---
title: "Risiko Schatten-KI: In 4 Schritten zur sicheren KI-Nutzung nach ISO 42001"
description: ISO 42001 stärkt KI-Governance und minimiert Compliance-Verstösse sowie Schatten-KI-getriebene Cyberrisiken in Unternehmen. Vier Massnahmen für CISOs.
---

[InfoGuard Cyber Security & Cyber Defence Blog ](https://www.infoguard.ch/de/blog)

# [Risiko Schatten-KI: In 4 Schritten zur sicheren KI-Nutzung nach ISO 42001](https://www.infoguard.ch/de/blog/ki-nutzen-nach-iso-42001)

 Geschrieben von [André Mäder](https://www.infoguard.ch/de/blog/author/andré-mäder) | 05. Mär 2026

Der Druck steigt: «Wir brauchen mehr Effizienz!» Die Stimmung im Büro von MysecureKI AG (* Name von der Redaktion geändert) ist angespannt. So infiltriert Schatten-KI schrittweise das Unternehmen. KI-Tools etablieren sich ausserhalb definierter Prozesse und entziehen sich jeder Auditierbarkeit. Die Folge sind Cyber-, Datenschutz- und Haftungsrisiken, die oft erst im Ernstfall sichtbar werden.

Lena klickt auf einen seriös wirkenden Banner: «KI-gestützte Vertragsanalyse – zehnmal schneller, kostenlose Testversion.» Zwei Minuten später meldet sie sich mit ihrer Dienst-E-Mail an und lädt den ersten Kundenvertrag hoch. Das Tool liefert sofort eine präzise Zusammenfassung.

Davide ist beeindruckt. «Das erinnert an D***box damals», sagt er – an jene Phase, als Mitarbeitende aus Frustration über umständliche interne Systeme auf externe Cloud-Dienste auswichen. Was als pragmatische Abkürzung begann, endete in [Datenlecks, Compliance-Verfahren und erheblichem Reputationsschaden](https://www.infoguard.ch/de/blog/datenschutzalarm-erkenntnisse-aus-fehltritt-gesundheitsunternehmen).

«Diesmal ist es anders», denken beide. «Es ist ja nur ein KI-Tool.» Genau hier liegt der Trugschluss.

## Was ist Schatten-KI und wie infiltriert sie Unternehmen?

Was viele bei der verlockend einfachen [Nutzung von KI-Systemen im Business-Alltag](https://www.infoguard.ch/de/blog/cyber-security-radar-2026) nicht wissen: Ihre Daten landen auf Servern in Ländern ohne [DSG](https://www.fedlex.admin.ch/eli/cc/2022/491/de)/DSGVO-konforme Verträge. Das KI-Tool speichert alle hochgeladenen Dokumente, um seine Modelle zu trainieren. Plötzlich sind vertrauliche Kundenverträge, interne Preislisten und sogar personenbezogene Daten veröffentlicht, ohne Kontrolle.

1. Die IT-Abteilung bemerkt nichts. Doch eines Tages ruft ein Kunde an und fragt, warum seine Daten in einem öffentlichen KI-Forum auftauchen.
2. Die Compliance-Abteilung gerät in Panik: Wo sind die Audit-Trails? Wer hat die Daten freigegeben? Wie soll das im nächsten [ISO-27001-Audit](https://www.infoguard.ch/de/blog/isg-nis2-mit-isms-nach-iso-27001) erklärt werden?
3. Die Geschäftsführung erfährt von dem Vorfall und stellt fest, dass nicht wenige Mitarbeitenden und die GL selbst vergleichbare Tools nutzen. Schatten-KI hat das Unternehmen infiltriert.

«Das ist wie bei [Cloud!](https://www.infoguard.ch/de/blog/sicheres-cloud-computing-ohne-compliance-verstoesse) Nur geht es diesmal um KI, die wir nicht verstehen und nicht kontrollieren können», sagt der IT-Leiter in der Krisensitzung.

