Shadow AI ist nicht auto­ma­tisch rechts­wid­rig – kri­tisch wird sie, wenn Unter­neh­men die Kon­trol­le über die ein­ge­setz­ten KI-Tools ver­lie­ren. Nut­zen Mit­ar­bei­ten­de nicht frei­ge­ge­be­ne KI-Anwen­dun­gen für geschäft­li­che Auf­ga­ben, lässt sich oft nicht mehr nach­voll­zie­hen, wel­che Daten ver­ar­bei­tet, wohin sie über­mit­telt und wie lan­ge sie gespei­chert wer­den. Genau die­se Kon­troll­lü­cke macht Shadow AI zu einem der am stärks­ten unter­schätz­ten Com­pli­ance-Risi­ken der kom­men­den Jah­re.

Was bedeutet Shadow AI konkret?

Von Shadow AI spricht man, wenn Mit­ar­bei­ten­de KI-Tools wie Chat­bots, Über­set­zungs- oder Text­ge­ne­rie­rungs-Soft­ware ohne Frei­ga­be der IT- oder Com­pli­ance-Abtei­lung nut­zen. Für das Unter­neh­men ist dann oft nicht mehr nach­voll­zieh­bar:

• ✓wel­che Daten ver­ar­bei­tet wer­den
• ✓wohin sie über­mit­telt wer­den
• ✓wie lan­ge sie gespei­chert blei­ben
• ✓ob sie für Modell­trai­ning genutzt wer­den
• ✓wel­che Schutz­maß­nah­men gel­ten

Typische Beispiele aus der Praxis

Shadow AI ent­steht sel­ten aus böser Absicht – meist aus Zeit­druck und dem Wunsch, effi­zi­en­ter zu arbei­ten. Typi­sche Situa­tio­nen, die in vie­len Unter­neh­men längst All­tag sind:

• ✓Ein Ver­triebs­mit­ar­bei­ter lädt eine Kun­den­lis­te in einen öffent­li­chen Chat­bot hoch, um Anschrei­ben zu per­so­na­li­sie­ren.
• ✓Die Per­so­nal­ab­tei­lung nutzt ein KI-Tool zur Vor­auswahl von Bewer­bun­gen, ohne dass IT oder Rechts­ab­tei­lung davon wis­sen.
• ✓Ein Pro­jekt­team lässt inter­ne Stra­te­gie­pa­pie­re von einer KI zusam­men­fas­sen, deren Ser­ver außer­halb der EU lie­gen.
• ✓Ein Kun­den­ser­vice-Mit­ar­bei­ter fügt Sup­port-Tickets in ein KI-Tool ein, um Ant­wort­ent­wür­fe zu gene­rie­ren – inklu­si­ve per­so­nen­be­zo­ge­ner Daten der anfra­gen­den Kun­din­nen und Kun­den.

In allen vier Fäl­len wirkt die Nut­zung harm­los – recht­lich betrach­tet kön­nen jedoch Daten­schutz­ver­stö­ße, der Ver­lust von Geschäfts­ge­heim­nis­sen oder unge­prüf­te Hoch­ri­si­ko-Anwen­dun­gen im Sin­ne des EU AI Act ent­ste­hen.

Die wichtigsten rechtlichen Risiken

1. Datenschutz (DSGVO)

Auch beim Ein­satz von KI gilt die Daten­schutz-Grund­ver­ord­nung unein­ge­schränkt. Unter­neh­men benö­ti­gen unter ande­rem eine Rechts­grund­la­ge für die Ver­ar­bei­tung, geprüf­te Dienst­leis­ter, siche­re Pro­zes­se und gege­be­nen­falls eine Daten­schutz-Fol­gen­ab­schät­zung.

2. Geschäftsgeheimnisse

Wer­den ver­trau­li­che Kun­den­in­for­ma­tio­nen, tech­ni­sche Doku­men­te oder inter­ne Stra­te­gien unkon­trol­liert in exter­ne KI-Sys­te­me ein­ge­ge­ben, kann der recht­li­che Schutz als Geschäfts­ge­heim­nis gefähr­det wer­den.

3. EU AI Act

Seit 2. Febru­ar 2025 müs­sen Unter­neh­men für aus­rei­chen­de KI-Kom­pe­tenz ihrer Mit­ar­bei­ten­den sor­gen. All­ge­mei­ne Hin­wei­se rei­chen dabei nicht aus – Schu­lun­gen müs­sen zum jewei­li­gen Tool, zur Rol­le und zum Ein­satz­zweck pas­sen.

4. Personalentscheidungen

KI-Sys­te­me für Recrui­ting, Bewer­ber­aus­wahl oder Mit­ar­bei­ter­be­wer­tung kön­nen als Hoch­ri­si­ko-Anwen­dun­gen im Sin­ne des EU AI Act gel­ten. Die ent­spre­chen­den Pflich­ten grei­fen nach aktu­el­ler Rechts­la­ge ab 2. August 2026.

Das eigent­li­che Risi­ko liegt damit nicht im Tool selbst, son­dern in der feh­len­den Kon­trol­le dar­über.

Die Frist ist nicht theo­re­tisch: Ab August 2026 grei­fen für Hoch­ri­si­ko-Sys­te­me zusätz­li­che Pflich­ten, und bereits jetzt dro­hen bei Daten­schutz­ver­stö­ßen emp­find­li­che Buß­gel­der. Wer heu­te kei­nen Über­blick über die ein­ge­setz­ten KI-Tools hat, soll­te die­sen so schnell wie mög­lich schaf­fen – bevor eine Behör­de, ein Kun­de oder ein Daten­vor­fall die Kon­troll­lü­cke sicht­bar macht.

Was Unternehmen jetzt brauchen

• ✓ein Inven­tar aller KI-Tools und Use Cases
• ✓kla­re Regeln für erlaub­te Daten und Anwen­dun­gen
• ✓eine recht­li­che und tech­ni­sche Anbie­ter­prü­fung
• ✓defi­nier­te Rol­len und Frei­ga­be­pro­zes­se
• ✓risi­ko­ba­sier­te Schu­lun­gen
• ✓doku­men­tier­te Ent­schei­dun­gen und Nach­wei­se

Eine all­ge­mei­ne Ver­bots­mail reicht nicht aus. Ent­schei­dend ist eine Gover­nan­ce-Struk­tur, die die rea­le Nut­zung sicht­bar macht und klar zwi­schen zuläs­si­gen, ein­ge­schränk­ten und unzu­läs­si­gen Anwen­dun­gen unter­schei­det.

Betriebswerk unterstützt Sie bei

• ✓KI-Inven­ta­ri­sie­rung und Use-Case-Bewer­tung
• ✓Ent­wick­lung unter­neh­mens­spe­zi­fi­scher KI-Richt­li­ni­en
• ✓Auf­bau eines KI-Manage­ment­sys­tems nach ISO/IEC 42001
• ✓Schu­lun­gen zur EU AI Act-Kon­for­mi­tät
• ✓Daten­schutz-Fol­gen­ab­schät­zung für KI-Anwen­dun­gen

Wissen Sie, welche KI-Tools Ihre Mitarbeitenden nutzen?

Machen Sie Ihre Shadow AI sicht­bar, bevor dar­aus ein Datenschutz‑, Com­pli­ance- oder Haf­tungs­pro­blem wird.

Kon­tak­tie­ren Sie die Exper­ten von Betriebs­werk für eine fun­dier­te Erst­be­ra­tung und machen Sie den Ein­satz von KI in Ihrem Unter­neh­men rechts­si­cher.

🌐 www.betriebswerk.at
📞 +43 1 34 80 455
✉️