Mitarbeiter fassen Verträge über ein persönliches Chatbot-Konto zusammen, verbinden einen KI-Assistenten mit einem gemeinsamen Laufwerk oder erstellen einen eigenen Agenten für eine wiederkehrende Aufgabe. Nichts davon wurde von der IT-Abteilung, der Datenschutzstelle oder dem Governance-Team genehmigt. Das ist „Schatten-KI“, und sie ist zu einem messbaren Risiko geworden: 22 % der Unternehmen melden bereits unbefugte oder „Schatten-KI“ als KI-bezogenen Vorfall.
Die BARC-Studie „The State of Data and AI Governance“ aus dem Jahr 2026, die auf einer weltweiten Umfrage unter 234 Führungskräften aus den Bereichen Daten, KI, IT und Wirtschaft basiert, deckt zudem regionale Unterschiede auf. In der EMEA-Region berichten 29 % der Unternehmen von Vorfällen im Zusammenhang mit „Shadow-KI“, verglichen mit 18 % in Nordamerika. Dieser Beitrag befasst sich damit, worauf diese Kluft zurückzuführen ist, welche Risiken „Shadow-KI“ mit sich bringt und wie Unternehmen diese unter kontrollierte Aufsicht bringen können, ohne die Nutzer dabei einzuschränken.
Was ist „Shadow AI“?
Unter „Shadow AI“ versteht man den Einsatz von KI-Tools, -Modellen oder -Agenten innerhalb eines Unternehmens ohne die Genehmigung, Kenntnis oder Aufsicht der IT-Abteilung und des Governance-Teams. Dazu gehören öffentliche Chatbots, die mit Unternehmensdaten genutzt werden, in bestehender Software aktivierte KI-Funktionen, Browser-Erweiterungen, Programmierassistenten und zunehmend auch Agenten, die Mitarbeiter selbst entwickeln und mit den Unternehmenssystemen verbinden.
Shadow-KI ist eine neuere Form von Shadow-IT, doch das damit verbundene Risiko funktioniert anders. Bei Shadow-IT geht es um nicht genehmigte Anwendungen. Bei Shadow-KI ist entscheidend, was mit den Daten geschieht: Inhalte, die in eine Eingabeaufforderung eingefügt werden, Dateien, die zur Erstellung einer Zusammenfassung hochgeladen werden, oder ein Agent, der auf Unternehmenssystemen liest, schreibt und handelt, ohne dass jemand seine Aktivitäten überwacht.
Wie verbreitet „Shadow-AI“ ist: die Zahlen
Die BARC-Studie liefert konkrete Zahlen zu einem Problem, über das oft nur anekdotisch gesprochen wird:
- 22 % der Unternehmen gaben an, dass es in den letzten zwölf Monaten zu Vorfällen im Zusammenhang mit KI gekommen sei, bei denen es sich um unbefugte oder „Schatten-KI“ handelte.
- 17 % nennen den Einsatz von „Shadow-AI“ als eines der drei größten Hindernisse für eine effektive Steuerung von Daten und KI.
- 29 % gegenüber 18 %: Unternehmen in der EMEA-Region melden Vorfälle im Zusammenhang mit „Shadow-KI“ deutlich häufiger als solche in Nordamerika.
Diese Zahlen stellen wahrscheinlich eine Untergrenze dar. Laut BARC ist „Shadow-AI“ ein Problem, dessen sich Unternehmen erst seit Kurzem bewusst werden. Ein Vorfall wird nur gemeldet, wenn ihn jemand bemerkt.
Der Trend geht nach oben. Wissensarbeiter nutzen KI täglich: Die Dokumentenanalyse ist mit 62 % der Unternehmen bereits der am weitesten verbreitete KI-Anwendungsfall. Und die nächste Welle sind Chatbots.
„Angesichts des weit verbreiteten Trends, dass Wissensarbeiter aller Art ihre eigenen Agenten einsetzen, gehen wir davon aus, dass ‚Shadow-KI‘ in den kommenden Monaten zu einem allgegenwärtigen Problem werden wird. Viele Agenten arbeiten unabhängig voneinander, was zu Governance-Risiken und technischer Verschuldung führt.“ BARC, „The State of Data and AI Governance“, 2026
Schaffen Sie eine Datenfundament, um KI-gestützte Automatisierung und zuverlässige Entscheidungsfindung zu ermöglichen. Laden Sie das Whitepaper herunter und erfahren Sie, wie Sie Data Governance als strategische Kompetenz etablieren – und so skalierbare Automatisierung und KI nutzen können.
