichtsjahr 2024 betrafen 35 % aller Datenpannen sogenannte Schatten-Daten in unverwalteten Speichern. Sie brauchten 26,2 % länger bis zur Erkennung und 20,2 % länger bis zur Eindämmung, im Schnitt 291 Tage, und kosteten durchschnittlich 5,27 Millionen US-Dollar. Weil sich die Durchschnittskosten von Jahr zu Jahr verschieben, ist dieser Wert nicht mit den 4,44 Millionen aus 2025 zu verrechnen ^[9].

4. Fehlentscheidungen auf unsicherer Grundlage

Selbst ohne Datenabfluss bleibt ein Risiko: KI-Ausgaben sind nicht automatisch korrekt. Wird eine erfundene Zahl oder eine falsche Rechtsauskunft, etwa ein frei erfundenes Gerichtsurteil, ungeprüft in eine Entscheidungsvorlage übernommen, entsteht Schaden aus der Nutzung selbst. In ungeregelter Schatten-Nutzung fehlt jede Instanz, die solche Fehler abfängt. Wie ernst das im Zeitalter autonomer KI-Agenten wird, zeigt der nächste Abschnitt.

Zur Einordnung der Stimmungslage: In einer Anbieterumfrage unter 200 IT-Leitern in US-Unternehmen ab 1.000 Beschäftigten waren 90 % wegen Schatten-KI besorgt; 79 % berichteten von negativen Folgen, darunter der Abfluss sensibler Daten (44 %) ^[10].

Der Agenten-Faktor: warum autonome KI das Risiko vergrößert

Bisher ging es um einzelne Eingaben. KI-Agenten heben das Problem auf eine neue Stufe: Sie handeln selbstständig, rufen in Ketten Werkzeuge auf, greifen auf Dokumente, Postfächer und Systeme zu und treffen Zwischenentscheidungen ohne Rückfrage. Ein Agent, der über einen privaten Zugang läuft, ist damit nicht nur ein Kanal für Datenabfluss, sondern ein eigenständig agierender Akteur außerhalb Ihrer Kontrolle.

Um zu verstehen, warum solche Systeme besondere Aufsicht brauchen, helfen vier Begriffe, kurz erklärt.

Nicht-Determinismus

Dieselbe Eingabe kann zu unterschiedlichen Ausgaben führen. Die Sampling-Einstellungen beeinflussen das, beseitigen es aber nicht: Auch bei identischer Konfiguration ist Wort-für-Wort-Reproduzierbarkeit nicht garantiert. Was einmal funktioniert hat, muss beim nächsten Mal nicht identisch ausfallen.

Drift

Das Verhalten eines Modells verändert sich über die Zeit, etwa durch ein Anbieter-Update oder veränderte Eingabedaten. Eine Automatisierung, die gestern korrekt lief, kann heute unbemerkt kippen.

Eval (Evaluation)

Das systematische Testen und Messen der Ausgabequalität anhand definierter Fälle. Es ist die Kontrollinstanz, die verlässlich sagt, ob ein System noch tut, was es soll, statt sich auf das Bauchgefühl zu verlassen.

Modell-Pinning

Das gezielte Festlegen auf eine geprüfte, fest versionierte Modellversion, damit Drift nicht unkontrolliert in produktive Abläufe einsickert.

Diese vier Begriffe betreffen die Zuverlässigkeit im Betrieb. Mindestens ebenso wichtig ist die Sicherheit des Agenten selbst: Ein System, das eigenständig handeln darf, kann auch eigenständig Schaden anrichten. Wer Agenten produktiv einsetzt, braucht dafür ein paar harte Leitplanken, die es bei einem reinen Chat-Dialog noch nicht braucht.

Das gefährlichste Einzelrisiko ist dabei die Prompt-Injection: Ein Angreifer schmuggelt Anweisungen in Inhalte, die der Agent verarbeitet. In der indirekten Variante genügt dafür ein präparierter Text in einer E-Mail, einem Dokument oder auf einer Webseite, die der Agent liest; er kann die versteckte Anweisung nicht von seiner eigentlichen Aufgabe unterscheiden und löst womöglich unerwünschte Werkzeugaufrufe, Datenabflüsse oder Transaktionen aus. Die Faustregel lautet daher: Jeder von außen gelesene Inhalt ist als potenziell bösartige Anweisung zu behandeln. Genau dagegen greifen sechs Leitplanken ^[11].

