Schatten-KI 2026: Wenn Firmenwissen über ein privates KI-Konto ins Training gelangt
Jeder zehnte Beschäftigte in Deutschland nutzt KI, ohne dass sein Arbeitgeber davon weiß. Weitere 45 Prozent nutzen sie mit seinem Wissen. Beide Werte stehen im Studienbericht „Künstliche Intelligenz in Deutschland“, den der Bitkom 2026 veröffentlicht hat. Er stützt sich auf repräsentative Befragungen aus dem Jahr 2025, von 1.005 Personen ab 16 Jahren und von 604 Unternehmen mit mindestens 20 Beschäftigten.
Wie groß das Risiko dahinter ist, hängt an dem Konto, über das diese Nutzung läuft.
Ein privates Konto für 20 Dollar im Monat
Ein Beispiel ist das private ChatGPT im Tarif Plus für 20 Dollar im Monat. Dort ist nach Angaben von OpenAI voreingestellt, dass Eingaben zum Training der Modelle verwendet werden dürfen. Abschalten kann das der Inhaber des Kontos unter „Improve the model for everyone“. Da das Konto privat ist, kann Ihr Unternehmen diese Einstellung weder sehen noch ändern.
Ein Fall aus dem Alltag: Eine Vertriebsmitarbeiterin kopiert kurz vor der Abgabe einen Angebotsentwurf mit Kalkulation in ihr privates ChatGPT, um ihn straffen zu lassen. In der Grundeinstellung darf OpenAI diesen Text zum Training seiner Modelle verwenden. Für Quellcode, den ein Entwickler dort prüfen lässt, gilt dasselbe. Schaltet die Inhaberin das Training später ab, gilt das nach Angaben von OpenAI für neue Gespräche. Der Angebotsentwurf liegt dann schon beim Anbieter.
Bei anderen Anbietern liegt die Entscheidung ebenfalls beim einzelnen Nutzer. Google verwendet Chats in Gemini auch zum Training generativer KI-Modelle, solange die Einstellung „Aktivitäten speichern“ an ist. Einen Teil der Chats lesen menschliche Prüfer. Bei Claude von Anthropic gehen Chats ins Training, wenn der Nutzer es erlaubt hat. Inkognito-Chats sind davon ausgenommen.
Für Geschäftskunden kehrt OpenAI die Grundeinstellung um. Eingaben aus ChatGPT Business, ChatGPT Enterprise und der API verwendet das Unternehmen nach eigenen Angaben standardmäßig nicht zum Training. Diese Voreinstellung gilt für Zugänge, die das Unternehmen bucht. Im privaten Konto eines Mitarbeiters muss der Nutzer das Training selbst abschalten.
Weder der Nutzer noch sein Arbeitgeber kann von außen prüfen, ob ein Anbieter abgeschaltete oder ausgeschlossene Eingaben tatsächlich nicht verwendet. In beiden Fällen bleibt es eine Zusage des Anbieters.
Aus Firmenwissen wird Modellwissen
Ein Sprachmodell lernt aus seinen Trainingsdaten und beantwortet danach die Fragen aller seiner Nutzer. Die Datenschutzkonferenz der deutschen Aufsichtsbehörden weist für offene KI-Systeme darauf hin, dass Eingaben den geschützten Bereich der Nutzer verlassen. Sie „können, je nach Konzeption der KI-Anwendung, von dieser auch für die Beantwortung von Anfragen anderer Anwender:innen verwendet werden“. Als Risiko nennt sie dabei ausdrücklich auch dienstliche Informationen, die nicht für die Öffentlichkeit bestimmt sind.
Wir sehen hier das größte Risiko für ein Unternehmen. Kalkulationen oder Quellcode, die über private Konten ins Training gehen, werden Teil dessen, was ein Modell weiß. Davon können später alle profitieren, die dieses Modell nutzen, auch Ihre Mitbewerber.
