Schatten-KI im Büro: Wenn das Team ChatGPT heimlich nutzt

Montag, 9:40 Uhr. Im Büro schreibt ChatGPT gerade einen Brief an einen Kunden. Über ein privates Konto, ohne dass es jemand freigegeben hat. Das nennt man Schatten-KI, und es ist in deutschen Büros eher die Regel als die Ausnahme. Dieser Ratgeber zeigt, woran Sie Schatten-KI erkennen, warum Verbote wenig helfen und wie Sie sie in fünf Schritten ins Licht holen.

Stand: Oktober 2026 · Lesezeit ca. 8 Minuten · Orientierung, keine Rechtsberatung

1. Was ist Schatten-KI?

Der Begriff lehnt sich an „Schatten-IT“ an, also Software, die an der IT-Abteilung vorbei genutzt wird. Das Institut der deutschen Wirtschaft (IW) definiert Schatten-KI als den Einsatz von KI-Anwendungen im Job, die der Arbeitgeber nicht bereitgestellt hat, zum Beispiel private Chatbot-Konten.

Wichtig: Schatten-KI heißt nicht automatisch heimlich oder verboten. Oft gibt es schlicht keine Regel. Problematisch ist, dass die Nutzung außerhalb jeder betrieblichen Kontrolle stattfindet. Niemand weiß, welche Daten wohin gehen, welche Ergebnisse ungeprüft übernommen werden und ob die Beteiligten wissen, worauf sie achten müssen.

Typische Beispiele aus dem Büroalltag:

• Ein Kundenbrief wird zum „freundlicher Formulieren“ in das private ChatGPT kopiert, mit Name und Anschrift.
• Eine Excel-Tabelle mit Gehältern wird hochgeladen, um eine Formel zu finden.
• Ein Vertrag wird mit einem kostenlosen Online-Werkzeug übersetzt.
• Ein Besprechungsmitschnitt wird mit einer Transkriptions-App auf dem privaten Handy zusammengefasst.

2. Wie verbreitet ist sie?

Zwei aktuelle Erhebungen geben ein klares Bild:

Die Zahlen zeigen eine Lücke: Die Beschäftigten sind bei KI oft schneller als ihre Betriebe. Genau so ist auch der Titel der IW-Studie formuliert.

3. Warum Beschäftigte heimlich KI nutzen

Schatten-KI ist selten Böswilligkeit. Meist steckt dahinter, dass jemand seine Arbeit gut und schnell erledigen will. Die häufigsten Gründe:

• Kein offizielles Werkzeug: Wenn der Betrieb nichts bereitstellt, greifen Leute zu dem, was sie privat kennen.
• Keine Regeln: Wo nichts geregelt ist, fühlt sich niemand im Unrecht.
• Zeitdruck: Der Brief muss heute raus, und die KI spart zwanzig Minuten.
• Unsicherheit: Manche fürchten, dass KI-Nutzung als Faulheit gilt, und reden lieber nicht darüber.

Ein überraschendes Ergebnis der IW-Studie: Wo Arbeitgeber KI-Kompetenzen stark fördern, ist der Anteil der Schatten-KI-Nutzung höher (44,5 Prozent) als dort, wo es keine Förderung gibt (21,3 Prozent). Wer KI-Wissen aufbaut, weckt also auch die Lust, sie zu nutzen. Das IW folgert daraus ausdrücklich nicht, Förderung zu reduzieren, sondern sie mit passenden Werkzeugen und Regeln zu verbinden.

4. Die Risiken

• Datenschutz: Personenbezogene Daten landen bei Anbietern ohne Auftragsverarbeitungsvertrag, oft in den USA, und werden bei kostenlosen Angeboten unter Umständen zum Training verwendet.
• Berufsgeheimnis: In Kanzleien und Praxen kann die Eingabe von Mandanten- oder Patientendaten gegen die Verschwiegenheit verstoßen und nach § 203 StGB strafbar sein. Die Bundessteuerberaterkammer hält den Einsatz privater KI für dienstliche Zwecke für unzulässig. Details im Ratgeber Mandantendaten in ChatGPT.
• Geschäftsgeheimnisse: Angebote, Kalkulationen und Strategiepapiere verlassen das Unternehmen.
• Qualität und Haftung: Ungeprüfte KI-Ergebnisse mit erfundenen Fakten gehen an Kunden. Die Verantwortung trägt das Unternehmen.
• KI-Kompetenz: Art. 4 der KI-Verordnung verlangt Maßnahmen zur KI-Kompetenz aller, die im Auftrag des Unternehmens mit KI arbeiten. Bei Schatten-KI weiß der Betrieb oft nicht einmal, wer KI nutzt, und kann diese Personen dann auch nicht gezielt befähigen.

