Schatten-KI im Betrieb: Was tun, wenn Mitarbeitende schon ChatGPT nutzen

Das Wichtigste in Kürze

• „Schatten-KI“ heißt: Mitarbeitende nutzen KI-Dienste wie ChatGPT, ohne dass der Betrieb davon weiß oder sie freigegeben hat.
• Ein bloßes Verbot hilft selten. Wer KI nützlich findet, nutzt sie weiter, nur eben unsichtbar.
• Der Weg in vier Schritten: Bestandsaufnahme ohne Schuldzuweisung, Datenklassen festlegen, freigegebene Werkzeuge bereitstellen, Team einweisen.
• Wenn schützenswerte Daten im Spiel sind (Mandanten, Patienten, Konstruktion), kann eine KI im eigenen Haus die Antwort sein. Wenn nicht, reicht oft ein sauber eingerichteter Cloud-Zugang.

Stand: 22.10.2026. Dieser Beitrag ist ein Hinweis aus der Praxis und keine Rechtsberatung. Was Ihre Berufsordnung oder Ihre Verträge verlangen, klären Sie mit Ihrer Kammer oder Ihrem Anwalt.

Was Schatten-KI ist

Jemand im Büro lässt sich eine Mail umformulieren, ein Vertrag zusammenfassen oder eine Tabelle erklären, und zwar im privaten ChatGPT-Konto, weil es schnell geht. Niemand hat das verboten, niemand hat es erlaubt, und niemand weiß, welche Texte dort gelandet sind.

Das ist kein böser Wille. Es ist ein Werkzeug, das hilft, und eine Lücke, die der Betrieb nicht gefüllt hat. Deshalb lohnt es sich, nicht mit der Frage „Wer war das?“ zu beginnen, sondern mit „Wofür nutzt ihr es, und was fehlt euch?“.

Warum ein Verbot allein nicht reicht

Ein Verbot ohne Alternative verschiebt die Nutzung aufs Privathandy. Der Betrieb verliert dann den letzten Überblick. Ein Verbot kann trotzdem richtig sein, nämlich für klar benannte Datenarten. Es sollte nur nicht die einzige Maßnahme bleiben.

Die vier Schritte

1. Bestandsaufnahme ohne Schuldzuweisung

Fragen Sie im Team: Wer nutzt welches Werkzeug, wofür, und mit welchen Inhalten? Sagen Sie vorher, dass niemand Ärger bekommt. Sie bekommen nur ehrliche Antworten, wenn die Ehrlichkeit nichts kostet.

2. Datenklassen festlegen

Legen Sie schriftlich fest, was in welches Werkzeug darf. Eine einfache Dreiteilung genügt:

Klasse	Beispiele	Regel
Öffentlich	Texte für die Website, Werbung, allgemeine Fragen	Freigegebene Cloud-KI erlaubt
Intern	Angebote ohne Personenbezug, interne Abläufe	Nur freigegebene Werkzeuge mit Vertrag
Vertraulich	Mandanten-, Patienten-, Personal- und Konstruktionsdaten	Nicht in Cloud-KI; nur in eine KI, die Sie selbst kontrollieren

Für Berufsgeheimnisträger ist § 203 StGB der Rahmen. Ob und wie ein Dienstleister mit Zugriff zur Verschwiegenheit zu verpflichten ist, gehört in die Prüfung durch Kammer oder Anwalt.

3. Freigegebene Werkzeuge bereitstellen

Wer nur verbietet, lässt die Nachfrage unbeantwortet. Stellen Sie ein Werkzeug bereit, das die Regeln einhält. Zwei Wege:

• Cloud-Zugang für Betriebe: mit Vertrag zur Auftragsverarbeitung, Einstellungen gegen das Training mit Ihren Eingaben und Serverstandort in der EU, soweit der Anbieter das bietet. Die Bedingungen ändern sich; lesen Sie sie zum Zeitpunkt der Entscheidung.
• KI im eigenen Haus: Das Sprachmodell läuft auf Ihrer Hardware, keine Eingabe verlässt das Netz. Das lohnt sich vor allem, wenn vertrauliche Daten im Spiel sind. Wie das aussieht, steht in Lokale KI im Unternehmen; wie es für Kanzleien aussieht, in Lokale KI für Kanzleien.

Eine ehrliche Empfehlung gehört dazu: Wenn eine EU-Cloud für Ihre Daten reicht, ist sie meist die günstigere Lösung. Ob das so ist, klärt der On-Prem-KI-Check für 890 € mit einer schriftlichen Entscheidungsvorlage, die auch mit „bleiben Sie bei der Cloud“ enden darf.

4. Team einweisen

Eine Regel, die niemand versteht, wird nicht gelebt. Zeigen Sie dem Team an echten Beispielen, was erlaubt ist, was nicht und warum. Die Regel zur KI-Kompetenz (Artikel 4 der KI-Verordnung) gilt seit Februar 2025; die Fassung wurde 2026 geändert, den aktuellen Wortlaut prüfen Sie im Gesetzestext. Zum Überblick: KI-Kompetenz-Pflicht für Betriebe. Mein Halbtags-Workshop kostet 790 € und liefert eine Teilnahmebestätigung als Beleg für Ihre Dokumentation, keine Rechtssicherheit.

Was Sie schriftlich festhalten sollten

• welche Werkzeuge freigegeben sind und für welche Datenklassen,
• was nie eingegeben wird,
• wer Ansprechperson für Fragen und neue Werkzeuge ist,
• dass Ergebnisse der KI geprüft werden, bevor sie das Haus verlassen.

Einen ersten Überblick über Ihre Pflichten gibt der kostenlose AI-Act-Check. Die Datenschutzseite finden Sie im Ratgeber KI und DSGVO im Unternehmen.

Wenn Sie das nicht allein regeln wollen

Ich berate Betriebe dazu in der KI-Beratung. Schreiben Sie mir kurz, wo Sie stehen; ich sage Ihnen ehrlich, ob Sie dafür mich brauchen oder ob eine Regel auf einer Seite Papier genügt.