Ein Agent erhält minimale Berechtigungen, also nur Zugriff auf die Systeme und Daten, die er für seine konkrete Aufgabe zwingend benötigt. Eine Werkzeug-Freigabeliste legt fest, welche Werkzeuge und Schnittstellen überhaupt aufrufbar sind; alles Übrige bleibt gesperrt. Unumkehrbare oder folgenreiche Schritte wie Zahlungen, Versand nach außen oder Löschungen erfordern eine Freigabe durch einen Menschen. Passwörter und Schlüssel liegen in einem Tresor, nicht im Klartext im Prompt oder im Programmcode. Transaktions- und Ausgabelimits begrenzen Betrag, Menge und Häufigkeit je Vorgang und damit den möglichen Schaden. Und ein Not-Aus hält den Agenten jederzeit sofort an, mit einem Protokoll, das nachvollziehbar macht, was er getan hat. Abbildung 10 zeigt diese Schicht im Überblick.

Zwei weitere Angriffswege verdienen im Agentenbetrieb besondere Aufmerksamkeit, weil sie in der Schatten-Nutzung völlig unbemerkt bleiben. Der erste ist die Werkzeug-Lieferkette: Ein Agent ist nur so vertrauenswürdig wie die Erweiterungen, Konnektoren und Schnittstellen, die er aufrufen darf. Wer sich aus einem offenen Verzeichnis eine Anbindung an das eigene Postfach oder Dateisystem installiert, holt fremden Code in die Kette, ohne dass ihn jemand geprüft hat. Der zweite ist die Gedächtnisvergiftung: Agenten, die sich Inhalte über Sitzungen hinweg merken, können eine untergeschobene Anweisung dauerhaft speichern. Sie wirkt dann auch dann noch, wenn das ursprüngliche Dokument längst weg ist, und in Mehr-Agenten-Aufbauten kann sie sich weitertragen. Beides zählt zu den Kernrisiken, die auch die zitierte OWASP-Übersicht ausdrücklich benennt ^[11].

Genau diese Kontrollen fehlen in der Schatten-Nutzung vollständig. Ein privat betriebener Agent wird nicht gepinnt, nicht evaluiert, nicht protokolliert, läuft mit den Rechten seines Nutzers und kennt keine Freigabegrenze. Aus einem Werkzeug ohne Aufsicht wird so ein eigenständiger Akteur ohne Grenzen. Genau diese Kombination macht Schatten-KI im Agentenzeitalter besonders heikel.

Compliance: DSGVO und EU-AI-Act

Dieses Whitepaper ersetzt keine Rechtsberatung; es benennt die Richtung, in der Handlungsbedarf entsteht.

Was Unternehmen tun sollten: Enablement statt Verbot

Ein pauschales Verbot löst den Nutzungsbedarf nicht. Als alleinige Maßnahme kann es die Sichtbarkeit sogar verringern, wenn Mitarbeiter auf private Zugänge ausweichen. Der tragfähigere Ansatz ist deshalb, den legalen Weg attraktiver zu machen als den Schatten-Weg und ihn in einen wiederkehrenden Regelkreis einzubetten. Das Leitbild lautet: Leitplanken statt Schranken. Es bedeutet aber nicht, dass Verbote nie am Platz sind: Für streng vertrauliche Daten oder hochautonome Agenten (rechts oben in der Matrix, Abbildung 13) ist die harte technische Sperre das richtige Primärinstrument, in regulierten Branchen wie Banken oder Pharma längst Standard. Enablement ist die Regel, das gezielte Verbot die Ausnahme für die kritischsten Fälle.

Ein Steuerungsmodell: der Schatten-KI-Regelkreis

Schatten-KI ist kein Projekt mit Enddatum, sondern ein Zustand, der laufend gesteuert werden muss. Fünf Schritte bilden dafür einen einfachen, wiederholbaren Kreislauf: sichtbar machen, nach Kritikalität und Autonomie bewerten, sichere Alternativen bereitstellen, kontrollieren und Vorfälle behandeln. Der letzte Schritt speist wieder in den ersten ein: Jeder Vorfall verbessert die Bestandsaufnahme. Am Kreislauf selbst ist nichts neu: Er folgt bewusst bewährter Governance-Logik und lässt sich an etablierte Rahmen wie ISO/IEC 42001 (KI-Managementsystem) oder das NIST AI Risk Management Framework anschließen, ohne deren vollen Apparat vorauszusetzen. Neu und für KI entscheidend ist die zweite Achse in Schritt 2, die Autonomie: Sie trennt den harmlosen Chat vom eigenständig handelnden Agenten und bestimmt, wie streng kontrolliert werden muss. Wer nur wenig Zeit hat, sollte deshalb mit der Kritikalität-mal-Autonomie-Matrix (Abbildung 13) beginnen; der Fünf-Schritte-Rhythmus darum herum ist der bekannte Teil.

