Was ist Schatten-KI im Unternehmen?

Einfach erklärt

Schatten-KI (englisch «Shadow AI») bezeichnet KI-Werkzeuge, die in einem Betrieb genutzt werden, ohne dass die Geschäftsleitung oder die IT davon weiss oder sie freigegeben hat. Der Begriff ist von «Schatten-IT» abgeleitet, womit nicht freigegebene Software gemeint ist.

Ein Beispiel: Eine Sachbearbeiterin nutzt ein privates KI-Konto, um Mails zu formulieren. Der Kollege lässt Offerten in einem Gratis-Dienst zusammenfassen. Eine Praktikantin installiert eine KI-Erweiterung im Browser. Niemand hat etwas Böses im Sinn, alle wollen schneller arbeiten.

Das Risiko liegt in dem, was dabei in fremden Diensten landet: Kundennamen, Preise, interne Berichte. Der Betrieb weiss nicht, wohin die Daten gehen, ob sie gespeichert oder für Training genutzt werden und wer darauf zugreift.

Das Problem

Schatten-KI ist verbreitet, weil KI nützlich, leicht zugänglich und oft kostenlos ist. Wer ein Problem hat, öffnet ein Fenster im Browser und fragt. Eine Freigabe einzuholen wirkt umständlich, zumal viele Betriebe noch keine klaren Regeln haben.

Aus Sicht des Betriebs entstehen mehrere Probleme: Es fehlt der Überblick, wer welche Dienste nutzt. Vertrauliche Daten können in Dienste gelangen, die dafür nicht geeignet sind. Rechtliche Pflichten, etwa nach dem Datenschutzgesetz (DSG), lassen sich nicht erfüllen, wenn man nicht weiss, welche Daten wohin gehen. Und im Schadensfall fehlt die Dokumentation.

Dazu kommt ein menschlicher Punkt: Wer heimlich nutzt, traut sich nicht zu fragen oder Fehler zu melden. Ein reines Verbot verschärft das Problem oft, weil die Nutzung dann erst recht im Verborgenen geschieht.

So lösen Sie es mit KI – Schritt für Schritt

1. Nehmen Sie das Thema ernst, aber ohne Schuldzuweisung. Die meisten Mitarbeitenden wollen helfen und effizient arbeiten. Sprechen Sie offen darüber, dass KI im Alltag längst genutzt wird.

1. Verschaffen Sie sich einen Überblick. Fragen Sie im Team, welche Werkzeuge genutzt werden, wofür und mit welchen Daten, am besten in einer freundlichen, anonymen Umfrage. Siehe Schatten-KI im Betrieb erkennen.

1. Legen Sie ein Inventar an. Erfassen Sie Werkzeuge, Zweck, Datenarten, Verantwortliche und Status (erlaubt, in Prüfung, nicht erlaubt). Eine Vorlage bietet KI-Tools im Betrieb erfassen.

1. Stellen Sie einfache Regeln auf. Welche Daten dürfen nie in KI (zum Beispiel Kundendaten, Gesundheitsdaten, Zugangsdaten)? Welche Dienste sind erlaubt? Wen fragt man bei Unsicherheit? Eine kurze, verständliche Regel ist besser als ein langes Reglement. Siehe KI-Richtlinie für Mitarbeitende.

1. Bieten Sie sichere Alternativen an. Wer einen guten freigegebenen Dienst hat, braucht keinen Schattendienst. Prüfen Sie Firmenkonten mit Vertrag und Datenschutzeinstellungen. Siehe Verbot oder sichere Alternative?.

1. Schulen Sie die Mitarbeitenden. Erklären Sie, was passieren kann und wie man KI sicher nutzt, mit konkreten Beispielen aus dem Büroalltag.

1. Schaffen Sie einen einfachen Meldeweg. Mitarbeitende sollen neue Werkzeuge vorschlagen und Fehler ohne Angst melden können.

1. Prüfen Sie regelmässig. Wiederholen Sie die Bestandsaufnahme jährlich oder bei grösseren Änderungen, und passen Sie Regeln und Angebote an.

Vorlage zum Kopieren

Erstelle den Entwurf für eine freundliche, kurze Mitteilung an alle
Mitarbeitenden zum Thema KI-Nutzung im Betrieb.
Betrieb: [Branche, Grösse, Ort].
Ziel: Wir wollen wissen, welche KI-Werkzeuge genutzt werden, ohne
jemanden zu beschuldigen, und gemeinsam klare Regeln festlegen.
Enthalten: 1. Warum wir fragen, 2. Was wir wissen möchten (Werkzeug,
Zweck, Art der Daten), 3. Zusicherung: keine Sanktionen für ehrliche
Angaben bis [Datum], 4. Ansprechperson, 5. Termin für eine
Besprechung.
Ton: wertschätzend, einfach, Anrede «Sie» oder «Du» nach Betriebskultur.
Höchstens 200 Wörter.

