Schatten-KI sichtbar machen: welche KI-Dienste in eurem Betrieb genutzt werden
In vielen Betrieben wird längst mit KI gearbeitet, nur nicht mit der, die jemand freigegeben hat. Wir zählen anonym, welche KI-Dienste in eurem Netz aufgerufen werden, ohne einzelne Mitarbeitende zu erfassen, und machen daraus eine Regel, eine Schulung und ein erlaubtes Werkzeug.
Termin aussuchen
Mit KI erzeugtes Bild. Mehr zur KI-Transparenz
Beim Abspielen lädt YouTube (Google) das Video. Dabei werden Ihre IP-Adresse und Geräteinformationen an Google übertragen. Details ·
Transkript anzeigen
Fragen Sie Ihre IT, welche KI in Ihrem Betrieb läuft. Sie bekommt eine kurze Liste. Jetzt schauen wir auf das Netz selbst. Ein Angebot wird umformuliert. Ein Arbeitsvertrag zusammengefasst. Eine Beschwerde beantwortet, mit dem Namen des Kunden. Alles im Browser, oft auf privaten Konten. Kein Ticket, keine Installation, keine Spur in der Softwareliste. Ihr Betrieb nutzt KI längst. Sie wissen es nur nicht. Und wohin geht das? Bei ChatGPT für Privatleute darf OpenAI die Gespräche zum Training verwenden, solange niemand es in den Einstellungen abschaltet. Bei ChatGPT Business, Enterprise und über die Schnittstelle nicht. Derselbe Text, aber eine andere Regel. Und mit dem privaten Konto hat Ihre Firma keinen Vertrag. Gerade kommt Bewegung hinein. Ab dem neunten Oktober bekommt die Gemini-App ohne Abo nur noch das kleinste Modell. Wer mehr will, zahlt, und oft zahlt er privat. Seit dem fünften Oktober versieht ChatGPT seine Texte in der EU mit einem unsichtbaren Wasserzeichen. Den Detektor dafür bekommt aber nur die Forschung. Erkennen können Sie Schatten-KI daran nicht. Der erste Reflex ist ein Verbot. Dann wandert die Nutzung aufs private Handy, ins Mobilfunknetz, an Ihrem Netz vorbei. Das Problem wird nicht kleiner. Es wird nur unsichtbar. Der bessere Weg beginnt mit Zählen. Router, Firewall oder DNS-Server protokollieren ohnehin, welche Adressen aufgerufen werden. Daraus lässt sich zählen, wie oft bekannte KI-Dienste genutzt werden. Je Dienst, nicht je Person. Was eingegeben wurde, sieht diese Zählung nicht. Haben Sie einen Betriebsrat, gehört er an den Anfang. Paragraf siebenundachtzig des Betriebsverfassungsgesetzes gibt ihm Mitbestimmung bei technischen Einrichtungen, die Verhalten oder Leistung überwachen sollen. Ob eine reine Zählung darunter fällt, klären Sie vorher, nicht hinterher. Dann bekommt Ihr Team ein erlaubtes Werkzeug, das genauso schnell ist wie das private. Dazu eine Regel auf einer Seite, was hinein darf und was nie. Und eine Schulung, die Sie dokumentieren. Die KI-Verordnung verlangt in Artikel vier Maßnahmen, um die KI-Kompetenz Ihres Personals zu unterstützen. Genau das ist so eine Maßnahme. Ihre Leute zeigen Ihnen gerade, wo KI ihnen hilft. Holen Sie das ins Licht, bevor es ein Datenschutzvorfall für Sie tut.
Worum es geht
Fragt in eurem Betrieb, wer schon einmal einen Text mit ChatGPT umformuliert hat. Die ehrliche Antwort ist oft: mehr Leute, als die Geschäftsführung denkt. Meistens ist das harmlos. Problematisch wird es, wenn dabei Kundendaten, Verträge, Personalakten oder Angebote in einen Dienst kopiert werden, mit dem ihr keinen Vertrag habt.