## Schatten-KI: Zwischen KI-Governance, Regulierung und Angriffsfläche

### [KI ist keine «normale» Software](https://www.infoguard.ch/hubfs/infoguard%20new%20website%202024/content/infoguard-blog-260108_NIS-2-Kickoff%20BSI.pdf)

- Aktive, automatisierte Datenverwertung: Daten werden nicht nur gespeichert, sondern aktiv genutzt, um Modelle zu trainieren, neue Inhalte zu generieren oder sogar Entscheidungen zu treffen.
- Fehler sind schwer fassbar: Ein falsches KI-Ergebnis kann zu falschen Verträgen, Diskriminierung oder rechtlichen Verstössen führen - ohne dass es jemand sofort merkt.

### KI-Compliance wird zum Minenfeld

- CH AI Act, CH DDSG, DSGVO, [EU AI Act](https://www.infoguard.ch/de/blog/ai-act-eu-leitplanken-sichern-ki-einsatz), ISO 42001: Alle verlangen Transparenz, Dokumentation und Kontrolle über KI-Systeme. Doch wie soll das funktionieren, wenn niemand weiss, welche Tools genutzt werden – und klare Weisungen zum gewünschten Verhalten fehlen?
- Audit-Trails fehlen: Wer hat welche Daten wann in welches KI-Tool eingegeben? Ohne Protokolle ein wahrer Albtraum für jede Compliance-Abteilung!

### Cyber Security: Ein offenes Einfallstor für Cyberangreifer

- KI-Tools ohne Sicherheitscheck: KI-Systeme können Malware enthalten, Phishing-Links generieren oder Daten an Dritte weitergeben.
- KI als Angriffswerkzeug: Hacker nutzen KI, um realistischere Phishing-Mails zu schreiben oder Schwachstellen in Systemen zu finden – und mit Schatten-KI machen wir es ihnen noch leichter.

Ein [strukturierter Abgleich mit ISO 42001](https://www.infoguard.ch/de/iso-iec-42001-2023-gap-analyse) hilft, Governance, Prozesse und technische Massnahmen konsistent auszurichten.

## Vier wirksame Massnahmen gegen Schatten-KI und Compliance-Risiken

### 1. Führung auf KI-Risiken sensibilisieren – offen und praxisnah.

- Live-Demo: Ein IT-Sicherheitsexperte zeigt, wie schnell ein KI-Tool vertrauliche Daten preisgeben kann - und wie einfach es ist, gezieltes Social Engineering damit zu betreiben.
- Botschaft: «Erinnert ihr euch an den D***box-Vorfall 2015? Damals haben wir gelernt, dass‚ einfach mal ausprobieren teuer werden kann. Bei KI ist das Risiko noch gravierender.»

### 2. Sichere und compliant geprüfte KI-Alternativen anbieten

- Geprüfte und Genehmigte KI-Tools und Apps: Das Unternehmen führt unternehmensweite Lizenzen für sichere KI-Plattformen ein - mit CH AI Act, CH DDSG, DSGVO, EU AI Act, ISO 42001-konformen Verträgen und klaren Nutzungsrichtlinien.
- Schnelle Freigabeprozesse: Mitarbeitende können neue Tools über ein Self-Service-Portal beantragen - statt sie heimlich zu nutzen.

### 3. Datenflüsse technisch überwachen und kontrollieren

- [CASB-Lösungen ](https://www.microsoft.com/de-ch/security/business/security-101/what-is-a-cloud-access-security-broker-casb)[(Cloud Access Security Broker)](https://www.microsoft.com/de-ch/security/business/security-101/what-is-a-cloud-access-security-broker-casb) überwachen den Datenverkehr zu KI-Tools und blockieren unautorisierte Uploads.
- KI-spezifische Security-Tools wie Microsoft Purview analysieren, welche Daten in KI-Systeme fliessen - und alarmieren bei Verdachtsfällen.

### 4. KI-Governance strukturiert verankern – etwa nach ISO 42001

Das Unternehmen implementiert ein KI-System nach ISO 42001:

- Risikobewertung: Welche KI-Tools dürfen genutzt werden? Welche Daten sind tabu?
- Dokumentation: Jede KI-Nutzung wird protokolliert - für Audit-Sicherheit und Transparenz.
- Regelmässige Schulungen: Mitarbeitende lernen, KI-Risiken zu erkennen und sichere Alternativen zu nutzen.

