Behörden führen künstliche Intelligenz gern ordentlich ein. Erst kommt die Arbeitsgruppe, dann die Datenschutzprüfung, anschließend das Konzept, danach vielleicht noch eine Pilotphase. Der Mitarbeiter war währenddessen schneller. Er hat längst ChatGPT geöffnet.

Genau dort beginnt Shadow AI. Beschäftigte nutzen private KI-Konten für dienstliche Aufgaben, obwohl die Organisation diese Systeme weder freigegeben noch technisch eingebunden hat. Ein Schreiben klingt sperrig? Kurz umformulieren lassen. Ein langer Vorgang? Zusammenfassen. Eine schwierige Antwort? Erst einmal die KI fragen. Für den Einzelnen spart das Zeit. Für die Behörde entsteht nebenbei eine Infrastruktur, die offiziell gar nicht existiert.

Problematisch wird es, sobald aus dem harmlosen Satz dienstliche Information wird. Dafür braucht es keinen vollständigen Verwaltungsvorgang. Namen, Aktenzeichen, Vertragsdetails, interne Abläufe oder einzelne Passagen können bereits personenbezogen, vertraulich oder sicherheitsrelevant sein. Das BSI stellt beim Einsatz von KI deshalb ziemlich grundlegende Fragen: Welche Daten werden übertragen? Wohin? Und wie sicher sind persönliche Informationen überhaupt?

Private Konten verschärfen dieses Problem, weil die Behörde darüber kaum Kontrolle hat. Sie kann weder einheitliche Regeln durchsetzen noch zentral steuern, welche Funktionen genutzt oder welche dienstlichen Informationen eingegeben werden. Genau deshalb betonen Datenschutzbehörden, dass KI-Einsatz organisatorisch geregelt und technisch abgesichert werden muss.

Das Gefährliche an Shadow AI ist also nicht der Mitarbeiter, der sich einmal einen neutralen Satz glätten lässt. Es ist die schleichende Gewöhnung. Heute eine Formulierung. Morgen ein interner Vermerk. Übermorgen der halbe Vorgang.

Die Behörde hat KI vielleicht noch nicht eingeführt. Ihre Mitarbeiter waren nur so freundlich, ihr die Entscheidung abzunehmen.

Quellen:
▪︎ Bundesamt für Sicherheit in der Informationstechnik: Künstliche Intelligenz – Informationen und Empfehlungen
▪︎ Bundesbeauftragte für den Datenschutz und die Informationsfreiheit: KI-Handreichung für die Bundesverwaltung, 2025
▪︎ OpenAI: Data Controls FAQ sowie Business Data Privacy, Security and Compliance