Vom fehlenden Gespräch zum Sicherheitsrisiko: Wie ein KI-Rollout ohne Change-Management zur Schatten-IT wird

Ein Beitrag von Donald Pennet

Im ersten Teil dieser Reihe ging es um das Scheitern auf der individuellen Ebene: ungenaue Prompts, überhöhte Erwartungen, fehlende Prüfschritte. Das sind Muster, die sich bei einer einzelnen Person am Schreibtisch beobachten lassen.

Dieser Beitrag dokumentiert eine andere Ebene: was passiert, wenn ein Unternehmen KI einführt, ohne die Menschen mitzunehmen, die damit arbeiten sollen. Es geht nicht um eine einzelne Ursache, sondern um eine Kette – ein Faktor erzeugt den nächsten, und am Ende steht oft ein Ergebnis, das mit der ursprünglichen Entscheidung kaum noch etwas zu tun hat.

Die Kette

Einführung ohne Einbindung der Mitarbeiter        ↓ Angst um den eigenen Arbeitsplatz / Gefühl der Übergehung        ↓ Innerer Widerstand gegen das offizielle Tool        ↓ Ausweichen auf private KI-Abos (Schatten-IT)        ↓ Unternehmensdaten fließen in nicht kontrollierte Systeme        ↓ Compliance- und Datenschutzrisiko

Jeder Pfeil in dieser Kette ist einzeln nachvollziehbar. Das Auffällige ist, dass er in der öffentlichen Diskussion über "scheiternde KI-Projekte" fast nie als Kette behandelt wird – meist wird nur ein einzelnes Glied herausgegriffen ("Mitarbeiter nutzen heimlich ChatGPT" oder "es fehlt an Schulungen"), ohne zu zeigen, woraus dieses Glied entstanden ist.

Stufe 1: Die Einführung ohne Gespräch

Der Ausgangspunkt ist selten böser Wille. Häufiger ist es Zeitdruck: Eine Geschäftsführung entscheidet sich für ein KI-Tool, weil Wettbewerber es auch tun oder weil eine Kennzahl verbessert werden soll. Die Einführung wird als technisches Projekt behandelt – Lizenz kaufen, Zugang einrichten, fertig.

Was in diesem Schritt fehlt, ist die Beantwortung einer einfachen Frage aus Sicht der Belegschaft: Was bedeutet das für meine Aufgabe? Wird sie einfacher, überflüssig, oder verändert sie sich in eine Richtung, die ich nicht kenne? Bleibt diese Frage unbeantwortet, füllt sie sich von selbst – meist mit der ungünstigsten Annahme.

Stufe 2: Aus offener Frage wird Angst

Unbeantwortete Fragen zur eigenen Position werden in aller Regel nicht neutral interpretiert. Wenn ein Unternehmen ein Tool einführt, das ausdrücklich als Automatisierung beworben wird, aber nicht erklärt, was das für einzelne Rollen heißt, entsteht daraus in vielen Fällen die Annahme: Das Tool soll mich ersetzen.

Diese Annahme muss nicht zutreffen, um wirksam zu sein. Sie bestimmt bereits das Verhalten, bevor irgendjemand sie ausspricht.

Stufe 3: Aus Angst wird Widerstand – nicht immer offen

Der Widerstand zeigt sich selten als offene Ablehnung. Häufiger ist er passiv: Das offizielle Tool wird genutzt, aber nur minimal, nur wenn beobachtet, ohne eigene Initiative. Genau dieses Verhalten wird dann von der Geschäftsführung wiederum als Beleg gelesen, dass "die Mitarbeiter nicht mitziehen" – ohne den vorausgegangenen Schritt zu erkennen, der diesen Widerstand erst erzeugt hat.

Stufe 4: Schatten-IT als Ausweg

Parallel dazu bleibt der ursprüngliche Bedarf bestehen – die Arbeit muss erledigt werden, und viele Aufgaben lassen sich mit KI tatsächlich schneller lösen. Wenn das offizielle Tool als bedrohlich oder als zu unflexibel empfunden wird, weichen einzelne Mitarbeiter auf private Abos aus: ein persönlicher ChatGPT-Zugang, ein privates Konto bei einem anderen Anbieter. Das geschieht in der Regel nicht aus Regelverstoß-Absicht, sondern aus demselben Grund, aus dem auch private Excel-Listen neben offiziellen Systemen entstehen – der offizielle Weg ist unbequemer als der inoffizielle.

