Die KI, von der Ihr Unternehmen nichts weiss.

IBM veröffentlichte am 29. Juli 2026 den Cost of a Data Breach Report 2026. Sicherheitsvorfälle mit Schatten-KI – «Shadow AI», im Bericht umschrieben als Einsatz nicht bewilligter KI durch Mitarbeitende – haben sich dieses Jahr von 20 % auf 43 % mehr als verdoppelt. Sie kosteten im Schnitt 5,39 Millionen US-Dollar, nach 4,63 Millionen im Vorjahr; der weltweite Durchschnitt liegt bei 4,99 Millionen.

Erfasst sind Unternehmen mit einer Verletzung der Datensicherheit, nicht die Wirtschaft insgesamt: Das Ponemon Institute untersuchte 602 Organisationen aus 17 Branchen in 16 Ländern, Vorfälle zwischen März 2025 und Februar 2026. Gemessen wird damit nicht, wie verbreitet Schatten-KI ist, sondern wie oft sie auftaucht, wenn etwas schiefgeht.

Der Unterschied liegt nicht in der Technik, sondern im Vertrag

Schatten-KI ist der Einsatz von KI-Anwendungen ohne Wissen und Aufsicht der für die Unternehmensdaten Verantwortlichen – die Nachfolgerin der Schatten-IT im KI-Zeitalter. Eine frühe Messung lieferte der Work Trend Index 2024 von Microsoft und LinkedIn, eine Befragung von 31’000 Personen in 31 Ländern: 78 % der Mitarbeitenden, die bei der Arbeit generative KI nutzen, brachten eigene Werkzeuge mit, in KMU 80 %.

Technisch ist der Unterschied zwischen bewilligtem und nicht bewilligtem Werkzeug oft gleich null: dasselbe Modell, durch eine andere Tür erreicht. Rechtlich ist er es nicht. Geschäftsverträge sind anders geschrieben: Anthropics Commercial Terms of Service, in Kraft seit dem 17. Juni 2025, halten fest, dass der Anbieter seine Modelle nicht mit Kundeninhalten trainieren darf und diese Inhalte vertrauliche Informationen der Kundschaft sind. Ein privates Konto dagegen ist ein Vertrag zwischen der angestellten Person und dem Anbieter: Das Unternehmen ist nicht Vertragspartei, hat keinen Nachweis darüber, was eingegeben wurde, und steuert weder Aufbewahrung noch Löschung.

In der globalen Studie der Universität Melbourne und von KPMG – 48’340 Befragte in 47 Ländern, darunter die Schweiz, Feldarbeit von November 2024 bis Januar 2025 – setzen 70 % der Erwerbstätigen, die bei der Arbeit KI verwenden, frei verfügbare öffentliche Werkzeuge ein, 42 % solche des Arbeitgebers. Unternehmensinformationen – Finanz-, Verkaufs- oder Kundendaten – luden 48 % in öffentliche KI-Werkzeuge hoch; 56 % setzten KI bei der Arbeit ein, ohne zu wissen, ob dies erlaubt war. Nur zwei von fünf gaben an, ihre Organisation habe überhaupt eine Richtlinie zu generativer KI.

Die Erhebung 2026 rückt die nicht bewilligte Nutzung von der Randnotiz ins Zentrum

2025 zählte IBM eines von fünf untersuchten Unternehmen mit einer auf Schatten-KI zurückgeführten Verletzung der Datensicherheit; das erhöhte die Kosten um bis zu 670’000 US-Dollar, und 63 % hatten keine Richtlinie zur KI-Governance. Die Folgen sind 2026 eher betrieblich als reputationell: In 49 % der Schatten-KI-Vorfälle gingen Daten verloren oder wurden kompromittiert, in 42 % war der Betrieb gestört, in rund einem Fünftel wurde eine Busse bezahlt – erstmals in diesem Jahr erhoben.

