Shadow AI im Unternehmen: Wenn Mitarbeitende KI längst nutzen – bevor die IT bereit ist

Shadow AI ist in vielen Unternehmen längst Realität: Mitarbeitende nutzen generative KI, bevor klare Richtlinien und Governance-Strukturen etabliert sind. Der Artikel zeigt, warum Verbote nicht ausreichen und wie sich Geräteverwaltung und Managed AI sinnvoll verbinden lassen.

Die Einführung von KI hat längst begonnen – nur oft ohne offiziellen Startschuss

Ein Vertriebsmitarbeiter lässt sich nach einem Kundentermin seine Gesprächsnotizen von einem KI-Assistenten zusammenfassen. Eine Kollegin aus der Personalabteilung analysiert Bewerbungsunterlagen mit einem Chatbot. Im Marketing entstehen erste Kampagnen mit generativer KI, während die Entwicklungsabteilung eigene KI-Agenten testet.

Die wenigsten Unternehmen haben diese Nutzung offiziell eingeführt.

Sie ist einfach entstanden.

Nicht, weil Mitarbeitende Regeln umgehen wollen, sondern weil KI ihre Arbeit spürbar erleichtert. Wer mit wenigen Prompts Zeit spart oder schneller zu besseren Ergebnissen kommt, wird diese Werkzeuge nutzen – unabhängig davon, ob bereits eine Unternehmensrichtlinie existiert.

Für IT-Abteilungen verändert das die Ausgangslage grundlegend. Die Frage lautet längst nicht mehr, ob künstliche Intelligenz im Unternehmen eingesetzt wird. Sondern wie sich ihr Einsatz sicher, nachvollziehbar und datenschutzkonform gestalten lässt.

Shadow AI ist die neue Schatten-IT

IT-Verantwortliche kennen dieses Muster.

Neue Technologien verbreiten sich fast immer schneller als die Prozesse, die ihren sicheren Einsatz regeln.

Vor einigen Jahren waren es private Cloud-Speicher, Messenger oder File-Sharing-Dienste. Unternehmen mussten lernen, diese neue Realität nicht durch Verbote, sondern durch klare Governance zu beherrschen.

Mit generativer KI wiederholt sich dieses Muster.

Ob ChatGPT, Claude, Gemini oder spezialisierte KI-Anwendungen: Mitarbeitende entscheiden häufig selbst, welches Werkzeug sie für ihre Aufgaben einsetzen. Das geschieht auf Firmenlaptops genauso wie auf verwalteten Smartphones oder privaten Endgeräten.

Das Problem ist deshalb nicht das Gerät.

Das Problem ist, dass Unternehmen häufig nicht wissen, welche KI genutzt wird, welche Daten verarbeitet werden und welche Regeln dabei gelten.

Diese unkontrollierte Nutzung wird als „Shadow AI“ bezeichnet – eine neue Form der Schatten-IT.

Warum Verbote selten funktionieren

Die erste Reaktion lautet häufig: ChatGPT sperren.

Doch in der Praxis löst das das eigentliche Problem kaum.

Wer einen Dienst im Unternehmensnetzwerk blockiert, verhindert nicht automatisch dessen Nutzung. Mitarbeitende greifen über alternative KI-Anwendungen, den Browser oder ihr Smartphone darauf zu.

Die KI verschwindet nicht.

Sie verschwindet lediglich aus dem Blickfeld der IT.

Damit entstehen neue Risiken:

• Sensible Unternehmensdaten gelangen in öffentliche KI-Modelle.
• Verschiedene Teams nutzen unterschiedliche Werkzeuge ohne gemeinsame Standards.
• Datenschutz- und Compliance-Vorgaben lassen sich nur schwer nachvollziehen.
• Verantwortlichkeiten bleiben unklar.
• Unternehmenswissen verteilt sich auf zahlreiche isolierte Anwendungen.

Die eigentliche Herausforderung lautet deshalb nicht „KI verhindern“, sondern „KI kontrolliert ermöglichen“.

Ähnliche Erfahrungen machen Unternehmen bei der Absicherung mobiler Arbeitsplätze: Zu strenge Vorgaben können dazu führen, dass Mitarbeitende auf unkontrollierte Alternativen ausweichen. Entscheidend ist daher eine mobile Sicherheitsrichtlinie, die Sicherheit und Benutzerfreundlichkeit miteinander verbindet.

Unternehmen müssen heute zwei Governance-Aufgaben lösen

Der digitale Arbeitsplatz besteht heute aus zwei Ebenen.

1. Die Endgeräte

Smartphones, Tablets und Notebooks müssen abgesichert, verwaltet und aktuell gehalten werden. Viele Unternehmen setzen dafür bereits auf Mobile Device Management (MDM). Andere befinden sich noch in der Einführung oder evaluieren entsprechende Lösungen.

