Die unsichtbare Welle
Eine Bitkom-nahe Erhebung von Anfang März 2026 hat es deutlich gemacht: 64 % der Beschäftigten in deutschen Mittelständlern nutzen KI-Werkzeuge — ChatGPT, Claude, Perplexity, Copilot — regelmäßig für ihre Arbeit. Etwa drei Viertel davon ohne offizielle Freigabe durch ihren Arbeitgeber.
Das ist Schatten-KI. Und sie ist heute das, was vor zehn Jahren "Schatten-IT" war: ein blinder Fleck mit erheblichen Risiken — und gleichzeitig ein Indikator dafür, dass die offiziellen Werkzeuge nicht ausreichen.
Was real passiert — drei typische Beispiele
Die Beispiele, die wir in Gesprächen mit Geschäftsführern hören, sind erstaunlich konkret:
- →Eine Buchhalterin lädt eine Lohnabrechnungs-Liste in ChatGPT, um eine Auswertung zu bekommen. Die Liste enthält Klarnamen, Bruttogehälter und Steuerklassen.
- →Ein Vertriebsmitarbeiter pastet ein vollständiges Kunden-Angebot mit Preiskalkulation und Margen in Claude, um einen "professionelleren Ton" zu bekommen.
- →Eine Projektassistentin nutzt ChatGPT für Übersetzungen technischer Spezifikationen — inklusive Patentskizzen, die noch nicht angemeldet sind.
In allen drei Fällen verlassen Daten das Unternehmen, ohne dass es jemand bemerkt. Und in allen drei Fällen handelt es sich juristisch um eine DSGVO-Verletzung — möglicherweise mit Meldepflicht innerhalb von 72 Stunden.
Warum Verbote nicht funktionieren
Der Reflex vieler Geschäftsführer ist verständlich: "Dann verbieten wir KI eben." Das funktioniert aus drei Gründen nicht:
- →Die Mitarbeitenden empfinden die Tools als produktivitätssteigernd — und sie haben Recht
- →Ein Verbot lässt sich auf privaten Smartphones nicht durchsetzen
- →Wer KI verbietet, signalisiert: "Wir sind nicht modern" — ein Problem für Recruiting und Retention
Verbote führen dazu, dass die Schatten-KI noch besser versteckt wird. Nicht dazu, dass sie verschwindet.
Was stattdessen funktioniert: Die "Erlaubte Sandkiste"
Wir empfehlen Mittelständlern einen pragmatischen Dreischritt:
1. Sichtbarkeit schaffen
Eine anonyme interne Umfrage — durchgeführt von extern, damit ehrlich geantwortet wird — schafft in 14 Tagen Klarheit darüber, welche Tools wofür eingesetzt werden. Die Ergebnisse sind oft ernüchternd, aber wertvoll.
2. Eine sichere Alternative anbieten
Ein internes GPT-System, das auf Ihren Daten basiert, lokal oder in einer EU-Cloud läuft und keine Daten zum Anbieter exfiltriert, ersetzt 80 % der typischen ChatGPT-Anwendungsfälle. Wir bauen solche Systeme auf Basis von Azure OpenAI oder Mistral-Modellen mit DSGVO-konformer Datenhaltung.
3. Klare Spielregeln plus aktives Coaching
Eine zweiseitige KI-Richtlinie, die in fünfzehn Minuten gelesen ist, plus eine 90-minütige Schulung pro Team. Das reicht in der Praxis aus, um die meisten Risikofälle abzufangen.
Ein Beispiel aus der Hausverwaltung
Eine Münchner Hausverwaltung mit 38 Mitarbeitenden hat im Februar bei sich Schatten-KI auditiert. Ergebnis: 27 von 38 Mitarbeitenden nutzten ChatGPT regelmäßig, davon 19 mit personenbezogenen Mieterdaten.
Wir haben innerhalb von drei Wochen ein internes GPT-System eingeführt, das auf den Mieterstammdaten basiert, lokal in einer Hetzner-Cloud läuft und keine Daten an OpenAI sendet. Sechs Wochen später war die ChatGPT-Nutzung im Büro auf nahezu null gesunken — nicht durch Verbot, sondern durch eine bessere Alternative.
Der wahre Schaden — versteckte Posten
Die direkten Bußgelder sind oft das kleinere Problem. Die wirklich schmerzhaften Posten sind:
- →Vertrauensverlust bei Großkunden, die Auftragnehmer auditieren ("DPA-Audit")
- →Versicherungsausschluss bei Cyber-Policen, wenn Datenabflüsse nicht dokumentiert wurden
- →Verlust von Patentschutz, wenn Erfindungsdetails in Prompts landen — was als Vorveröffentlichung gewertet werden kann
Fazit
Schatten-KI ist keine Fußnote. Sie ist im März 2026 das wahrscheinlich größte ungemessene Compliance-Risiko im deutschen Mittelstand. Wer sie verbietet, verschiebt das Problem. Wer sie sichtbar macht und eine sichere Alternative bietet, gewinnt Produktivität und schließt eine massive Lücke gleichzeitig.
Ihr nächster Schritt
Wir führen für Ihren Betrieb ein anonymes Schatten-KI-Audit durch und zeigen Ihnen in drei Wochen, wo Ihre Daten heute landen — und wie Sie das ändern.
→ Discovery Call buchen und Audit-Termin reservieren.
*NovaData — KI-Lösungen, die intern bleiben. Made in Bavaria.*