Ich vermute, dass halb Vertrieb ChatGPT nutzt. Ich weiß es nur nicht.

Was gemeint ist

Der Begriff stammt aus dem Englischen und hat sich auch im deutschen Sprachgebrauch durchgesetzt — Suchanfragen nach Shadow AI sind hierzulande deutlich häufiger als nach Schatten-KI. Gemeint ist dasselbe: der Einsatz von KI-Werkzeugen ohne Kenntnis oder Freigabe der zuständigen Stellen.

Dazu zählen nicht nur eigenständige Werkzeuge. Der größere Teil sind KI-Funktionen in Software, die längst im Haus ist — eine Zusammenfassungsfunktion im Ticketsystem, ein Formulierungsvorschlag im Mailprogramm, eine Auswertung im CRM. Niemand hat etwas Neues eingeführt; das Bestehende hat neue Fähigkeiten bekommen.

Quelle: Anteil von rund 71 Prozent nicht freigegebener KI-Nutzung unter Wissensarbeitenden im DACH-Mittelstand nach einer 2026 veröffentlichten Untersuchung (Springer). Die Angabe stammt aus einer Fachveröffentlichung, nicht aus einer eigenen Erhebung. · Stand September 2026

Warum es entsteht

Warum es jetzt zählt

Solange KI ein Randthema war, war der blinde Fleck verkraftbar. Inzwischen greifen Pflichten, die den Bestand voraussetzen — und die nicht danach fragen, ob er freigegeben wurde:

• KI-Kompetenzpflicht. Artikel 4 der KI-Verordnung gilt seit dem 2. Februar 2025 für jedes Unternehmen, das KI einsetzt. Kompetenz für ein System, von dem Sie nichts wissen, können Sie nicht sicherstellen. Was der Nachweis verlangt.
• Lieferkette. Für NIS2-pflichtige Unternehmen gehören auch externe KI-Dienste zur Lieferkette, die einzubeziehen ist. Warum GRC-Werkzeuge diese Lücke lassen.
• Datenschutz. Unabhängig vom AI Act: Fließen personenbezogene Daten in ein Werkzeug, für das keine Prüfung stattgefunden hat, ist das ein Problem — auch ohne dass jemand danach fragt.

Warum Verbote das Problem verschärfen

Die naheliegende Reaktion ist eine Richtlinie, die nicht freigegebene Werkzeuge untersagt. Das ist nachvollziehbar und meist kontraproduktiv.

Ein Verbot ändert nichts an der Not, die zur Nutzung geführt hat. Es ändert nur, ob jemand darüber spricht.

Der Vertrieb schreibt weiterhin Angebote und braucht weiterhin zu lange dafür. Nach einem Verbot wird das Werkzeug nicht abgeschafft, sondern nicht mehr erwähnt — und damit verschwindet auch die letzte Chance, es zu erfassen.

Was tatsächlich hilft

1. Einen Meldeweg schaffen, der nichts kostet. Ein Formular mit vier Feldern, ohne Genehmigungsverfahren. Erst erfassen, dann bewerten — nicht umgekehrt.
2. Amnestie aussprechen. Wer meldet, bekommt keinen Ärger. Ohne diese Zusage meldet niemand, und Sie bleiben bei der Vermutung.
3. Dort suchen, wo Spuren liegen. Abo-Abrechnungen in der Buchhaltung, erteilte App-Berechtigungen im Microsoft-365-Mandanten, Browser-Erweiterungen.
4. Die Bestandsaufnahme aktuell halten. Eine Momentaufnahme veraltet innerhalb weniger Wochen — warum eine Tabelle das nicht leistet.

Punkt drei ist der ergiebigste, wenn ein IT-Dienstleister Ihre Systeme betreut: Wer den Mandanten administriert, sieht Lizenzen und erteilte Berechtigungen — und weiß damit mehr über den Bestand als jede Umfrage im Haus zutage fördert.

Was Regovio dazu beiträgt — und was nicht

Die wichtigste Klarstellung zuerst, weil sie oft anders erwartet wird:

Regovio findet Shadow AI nicht von selbst. Es durchsucht kein Netzwerk und keinen Mandanten. Es gibt Ihrer Bestandsaufnahme Struktur und hält sie aktuell — das Finden bleibt vorerst eine organisatorische Aufgabe.

Für Unternehmen, deren IT von einem Systemhaus betreut wird, gibt es einen Weg um diese Lücke herum: Der Dienstleister kennt den Bestand ohnehin. Eine begleitete Erstaufnahme verbindet sein Wissen mit der Struktur — und liefert in wenigen Tagen ein belastbares Bild statt einer Vermutung.