Schatten-KI und Regulierung: So sichern Sie Ihre KI-Nutzung im Unternehmen

Die digitale Transformation im DACH-Raum schreitet voran, und kuenstliche Intelligenz (KI) spielt dabei eine zunehmend zentrale Rolle. Viele Unternehmen erkennen das Potenzial dieser Technologie zur Steigerung von Effizienz und Innovation. Doch neben den Chancen entstehen auch erhebliche Herausforderungen, insbesondere im Bereich der Compliance, der Datensicherheit und der internen Steuerung. Eine der drängendsten Entwicklungen ist das Phänomen der sogenannten Schatten-KI, also der unautorisierten Nutzung von KI-Tools durch Mitarbeitende. Parallel dazu ziehen die Regulierungsbehörden die Zügel an. Der EU AI Act und das revidierte Schweizer Datenschutzgesetz (DSG) setzen klare Rahmenbedingungen, die Unternehmen nicht ignorieren duerfen. Für den Mittelstand im DACH-Raum bedeutet dies, dass eine proaktive und fundierte KI-Strategie unerlässlich ist, um Risiken zu minimieren und gleichzeitig das volle Potenzial der Technologie verantwortungsvoll zu nutzen.

Das Dilemma der Schatten-KI: Versteckte Risiken im Arbeitsalltag

Das Konzept der Schatten-KI beschreibt die Situation, in der Mitarbeitende KI-Assistenten oder andere KI-Tools nutzen, ohne dass der Arbeitgeber davon Kenntnis hat oder diese Nutzung genehmigt wurde. Eine aktuelle, repräsentative Umfrage unter Berufstätigen in Österreich beleuchtet die Brisanz dieses Themas: Jede sechste Person (17 Prozent) gab an, heimlich KI-Assistenten am Arbeitsplatz zu verwenden. Dies geschieht oft mit der Absicht, die eigene Produktivität zu steigern oder Arbeitsabläufe zu vereinfachen.

Die Kehrseite dieser heimlichen Nutzung ist jedoch erheblich. Unternehmen riskieren massive Datenschutzverletzungen. Sobald vertrauliche Unternehmensdaten, sei es in Form von Kundendaten, internen Strategiepapieren oder geistigem Eigentum, in öffentliche KI-Plattformen eingegeben werden, verlieren die Unternehmen die Kontrolle darueber. Diese Daten koennen dann von den Anbietern der KI-Tools verwendet werden, um ihre Modelle zu trainieren, oder sie koennen im schlimmsten Fall durch Sicherheitsluecken nach aussen gelangen. Robert Kaup, Geschäftsführer von Tieto Austria, warnte bereits eindringlich vor den damit verbundenen Risiken.

Das Fehlen klarer interner Richtlinien ist ein Haupttreiber der Schatten-KI. Die Umfrage zeigte, dass rund ein Viertel der Berufstätigen (24 Prozent) aus diesem Grund ganz auf KI-Assistenten verzichtet. Weitere 42 Prozent nutzen überhaupt keine KI, oft wegen mangelnder Richtlinien oder Misstrauen in die Ergebnisse. Bemerkenswert ist, dass juengere Mitarbeitende im Alter von 16 bis 29 Jahren mit 24 Prozent besonders häufig Schatten-KI einsetzen. Dies deutet auf einen dringenden Handlungsbedarf im Bereich des Change Managements und der Kommunikation hin. Unternehmen im DACH-Raum muessen erkennen, dass ein Verbot der KI-Nutzung oft kontraproduktiv ist. Stattdessen sollten sie sichere, transparente und compliant-konforme Wege aufzeigen, wie Mitarbeitende die Vorteile der KI nutzen koennen, ohne das Unternehmen und dessen Daten zu gefährden.

Regulatorischer Rahmen: EU AI Act und Schweizer DSG als Wegweiser

Die interne Herausforderung der Schatten-KI wird durch einen externen, sich verschärfenden regulatorischen Druck flankiert. Sowohl der EU AI Act als auch das revidierte Schweizer Datenschutzgesetz (DSG) stellen weitreichende Anforderungen an den Einsatz von KI-Systemen.

