Laut Branchenerhebungen nutzen rund 71 Prozent der Mitarbeitenden KI-Tools, die im Unternehmen nicht freigegeben sind — häufig mit echten Firmen- und Kundendaten (Anbieter-Erhebung; die Größenordnung deckt sich mit mehreren Studien, exakte Werte variieren). Ein typischer Fall: Ein Vertriebsmitarbeiter gibt über Monate Kundendaten, Angebotsentwürfe und interne Kalkulationen in die kostenlose ChatGPT-Version ein, ohne Enterprise-Vertrag, ohne Datenschutzfolgenabschätzung, ohne Freigabe. Für den Datenschutzkoordinator stellen sich dann drei Fragen: Welche rechtlichen Risiken bestehen, welche Sofortmaßnahmen sind nötig — und wie verhindert eine KI-Richtlinie, dass sich der Vorfall in der nächsten Abteilung wiederholt?

Schatten-KI ist kein Einzelfall —
sie ist die Regel

Was in diesem Vertriebsbeispiel passiert ist, hat einen Namen: Schatten-KI, englisch Shadow AI. Gemeint ist die Nutzung von KI-Anwendungen durch Mitarbeitende ohne offizielle Freigabe, ohne Kenntnis von IT und Datenschutz, außerhalb jedes Prozesses. Vereinfacht gesagt: wenn jemand ein Tool nutzt, das die Organisation nie abgesegnet hat.

Das Ausmaß ist größer, als viele vermuten: In etlichen Organisationen laufen KI-Tools, die nie freigegeben wurden — und die IT überschätzt regelmäßig, wie viel sie davon überhaupt mitbekommt. Erhebungen zeigen übereinstimmend, dass die Mehrheit der Unternehmen nicht freigegebene KI-Anwendungen im Haus hat, mit rasch steigender Tendenz.] Das ist keine Wissenslücke — das ist eine Governance-Lücke.

Schatten-KI unterscheidet sich von klassischer Schatten-IT in einem entscheidenden Punkt: Es geht nicht um eine unauthorisierte Softwareinstallation, sondern um Datenabfluss in Echtzeit. Jeder Prompt in einem nicht freigegebenen Tool ist eine potenzielle Datenweitergabe an Dritte — auf Servern, die das Unternehmen weder kontrolliert noch auditieren kann. Was einmal eingegeben ist, ist draußen.

DSGVO und KI-VO greifen gleichzeitig — das verdoppelt das Risiko

Sobald personenbezogene Daten in ein KI-Tool fließen, gilt die DSGVO vollständig. Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen zur Datensicherheit — eine interne Richtlinie, die den Umgang mit KI regelt, ist genau das: eine organisatorische Maßnahme. Vereinfacht gesagt: Wer keine Richtlinie hat, hat auch keinen Nachweis, dass er die Pflicht erfüllt.

Hinzu kommt die KI-Verordnung. Artikel 4 des EU-AI-Acts verpflichtet jeden Betreiber von KI-Systemen, Maßnahmen zu ergreifen, die die KI-Kompetenz seiner Mitarbeitenden fördern. Diese Pflicht gilt seit dem 2. Februar 2025 — nicht erst ab August 2026, nicht nur für Großunternehmen. Seit der Neufassung durch den Digital-Omnibus (27. Juli 2026) muss dabei für niemanden „ein bestimmtes Niveau an KI-Kompetenz" garantiert werden. Und die Zahlen zeigen die Lücke: Nur 27 Prozent der deutschen Unternehmen haben bislang KI-Schulungen aufgesetzt, während 56 Prozent bereits ChatGPT, Copilot und ähnliche Tools im Einsatz haben (Branchenerhebung 2026). 

Besonders heikel: DSGVO- und KI-VO-Bußgeldregime können nebeneinander greifen, weil beide Gesetze unterschiedliche Pflichten schützen. Die oft zitierte Addition „35 Mio. plus 20 Mio. Euro für denselben Vorfall" ist allerdings eine Vereinfachung: Der 35-Mio.-Rahmen der KI-VO gilt nur für verbotene Praktiken (Art. 5), und bei identischem Sachverhalt begrenzt der Grundsatz „ne bis in idem" eine doppelte Sanktionierung. Realistisch ist: zwei Aufsichtsregime, zwei Prüfmaßstäbe, je eigenes Bußgeldrisiko. Eine interne KI-Richtlinie ist damit kein optionaler Qualitätsbaustein. Sie ist der dokumentierte Nachweis, dass das Unternehmen seine Sorgfaltspflichten ernst nimmt.

