EU AI Act · Compliance · Schulung

Schatten-KI im Unternehmen: Was Geschäftsführer jetzt wissen müssen

„Ein Verbot versteckt das Problem nur"

3. August 2026 · Lesezeit 5 Minuten

Mitarbeitende nutzen KI-Tools längst, oft ohne Wissen der Geschäftsführung. Was das rechtlich und operativ bedeutet und warum die Antwort Kompetenz statt Kontrolle heißt, erklärt KI-Beraterin Maria Gaytandzhieva.

In mehr als 4 von 10 deutschen Unternehmen greifen Mitarbeitende mit privaten Accounts auf Tools wie ChatGPT zu – oder die Geschäftsführung vermutet es zumindest. Außerhalb der Firmen-IT, meist ohne Regeln.

Eine aktuelle Bitkom-Erhebung zeigt dasselbe Bild aus Sicht der Beschäftigten: 48 Prozent der Erwerbstätigen setzen KI bei der Arbeit ein, 12 Prozent davon ohne Wissen ihres Arbeitgebers. Gleichzeitig verlangt die EU-KI-Verordnung seit Februar 2025 von Unternehmen ein ausreichendes Maß an KI-Kompetenz bei allen Beschäftigten, die KI einsetzen, und dieses muss im Zweifel belegt werden können. Bislang haben nur 21 Prozent der Erwerbstätigen eine KI-Fortbildung ihres Arbeitgebers genutzt.

Maria Gaytandzhieva, KI-Beraterin und Gründerin von MGayt Consulting in Düsseldorf, kennt dieses Muster aus der Praxis und hat eine klare Haltung dazu.

Du bist regelmäßig in Unternehmen und führst Schulungen durch. Wann merkst du, dass Schatten-KI längst Realität ist, bevor der Geschäftsführer davon weiß?

Meistens kommt es im Workshop raus. Die Mitarbeitenden erzählen ganz offen, dass sie KI seit Monaten im Alltag nutzen. Nicht verboten, aber auch nicht geregelt. Der Geschäftsführer ist dann gleich doppelt überrascht: dass es überhaupt passiert, und was dabei alles schiefgehen kann. Den Mitarbeitenden selbst war das Risiko nicht bewusst, sie haben einfach ein nützliches Werkzeug benutzt. Das ist kein böser Wille. Das ist eine Regelungslücke.

Welches Risiko unterschätzen Unternehmen am stärksten?

Das Sichtbarste ist der Qualitätsverlust. Ohne Anleitung entstehen Ergebnisse, die unzuverlässig oder schlicht falsch sind, und die trotzdem weiterverwendet werden. Das merkt man manchmal erst, wenn der Schaden schon da ist. Was die meisten aber noch weniger auf dem Schirm haben: Datenschutz, Datenleck, Haftung. Diese Risiken treten mit Verzögerung auf. Firmendaten, die heute in ein externes KI-System fließen, können morgen ein DSGVO-Problem sein. Bis dahin hat niemand einen Zusammenhang hergestellt.

Wenn Mitarbeitende ohne Anleitung mit KI arbeiten, entstehen Ergebnisse, die unzuverlässig oder schlicht unbrauchbar sind.

Viele Unternehmen reagieren mit einem Verbot. Warum greift das nicht?

Weil die Nutzung trotzdem stattfindet, nur dann wirklich im Verborgenen. Ein Verbot ohne Alternative löst das Problem nicht, es versteckt es nur. Was hilft, ist ein bewusster, verantwortungsvoller Umgang mit KI. Mitarbeitende müssen verstehen, was KI kann und was nicht, welche Daten sie teilen dürfen und welche nicht, wie sie Ergebnisse kritisch einordnen. Das ist der erste Schritt, bevor man über Tools, Prozesse oder Richtlinien spricht.

Was umfasst eine pragmatische KI-Governance für ein Unternehmen mit 20 bis 100 Mitarbeitenden wirklich?

Weniger als die meisten denken, aber mehr als ein PDF im Intranet. Es geht darum, sich ernsthaft mit KI im eigenen Kontext auseinanderzusetzen: Wo nutzen wir sie bereits? Wo könnte sie echten Mehrwert stiften? Welche verbindlichen Regeln brauchen wir? Der häufigste Fehler ist, sofort auf ein Tool zu springen. Ich empfehle den umgekehrten Weg: erst verstehen, was KI für das eigene Geschäft bedeutet, dann entscheiden, welche Tools und welche Regeln dazu passen.

Seit Februar 2025 gilt die Pflicht zur KI-Kompetenz. Wie viele Unternehmen wissen das überhaupt?

Erschreckend wenige. Und selbst wer es weiß, unterschätzt, was ausreichend wirklich bedeutet. Das Gesetz schreibt nicht vor, in welchem Format oder Umfang geschult werden muss. Das klingt nach Spielraum, ist aber eine Falle. Manche lösen es mit einem kurzen Video, das direkt danach vergessen wird. Das ist keine Kompetenz, das ist eine Checkbox. Was wirklich zählt: KI-Nutzung muss zur Gewohnheit werden, nicht zur Pflichtübung. Wer das jetzt nicht strukturiert angeht, bewegt sich in einer rechtlichen Grauzone und gibt Wettbewerbern, die es richtig machen, einen klaren Vorsprung.

Was kann ein Geschäftsführer, der sich hier wiedererkennt, noch diese Woche konkret tun?

Ein Gespräch führen. Kein Projekt, kein Budget, keine Taskforce. Ein ehrliches Gespräch, intern mit dem Team oder extern, in dem man hinschaut: Wo wird KI bei uns bereits genutzt? Was fehlt, damit das sicher und sinnvoll passiert? Meistens zeigt sich dabei sehr schnell, wo KI sofort entlasten kann. Und was geregelt werden muss.

Das dauert keine Woche. Das dauert eine Stunde.

Maria Gaytandzhieva ist KI-Beraterin und Gründerin von MGayt Consulting in Düsseldorf. Sie begleitet kleine und mittlere Unternehmen von der ersten Bestandsaufnahme bis zum nachhaltigen KI-Einsatz im Unternehmen.

Erstgespräch buchen

Das Interview führte James, der KI-Agent von MGayt Consulting.