Schatten-KI im Unternehmen.Welche Daten in KI-Tools dürfen.
Ein Konstrukteur lässt sich eine Auslegung prüfen, der Vertrieb formuliert ein Angebot um, der Service übersetzt einen Bericht. Jedes Mal hilft ein KI-Werkzeug, das niemand freigegeben hat. Niemand handelt dabei gegen eine Regel, weil es keine gibt. Genau das ist Schatten-KI, und mit ihr gehen Unterlagen in Dienste, deren Verarbeitung Ihr Haus nicht kennt.
Insight 14, Reihe D, Wissenszugriff. Die Regel dazu entsteht an einem Tag in der KI-Kompetenz-Schulung mit KI-Richtlinie.
KI-Werkzeuge, die niemand freigegeben hat.
Schatten-KI ist die berufliche Nutzung von KI-Werkzeugen ohne Freigabe: ein Chatbot im Browser, ein Übersetzungsdienst, eine Erweiterung im Mailprogramm, ein privat angelegtes Konto. Sie entsteht, weil das Werkzeug eine Aufgabe schneller löst und nichts im Haus sagt, welches Werkzeug für welche Aufgabe gedacht ist.
Typisch ist sie dort, wo viel gesucht, geprüft und formuliert wird: in der Konstruktion, im Innendienst, im Service. Dort hilft ein Werkzeug sofort, und dort liegen zugleich die Unterlagen, die das Haus am wenigsten verlieren darf.
Drei Dinge, die Ihr Haus dabei aus der Hand gibt.
Erstens den Ort der Daten. Ob Eingaben gespeichert, ausgewertet oder für das Training verwendet werden, hängt vom Dienst und vom Vertrag ab. Bei einem Konto, das ein Mitarbeiter privat angelegt hat, entscheidet das nicht Ihr Haus.
Zweitens die Herkunft der Antwort. Ein allgemeines Modell antwortet ohne Quelle aus Ihrem Haus. Fließt die Antwort in eine Auslegung oder ein Angebot, steht dort eine Aussage, die niemand prüfen kann.
Drittens den Überblick. Was niemand kennt, kann niemand regeln. Die KI-Verordnung verlangt seit der Fassung vom 27. Juli 2026 Maßnahmen, die die KI-Kompetenz des Personals fördern [1]. Solche Maßnahmen setzen voraus, dass Sie wissen, welche Werkzeuge im Haus genutzt werden.
Datenschutz und Know-how laufen gegeneinander.
Die meisten KI-Richtlinien beginnen beim Datenschutz. Das ist richtig und reicht nicht. Der Datenschutz fragt nach Personen, das Know-how nach dem Inhalt, und die wertvollsten Bestände eines Maschinenbauers enthalten oft gar keine Person.
Konstruktionsrichtlinien sind höchstes Know-how ohne jeden Personenbezug, Projektakten sind es umgekehrt. Eine Regel, die beide gleich behandelt, ist für eines von beiden falsch. Daraus folgt auch, womit man anfängt: mit einem Bestand oben links, wenn er in einem eigenen Werkzeug bleibt, weil dort der Datenschutz kaum im Weg steht und der Nutzen am größten ist.
Drei Fragen, die entscheiden, wohin ein Bestand darf.
Welche Daten in welches KI-Tool dürfen, entscheidet nicht das Werkzeug, sondern der Bestand. Jeder Bestand wird einmal eingestuft, danach ist die Antwort für jedes Werkzeug dieselbe.
Was eine KI-Richtlinie regeln muss.
Eine KI-Richtlinie schreibt die KI-Verordnung nicht vor. Sie ist der Ort, an dem Ihr Haus festhält, was erlaubt ist, und damit die Antwort auf Schatten-KI: Aus vielen Einzelentscheidungen wird eine Regel.
