Schatten-KI: nicht gemeldete Nutzung erkennen und regeln

Ihre Daten fließen ab, ohne dass jemand es entschieden hat. Das ist das wahrscheinlichste Risiko. Je nach Vertrag kann das, was in ein frei verfügbares Werkzeug eingegeben wird, zur Verbesserung des Dienstes verwendet werden. Die ANSSI, die französische Behörde für Cybersicherheit, sagt es unmissverständlich: Die Übermittlung sensibler Daten an frei verfügbare Werkzeuge im Internet „ist zu unterlassen“ (April 2024).

Ihre Entscheidungen beruhen auf Ergebnissen, die niemand geprüft hat. Eine falsche Antwort kommt mit derselben Sicherheit wie eine richtige. Ist das Werkzeug nicht bekannt, weiß niemand, dass gegengelesen werden muss.

Sie hängen von einem Werkzeug ab, das Sie nicht kontrollieren. Ein Prozess kann am Ende vom privaten Konto eines Beschäftigten abhängen. Verlässt diese Person das Unternehmen oder ändert das Werkzeug seine Bedingungen, steht der Prozess still.

Sie können Ihre Pflichten nicht erfüllen. Die EU-KI-Verordnung verlangt von Unternehmen, Maßnahmen zur Förderung der KI-Kompetenz ihrer Teams zu ergreifen. Sie können niemanden in einem Werkzeug schulen, von dessen Existenz Sie nichts wissen. Siehe unsere Seite zur KI-Verordnung für KMU.

Schatten-KI zu erkennen heißt nicht, Beschäftigte zu überwachen. In Frankreich muss jede Einrichtung zur Kontrolle der Tätigkeit in einem angemessenen Verhältnis zu ihrem Zweck stehen. In Unternehmen mit mindestens 50 Beschäftigten unterliegt sie der vorherigen Information und Anhörung des Comité social et économique (der Arbeitnehmervertretung). In jedem Fall muss sie den Beschäftigten vor ihrer Einführung bekannt gegeben werden. Die CNIL, die französische Datenschutzbehörde, hält eine dauerhafte Überwachung in der Regel für übermäßig und nennt den Keylogger als Beispiel für eine unverhältnismäßige Einrichtung (Merkblatt vom 9. Juli 2026). Eine Software, die ohne Wissen der Beschäftigten installiert wird, um ihre KI-Nutzung zu erkennen, würde diese Bedingungen nicht erfüllen.

Drei Quellen genügen.

Die Bedingungen für ehrliche Antworten

Kündigen Sie an, dass die Bestandsaufnahme zu keiner Sanktion führt. Sagen Sie, wie die Antworten der Geschäftsführung vorgestellt werden. Stellen Sie das Vorgehen als Vorbereitung freigegebener Werkzeuge dar, nicht als Ermittlung.

Bei Optim-AI ist Schatten-KI Teil des KI-Audits: ab 9 Tagen Einsatz über höchstens drei Monate. Wir ermitteln die Werkzeuge, die ohne Freigabe der Geschäftsführung eingeführt wurden, bewerten die Daten, die darin verarbeitet werden, und übersetzen jedes Risiko in eine Gegenmaßnahme.

Wir arbeiten mit Fragebögen und Gesprächen mit den Teams. Die Fragebögen sind nicht anonym. Für die Analyse ordnen wir die Nutzungen nach Funktion und nach Team: wer was macht, mit welchem Werkzeug, mit welchen Daten. Das ist die Grundlage unseres Audit-Vorgehens.

Die Ergebnisvorstellung für die Geschäftsführung ist anonym. Niemand wird darin namentlich genannt oder kenntlich gemacht. In der Ergebnisvorstellung werden kleine Teams zusammengefasst, damit niemand identifizierbar ist. Sie dient dazu, Regeln festzulegen und Werkzeuge auszuwählen, nicht dazu, zu sanktionieren.

Sie erhalten unter anderem:

• eine Übersicht der tatsächlichen KI-Nutzung, gemeldet und nicht gemeldet;
• eine Bestandsaufnahme der sensiblen Daten und ihrer Gefährdung;
• eine Liste der Risiken, geordnet nach Schwere und Wahrscheinlichkeit;
• KI-Nutzungsregeln, die zum Lesen geschrieben sind und in die Arbeitsordnung aufgenommen werden können;
• einen Gegenmaßnahmenplan, gestaffelt über 3, 6 und 12 Monate.

Der Plan gehört Ihnen: Sie können ihn mit uns, mit einem anderen Dienstleister oder allein umsetzen.