Wenn Mitarbeitende KI heimlich nutzen: Was Unternehmen jetzt ändern sollten

In vielen Unternehmen wird über KI-Nutzung gesprochen, als ließe sie sich einfach erlauben oder verbieten. In der Praxis ist die Situation komplizierter.

Beschäftigte nutzen KI beispielsweise, um E-Mails zu formulieren, Dokumente zusammenzufassen, Ideen zu strukturieren oder Texte sprachlich zu überarbeiten. Manche Anwendungen sind offiziell freigegeben. Andere werden ausprobiert, weil sie schneller erreichbar oder aus dem privaten Umfeld bekannt sind.

Der Bitkom berichtete 2025, dass Beschäftigte in vielen Unternehmen private KI-Tools wie ChatGPT verwenden. In acht Prozent der befragten Unternehmen war Schatten-KI weit verbreitet, in weiteren 17 Prozent gab es Einzelfälle.

Warum Mitarbeitende ihre KI-Nutzung nicht offenlegen

Verdeckte Nutzung entsteht nicht immer aus bewusster Regelverletzung. Häufig kommen mehrere Faktoren zusammen.

Unklare Regeln: Wenn nicht klar ist, welche Anwendungen erlaubt sind, welche Daten eingegeben werden dürfen und wann Ergebnisse geprüft werden müssen, entscheiden Beschäftigte im Alltag selbst.

Angst vor Bewertung: Wer KI zur Vorbereitung einer E-Mail oder zur Strukturierung eines Dokuments nutzt, möchte möglicherweise nicht als weniger leistungsfähig gelten. Andere befürchten, dass jede KI-Nutzung als Täuschung oder als Gefahr für den eigenen Arbeitsplatz bewertet wird.

Fehlende Zugänge und Lernangebote: Ein Unternehmen kann die Nutzung privater Tools untersagen. Wenn gleichzeitig kein praktikabler, freigegebener Zugang zu geeigneten Anwendungen bereitsteht, bleibt das zugrunde liegende Arbeitsproblem jedoch bestehen.

Eine Richtlinie erklärt außerdem, was erlaubt oder verboten ist. Sie erklärt noch nicht automatisch, wie Beschäftigte KI sinnvoll einsetzen, Ergebnisse prüfen oder vertrauliche Informationen schützen.

Warum pauschale Verbote oft nicht ausreichen

Ein Verbot kann für bestimmte Anwendungen und Datenarten notwendig sein. Es löst aber nicht automatisch die Frage, warum Beschäftigte KI verwenden.

Wenn das Ziel lediglich lautet, jede Nutzung zu unterbinden, bleiben Fehler und Datenschutzrisiken möglicherweise unsichtbar. Außerdem erfährt das Unternehmen nicht, welche Aufgaben Beschäftigte bereits mit KI bearbeiten.

Das bedeutet nicht, dass Unternehmen jede Nutzung akzeptieren sollten. Kontrolle funktioniert jedoch besser, wenn sie mit nachvollziehbaren Regeln, sicheren Werkzeugen und praktischer Befähigung verbunden wird.

Was Unternehmen jetzt konkret tun können

1. Nutzung sichtbar machen: Ermitteln Sie, für welche Aufgaben KI bereits genutzt wird, welche Anwendungen zum Einsatz kommen und wo Unsicherheiten oder Fehler entstehen. Dabei geht es zunächst um Muster, nicht um die Suche nach einzelnen Schuldigen.
2. Anwendungsfälle konkret beschreiben: Allgemeine Aussagen wie „KI darf genutzt werden“ helfen im Alltag wenig. Beschreiben Sie stattdessen erlaubte und nicht erlaubte Beispiele, etwa für Textentwürfe, Zusammenfassungen, Brainstormings oder den Umgang mit vertraulichen Daten.
3. Verantwortlichkeiten festlegen: Klären Sie, wer ein Tool verwenden darf, welche Daten verarbeitet werden dürfen, wer Ergebnisse prüft und wann die Nutzung dokumentiert werden muss. Die Verantwortung bleibt beim Unternehmen und bei den zuständigen Personen.
4. KI-Kompetenz nach Rollen entwickeln: Mitarbeitende benötigen andere Kenntnisse als Führungskräfte, IT-Verantwortliche oder Governance-Stellen. Inhalte sollten deshalb an Aufgaben, Vorwissen, Einsatzkontext und Risiken angepasst werden.
5. Einen sicheren Meldeweg schaffen: Beschäftigte sollten Unsicherheiten, versehentlich eingegebene vertrauliche Informationen und neue sinnvolle Anwendungsfälle melden können. So lassen sich Risiken früh erkennen und gute Anwendungen kontrolliert weiterentwickeln.

Vom Misstrauen zur Lernkultur

Eine glaubwürdige interne Kommunikation könnte so beginnen:

Entscheidend ist, dass dieser Satz durch das tatsächliche Verhalten der Führung bestätigt wird. Wer Offenheit fordert, aber jede Unsicherheit sofort sanktioniert, wird keine verlässlichen Informationen erhalten.

Für den Einstieg reichen drei Fragen:

1. Wo wird KI in unserem Unternehmen wahrscheinlich bereits genutzt?
2. Welche Anwendungen sind hilfreich, riskant oder noch unklar?
3. Welche freigegebenen Werkzeuge, Regeln und Lernangebote fehlen derzeit?

Aus den Antworten lässt sich ein realistischer nächster Schritt ableiten: ein klar abgegrenzter Pilot, eine überarbeitete Nutzungsregel oder ein rollenbezogenes Weiterbildungsangebot.

Fazit

Verdeckte KI-Nutzung ist ein Warnsignal. Sie zeigt häufig, dass die Lücke zwischen technischer Möglichkeit und organisatorischer Realität größer ist, als die offiziellen Regeln vermuten lassen.

Unternehmen brauchen deshalb klare Grenzen und eine Kultur, in der Fragen gestellt und Unsicherheiten früh angesprochen werden können.

Wer nur verbietet, verliert Sichtbarkeit. Wer nur freigibt, unterschätzt die Risiken. Verantwortungsvolle KI-Nutzung entsteht dort, wo sichere Werkzeuge, verständliche Regeln, praktische KI-Kompetenz und menschliche Verantwortung zusammengeführt werden.

Quellen und weiterführende Informationen

• EU-Kommission: Fragen und Antworten zur KI-Kompetenz
• Bitkom: Beschäftigte nutzen vermehrt Schatten-KI
• BSI: Generative KI und ihre Risiken