Dass Modelle Teile ihrer Trainingsdaten wörtlich behalten, ist belegt. Ein Forscherteam um Milad Nasr und Nicholas Carlini hat 2023 gezeigt, dass sich aus ChatGPT mit gezielten Abfragen gespeicherte Trainingsdaten herauslesen lassen. Dass sich auf diese Weise auch Nutzereingaben auslesen lassen, belegt der Befund nicht.
Was das für Ihre Geschäftsgeheimnisse heißt
Als Geschäftsgeheimnis gilt nach § 2 Nr. 1 GeschGehG nur eine Information, die unter anderem „Gegenstand von den Umständen nach angemessenen Geheimhaltungsmaßnahmen durch ihren rechtmäßigen Inhaber“ ist. Dieser Nachweis kann schwer werden, wenn Unterlagen über private Konten bei fremden Diensten landen und das Haus davon nichts weiß.
Auch in den Daten zu Sicherheitsvorfällen taucht Schatten-KI auf. Im Data Breach Investigations Report 2026 wertet Verizon Daten aus dem Jahr 2025 aus. Schatten-KI meint dort die Nutzung nicht freigegebener KI-Werkzeuge bei der Arbeit. Unter den häufigsten Handlungen ohne böse Absicht, die mit Datenabfluss zusammenhängen, steht sie an dritter Stelle.
Personenbezogene Daten machen daraus einen Datenschutzfall
Stehen in den kopierten Unterlagen Kundendaten oder Angaben über Beschäftigte, kommt der Datenschutz hinzu. Verantwortlicher im Sinne der DSGVO ist für diese Daten in aller Regel Ihr Unternehmen. Das private Konto schließt aber der Mitarbeiter ab, nicht Ihr Unternehmen. Aus dem privaten Konto ergibt sich für Ihr Unternehmen keine vertragliche Absicherung dieser Verarbeitung. Für eine Verarbeitung im Auftrag verlangt Art. 28 Abs. 1 DSGVO hinreichende Garantien des Auftragsverarbeiters. Der Anbieter verarbeitet die Daten dort nach seinen eigenen Bedingungen, je nach Einstellung auch für das Training.
Die DSGVO zählt die „unbefugte Offenlegung“ personenbezogener Daten zu den Verletzungen des Schutzes personenbezogener Daten (Art. 4 Nr. 12). Eine solche Verletzung meldet der Verantwortliche nach Art. 33 „unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde“, der Aufsichtsbehörde. Das gilt nicht, wenn sie voraussichtlich nicht zu einem Risiko für die Betroffenen führt. Ein Kundendatensatz im privaten KI-Konto eines Mitarbeiters kann ein solcher Fall sein. Nur erfährt das Unternehmen bei Schatten-KI genau davon nichts.
Viele Unternehmen wissen davon, wenige bieten einen eigenen Zugang
Ein Viertel der befragten Unternehmen weiß von einer Nutzung generativer KI außerhalb der eigenen Angebote: 8 Prozent nennen sie weit verbreitet, 17 Prozent kennen Einzelfälle. Ein Jahr zuvor lagen diese Werte bei 4 und 13 Prozent. Weitere 17 Prozent vermuten eine solche Nutzung, ohne es sicher zu wissen.
Gleichzeitig stellen nur 26 Prozent der befragten Unternehmen ihren Beschäftigten selbst einen direkten Zugang zu generativen KI-Diensten oder -Anwendungen bereit. Feste Regeln für den Einsatz generativer KI haben 23 Prozent etabliert, weitere 31 Prozent planen sie. Wer in einem Unternehmen ohne eigenen Zugang mit KI arbeiten will, ist auf private Zugänge angewiesen.
Was die Geschäftsführung tun kann
Für uns ist Schatten-KI vor allem eine Versorgungslücke. Wo das Unternehmen kein geeignetes Werkzeug bereitstellt, greifen Beschäftigte zu privaten Diensten. Ein Verbot allein schließt diese Lücke nicht, es macht die Nutzung nur unsichtbar. Wir empfehlen deshalb vier Schritte in dieser Reihenfolge.
