Das Wichtigste in Kürze
Das Wichtigste in Kürze- Ein Verbot beendet die Nutzung nicht, es beendet nur die Sichtbarkeit
- Das Risiko ist nicht das Werkzeug, sondern was unkontrolliert hineinkopiert wird
- Wer einen brauchbaren erlaubten Weg anbietet, gewinnt die Nutzung zurück
- Eine Richtlinie auf einer Seite wirkt mehr als ein Regelwerk, das niemand liest
In fast jedem Unternehmen, das wir kennenlernen, wird KI bereits genutzt. Nur nicht offiziell. Die Frage ist deshalb selten, ob man anfangen will, sondern ob man wissen will, was ohnehin passiert.
Warum das Verbot das Problem vergrössert
Die erste Reaktion vieler Führungen ist ein Verbot. Es ist schnell beschlossen und fühlt sich nach Kontrolle an. Was es tatsächlich bewirkt, ist eine Verlagerung: vom Firmenrechner auf das private Handy, vom Firmenkonto auf ein privates.
Der Bedarf bleibt. Wer eine Ausschreibung bis morgen zusammenfassen muss und ein Werkzeug kennt, das das in fünf Minuten kann, wird es nutzen. Das Verbot ändert nur, ob das Unternehmen davon erfährt.
Die Bestandsaufnahme ohne Konsequenzen
Der erste Schritt ist unangenehm und einfach zugleich: fragen. Wer nutzt was, wofür, und was hilft dabei wirklich. Entscheidend ist die Zusicherung, dass aus den Antworten niemandem ein Nachteil entsteht.
Ohne diese Zusicherung bekommt man Schweigen und ein falsches Bild. Mit ihr bekommt man in einer Stunde mehr Erkenntnis als aus jeder technischen Prüfung, weil man nicht nur sieht, was genutzt wird, sondern auch warum.
Der erlaubte Weg muss besser sein
Schatten-KI verschwindet nicht durch Regeln, sondern durch ein besseres Angebot. Wenn der offizielle Weg umständlicher ist als der inoffizielle, gewinnt der inoffizielle, unabhängig von jeder Vorgabe.
Praktisch heisst das: ein freigegebener Zugang mit Vertrag, erreichbar ohne Antragsverfahren, mit klarer Auskunft darüber, was hinein darf und was nicht. Wer drei Wochen auf eine Freigabe wartet, arbeitet in diesen drei Wochen weiter wie bisher.
Eine Seite Richtlinie reicht
Regelwerke von zwanzig Seiten werden nicht gelesen. Was funktioniert, ist eine Seite mit drei Abschnitten: Welche Werkzeuge sind freigegeben, welche Inhalte dürfen nie hinein, und an wen wendet man sich bei Unsicherheit.
- Freigegeben: konkrete Werkzeuge mit Namen, nicht abstrakte Kategorien
- Nie hineinkopieren: Personendaten, Vertragsentwürfe, Lohndaten, Zugangsdaten, Quellcode
- Bei Unsicherheit: eine benannte Person, nicht ein Postfach
- Und der wichtigste Satz: Fragen kostet nichts, Schweigen schon
Was der Prüfer sehen will
Unabhängig von der internen Ordnung gibt es einen zweiten Grund, das Thema anzugehen. Sobald jemand von aussen fragt, sei es im Rahmen einer Zertifizierung, einer Datenschutzprüfung oder einer Kundenanfrage, muss das Unternehmen Auskunft geben können.
Die Antwort, dass man nichts einsetzt, ist in den meisten Fällen schlicht falsch. Und sie ist die schlechteste aller möglichen Antworten, weil sie zeigt, dass das Unternehmen den eigenen Betrieb nicht kennt.
Fazit von Marcel
Das ehrlichste Gespräch zu diesem Thema hatte ich mit einem Geschäftsführer, der überzeugt war, dass in seinem Unternehmen niemand KI nutzt. Wir haben nicht kontrolliert, sondern gefragt, und zwar ohne Konsequenzen. Das Ergebnis war eine deutliche Mehrheit, die regelmässig etwas nutzte, meistens auf privaten Konten. Keiner davon hatte böse Absichten. Alle wollten ihre Arbeit schneller erledigen. Genau das ist der Punkt: Schatten-KI ist kein Disziplinproblem, sondern ein Angebotsproblem.
Marcel Kaschner · Founder & Managing Director, ZAVION
Häufige Fragen
Was ist Schatten-KI genau?
Die Nutzung von KI-Werkzeugen durch Mitarbeitende ohne Wissen und Freigabe des Unternehmens, meistens über private Konten. Der Begriff lehnt sich an Schatten-IT an und beschreibt dasselbe Muster: Menschen lösen ein Problem mit dem, was verfügbar ist, wenn der offizielle Weg fehlt oder zu umständlich ist.
Warum funktionieren Verbote nicht?
Weil sie den Bedarf nicht beseitigen. Wer unter Zeitdruck steht und ein Werkzeug kennt, das hilft, nutzt es weiter, nur unsichtbar. Ein Verbot verlagert die Nutzung auf private Geräte und private Konten, wo das Unternehmen gar keinen Einblick mehr hat. Die Risiken steigen damit, statt zu sinken.
Was ist das eigentliche Risiko?
Nicht das Werkzeug selbst, sondern was hineinkopiert wird. Kundendaten, Vertragsentwürfe, Lohnlisten, Quellcode. In dem Moment, in dem solche Inhalte in ein privates Konto bei einem Anbieter ohne Vertrag gelangen, ist es eine Bekanntgabe, für die es keine Grundlage gibt.
Wie fängt man an?
Mit einer Bestandsaufnahme ohne Konsequenzen. Frag, wer was wofür nutzt, und stell klar, dass daraus niemandem ein Nachteil entsteht. Diese eine Runde bringt mehr Erkenntnis als jede technische Prüfung und ist die Grundlage für alles Weitere.