Die Governance entwickelte sich gegenläufig zur Nutzung. Bei 68 % der betroffenen Unternehmen fehlte eine Governance, um KI zu steuern oder Schatten-KI zu erkennen, nach 63 % im Vorjahr; der Anteil mit IT-Freigabepflicht für KI-Einführungen sank von 45 % auf 38 %; nur 19 % meldeten eine Abstimmung zwischen Governance- und Sicherheitsfunktionen. Wo die KI-Systeme selbst angegriffen wurden – 21 % der Unternehmen, nach 13 % –, fehlten in 92 % der Fälle rollenbasierte Zugriffsrechte und Mehrfaktor-Authentifizierung. Dieselbe Studie beziffert den durchschnittlichen Vorfall in Deutschland auf 4,93 Millionen US-Dollar, nach 4,03 Millionen im Vorjahr; die Schweiz gehört nicht zu den 16 erfassten Ländern.

An bewilligten Werkzeugen fehlt es Schweizer Mitarbeitenden nicht

Das Schweizer Bild verschiebt die Diagnose. In einer am 27. Mai 2026 veröffentlichten EY-Umfrage unter 604 Befragten aus Schweizer Unternehmen gaben 89 % an, KI im Arbeitsalltag zu nutzen: 70 % über integrierte Lösungen wie Microsoft Copilot oder Google Workspace mit Gemini, 35 % über Unternehmenslizenzen für spezialisierte Anwendungen. Bei 29 % sind externe KI-Werkzeuge über private Konten erlaubt – für 8 % sind sie derzeit der einzige Zugang zu KI bei der Arbeit. Nur 3 % berichten von einem vollständigen Verbot.

Die Umfrage Pulse of Change von Accenture, deren Schweizer Ergebnisse am 29. Juli 2026 erschienen, weist in dieselbe Richtung: 49 % der Erwerbstätigen in der Schweiz nutzen täglich KI-Werkzeuge, europaweit 28 %; 88 % berichten von vollem oder mittlerem Zugang zu Werkzeugen des Arbeitgebers, international 80 %. Die Schweizer Stichprobe ist klein – 100 Führungskräfte, 100 Mitarbeitende –, deckt sich aber mit EY.

Die Schweizer Risikolage hat damit eine eigene Form: intensive tägliche Nutzung, breiter offizieller Zugang, ein verbleibender Kanal über private Konten. Die Hälfte der EY-Befragten (51 %) hält es für geschäftskritisch, dass KI-Systeme den Schweizer oder europäischen Datenschutzanforderungen entsprechen und Daten in der Schweiz oder in der EU bearbeitet werden – eine Anforderung, die ein privates Konto zunichtemacht.

Das Schweizer Recht regelt das bereits, ohne das Wort KI zu verwenden

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) klärte die Anwendbarkeit am 9. November 2023 und aktualisierte seine Mitteilung am 8. Mai 2025: Das Datenschutzgesetz sei technologieneutral formuliert und damit auf KI-gestützte Datenbearbeitungen direkt anwendbar. Vier Bestimmungen des seit dem 1. September 2023 geltenden Gesetzes tragen die Hauptlast.

Artikel 8 DSG verlangt eine dem Risiko angemessene Datensicherheit. Artikel 9 erlaubt, die Bearbeitung von Personendaten vertraglich einem Auftragsbearbeiter zu übertragen, und verpflichtet den Verantwortlichen, sich zu vergewissern, dass dieser die Datensicherheit gewährleisten kann – ein von Mitarbeitenden akzeptiertes Konsumentenkonto ist kein solcher Vertrag. Artikel 16 lässt die Bekanntgabe ins Ausland nur zu, wenn der Bundesrat einen angemessenen Schutz festgestellt hat oder eine der aufgezählten Garantien greift; für die Vereinigten Staaten führt der Weg über das Swiss-U.S. Data Privacy Framework, in Kraft seit dem 15. September 2024 und beschränkt auf zertifizierte Unternehmen. Artikel 24 verlangt, dem EDÖB so rasch als möglich eine Verletzung der Datensicherheit zu melden, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt. Der 33. Tätigkeitsbericht des Beauftragten, veröffentlicht am 30. Juni 2026, verzeichnet im Jahr bis zum 31. März 2026 484 solcher Meldungen gegenüber 363 im Vorjahr; die freiwilligen stiegen von 26 auf 141.