Passen Sie Betrieb, Frist und Ansprechperson an. Lassen Sie die Mitteilung von der Geschäftsleitung freigeben.

Was ist Schatten-KI, was nicht?

Worauf Sie achten müssen

• Nicht mit Strafe beginnen: Wer Angst hat, nutzt weiter im Verborgenen. Machen Sie zuerst eine Bestandsaufnahme mit Straffreiheit für Ehrlichkeit.
• Auch eingebaute KI zählt: Viele Programme haben KI-Funktionen eingeschaltet. Prüfen Sie Ihre Bürosoftware, siehe KI-Funktionen in Bürosoftware erkennen.
• Private Geräte und Konten: Auch Smartphones und private Konten gehören in die Regeln, siehe Private KI-Konten im Büro.
• Datenschutz bleibt Pflicht: Der Betrieb bleibt für Personendaten verantwortlich, auch wenn Mitarbeitende sie ohne sein Wissen in KI eingeben. Hinweise gibt der EDÖB.
• Regeln müssen praktikabel sein: Eine Regel, die den Arbeitsalltag unmöglich macht, wird umgangen. Passen Sie sie an die Realität an.
• Keine Rechtsberatung: Bei arbeitsrechtlichen Fragen zu Regeln und Sanktionen holen Sie fachlichen Rat ein.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: In einer Gemeindeverwaltung im Kanton Bern bemerkt die Leiterin Finanzen, dass ein Kollege einen Textentwurf mit Hinweis «von KI vorgeschlagen» abgibt. Auf Nachfrage zeigt sich: Mehrere Mitarbeitende nutzen privat KI-Dienste, teils mit Angaben aus Einwohnerkorrespondenz.

Statt zu rügen, lädt sie zu einer offenen Runde ein. Mit der Vorlage kündigt sie an, dass ehrliche Angaben keine Folgen haben. Es entsteht eine Liste mit sieben genutzten Werkzeugen. Die Gemeinde legt fest: keine Personendaten in private Konten, ein freigegebener Dienst für Textentwürfe und eine Anlaufstelle bei Fragen.

Nachher gibt es weniger Heimlichkeiten, und die Mitarbeitenden nutzen KI sichtbar und sicherer. Die Verwaltung hat den Überblick, den sie vorher nicht hatte.

So hilft Ihnen Alpasana

Damit Ihre Mitarbeitenden KI sinnvoll und sicher einsetzen, bietet KI-Weiterbildung für Unternehmen auf absofort Online-Kurse von Grundlagen bis zum Executive-Diplomlehrgang. KI für Verwaltung, Kommunikation, Analyse und Texte, Schweizer Praxisbezug, Datenschutz als Lerninhalt und der verantwortungsbewusste Umgang mit Unternehmensdaten gehören dazu. Für Firmenlösungen und Teambuchungen gibt es eine Kontaktmöglichkeit.

Eine technische Überwachung oder Rechtsberatung ist nicht enthalten. Weiterführend: Wie finden wir unbemerkte KI-Nutzung im Betrieb? und KI-Richtlinie für Mitarbeitende.

Häufige Fragen

Ist Schatten-KI illegal?

Nicht an sich. Problematisch kann sie werden, wenn dabei Datenschutz-, Geheimhaltungs- oder Vertragspflichten verletzt werden, etwa durch Eingabe vertraulicher Daten in nicht freigegebene Dienste. Welche Verantwortlichkeit oder Haftung daraus folgt, hängt von den Umständen und den anwendbaren Regeln ab und muss im Einzelfall fachlich geprüft werden.

Soll ich KI im Betrieb verbieten?

Ein pauschales Verbot ist meist wirkungslos, weil KI trotzdem genutzt wird, nur heimlicher. Besser sind klare Regeln, ein freigegebener Dienst und Schulung. Je nach Datenlage kann ein Verbot für bestimmte Daten oder Bereiche sinnvoll sein.

Wie erkenne ich Schatten-KI in meinem Team?

Fragen Sie offen und freundlich, mit Zusicherung, dass keine Strafen folgen. Ergänzend können Sie in der IT prüfen, welche Dienste und Erweiterungen installiert sind. Siehe den Beitrag zum Erkennen unbemerkter KI-Nutzung.