Schatten-KI im Unternehmen: Warum Verbote scheitern – und wie Sie die Kontrolle über Ihre Daten behalten

Mitarbeitende nutzen KI längst – meist über frei verfügbare Dienste und private Konten. Dieser Beitrag zeigt an einem alltäglichen Beispiel, welche Unternehmensdaten dabei nach außen wandern, warum Verbote nicht weiterhelfen und wie unsere HELIS-Plattform als vorgeschaltete Schutzschicht produktive KI-Nutzung mit Datenschutz und Geheimnisschutz verbindet.

Ein Nachmittag im IT-Support: Eine Kundeneskalation soll für die Schichtübergabe zusammengefasst werden. Der schnellste Weg führt über einen frei verfügbaren KI-Chat – die Anfrage ist in Sekunden eingetippt:

„Fasse die Eskalation zusammen: Herr Petersen von der Müller Maschinenbau GmbH meldet seit dem 12.03. wiederholte Ausfälle am Server SRV-MUC-07 (10.20.14.3). Laut Vertrag V-2024-118 gilt eine Reaktionszeit von vier Stunden.“

Die Zusammenfassung steht kurz darauf im Chatfenster. Der Vorgang hat Zeit gespart – und nebenbei einen Kundennamen, Vertragskonditionen und Details der eigenen Serverlandschaft an einen externen Dienst übertragen, häufig über ein privates Konto, dessen Bedingungen nie jemand gelesen hat.

Solche Szenen haben einen Namen: Schatten-KI – die Nutzung von KI-Werkzeugen ohne Wissen oder Freigabe des Unternehmens.
Der Begriff lehnt sich an die Schatten-IT an, mit einem entscheidenden Unterschied: Hier wandern nicht nur Werkzeuge an der IT vorbei, sondern Inhalte.
Und das in großem Maßstab: Im Work Trend Index 2024 von Microsoft und LinkedIn gaben 78 Prozent der Beschäftigten, die KI nutzen, an, eigene KI-Werkzeuge mit zur Arbeit zu bringen („Bring Your Own AI“) – in kleinen und mittleren Unternehmen sogar 80 Prozent.

Für Unternehmen ist damit weniger entscheidend, ob Beschäftigte KI nutzen, sondern welche Informationen dabei mitwandern.
Genau hier setzt HELIS an – eine von unserem Tochterunternehmen futino entwickelte Plattform, die als Schutzschicht zwischen Mitarbeitenden und KI-Modellen sitzt und sensible Angaben pseudonymisiert, bevor sie das Unternehmen verlassen.
Wie das funktioniert, zeigen wir weiter unten. Zunächst lohnt ein genauer Blick auf die Eingabe oben – sie führt vor Augen, wie viel in einem einzigen Absatz steckt.

Was in einer einzigen Eingabe steckt

Ein Name und eine Kundenbeziehung. Herr Petersen ist eine identifizierbare Person; sein Name, sein Arbeitgeber und der Vorgang sind personenbezogene Daten. Deren Eingabe in einen KI-Dienst ist eine Verarbeitung im Sinne der DSGVO – sie braucht eine Rechtsgrundlage und in aller Regel einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; je nach Anbieter kommt die Drittlandübermittlung hinzu. Bei einem privaten Konto existiert dieser vertragliche Rahmen nicht.

Eine Vertragsnummer und Konditionen. Reaktionszeiten, Preise und Kalkulationen gehören zu den Informationen, die das Geschäftsgeheimnisgesetz nur schützt, solange das Unternehmen „angemessene Geheimhaltungsmaßnahmen“ nachweisen kann (§ 2 GeschGehG). Fließen solche Angaben ungesteuert in externe KI-Chats, gerät genau dieser Nachweis ins Wanken. Hinzu kommen Vertraulichkeitsvereinbarungen mit dem Kunden selbst – und die unterscheiden nicht danach, ob eine Information an einen Menschen oder an ein KI-Modell weitergegeben wird.

Ein Servername und eine IP-Adresse. Für sich genommen wirken solche Angaben unspektakulär. In Summe ergeben sie ein Bild der eigenen Infrastruktur – Informationen, die in der Informationssicherheit aus gutem Grund als schützenswert gelten. Noch kritischer wird es, wenn in Fehlerprotokollen Zugangsdaten oder API-Schlüssel mitkopiert werden.

Und die Gegenseite? Was der KI-Dienst mit einer Eingabe tut – ob sie gespeichert wird, in das Training künftiger Modelle einfließt, wo sie verarbeitet wird –, hängt von Anbieter, Kontoart und Konfiguration ab. Consumer-Konten räumen den Anbietern regelmäßig weitergehende Rechte ein als Business- oder API-Verträge. Im Arbeitsalltag prüft diese Unterscheidung niemand, der nur schnell ein Ergebnis braucht.

