Schatten-KI bezeichnet die unautorisierte Nutzung von KI-Werkzeugen und -Systemen durch Individuen in einer Organisation, ohne Wissen von und Kontrolle durch beispielsweise IT-Sicherheit oder Datenschutzabteilung. Mit der Verbreitung von Schatten-KI steigt die Angriffsfläche für Cyberattacken, das Risiko für Datenlecks sowie die Gefahr von Falschinformationen und Halluzinationen. Ebenfalls beschrieben wird der Verlust internen Prozesswissens. Schatten-KI ist eine Teilmenge der Schatten-IT, welche generell IT-Systeme, Prozesse oder Dienste umfasst, die ohne Wissen einer zentralen IT benutzt werden.
Der Einsatz von Schatten-KI ist weit verbreitet. 71 % der Befragten in einer britischen Studie gaben an, bei der Arbeit unautorisierte KI-Tools verwendet zu haben, eine andere Studie ergab einen Anteil von 38 % der Beschäftigten, die vertrauliche Arbeitsinhalte in externe KI-Tools eingegeben hatten.
Intrinsische Motivationen wie die Steigerung der eigenen Produktivität und der Automatisierung trivialer Arbeiten spielen eine Rolle, genannt werden aber auch steigender Leistungsdruck, Deadlines, interner Wettbewerb oder dünne Personaldecken, die den KI-Einsatz als Option zum Erreichen der geforderten Ziele scheinen lassen.
Datenlecks werden als eines der größten Risiken beim Einsatz von Schatten-KI bezeichnet, da sensible Daten unkontrolliert in externe Tools eingegeben werden und mögliche Folgen in der Regel nicht direkt erkannt und später nur schwer zurückverfolgt werden können. Ebenso ist der Datenschutz nicht gewährleistet. Inhaltlich sind Halluzinationen in den generierten Ergebnissen eine Gefahr für folgende Unternehmensprozesse, weiter kann der urheberrechtliche Status generierter Inhalte unklar sein.
Die Angriffsfläche für Cyberattacken wird erhöht, nachdem unkontrolliert verwendete KI-Tools weniger zuverlässig mit Updates versorgt werden und für die Verbreitung von Schadcode verwendet werden können. Weiter bestehen Gefahren von Phishing- oder Ransomware-Angriffen.
Lösungen werden beschrieben durch die Adaption von Schatten-KI-Tools in die kontrollierte, interne Ausstattung der Organisation, weiter durch verstärkte Schulung und Überwachung der Mitarbeitenden. Mit DART (Digital shadow AI risk theory) wurde 2026 ein Framework vorgestellt, welches Risiken durch Schatten-IT am Arbeitsplatz strukturiert erfassen und minimieren soll.