Der EU AI Act, am 1. August 2024 in Kraft getreten, ist die weltweit erste umfassende KI-Regulierung. Er basiert auf einem risikobasierten Ansatz, der KI-Systeme in verschiedene Kategorien einteilt: von verbotenen Praktiken, wie etwa Social Scoring, ueber Hochrisiko-Systeme bis hin zu Systemen mit geringem Risiko. Für Hochrisiko-KI-Systeme, die beispielsweise im Personalwesen zur Rekrutierung oder bei automatisierten Entscheidungen eingesetzt werden, gelten besonders strenge Vorgaben hinsichtlich Transparenz, menschlicher Aufsicht, Robustheit und Datenschutz. Dies ist besonders relevant fuer Unternehmen, die KI in sensitiven Bereichen einsetzen.

Für Unternehmen im DACH-Raum sind folgende Fristen des EU AI Act von Bedeutung: * Seit 2. Februar 2025 sind die allgemeinen Bestimmungen zu Definitionen und KI-Kompetenz sowie Verbote in Kraft. * Seit 2. August 2025 gelten die Regeln fuer General-Purpose AI (GPAI) und Governance. * Am 2. August 2026 treten die meisten Regeln des AI Act in Kraft und die Durchsetzung beginnt. Ausnahmen bilden Fristverlängerungen für bestimmte Transparenzanforderungen bei generativen KI-Systemen, bis zum 2. Dezember 2026, und für Hochrisiko-KI-Systeme, bis zum 2. Dezember 2027 beziehungsweise 2. August 2028.

Auch wenn die Schweiz keinen eigenen, umfassenden AI Act besitzt, sind Schweizer Unternehmen indirekt vom EU AI Act betroffen. Dies ist der Fall, sobald sie KI-Systeme oder deren Ergebnisse in der EU auf den Markt bringen oder wenn der Output eines KI-Systems in der EU verwendet wird. Das revidierte Schweizer Datenschutzgesetz (revDSG), seit dem 1. September 2023 in Kraft, ist technologieneutral formuliert und findet direkte Anwendung auf KI-gestuetzte Datenbearbeitungen. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat dies in einem aktualisierten Leitfaden vom 8. Mai 2025 noch einmal klar bestätigt.

Das revDSG stellt spezifische Anforderungen an Unternehmen, die KI nutzen: * Auskunftsrecht über automatisierte Einzelentscheidungen (Art. 25 revDSG): Wenn KI-Tools ohne menschliche Zwischenprüfung Entscheidungen treffen, muss die Logik hinter diesen Entscheidungen nachvollziehbar und erklärbar sein. Dies erfordert Transparenz in den Algorithmen und Datenprozessen. * Datenschutz durch Technik und Voreinstellungen (Art. 7 revDSG): KI-Systeme muessen von Anfang an datenschutzkonform gestaltet sein, bekannt als Privacy by Design und Privacy by Default. Dies bedeutet, dass Datenschutz bereits in der Konzeptionsphase Beruecksichtigung findet. * Datenschutz-Folgenabschätzung (DSFA): Bei einem hohen Risiko für die Persönlichkeit oder Grundrechte, insbesondere bei neuen Technologien oder umfangreicher Bearbeitung besonders schützenswerter Daten, ist eine DSFA zwingend erforderlich. Dies betrifft viele KI-Anwendungen, die mit personenbezogenen Daten arbeiten. * Geheimhaltungspflichten: Für bestimmte Berufsgeheimnisträger, wie beispielsweise Anwaltskanzleien, gilt, dass Mandatsdaten nur dann in KI-Tools eingegeben werden duerfen, wenn keine Geheimhaltungspflicht entgegensteht und vertraglich gesichert ist, dass auch die Mitarbeitenden des KI-Anbieters diese Pflichten einhalten.

In der Schweiz wird das Bundesamt für Justiz bis Ende 2026 eine Vernehmlassungsvorlage zur KI-Regulierung erarbeiten. Diese soll notwendige gesetzliche Massnahmen in Bereichen wie Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht festlegen, auch im Lichte der im März 2025 unterzeichneten KI-Konvention des Europarats. Unternehmen muessen diese Entwicklungen genau verfolgen und sich auf künftige Anpassungen einstellen.

