Schatten-KI in 5 Schritten aufspüren – Ihre Sofort-Checkliste für die erste Bestandsaufnahme
Das Problem: Ihre Mitarbeiter nutzen längst mehr KI, als Sie wissen.
ChatGPT im Browser-Tab, Copilot in der privaten Version, Claude über den Handy-Account, ein KI-Übersetzer im Marketing, ein „kleines Tool“ in der Buchhaltung – Schatten-KI ist die Summe aller KI-Anwendungen, die in Ihrem Unternehmen genutzt werden, ohne dass IT, Datenschutz oder Geschäftsführung davon wissen oder sie freigegeben haben.
Das Risiko ist konkret: unkontrollierte Datenabflüsse, DSGVO-Verstöße, Verletzung des EU AI Act, Compliance-Lücken bei Berufsgeheimnisträgern, urheberrechtliche Grauzonen und Sicherheitslücken durch Prompt-Injection. Wer erst reagiert, wenn ein Vorfall auffliegt, reagiert zu spät.
Das Ziel dieser Checkliste
Am Ende dieser 5 Schritte haben Sie:
- eine belastbare Erstübersicht, welche KI-Tools tatsächlich im Einsatz sind,
- eine Risiko-Klassifizierung pro Tool (grün/gelb/rot),
- eine konkrete Sofort-Maßnahme für jedes rote Tool,
- ein wiederholbares Verfahren für die nächste Bestandsaufnahme in drei Monaten.
Schritt 1: Technische Spuren auswerten – der Blick ins Netzwerk
So gehen Sie vor:
- Lassen Sie Ihre IT die Proxy- und Firewall-Logs der letzten 30 Tage auf Zugriffe zu bekannten KI-Domains prüfen:
chat.openai.com,chatgpt.com,platform.openai.comclaude.ai,anthropic.comgemini.google.com,bard.google.com,aistudio.google.comcopilot.microsoft.com,bing.com/chatperplexity.ai,you.com,poe.commistral.ai,chat.mistral.aihuggingface.co,replicate.com,midjourney.com,runwayml.com,elevenlabs.iodeepl.com/write,notion.so/ai,grammarly.com
- Werten Sie die Browser-Extension-Inventare aus (bei zentral verwalteten Endgeräten via MDM/Intune).
- Prüfen Sie in Microsoft 365 / Google Workspace unter „App-Berechtigungen von Drittanbietern“, welche KI-Apps OAuth-Zugriff auf Postfächer, Drive oder Kalender haben.
- Lassen Sie sich die Ausgabenposten der Kreditkarten und Kostenerstattungen der letzten sechs Monate nach Stichworten wie „AI“, „GPT“, „Copilot“, „Pro-Abo“, „Plus“ durchsuchen.
Achten Sie darauf: Private Nutzung über Mobilfunk und private Accounts taucht in den Logs nicht auf – Schritt 2 füllt diese Lücke.
Schritt 2: Die Belegschaft anonym befragen – der ehrliche Blick
- Versenden Sie eine anonyme Kurzumfrage (max. 5 Minuten Ausfüllzeit) an alle Mitarbeitenden.
- Kommunizieren Sie vorab und ausdrücklich: „Es geht nicht darum, jemanden zu sanktionieren. Es geht darum, Ihnen bessere Werkzeuge sicher bereitzustellen.“
- Nutzen Sie diese fünf Kernfragen:
- Welche KI-Tools nutzen Sie aktuell mindestens einmal pro Woche für berufliche Aufgaben?
- Nutzen Sie diese über einen dienstlichen oder privaten Account?
- Für welche Aufgaben nutzen Sie KI (Texte, Recherche, Code, Übersetzung, Analyse, Bilder, Audio, andere)?
- Geben Sie dabei Kundendaten, Personaldaten, Finanzdaten oder interne Dokumente ein?
- Welches KI-Tool würden Sie sich offiziell freigegeben wünschen?
Am Ende sollte Ihre Antwortquote bei mindestens 60 Prozent liegen – sonst haben Sie ein Vertrauens- oder Kommunikationsproblem, nicht nur ein Schatten-KI-Problem.