Warum in der EMEA-Region mehr Vorfälle im Zusammenhang mit „Schatten-KI“ gemeldet werden
BARC wertet den höheren Anteil an „Shadow-AI“-Vorfällen in der EMEA-Region als Zeichen für eine schwächere zentrale Transparenz und Kontrolle. Die strukturellen Daten der Studie stützen diese Einschätzung. In fast allen Bereichen der Governance-Organisation liegt die EMEA-Region hinter Nordamerika zurück:
| Dimension der Regierungsführung | Nordamerika | EMEA |
|---|---|---|
| Zentralisierte Führungsstrukturen | 79% | 50% |
| Formalisierte Führungs- und Zuständigkeitsregelungen im Bereich KI | 52% | 26% |
| Formalisierte Sicherheitsstandards und Compliance | 51% | 26% |
| Formalisierte Anforderungen an die Unternehmensarchitektur | 35% | 11% |
| Vorfälle im Zusammenhang mit Shadow AI in den letzten 12 Monaten | 18% | 29% |
Ohne zentrale Zuständigkeit hat niemand den Überblick über das Gesamtbild
Wenn die Steuerung zentral oder über ein Kompetenzzentrum organisiert ist, gibt es eine Stelle, die weiß, welche KI-Tools zugelassen sind, wer sie nutzt und mit welchen Daten. Die Hälfte der Unternehmen in der EMEA-Region verfügt über keine solche Struktur. In einer dezentralen Struktur entscheidet jede Abteilung selbst, und der Einsatz von KI, der von niemandem erfasst wird, bleibt unsichtbar.
Eine unzureichende Datenbasis zwingt die Mitarbeiter dazu, diese zu umgehen
Der zweite Unterschied betrifft die Daten selbst. 40 % der Unternehmen in der EMEA-Region nennen unzureichende Datenqualität als größtes Hindernis für die Steuerung von Daten und KI (Nordamerika: 15 %), und 35 % führen isolierte Datensilos als Grund an (Nordamerika: 17 %). Unserer Ansicht nach steht dies in direktem Zusammenhang mit „Schatten-KI“. Wenn der genehmigte Weg zu den Daten langsam, unvollständig oder durch Silos blockiert ist, wählen die Mitarbeiter den schnelleren Weg: Sie kopieren Daten in das Tool, das gerade zur Hand ist.
Dabei ist jedoch eine Einschränkung zu beachten: Ein höherer Anteil gemeldeter Vorfälle kann auch bedeuten, dass mehr Vorfälle aufgedeckt werden. Die strukturellen Zahlen deuten jedoch eindeutig auf eine Lücke in der Unternehmensführung hin und nicht auf eine verbesserte Aufdeckung.
Die BARC-Studie „The State of Data and AI Governance“ basiert auf einer weltweiten Umfrage unter Führungskräften aus den Bereichen Daten, KI, IT und Wirtschaft. Sie zeigt, was die KI-Vorreiter von den Rest des Marktes unterscheidet und welche Schritte erforderlich sind, um Governance von einer reinen Compliance-Maßnahme in ein Betriebsmodell zu verwandeln, das eine zuverlässige Skalierung der KI ermöglicht.
Die Risiken der „Schatten-KI“
„Shadow AI“ bleibt selten ein Einzelfall. Es ebnet den Weg für andere Vorfallstypen, die in der Studie erfasst werden:
- Verstöße gegen den Datenschutz: Persönliche oder vertrauliche Daten gelangen in Tools, die außerhalb der Kontrolle des Unternehmens liegen. 23 % der Unternehmen gaben an, in den letzten zwölf Monaten einen KI-bezogenen Datenschutzverstoß verzeichnet zu haben.
- Voreingenommene oder fehlerhafte Ergebnisse: 23 % gaben an, dass voreingenommene oder schädliche Ergebnisse entstanden seien, und 21 % berichteten von fehlerhaften KI-Ergebnissen, die Endnutzer oder Kunden erreichten. Nicht zugelassene Tools werden ohne die Qualitätskontrollen und Überprüfungsschritte ausgeführt, die für zugelassene KI gelten.
- Compliance-Lücken: 77 % der Unternehmen geben an, dass sich das sich wandelnde regulatorische Umfeld, wie beispielsweise das EU-KI-Gesetz und die DSGVO, mäßig oder erheblich auf ihre KI-Governance auswirkt. KI-Anwendungen, die von niemandem registriert wurden, können weder bewertet noch dokumentiert noch gemeldet werden.
- Technische Schulden: Agenten, die außerhalb der Governance entwickelt wurden, werden Teil von Prozessen, ohne dass jemand die Verantwortung für sie übernimmt, sie pflegt oder überprüft.
