Hand aufs Herz: Wenn Sie heute Ihre Geschäftsführung fragen würden, welche KI-Tools im Unternehmen im Einsatz sind – bekämen Sie eine vollständige Antwort?
In vielen Unternehmen werden zunächst nur die offiziell eingeführten KI-Tools genannt – ein zentrales ChatGPT-Team-Konto vielleicht, Microsoft Copilot, ein KI-Feature im CRM. Bei genauerem Hinsehen zeigt sich jedoch häufig ein deutlich breiteres Bild: plötzlich sind es zwanzig oder dreißig Systeme – die meisten davon ohne offizielle Freigabe, ohne Dokumentation, ohne dass die IT oder Compliance-Abteilung je davon erfahren hat. Genau das ist Shadow AI. Und es ist 2026 kein Randthema mehr, sondern entwickelt sich für viele Unternehmen zu einer der größten Herausforderungen beim Aufbau einer wirksamen AI Governance.
Was ist Shadow AI überhaupt?
Shadow AI beschreibt den Einsatz von KI-Tools durch Mitarbeitende, ohne dass IT, Datenschutz oder Compliance davon wissen oder ihn freigegeben haben – in Anlehnung an den älteren Begriff „Shadow IT". Der Unterschied zu klassischer Shadow IT: KI-Tools lassen sich in Sekunden im Browser öffnen, brauchen keine Installation, keine Genehmigung, keine Rechnung, die über den Einkauf läuft. Die Eintrittshürde liegt bei praktisch null – und genau deshalb verbreitet sich Shadow AI so viel schneller, als IT-Abteilungen reagieren können.
Das Ergebnis: Unternehmen glauben, drei oder vier KI-Systeme im Einsatz zu haben. Tatsächlich sind es oft zehnmal so viele.
Fünf Abteilungen, fünf Tools – ein typischer Montagmorgen
So sieht Shadow AI in der Praxis aus, wenn man einmal durch die Abteilungen geht:
Fünf Abteilungen, fünf unterschiedliche Tools, fünf unterschiedliche Anbieter mit fünf unterschiedlichen Datenschutz- und Nutzungsbedingungen. Und das ist nur ein Ausschnitt – in der Praxis kommen häufig weitere Tools in Design, Buchhaltung oder Projektmanagement dazu. Niemand in der Organisation hat eine zentrale Liste. Niemand kann auf Nachfrage sagen, welche Unternehmensdaten in welches Tool eingegeben werden.
Unser Tipp: Fragen Sie in der nächsten Teamrunde offen: „Welche KI-Tools nutzt ihr aktuell für eure Arbeit?" Die Antworten überraschen fast immer – im positiven wie im besorgniserregenden Sinn.
Warum Shadow AI zum Compliance-Risiko wird
Auf den ersten Blick wirkt Shadow AI wie ein Produktivitätsthema – Mitarbeitende nutzen eben, was ihnen hilft. Aus Compliance-Sicht entstehen daraus aber mehrere konkrete Risiken gleichzeitig:
Keine Transparenz. Wenn niemand weiß, welche KI-Systeme im Einsatz sind, kann auch niemand deren Nutzung bewerten – geschweige denn dokumentieren.
Keine Governance. Ohne zentrale Erfassung gibt es keine einheitlichen Regeln dafür, welche Daten in welches Tool eingegeben werden dürfen.
Unklare Verantwortlichkeiten. Wenn ein Tool ohne Freigabe genutzt wird, ist oft unklar, wer im Ernstfall verantwortlich ist – IT, Fachbereich oder Geschäftsführung.
Schwierige Dokumentation. Der EU AI Act verlangt für viele Anwendungsfälle eine Dokumentation der eingesetzten KI-Systeme. Was nicht bekannt ist, kann nicht dokumentiert werden.
Datenschutzrisiken. Wenn Mitarbeitende Kundendaten, Vertragsentwürfe oder Bewerbungsunterlagen in ein nicht freigegebenes KI-Tool eingeben, ist das potenziell ein DSGVO-Thema – unabhängig vom EU AI Act.
Uneinheitliche interne Richtlinien. Ohne zentrale Übersicht entstehen in jeder Abteilung eigene, informelle Regeln – oder gar keine.
Dazu kommt: Die Pflicht zur KI-Kompetenz nach Art. 4 EU AI Act gilt bereits seit Februar 2025 – unabhängig davon, ob ein Tool offiziell eingeführt wurde oder nicht. Wer KI-Systeme im Unternehmen einsetzt (auch als Anwender), muss sicherstellen, dass die Mitarbeitenden ausreichend geschult sind. Fehlende Transparenz erschwert es Unternehmen erheblich, sicherzustellen, dass Mitarbeitende entsprechend geschult werden und interne Vorgaben eingehalten werden.
