Schatten-KI: Das Verbot steht, genutzt wird trotzdem

Offiziell ist ChatGPT im Haus untersagt. Inoffiziell läuft es auf dem Handy neben der Tastatur. Mitarbeiter nutzen KI-Tools ohne Freigabe, weil das Verbot ihre tägliche Arbeitslast nicht senkt, das Werkzeug aber schon. Dieses Muster heißt Schatten-KI, und in Finanzinstituten ist es kein Randphänomen, sondern Ausdruck einer Lücke zwischen Bedarf und Angebot.

Wie verbreitet ist Schatten-KI wirklich?

Der Digitalverband Bitkom berichtet auf Basis einer repräsentativen Befragung von 604 Unternehmen ab 20 Beschäftigten aus dem Sommer 2025, dass 42 Prozent der Unternehmen die Nutzung privater KI-Tools durch Beschäftigte einräumen oder vermuten. 8 Prozent berichten von verbreiteter Nutzung, 17 Prozent von Einzelfällen. Zugleich stellen nur 26 Prozent der Unternehmen ihren Beschäftigten offiziell einen Zugang zu generativer KI bereit. Der Abstand zwischen beidem ist der Nährboden der Schatten-KI.

Warum greifen Mitarbeiter trotz Verbot zu KI?

Die Antwort ist unbequem einfach: weil es hilft. Wo eine Zusammenfassung, ein Textentwurf oder eine schnelle Recherche Minuten spart, wiegt der konkrete Nutzen schwerer als eine abstrakte Regel. Ein Verbot ohne Alternative verlagert die Nutzung nur ins Verborgene. Es verhindert nicht den Einsatz, sondern die Kontrolle darüber. Der Mitarbeiter löst sein Problem, das Institut verliert den Überblick über die Daten, die dabei das Haus verlassen.

Welches Risiko entsteht für Banken konkret?

Schatten-KI ist vor allem ein Daten- und Compliance-Risiko. Werden Kundendaten oder interne Informationen in ein frei zugängliches Sprachmodell eingegeben, ist der Datenschutz nicht mehr gewährleistet. Für Institute mit aufsichtsrechtlichen Pflichten ist das kritisch. Hinzu kommt der Kontrollverlust: Ergebnisse aus ungeprüften Tools fließen in Arbeitsprodukte ein, ohne Qualitätssicherung und ohne Nachvollziehbarkeit. Das Verbot schützt auf dem Papier und versagt in der Praxis.

Wie sollten Institute stattdessen reagieren?

Wirksamer als das Verbot ist das bessere Angebot. Ein freigegebener, datenschutzkonformer KI-Zugang nimmt der Schatten-KI den Grund. Dazu gehören klare Nutzungsregeln, die sagen, was erlaubt ist, statt nur zu untersagen. Bitkom beobachtet hier Bewegung: 23 Prozent der Unternehmen haben mittlerweile Regeln zur KI-Nutzung aufgestellt, nach 15 Prozent im Vorjahr. Regeln plus verfügbares Werkzeug plus Qualifizierung schlagen jedes reine Verbot.

Was Banken jetzt tun sollten

Der erste Schritt ist ehrlich: anerkennen, dass die Nutzung bereits stattfindet. Der zweite ist, einen sicheren offiziellen Zugang bereitzustellen und mit klaren Regeln zu flankieren. Der dritte ist Qualifizierung, damit Mitarbeiter das Werkzeug richtig und im erlaubten Rahmen einsetzen. Wer Schatten-KI in gesteuerte Nutzung überführt, gewinnt Kontrolle zurück und verankert das entstehende Wissen im Haus statt in privaten Accounts. Wie sich dieses Wissen organisatorisch absichern lässt, zeigt der Beitrag zur KI-Governance gegen Wissensverlust. Sotica begleitet Institute beim Übergang mit einer Standortbestimmung und einem kompakten Workshop.