Schatten-KI im Sonderanlagenbau: Rahmen statt Verbot

Kurz gefasst: In vielen Betrieben nutzen Mitarbeitende KI-Werkzeuge, bevor die Geschäftsführung eine Entscheidung getroffen hat. Nach Angaben des Instituts der deutschen Wirtschaft nutzen 33,5 Prozent der Beschäftigten in Betrieben bis 49 Mitarbeitende nicht autorisierte KI-Anwendungen. Ein Verbot verlagert diese Nutzung auf private Geräte. Wirksam ist ein freigegebener Rahmen mit klaren Regeln.

Die Leitfrage dieses Beitrags lautet: Wie gehen Sie als Geschäftsführung im Sonderanlagenbau damit um, dass Konstruktion, Projektleitung und Arbeitsvorbereitung bereits mit KI-Werkzeugen arbeiten, ohne dass jemand das freigegeben hat? Die Antwort ist weder ein Verbot noch ein Projekt über zwölf Monate. Sie besteht aus drei Bausteinen: einer ehrlichen Bestandsaufnahme, einer freigegebenen Umgebung und einer kurzen schriftlichen Regel. Dieser Beitrag beschreibt, wie Sie die drei Bausteine in der Reihenfolge angehen, die im Projektgeschäft funktioniert.

Was Schatten-KI im Betrieb konkret bedeutet

Schatten-KI bezeichnet die Nutzung von KI-Anwendungen durch Mitarbeitende ohne Freigabe durch die Geschäftsführung oder die IT. Nach Angaben des Instituts der deutschen Wirtschaft (2026) betrifft das 33,5 Prozent der KI-nutzenden Beschäftigten in Betrieben bis 49 Mitarbeitende und 25,5 Prozent in Unternehmen mit mehr als 250 Beschäftigten. Der Anteil sinkt also mit der Betriebsgröße.

Im Sonderanlagenbau hat das eine besondere Ausprägung. Jede Anlage ist ein Einzelstück, Standardsoftware bildet die Abläufe selten vollständig ab, und der Termindruck in der Konstruktion ist hoch. Wer unter diesen Bedingungen ein Werkzeug findet, das eine Kundenspezifikation in wenigen Minuten zusammenfasst oder eine Stückliste gegen eine ältere Variante abgleicht, nutzt es. Nicht aus Nachlässigkeit, sondern weil der Auftrag drängt.

Die Zahlen aus der IW-Erhebung zeigen außerdem, wer das tut. Nach Angaben des Instituts der deutschen Wirtschaft (2026) liegt der Anteil bei Führungskräften und Akademikern bei jeweils 34,6 Prozent, bei Beschäftigten ohne Führungsverantwortung bei 25,6 Prozent. Es sind also nicht die Randbereiche, sondern diejenigen, die Entscheidungen vorbereiten und Kundenunterlagen bearbeiten. Genau dort liegen die vertraulichen Daten.

Daraus folgt eine unbequeme Einsicht: Die Aussage “Wir setzen noch keine KI ein” beschreibt in vielen Betrieben nicht die Lage, sondern den Kenntnisstand der Geschäftsführung. Was Sie entscheiden können, ist nicht das Ob, sondern unter welchen Bedingungen.

Warum ein Verbot die Lage verschlechtert

Ein Verbot beendet die Nutzung nicht, es beendet nur die Sichtbarkeit. Die Werkzeuge laufen im Browser oder auf dem privaten Gerät weiter. Damit verliert die Geschäftsführung die beiden Dinge, die sie zur Risikosteuerung braucht: den Überblick, welche Daten das Haus verlassen, und das Gespräch mit denjenigen, die die Abläufe wirklich kennen.

Hinzu kommt ein organisatorischer Nebeneffekt. Wer Werkzeuge verbietet, die erkennbar Arbeit abnehmen, signalisiert den eigenen Fachleuten, dass ihre Problemlösung unerwünscht ist. In einem Markt mit knappen Konstruktionskapazitäten ist das ein teures Signal. Die Mitarbeitenden, die am stärksten mitdenken, sind auch diejenigen, die am ehesten den Betrieb wechseln können.