5. Sechs Anzeichen für Schatten-KI

1. Texte klingen plötzlich anders: glatter, länger, mit typischen Formulierungen.
2. Aufgaben, die früher Stunden dauerten, sind auffällig schnell erledigt.
3. Im Browser tauchen Lesezeichen oder offene Tabs von KI-Diensten auf.
4. In Dokumenten stehen Fakten oder Quellen, die niemand belegen kann.
5. Im Team wird über „Prompts“ gesprochen, aber es gibt kein offizielles Werkzeug.
6. Auf die Frage „Nutzt jemand KI?“ folgt verlegenes Schweigen.

Keines dieser Anzeichen ist ein Beweis, und keines ist ein Grund für Vorwürfe. Zusammen sind sie ein Signal, das Thema offen anzusprechen. Einen schnellen Überblick, wo Ihr Büro steht, gibt der kostenlose KI-Check.

6. Warum Verbote nicht reichen

Die naheliegende Reaktion ist ein Verbot. Das IW hält reine Verbote für wenig wirksam, weil sie vor allem die engagierten Beschäftigten treffen, also genau die, die KI produktiv nutzen wollen. Sie nutzen sie dann weiter, nur noch verdeckter.

Auch die Bundessteuerberaterkammer setzt auf Vorbeugung statt Kontrolle: Wenn von vornherein offizielle Kanäle und Schranken definiert sind, sinkt die Wahrscheinlichkeit, dass jemand heimlich sensible Daten hochlädt. Die Einführung soll nach Ansicht der Kammer eher Spaß machen als Angst erzeugen, sonst nutzen die Beschäftigten KI gar nicht oder heimlich.

Bitkom-Präsident Ralf Wintergerst bringt es so auf den Punkt: Unternehmen sollten „KI-Wildwuchs vermeiden und der Entwicklung einer Schatten-KI vorbeugen“, indem sie klare Regeln aufstellen und KI-Technologien bereitstellen.

7. In fünf Schritten aus dem Schatten

1. Offen fragen, ohne Vorwurf: Kündigen Sie an, dass es um Regeln für die Zukunft geht, nicht um Fehler der Vergangenheit. Fragen Sie, wer welche Werkzeuge wofür nutzt. Nur so erfahren Sie, was wirklich passiert.
2. Ein erlaubtes Werkzeug bereitstellen: Ein Firmenzugang mit Vertrag, Auftragsverarbeitung und abgeschaltetem Training. Ohne Alternative wird jedes Verbot umgangen.
3. Klare Regeln auf einer Seite: Welche Werkzeuge, welche Daten, wer prüft. Ein fertiges Muster finden Sie im Ratgeber KI-Richtlinie: Muster zum Download.
4. Wissen im Moment der Nutzung: Eine Schulung im Frühjahr ist im Herbst vergessen. Wirksamer sind kurze, regelmäßige Impulse genau dort, wo KI genutzt wird.
5. Beobachten, ohne zu überwachen: Die BStBK nennt stichprobenartige Prüfungen, etwa der genutzten Dienste auf Firmenrechnern, als Möglichkeit, sofern datenschutzkonform, angekündigt und in der Richtlinie transparent gemacht. Mit Betriebsrat gilt die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Inhalte von Chats auszuwerten ist dafür nicht nötig.

8. So sprechen Sie es im Team an

Ein Einstieg, der funktioniert, ist ehrlich und entlastend. Zum Beispiel:

„Ich weiß, dass viele von euch ChatGPT & Co. schon nutzen, und das ist gut so. Ich möchte, dass wir das offiziell machen: mit einem Zugang der Firma und ein paar klaren Regeln, damit niemand aus Versehen Kundendaten preisgibt. Was nutzt ihr, und wofür ist es euch am wichtigsten?“

Drei Fragen, die Sie in der Runde stellen können:

• Für welche Aufgaben spart euch KI am meisten Zeit?
• Wo wart ihr unsicher, ob ihr etwas eingeben dürft?
• Was bräuchtet ihr, damit ihr KI sicher nutzen könnt?

Die Antworten liefern gleich die Liste der Werkzeuge für Ihr KI-Verzeichnis und die Themen, die Ihr Team lernen sollte.

9. Häufige Fragen

Weiterlesen

Dieser Ratgeber gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Maßgeblich sind die genannten Gesetze und Verordnungen in ihrer jeweils geltenden Fassung. Letzte Prüfung: Oktober 2026.