1. Sichtbar machen

Der erste Schritt ist eine ehrliche Bestandsaufnahme: Welche KI-Dienste werden tatsächlich genutzt, von wem und wofür? Der praktikabelste Einstieg ist eine kurze, anonyme Mitarbeiterbefragung, ergänzt um das offene Gespräch mit den Fachbereichen. Wichtig ist dabei die Erwartung an die Genauigkeit: Beide verfügbaren Wege untererfassen. Die Befragung, weil kaum jemand gern einen Regelverstoß einräumt, auch anonym nicht; im Work Trend Index gaben 52 % der KI-Nutzer an, ihre Nutzung bei den wichtigsten Aufgaben ungern offenzulegen ^[1]. Die Technik, weil sie nur verwaltete Geräte und Netze sieht, während ein privates Handy im Mobilfunk unsichtbar bleibt; das gilt auch für spezialisierte Werkzeugkategorien wie CASB und DSPM. Erst zusammen ergeben beide ein brauchbares Bild, und der wahre Wert liegt in der Regel über beiden Messungen. Wo solche Auswertungen zum Einsatz kommen, gehören Betriebsrat und Datenschutzbeauftragter vorab an den Tisch (die Auswertung selbst kann mitbestimmungspflichtig sein, siehe Schritt 4), und sie erfolgen nur aggregiert und anonymisiert, ohne individuelle Sanktion. Wichtig ist, dass eine Person die Verantwortung trägt, in der Regel die IT- oder Sicherheitsleitung, damit aus der Momentaufnahme ein fortlaufendes Bild wird.

2. Nach Kritikalität und Autonomie bewerten

Nicht jede KI-Nutzung ist gleich riskant. Zwei Fragen genügen für eine erste Einordnung: Wie kritisch sind die verarbeiteten Daten (öffentlich bis streng vertraulich)? Und wie viel Autonomie hat das System (ein einzelner Chat-Dialog oder ein Agent, der selbstständig handelt)? Aus diesen beiden Achsen ergibt sich, wo Handeln zuerst nötig ist.

3. Sichere Alternativen bereitstellen (Enablement)

Stellen Sie ein leistungsfähiges, freigegebenes KI-Werkzeug schnell und unkompliziert bereit, und zwar eines, das den privaten Diensten qualitativ ebenbürtig ist. Wer nur eine abgespeckte Variante freigibt, verschiebt die Reibung, nicht den Anreiz: Viele greifen zum privaten Tool, weil das dortige Modell besser ist, nicht nur, weil es schneller verfügbar ist. Erst wenn der genehmigte Zugang ebenso schnell und ebenso gut ist wie der private, ohne Ticket und ohne Wartezeit, sinkt der Anreiz zur Schatten-Nutzung. Nach aller Praxiserfahrung adressiert Enablement damit die Ursache und nicht nur das Symptom; ein belastbarer Wirksamkeitsnachweis bleibt im Einzelfall aber Sache der eigenen Messung (siehe die Kennzahlen in Schritt 4). Den Umzug sollten Sie aktiv gestalten: das freigegebene Tool als Standard-Login, bewährte Prompt-Vorlagen übernehmen, sichtbare Nutzung durch Führungskräfte. Eine kurze, konkrete Schulung flankiert das: Sie zeigt, was erlaubt ist, was nicht und warum, und schafft eine Kultur, in der man im Zweifel fragt, statt heimlich zu handeln, gerade weil 40 % der Unternehmen bislang gar keine KI-Schulung anbieten ^[5]. Richtig gemacht, gewinnen Sie beides: die Kontrolle und die Produktivität, die Ihre Leute ohnehin suchen.

Die Kostenfrage lässt sich dabei nüchtern rechnen, und sie fällt meist eindeutig aus. Ein Team- oder Enterprise-Tarif eines Spitzenmodells kostet in der Größenordnung 20 bis 30 Euro je Nutzer und Monat, für 100 Nutzer also rund 24.000 bis 36.000 Euro im Jahr. Setzt man einen Vollkostensatz von 60 Euro je Arbeitsstunde an, entspricht eine Jahreslizenz von 300 Euro etwa fünf Arbeitsstunden. Das Werkzeug trägt sich also bereits, wenn es je Mitarbeiter gut sechs Minuten Arbeitszeit pro Woche einspart. Beide Werte sind Annahmen und keine Zusage, aber sie verschieben die Entscheidung: Der freigegebene Zugang ist in aller Regel schon über die Produktivität begründbar, die Risikominderung kommt obendrauf. Umgekehrt gilt: Wer den Nutzen nicht messen will, sollte auch die Lizenzkosten nicht als Argument gegen Enablement führen.