Die Hemmnisse hinter dem Reflex sind real und gut belegt. Nach Angaben des Statistischen Bundesamtes (Stand 24. November 2025) nennen Unternehmen, die KI in Betracht gezogen, aber bisher nicht genutzt haben, fehlendes Wissen zu 72 Prozent, Unklarheit über rechtliche Folgen zu 62 Prozent und Bedenken hinsichtlich Datenschutz und Privatsphäre zu 60 Prozent als Gründe gegen die Nutzung. Ein Verbot beseitigt keinen dieser drei Punkte, es verschiebt sie nur.

Der wirksamere Weg ist, die Nutzung dorthin zu lenken, wo Sie sie prüfen können. Das setzt voraus, dass die freigegebene Lösung mindestens so brauchbar ist wie das, was heute inoffiziell im Einsatz ist. Eine Umgebung, die umständlicher ist als der freie Browserzugang, wird umgangen.

Die Bestandsaufnahme: fragen statt kontrollieren

Starten Sie mit einem Gespräch, nicht mit einer Protokollauswertung. Fragen Sie in Konstruktion, Projektleitung, Arbeitsvorbereitung und Kaufmännischem ab, welche Werkzeuge im Einsatz sind, wofür und mit welchen Daten. Sichern Sie zu, dass die Auskunft keine Folgen hat. Eine Bestandsaufnahme, die als Kontrolle ankommt, liefert unvollständige Antworten.

Drei Fragen reichen für den Einstieg. Erstens: Welche Aufgabe wird heute mit einem KI-Werkzeug erledigt? Zweitens: Welche Unterlagen werden dabei eingegeben, etwa Kundenspezifikationen, Zeichnungsinhalte, Lieferantenpreise oder Personaldaten? Drittens: Was würde passieren, wenn das Werkzeug morgen wegfällt? Die dritte Frage zeigt Ihnen, welcher Engpass tatsächlich gelöst wird, und damit, wo eine freigegebene Lösung ansetzen muss.

Ordnen Sie die Antworten anschließend nach Datenempfindlichkeit, nicht nach Begeisterung. Eine Zusammenfassung eines frei verfügbaren Normtextes ist unkritisch. Das Hochladen einer Kundenspezifikation mit Geheimhaltungsvereinbarung ist es nicht. Diese Trennung ist die eigentliche Arbeit, und sie entscheidet darüber, welche Anwendungen Sie sofort freigeben und welche Sie zuerst in eine geschützte Umgebung verlagern.

In unseren Mandaten zeigt sich dabei regelmäßig, dass die Liste kürzer ist als befürchtet und die kritischen Punkte auf wenige Abläufe konzentriert sind. Das ist eine Beobachtung aus Projekten und keine erhobene Größe. Wie eine solche Bestandsaufnahme methodisch eingeordnet wird, beschreibt der Leitfaden zur KI-Beratung im Mittelstand.

Welche Pflichten aus der KI-Verordnung bereits gelten

Die KI-Verordnung ist seit dem 2. August 2026 in weiten Teilen anwendbar. Nach Artikel 113 der Verordnung (EU) 2024/1689 gelten die Kapitel I und II, also unter anderem die verbotenen Praktiken und die Pflicht zur KI-Kompetenz, bereits seit dem 2. Februar 2025. Artikel 6 Absatz 1 greift ab dem 2. August 2027. Die Pflicht zur KI-Kompetenz trifft auch Betriebe, die KI nur anwenden.

Für den Sonderanlagenbau heißt das zunächst: Die typischen Anwendungen in Konstruktion, Angebotsvorbereitung und Dokumentation fallen in aller Regel nicht in die Hochrisiko-Kategorie. Entscheidend ist die Kompetenzpflicht. Sie verlangt, dass die Menschen, die ein KI-Werkzeug bedienen, dessen Grenzen einschätzen können. Eine nicht freigegebene Nutzung ohne jede Einweisung ist mit dieser Pflicht nur schwer vereinbar.

Daneben bleiben die datenschutzrechtlichen Anforderungen bestehen, und sie sind in der Praxis häufig der engere Rahmen. Sobald Kundenunterlagen, Lieferantenkonditionen oder Beschäftigtendaten in ein Werkzeug eingegeben werden, brauchen Sie eine Grundlage dafür, wie der Anbieter mit diesen Daten umgeht. Herstellerzusagen zur Speicherdauer sind hier Produktaussagen und müssen im Einzelfall gegen den Vertrag geprüft werden.