Warum Verbote das Problem verschärfen

Der naheliegende Reflex auf diese Gemengelage ist ein Verbot – oder das Gegenteil: stillschweigende Duldung. Beides scheitert. Ein Verbot nimmt Mitarbeitenden ein Werkzeug, das spürbar Zeit spart, und verlagert die Nutzung auf das private Smartphone – dorthin, wo weder IT noch Datenschutz noch Führungskräfte etwas sehen.
Aus einem gestaltbaren Thema wird ein Dunkelfeld; schon heute räumt laut demselben Work Trend Index gut die Hälfte der KI-Nutzenden ein, den Einsatz bei wichtigen Aufgaben lieber nicht offenzulegen.
Duldung ohne Rahmen bedeutet umgekehrt: Jeder Mitarbeitende entscheidet täglich selbst, welche Unternehmensdaten er welchem Anbieter zu welchen Bedingungen anvertraut.

Die eigentliche Frage lautet deshalb nicht „KI ja oder nein“, sondern: Wie sieht ein Zugang aus, der im Alltag bequemer ist als der Wildwuchs – und zugleich steuerbar bleibt?

Drei Ebenen wirksamer Steuerung

In der Praxis bewährt sich ein Modell aus drei ineinandergreifenden Ebenen.

Die erste Ebene sind Regeln: Eine KI-Richtlinie legt fest, welche Dienste für welche Zwecke und Datenkategorien zulässig sind und wie mit Ergebnissen umzugehen ist.
Die zweite Ebene ist Kompetenz: Seit Februar 2025 verlangt Art. 4 der EU-KI-Verordnung von Unternehmen, die KI einsetzen, ein ausreichendes Maß an KI-Kompetenz ihrer Beschäftigten – Schulungsformate wie unser KI-Führerschein setzen genau hier an. Wer die Tragweite einer Eingabe einschätzen kann, trifft im Alltag bessere Entscheidungen.

Beide Ebenen sind notwendig, teilen aber eine Schwäche: Sie wirken nur, wenn sich im entscheidenden Moment jemand an sie erinnert. Die Richtlinie steht im Intranet – die KI-Nutzung findet woanders statt.
Deshalb braucht es eine dritte, technische Ebene: einen zentralen Zugang, der die Schutzvorgaben nicht nur dokumentiert, sondern im Arbeitsablauf durchsetzt. Genau diese Rolle übernimmt HELIS.

Die technische Ebene: HELIS als Schutzschicht vor dem KI-Modell

Das Prinzip ist einfach: Mitarbeitende arbeiten nicht mehr direkt im Chat des jeweiligen Anbieters, sondern über HELIS – eine zentrale Plattform, die den freigegebenen KI-Modellen vorgeschaltet ist. Jede Eingabe – Text, Dokument oder Fragestellung – wird dort zunächst auf schutzbedürftige Angaben geprüft: Namen und Ansprechpartner, Firmen, Adressen, Vertrags- und Projektdaten, Preise und Kalkulationen, ebenso technische Kennungen wie Server- und Hostnamen, IP-Adressen oder Zugangsdaten. Erkannte Angaben werden pseudonymisiert, also durch neutrale Ersatzwerte ersetzt. Erst diese vorbereitete Fassung erreicht das KI-Modell.

Die Eskalation aus dem Beispiel käme beim KI-Modell so an:

„Fasse die Eskalation zusammen: Herr [Person-1] von der [Kunde-A] meldet seit dem 12.03. wiederholte Ausfälle am Server [Host-1] ([IP-1]). Laut Vertrag [Vertrag-1] gilt eine Reaktionszeit von vier Stunden.“

Die Antwort des Modells wird anschließend automatisch zurückübersetzt: Der Mitarbeitende liest in seiner Zusammenfassung wieder „Herr Petersen“ und „Müller Maschinenbau“ – das Modell selbst hat beide Namen nie gesehen.

Entscheidend ist die Konsistenz der Ersatzwerte: Derselbe Kunde trägt über den gesamten Vorgang hinweg denselben Ersatznamen, ein Projekt bleibt über alle Abschnitte eindeutig zugeordnet, Ansprechpartner, Systeme und Standorte behalten ihre Beziehungen zueinander. Das Modell erhält damit den vollständigen fachlichen Zusammenhang und kann zusammenfassen, formulieren und auswerten wie gewohnt – nur die realen Werte verlassen den kontrollierten Unternehmensbereich nicht.