Das europäische Recht fügt eine Pflicht hinzu, die Schweizer Arbeitgeber unmittelbar erreicht. Nach den am 27. Juli 2026 aktualisierten Erläuterungen der Europäischen Kommission gilt die Pflicht zur KI-Kompetenz nach Artikel 4 der KI-Verordnung (Verordnung (EU) 2024/1689) seit dem 2. Februar 2025 für Anbieter und Betreiber, erstreckt sich auf Auftragnehmer, die im Namen einer Organisation handeln, und erfasst Mitarbeitende, die Werkzeuge wie ChatGPT geschäftlich nutzen. Die Vorschriften zu Aufsicht und Durchsetzung gelten ab dem 3. August 2026; der Rahmen greift auch auf Akteure ausserhalb der Union, wenn ein System dort eingesetzt wird oder Personen betrifft, die sich dort aufhalten.

Regelverstösse werden dort am häufigsten eingeräumt, wo generative KI ganz verboten ist

In den Daten von Melbourne und KPMG räumten Mitarbeitende dort am häufigsten regelwidriges Verhalten ein, wo generative KI vollständig verboten war (67 %), gefolgt von Unternehmen mit einer wegleitenden Richtlinie (56 %); am seltensten dort, wo keine Regelung bekannt war (33 %). Verglichen werden Selbstauskünfte, und Unternehmen mit Richtlinien nutzen KI zugleich am intensivsten; ein Kausalzusammenhang folgt daraus nicht. Die Lesart der Forschenden ist enger: Vollständige Verbote könnten wirkungslos bleiben, und eine Richtlinie allein erzeugt noch keine Regeltreue. Ein Verbot beendet demnach kaum die Nutzung – wohl aber deren Nachvollziehbarkeit.

Was sich ohne Projekt entscheiden lässt

• Das Inventar vor der Richtlinie erstellen. Proxy- und Single-Sign-on-Protokolle, Spesenabrechnungen für KI-Abonnemente und Browser-Erweiterungen zeigen die eingesetzten Werkzeuge schneller als jede Umfrage.
• Den bewilligten Weg zum einfachsten machen. Wo private Konten der einzige Zugang sind, wie bei 8 % der Schweizer EY-Befragten, ist das eine Beschaffungsfrage, kein Disziplinarproblem.
• Den Vertrag lesen, nicht die Oberfläche. Geschäftsbedingungen schliessen Kundeninhalte in der Regel vom Training aus und behandeln sie als vertraulich; Konsumentenbedingungen sind anders geschrieben.
• Eine Seite schreiben: was nie eingegeben werden darf – Personendaten, Gesundheitsdaten, unveröffentlichte Zahlen, Dokumente Dritter, Zugangsdaten –, wer eine Ausnahme bewilligen kann, und ein Satz dazu, dass das freigegebene Werkzeug erwartet, nicht bloss geduldet wird.
• Die Kontrollen anwenden, welche die Vorfalldaten benennen: rollenbasierte Zugriffsrechte und Mehrfaktor-Authentifizierung auf der selbst betriebenen KI – in 92 % der Unternehmen mit KI-bezogenem Vorfall fehlten sie.
• Den Meldeweg einmal durchspielen: wer entscheidet, und wie schnell, ob ein Vorfall die Schwelle von Artikel 24 DSG erreicht.

Drei Punkte prägen die kommenden Monate: die Durchsetzung der europäischen Pflicht zur KI-Kompetenz ab dem 3. August 2026; der Schweizer Rechtsrahmen, der vorbereitet wird, seit der Bundesrat am 12. Februar 2025 die Ratifikation der Konvention des Europarats zu künstlicher Intelligenz beschlossen hat und die Schweiz sie im März 2025 unterzeichnet hat; und die Jahresmessungen – der Tätigkeitsbericht des EDÖB im Juni, die IBM-Studie im Juli –, in denen sich eine Bewegung bei den 43 % zuerst zeigt.