Die Begriffe dazu, etwa was eine Verarbeitung im Auftrag bedeutet oder wie sich ein Sprachmodell von einer regelbasierten Automatisierung unterscheidet, finden Sie im Glossar. Es lohnt sich, diese Unterscheidungen im Betrieb einheitlich zu verwenden, bevor Sie eine Regel formulieren.

Der sichere Rahmen: eine Seite Regel, eine freigegebene Umgebung

Ein praktikabler Rahmen besteht aus zwei Teilen: einer schriftlichen Regel auf höchstens einer Seite und einer freigegebenen Umgebung, in der die erlaubte Nutzung tatsächlich möglich ist. Fehlt der zweite Teil, bleibt die Regel ein Verbot mit anderem Namen. Fehlt der erste Teil, entsteht keine Verbindlichkeit.

Die Regel beantwortet vier Punkte. Welche Werkzeuge sind freigegeben? Welche Datenarten dürfen eingegeben werden und welche ausdrücklich nicht, etwa Unterlagen unter Geheimhaltungsvereinbarung? Wer prüft das Ergebnis, bevor es an Kunden oder in die Fertigung geht? An wen wenden sich Mitarbeitende, wenn sie ein neues Werkzeug einsetzen wollen? Der letzte Punkt ist der wichtigste, weil er den Weg aus dem Schatten offenhält.

Für die Umgebung gilt ein einfacher Maßstab: Sie muss die Aufgabe erledigen, die heute inoffiziell erledigt wird, und sie muss dabei schneller zugänglich sein als die Alternative. Im Sonderanlagenbau sind das meist die Suche in abgeschlossenen Projekten, die Aufbereitung von Spezifikationen und der Abgleich von Stücklisten mit älteren Varianten. Eine unternehmenseigene Wissensplattform wie ein Firmen-GPT deckt diese Aufgaben ab, ohne dass Unterlagen in offene Dienste geraten.

Setzen Sie die Regel in Kraft, bevor sie vollständig ist. Eine Seite, die in drei Monaten überarbeitet wird, wirkt im Betrieb besser als ein Regelwerk, das nie fertig wird. Benennen Sie im selben Zug eine verantwortliche Person; ohne Zuständigkeit bleibt jede Regel unverbindlich.

Wie Sie die Einführung in acht Wochen aufsetzen

Die Reihenfolge entscheidet über den Erfolg. Beginnen Sie mit dem Ablauf, der heute am stärksten inoffiziell unterstützt wird, nicht mit dem technisch interessantesten. So gewinnen Sie die Mitarbeitenden, die den Schatten erzeugt haben, als Beteiligte statt als Betroffene.

1. Woche 1 und 2: Bestandsaufnahme. Gespräche in den vier genannten Bereichen, Liste der Werkzeuge und der eingegebenen Datenarten, Einordnung nach Datenempfindlichkeit.
2. Woche 3: Entscheidung über den ersten Anwendungsfall. Ein einziger Ablauf, messbar an einer Größe, die der Betrieb ohnehin kennt, etwa Durchlaufzeit einer Spezifikationsprüfung.
3. Woche 4 und 5: Regel und Zuständigkeit. Eine Seite schriftlich, verantwortliche Person benannt, Meldeweg für neue Werkzeuge festgelegt.
4. Woche 6 bis 8: freigegebene Umgebung im Testbetrieb. Eine überschaubare Gruppe arbeitet produktiv damit, Rückmeldungen fließen wöchentlich ein.

Rechnen Sie damit, dass der erste Anwendungsfall nachjustiert werden muss. Unterlagen im Anlagenbau sind über Jahre gewachsen, Vorlagen unterscheiden sich zwischen Projektphasen, und ein Werkzeug, das bei einer Dokumentenart zuverlässig arbeitet, kann bei der nächsten danebenliegen. Diese Anpassungsarbeit ist kein Zeichen für ein gescheitertes Vorhaben, sondern der normale Anteil der Einführung.

Parallel läuft die Kompetenzfrage. Die Pflicht zur KI-Kompetenz nach Artikel 4 der KI-Verordnung verlangt keine Schulungsindustrie, aber eine nachvollziehbare Einweisung. Eine kurze Unterweisung zu den Grenzen des Werkzeugs, dokumentiert mit Datum und Teilnehmenden, erfüllt den Zweck im Mittelstand in der Regel besser als ein umfangreiches Programm, das niemand abschließt.

