Schatten-KI: Wie aus der privaten App ein offizielles Werkzeug wird
Schatten-KI ist die kleine Schwester der Schatten-IT: Mitarbeitende nutzen private KI-Konten für dienstliche Aufgaben, ohne dass die Organisation das geregelt hat. In vier von zehn Unternehmen ist das bekannt oder wird vermutet. Ein Verbot ändert daran wenig. Was wirkt, ist ein offizielles Werkzeug, das mindestens so gut ist wie die private App, dazu wenige klare Regeln, welche Daten in welche KI dürfen, und Ansprechpersonen in den Teams. So wird aus einer verdeckten Nutzung ein sichtbarer Nutzen.
Woran Sie merken, dass es bei Ihnen längst passiert
Schatten-KI fällt selten auf, weil sie funktioniert. Typische Zeichen:
- Protokolle und Zusammenfassungen sind plötzlich in Minuten fertig und klingen anders als früher.
- Anschreiben, Stellenanzeigen und Elternbriefe kommen in auffallend glattem Deutsch.
- Kolleginnen und Kollegen übersetzen Infoblätter in Sprachen, die niemand im Team spricht.
- Jemand fragt, ob ein KI-Abo als Arbeitsmittel erstattet werden kann.
Die Zahlen passen dazu. Nach einer Bitkom-Befragung von 2025 nutzen Beschäftigte in acht Prozent der Unternehmen verbreitet private KI-Werkzeuge für die Arbeit, in 17 Prozent gibt es Einzelfälle, weitere 17 Prozent vermuten es. Einen offiziellen Zugang stellt nur rund ein Viertel der Unternehmen bereit, eigene Regeln für den Einsatz von KI hat knapp jedes vierte.
Warum das in der Sozialwirtschaft besonders zählt
In vielen Branchen geht es bei Schatten-KI um Geschäftsgeheimnisse. Bei Sozialträgern, Kliniken und Beratungsstellen geht es um Menschen: Hilfepläne, Entwicklungsberichte, Pflegedokumentation, Gesundheitsdaten, Personalakten. Für diese Daten gelten besondere Regeln, und viele Beschäftigte unterliegen einer Schweigepflicht.
Ein privates KI-Konto passt dazu nicht. Die Organisation hat mit dem Anbieter keinen Vertrag, weiß nicht, wo die Daten verarbeitet werden, und kann sie bei einem Austritt nicht zurückholen. Je nach Einstellung können Eingaben sogar zum Weiterentwickeln des Modells genutzt werden. Verantwortlich für den Umgang mit den Daten bleibt trotzdem die Organisation, nicht die einzelne Person.
| Privates KI-Konto | Offizieller Zugang | |
|---|---|---|
| Vertrag | keiner mit der Organisation | Vertrag zur Auftragsverarbeitung |
| Eingaben zum Training | je nach Einstellung möglich | vertraglich ausgeschlossen |
| Ort der Verarbeitung | unbekannt | nach Datenstufe gewählt, für sensible Daten in Europa oder im eigenen Haus |
| Überblick | niemand weiß, was genutzt wird | die Organisation kennt Werkzeuge und Nutzung |
| Austritt | Verlauf bleibt im privaten Konto | Zugang endet am letzten Tag |
| Kosten | zahlen die Mitarbeitenden selbst | zahlt die Organisation |
Vertrag
Privates KI-Konto
keiner mit der Organisation
Offizieller Zugang
Vertrag zur Auftragsverarbeitung
Eingaben zum Training
Privates KI-Konto
je nach Einstellung möglich
Offizieller Zugang
vertraglich ausgeschlossen
Ort der Verarbeitung
Privates KI-Konto
unbekannt
Offizieller Zugang
nach Datenstufe gewählt, für sensible Daten in Europa oder im eigenen Haus
Überblick
Privates KI-Konto
niemand weiß, was genutzt wird
Offizieller Zugang
die Organisation kennt Werkzeuge und Nutzung
Austritt
Privates KI-Konto
Verlauf bleibt im privaten Konto
Offizieller Zugang
Zugang endet am letzten Tag
Kosten
Privates KI-Konto
zahlen die Mitarbeitenden selbst
Offizieller Zugang
zahlt die Organisation
Warum ein Verbot allein nicht reicht
Wer einmal erlebt hat, wie viel Zeit KI bei einem Bericht oder einer Übersetzung spart, gibt das nicht wieder auf. Ein Verbot ohne Alternative führt dazu, dass die Nutzung weitergeht, nur nicht mehr sichtbar. Dann fehlt genau das, was die Organisation braucht: der Überblick, welche Daten wohin gehen.
Der bessere Weg ist umgekehrt: erst ein gutes Angebot, dann wenige Regeln.
In 5 Schritten zum offiziellen Werkzeug
- Offen nachfragen. Eine kurze, anonyme Umfrage: Wer nutzt welche KI wofür? Ohne Vorwurf, mit dem Hinweis, dass es um ein besseres Angebot geht. Das Ergebnis zeigt, wo der Bedarf liegt, und meist auch, wie groß er ist.
