Schatten-KI: Daten und Zuständigkeiten im KMU klären

Was ist Schatten-KI?

Schatten-KI bezeichnet die Nutzung von KI-Werkzeugen im Arbeitsalltag, die das Unternehmen weder freigegeben hat noch kennt. Der Begriff lehnt sich an «Shadow IT» an. Zwei hypothetische Beispiele: Eine Mitarbeiterin in der Buchhaltung formuliert Mahnungen mit einem privaten Chatbot-Konto. Ein Verkäufer lässt sich ein Kundengespräch vorbereiten und fügt dafür Kundendaten ein.

Für die AXA KMU-Arbeitsmarktstudie 2025 befragte Sotomo vom 3. bis 10. März 2025 300 KMU in der deutsch- und französischsprachigen Schweiz. 34 Prozent gaben an, KI bewusst in Arbeitsprozesse integriert zu haben. 37 Prozent erproben sie. Von den Unternehmen, die KI einsetzen, verfügt laut AXA ein Drittel über eine klare Datenschutzregelung dafür. Den Umfang nicht freigegebener Nutzung misst die Studie nicht.

Verarbeiten, speichern, trainieren: drei Vorgänge

Jeder KI-Dienst verarbeitet eine Eingabe, um zu antworten. Ob er sie speichert, wie lange, und ob sie in das Training künftiger Modelle fliesst, sind getrennte Fragen. Die Antwort hängt von Produkt, Tarif, Einstellungen, Vertrag und Verarbeitungszweck ab. Die Übersicht fasst Herstellerangaben zusammen (Stand der Herstellerseiten: Januar bis September 2026, abgerufen am 20. September 2026).

Die Übersicht ist keine Vertrags- oder Datenschutzprüfung. Bedingungen ändern sich. Prüfen Sie vor einer Freigabe den aktuellen Stand und Ihren eigenen Vertrag. Entscheidend ist, mit welchem Konto und Tarif gearbeitet wird.

Datenschutz und Verträge

Normtext. Das revidierte Datenschutzgesetz gilt seit dem 1. September 2023. Nach Art. 9 DSG kann die Bearbeitung von Personendaten vertraglich einem Auftragsbearbeiter übertragen werden, wenn die Daten so bearbeitet werden, wie der Verantwortliche es selbst dürfte, und keine Geheimhaltungspflicht die Übertragung verbietet. Art. 16 DSG regelt die Bekanntgabe ins Ausland. Der EDÖB hält fest, dass das Gesetz auf KI-gestützte Datenbearbeitungen direkt anwendbar ist (Mitteilung vom 8. Mai 2025).

Einordnung. Ob eine konkrete Nutzung zulässig ist, hängt von den Daten, dem Produkt, dem Vertrag und dem Zweck ab. Diese Prüfung gehört zu Ihrer Datenschutzberatung. Bei Kundenverträgen und Geheimhaltungsvereinbarungen entscheidet der jeweilige Vertragstext, ob ein KI-Dienst als Dritter gilt. Die Prüfebenen für Anbieter beschreibt der Beitrag KI-Anbieter im Ausland: Datenzugriff und Verantwortung prüfen.

Wer welche Aufgabe hat

• Geschäftsleitung: legt Datenklassen und Regeln fest, gibt Werkzeuge frei, stellt Budget für Geschäftskonten bereit und benennt eine zuständige Person.
• IT: richtet Konten und Einstellungen ein (Training, Aufbewahrung, Anmeldung), prüft Anbieterbedingungen und führt die Liste der freigegebenen Werkzeuge.
• Verwaltungsrat: fragt im Rahmen der Oberaufsicht nach, ob Regeln bestehen und wie berichtet wird. Die Werkzeugliste selbst ist Sache der Geschäftsleitung.

Vier Bausteine für die Praxis

1. Freigaben. Führen Sie eine kurze Liste freigegebener Werkzeuge, je mit erlaubter Datenklasse (öffentlich, intern, vertraulich). Richten Sie einen einfachen Antragsweg für neue Werkzeuge ein, mit einer Antwortfrist von wenigen Tagen. Ein Verbot ohne Alternative kann die Nutzung auf private Konten verlagern.

2. Schulung. Eine Stunde genügt für den Anfang. Inhalt: welche Daten in welches Werkzeug dürfen, der Unterschied zwischen Privat- und Geschäftskonto, die wichtigsten Einstellungen, zwei bis drei Beispiele aus dem eigenen Betrieb.

3. Meldeweg. Benennen Sie eine Stelle, bei der Mitarbeitende eine heikle Eingabe melden können, ohne Schuldzuweisung. Tempo zählt: Art. 24 DSG verlangt bei einer Verletzung der Datensicherheit mit voraussichtlich hohem Risiko für die Betroffenen eine Meldung an den EDÖB so rasch als möglich. Ob ein Vorfall darunter fällt, beurteilt Ihre Datenschutzberatung.

4. Angemessene Kontrolle. Beginnen Sie mit einer offenen Umfrage: Wer nutzt was, wofür? Technische Auswertungen, etwa welche KI-Dienste aus dem Firmennetz aufgerufen werden, kündigen Sie vorab an und halten sie auf Ebene des Unternehmens. Klären Sie personenbezogene Auswertungen vorher rechtlich. Wie aus der Übersicht Prioritäten werden, zeigt der Beitrag KI im Unternehmen: Prioritäten, Verantwortung und Wirkung.

Das Fazit

Schatten-KI ist aus meiner Sicht eine Führungsaufgabe mit technischem Anteil. Die hilfreiche Frage lautet: Wissen unsere Mitarbeitenden, welches Werkzeug sie für welche Daten verwenden dürfen, und an wen sie sich wenden?