Irgendwo in Ihrem Unternehmen kopiert gerade jemand vertrauliche Daten in einen privaten KI-Chat: den Angebotstext für morgen früh, die Notizen aus dem Bewerbungsgespräch von gestern, die Kalkulation, die bis Mittag stehen muss. Niemand meint es böse. Die Kollegin will einfach fertig werden.
Ein Verbot klingt vielleicht zunächst wie die richtige Antwort. Aber eigentlich verschiebt es die Nutzung nur dorthin, wo Sie sie nicht mehr sehen: aufs private Konto, abends, vom eigenen Handy aus. Genau dort fängt das Risiko an. Und genau diese Nutzung nennt man Schatten-KI. Denn dort gelten Ihre Regeln nicht mehr.
Warum Verbote nicht helfen
Der Nutzen von KI ist zu groß, als dass ein Rundschreiben das stoppen könnte. Wer einmal gesehen hat, wie ein Werkzeug einen wüsten Bericht in zehn Minuten ordnet, der sucht sich den nächsten Weg. Und der Weg führt über das Privatkonto des Mitarbeiters. Mit dessen privaten Nutzungsbedingungen, ohne Ihre Verträge, ohne Ihr Wissen. Aber mit Ihrer Verantwortung.
Wissen Sie heute, welche Daten Ihres Unternehmens schon in welchen KI-Diensten gelandet sind? Wenn die ehrliche Antwort „nicht genau“ lautet, sind Sie damit nicht allein. Nur ist das an dieser Stelle kein Schutz.
Das Risiko
Sobald personenbezogene Daten in einen Cloud-Dienst wandern – Kundennamen, Adressen, Gesundheitsdaten, Beurteilungen von Bewerbern – greift die DSGVO. Dann braucht es eine Rechtsgrundlage für die Übermittlung und in aller Regel einen Auftragsverarbeitungsvertrag mit dem Anbieter. Ein privates Gratis-Konto bietet davon nichts. Die Daten landen bei einem Anbieter außerhalb Europas, unter Vertragsbedingungen, die Sie nicht kennen. Außerdem fließen die Eingaben bei privater Nutzung standardmäßig ins Modelltraining ein, solange niemand widersprochen hat.
Vertrauliche Daten sind ein noch brisanteres Thema: Angebotsstrategien, noch nicht besprochene Reorganisationspläne, ein geplantes neues Produkt. Ein abgeschickter Prompt lässt sich nicht zurückholen. Bei Berufsgeheimnisträgern – Anwälten, Steuerberatern, Ärzten – kommt die Schweigepflicht aus dem Berufsrecht hinzu. Da nützt ein guter Vorsatz nichts; es braucht vertragliche und technische Sicherungen, damit Vertrauen überhaupt entstehen kann.
Was rechtssicher konkret heißt
Wie holen Sie die Kontrolle zurück? Alles beginnt bei den Konten. Geschäftstarife und Unternehmensverträge der großen Anbieter schließen die Nutzung Ihrer Eingaben fürs Modelltraining vertraglich aus und bringen die nötige Auftragsverarbeitungsvereinbarung mit. Spezialisierte Lösungen gehen einen Schritt weiter und filtern personenbezogene Daten heraus, bevor sie den Hersteller überhaupt erreichen. Der Unterschied zum Privatkonto ist im Grunde derselbe wie zwischen der offenen Haustür und einer abschließbaren Tür mit Schlüsselübergabe.
Die zweite Säule sind interne Regeln, die alle verstehen. Welche Daten dürfen in welches Werkzeug? Was gehört nie hinein? Klartext schlägt dabei Juristendeutsch, denn eine Regel, die keiner liest, wird auch nicht befolgt.
Und seit diesem Sommer kommt europäisches Recht dazu. Seit dem 2. August 2026 gilt der EU AI Act allgemein: KI-Antworten müssen als KI erkennbar sein, Systeme im Personalbereich – etwa beim Vorauswählen von Bewerbungen – unterliegen den Hochrisiko-Pflichten, und KI-Kompetenz im Team ist Pflicht. Der Bußgeldrahmen reicht dabei bis 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes. Das klingt nach Konzernthema, erwischt potentiell aber jedes Unternehmen, das KI einsetzt.
Klein anfangen schlägt Überanalysieren
Sie brauchen dafür kein Großprojekt. Fangen Sie klein an: Fragen Sie Ihr Team, wo KI heute schon benutzt wird – mit dem Versprechen, dass Ehrlichkeit niemandem schadet. Schreiben Sie Ihre Regel auf eine Seite. Geben Sie zwei, drei Werkzeuge frei, die für den Alltag taugen, und erklären Sie in einer kurzen Runde, warum die anderen erst mal warten. Mehr braucht dieser Anfang nicht. Die zweite, bessere Version Ihrer Richtlinie schreiben Sie dann, sobald Sie eigene Erfahrungen gesammelt haben.
Rechtssicherheit bei KI ist übrigens kein Ziel, das man einmal erreicht. Sie ist eine Dauertätigkeit, ähnlich wie Arbeitsschutz oder Backups.
Wenn Sie mögen, schauen wir gemeinsam darauf, wo KI in Ihrem Haus heute schon läuft – und wo zwei, drei klare Regeln den Unterschied machen. Sprechen Sie mich an, bevor die Schatten-KI überhand nimmt.