Schatten-KI im Mittelstand.

Was Schatten-KI ist

Schatten-KI ist die Nutzung von KI-Werkzeugen ohne Freigabe der eigenen IT, meist über private Zugänge zu Diensten wie ChatGPT, Gemini oder Claude. Beschäftigte lassen sich Texte formulieren, E-Mails zusammenfassen oder Angebote vorschreiben, oft mit echten Firmendaten. Der Begriff lehnt sich an die ältere Schatten-IT an, also Software, die im Betrieb läuft, ohne dass die IT davon weiß. Der Unterschied: KI ist in Wochen im Arbeitsalltag angekommen, nicht in Jahren, und die Adoption ist hoch. Nach Bitkom setzte erstmals jedes zweite Unternehmen in Deutschland KI ein (Erhebung 2024). Die Nutzung durch Einzelne läuft der offiziellen Einführung dabei voraus.

Datenbasis und Methodik

Diese Analyse stützt sich auf die repräsentative Bitkom-Research-Befragung „Beschäftigte nutzen vermehrt Schatten-KI“, veröffentlicht am 21. Oktober 2025. Befragt wurden 604 Unternehmen in Deutschland ab 20 Beschäftigten, telefonisch, im Zeitraum von Kalenderwoche 27 bis 32 2025. Als Adoptionskontext nutzen wir die Bitkom-Daten zur KI-Nutzung 2024. Wir führen öffentliche Erhebungen zusammen, wir erfinden keine Zahlen und interpolieren keine Werte zwischen Berichtsständen.

Befund 1: Schatten-KI ist im Mittelstand angekommen

Zusammengenommen gehen vier von zehn Unternehmen davon aus, dass ihre Beschäftigten private KI-Zugänge im Arbeitskontext nutzen. In 8 Prozent der Unternehmen ist das nach eigener Einschätzung weit verbreitet, ein Wert, der sich gegenüber 2024 (4 Prozent) verdoppelt hat. Weitere 17 Prozent berichten Einzelfälle, noch einmal 17 Prozent vermuten es, ohne es sicher zu wissen. Die Dunkelziffer dürfte höher liegen, denn nicht jede private Nutzung fällt dem Arbeitgeber auf.

Befund 2: Die Governance-Lücke ist das eigentliche Risiko

Nur 23 Prozent der Unternehmen haben überhaupt Regeln für den Einsatz von KI aufgestellt. Anders gesagt: In mehr als drei von vier Unternehmen nutzen Beschäftigte KI, ohne dass klar ist, was erlaubt ist und was nicht. Genau hier entsteht das Risiko. Wer ein Angebot, eine Kundenmail oder einen Vertragsentwurf in einen privaten KI-Zugang kopiert, gibt Firmen- und womöglich personenbezogene Daten an einen Dienst, mit dem das Unternehmen keinen Auftragsverarbeitungsvertrag hat und dessen Serverstandort oft außerhalb der EU liegt. Das ist kein theoretisches Problem, sondern eine alltägliche Handlung ohne rechtlichen Rahmen.

Befund 3: Warum Verbote nicht wirken

Die naheliegende Reaktion ist ein Verbot. Mehrere Großkonzerne haben das 2023 vorgemacht, darunter untersagten Samsung, JPMorgan und Amazon die Nutzung von ChatGPT im Unternehmen. Doch ein Verbot löst das Problem nur auf dem Papier. Solange Beschäftigte mit KI schneller und besser arbeiten, aber kein freigegebenes Werkzeug bekommen, weichen sie auf private Zugänge aus. Schatten-KI ist deshalb kein Disziplinproblem, sondern ein Angebotsproblem. Wer kein sanktioniertes, DSGVO-konformes Werkzeug bereitstellt, bekommt die unsanktionierte Variante, nur ohne jede Kontrolle.

Was die Daten gemeinsam sagen

Drei Strukturen. Erstens: KI ist in der Breite der Belegschaft angekommen, schneller als die meisten IT-Abteilungen reagieren konnten. Zweitens: Die Governance hinkt hinterher, drei von vier Unternehmen haben keine Regeln, und ein Verbot verschiebt das Problem nur in den Schatten. Drittens: Der Hebel liegt beim Angebot. Ein freigegebenes, europäisch gehostetes KI-Werkzeug mit Zugriff auf das eigene Firmenwissen nimmt der Schatten-KI den Grund, denn dann ist die freigegebene Variante auch die bequemere.

Was das für Unternehmen heißt

Die praktische Konsequenz ist nicht mehr Kontrolle, sondern ein besseres Angebot. Ein interner KI-Assistent, der auf das dokumentierte Firmenwissen zugreift, auf europäischer Infrastruktur läuft und einen Auftragsverarbeitungsvertrag mitbringt, deckt genau die Fälle ab, für die Beschäftigte sonst private Zugänge nutzen. Er ist freigegeben, er ist DSGVO-konform, und er kennt die eigenen Prozesse besser als ein öffentlicher Dienst. So verschwindet nicht die KI-Nutzung, sondern der Schatten daran.

Quellen-Liste

• Bitkom, „Beschäftigte nutzen vermehrt Schatten-KI“ (Pressemitteilung, 21. Oktober 2025, repräsentativ, 604 Unternehmen ab 20 Beschäftigten)
• Bitkom, KI-Nutzung in deutschen Unternehmen (Erhebung 2024)