Alle reden über KI-Strategie. Die Mitarbeiter haben längst entschieden.

Schatten-KI ist in der Finanzbranche keine Randerscheinung mehr, sondern gelebte Praxis: Beschäftigte nutzen private KI-Werkzeuge wie ChatGPT ohne Freigabe und ohne Governance, weil das Haus keine offizielle Alternative bietet. Laut einer Bitkom-Befragung von 604 Unternehmen ab 20 Beschäftigten vom Oktober 2025 berichten 8 Prozent der Unternehmen von weit verbreiteter privater KI-Nutzung, nach 4 Prozent im Vorjahr. Weitere 17 Prozent kennen Einzelfälle. Der Wert hat sich binnen eines Jahres verdoppelt.

Wie groß ist das Problem wirklich?

Die aussagekräftigste Zahl ist eine andere. Nur noch 29 Prozent der Unternehmen sind sicher, dass keine privaten KI-Tools im Einsatz sind, nach 37 Prozent im Vorjahr, so die Bitkom-Erhebung 2025. Über ein Sechstel der Häuser vermutet Nutzung, ohne es zu wissen. In der Finanzbranche wiegt das schwerer als anderswo. Wer Vertragsdaten, Bonitätsinformationen oder Schadenakten in ein öffentliches Sprachmodell kopiert, verlagert Bankgeheimnis und personenbezogene Daten auf einen Server, über den das Institut keine Kontrolle hat.

Das Risiko ist damit nicht theoretisch. Es entsteht jeden Tag, an jedem Arbeitsplatz, an dem ein Sachbearbeiter eine Kundenmail schneller beantworten will und dafür das Werkzeug nimmt, das er privat kennt. Nur ein Bruchteil der Häuser stellt eine freigegebene Alternative. Nach der Bitkom-Erhebung bieten 26 Prozent der Unternehmen ihren Beschäftigten einen allgemeinen KI-Zugang. Die Mehrheit lässt die Frage offen, und diese Offenheit füllt die Belegschaft mit privaten Werkzeugen.

Warum Verbote das Problem nicht lösen

Die erste Reaktion vieler Häuser ist ein Verbot. Es verschiebt das Problem, es löst es nicht. Schatten-KI entsteht dort, wo ein echter Bedarf auf eine fehlende offizielle Lösung trifft. Verbietet das Haus die Werkzeuge, ohne eine Alternative zu stellen, wandert die Nutzung weiter in die Grauzone, nur unsichtbarer.

Die Zahlen stützen das. 23 Prozent der Unternehmen hatten 2025 verbindliche Regeln für den KI-Einsatz, nach 15 Prozent im Vorjahr, so Bitkom. Regeln allein bleiben wirkungslos, wenn die Belegschaft kein freigegebenes Werkzeug hat, mit dem sie arbeiten darf.

Was ein sauberer Rahmen leisten muss

Ein tragfähiger Umgang mit Schatten-KI hat drei Teile. Erstens ein freigegebenes Werkzeug, das im Haus datenschutzkonform betrieben wird und die Arbeit real erleichtert. Zweitens klare Regeln, welche Daten hinein dürfen und welche nicht. Drittens Befähigung: Die Mitarbeiter müssen wissen, wofür das Werkzeug taugt und wo seine Grenzen liegen.

Diese Reihenfolge ist entscheidend. Wer mit dem Verbot beginnt, treibt die Nutzung in den Schatten. Wer mit dem Angebot beginnt, holt sie ins Haus zurück. Für die Frage, ob dieses Angebot eine Verbundlösung oder eine Eigenentwicklung sein sollte, lohnt der Blick auf den Vergleich von Verbundlösung und Eigenbau bei KI-Assistenten.

Warum das Thema jetzt auf den Tisch gehört

Schatten-KI ist nicht nur ein Datenschutzthema, sondern ein regulatorisches. Wer nicht weiß, welche KI-Systeme im Haus im Einsatz sind, kann sie weder dokumentieren noch nach Risiko einstufen. Genau das verlangt die KI-Verordnung der Europäischen Union. Ein Werkzeug, das kein offizielles Inventar kennt, taucht in keiner Risikoanalyse auf und wird zur blinden Stelle in der Compliance. Die Aufsicht wird diese Lücke nicht dulden, sobald sie sichtbar wird.

Der nächste Schritt

Schatten-KI ist kein Grund für Alarm, sondern ein Signal. Die Belegschaft hat den Nutzen von KI vor dem Vorstand verstanden. Die Aufgabe der Führung ist, diese Energie in geordnete Bahnen zu lenken, bevor die Aufsicht oder ein Datenleck die Bahn vorgibt. Wer wissen will, wo im eigenen Haus heute schon KI genutzt wird und welche Werkzeuge das Team wirklich braucht, beginnt mit einer Potenzialanalyse Digitalisierung, Daten und KI. Ein Tag mit Vorstand und Bereichsleitung, an dessen Ende ein belastbares Bild steht.