Seit dem Digital Omnibus (Verordnung (EU) 2026/1744) müssen Betriebe, die KI einsetzen, Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu unterstützen (Art. 4 KI-VO). Eine Regel und eine Schulung lassen sich aber schlecht schreiben, wenn niemand weiß, welche Dienste überhaupt genutzt werden. Genau das finden wir heraus, ohne einzelne Mitarbeitende zu erfassen.
So messen wir
Euer Router, eure Firewall oder euer DNS-Server protokolliert ohnehin, welche Adressen im Netz aufgerufen werden. Aus diesen Daten zählen wir über zwei bis vier Wochen, wie oft bekannte KI-Dienste aufgerufen werden. Gezählt wird je Dienst, nicht je Gerät und nicht je Person. Was eingegeben wurde, sieht diese Messung nicht und soll sie auch nicht sehen.
Die Auswertung läuft bei euch. Die Rohdaten verlassen euer Haus nicht und werden nach der Auswertung gelöscht. Das Ergebnis ist eine Tabelle: welcher Dienst, wie oft in der Woche, und unsere Einordnung, ob er für eure Zwecke in Frage kommt, unklar ist oder nicht genutzt werden sollte.
Erst die Mitbestimmung, dann die Messung
Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt der Betriebsrat mit bei der „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“. Ob eine reine Zählung je Dienst darunter fällt, entscheiden nicht wir. Deshalb steht die Klärung am Anfang: Mit Betriebsrat stimmen wir die Messung vorher ab und liefern auf Wunsch einen Entwurf für eine Betriebsvereinbarung, den die Parteien selbst abschließen. Ohne Betriebsrat kündigen wir die Messung gegenüber der Belegschaft vorher an. Die rechtliche Bewertung im Einzelfall übernimmt eure Rechtsberatung.
Die Pakete
KI-Nutzung im Griff
2.490 € netto · zwei bis vier Wochen Messung · Bericht, Richtlinie und Schulung
- Klärung der Mitbestimmung vor dem Start
- Anonyme Zählung der aufgerufenen KI-Dienste aus euren Router-, Firewall- oder DNS-Daten
- Bericht mit Liste der Dienste, Häufigkeit und Einordnung, einschließlich der Grenzen der Messung
- KI-Richtlinie: welche Werkzeuge wofür erlaubt sind und welche Daten nie hineingehören
- Schulung für euer Team, ein halber Tag, mit Teilnahmeliste als Nachweis
Nachmessung
190 € netto im Monat · Zählung jedes Quartal mit kurzem Bericht
Neue KI-Dienste kommen schnell dazu, und die Liste, gegen die wir zählen, muss gepflegt werden. Einmal im Quartal zählen wir erneut und zeigen, was sich verändert hat.
Microsoft-Funktionen einrichten
nach Aufwand
Microsoft führt Dienste wie ChatGPT, Google Gemini, Copilot in der Verbraucherfassung und DeepSeek in einer eigenen Kategorie „Generative AI“. Mit Microsoft Purview lassen sich auf eingebundenen Windows-Rechnern Regeln einrichten, die warnen oder blockieren, wenn jemand sensible Daten in solche Seiten einfügt (Microsoft Learn). Diese Funktionen sind nutzerbezogen und setzen passende Lizenzen voraus. Wo beides vorhanden ist und eine Betriebsvereinbarung es trägt, richten wir sie ein.
Was ihr danach in der Hand habt
- Eine Übersicht, welche KI-Dienste in eurem Betrieb tatsächlich eine Rolle spielen, ohne dass jemand an den Pranger gestellt wird
- Eine schriftliche Regel, die eure Mitarbeitenden verstehen
- Einen Nachweis über die Schulung zur KI-Kompetenz
- Auf Wunsch ein freigegebenes Werkzeug, mit dem dieselbe Arbeit erlaubt erledigt werden kann, etwa ein Sprachmodell auf eigenem Server
Für wen das passt
Für alle, bei denen sensible Daten durch viele Hände gehen. Besonders Kanzleien, Steuerberatungen, Praxen in den Heilberufen, Pflegedienste und Personaldienstleister. Warum Verbote allein selten helfen, steht in unserem Beitrag zur Schatten-KI.