Wofür sich der Aufwand rechnet

Der Nutzen liegt an zwei Stellen: Sie verringern das Risiko, dass vertrauliche Unterlagen unkontrolliert abfließen, und Sie machen die Arbeitserleichterung, die heute einzelne Mitarbeitende für sich organisiert haben, für den ganzen Betrieb nutzbar. Der zweite Punkt wiegt wirtschaftlich meist schwerer als der erste.

Der Abstand zwischen Betriebsgrößen zeigt, warum das Thema im Mittelstand drängt. Nach Angaben des Statistischen Bundesamtes (Stand 24. November 2025) nutzten 2025 23 Prozent der Unternehmen mit 10 bis 49 Beschäftigten KI-Technologien, bei 50 bis 249 Beschäftigten waren es 36 Prozent und bei mehr als 250 Beschäftigten 57 Prozent. Kleinere Betriebe haben also seltener eine geordnete Nutzung, nicht seltener Nutzung überhaupt.

Für die Finanzierung der Vorarbeit kommt die BAFA-Beratungsförderung in Betracht. Nach der Förderrichtlinie “Förderung von Unternehmensberatungen für KMU”, Nr. 5.2, betragen die förderfähigen Beratungskosten maximal 3.500 Euro netto; die Richtlinie gilt nach Nr. 8 längstens für Anträge, die bis zum 31. Dezember 2026 gestellt werden. Wichtig ist die Reihenfolge: Nach Nr. 7.2.2 der Richtlinie zählt bereits der Abschluss des Beratungsvertrags als Beginn der Beratung. Einzelheiten dazu stehen im Beitrag zur BAFA-Förderung 2026.

Unabhängig von der Förderung gilt: Die Bestandsaufnahme kostet wenige Tage, die Regel eine Seite. Wer damit beginnt, hat nach zwei Monaten eine Grundlage für Entscheidungen. Wer wartet, entscheidet nicht weniger, sondern überlässt die Entscheidung den Mitarbeitenden.

Quellen

1. Institut der deutschen Wirtschaft (IW) Köln, Barbara Engels und Andrea Hammermann, “Schatten-KI: Beschäftigte sind schneller als ihre Betriebe”, 2026, https://www.iwkoeln.de/studien/barbara-engels-andrea-hammermann-schatten-ki-beschaeftigte-sind-schneller-als-ihre-betriebe.html, abgerufen am 15.10.2026
2. Born’s IT- und Windows-Blog, “Schatten-KI in Betrieben: 29,1% nutzen nicht autorisierte Tools”, 2026, https://borncity.com/news/schatten-ki-in-betrieben-291-nutzen-nicht-autorisierte-tools, abgerufen am 15.10.2026
3. Statistisches Bundesamt, “Gründe gegen die Nutzung von Technologien der künstlichen Intelligenz nach Beschäftigtengrößenklassen”, Stand 24.11.2025, https://www.destatis.de/DE/Themen/Branchen-Unternehmen/Unternehmen/IKT-in-Unternehmen-IKT-Branche/Tabellen/ikti-gegen-nutzung-kuenstliche-intelligenz.html, abgerufen am 15.09.2026
4. Statistisches Bundesamt, “Unternehmen mit Nutzung von Technologien der künstlichen Intelligenz nach Beschäftigtengrößenklassen”, Stand 24.11.2025, https://www.destatis.de/DE/Themen/Branchen-Unternehmen/Unternehmen/IKT-in-Unternehmen-IKT-Branche/Tabellen/ikti-unternehmen-kuenstliche-intelligenz.html, abgerufen am 15.09.2026
5. Amt für Veröffentlichungen der Europäischen Union, Verordnung (EU) 2024/1689, Artikel 113 “Inkrafttreten und Geltungsbeginn”, 2024, https://eur-lex.europa.eu/eli/reg/2024/1689/oj/deu, abgerufen am 15.09.2026
6. Bundesamt für Wirtschaft und Ausfuhrkontrolle, Förderrichtlinie “Förderung von Unternehmensberatungen für KMU”, 14.12.2022 in der geänderten Fassung vom 12.12.2024, https://www.bafa.de/SharedDocs/Downloads/DE/Wirtschaft/unb_foerderrichtlinie_kmu_241212.pdf, abgerufen am 15.09.2026