Stufe 5: Von der Umgehung zum Datenrisiko

Hier verändert sich die Kategorie des Problems. Was als menschliche Reaktion auf mangelnde Einbindung begann, wird an dieser Stelle zu einem technischen und rechtlichen Risiko: Unternehmensdaten, Kundendaten oder interne Dokumente gelangen in Systeme, die nicht durch die IT-Abteilung geprüft, nicht vertraglich abgesichert und aus Sicht der DSGVO in vielen Fällen nicht zulässig sind.

Die deutsche Besonderheit: Betriebsrat und DSGVO als zusätzliche Stufe

In deutschen Unternehmen mit Betriebsrat kommt eine weitere Verzweigung hinzu, die in international geprägten Analysen (die sich häufig auf US-amerikanische Studien wie die des MIT stützen) kaum vorkommt: Die Einführung von KI-Systemen, die Leistungs- oder Verhaltensdaten von Mitarbeitern verarbeiten können, ist in Deutschland grundsätzlich mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG). Wird der Betriebsrat übergangen oder zu spät eingebunden, entsteht ein zusätzlicher Konfliktpunkt, der mit der eigentlichen Tool-Frage nichts mehr zu tun hat, aber die gesamte Einführung verzögern oder blockieren kann.

Für den deutschen Mittelstand kommt hinzu, dass IT-Abteilungen häufig klein oder gar nicht vorhanden sind. Die Kontrolle darüber, welche Daten in welches System fließen, ist damit strukturell schwächer als in Konzernen mit eigener Compliance-Abteilung – die Kette von Stufe 1 bis Stufe 5 läuft hier tendenziell schneller und unbeobachteter ab.

Woran man die Kette früh erkennt

Statt eines allgemeinen Symptom-Checks lassen sich die einzelnen Stufen mit konkreten Fragen prüfen:

• Stufe 1 prüfen: Wurde vor der Einführung mit den betroffenen Teams besprochen, welche Aufgaben sich verändern – oder wurde nur eine Anleitung verschickt?
• Stufe 2 prüfen: Gibt es in Mitarbeitergesprächen unausgesprochene Sorgen um die eigene Rolle, die nie direkt angesprochen wurden?
• Stufe 3 prüfen: Wird das offizielle Tool nur im Beisein von Vorgesetzten sichtbar genutzt, sonst kaum?
• Stufe 4 prüfen: Gibt es Hinweise auf private KI-Nutzung für dienstliche Zwecke (z. B. Formulierungen in Texten, die auf ein anderes Tool als das offizielle hindeuten)?
• Stufe 5 prüfen: Wurde jemals geprüft, welche Daten dabei das Unternehmen verlassen – oder wird das stillschweigend hingenommen?

Was an jeder Stufe stattdessen möglich wäre

• Gegen Stufe 1: Die Einführung als Gespräch beginnen, nicht als Anweisung – mit einer klaren Antwort auf die Frage, was sich für welche Rolle ändert.
• Gegen Stufe 2: Offen benennen, wo Aufgaben tatsächlich wegfallen könnten, statt es unausgesprochen zu lassen. Unklarheit erzeugt mehr Angst als eine unangenehme, aber klare Aussage.
• Gegen Stufe 3: Frühzeitig sichtbar machen, dass Rückfragen und Fehler beim Umgang mit dem Tool erwünscht sind, nicht sanktioniert werden.
• Gegen Stufe 4: Das offizielle Tool so gestalten, dass es der bequemere Weg ist – nicht der kontrollierte, aber unattraktivere.
• Gegen Stufe 5: Eine klare, für alle verständliche Regel, welche Daten in KI-Systeme eingegeben werden dürfen und welche nicht, statt eines Verbots ohne Alternative.

Was dieser Beitrag nicht behauptet

Diese Kette ist ein Muster, kein Naturgesetz. Nicht jede KI-Einführung ohne Change-Management endet in einem Datenschutzvorfall, und nicht jede Schatten-IT-Nutzung hat ihren Ursprung in Angst um den Arbeitsplatz. Die Kette beschreibt eine beobachtbare Verbindung zwischen den Faktoren – wie im ersten Teil dieser Reihe geht es darum, die Beziehungen zwischen den Ursachen sichtbar zu machen, nicht darum, eine einzelne Schuldzuweisung vorzunehmen.

Wie aus Schatten-IT ein Datenschutzrisiko wird | Albtalsichtbar

Albtalsichtbar: Die Kette hinter gescheiterten KI-Einführungen