Shadow AI

Shadow AI bezeichnet die Nutzung von KI-Werkzeugen in einem Unternehmen, die weder genehmigt noch bekannt ist — weder der IT-Abteilung noch der Führungsebene. Ein Mitarbeiter öffnet einfach einen Chatbot im Browser, fügt vertrauliche Firmendaten ein und lässt sich eine Analyse erstellen. Das kostet nichts, erfordert keine Installation und hinterlässt in der Firmensoftware keine Spur. Genau deshalb passiert es so häufig. Der Begriff lehnt sich an „Shadow IT“ an — das ist der ältere Begriff für jede Software, die Mitarbeiter ohne Erlaubnis der IT nutzen, also zum Beispiel private Cloud-Speicher oder nicht genehmigte Apps.

Das Risiko für Unternehmen

Das zentrale Problem ist Datenkontrolle. Wer vertrauliche Kundendaten oder Geschäftsgeheimnisse in einen externen Chatbot eingibt, schickt diese Daten an Server eines fremden Unternehmens. Was dort damit passiert — ob die Daten für das Training neuer Modelle verwendet werden, wer sie einsehen kann — ist für das Unternehmen nicht kontrollierbar.

Das ist kein abstraktes Problem. In Europa schreibt die Datenschutz-Grundverordnung, kurz DSGVO, genau vor, wie personenbezogene Daten verarbeitet werden dürfen. Werden diese Regeln durch Shadow AI gebrochen, haftet das Unternehmen — nicht der einzelne Mitarbeiter, der den Chatbot genutzt hat. 2023 wurde bekannt, dass Mitarbeiter des Elektronikherstellers Samsung vertraulichen Quellcode in ChatGPT eingegeben hatten. Samsung reagierte mit einem internen Verbot.

Ein weiteres Risiko ist die fehlende Qualitätskontrolle. KI-Modelle machen Fehler. Wenn niemand im Unternehmen weiß, dass ein Werkzeug benutzt wird, kann auch niemand prüfen, ob die Ergebnisse verlässlich sind. Falsche Analysen oder fehlerhafte Texte können so unbemerkt in Entscheidungen einfließen.

Warum Shadow AI entsteht

Frühere Software brauchte eine Installation, eine Lizenz und oft eine Freigabe der IT-Abteilung. Moderne KI-Werkzeuge funktionieren im Browser, sind kostenlos oder sehr günstig und liefern innerhalb von Sekunden nützliche Ergebnisse. Die Hürde ist damit fast verschwunden.

Mitarbeiter nutzen diese Tools oft nicht aus Leichtsinn, sondern weil sie produktiver arbeiten wollen und auf eine offizielle Lösung warten, die entweder zu lange auf sich warten lässt oder gar nicht kommt. Studien aus den Jahren 2023 und 2024 zeigen, dass ein erheblicher Teil der Büroangestellten KI-Tools nutzt, ohne es dem Arbeitgeber zu melden — in manchen Befragungen gaben das über 50 Prozent der Befragten an.

Das schafft ein strukturelles Problem: Je nützlicher KI-Werkzeuge werden, desto größer ist der Anreiz, sie zu nutzen — und desto mehr wächst die Lücke zwischen dem, was Unternehmen offiziell einsetzen, und dem, was tatsächlich passiert.

Shadow AI in der Praxis und in den News

In der Berichterstattung taucht Shadow AI vor allem in drei Kontexten auf: Datenschutzskandale, wenn Unternehmen erst nachträglich herausfinden, dass sensible Daten nach außen geflossen sind; neue Unternehmensrichtlinien, wenn Firmen auf den Trend reagieren und klare Regeln für KI-Nutzung einführen; und Produktankündigungen, wenn Unternehmen wie Microsoft oder Google betonen, dass ihre Business-Versionen von KI-Tools die Daten im Firmenbereich halten und damit Shadow AI überflüssig machen sollen.

Für IT-Abteilungen ist Shadow AI inzwischen ein eigenständiges Aufgabenfeld. Einige Unternehmen setzen spezielle Software ein, die den Netzwerkverkehr überwacht und erkennt, wenn Mitarbeiter bekannte KI-Dienste aufrufen. Andere setzen auf einen anderen Weg: Sie stellen selbst genehmigte KI-Werkzeuge zur Verfügung, die schnell und nützlich genug sind, damit Mitarbeiter keinen Grund mehr haben, auf externe Dienste auszuweichen.

Shadow AI ist damit auch ein Zeichen dafür, wie schnell sich KI-Technologie verbreitet — schneller, als Unternehmen und Regulierer reagieren können.