Schatten-KI im Mittelstand: Zwischen Aufbruch und Kontrollverlust

Die Studie, die ein Paradox sichtbar macht

Der deutsche Mittelstand nutzt generative KI häufiger als Unternehmen in jedem anderen OECD-Staat. Gleichzeitig steuert nur ein Bruchteil der Firmen den Einsatz wirklich strategisch. Genau diese Lücke hat die neue Studie "Generative KI aus Sicht mittelständischer Unternehmen: Zwischen Aufbruch und Kontrollverlust" untersucht. Erhoben hat sie die aithoria GmbH aus Dresden zwischen Februar und März 2026 in Kooperation mit der SMK Versicherungsmakler AG. Befragt wurden 134 Unternehmen, ergänzt durch sieben Interviews mit Geschäftsführern aus Handwerk, Produktion und Gewerbe (Quelle: Willimowski, M. C., aithoria Studie 01, 2026).

Das Ergebnis ist ein Weckruf: Die Nutzung von KI läuft der Strategie davon. Und genau daraus entsteht das Phänomen, das im Mittelstand gerade für unruhige Nächte sorgt: Schatten-KI.

Die Zahlen im Überblick

Die zentralen Befunde der Studie in Kürze:

• 38,7 Prozent der deutschen KMU nutzen generative KI. Das ist der höchste Wert aller OECD-Staaten (Quelle: OECD-Studie "Generative AI and the SME Workforce", 2025, zitiert in der aithoria-Studie).
• Nur 4 Prozent der befragten Unternehmen haben KI unternehmensweit etabliert und strategisch gesteuert.
• 42 Prozent der befragten Unternehmen setzen KI und Cloud-Technologien bislang überhaupt nicht ein.
• Der Rest liegt dazwischen: Pilotprojekte, Einzelanwendungen in einzelnen Abteilungen und informelle Nutzung durch Mitarbeitende.

Die Schere zwischen Nutzung und Steuerung ist die eigentliche Nachricht der Studie. Zwischen dem ersten Pilotprojekt und einem gesteuerten, unternehmensweiten Einsatz klafft eine Lücke, die sich weder mit mehr Technik noch mit mehr Lizenzen schließen lässt. Die Kernaussage der Autorinnen und Autoren lautet: Der Erfolg von generativer KI in KMU hängt weniger von der Leistungsfähigkeit der Technologie ab als von ihrer Einbettung in Strukturen, Kultur und Entscheidungslogiken.

Schatten-KI: Wenn Mitarbeitende schneller sind als das Management

Was passiert, wenn das Management zögert, aber die Mitarbeitenden längst angefangen haben? Dann entsteht Schatten-KI. Gemeint ist die Nutzung von KI-Tools ohne Wissen oder Freigabe der IT und der Geschäftsführung: ChatGPT im privaten Account, Copilot in der Gratisversion, Übersetzungstools für interne Dokumente, Bildgeneratoren für die Präsentation von morgen.

Die Studie beschreibt diesen Effekt präzise: Formale Zurückhaltung des Managements verschiebt das KI-Thema von der Strategieebene auf die Ausführungsebene. Und dort wird es heikler, weil die Nutzung ohne jedes Protokoll stattfindet. Niemand weiß, welche Daten in welche Systeme fließen, wer welche Ergebnisse prüft und welche Werkzeuge überhaupt im Einsatz sind.

Wichtig ist die Einordnung: Schatten-KI ist meist kein böser Wille. Es ist der Versuch von Mitarbeitenden, ihre Arbeit gut und schnell zu erledigen. Wenn das Unternehmen keine erlaubte Alternative bereitstellt, suchen sich die Menschen eben selbst eine. Wer das ignoriert, verlagert das Problem nicht, sondern verschärft es.

Warum Schatten-KI zum echten Risiko wird

Fünf Risiken sollten Sie ernst nehmen, bevor Sie Schatten-KI einfach laufen lassen:

