Schatten-KI im Mittelstand: Was die Bitkom-Zahlen wirklich bedeuten

Bei Unternehmen mit 20 bis 99 Beschäftigten stellt nur knapp jedes vierte einen eigenen KI-Zugang bereit. Bei Unternehmen ab 500 Beschäftigten sind es fast doppelt so viele. Das zeigt eine aktuelle Bitkom-Erhebung. Die Lücke dazwischen füllen die Beschäftigten selbst, mit privaten Accounts bei ChatGPT und Co., ohne dass die Geschäftsführung davon weiß. Bitkom nennt das Schatten-KI, und der Anteil der Unternehmen, in denen sie weit verbreitet ist, hat sich seit 2024 verdoppelt.

Das ist keine Randnotiz für IT-Abteilungen. Es ist ein Prozess-Signal: Wenn Beschäftigte sich ihr eigenes Werkzeug suchen, fehlt im Unternehmen ein Weg, der ihnen dasselbe geregelt anbietet.

Die Zahlen im Überblick

• 8 Prozent der Unternehmen berichten von weit verbreiteter privater KI-Nutzung (2024: 4 Prozent)
• 17 Prozent kennen Einzelfälle (2024: 13 Prozent)
• 26 Prozent der Unternehmen stellen selbst einen Zugang zu generativer KI bereit
• Nach Größe: 23 Prozent bei 20 bis 99 Beschäftigten, 36 Prozent bei 100 bis 499, 43 Prozent ab 500 Beschäftigten
• 23 Prozent haben Regeln für den KI-Einsatz aufgestellt (2024: 15 Prozent), 31 Prozent planen das
• 16 Prozent verzichten bewusst auf Regeln, 24 Prozent haben sich mit dem Thema noch gar nicht befasst

Grundlage ist eine repräsentative Telefonbefragung von 604 Unternehmen ab 20 Beschäftigten im Sommer 2025. Bitkom-Präsident Ralf Wintergerst formuliert die Konsequenz so: „Die Unternehmen sollten KI-Wildwuchs vermeiden und der Entwicklung einer Schatten-KI vorbeugen."

Warum gerade kleinere Unternehmen betroffen sind

Die Größenverteilung ist der eigentlich interessante Teil der Zahlen. Je kleiner das Unternehmen, desto seltener gibt es einen offiziellen KI-Zugang, aber die Nachfrage der Beschäftigten verschwindet dadurch nicht. Sie sucht sich nur einen anderen Weg. In einem Betrieb mit 30 Mitarbeitenden reicht oft eine Person, die ChatGPT für Angebotstexte nutzt, eine andere für Übersetzungen und eine dritte für Meeting-Notizen, und schon laufen drei verschiedene Tools mit drei verschiedenen Datenschutz-Einstellungen parallel, ohne dass irgendjemand einen Überblick hat.

Das Muster ist bekannt: Wo ein Prozess fehlt, entsteht Wildwuchs. Nicht, weil Beschäftigte unvorsichtig wären, sondern weil sie ein echtes Problem lösen wollen und dafür das nächstbeste Werkzeug nehmen.

Das eigentliche Risiko sitzt nicht im Tool, sondern in der fehlenden Regel

40 Prozent der befragten Unternehmen haben laut Bitkom entweder bewusst auf Regeln verzichtet oder sich mit dem Thema noch nicht befasst. Genau dort liegt das Problem, nicht in der KI-Nutzung selbst. Ein Mitarbeiter, der ein Kundendokument in ein öffentliches KI-Tool kopiert, verstößt gegen keine Regel, wenn es diese Regel nirgendwo gibt. Er trifft eine Einzelentscheidung, die eigentlich eine Unternehmensentscheidung sein müsste.

Das betrifft nicht nur den Datenschutz. Seit Sommer 2026 gelten für Unternehmen in der EU auch Transparenzpflichten für KI-generierte Inhalte. Wer nicht weiß, an welchen Stellen im eigenen Team überhaupt KI zum Einsatz kommt, kann diese Pflichten kaum zuverlässig erfüllen. Bei Process Vision handhaben wir das inzwischen selbst so: Jedes KI-generierte Bild und Video trägt eine Kennzeichnung, weil klar dokumentiert ist, wo im Ablauf KI beteiligt ist. Das ist nur möglich, weil der Prozess vorher definiert wurde, nicht das Verbot.

Verbieten löst das Problem nicht

Der naheliegende Reflex ist ein Verbot: keine privaten KI-Accounts auf Firmengeräten, fertig. In der Praxis wandert die Nutzung dann auf private Smartphones ab, wo sie noch schwerer nachvollziehbar ist. Bitkom empfiehlt deshalb den umgekehrten Weg: klare Regeln, welche Tools für welche Zwecke genutzt werden dürfen, kombiniert mit einem echten Angebot, statt eines Verbots ohne Alternative.

Für den Mittelstand heißt das konkret: nicht jedes Team braucht eine unternehmensweite KI-Plattform. Aber jedes Team braucht eine klare Antwort auf drei Fragen, bevor Schatten-KI zum Dauerzustand wird.

Vier Schritte aus der Schatten-KI heraus

1. Ist-Zustand erfassen. Ein kurzes, ehrliches Gespräch im Team reicht oft: Wer nutzt heute schon welches Tool wofür? Das ist keine Kontrolle, sondern die Grundlage für die nächsten Schritte.
2. Freigegebene Tools benennen. Ein bis zwei Werkzeuge für die häufigsten Anwendungsfälle festlegen, statt jedem Einzelfall hinterherzulaufen.
3. Grenzen klar ziehen. Welche Daten dürfen in ein KI-Tool, welche nie. Diese Regel muss so kurz sein, dass sie sich jeder merkt.
4. Prozess dokumentieren, nicht nur das Tool. Wo im Arbeitsablauf setzt die KI an, wer prüft das Ergebnis, wie wird das gekennzeichnet. Genau hier setzt eine Prozessautomatisierung für den Mittelstand an, bevor überhaupt über ein bestimmtes Werkzeug entschieden wird.

Wer mit diesen vier Punkten anfängt, hat in der Regel nach wenigen Wochen einen belastbaren Überblick, wo im Unternehmen KI heute schon läuft, und wo eine Regel fehlt.

Fazit

Die Bitkom-Zahlen zeigen kein Kontrollproblem, sondern ein Angebotsproblem: Kleinere Unternehmen bieten seltener einen eigenen KI-Zugang, gleichzeitig steigt die private Nutzung. Wer diese Lücke schließt, holt Schatten-KI nicht durch ein Verbot, sondern durch einen klaren Prozess ins Unternehmen zurück. Auch für die Umsetzung der aktuellen EU-Vorgaben, etwa im Rahmen einer KI-Schulung nach dem EU-KI-Gesetz, ist das der erste Schritt, nicht der letzte.

Wenn Sie nicht sicher sind, wo in Ihrem Unternehmen heute schon KI-Tools im Einsatz sind: In einem kostenlosen Erstgespräch mit Process Vision verschaffen wir uns gemeinsam den Überblick, bevor die nächste Regel oder das nächste Tool zur Debatte steht.

Quellen

• Bitkom: Beschäftigte nutzen vermehrt Schatten-KI (Presseinformation)