Warum ein Verbot von KI-Tools das Problem nicht löst
Die erste Reaktion auf „Shadow-KI“ ist oft ein Verbot öffentlicher KI-Tools. Das funktioniert jedoch selten auf Dauer. KI wird bereits in 97 % der Unternehmen produktiv eingesetzt, und die Mitarbeiter nutzen sie, weil sie ihnen Zeit spart. Ein Verbot nimmt ihnen die genehmigte Möglichkeit, während der Bedarf weiterhin besteht. Die Nutzung verlagert sich dann auf private Geräte und persönliche Konten, wo sie noch schwerer zu erkennen ist.
„Shadow AI“ ist ein Symptom. Es zeigt, dass der regulierte Weg zur KI und zu Daten langsamer ist als der unregulierte. Die nachhaltige Lösung besteht darin, den regulierten Weg einfacher zu gestalten: zugelassene KI mit Zugang zu vertrauenswürdigen Daten, unter klaren Regeln und mit Kontrollmechanismen, die im Hintergrund ablaufen.
Fünf Schritte, um „Shadow-AI“ in den Griff zu bekommen
1. Den Einsatz von KI sichtbar machen
Beginnen Sie mit einer Bestandsaufnahme: Welche KI-Tools, -Funktionen und -Agenten werden verwendet, von wem und mit welchen Daten? Berücksichtigen Sie dabei auch KI-Funktionen in zugelassener Software sowie Agenten, die über APIs oder Dienstkonten mit Unternehmenssystemen verbunden sind. Tools zur Erkennung von Netzwerkverkehr, Browser-Erweiterungen und SaaS-Verbindungen sind hilfreich, doch die Bestandsaufnahme bleibt nur dann aktuell, wenn Teams neue KI-Anwendungen einfach und ohne Angst vor Konsequenzen registrieren können.
2. Bieten Sie einen geregelten Weg an, der schneller ist
Stellen Sie zugelassene KI-Tools und -Agenten bereit, die mit den Daten arbeiten, die die Mitarbeiter tatsächlich benötigen. Wenn ein zugelassener Assistent über geregelte Schnittstellen auf kuratierte, aktuelle Unternehmensdaten zugreifen kann, gibt es kaum einen Grund, diese Daten in ein externes Tool zu kopieren. Hier entscheiden Datenqualität und Integration über den Erfolg: Ein geregelter Pfad, der auf mangelhaften oder isolierten Daten basiert, wird umgangen.
3. Standards zentral festlegen, lokal umsetzen
Die Studie zeigt, welches Organisationsmodell funktioniert. 69 % der Unternehmen betreiben entweder ein vollständig zentralisiertes Governance-Programm (31 %) oder ein „Center of Excellence“ (38 %), das Standards zentral festlegt, während dezentrale Teams diese umsetzen. Unter den AI-Vorreitern nutzen 48 % ein „Center of Excellence“. Dieses Modell gibt den Geschäftsbereichen Spielraum für Innovationen im Rahmen gemeinsamer Regeln für genehmigte Tools, Datenklassen und Eskalationswege.
4. Beschränken Sie den Datenzugriff, nicht nur die Tools
Tool-Listen sind schnell veraltet. Kontrollen auf der Datenebene sind länger gültig: Wer darf welche Daten für welchen KI-Zweck, unter welchen Bedingungen und mit welchem Prüfpfad nutzen? Heute nutzen 34 % der Unternehmen Datenschutz- und Einwilligungsmanagement und 32 % Identitäts- und Zugriffsmanagement oder Datenzugriffskontrollen für die Governance. Bei Agenten setzen 33 % auf Audit-Protokollierung und 32 % auf Identitäts- und Zugriffsmanagement. Die Ausweitung dieser Kontrollen auf jede KI-Workload – ob genehmigt oder noch nicht genehmigt – schließt diese Lücke.
5. Mitarbeiter schulen und Fortschritte messen
41 % der Unternehmen nennen einen Mangel an qualifiziertem Personal oder an Schulungen als ihr größtes Hindernis bei der Governance, doch nur 12 % erfassen, ob die Schulungen von den Mitarbeitern absolviert wurden. Mitarbeiter, die verstehen, warum bestimmte Daten nicht in öffentliche Tools gelangen dürfen, und die die genehmigte Alternative kennen, sind die wirksamste Kontrollmaßnahme gegen Schatten-KI. Verfolgen Sie dies: Vorfälle im Zusammenhang mit Schatten-KI, registrierte KI-Anwendungsfälle und der Abschluss von Schulungen gehören zu den Governance-Kennzahlen.