2. Die Nutzung künstlicher Intelligenz

Selbst das am besten verwaltete Endgerät beantwortet nicht automatisch Fragen wie:

• Welche KI-Modelle dürfen genutzt werden?
• Welche Daten dürfen an externe Modelle übermittelt werden?
• Wer darf eigene KI-Agenten entwickeln?
• Wie werden Datenschutzvorgaben eingehalten?
• Wie lässt sich der KI-Einsatz im Sinne des EU AI Acts dokumentieren?

Hier setzt eine Managed-AI-Strategie an.

Sie ergänzt die Geräteverwaltung um Regeln für den sicheren und nachvollziehbaren Einsatz künstlicher Intelligenz.

Beide Bereiche verfolgen dasselbe Ziel – sie lösen jedoch unterschiedliche Aufgaben.

Wie eng KI-Nutzung, Geräteverwaltung und Datenschutz bereits miteinander verbunden sind, zeigt beispielsweise der Einsatz von Apple Intelligence auf Firmen-iPhones.

Was Unternehmen jetzt brauchen

Ob ein Unternehmen bereits Mobile Device Management nutzt oder nicht, ist ein wichtiger Faktor. Gleichzeitig reicht Geräteverwaltung allein heute nicht mehr aus.

Entscheidend ist, dass sowohl Geräte als auch KI-Anwendungen Teil einer gemeinsamen Governance-Strategie werden.

Dazu gehören beispielsweise:

• klare Rollen und Berechtigungen,
• zentral definierte Sicherheitsrichtlinien,
• die kontrollierte Bereitstellung von Anwendungen,
• Transparenz über die Nutzung,
• die Unterstützung von Datenschutz- und Compliance-Anforderungen.

Unternehmen müssen dafür nicht jede Technologie vollständig neu denken. Viele Governance-Prinzipien, die sich bereits bei Geräten und Anwendungen bewährt haben, lassen sich sinnvoll auf den Einsatz generativer KI übertragen.

Dazu zählt beispielsweise die zentrale Definition von Richtlinien. Mit einer MDM-Plattform für iOS, Android und macOS können Unternehmen Sicherheitsvorgaben, Anwendungen und Gerätekonfigurationen zentral verwalten.

Praxisbeispiel: Geräteverwaltung und Managed AI sinnvoll kombinieren

Wie sich Geräteverwaltung und KI-Governance sinnvoll ergänzen, zeigt die Zusammenarbeit von Cortado Mobile Solutions und Aiverti.

Beide Lösungen verfolgen unterschiedliche Schwerpunkte, greifen jedoch in der Praxis nahtlos ineinander: Während Cortado Unternehmen bei der Verwaltung mobiler Endgeräte unterstützt, ermöglicht Aiverti als eigenständige Managed-AI-Plattform die kontrollierte Nutzung generativer KI unter Berücksichtigung von Datenschutz und Compliance.

Der Mehrwert entsteht gerade durch das Zusammenspiel beider Ansätze – auch ohne technische Integration.

Unternehmen können beide Lösungen flexibel kombinieren oder unabhängig voneinander einsetzen und so ihre Governance schrittweise erweitern.

Eine detaillierte Einordnung dazu, wie Managed AI und Mobile Device Management zusammenwirken, finden Sie in unserem Leitfaden zu Managed AI.

Fazit: Shadow AI braucht keine Verbote – sondern Governance

Generative KI wird sich in Unternehmen genauso etablieren wie Smartphones, Cloud-Dienste oder mobile Apps.

Die entscheidende Frage ist nicht, ob Mitarbeitende KI nutzen.

Sie lautet, ob Unternehmen dafür einen klaren Rahmen schaffen.

Dazu gehören zwei Bausteine: die sichere Verwaltung der Endgeräte und die kontrollierte Nutzung künstlicher Intelligenz. Je nach Ausgangssituation kann das bedeuten, bestehende MDM-Strukturen um Managed AI zu ergänzen oder beide Themen parallel anzugehen.

Gerade bei privaten Endgeräten zeigt sich, wie wichtig das Zusammenspiel aus Akzeptanz, Transparenz und technischen Richtlinien ist. Der Beitrag „BYOD und MDM: So stärkt Mobile Device Management Ihre mobile Strategie“ beleuchtet diesen Ansatz ausführlicher.

Unternehmen, die Geräteverwaltung und KI-Governance gemeinsam denken, schaffen die Grundlage für einen modernen digitalen Arbeitsplatz, an dem Innovation und Sicherheit kein Widerspruch sind.

Sie ermöglichen ihren Mitarbeitenden den produktiven Einsatz generativer KI – und behalten gleichzeitig Transparenz, Datenschutz und Compliance im Blick.