Schatten-KI in Banken: Warum das Verbot das Problem verschärft

Das Verbot ist da. Die KI-Nutzung auch.

Viele Banken sperren ChatGPT und halten das für eine Lösung. Das Problem beginnt genau dort. Schatten-KI ist die Nutzung privater, nicht freigegebener KI-Tools durch Mitarbeiter, und sie wächst genau in dem Maß, in dem offizielle Lösungen fehlen oder zu spät kommen. Ein Verbot verhindert nicht die Nutzung von KI, sondern nur die Kontrolle darüber.

Die Datenlage ist eindeutig. Laut einer Bitkom-Studie von Oktober 2025, für die 604 Unternehmen ab 20 Beschäftigten befragt wurden, berichten 8 Prozent von verbreiteter privater KI-Nutzung durch Mitarbeiter und weitere 17 Prozent von Einzelfällen. Einschließlich der Unternehmen, die eine solche Nutzung vermuten, gehen 42 Prozent davon aus, dass Beschäftigte private KI-Tools einsetzen. Zugleich stellen erst 26 Prozent ihren Mitarbeitern selbst generative KI bereit. Zwischen Bedarf und Angebot klafft eine Lücke, und diese Lücke füllen die Mitarbeiter privat. Je länger ein Institut mit einer offiziellen Lösung wartet, desto fester setzt sich die private Nutzung als Gewohnheit fest, und desto schwerer wird es, sie später zurückzuholen.

Warum Mitarbeiter auf private KI-Tools ausweichen

Die Motivation ist selten Nachlässigkeit. Sie ist Produktivität. Ein Sachbearbeiter, der eine Textzusammenfassung, eine Formulierungshilfe oder eine Recherche in Minuten statt Stunden erledigt, greift zu dem Tool, das funktioniert. Fehlt die freigegebene Lösung, ist das private Endgerät mit einem frei zugänglichen Sprachmodell die naheliegende Alternative.

In Banken verschärft sich das Muster. Freigegebene Tools sind oft im Funktionsumfang beschnitten, die Freigabeprozesse dauern, und die interne Kommunikation erklärt selten, was erlaubt ist und was nicht. Das Ergebnis: Die engagiertesten Mitarbeiter, die neue Tools zuerst ausprobieren, wandern als Erste in die Schatten-KI ab. Das Institut verliert damit ausgerechnet die Menschen aus dem Blick, die den Wandel tragen könnten.

Was ein Verbot in einer regulierten Bank wirklich bewirkt

Ein Verbot ohne Alternative erzeugt drei Risiken zugleich. Erstens gelangen vertrauliche oder personenbezogene Daten in Systeme außerhalb der Kontrolle der Bank. Zweitens entsteht keine Nachvollziehbarkeit darüber, welche Entscheidungen mit welchen Tools vorbereitet wurden. Drittens verliert das Institut den Überblick über die tatsächliche Nutzung, und damit die Grundlage für jede Governance.

Gerade im regulierten Umfeld wiegt das schwer. Mit der EU-Verordnung DORA, dem Digital Operational Resilience Act, die seit dem 17. Januar 2025 gilt, und den Anforderungen des Datenschutzes steht die Bank in der Pflicht, den Umgang mit Daten und IT-Dienstleistern zu steuern. Schatten-KI unterläuft genau diese Steuerung. Wer die regulatorische Seite ernst nimmt, findet die Einordnung in unserem Beitrag DORA, EU AI Act, MaRisk: Der Regulierungsrahmen für KI in Banken.

Schatten-KI ist ein Führungsthema, kein IT-Problem

Die Versuchung ist groß, Schatten-KI an die IT-Abteilung zu delegieren. Das greift zu kurz. Ob Mitarbeiter zu privaten Tools greifen, hängt von der Kultur ab, die eine Führung vorlebt. Wird Eigeninitiative bei digitalen Tools belohnt oder sanktioniert? Gibt es einen Ort, an dem Mitarbeiter offen sagen, womit sie arbeiten?

Institute, in denen die Führung KI als Querschnittsthema versteht und aktiv steuert, holen die Nutzung schneller aus dem Schatten. Institute, in denen KI als Modeerscheinung abgetan wird, züchten sich ihre Schatten-KI selbst heran. Die Technik ist selten das Hindernis. Die Entscheidung, das Thema zur Chefsache zu machen, ist der Hebel.

Wie Banken Schatten-KI in geordnete Bahnen lenken

Der Weg aus der Schatten-KI führt nicht über schärfere Verbote, sondern über ein besseres Angebot. Eine freigegebene, datenschutzkonforme KI-Lösung, die im Alltag wirklich hilft, zieht die Nutzung aus dem Schatten ins Licht. Entscheidend ist, dass das freigegebene Tool den Vergleich mit den frei verfügbaren Modellen nicht scheut.

Dazu gehören Regeln, die den Namen verdienen. Laut der genannten Bitkom-Studie hatten Ende 2025 erst 23 Prozent der Unternehmen verbindliche Regeln zur KI-Nutzung aufgestellt, nach 15 Prozent im Vorjahr. Der Trend zeigt in die richtige Richtung, aber die Mehrheit steuert die Nutzung noch nicht. Eine Regel, die klar sagt, welche Daten in welches Tool dürfen, ist wirksamer als ein pauschales Verbot, das niemand befolgt.

Der dritte Baustein ist Befähigung. Ein Tool entfaltet erst Wirkung, wenn die Mitarbeiter es beherrschen. Schulung, praxisnahe Anwendungsfälle und sichtbare Erfolge im eigenen Institut verwandeln Skepsis in Nutzung. Dass ein bereitgestelltes Tool allein nichts bewegt, zeigt die Erfahrung vieler Institute, mehr dazu in Warum sich der KI-ROI so schwer messen lässt.

Was gute Regeln von schlechten unterscheidet

Eine schlechte Regel verbietet pauschal und erklärt nichts. Eine gute Regel benennt konkret, welche Aufgaben mit welchen Tools erlaubt sind und welche Daten nie das Institut verlassen dürfen. Der Unterschied entscheidet über die Befolgung. Mitarbeiter halten sich an Regeln, die sie verstehen und die ihnen die Arbeit erleichtern, nicht an solche, die pauschal jede Nutzung untersagen.

Wirksame Regeln bleiben zudem nah an der Praxis. Sie unterscheiden zwischen der harmlosen Formulierungshilfe für einen internen Vermerk und der Verarbeitung von Kundendaten, die klar geregelt gehört. Wer diese Abstufung vornimmt, gibt den Mitarbeitern einen sicheren Rahmen statt eines Denkverbots. Genau das holt die Nutzung aus dem Schatten, ohne die Produktivität zu opfern.

Der erste Schritt ist ein Lagebild, kein Regelwerk

Bevor eine Bank Regeln schreibt, sollte sie wissen, was tatsächlich passiert. Wer nutzt welche Tools, für welche Aufgaben, mit welchen Daten? Dieses Lagebild ist die Grundlage für jede sinnvolle Governance. Es entsteht nicht durch eine Richtlinie von oben, sondern durch ein ehrliches Bild aus der Organisation.

Genau hier setzen wir an. Gemeinsam nehmen wir die Ausgangslage auf, machen die reale Nutzung sichtbar und leiten daraus Handlungsfelder ab. Aus dem Schatten wird ein steuerbarer Prozess, und aus einem pauschalen Verbot wird ein Angebot, das die Nutzung lenkt statt sie zu vertreiben. Wo das eigene Institut wirklich steht, besprechen wir gern in einem ersten Gespräch.