Wofür wir nicht die Richtigen sind
- Überwachung einzelner Mitarbeitender. Wir werten nicht aus, wer welchen Dienst wann genutzt hat, und bauen auch keine Werkzeuge dafür.
- Browser-Erweiterungen oder Programme, die mitlesen, was jemand in einen Chatbot eingibt.
- Messungen ohne geklärte Mitbestimmung. Wenn die Frage offen ist, warten wir.
- Arbeitsrechtliche Beratung oder Abschluss einer Betriebsvereinbarung. Wir liefern einen Entwurf, verhandeln und abschließen tun die Parteien, rechtlich bewertet ihn eure Rechtsberatung.
Wenn ihr zuerst wissen wollt, wie KI in eurem Betrieb insgesamt aufgestellt ist, beginnt das mit dem KI-Audit.
Klingt nach eurem Fall? In 30 Minuten wisst ihr, ob Schatten-KI sichtbar machen: welche KI-Dienste in eurem Betrieb genutzt werden passt.
Termin aussuchenHäufige Fragen
Was ist Schatten-KI?
Schatten-KI ist die Nutzung von KI-Diensten wie ChatGPT, Gemini oder DeepSeek, die im Unternehmen niemand freigegeben hat. Meist steckt keine böse Absicht dahinter, sondern der Wunsch, schneller fertig zu werden. Das Problem sind die Daten, die dabei in fremde Dienste wandern.
Überwacht ihr damit unsere Mitarbeitenden?
Nein. Wir zählen nur, wie oft welcher KI-Dienst aufgerufen wird, nicht wer ihn aufruft und nicht, was eingegeben wird. Die Rohdaten bleiben bei euch und werden nach der Auswertung gelöscht. Trotzdem klären wir vor der ersten Messung, ob euer Betriebsrat mitbestimmen muss, denn § 87 Abs. 1 Nr. 6 BetrVG betrifft technische Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung zu überwachen. Wie das in eurem Fall rechtlich einzuordnen ist, klärt ihr mit eurer Rechtsberatung.
Was sieht die Zählung nicht?
Sie sieht nicht, was in einen KI-Dienst eingegeben wurde, und sie sieht keine Nutzung über private Handys im Mobilfunknetz oder von zu Hause. Das schreiben wir offen in den Bericht. Die Zählung zeigt, welche Dienste im Betrieb überhaupt eine Rolle spielen, und das reicht, um eine sinnvolle Regel zu schreiben.
Wir haben Microsoft 365. Brauchen wir das trotzdem?
Vielleicht nicht in dieser Form. Microsoft führt KI-Dienste wie ChatGPT, Google Gemini und DeepSeek in einer eigenen Kategorie „Generative AI“ und kann mit Microsoft Purview auf eingebundenen Windows-Rechnern warnen oder blockieren, wenn sensible Daten in solche Seiten eingefügt werden. Diese Funktionen arbeiten nutzerbezogen und hängen von euren Lizenzen ab. Wo sie vorhanden sind und eine Betriebsvereinbarung sie trägt, richten wir sie ein, statt etwas Eigenes zu bauen.
Reicht es nicht, ChatGPT einfach zu verbieten?
Ein Verbot ohne erlaubte Alternative verlagert die Nutzung meist nur aufs private Handy. Deshalb gehört zu unserem Paket immer eine Regel, was erlaubt ist, und auf Wunsch ein freigegebenes Werkzeug, mit dem eure Leute dieselbe Arbeit erledigen können.
Passt das zu eurem Projekt?
30-Minuten-Erstgespräch — wir hören eurem Use-Case zu und sagen klar, ob Schatten-KI sichtbar machen: welche KI-Dienste in eurem Betrieb genutzt werden der richtige Hebel ist oder etwas anderes besser passt.
Termin aussuchen