Schatten-KI: Wenn Chancen zu Risiken werden

Schnell die KI eine Mail-Antwort formulieren, ein langes Dokument zusammenfassen oder ein passendes Bild für einen Social-Media-Post generieren lassen? In schätzungsweise bereits nahezu der Hälfte der Unternehmen werden KI-Tools mehr oder weniger häufig eingesetzt. Das sind Ergebnisse einer repräsentativen Befragung von 604 Unternehmen in Deutschland ab 20 Beschäftigten im Auftrag des Digitalverbands Bitkom.

In Steuerkanzleien nimmt die Nutzung von KI-Tools dabei besonders zu: Fachkräftemangel und saisonale Spitzen (Abschlüsse, Erklärungsfristen, Lohnläufe) erhöhen den Druck, „schnell eine Antwort“ zu liefern – häufig bei gleichzeitiger Unterbrechung durch Rückfragen von Mandanten. Das führt zu einer großen Gefahr: der Verbreitung der sogenannten Schatten-KI. Was ist damit gemeint?

„Schatten-KI bezeichnet die Nutzung von KI-Tools durch Mitarbeitende ohne offizielle Freigabe oder Kontrolle durch die IT-Abteilung oder das Unternehmen. Dabei werden zum Beispiel eigenständig Chatbots oder Analyseprogramme eingesetzt, was zwar die Arbeit erleichtern kann, aber Risiken für Datenschutz, Sicherheit und Compliance mit sich bringt.“

Diese Definition ist klar und verständlich – ChatGPT sei Dank. In diesem Fall unbedenklich, denn ich habe keine sensiblen Autoren- oder Verlagsdaten in die KI-Maschine eingegeben und verstoße damit auch nicht gegen die DSGVO. Während ich mir das noch aus rein nachvollziehbaren Gründen selbst herleiten konnte, dass die Eingabe von individuellen Daten möglicherweise keine gute Idee ist, ist dieses eigenständige „Mitdenken“ bald nicht mehr notwendig. Denn das Durchführungsgesetz zum EU AI Act, das am 11.2.2026 vom Bundeskabinett beschlossen wurde, sorgt dafür, dass gewisse Pflichten den Unternehmen „automatisch“ auferlegt werden. Es geht hierbei aber um weit mehr als „nur“ um die Eingabe von sensiblen Daten, sondern um einen transparenten und verantwortungsvollen Einsatz von KI im Allgemeinen. Daher gelten die Pflichten auch nicht alle auf einmal, sondern nach und nach – und können bei Nichtbeachtung empfindliche Strafen nach sich ziehen.

Was aber beispielsweise jetzt schon beachtet werden muss: Arbeitgeber und Unternehmen müssen seit Februar 2025 sicherstellen, dass Mitarbeitende, die KI entwickeln oder nutzen, über ausreichende KI-Kompetenz verfügen. Das betrifft also nicht nur Anbieter von KI-Systemen, sondern auch Nutzer von KI-Systemen, sprich Firmen, Behörden oder Teams, die KI-Tools z. B. bei der Arbeit verwenden – also die meisten von uns.

Tanja Ebbing beschreibt NWB PAAAK-10340, wie Sie KI-Kompetenz organisatorisch absichern und KI-Tools DSGVO-konform nutzen – ohne das Tagesgeschäft auszubremsen. Checklisten unterstützen Sie dabei, Stolperfallen bei der Auswahl des KI-Tools zu vermeiden und die DSGVO-Konformität technisch und rechtlich abzusichern. Damit die meist unbedachte und gut gemeinte Nutzung von KI-Tools nicht zu einem Problem für die Kanzlei und das Unternehmen wird.

Beste Grüße

Heiko Lucius