Datensouveränität und Vertrauen im Mittelstand

Neben den regulatorischen und internen Herausforderungen spielen auch Fragen der Datensouveränität und des Vertrauens eine entscheidende Rolle, insbesondere im deutschen Mittelstand. Studien zeigen, dass zwei Drittel der kleinen und mittleren Unternehmen (KMU) KI zwar positiv gegenüberstehen, jedoch ein grosses Misstrauen gegenüber Anbietern aus Übersee hegen. Mehr als die Hälfte der KMU fürchtet, dass ihre Daten in den USA oder China landen könnten. Für 36 Prozent der deutschen KMU ist ein Anbieter aus Deutschland oder Europa sogar eine Grundvoraussetzung für die Nutzung einer KI-Lösung. Diese Skepsis ist berechtigt, da der Einsatz externer KI- und Cloud-Dienste nicht die datenschutzrechtliche Verantwortung des nutzenden Unternehmens entbindet, selbst wenn der Cloud-Anbieter als Auftragsbearbeiter agiert.

Die Hauptgründe, die den Mittelstand bei der KI-Adoption hemmen, sind vielschichtig: mangelndes Wissen über konkrete Einsatzbereiche (27 Prozent), Fachkräftemangel (14 Prozent), unzureichende Weiterbildungen (12 Prozent) sowie rechtliche Unsicherheiten (21 Prozent). Die Angst vor Datendiebstahl ist zudem ein europaweites Phänomen, das die Akzeptanz und Implementierung von KI-Lösungen erheblich beeinflusst. Unternehmen im DACH-Raum sind somit nicht nur gefordert, interne Prozesse anzupassen und regulatorische Vorgaben zu erfüllen, sondern auch, Vertrauen aufzubauen und sichere Lösungen zu identifizieren, die den Bedenken hinsichtlich der Datensouveränität Rechnung tragen.

Praktische Handlungsempfehlungen für DACH-Unternehmen

Angesichts dieser komplexen Gemengelage muessen Unternehmen im DACH-Raum proaktiv und strukturiert vorgehen, um das Potenzial von KI sicher und gesetzeskonform zu nutzen:

1. Klare KI-Richtlinien und Governance etablieren: Unternehmen muessen umgehend interne Richtlinien für den Einsatz von KI-Tools entwickeln. Diese Richtlinien sollten festlegen, welche Tools genehmigt sind, welche Arten von Daten eingegeben werden duerfen, und wie mit generierten Ergebnissen umzugehen ist. Eine offene Kommunikation über die Gefahren der Schatten-KI und die Vorteile einer konformen Nutzung schafft Transparenz und Vertrauen bei den Mitarbeitenden. Es ist entscheidend, eine Unternehmenskultur zu fördern, die den sicheren Umgang mit KI als Norm etabliert.

2. Datenschutz als Kernkompetenz integrieren: Die Einhaltung des revDSG beziehungsweise der DSGVO muss von Anfang an in alle KI-Projekte integriert werden. Der Ansatz des Privacy by Design erfordert, dass Datenschutzaspekte bereits in der Planungsphase berücksichtigt werden. Die Rolle des internen oder externen Datenschutzbeauftragten ist hierbei von entscheidender Bedeutung und sollte frühzeitig in den Prozess eingebunden werden. Jeder Verarbeitungsschritt, der personenbezogene Daten betrifft, benötigt eine eindeutige Rechtsgrundlage und eine transparente Dokumentation.

3. Anbieter sorgfältig prüfen und auswählen: Bei der Auswahl von KI-Tools ist nicht allein die Funktionalität ausschlaggebend. Der Datenschutz und die Datensouveränität des Anbieters sind kritische Kriterien. Unternehmen sollten genau prüfen, ob der gewählte Tarif eine Auftragsverarbeitungsvereinbarung (AVV) nach Artikel 28 Absatz 3 DSGVO ermöglicht. Kostenlose Privatkonten bieten diese rechtliche Absicherung oft nicht und sind daher für den Unternehmenseinsatz ungeeignet. Europäische oder sogar DACH-spezifische Anbieter koennen hier Vorteile hinsichtlich der Einhaltung lokaler Datenschutzbestimmungen und der Gewährleistung von Datensouveränität bieten.

4. Mitarbeitende schulen und sensibilisieren (KI-Kompetenz/AI Literacy): Um das Risiko von Datenschutzverletzungen zu minimieren und das Vertrauen in die Technologie zu stärken, sind regelmässige Schulungen zur sicheren und verantwortungsvollen Nutzung von KI unerlässlich. Diese Schulungen sollten nicht nur technische Aspekte abdecken, sondern auch rechtliche und ethische Fragestellungen beleuchten. Initiativen wie Browser-Erweiterungen, die sensible Informationen vor der Eingabe in generative KI-Systeme anonymisieren, koennen als praktische Hilfestellung dienen und die Mitarbeitenden befähigen, KI sicher zu nutzen.

