Die Zahl, die Geschäftsleitungen überrascht, ist selten die Anzahl der Lizenzen. Es ist die Anzahl der Leute, die schon lange AI nutzen, ohne dass jemand davon weiss. Nicht heimlich im Sinne von böswillig – sondern weil es offiziell nichts gibt und die Arbeit trotzdem gemacht werden muss.

Dafür hat sich der Begriff Schatten-AI eingebürgert, in Anlehnung an Schatten-IT. Und wie bei Schatten-IT gilt: Das Problem ist nicht die Illoyalität der Mitarbeitenden. Das Problem ist, dass ein Bedarf besteht, den die Organisation nicht bedient.

Wie Schatten-AI entsteht

Der typische Ablauf ist unspektakulär. Jemand hat viel zu tun, probiert privat ein AI-Tool aus, merkt, dass eine Aufgabe damit in zehn statt sechzig Minuten erledigt ist, und macht es ab dann so. Erzählt wird es einem Kollegen, der es auch so macht. Nach einem halben Jahr arbeitet ein Teil der Belegschaft mit Werkzeugen, die nie freigegeben wurden.

Die Motivation ist in aller Regel Produktivität, nicht Regelbruch. Das ist wichtig für die Frage, wie man reagiert.

Was daran tatsächlich riskant ist

Vier Dinge, in absteigender Reihenfolge der Tragweite.

Die Vertragslage ist eine andere. Nutzt jemand einen privaten Consumer-Account, gelten die Bedingungen für Privatpersonen. Bei kommerziellen Verträgen – Team-, Enterprise- oder API-Nutzung – werden Firmeninhalte bei den etablierten Anbietern standardmässig nicht zum Training der Modelle verwendet. Bei privaten Accounts hängt genau das von Einstellungen ab, über die niemand im Unternehmen Kontrolle hat. Dieselbe Technologie, völlig andere rechtliche Ausgangslage.

Es gibt keine Spur. Wenn niemand weiss, wer welche Inhalte in welches Tool gegeben hat, lässt sich im Ernstfall nichts rekonstruieren. Kommt eine Frage der Revision, eines Kunden oder einer Aufsichtsstelle, gibt es keine belastbare Antwort. Bei einer Firmenlösung mit Audit-Protokollen gibt es sie.

Das Wissen bleibt bei Einzelpersonen. Wer sich über Monate eine gute Arbeitsweise antrainiert hat, nimmt sie beim Stellenwechsel mit. In einer Firmenlösung lassen sich wiederkehrende Abläufe als wiederverwendbare Fähigkeiten hinterlegen, die alle nutzen. Das ist der unterschätzteste Punkt: Schatten-AI macht einzelne Mitarbeitende schneller, aber nie das Unternehmen.

Qualität ist nicht überprüfbar. Ohne definierten Ablauf schreibt jede Person auf ihre Art. Bei Kundenkommunikation heisst das: fünf Tonalitäten, fünf Qualitätsniveaus, keine gemeinsame Grundlage.

Warum ein Verbot das Falsche ist

Die reflexhafte Reaktion ist eine Weisung, die private AI-Nutzung untersagt. Das hat drei Effekte, von denen zwei unerwünscht sind.

Erstens verschwindet die Nutzung nicht, sie wird nur unsichtbarer. Zweitens verliert ihr die Leute, die intern am weitesten sind – ausgerechnet jene, die ihr für eine spätere Einführung als Champions bräuchtet. Drittens verschafft ihr euch Ruhe auf Kosten eines Rückstands, den Mitbewerber nicht haben.

Ein Verbot ist ausserdem schwer durchzusetzen, wenn auf jedem privaten Telefon ein Browser läuft. Man verbietet damit nicht die Nutzung, sondern das Sprechen darüber.

Was stattdessen wirkt

Der wirksamste Schritt ist unspektakulär: eine offizielle, freigegebene Möglichkeit schaffen, die mindestens so gut ist wie das, was die Leute privat nutzen. Wenn die Firmenlösung schlechter ist als der private Account, gewinnt der private Account – jedes Mal.

Dazu gehören vier Dinge. Firmen-Accounts mit Anmeldung über euer bestehendes System, damit Zugänge beim Austritt automatisch enden. Klare Regeln, welche Datenklassen erlaubt sind und welche nicht – in einer Sprache, die jemand ohne juristische Ausbildung versteht. Zugriff auf eure eigenen Systeme über kontrollierte Verbindungen, damit niemand mehr Daten manuell hineinkopieren muss. Und eine Amnestie: sagt einmal offen, dass bisherige Nutzung kein Thema ist und ihr wissen wollt, was tatsächlich gebraucht wird.

Der letzte Punkt kostet nichts und bringt am meisten. Wir haben mehrfach erlebt, dass in genau diesem Gespräch die besten Use Cases auf den Tisch kamen – von Leuten, die vorher nicht gefragt worden waren.

Ein Zwischenschritt, der sich lohnt

Bevor ihr über Lizenzen entscheidet, klärt eine Frage: Welche Aufgaben erledigen eure Mitarbeitenden heute schon mit AI? Nicht als Kontrolle, sondern als Bestandsaufnahme. Das Ergebnis ist in fast allen Fällen die realistischste Use-Case-Liste, die ihr bekommen könnt – sie stammt nicht aus einer Präsentation, sondern aus dem tatsächlichen Arbeitsalltag.

Genau darauf baut unser Readiness-Check auf. Wir schauen an, was ist, statt zu fragen, was sein könnte.

Wie wir AI-Einführungen begleiten – von der Analyse bis zur Governance →