Die Richtlinie
in sieben Schritten erstellen

Eine KI-Richtlinie muss kein 40-Seiten-Dokument sein. Was zählt, ist Klarheit in den entscheidenden Punkten — und eine Struktur, die bei Behördenanfragen als Nachweis standhält. Die GDD (Gesellschaft für Datenschutz und Datensicherheit) und das IHK-Muster folgen beide einem Aufbau mit sieben Kernbausteinen.]

Die Muster-Gliederung einer KI-Richtlinie

Die folgende Struktur orientiert sich an der GDD-Musterrichtlinie und den IHK-Empfehlungen. Sie ist auf KMU-Verhältnisse ausgelegt.

1. Präambel und Grundsätze

2. Begriffsbestimmungen

3. Erlaubte und verbotene KI-Tools

4. Regeln für die Prompt-Gestaltung

5. Freigabeprozess für neue KI-Tools

6. Schulung und Nachweisdokumentation (Art. 4 KI-VO)

7. Verantwortlichkeiten

8. Meldepflicht bei KI-Vorfällen

9. Überprüfung und Fortschreibung

Anhang A: Freigabeliste der KI-Tools (Version + Datum)
Anhang B: Schulungsprotokoll-Vorlage
Anhang C: KI-Vorfall-Meldebogen

Diese Gliederung ist keine Pflichtform. Wer die GDD-Vorlage oder das IHK-Muster als Ausgangsbasis nimmt und diese neun Punkte vollständig abdeckt, hat eine Richtlinie, die bei einer Behördenanfrage standhält.

Freigabeprozess: der einzige Weg, Schatten-KI einzudämmen

Verbote allein funktionieren nicht — das zeigen die Zahlen eindrücklich. Wer KI-Tools verbietet, ohne gleichzeitig einen praktikablen Alternativweg zu öffnen, erhöht die Schatten-KI-Nutzung.] Entscheidend ist ein Freigabeprozess, der schnell und nachvollziehbar ist.

Drei Anforderungen machen einen Freigabeprozess praxistauglich. Erstens: niedrigschwellige Antragstellung — ein einfaches Formular mit fünf Pflichtfeldern (Toolname, Zweck, Datenklasse, Abteilung, vorgeschlagener Vertrag). Zweitens: klare Prüfungskriterien, die der Koordinator vorab definiert hat — Checkliste aus AVV-Status, Drittlandregelung, Risikoklasse nach KI-VO, DSFA-Prüfung. Drittens: verbindliche Bearbeitungsfrist von maximal zehn Werktagen für Standardanfragen. Wer länger wartet, riskiert, dass die Mitarbeitenden das Tool trotzdem nutzen — nur eben ohne Freigabe.

Der Koordinator prüft nicht allein. Die Checkliste aus Baustein 23 des Datenschutz-Audits — Rechtsgrundlage, AVV, Drittlandbezug, Risikoklasse, DSFA-Pflicht — ist das strukturierte Prüfraster. Das Ergebnis landet in der Freigabeliste (Anhang A der Richtlinie), die vierteljährlich aktualisiert wird.

Was die Richtlinie nicht leistet — und was trotzdem getan werden muss

Eine gut formulierte Richtlinie erzeugt keine Compliance von allein. Sie ist das Regelwerk. Die Compliance entsteht durch die Schulung, die Kommunikation und die Konsequenz bei Verstößen.

Drei Punkte, die in der Praxis häufig übersehen werden:

Die Richtlinie ist fertig.
Jetzt kommt der schwierige Teil.

Das Dokument ist unterschrieben, die Freigabeliste ist befüllt, das erste Schulungsprotokoll liegt vor. Was passiert, wenn der nächste Mitarbeiter trotzdem Kundendaten in eine nicht freigegebene KI eingibt?

Das ist kein theoretischer Grenzfall. Es ist der Moment, in dem die Richtlinie zeigt, ob sie mehr ist als Papier. Die Reaktion des Koordinators — dokumentiert, verhältnismäßig, nachvollziehbar — ist der eigentliche Prüfstein. Wer diesen Fall einmal geübt hat, bevor er eintritt (mit einem definierten Meldebogen, einer klaren Eskalationskette, einem Datenpannen-Protokoll), steht bei der nächsten Behördenanfrage auf sicherem Boden.

Die Datenpanne aus dem Vertriebsbeispiel am Anfang dieser Lektion? Mit einer fertigen Richtlinie wäre es kein ungeregelter Ausnahmefall, sondern ein dokumentierter, verwalteter Vorgang. Das ist der Unterschied.