Wie SoftProject dabei hilft
Shadow AI wird kleiner, wenn der geregelte Weg zu den Daten der schnellste ist. SoftProject baut diesen Weg auf einer einzigen konvergenten Plattform auf:
- Connect: Integration, ETL und API-Management führen Daten aus allen Systemen zusammen und bieten KI-Tools und -Agenten eine kontrollierte Schnittstelle anstelle von kopierten Dateien.
- Vertrauen: Data Governance Durch den Datenkatalog, das Stammdatenmanagement und die Datenqualität werden Daten auffindbar, zuverlässig und klassifiziert, sodass klar ist, welche Daten für welchen KI-Zweck verwendet werden dürfen.
- Maßnahme: Durch Prozessautomatisierung und geregelte Agenten-Workflows werden Genehmigungen, Zugriffsregeln und Prüfpfade direkt in den Prozess eingebettet.
Das Ergebnis ist ein Einsatz von KI, der transparent und kontrolliert ist und dennoch so schnell, dass niemand auf Umwege zurückgreifen muss. Für europäische Organisationen ist Datenhoheit ein wesentlicher Bestandteil dieser Grundlage. Um zu erfahren, wie sich „Shadow-KI“ in das Gesamtbild einfügt, lesen Sie unseren Leitfaden zum Aufbau eines KI-Governance-Rahmens.
Edouard Cante ist als Chief Product Officer für die strategische Ausrichtung und Weiterentwicklung des Produktportfolios von SoftProject verantwortlich. Mit seinem fundierten Marktverständnis und seiner hohen Innovationskraft treibt er kundenorientierte Lösungen voran und sichert die langfristige Wettbewerbsfähigkeit des Unternehmens.
Häufig gestellte Fragen zu Shadow AI
Was ist „Shadow AI“?
Unter „Shadow AI“ versteht man den Einsatz von KI-Tools, -Modellen oder -Agenten innerhalb eines Unternehmens ohne die Genehmigung, Kenntnis oder Aufsicht der IT-Abteilung und des Governance-Teams. Beispiele hierfür sind öffentlich zugängliche Chatbots, die mit Unternehmensdaten arbeiten, in bestehender Software aktivierte KI-Funktionen, Browser-Erweiterungen sowie Agenten, die Mitarbeiter selbst entwickeln und mit den Unternehmenssystemen verbinden.
Wie verbreitet ist „Shadow AI“?
Laut der BARC-Studie „The State of Data and AI Governance“ aus dem Jahr 2026 gaben 22 % der Unternehmen an, dass es in den vergangenen zwölf Monaten zu Vorfällen im Zusammenhang mit nicht genehmigter oder „Schatten“-KI gekommen sei, und 17 % nannten dies als eines ihrer drei größten Hindernisse bei der Governance. In der EMEA-Region liegt die Vorfallrate bei 29 %, verglichen mit 18 % in Nordamerika.
Warum werden in der EMEA-Region mehr „Schatten-KI“-Vorfälle gemeldet?
BARC sieht diesen Unterschied als Zeichen für eine geringere zentrale Transparenz und Kontrolle. Nur 50 % der Unternehmen in der EMEA-Region verfügen über zentralisierte Führungsstrukturen, verglichen mit 79 % in Nordamerika, und nur 26 % haben die Verantwortung und Zuständigkeit für KI formell geregelt (Nordamerika: 52 %). Unternehmen in der EMEA-Region haben zudem größere Schwierigkeiten mit der Datenqualität und Datensilos.
Was ist der Unterschied zwischen „Shadow AI“ und „Shadow IT“?
Der Begriff „Shadow-IT“ bezeichnet jegliche Software oder Dienste, die ohne Genehmigung der IT-Abteilung genutzt werden. „Shadow-AI“ ist eine Unterkategorie, die sich auf KI-Tools, -Modelle und -Agenten bezieht. Das Hauptrisiko liegt darin, was mit den Daten geschieht: Unternehmensinformationen, die in Eingabeaufforderungen eingegeben werden, Dateien, die zur Verarbeitung hochgeladen werden, oder Agenten, die in Unternehmenssystemen agieren, ohne dass jemand ihre Aktivitäten nachverfolgen kann.
Wie können Unternehmen „Schatten-KI“ reduzieren?
Verbote allein sind selten wirksam. Unternehmen reduzieren „Schatten-KI“, indem sie den Einsatz von KI transparent machen, zugelassene KI-Lösungen mit Zugriff auf vertrauenswürdige Daten bereitstellen, Standards zentral über ein Governance-Programm oder ein Kompetenzzentrum festlegen, den Datenzugriff für jede KI-Anwendung kontrollieren und Mitarbeiter schulen, während sie gleichzeitig die Fortschritte messen.