## Drei Schritte zur KI-Strategie ohne Schatten-KI

Schatten-KI entsteht nicht aus böser Absicht, sondern aus Frustration und Zeitdruck und dem Wunsch nach effizienteren Arbeitsabläufen. Doch die Konsequenzen sind real und kostspielig: Datenverluste, Compliance-Verstösse, rechtliche Risiken und Reputationsschäden.   
Wer KI produktiv nutzen will, braucht Sicherheit – und eine praktikable Lösung. Der richtige Ansatz verbindet Aufklärung, sichere Alternativen und klare Leitplanken für den Alltag.

Drei zentrale Säulen ermöglichen eine sichere Nutzung:

1. Verständnis schaffen: Warum ist Schatten-KI riskant?
2. Sichere Alternativen bieten: Schnelle, nutzerfreundliche KI-Tools, die Compliance und Sicherheit garantieren.
3. Kontrolle & Transparenz: Mit Standards wie ISO 42001, CASB und Monitoring unsichtbare Risiken sichtbar machen.

### Schatten-KI steuern mit ISO 42001: Struktur schafft Cyberresilienz

Schatten-KI ist kein Trendphänomen – sie ist längst Realität im Unternehmensalltag. Wer KI produktiv und sicher einsetzen will, braucht klare Leitplanken, verlässliche Prozesse und Transparenz über Datenflüsse. Mit einer [fundierten KI-Security-Strategie](https://www.infoguard.ch/hubfs/downloads/infoguard-downloads/infoguard-iso-%2042001-gap-analyse-d.pdf), praxiserprobten Tools und einem strukturierten Vorgehen schaffen Unternehmen nicht nur Compliance, sondern verwandeln KI in einen echten Wertbeitrag für Sicherheit, Effizienz und Innovation.

Mit einer strukturierten und sicheren KI-Strategie gewinnen Sie:

- Eine belastbare Roadmap für den sicheren KI-Einsatz,
- Klarheit über den Reifegrad und konkrete Handlungsfehler,
- Transparenz über Daten- und KI-Nutzung, auditfest und nachvollziehbar,
- sowie eine nachhaltige Reduktion von Schatten-KI durch klare Regeln, sichere Plattformen und gezielte Kontrolle.

Unsere Erfahrung aus Strategie- und Sicherheitsprojekten zeigt: [Wirksame KI-Governance](https://www.infoguard.ch/de/iso-iec-42001-2023-gap-analyse) entsteht dort, wo Führung, IT, Compliance und Security gemeinsam Verantwortung übernehmen. Nachhaltige Lösungen verbinden regulatorische Anforderungen – etwa aus dem EU AI Act oder ISO 42001 – mit bestehenden Prozessen und technischen Schutzmassnahmen.

So wird KI nicht zum Risiko, sondern zu einem kontrollierten Innovationsfaktor.

 

Bildlegende: mit KI generiertes Bild

[Vollständigen Beitrag anzeigen](https://www.infoguard.ch/de/blog/ki-nutzen-nach-iso-42001)

```json
{
  "@context" : "http://schema.org",
  "@type" : "BlogPosting",
  "author" : {
    "@type" : "Person",
    "name" : "André Mäder"
  },
  "dateModified" : "2026-06-18T06:47:09.430Z",
  "datePublished" : "2026-03-05T09:00:00Z",
  "headline" : "Risiko Schatten-KI: In 4 Schritten zur sicheren KI-Nutzung nach ISO 42001",
  "image" : {
    "@type" : "ImageObject",
    "height" : 700,
    "url" : "https://1865239.fs1.hubspotusercontent-eu1.net/hubfs/1865239/infoguard%20new%20website%202024/images/blog/infoguard-blog-schatten-ki-2026.png",
    "width" : 1297
  },
  "mainEntityOfPage" : "https://www.infoguard.ch/de/blog/ki-nutzen-nach-iso-42001",
  "publisher" : {
    "@type" : "Organization",
    "logo" : {
      "@type" : "ImageObject",
      "height" : 60.0,
      "url" : "https://www.infoguard.ch/hubfs/InfoGuard/logo/InfoGuard_Logo.png",
      "width" : 227.616
    },
    "name" : "InfoGuard Cyber Security & Cyber Defence Blog"
  }
}
```