Ein Ingenieur lässt sich beim Programmieren unterstützen. Ein Kollege muss eine Präsentation vorbereiten. Statt lange an Formulierungen zu feilen, lässt er ChatGPT einen ersten Entwurf erstellen. Eine weitere Beschäftigte nutzt KI, um eine komplizierte Excel-Formel zu verstehen. Die Arbeit geht schneller, die Ergebnisse stimmen. Was die Vorgesetzten nicht wissen: Bei den Aufgaben war künstliche Intelligenz im Spiel.
KI-Tools sind längst kein Fremdwort im Arbeitsalltag mehr. Allerdings nicht immer auf offiziellen Weg: Beschäftigte greifen auf ChatGPT und andere Anwendungen zurück, obwohl ihre Unternehmen keine klaren Regeln dafür aufgestellt haben oder bestimmte Tools sogar untersagen. Fachleute sprechen von Schatten-KI. Doch warum nutzen Mitarbeitende solche Anwendungen heimlich?
Was ist Schatten-KI überhaupt?
Schatten-KI ist eine Sonderform der Schatten-IT, wobei sich Mitarbeitende hier eigenständig Informationssysteme beschaffen, entwickeln oder in Betrieb nehmen, ohne die IT-Abteilung des Unternehmens in Kenntnis zu setzen. Bei Schatten-KI ist das Prinzip ähnlich: Beschäftigte setzen generative KI im Arbeitskontext ein, ohne dass die Nutzung offiziell bekannt oder freigegeben ist. Beispiele sind ChatGPT für E-Mails, Claude für die Auswertung von Dokumenten oder KI-Coding-Assistenten für Programmieraufgaben.
Entscheidend ist dabei, ob die verwendeten Anwendungen vom Unternehmen freigegeben wurden. Während offiziell zugelassene KI-Tools in der Regel bestimmten Datenschutz- und Sicherheitsvorgaben unterliegen, fehlt bei eigenständig genutzten Anwendungen häufig eine entsprechende Prüfung durch die IT-Abteilung.
Manche Unternehmen erlauben die Verwendung eigener KI-Tools, andere haben bislang keine verbindlichen Regeln aufgestellt. Problematisch wird es insbesondere dann, wenn Beschäftigte gegen interne Vorgaben verstoßen oder vertrauliche Unternehmensdaten in nicht freigegebene Anwendungen eingeben.
KI nutzen ohne Wissen des Arbeitgebers
Künstliche Intelligenz gehört für viele Beschäftigte inzwischen zum Arbeitsalltag. Laut einer repräsentativen Bitkom-Umfrage vom April 2026 nutzen 48 % der Erwerbstätigen in Deutschland KI bei der Arbeit. 8 % setzen die Technologie täglich ein, weitere 18 % mindestens einmal pro Woche. Allerdings geschieht die Nutzung nicht immer mit Wissen des Arbeitgebers: 12 % der beruflichen KI-Nutzenden geben an, dass ihr Arbeitgeber davon nichts weiß.
Noch weiter verbreitet ist die Nutzung von KI-Anwendungen, die Unternehmen selbst nicht bereitstellen. Das zeigt eine Untersuchung des Instituts der deutschen Wirtschaft (IW) vom September 2026. Demnach verwenden 29,1 % der Beschäftigten, die KI beruflich einsetzen, entsprechende Tools. Besonders häufig ist das bei jüngeren Beschäftigten der Fall: Unter den KI-Nutzenden unter 30 Jahren liegt der Anteil bei 38,4 %, bei den über 55-Jährigen dagegen bei 20,7 %.
