Schatten-KI bezeichnet die unautorisierte Nutzung von KI-Werkzeugen und -Systemen durch Individuen in einer Organisation, ohne Wissen von und Kontrolle durch beispielsweise IT-Sicherheit oder Datenschutzabteilung. Mit der Verbreitung von Schatten-KI steigt die Angriffsfläche für Cyberattacken, das Risiko für Datenlecks sowie die Gefahr von Falschinformationen und Halluzinationen. Ebenfalls beschrieben wird der Verlust internen Prozesswissens. Schatten-KI ist eine Teilmenge der Schatten-IT, welche generell IT-Systeme, Prozesse oder Dienste umfasst, die ohne Wissen einer zentralen IT benutzt werden.

Der Einsatz von Schatten-KI ist weit verbreitet. 71 % der Befragten in einer britischen Studie gaben an, bei der Arbeit unautorisierte KI-Tools verwendet zu haben,^[1] eine andere Studie ergab einen Anteil von 38 % der Beschäftigten, die vertrauliche Arbeitsinhalte in externe KI-Tools eingegeben hatten.^[2]

Intrinsische Motivationen wie die Steigerung der eigenen Produktivität und der Automatisierung trivialer Arbeiten spielen eine Rolle, genannt werden aber auch steigender Leistungsdruck, Deadlines, interner Wettbewerb oder dünne Personaldecken, die den KI-Einsatz als Option zum Erreichen der geforderten Ziele scheinen lassen.^[3]

Datenlecks werden als eines der größten Risiken beim Einsatz von Schatten-KI bezeichnet, da sensible Daten unkontrolliert in externe Tools eingegeben werden und mögliche Folgen in der Regel nicht direkt erkannt und später nur schwer zurückverfolgt werden können. Ebenso ist der Datenschutz nicht gewährleistet. Inhaltlich sind Halluzinationen in den generierten Ergebnissen eine Gefahr für folgende Unternehmensprozesse, weiter kann der urheberrechtliche Status generierter Inhalte unklar sein.^[4]

Die Angriffsfläche für Cyberattacken wird erhöht, nachdem unkontrolliert verwendete KI-Tools weniger zuverlässig mit Updates versorgt werden und für die Verbreitung von Schadcode verwendet werden können. Weiter bestehen Gefahren von Phishing- oder Ransomware-Angriffen.^[3]

Lösungen werden beschrieben durch die Adaption von Schatten-KI-Tools in die kontrollierte, interne Ausstattung der Organisation, weiter durch verstärkte Schulung und Überwachung der Mitarbeitenden. Mit DART (Digital shadow AI risk theory) wurde 2026 ein Framework vorgestellt, welches Risiken durch Schatten-IT am Arbeitsplatz strukturiert erfassen und minimieren soll.^[2]

1. ↑ Microsoft reporter: Rise in ‘Shadow AI’ tools raising security concerns for UK. In: Microsoft UK Stories. 13. Oktober 2025, abgerufen am 21. Juli 2026 (britisches Englisch). 
2. ↑ ^{a b} Glorin Sebastian: Digital shadow AI risk theory (DART): A framework for managing data disclosure and privacy risks of AI tools at work. In: Technological Forecasting and Social Change. Band 229, August 2026, S. 124697, doi:10.1016/j.techfore.2026.124697. 
3. ↑ ^{a b} Deepak Puthal, Amit Kumar Mishra, Saraju P. Mohanty, Antonella Longo, Chan Yeob Yeun: Shadow AI: Cyber Security Implications, Opportunities and Challenges in the Unseen Frontier. In: SN Computer Science. Band 6, Nr. 5, 21. April 2025, ISSN 2661-8907, doi:10.1007/s42979-025-03962-x. 
4. ↑ Malte Högemann, Christian Hauff, Oliver Thomas: Von Schatten-IT zu Schatten-KI durch ChatGPT: Herausforderungen und Handlungsempfehlungen aus deutschen Unternehmen. In: Wirtschaftsinformatik & Management. Band 18, Nr. 1-2, April 2026, ISSN 1867-5905, S. 66–73, doi:10.1365/s35764-026-00588-3.