- Ein offizielles Werkzeug bereitstellen. Mindestens so gut wie die private App, mit geschäftlichem Vertrag und ohne Training auf Ihren Eingaben. Für sensible Daten ein Modell im europäischen Rechtsraum oder im eigenen Haus, beides in einer Oberfläche.
- Drei Regeln statt zwanzig Seiten. Welche Daten in welche KI dürfen (eine Daten-Ampel mit Grün, Gelb und Rot), ein Satz zur Kennzeichnung von KI-Texten, ein Name für Fragen.
- KI-Lotsen in den Teams. Kolleginnen und Kollegen, die sich auskennen, Beispiele aus dem eigenen Alltag zeigen und bei Fragen helfen. Das wirkt mehr als jede Schulung von außen und zählt zur KI-Kompetenz, die die KI-Verordnung von Ihnen verlangt.
- Mitbestimmung und Datenschutz früh einbinden. Die Vertretung der Beschäftigten, der Datenschutzbeauftragte und, wo personenbezogene Daten im Spiel sind, eine Datenschutz-Folgenabschätzung. Danach die neue Verarbeitung ins Verzeichnis aufnehmen.
Nach drei Monaten lohnt ein zweiter Blick: Wird das offizielle Werkzeug genutzt? Wofür? Wo fehlt noch etwas? Wenn die private Nutzung zurückgeht, hat es funktioniert.
Ein Beispiel aus der Jugendhilfe
Ein Träger der Kinder- und Jugendhilfe merkt, dass Fachkräfte Entwicklungsberichte mit einer privaten App vorformulieren. Die Berichte sind gut, aber sie enthalten Namen, Diagnosen und Familiengeschichten.
- Was der Träger tut: Er stellt eine offizielle Oberfläche bereit. Allgemeine Aufgaben wie Elternbriefe, Stellenanzeigen und Schulungsunterlagen laufen über ein leistungsstarkes Modell. Für Berichte gibt es Vorlagen ohne Namen: Das Modell formuliert den Aufbau, die Namen setzt eine Anwendung im eigenen Haus danach ein. Fallakten selbst gehen an kein externes Modell.
- Wer mitmacht: In jedem Team gibt es einen KI-Lotsen. Mit der Mitarbeitervertretung schließt der Träger eine Dienstvereinbarung, der Datenschutzbeauftragte begleitet die Folgenabschätzung.
- Was sich ändert: Die Fachkräfte sparen weiter Zeit, jetzt aber auf einem Weg, den die Leitung kennt und verantworten kann.
Mitbestimmung: früh fragen lohnt sich
Ein offizielles KI-Werkzeug, das Eingaben speichert oder auswertbar macht, ist in der Regel mitbestimmungspflichtig: im Betriebsrat, im Personalrat und in der Mitarbeitervertretung kirchlicher Träger. Das klingt nach Verzögerung, ist aber meist ein Vorteil. Wer die Vertretung früh beteiligt, gewinnt sie oft als Fürsprecher, und die Regeln werden von Anfang an mitgetragen.
In großen und regulierten Organisationen
- Verbund mit mehreren Gesellschaften. Ein gemeinsamer Rahmen und ein gemeinsames Werkzeug für alle Rechtsträger, dazu Lotsen vor Ort. Sonst entstehen in jeder Gesellschaft eigene Lösungen.
- Kirchliche Träger. Eigenes Datenschutzrecht und eigene Mitbestimmung, nach weitgehend gleichen Grundsätzen. Die Mitarbeitervertretung gehört von Beginn an an den Tisch.
- Krankenhäuser. Arztbriefe und Befundberichte sind ein naheliegender Einsatz für KI und zugleich die heikelste Stufe. Hier braucht es klare Wege, damit Patientendaten nicht in private Konten wandern.
- Berufsgeheimnisse. Wo Beschäftigte der Schweigepflicht unterliegen, etwa in Beratung, Pflege und Medizin, muss jeder Dienstleister zur Verschwiegenheit verpflichtet sein. Ein privates Konto erfüllt das nicht.
- Gremien. Vorstand und Aufsicht sollten wissen, welche KI im Haus genutzt wird und nach welchen Regeln. Ein kurzer Bericht im Jahr genügt.
Wie Sie mit uns starten
Der kostenlose Reifegrad-Check zeigt in wenigen Minuten, wo Ihr Haus steht. Im Digital-Kompass (9.900 €) klären wir mit Ihnen, wo KI in Ihren Abläufen etwas bringt, welche Daten dabei berührt sind, welches Werkzeug passt und welche Regeln Ihre Belegschaft braucht. Welche KI-Dienste heute schon genutzt werden, auch die im Browser, zeigt die Standortbestimmung unserer Linie Digitale Souveränität (ab 3.900 € nach Größe).
Häufige Fragen
Vom Team der addonware GmbH, Bereich Prozesse & Systeme. Stand: Oktober 2026.