Schritt 3: Fachbereiche gezielt interviewen – die Tiefenbohrung
Führen Sie 20-minütige Kurzinterviews mit je einer Ankerperson aus:
| Bereich | Typische Schatten-KI-Muster |
|---|---|
| Marketing/Kommunikation | Bildgeneratoren, Copywriting-Tools, Video-KI |
| Vertrieb | Meeting-Bots, Lead-Scoring, CRM-Add-ons |
| HR/Recruiting | Lebenslauf-Screener, Formulierungs-KI für Anzeigen |
| Buchhaltung/Controlling | Belegerkennung, „ChatGPT für Excel“-Plug-ins |
| IT/Entwicklung | Copilot, Cursor, Codeium, private LLM-APIs |
| Assistenz/Sekretariat | Transkription, Zusammenfassung, Terminplaner |
| Rechtsabteilung | Vertragsanalyse-Tools, KI-Recherche |
Nutzen Sie diese drei Fragen:
- „Zeigen Sie mir Ihre letzten drei Aufgaben, bei denen KI geholfen hat.“
- „Welches Tool hätten Sie gerne, das Sie aktuell nicht haben?“
- „Wo geraten Sie an Grenzen – technisch, rechtlich, ethisch?“
Achten Sie darauf, nicht zu kontrollieren, sondern zu verstehen. Wer sich ertappt fühlt, verschweigt beim nächsten Mal noch mehr.
Schritt 4: Jedes gefundene Tool in die Risiko-Ampel einordnen
Übertragen Sie jedes identifizierte Tool in Ihr Inventar und ordnen Sie es nach diesem Entscheidungsbaum ein:
🟢 Grün – freigeben oder tolerieren
- Anbieter mit Sitz in EU/EWR oder DSGVO-konformem Auftragsverarbeitungsvertrag
- Keine personenbezogenen oder vertraulichen Daten im Prompt
- Enterprise-Account mit deaktiviertem Trainingsdatennutzen
- Nutzung dokumentiert und richtlinienkonform
🟡 Gelb – regeln, aber weiter nutzbar
- Grundsätzlich geeignet, aber ohne AV-Vertrag / ohne Enterprise-Plan
- Genutzt für unkritische Aufgaben (Textentwürfe ohne Kundenbezug, Recherche)
- Sofortmaßnahme: Enterprise-Lizenz beschaffen oder klare Nutzungsregeln definieren
🔴 Rot – sofort stoppen
- Eingabe von Kunden-, Personal-, Gesundheits- oder Geschäftsgeheimnisdaten in Consumer-Tools
- Anbieter außerhalb EU ohne belastbare Rechtsgrundlage
- Tools mit Kategorie „hochriskant“ nach EU AI Act ohne Prüfung
- Nutzung durch Berufsgeheimnisträger (Anwälte, Ärzte, Steuerberater) ohne Freigabe
Am Ende dieses Schrittes haben Sie eine sortierte Liste mit klarer Prioritätenfolge.
Schritt 5: Sofort-Maßnahmen einleiten und den Prozess verstetigen
Innerhalb von 48 Stunden:
- Für jedes 🔴-Tool: schriftliche Nutzungsunterbrechung an die betroffenen Personen, kombiniert mit einer sicheren Alternative („Bitte nutzen Sie ab sofort X statt Y“).
- Sofort-Sperrung auf Netzwerkebene nur, wenn eine gleichwertige freigegebene Alternative bereitsteht – sonst weicht die Nutzung auf Mobilfunk aus, und Sie verlieren die Sichtbarkeit wieder.
Innerhalb von zwei Wochen:
- Vorläufige KI-Nutzungsrichtlinie (1 Seite reicht): erlaubte Tools, verbotene Daten, Meldeweg für neue Wünsche.
- Freigabeprozess für neue KI-Tools aufsetzen (max. 3 Werktage Reaktionszeit – sonst kehrt die Schatten-KI zurück).
Dauerhaft:
- Wiederholen Sie diese 5-Schritte-Checkliste alle drei Monate.
- Ergänzen Sie die Log-Auswertung um automatisierte Alerts auf neue KI-Domains.
- Benennen Sie eine zentrale Ansprechperson für KI-Tools.