Wie Unternehmen den Überblick zurückgewinnen: das KI-Inventar
Die gute Nachricht: Der erste Schritt ist kein monatelanges Projekt. Es geht nicht darum, Shadow AI zu verbieten – das funktioniert in der Praxis ohnehin selten und verlagert das Problem nur weiter in den Untergrund. Es geht darum, Transparenz herzustellen und darauf aufbauend Regeln zu definieren. Der Fachbegriff dafür ist KI-Inventar (englisch: AI Inventory oder AI Asset Inventory) – eine zentrale, laufend gepflegte Übersicht aller KI-Systeme im Unternehmen.
In der Praxis hat sich ein einfacher Dreischritt bewährt:
1. Bestandsaufnahme. Fragen Sie systematisch in allen Abteilungen ab, welche KI-Tools genutzt werden – nicht nur die offiziell eingeführten. Eine kurze, anonyme Umfrage liefert oft schon ein realistischeres Bild als jede IT-Inventarliste. Das Ergebnis ist der Grundstein für ein vollständiges KI-Inventar.
2. Bewertung. Ordnen Sie die gefundenen Tools ein: Wofür werden sie genutzt? Welche Daten fließen hinein? Gibt es datenschutzrechtlich oder regulatorisch kritische Anwendungsfälle darunter?
3. Governance aufbauen. Definieren Sie klare Regeln – welche Tools sind freigegeben, welche Daten dürfen rein, wer ist verantwortlich – und sorgen Sie dafür, dass neue Tools künftig erfasst werden, statt erneut im Verborgenen zu wuchern.
Unser Tipp: Starten Sie nicht mit einer Verbotsliste, sondern mit einer Erfassung. Verbote ohne Alternative führen fast immer dazu, dass Mitarbeitende Tools einfach weiter nutzen – nur noch heimlicher als vorher.
Häufige Fragen zu Shadow AI
Was ist Shadow AI?
Shadow AI bezeichnet den Einsatz von KI-Tools durch Mitarbeitende, ohne dass IT, Datenschutz oder Compliance davon wissen oder ihn freigegeben haben – etwa ChatGPT, Copilot oder Claude im Arbeitsalltag, außerhalb offizieller Freigabeprozesse.
Ist Shadow AI verboten?
Shadow AI ist nicht per se verboten, aber je nach Anwendungsfall können daraus Verstöße gegen DSGVO oder EU AI Act entstehen – etwa wenn personenbezogene oder vertrauliche Daten in nicht freigegebene Tools eingegeben werden. Entscheidend ist nicht das Tool selbst, sondern der fehlende Überblick und die fehlende Governance.
Wie erkennt man Shadow AI im Unternehmen?
Der zuverlässigste Weg ist eine systematische Abfrage in allen Abteilungen – klassische IT-Inventarlisten erfassen browserbasierte KI-Tools meist nicht. Eine kurze, anonyme Umfrage liefert in der Regel ein deutlich realistischeres Bild.
Wie erstellt man ein KI-Inventar (AI Inventory)?
Ausgangspunkt ist die Bestandsaufnahme aller genutzten KI-Tools, gefolgt von einer Bewertung (Einsatzzweck, verarbeitete Daten, regulatorische Relevanz) und dem Aufbau laufender Governance-Prozesse, damit neue Tools künftig erfasst statt übersehen werden.
Und jetzt? Transparenz ist der erste Schritt, nicht das ganze Projekt
Shadow AI verschwindet nicht von selbst – im Gegenteil, mit jedem neuen KI-Tool auf dem Markt wird die Liste länger. Aber genau das macht das Thema so gut greifbar: Es beginnt nicht mit einer komplexen Rechtsfrage, sondern mit einer einfachen: Welche KI-Systeme setzen wir eigentlich tatsächlich ein?
Ein AI-Discovery-Prozess hilft Unternehmen dabei, ihre tatsächlich eingesetzten KI-Systeme systematisch zu erfassen und anschließend Governance- und Compliance-Prozesse darauf aufzubauen – statt auf Basis einer Liste zu arbeiten, von der alle wissen, dass sie unvollständig ist.
AI Governance beginnt nicht mit einem Formular. Sie beginnt mit Transparenz. Erst wenn Unternehmen wissen, welche KI-Systeme tatsächlich eingesetzt werden, können Risiken bewertet, Verantwortlichkeiten festgelegt und Compliance-Prozesse aufgebaut werden.
Genau hier setzt SimpleAct an: KI-Systeme erfassen, einordnen und dokumentieren – an einem Ort, nachvollziehbar und ohne Excel-Chaos.
Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ob und in welchem Umfang einzelne KI-Tools dokumentationspflichtig sind, hängt vom konkreten Einsatzkontext ab. Bei Unsicherheiten empfehlen wir eine rechtliche Prüfung.
Über SimpleAct: SimpleAct ist eine deutsche Compliance-Plattform, die Unternehmen bei der strukturierten Dokumentation ihrer KI-Systeme nach EU AI Act unterstützt. Von der Erfassung über die Risikobewertung bis zum exportfähigen Audit-Nachweis – alles an einem Ort.
Tags
Kamill | SimpleAct
Autor · SimpleAct Team