Was Pseudonymisierung leistet – und was nicht

Pseudonymisierung und Anonymisierung werden im Alltag oft gleichgesetzt, bezeichnen rechtlich aber Verschiedenes. Die DSGVO definiert Pseudonymisierung als Verarbeitung, bei der sich Daten ohne Hinzuziehung zusätzlicher Informationen – der Zuordnungstabelle – keiner Person mehr zuordnen lassen (Art. 4 Nr. 5).
Anders als bei der Anonymisierung bleibt die Zuordnung also erhalten; pseudonymisierte Daten gelten deshalb weiterhin als personenbezogen.
Für den Arbeitsalltag ist genau diese Umkehrbarkeit der Punkt: Nur weil die Zuordnung existiert, lassen sich Ergebnisse zurückübersetzen und im ursprünglichen Zusammenhang weiterverwenden – mit vollständig anonymisierten Daten wäre das nicht möglich.

Rechtlich zählt Pseudonymisierung zu den ausdrücklich anerkannten technischen Schutzmaßnahmen (Art. 32 DSGVO).
Sie senkt das Risiko jeder einzelnen Eingabe erheblich, weil die eigentlich schützenswerten Originalwerte den Anbieter gar nicht erst erreichen.
Sie ersetzt allerdings weder Auftragsverarbeitungsverträge mit den angebundenen Diensten noch eine bewusste Auswahl der freigegebenen Modelle und Verarbeitungswege. Und weil keine automatische Erkennung zu hundert Prozent fehlerfrei arbeitet, bleiben die beiden anderen Ebenen – klare Regeln und geschulte Mitarbeitende – fester Teil des Gesamtkonzepts.

Woran Sie eine tragfähige Lösung erkennen

Wer eine solche Schutzschicht einführen möchte, sollte jedem Anbieter ein paar konkrete Fragen stellen:

• Wo läuft die Erkennung? Innerhalb des eigenen Einflussbereichs – oder als weiterer externer Cloud-Dienst, für den dieselben Fragen gelten wie für die KI-Modelle selbst?
• Wo liegt die Zuordnungstabelle für die Rückübersetzung, und wer hat Zugriff darauf?
• Welche Modelle sind anbindbar – und zu welchen Bedingungen? Auftragsverarbeitung, Hosting-Region, vertraglicher Ausschluss der Trainingsnutzung; lassen sich auch lokal betriebene Modelle einbinden?
• Lassen sich Verarbeitungswege differenzieren, etwa nach Abteilung, Datenkategorie oder Aufgabe?
• Ist die Nutzung nachvollziehbar, ohne in eine Verhaltensüberwachung der Beschäftigten zu kippen? Hier gehören Betriebsrat und Mitbestimmung früh an den Tisch.
• Ist der sichere Weg im Alltag genauso schnell wie der direkte Chat? Wenn nicht, kehrt die Schatten-KI zurück.

HELIS im Überblick

Entlang dieser Anforderungen hat futino die HELIS-Plattform entwickelt. Anbinden lassen sich sowohl Cloud-Dienste wie Azure OpenAI, Google Gemini oder Claude von Anthropic als auch lokal betriebene Sprachmodelle – welche Modelle und Verarbeitungswege freigegeben sind, definiert Ihr Unternehmen. Zuordnungstabelle und Rückübersetzung verbleiben dabei im kontrollierten Bereich.

Entwicklung, technische Anbindung und Einführung kommen aus einer Hand: futino implementiert HELIS in der bestehenden IT-Infrastruktur und begleitet auf Wunsch auch den organisatorischen Rahmen – von der KI-Richtlinie über die Schulung der Mitarbeitenden bis zur Datenschutzdokumentation. Das Ergebnis ist kein weiteres isoliertes KI-Werkzeug, sondern ein steuerbarer Unternehmensprozess.

Fazit

Die Eskalations-E-Mail vom Anfang wird morgen wieder geschrieben – in den meisten Unternehmen mehrfach am Tag. Realistisch ist nicht die Frage, ob solche Inhalte in KI-Chats landen, sondern auf welchem Weg. Wer die ohnehin stattfindende Nutzung in einen Rahmen aus klaren Regeln, geschulter Kompetenz und technischer Durchsetzung überführt, gewinnt beides: die Produktivität moderner KI und die Kontrolle über die eigenen Daten.

Sie möchten das an einem eigenen Beispiel sehen?
In einer Live-Demonstration zeigen wir anhand eines Dokuments aus Ihrem Arbeitsalltag, wie HELIS schutzbedürftige Angaben erkennt, pseudonymisiert und kontrolliert an freigegebene Modelle übergibt.

Vereinbaren Sie einfach einen Termin mit uns.