Schatten-KI-Check — acht Fragen zur KI-Nutzung im eigenen Betrieb

Schatten-KI ist der Teil der KI-Nutzung im Betrieb, von dem die Verantwortlichen nichts wissen: ein Übersetzungsdienst, der mit dem Firmenkonto verbunden wurde, ein Notizdienst, der in Besprechungen mitschreibt, eine Browser-Erweiterung, die Texte an einen Anbieter schickt. Der Begriff stammt aus derselben Familie wie „Schatten-IT“ und meint nichts Böswilliges — meistens ist es jemand, der schneller fertig werden wollte.

Nein. Der Selbsttest rechnet ausschließlich in Ihrem Browser; es gibt keinen Endpunkt, an den die Antworten gehen könnten. Erst wenn Sie am Ende die KI-Richtlinien-Vorlage anfordern, übertragen Sie Ihre E-Mail-Adresse — und auch dann gehen die Antworten nicht mit.

Anbieter und Betreiber von KI-Systemen müssen nach Artikel 4 der KI-Verordnung nach besten Kräften unterstützen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Die Pflicht gilt seit dem 2. Februar 2025. Seit dem Digital Omnibus vom 27. Juli 2026 stellt die Verordnung ausdrücklich klar, dass damit kein bestimmtes Kompetenzniveau garantiert werden muss. Ein Bußgeld ist an Artikel 4 nicht geknüpft: Er steht weder im Sanktionskatalog des Art. 99 Abs. 4 der Verordnung (EU) 2024/1689 noch im deutschen KI-Marktüberwachungsgesetz vom 22. Juli 2026, dessen § 15 die Artikel 21, 27, 45 und 86 nennt.

Nein. Artikel 26 regelt die Pflichten von Betreibern von Hochrisiko-KI-Systemen und gilt ausschließlich für diese. Wer im Arbeitsalltag ein allgemeines Sprachmodell benutzt, betreibt in aller Regel kein Hochrisiko-System. Verbindlich ist für Sie Artikel 4 (KI-Kompetenz) und, wenn Sie KI nach außen einsetzen, Artikel 50 — dort treffen den Betreiber allerdings nur die Absätze 3 und 4; die Absätze 1 und 2 richten sich an den Anbieter.

Wenn das Werkzeug objektiv geeignet ist, Verhalten oder Leistung zu überwachen, greift das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG — auf die Absicht kommt es dabei nicht an. Unabhängig davon ist der Betriebsrat nach § 90 Abs. 1 Nr. 3 BetrVG über geplante Änderungen von Arbeitsverfahren rechtzeitig zu unterrichten. In der Praxis scheitern Vorhaben selten am Nein des Gremiums, sondern daran, dass es zu spät gefragt wurde.

Der Selbsttest fragt Sie, der Radar misst. Der Schatten-KI-Radar in Hugo KI liest nach einer Freigabe durch Ihre IT aus Microsoft Entra ID aus, welche Anwendungen tatsächlich mit Firmenkonten verbunden sind, welche Berechtigungen sie haben und in welchen Abteilungen sie benutzt werden. Inhalte liest er nicht, und private Konten sieht er nicht.