5. Rechtliche Entwicklungen aktiv verfolgen: Die Regulierungslandschaft im Bereich KI ist dynamisch und wird sich weiterentwickeln. Unternehmen muessen die Implementierung des EU AI Act und die Vorbereitung eigener Gesetzesvorschläge in der Schweiz genau beobachten. Insbesondere Hochrisiko-Systeme, etwa im HR-Bereich, erfordern eine detaillierte Auseinandersetzung mit den spezifischen Anforderungen. Eine vorausschauende Anpassung der internen Prozesse und Systeme ist essenziell, um Compliance zu gewährleisten und moegliche Sanktionen zu vermeiden.

Kritische Einordnung aus Kapitel-H-Sicht

Die Integration von kuenstlicher Intelligenz im DACH-Arbeitsmarkt ist keine Frage des Ob, sondern des Wie. Das Potenzial für Effizienzsteigerung, Innovation und Wettbewerbsfähigkeit ist unbestreitbar. Gleichzeitig beobachten wir bei Kapitel H oft eine Zögerlichkeit in den Führungsetagen, die das eigentliche Problem darstellt. Die Angst vor dem Unbekannten oder das Festhalten an etablierten Prozessen bremsen die notwendige Transformation.

Es geht nicht darum, auf jeden Hype aufzuspringen, sondern darum, datenbasiert und pragmatisch zu handeln. Eine Verbotspolitik gegenüber KI ist langfristig nicht tragfähig und fördert die Schatten-KI nur weiter. Stattdessen muessen Unternehmen ihre Mitarbeitenden befähigen, mit KI sicher und verantwortungsvoll umzugehen. Dies erfordert Investitionen in Schulung und die Entwicklung klarer, praktikabler Richtlinien. Der Fokus sollte auf der Schaffung eines Rahmens liegen, der Innovation ermöglicht, ohne die Grundsätze des Datenschutzes und der Datensicherheit zu kompromittieren.

Die Komplexität der neuen Regulatorik, insbesondere des EU AI Act und des revDSG, ist eine Herausforderung, aber auch eine Chance. Sie zwingt Unternehmen dazu, ihre Daten- und KI-Strategien grundlegend zu überdenken. Dies ist der Zeitpunkt, Prozesse nicht nur zu digitalisieren, sondern von Grund auf neu und KI-fähig zu denken. Eine solche „grüne Wiese“-Mentalität erfordert Mut und Weitsicht, bietet aber die Möglichkeit, Geschäftsmodelle neu zu gestalten und Abläufe von Beginn an automatisiert, effizient und sicher aufzusetzen. Nur so koennen DACH-Unternehmen die Vorteile der KI voll ausschöpfen und ihre Wettbewerbsfähigkeit langfristig sichern, ohne in rechtliche oder sicherheitstechnische Fallen zu tappen.

Fazit: Proaktivität als Schluessel zum KI-Erfolg

Die Entwicklungen rund um Schatten-KI und die verschärften Regulierungen durch den EU AI Act und das revidierte Schweizer Datenschutzgesetz zeigen deutlich: Unternehmen im DACH-Raum stehen vor der Notwendigkeit, ihre KI-Strategien dringend zu überdenken und anzupassen. Die unkontrollierte Nutzung von KI-Tools durch Mitarbeitende birgt erhebliche Risiken, während die neuen Gesetze klare Anforderungen an Transparenz, Datenschutz und menschliche Kontrolle stellen.

Wer jetzt proaktiv handelt, interne Richtlinien etabliert, Mitarbeitende schult und bei der Anbieterwahl auf Datensouveränität achtet, sichert nicht nur die Compliance, sondern auch die langfristige Wettbewerbsfähigkeit seines Unternehmens. Zögern ist keine Option. Es ist Zeit, mutig und strategisch die Vorteile der KI zu nutzen und gleichzeitig eine sichere und verantwortungsvolle Unternehmenskultur zu fördern, die sowohl Innovation als auch Compliance gewährleistet. Der Weg ist klar: Befähigung statt Abhängigkeit, Transparenz statt Schattennutzung, und proaktives Management statt reaktiver Problembehebung.