Vor einiger Zeit bei einem Kunden in einer Besprechung: Ein Mitarbeiter stellte eine Auswertung vor, für die er sonst Tage gebraucht hätte. Die Geschäftsführung war begeistert und lobte ihn vor allen. Was niemand im Raum wusste: Die Arbeit war nicht im Unternehmen entstanden. Sondern abends auf dem privaten Laptop mit einem KI-Werkzeug, das offiziell gar nicht eingesetzt werden darf.
Das nennt man Schatten-KI. Und sie ist längst in fast jedem Unternehmen angekommen. Wie groß das Ausmaß ist, zeigt eine aktuelle McKinsey-Erhebung: 86 Prozent der Unternehmen haben keine Transparenz darüber, wie Daten durch ihre KI-Anwendungen fließen. Nicht weil sie schlampig arbeiten. Sondern weil ein großer Teil der Nutzung gar nicht in den offiziellen Systemen stattfindet.
Zwei Paradoxa, die zusammengehören
Das erste: Je länger ein Unternehmen pilotiert, desto schneller ist die KI trotzdem im Haus. Die Mitarbeitenden warten nicht auf Freigaben. Sie haben ein Problem, sie haben ein Werkzeug, und sie lösen es. Wenn das Unternehmen nicht liefert, liefern die Leute eben selbst.
Das zweite: Ein Verbot erzeugt genau das Risiko, das es verhindern soll. Verbotene Nutzung ist unsichtbare Nutzung. Kein Protokoll, keine Kontrolle, keine Ahnung, welche Daten das Haus verlassen haben. Das Risiko ist damit nicht beseitigt. Es ist nur unsichtbar geworden.
Regulierung ist nicht die Bremse. Sie ist das Gerüst.
Viele Geschäftsführer sehen den EU AI Act als Last. Ich sehe ihn als Anlass. Ab 2026 gilt er in vollem Umfang für Hochrisiko-Systeme und verlangt unter anderem automatisch erzeugte Protokolle über mindestens sechs Monate.
Wer diese Grundlage jetzt schafft, bekommt Compliance und etwas viel Nützlicheres: Übersicht. Endlich wissen, welche KI-Systeme im eigenen Haus laufen, was sie dürfen und wohin ihre Daten fließen. Das ist keine Kür. Das ist die Voraussetzung dafür, dass aus Experimenten Betrieb wird.
Wer Nutzung verbietet, verliert die Möglichkeit, sie zu gestalten. Wer sie in geordnete Bahnen lenkt, bekommt beides: Sicherheit und Tempo.
Mensch, Prozess, Werkzeug: nur in dieser Reihenfolge
Der übliche Weg sieht anders aus: Zuerst wird ein Werkzeug gekauft. Dann werden die Prozesse angepasst. Und ganz am Ende sagt man den Menschen, wie sie damit umzugehen haben. Das Ergebnis kennt man: Niemand nutzt es, und danach heißt es, KI funktioniere eben nicht.
Wir drehen die Reihenfolge um: zuerst der Mensch, dann der Prozess, dann das Werkzeug. Deshalb beginnt jedes Projekt mit einem KI-Check-up. Der beschäftigt sich nicht mit Technologie, sondern mit der Organisation: Wie geht es dem Unternehmen? Wie geht es den Menschen? Welche Ängste gibt es vor Fehlern?
Und genau hier schließt sich der Kreis zur Schatten-KI. Die Kompetenz ist längst da. Sie liegt nur im Verborgenen. Beim Check-up wird sie ans Licht geholt. Aus dem Mitarbeiter, der heimlich etwas ausprobiert, wird derjenige, der die Einführung trägt. Aus einem Sicherheitsrisiko wird die erste Pilotgruppe.
KI ist Infrastruktur, kein Leuchtturm
Wenn man eine Sache mitgeben darf, dann diese: KI nicht als losgelöstes Leuchtturmprojekt verstehen, das auf der Bühne glänzt, sondern als Infrastruktur. Sie zieht sich durch alle Prozesse, alle Systeme, alle Abteilungen.
Das heißt konkret: Die KI-Strategie hängt unter der Unternehmensstrategie. Sie ist kein eigenes Vorhaben neben dem Geschäft, sondern die Art, wie das Geschäft künftig läuft.
Also einfach diese Woche einmal offen ins eigene Unternehmen hineinfragen, wer bereits mit KI arbeitet, ohne Konsequenzen anzudrohen. Die Antwort sagt mehr über den Reifegrad aus als jede Roadmap. Und sie ist der beste Startpunkt, den man bekommen kann.
Gastautor: Roman Eckschlager, Msc, CEO www.mainufaktur.ai