1. Den tatsächlichen Bedarf erheben
Fragen Sie die Fachbereiche, für welche Aufgaben sie KI heute schon nutzen, und sichern Sie zu, dass offene Antworten keine Folgen für Einzelne haben. Daraus ergibt sich, was ein eigenes Werkzeug leisten muss. Binden Sie Ihren Datenschutzbeauftragten und Ihren Betriebsrat von Anfang an ein.
2. Eine gewohnte Arbeitsumgebung mit KI im eigenen Haus bereitstellen
Ein eigenes Werkzeug ersetzt den privaten Dienst nur, wenn es dieselbe Arbeit erledigt und sich genauso bedienen lässt. Gemeint sind die Aufgaben, für die Beschäftigte KI heute schon nutzen: Texte zusammenfassen, übersetzen, E-Mails schreiben, Angebote formulieren, Präsentationen erstellen. Dafür braucht es eine Oberfläche, wie sie die bekannten Dienste bieten, und ein Modell, das diese Aufgaben in vergleichbarer Qualität löst. Läuft dieses Modell im eigenen Haus, gehen die Daten nicht unkontrolliert an Dritte, und was mit ihnen geschieht, können Sie selbst prüfen. Die Datenschutzkonferenz hält technisch geschlossene Systeme aus datenschutzrechtlicher Sicht für vorzugswürdig.
Ein eigenes System kann dabei mehr als das private Konto. Jede Abteilung bekommt eine gemeinsame Sammlung ihrer Unterlagen, etwa frühere Angebote oder Handbücher. Die KI greift darauf zu, wenn sie ein Angebot entwirft oder eine Fachfrage beantwortet, und nennt die Fundstelle. Wer dieselben Unterlagen in ein privates Konto lädt, gibt sie wieder an den fremden Dienst. Mit dieser Sammlung wird die Arbeit im eigenen System bequemer als mit einzelnen privaten Konten. Das ist der stärkste Grund, auf den Umweg zu verzichten.
3. Regeln festlegen und schulen
Legen Sie in einer KI-Richtlinie fest, welche Daten in welches Werkzeug dürfen. Interne Unterlagen, Geschäftsgeheimnisse und personenbezogene Daten gehören nur in das freigegebene System. Die Datenschutzkonferenz empfiehlt dafür konkrete Beispiele erlaubter und untersagter Einsatzszenarien, und eine Betriebsvereinbarung kann den Rahmen festschreiben. Setzt Ihr Unternehmen KI-Systeme ein, verlangt Art. 4 der KI-Verordnung zudem Maßnahmen, die die KI-Kompetenz Ihres Personals unterstützen. Gelebte Regeln dieser Art können zugleich zu den angemessenen Geheimhaltungsmaßnahmen im Sinne des GeschGehG gehören.
4. Erst dann fremde Dienste sperren
Steht das eigene System, kann die IT private KI-Dienste im Firmennetz sperren, ohne die Arbeit zu bremsen. Vorher verlagert eine Sperre die Nutzung nur auf private Geräte.
Wie eine solche Umgebung im eigenen Netz aussieht und wie Sie sie drei Tage lang mit Ihren Unterlagen erproben, beschreiben wir auf der Seite Souveräne KI. Warum Verbote allein selten halten, steht in unserem Beitrag Shadow AI im Mittelstand.
Aussagen ohne Quellenangabe sind unsere eigene Einschätzung.
Quellen: Bitkom, „Künstliche Intelligenz in Deutschland. Perspektiven aus Bevölkerung und Unternehmen“, Studienbericht 2026, DOI 10.64022/2026-kuenstliche-intelligenz; OpenAI, How your data is used to improve model performance; Google, Datenschutzhinweise zu Gemini-Apps; Anthropic, Privacy Center zum Modelltraining; Datenschutzkonferenz, Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ vom 6. Mai 2024, Rn. 17, 18, 20, 36, 37; Nasr u. a., Scalable Extraction of Training Data from (Production) Language Models, 2023; Verizon, Pressemitteilung zum Data Breach Investigations Report 2026 vom 19. Mai 2026; § 2 GeschGehG; Verordnung (EU) 2016/679 (DSGVO), Art. 4 Nr. 12, Art. 28, Art. 33; Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 4.