• Datenschutz: Sobald personenbezogene Daten in fremde Systeme fließen, braucht es eine vertragliche Grundlage wie eine Auftragsverarbeitung nach DSGVO. Fehlt sie, haftet das Unternehmen, nicht der Mitarbeitende. Wie Sie KI rechtssicher einsetzen, lesen Sie in unserem Beitrag DSGVO-konforme KI: So setzen Mittelständler Künstliche Intelligenz rechtssicher ein.
• EU AI Act: Seit dem 2. August 2026 gelten die allgemeinen Pflichten der KI-Verordnung, und die Bundesnetzagentur überwacht sie in Deutschland. Dazu gehört auch die schon länger bestehende Pflicht zur KI-Kompetenz der Mitarbeitenden. Bei schweren Verstößen drohen Bußgelder bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.
• Qualität ohne Kontrolle: KI-Modelle erfinden selbstbewusst falsche Fakten. Wenn niemand prüft, landen Halluzinationen in Angeboten, Vertragsentwürfen oder der Kundenkommunikation.
• Sicherheit: Geschäftsgeheimnisse, Strategiepapiere und Kundendaten wandern in Tools, die das Unternehmen weder kennt noch kontrolliert. Dazu kommen schwache private Accounts ohne Unternehmensschutz.
• Kosten und Abhängigkeit: Viele Einzelabos, die niemand gebündelt hat, wachsende Abhängigkeit von einzelnen Anbietern und Know-how, das nur bei einzelnen Mitarbeitenden liegt statt im Unternehmen.

Vom Verbot zur Steuerung: So holen Sie Schatten-KI ans Licht

Die schlechte Nachricht zuerst: Verbote funktionieren nicht. Sie treiben die Nutzung nur weiter in den privaten Bereich, wo Sie noch weniger Kontrolle haben. Die gute Nachricht: Schatten-KI ist ein klares Signal. Ihre Mitarbeitenden haben einen echten Bedarf entdeckt. Jetzt geht es darum, daraus einen gesteuerten, produktiven Einsatz zu machen. Vier Schritte helfen dabei:

1. Bestandsaufnahme ohne Anklage. Fragen Sie ehrlich, welche Tools genutzt werden, wofür und mit welchen Daten. Wer den Bestand kennt, kann Risiken priorisieren. Wer stattdessen ermittelt, bekommt keine ehrlichen Antworten.

2. Erlaubte Werkzeuge bereitstellen. Geben Sie dem Bedarf ein offizielles Zuhause: geprüfte Tools, zentrale Accounts, geklärte Verträge. Ein Unternehmen, das eine sichere Alternative anbietet, muss sich über Schatten-KI kaum Sorgen machen.

3. Kurze, klare Regeln. Definieren Sie in einer halben Seite, welche Daten in welche Tools dürfen. Faustregel: Öffentliche und interne Informationen ja, personenbezogene und vertrauliche Daten erst, wenn Auftragsverarbeitung und Zweck geklärt sind.

4. Kompetenz aufbauen. Der EU AI Act verlangt KI-Kompetenz für alle, die mit KI arbeiten. Bieten Sie Schulungen an, die praktisch sind und keine Angst machen: Prompting, Ergebnisprüfung, Datenschutz-Grundlagen. So werden aus stillen Nutzern sichtbare Profis.

Was die 4-Prozent-Spitze anders macht

Die Studie hat Unternehmen mit strategisch gesteuertem KI-Einsatz genauer untersucht und vier Erfolgsfaktoren herausgearbeitet, die sich durch alle Befunde ziehen:

• Nutzennaher Anwendungsfall: KI löst ein konkretes, häufig vorkommendes Problem, statt Technologie um der Technologie willen einzuführen.
• Robuste Governance: Klare Verantwortung, geklärte Datenfragen, dokumentierte Prozesse. Governance wirkt hier als Architektur, nicht als Bürokratie.
• Technikaffine Mitarbeitende als Übersetzer: Menschen, die zwischen Fachabteilung und Technik vermitteln, sind der wichtigste Hebel im Mittelstand.
• Transparente Kommunikation: Wer Ziele, Grenzen und Fortschritte offen kommuniziert, nimmt der Schatten-KI den Nährboden.

Wer aus einem einzelnen, messbaren Pilotprojekt eine echte Strategie entwickeln will, findet in unserem Beitrag KI-Strategie im Mittelstand: Vom Use Case zur Skalierung einen Fahrplan für die nächsten Schritte.

Fazit: Kontrollverlust ist eine Entscheidung

Die aithoria-Studie zeigt: Deutschland führt bei der KI-Nutzung im Mittelstand, aber die Nutzung läuft vielerorts ohne Steuerung. Schatten-KI ist die logische Folge, wenn das Management zögert. Die gute Nachricht ist, dass sich die Lücke schließen lässt, ohne die Dynamik zu zerstören. Wer den Bedarf ernst nimmt, erlaubte Werkzeuge bereitstellt und klare, kurze Regeln kommuniziert, verwandelt unkontrollierte Nutzung in strategischen Vorsprung. Der erste Schritt ist klein: Fragen Sie Ihre Teams, was sie heute schon mit KI machen. Die Antworten werden Sie überraschen, und genau daraus entsteht der Plan.