Shadow AI: Welche Kontrollen wirklich zur Unternehmensgröße passen

Eine 2023 geschriebene Shadow-AI-Richtlinie ging davon aus, dass die Gefahr ein Mitarbeiter ist, der ChatGPT im Browser öffnet und eine Kundenliste einfügt. Das gibt es weiterhin, ist aber längst nicht mehr der größte oder am schnellsten wachsende Risikofaktor — eine Richtlinie, die nur das abdeckt, lässt die anderen drei Faktoren ungeschützt.

KI-Funktionen, die still in bereits bezahlter SaaS-Software aktiviert werden, sind der Faktor, den die meisten Richtlinien komplett übersehen. Notiz-Add-ons, „intelligente" CRM-Felder, Helpdesk-Zusammenfassungen und Copilot-Funktionen in Produktivitätssuiten werden häufig standardmäßig oder durch ein Anbieter-Update automatisch aktiviert und senden Daten an ein Modell, das das Sicherheitsteam nie geprüft hat — ohne dass ein neues Tool installiert wird und ohne dass dies in einer auf Netzwerkverkehr oder Neuanmeldungen basierenden Schatten-IT-Inventur auftaucht. Weil nichts „Neues" installiert wurde, übersehen die meisten Inventuren diesen Faktor vollständig.

Die anderen drei Faktoren sind ebenfalls relevant, ungefähr in absteigender Reihenfolge, wie gut bestehende Kontrollen sie erfassen:

Das Blockieren von KI-Domains an der Netzwerk-Firewall ist die erste Maßnahme, zu der die meisten Unternehmen greifen — und sie scheitert aus drei strukturellen Gründen, unabhängig von der Unternehmensgröße.

Beantworten Sie die untenstehenden Fragen, um eine erste Risikostufe und ein passendes Kontrollset zu erhalten. Dies läuft vollständig in Ihrem Browser — es wird nichts übermittelt.

Erkennungstools lassen sich in vier grobe Kategorien einteilen, und die meisten mittelgroßen Unternehmen kombinieren am Ende mindestens zwei, statt sich auf ein einzelnes Tool zu verlassen.

Anbieter in diesem Bereich werden üblicherweise danach gruppiert, mit welcher der oben genannten Erkennungskategorien sie primär antreten, auch wenn die meisten ihr Angebot inzwischen kategorieübergreifend erweitert haben. Dies ist eine allgemeine Orientierung, kein bewerteter Vergleich — prüfen Sie jeden Anbieter vor dem Kauf gegen Ihre eigene Umgebung und aktuelle Preise, da sich Paketierung und Abdeckung in diesem Markt häufig ändern.

Erkennungstools beantworten die Frage „Passiert das gerade?" — nicht „Was soll ein Mitarbeiter stattdessen tun?" Und genau diese zweite Frage ist es, die das Verhalten tatsächlich ändert.

Ein Mitarbeiter, der in einem KI-Tool einen echten Produktivitätsvorteil sieht und es blockiert oder markiert bekommt, ohne eine freigegebene Alternative angeboten zu bekommen, hat drei realistische Optionen: auf den Vorteil verzichten, einen Weg um die Sperre finden, oder das Tool weiter nutzen und hoffen, dass es nicht auffällt. In der Praxis wählt ein relevanter Teil der Mitarbeitenden die zweite oder dritte Option — genau deshalb zeigen reine Erkennungsprogramme oft eine sinkende Zahl *erkannter* Vorfälle, ohne dass die zugrunde liegende, nicht freigegebene Nutzung entsprechend zurückgeht.

Eine freigegebene interne Bereitstellung — am belastbarsten ein selbst gehostetes oder lokal betriebenes Modell, das das Sicherheitsteam vollständig kontrolliert — schließt diese Lücke, weil sie Mitarbeitenden ab dem ersten Tag einer neuen Richtlinie eine legitime Antwort auf die Frage „Was nutze ich stattdessen?" gibt, statt sie mit einer Regel ohne Ersatz allein zu lassen. Das ist die natürliche Brücke zwischen einer Shadow-AI-Richtlinie und der umfassenderen Local-LLM-Literatur: siehe Lokale LLMs vs. Cloud-APIs für die zugrunde liegenden Abwägungen und On-Prem-/Air-Gapped-Bereitstellung lokaler LLMs dafür, was eine freigegebene interne Bereitstellung konkret bedeutet.

Eine Nutzungsrichtlinie, die nur besagt „keine nicht freigegebenen KI-Tools nutzen", ist in der Praxis nicht durchsetzbar, weil sie Mitarbeitenden keine positive Orientierung gibt. Eine funktionierende AUP deckt üblicherweise folgende Punkte ab:

Eine freigegebene lokale oder selbst gehostete Bereitstellung ist eine wirklich belastbare Kontrolle für ein konkretes Problem: Mitarbeitenden eine legitime Alternative zu nicht freigegebenen Consumer-KI-Tools zu geben. Sie ist keine vollständige Antwort auf Shadow AI, und sie so zu behandeln erzeugt ein falsches Sicherheitsgefühl.

Lokale Bereitstellung löst nicht das Problem von KI-Funktionen, die bereits in nicht selbst kontrollierter SaaS-Software eingebettet sind. Wenn ein CRM-Anbieter serverseitig eine KI-Zusammenfassungsfunktion aktiviert, ändert der parallele Betrieb eines eigenen Modells nichts daran, was diese KI-Funktion des Anbieters mit den bereits im System vorhandenen Daten tut — das erfordert eine Kontrolle auf Vertrags- und DPA-Ebene, keine Bereitstellungsentscheidung.

Lokale Bereitstellung erfüllt allein keine Informations- oder Offenlegungspflichten gegenüber Mitarbeitenden oder Behörden. Ein Modell vor Ort zu betreiben ändert, wo Inferenz stattfindet — es schafft nicht automatisch die interne KI-Kompetenzschulung, die Beteiligung des Betriebsrats oder die behördliche Meldung, die manche Rechtsordnungen unabhängig vom Betriebsort verlangen — siehe den Abschnitt zur Rechtslage unten für konkrete Beispiele, wo dieser Unterschied in der Praxis wichtig wird.

Artikel 4 der KI-Verordnung (KI-Kompetenz, „AI literacy") gilt seit Februar 2025 für jede Organisation, die KI-Systeme einsetzt — er wurde nicht verschoben, und er ist die AI-Act-Pflicht, die die meisten EU-Arbeitgeber bislang am stillsten übersehen haben.

Ein zweiter, oft unterschätzter Punkt betrifft die betriebliche Mitbestimmung: In Deutschland, Österreich und den Niederlanden ist die Mitbestimmung des Betriebs- bzw. Personalrats eine kontraintuitive Falle — die Überwachungssoftware, die zur Erkennung von Shadow AI beschafft wird, löst typischerweise selbst Mitbestimmungspflichten aus, weil sie eine Verhaltens- und Leistungskontrolle von Beschäftigten darstellt. Eine EU-Einführungsreihenfolge läuft deshalb umgekehrt zur US-Reihenfolge: zuerst Einigung mit dem Betriebsrat und KI-Kompetenzschulung, danach Erkennungstools. Darüber liegen die DSGVO Art. 88 und nationale arbeitsrechtliche Datenschutzvorschriften.

Dieser Abschnitt bietet eine allgemeine Orientierung, keine Rechtsberatung — klären Sie die Anwendbarkeit für Ihre konkrete Rechtsordnung, Branche und Datenarten mit rechtlichem Rat, bevor Sie eine Richtlinie finalisieren.