Allerdings bedeutet die Verwendung eigener KI-Tools nicht automatisch, dass Beschäftigte gegen Vorschriften verstoßen oder ihre Nutzung bewusst verheimlichen. Manche Unternehmen dulden solche Anwendungen, andere haben noch gar keine verbindlichen Regeln aufgestellt. Laut einer Forsa-Umfrage im Auftrag des TÜV-Verbands berichten 54 % der Beschäftigten, dass es an ihrem Arbeitsplatz weder konkrete KI-Regeln noch ein ausdrückliches Verbot gibt, auch entsprechende Schulungen würden in vielen Unternehmen fehlen.
Dass Beschäftigte ihre KI-Nutzung tatsächlich verbergen, zeigt eine internationale Untersuchung der University of Melbourne und KPMG aus dem Jahr 2025. In der Befragung von mehr als 48.000 Menschen in 47 Ländern gaben 57 % der befragten Beschäftigten an, ihre KI-Nutzung zu verheimlichen und KI-generierte Arbeit als eigene auszugeben. 44 % berichteten, KI zumindest gelegentlich entgegen Unternehmensrichtlinien verwendet zu haben. Die Zahlen lassen sich aufgrund unterschiedlicher Fragestellungen nicht unmittelbar mit den deutschen Ergebnissen vergleichen. Sie verdeutlichen aber, dass die Nutzung von KI am Arbeitsplatz längst nicht immer transparent erfolgt.
Warum Beschäftigte KI heimlich nutzen
Warum Beschäftigte KI bei der Arbeit einsetzen, ohne ihre Vorgesetzten oder die IT-Abteilung zu informieren, kann unterschiedliche Gründe haben. Manche wollen unter Zeitdruck Aufgaben schneller erledigen, andere greifen auf eigene Anwendungen zurück, weil ihr Arbeitgeber keine geeigneten KI-Tools bereitstellt. Auch unklare Unternehmensregeln können dazu führen, dass Beschäftigte KI nutzen, ohne zu wissen, ob dies überhaupt erlaubt ist.
Hinzu kommt die Angst vor negativer Bewertung. Eine 2025 in der Fachzeitschrift PNAS veröffentlichte Studie mit mehr als 4400 Teilnehmenden zeigt, dass Menschen, die KI bei der Arbeit einsetzen, von anderen teilweise als weniger kompetent, fleißig und motiviert wahrgenommen werden. Die Forschenden stellten außerdem fest, dass Beschäftigte solche Bewertungen befürchten und deshalb weniger bereit sind, ihre KI-Nutzung offenzulegen.
Wer ChatGPT nutzt, um schneller oder besser zu arbeiten, könnte also gleichzeitig befürchten, dadurch bei Vorgesetzten oder Kolleginnen und Kollegen schlechter dazustehen.
Wenn vertrauliche Unternehmensdaten bei ChatGPT landen
Ein Ingenieur lädt eine interne technische Spezifikation bei ChatGPT hoch, um einen Fehler analysieren zu lassen. Was Zeit spart, kann für den Arbeitgeber zum Sicherheitsrisiko werden. Denn neben Programmcode können auch Kundendaten, Vertragsentwürfe oder Informationen über neue Produkte in externe KI-Systeme gelangen. Besonders beim Programmieren kann unkontrolliert eingesetzter KI-Code zusätzliche Sicherheitsrisiken verursachen.
Wie groß das Risiko ist, hängt von der Anwendung ab. Bei privaten KI-Accounts können Eingaben je nach Anbieter und Einstellungen auch zum Training der Modelle verwendet werden. Business-Versionen bieten meist zusätzliche Datenschutz- und Sicherheitsfunktionen. Intern betriebene KI-Systeme ermöglichen Unternehmen dagegen mehr Kontrolle darüber, wo und wie Daten verarbeitet werden.
Werden vertrauliche Informationen ohne ausreichende Schutzmaßnahmen weitergegeben, können Datenschutz, Geschäftsgeheimnisse und IT-Sicherheit betroffen sein. Dass das kein rein theoretisches Risiko ist, zeigte sich 2023 bei Samsung: Beschäftigte hatten unter anderem internen Quellcode in ChatGPT eingegeben. Das Unternehmen schränkte daraufhin die Nutzung generativer KI-Dienste ein.