4. Kontrollieren: Regeln, Rollen, Technik

Es braucht keine 40-seitige Richtlinie, sondern eine verständliche, einseitige Regel: welche Datenklassen niemals in externe KI dürfen, welches Werkzeug wofür freigegeben ist, wer im Zweifel entscheidet. Angesichts von nur 15 % Organisationen mit formaler Richtlinie ^[5] ist schon ein knappes, gelebtes Regelwerk ein Vorsprung. Klären Sie früh die Rollen: wer fachlich verantwortet, wer technisch betreibt. In Deutschland sollten Betriebsrat und Datenschutzbeauftragter fallbezogen früh einbezogen werden. Mitbestimmungsrechte können insbesondere berührt sein, wenn technische Einrichtungen Verhalten oder Leistung von Beschäftigten überwachen (§ 87 Abs. 1 Nr. 6 BetrVG) ^[14]; datenschutzrechtliche Beratung ist erforderlich, sobald personenbezogene Daten verarbeitet werden ^[12]. Technisch holen Verträge mit klar geregelter Speicherung und Trainingsnutzung, Anbindung über Single Sign-On, ein KI-Gateway mit Data-Loss-Prevention sowie Protokollierung und definierte Datenresidenz die Nutzung in einen kontrollierten Rahmen. Achten Sie beim Vertrag auf den Unterschied zwischen zwei Zusagen, die oft verwechselt werden: Dass Ihre Eingaben nicht zum Training verwendet werden, ist bei Business- und Team-Tarifen inzwischen meist Standard und schnell zu bekommen. Dass sie gar nicht gespeichert werden (Zero-Retention), ist etwas anderes, betrifft in der Regel die Schnittstellennutzung und ist Gegenstand einer Enterprise-Verhandlung. Für den Einstieg genügt die erste Zusage; die zweite ist ein Ziel für die Ausbaustufe. Diese netzseitigen Kontrollen greifen allerdings nur auf verwalteten Geräten; private Endgeräte erreichen Sie eher über einen verpflichtenden Single-Sign-On-Zugang, Geräteverwaltung (MDM) sowie vertragliche und kulturelle Leitplanken. Für KI-Agenten kommen die Sicherheitsleitplanken aus dem vorigen Abschnitt hinzu: minimale Berechtigungen, Werkzeug-Freigabeliste, Freigabe vor kritischen Aktionen, sichere Zugangsdaten, Limits und ein Not-Aus. Und weil sich nur steuern lässt, was man misst, gehören wenige klare Kennzahlen dazu. Wählen Sie dabei bewusst solche, die Sie tatsächlich erheben können: aktive Nutzer und Anfragen je Kopf im freigegebenen Werkzeug, Zahl der bekannten Schatten-Zugänge, Reaktionszeit auf Vorfälle sowie die Selbstauskunft aus der wiederholten anonymen Befragung. Eine saubere Quote „Anteil der Nutzung über den freigegebenen Weg“ lässt sich dagegen nicht bilden, weil ihr Nenner, die gesamte tatsächliche Nutzung, genau das ist, was im Schatten unsichtbar bleibt. Diese Kennzahlen sind deshalb Trendindikatoren, keine Messung des Gesamtvolumens. Steigende Nutzung des freigegebenen Werkzeugs bei gleichzeitig sinkender Selbstauskunft zur privaten Nutzung ist das Signal, auf das Sie hinarbeiten.

5. Vorfälle behandeln

Für den Fall, dass Daten bereits abgeflossen sind, braucht es einen vorbereiteten, ruhigen Ablauf statt Schuldzuweisung, im Sinne einer aus Luftfahrt und Medizin bekannten „Just Culture“, die Fehler offen aufarbeitet statt sie zu bestrafen: erfassen, welche Daten in welchen Dienst gelangt sind; beim Anbieter verfügbare Lösch- und Opt-out-Möglichkeiten prüfen und nutzen; gemeinsam mit dem Datenschutzbeauftragten prüfen, ob eine Meldepflicht besteht; den Vorgang dokumentieren; und die Ursache abstellen, damit derselbe Weg nicht erneut genutzt wird. So schließt sich der Kreis zurück zu Schritt 1.

Sofortmaßnahmen-Checkliste

Die 30-Tage-Spalte ist der Minimalpfad, den auch kleine Häuser ohne eigenes Security-Team stemmen. Die technisch anspruchsvollen 90-Tage-Punkte (Single Sign-On, KI-Gateway/DLP, Evals) sind die Ausbaustufe, sinnvoll ab eigenem IT-/Security-Team oder mit Partner.

Quellen