Schatten-KI beschreibt den KI-Einsatz, der in einem Unternehmen tatsächlich stattfindet, ohne dass Geschäftsführung oder IT eine vollständige Übersicht darüber haben. In den meisten kleinen und mittleren Unternehmen ist das inzwischen der Normalfall, und nicht mehr die Ausnahme.

Mitarbeitende nutzen ChatGPT für Texte, Perplexity für Recherche oder Microsoft 365 Copilot für die tägliche Arbeit – oft ohne eine bewusste Entscheidung der Geschäftsführung dahinter. Dazu kommen KI-Funktionen, die längst in vorhandener Software stecken: Lead Scoring im CRM, automatische Textvorschläge im ERP, oder KI-gestützte Automationen über n8n, Make oder Zapier, die E-Mails lesen und Daten klassifizieren - per Workflow.

Das eigentliche Risiko liegt nicht in der Nutzung selbst, sondern in der fehlenden Transparenz. Wer nicht weiß, welche KI-Systeme im eigenen Unternehmen tatsächlich laufen, kann weder die Anforderungen des EU AI Act zuverlässig einordnen noch Datenschutz- und Sicherheitsrisiken realistisch bewerten. Das kann ein ernstes Problem werden!

Für die Geschäftsführung bedeutet das ein doppeltes Haftungsrisiko. Auf der regulatorischen Seite verlangt der EU AI Act eine Einordnung nach Risikoklasse – unabhängig davon, ob eine KI-Anwendung offiziell eingeführt wurde oder informell im Team entstanden ist. Auf der operativen Seite erschwert nicht dokumentierte KI-Nutzung den Nachweis, dass im Ernstfall angemessene Kontrollen bestanden.

Der erste sinnvolle Schritt ist deshalb kein pauschales Verbot, sondern eine strukturierte Bestandsaufnahme: Welche KI-Anwendungen sind im Einsatz, wer nutzt sie, für welche Daten, und mit welchem Automatisierungsgrad? Erst danach lässt sich beurteilen, wo tatsächlich Handlungsbedarf besteht – und wo nicht.

Genau diese Bestandsaufnahme ist der erste Baustein einer strukturierten KI-Governance. Sie kostet deutlich weniger Zeit, als die meisten Geschäftsführer annehmen, wenn sie mit einer klaren Methodik statt mit endlosen Meetings angegangen wird.

Eine strukturierte KI-Inventur ist genau der erste Baustein der AI Act & ISO 42001 Gap Analyse – inklusive Risikobetrachtung und priorisiertem Maßnahmenplan.

Inhalt mit KI Unterstützung erstellt.