Dürfen Arbeitgeber KI im Büro verbieten?
Grundsätzlich dürfen Arbeitgeber festlegen, welche KI-Anwendungen Beschäftigte für ihre Arbeit nutzen dürfen. Sie können beispielsweise ChatGPT untersagen oder die Nutzung auf bestimmte, vom Unternehmen freigegebene Tools beschränken. Grundlage dafür ist das arbeitsrechtliche Weisungsrecht nach § 106 Gewerbeordnung. Besteht ein Betriebsrat, können bei der Einführung und Ausgestaltung entsprechender Regeln Mitbestimmungsrechte greifen.
Wer trotz eines ausdrücklichen Verbots KI-Anwendungen verwendet, riskiert arbeitsrechtliche Konsequenzen. Je nach Schwere des Verstoßes kommen eine Abmahnung oder in besonders schweren Fällen auch eine Kündigung infrage. Besonders kritisch ist es, wenn dabei personenbezogene Daten oder Geschäftsgeheimnisse weitergegeben werden. Hier greifen unter anderem die Datenschutz-Grundverordnung (DSGVO) und das Geschäftsgeheimnisgesetz.
Auch der EU AI Act spielt eine Rolle: Seit Februar 2025 müssen Unternehmen, die KI-Systeme einsetzen, Maßnahmen ergreifen, um ein ausreichendes Maß an KI-Kompetenz bei den betroffenen Beschäftigten sicherzustellen. Eine generelle Pflicht, ChatGPT zu erlauben oder zu verbieten, ergibt sich daraus allerdings nicht.
Warum KI-Verbote das Problem nicht lösen
Ein pauschales KI-Verbot muss nicht dazu führen, dass Beschäftigte auf ChatGPT und andere Anwendungen verzichten. Stattdessen besteht die Gefahr, dass sie die Tools weiterhin nutzen, ihre Verwendung aber bewusst verheimlichen. Damit verlieren Unternehmen den Überblick darüber, welche Anwendungen eingesetzt und welche Daten verarbeitet werden.
Wenn Unternehmen keine geeigneten KI-Tools bereitstellen oder Freigabeprozesse zu kompliziert sind, suchen sich Beschäftigte möglicherweise eigene Lösungen. Unternehmen brauchen klare Regeln, sichere Alternativen und Schulungen, die vermitteln, welche Daten in KI-Systeme eingegeben werden dürfen und wo die Risiken liegen.
Dabei geht es nicht nur um Datenschutz und IT-Sicherheit. Unternehmen müssen auch dafür sorgen, dass Beschäftigte KI sinnvoll und verantwortungsvoll einsetzen können. KI-Kompetenz wird damit zunehmend zu einer organisatorischen Aufgabe – und nicht allein zur Verantwortung einzelner Mitarbeitender.
Um Schatten-KI einzudämmen, sollten Unternehmen nicht allein auf Verbote setzen. Sinnvoller ist es, geprüfte KI-Anwendungen bereitzustellen und klare Regeln für den Umgang mit vertraulichen Daten festzulegen. Schulungen helfen Beschäftigten, Risiken zu erkennen und KI verantwortungsvoll einzusetzen. Gleichzeitig sollten neue Anwendungen unkompliziert zur Prüfung vorgeschlagen werden können. Ein offener Umgang mit KI-Nutzung kann zudem verhindern, dass Mitarbeitende ihre Arbeitsweise bewusst verheimlichen.
Denn nicht jede heimliche KI-Nutzung führt automatisch zu einem Sicherheitsvorfall. Sie kann aber ein Hinweis darauf sein, dass Beschäftigte neue Technologien schneller in ihren Arbeitsalltag integrieren, als Unternehmen verbindliche Regeln dafür schaffen.
Ein Beitrag von:
