In den meisten Banken und Versicherern existieren heute zwei KI-Landschaften. Die offizielle: freigegebene Tools, Governance-Board, Nutzungsrichtlinie. Und die reale: Mitarbeitende, die Kundenschreiben, Vertragsklauseln und Analyseaufgaben in private KI-Konten kopieren, weil das offizielle Angebot langsamer, schlechter oder schlicht nicht vorhanden ist. Die zweite Landschaft heißt Schatten-KI. Sie ist das größte unbeherrschte KI-Risiko im Finanzsektor – und sie wächst mit jedem Verbot.
Schatten-KI ist ein Angebotsproblem, kein Disziplinproblem
Die reflexhafte Antwort vieler Häuser ist die Richtlinie: bestimmte Tools sperren, Nutzung untersagen, fertig. Das Ergebnis ist vorhersehbar. Die Arbeit verlagert sich aufs private Handy, aus dem Firmennetz hinaus, vollständig außerhalb jeder Protokollierung. Ein Verbot macht Schatten-KI nicht kleiner. Es macht sie unsichtbar – und damit im DSGVO-Ernstfall nicht mehr eingrenzbar. Wer personenbezogene Kundendaten in einem privaten Consumer-Konto eines Drittanbieters findet, hat kein Tool-Problem. Er hat einen potenziell meldepflichtigen Vorfall.
Der Befund dahinter ist unbequem, aber einfach: Mitarbeitende nutzen Schatten-KI, weil sie produktiver macht. Der Fachbereich hat längst verstanden, was die Technologie kann. Das Problem ist nicht die Neugier der Belegschaft. Das Problem ist ein internes Angebot, das mit dem freien Markt nicht mithält. Fachleute empfehlen deshalb, Schatten-KI zu kanalisieren statt zu verbieten – ein kontrolliertes, geschütztes KI-Setup, das besser ist als der Schleichweg.
Regulatorisch ist das keine Kür. Die KI-Kompetenzpflicht nach Artikel 4 der KI-Verordnung gilt seit Februar 2025 – der Digital Omnibus hat sie sprachlich zur Unterstützungspflicht abgeschwächt, aber nicht gestrichen. Und die Transparenzpflichten greifen zum 2. August 2026. Ein Institut, das nicht weiß, welche KI-Systeme seine Belegschaft faktisch nutzt, kann weder Kompetenz nachweisen noch Transparenz herstellen. Das KI-Inventar, das jede AI-Act-Vorbereitung verlangt, ist ohne einen ehrlichen Blick auf die Schattenlandschaft Fiktion.
Die Antwort auf Schatten-KI ist ein besseres offizielles Angebot
Die Häuser, die das Problem gelöst haben, haben alle denselben Weg genommen: Sie haben ein internes KI-Angebot gebaut, das dem privaten Schleichweg überlegen ist. Drei Eigenschaften entscheiden. Erstens Leistungsfähigkeit – ein Frontier-Modell, nicht die abgespeckte Sicherheitsvariante von vorgestern, denn gegen ein schwaches internes Tool gewinnt immer das private Konto. Zweitens Datensouveränität – EU-Datenresidenz, etwa über Deployments auf Infrastruktur wie AWS Bedrock in Frankfurt, sauberes Berechtigungskonzept, Protokollierung. Drittens Verfügbarkeit im Arbeitsfluss – integriert in E-Mail, Dokumente und Fachverfahren, nicht als isoliertes Chatfenster mit Intranet-Link.
Der Punkt, an dem viele Initiativen dann doch scheitern, ist nicht der Aufbau. Es ist der Betrieb: Modelle aktualisieren, Zugriffe steuern, Nutzung überwachen, Vorfälle behandeln, Dokumentation prüfungsfest halten. Ein internes KI-Angebot ist kein Projekt mit Enddatum, sondern eine Betriebsverantwortung – und genau deshalb bleibt es liegen, wenn niemand sie trägt. Zugespitzt formuliert: Schatten-KI ist der Preis, den ein Haus dafür zahlt, dass es KI einführt, aber nicht betreibt.
Der 90-Tage-Plan gegen die Schattenlandschaft
Erstens ehrlich messen: anonyme Erhebung im Fachbereich, welche Tools tatsächlich genutzt werden und wofür – ohne Sanktionsdrohung, sonst sind die Antworten wertlos. Zweitens das Gegenangebot priorisieren: die drei häufigsten Schatten-Anwendungsfälle zuerst ins offizielle Setup holen, mit einem Modell, das die Nutzer überzeugt. Drittens Regeln mit Augenmaß: klare rote Linien für Kundendaten, kombiniert mit einem erlaubten, guten Weg für alles andere. Verbote ohne Alternative sind Governance-Theater.
Die Frage ist nicht, ob Ihre Belegschaft KI nutzt. Sie tut es. Die Frage ist, ob auf Ihrer Infrastruktur oder auf fremder. Wenn Sie das ändern wollen: Sprechen Sie uns an.
Häufige Fragen zu Schatten-KI
Was ist Schatten-KI?
Schatten-KI bezeichnet die Nutzung nicht freigegebener KI-Tools durch Mitarbeitende – etwa private Consumer-Konten, in die Kundenschreiben, Vertragsklauseln oder Analysedaten kopiert werden. Sie entsteht, wenn das offizielle interne Angebot langsamer, schlechter oder nicht vorhanden ist.
Warum helfen Verbote nicht gegen Schatten-KI?
Verbote verlagern die Nutzung aufs private Handy und aus dem Firmennetz hinaus – vollständig außerhalb jeder Protokollierung. Das Risiko wird nicht kleiner, sondern unsichtbar. Landen personenbezogene Kundendaten in einem fremden Consumer-Konto, droht ein potenziell meldepflichtiger DSGVO-Vorfall.
Wie bekommen Unternehmen Schatten-KI unter Kontrolle?
Durch ein besseres offizielles Angebot: ein leistungsfähiges Frontier-Modell, EU-Datenresidenz mit Protokollierung und Integration in den Arbeitsfluss. Dazu ehrliche Messung der tatsächlichen Nutzung und klare rote Linien für Kundendaten – kombiniert mit einem erlaubten, guten Weg für alles andere.