Fünf Festlegungen
- Welche Werkzeuge erlaubt sind, und für welche Aufgaben
- Welche Klasse von Daten in welches Werkzeug darf, nach den drei Fragen
- Wer ein neues Werkzeug freigibt, und wie lange das dauern darf
- Wie die KI-Kompetenz an alle weitergegeben wird, die KI nutzen
- Wer die Richtlinie pflegt, wenn neue Werkzeuge kommen
Vier verbreitete Irrwege
- Ein Pauschalverbot ohne erlaubtes Werkzeug
- Eine Richtlinie, die nur den Datenschutz regelt
- „Keine vertraulichen Daten“ ohne Einstufung, was vertraulich ist
- Eine Freigabe, die so lange dauert, dass niemand darauf wartet
Was aus der Praxis regelmäßig gefragt wird.
Was ist Schatten-KI?
Schatten-KI ist die Nutzung von KI-Werkzeugen im Beruf, die niemand freigegeben hat: ein Chatbot im Browser, ein Übersetzungsdienst, eine Erweiterung im Mailprogramm. Sie entsteht nicht aus böser Absicht, sondern weil das Werkzeug eine Aufgabe schneller löst und es keine Regel gibt, die etwas anderes sagt.
Ist Schatten-KI verboten?
Ein allgemeines Verbot gibt es nicht. Die Risiken liegen in drei anderen Regeln: im Datenschutz, sobald Personendaten in einen Dienst gehen; in Verträgen und Geheimhaltungsvereinbarungen mit Kunden und Lieferanten; und im Schutz der eigenen Geschäftsgeheimnisse, der nach § 2 GeschGehG angemessene Geheimhaltungsmaßnahmen voraussetzt.
Welche Daten darf ich in KI-Tools eingeben?
Das entscheidet nicht das Werkzeug, sondern der Bestand. Drei Fragen genügen: Ist es Know-how? Sind Personen darin? Gehört es uns? Know-how gehört nie in ein öffentliches Modell, Personendaten nur dorthin, wo der Datenschutz geklärt ist, und Normen oder Kundenzeichnungen nur so weit, wie Lizenz und Vertrag es erlauben.
Reicht eine Regel für den Datenschutz nicht aus?
Nein. Die Datenschutz-Grundverordnung fragt nach Personen. Eine Konstruktionsrichtlinie enthält keine einzige Person und ist trotzdem das, was ein Maschinenbauer am wenigsten verlieren darf. Eine KI-Richtlinie, die nur den Datenschutz regelt, lässt genau diesen Teil offen.
Wie finde ich heraus, welche KI-Werkzeuge bei uns genutzt werden?
Durch Fragen, nicht durch Kontrolle. In Konstruktion, Vertrieb und Service nachfragen, welche Werkzeuge wofür genutzt werden, und vorher sagen, dass es um die Ausgangslage geht, nicht um Schuld. Wer nach Schuldigen sucht, bekommt keine ehrliche Liste.
Wissen Sie, welche KI-Werkzeuge bei Ihnen genutzt werden?
Die Regel für Ihre technischen Bereiche entsteht an einem Tag: vormittags, was die KI-Verordnung verlangt, nachmittags die Einstufung Ihrer Bestände und der Entwurf Ihrer KI-Richtlinie. Ein Tag, vorbereitet auf Ihren Unterlagen, ohne zusätzliche Last für die Fachbereiche.
Zur KI-Kompetenz-Schulung →Woher die Regeln stammen.
- [1] Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 4, in der Fassung von Art. 1 der Verordnung (EU) 2026/1744, ABl. L vom 24.07.2026. Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen; ein bestimmtes Niveau je Person müssen sie nicht garantieren.
- [2] Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG), § 2 Nr. 1. Geschäftsgeheimnis ist eine Information, die unter anderem Gegenstand angemessener Geheimhaltungsmaßnahmen ist.
- [3] Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung). Sie gilt für personenbezogene Daten, nicht für technisches Wissen ohne Personenbezug.
- [4] Betriebsverfassungsgesetz, § 87 Abs. 1 Nr. 6. Mitbestimmung bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen.
- [5] Eigene Projekte mit KI-Wissensagenten im Maschinenbau. Die gegenläufigen Achsen von Know-how und Personenbezug zeigen sich bei der Einstufung der Bestände. Dieses Blatt enthält deshalb bewusst keine Zahlen zur Verbreitung von Schatten-KI — die wären hier nicht belegt.