Woran Sie stille KI-Nutzung erkennen
E-Mails, die plötzlich zwei Register förmlicher klingen als ihr Absender. Zusammenfassungen, die verdächtig schnell fertig sind. Texte mit Formulierungen, die niemand im Haus so sagen würde. Das ist keine Anklage — es ist ein gutes Zeichen: Ihre Mitarbeitenden haben selbst herausgefunden, dass ihnen diese Werkzeuge Arbeit abnehmen. Sie tun es nur ohne Regeln, ohne passende Konten und ohne dass Sie davon wissen.
„Schatten-KI" heißt dieses Muster — in Anlehnung an die „Schatten-IT" der 2010er-Jahre, als Teams sich Dropbox und WhatsApp-Gruppen zulegten, weil die offiziellen Wege zu umständlich waren. Die Lehre von damals gilt heute wieder: Der Bedarf ist real, nur der Kanal ist der falsche.
Warum Verbote scheitern
Ein Verbot beendet nicht die Nutzung, sondern nur die Sichtbarkeit. Die Werkzeuge laufen im Browser und auf dem privaten Handy — es gibt keinen Schalter, mit dem Sie sie aus der Welt schaffen. Wer verbietet, bekommt die Nutzung ohne jede Kontrolle: keine Regeln, welche Daten tabu sind, keine Firmenkonten, kein Ansprechpartner für Fragen. Das Risiko wird durch das Verbot größer, nicht kleiner.
Selbst der oft zitierte Radikalfall zeigt das: Samsung untersagte 2023 nach einem Vorfall mit vertraulichem Quellcode die Nutzung generativer KI auf Firmengeräten — und arbeitete zugleich an sicheren, internen Alternativen. Die Antwort auf den Vorfall war nicht „nie wieder KI", sondern „KI über den richtigen Kanal".
Die Frage ist nicht, ob in Ihrem Betrieb KI genutzt wird. Die Frage ist, ob Sie die Bedingungen kennen, unter denen es passiert.
Die echten Risiken
Datenabfluss ins Training: In privaten Gratis-Konten können Eingaben standardmäßig ins Training des Anbieters einfließen. Kundendaten in einem privaten Konto sind damit doppelt problematisch — es fehlt der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, und die Daten verlassen unkontrolliert das Haus. Die Details dazu stehen in ChatGPT im Betrieb.
Vertraulichkeit: Kalkulationen, Verträge, Personalthemen — was in ein privates Konto wandert, ist Ihrer Kontrolle entzogen, selbst wenn nie etwas „passiert". Im Zweifel können Sie nicht einmal sagen, welche Informationen betroffen wären.
Qualität ohne Netz: Ohne Freigabe-Prinzip gehen KI-Formulierungen ungeprüft an Kunden raus. Der Schaden ist selten juristisch — aber ein Angebot mit erfundenen Details kostet Vertrauen, das Sie mühsam aufgebaut haben.
Der bessere Weg: legalisieren statt jagen
Schritt eins: fragen statt suchen. Eine offene Runde — wer nutzt was, wofür, wie oft? Ohne Konsequenzen für die Antworten. Sie werden überrascht sein, wie viel Erfahrung schon im Haus ist; das sind Ihre künftigen Multiplikatoren.
Schritt zwei: einen offiziellen Kanal schaffen. Ein Geschäftstarif mit Auftragsverarbeitungsvertrag für die Werkzeuge, die das Team ohnehin nutzt. Damit ist der wichtigste Unterschied zur Schatten-Nutzung bereits hergestellt: Die Daten fließen über einen Vertrag, nicht über ein privates Konto.
Schritt drei: Regeln auf eine Seite bringen. Welche Daten dürfen hinein, was wird geprüft, bevor es rausgeht, wer ist Ansprechpartner. Die Gliederung dafür steht im Beitrag KI-Richtlinie für den Betrieb. Übrigens: Die bloße Erlaubnis samt Nutzungsregeln löst nach dem Beschluss des Arbeitsgerichts Hamburg vom Januar 2024 (Az. 24 BVGa 1/24) für sich genommen noch kein Mitbestimmungsrecht des Betriebsrats aus — früh einbinden sollten Sie ihn trotzdem.
Schritt vier: die stärksten Anwendungsfälle ausbauen. Was die Kollegen heimlich gut gelöst haben, wird zum offiziellen Standard — und die besten Fälle sind Kandidaten für echte Automatisierung, wie in Angebote in 6 statt 40 Minuten beschrieben.
Häufige Fragen
Sollte ich prüfen, wer bisher was eingegeben hat?
Nach vorn schauen bringt mehr. Eine rückwirkende Fahndung vergiftet die offene Runde, auf die Sie angewiesen sind. Wichtig ist, dass ab jetzt klare Regeln und die richtigen Konten existieren.
Was, wenn jemand die Regeln ignoriert?
Erst verstehen, dann durchgreifen: Meist ist der offizielle Weg umständlicher als der heimliche — dann liegt das Problem im Kanal, nicht in der Person. Wenn der offizielle Weg gut ist und trotzdem umgangen wird, ist es ein Führungsthema wie jeder andere Regelverstoß auch.
Kostet der offizielle Kanal nicht deutlich mehr?
Geschäftstarife kosten üblicherweise einen niedrigen zweistelligen Betrag pro Person und Monat. Verglichen mit dem Risiko unkontrollierter Kundendaten in Privatkonten ist das die günstigste Versicherung, die Sie abschließen können.
Grundlagen in diesem Beitrag: Art. 28 DSGVO (Auftragsverarbeitung); Beschluss des Arbeitsgerichts Hamburg vom 16. Januar 2024 (24 BVGa 1/24); § 87 Abs. 1 Nr. 6 BetrVG; Berichterstattung zum Fall Samsung/ChatGPT aus dem Jahr 2023. Ersetzt keine Rechtsberatung im Einzelfall.