Schatten-KI in Entwicklerteams: Was Verbote leisten und was Privatkonten nicht bieten

Seit dem 28. August 2025 verwendet Anthropic Inhalte aus den Privattarifen Free, Pro und Max zum Modelltraining, sofern Nutzer dies nicht in den Kontoeinstellungen deaktivieren. Das gilt ausdrücklich auch für Claude Code. Bleibt die Freigabe aktiv, beträgt die Aufbewahrungsfrist fünf Jahre, sonst 30 Tage.

Bei Geschäftskonten ist die Nutzung zu Trainingszwecken vertraglich geregelt. Bei Privatkonten hängt sie von einer persönlichen Kontoeinstellung ab, die die Organisation weder einsehen noch ändern kann.

Ein zweiter Unterschied betrifft die Nachvollziehbarkeit der verwalteten Nutzung. Die API-Abfrage GET /v1/organizations/usage_report/claude_code liefert für jeden Nutzer und Tag Angaben dazu, wie Claude Code eingesetzt wird: Sitzungen, Codeänderungen, Commits, Pull Requests, angenommene und abgelehnte Änderungsvorschläge sowie Tokenverbrauch und Kosten.

Nur wenige Zeilen weiter heißt es in derselben Dokumentation: „The Admin API is unavailable for individual accounts.“

Entwickler können in beiden Fällen auf demselben Firmengerät und im selben Repository arbeiten. Die entsprechenden Nutzungsdaten erhält die Organisation jedoch nur über das verwaltete Konto. Dieser Unterschied steht im Mittelpunkt des Beitrags.

In der deutschsprachigen Debatte über Schatten-KI geht es meist um Beschäftigte, die private KI-Assistenten für Texte und Zusammenfassungen verwenden. In Entwicklerteams geht es um Quellcode, Repository-Zugriffe und lokale Agentenberechtigungen. Für die untersuchten Anbieter lässt sich konkret zeigen, welche Kontrollen bei privaten Konten fehlen und welche verwaltete Geschäftskonten bieten.

Kurz gefasst: Bei privaten Konten fehlen der Organisation ein eigenes Vertragsverhältnis mit dem Anbieter, eine zentrale Kontenverwaltung und der administrative Zugriff auf Nutzungsdaten. Dass pauschale Verbote die Nutzung lediglich auf private Konten verlagern, ist dagegen kaum belegt.

Der Leitfaden zum kontrollierten Rollout zeigt, wie Einführung, Werkzeugwahl, Messung und Aufsicht zusammenspielen. Hier geht es um die Zeit davor: um möglicherweise bereits bestehende, aber nicht freigegebene Nutzung.

Dieser Beitrag ersetzt keine Rechtsberatung.

Gängige Definitionen bilden die Besonderheiten der Softwareentwicklung kaum ab

IBM bezeichnet Schatten-KI als „die nicht genehmigte Nutzung von Tools oder Anwendungen künstlicher Intelligenz (KI) durch Mitarbeiter oder Endbenutzer, ohne formelle Genehmigung oder Aufsicht durch die IT-Abteilung“. Cloudflare bezieht auch Auftragnehmer ein. Bitkom verwendet den Begriff in einer Pressemitteilung vom 21. Oktober 2025 für die berufliche Nutzung privater KI-Zugänge, definiert ihn aber nicht ausdrücklich.

IBM und Cloudflare knüpfen ihre Definitionen an die fehlende Freigabe oder Aufsicht, nicht an die verarbeiteten Daten. Entwickler sind damit grundsätzlich erfasst. Die Besonderheiten ihrer Arbeit bleiben jedoch unerwähnt: Quellcode, Repository-Kontext und lokale Agentenberechtigungen kommen in den Definitionen nicht vor. Cloudflare nennt Entwickler nur im Zusammenhang mit der Integration von KI-Modellen in Produkte, nicht mit der Erzeugung von Quellcode.

Auch die Bitkom-Erhebung betrachtet vor allem allgemeine Büroanwendungen. Der Verband befragte dafür im Sommer 2025 telefonisch 604 Unternehmen mit mindestens 20 Beschäftigten und nennt als Beispiele Mailantworten, Dokumentzusammenfassungen und Social-Media-Bilder. Nach Coding Agents wurde nicht gefragt.

8 Prozent der Befragten berichten von einer verbreiteten Nutzung privater Zugänge, 17 Prozent von Einzelfällen. Weitere 17 Prozent vermuten eine solche Nutzung lediglich. Erst mit dieser dritten Gruppe entstehen die häufig zitierten 42 Prozent. Die Befragung misst daher nicht die tatsächliche Nutzung, sondern das Wissen oder die Vermutung von Unternehmensvertretern.

Eine Aufschlüsselung nach Funktionen fehlt. Auch die großen Entwicklerbefragungen von Stack Overflow, JetBrains und DORA erfassen weder die nicht freigegebene Nutzung noch die verwendete Kontoart.

Wer generative KI nutzt, übermittelt häufig Arbeitskontext

Ob Schatten-KI als Unterform der Schatten-IT gilt, ist für die Praxis zweitrangig. Cloudflare und die deutschsprachige Wikipedia ordnen sie so ein, IBM stellt beide Begriffe nebeneinander. Entscheidend ist: Wer generative KI nutzt, übermittelt häufig Arbeitsinhalte an einen externen Dienst. Ein internes System lässt sich stilllegen oder migrieren. Bereits übermittelte Daten lassen sich dagegen nicht zurückholen.

Welche Kontrollen bei Privatkonten fehlen

Privat- und Geschäftskonten unterscheiden sich vor allem durch ihre Vertragsbedingungen und Verwaltungsfunktionen. Welche Funktionen ab welchem Tarif verfügbar sind, muss für jeden Anbieter einzeln geprüft werden.

Die Anthropic-Umstellung ist kein Einzelfall. Seit dem 24. April 2026 ist auch bei den Privattarifen von GitHub Copilot die Nutzung von Eingaben, Ausgaben, Codeausschnitten und Kontext zum Modelltraining standardmäßig aktiviert. In ihren Geschäftstarifen schließen Anthropic und GitHub die Nutzung von Kundendaten zum Training vertraglich aus. GitHub macht nur bei einer dokumentierten Kundenweisung eine Ausnahme.

Modelltraining und Datenspeicherung sind rechtlich getrennt zu betrachten. Bei Anthropic hängen beide jedoch von derselben Kontoeinstellung ab.

Gerichtliche Anordnungen können reguläre Aufbewahrungsfristen verlängern. Im Rechtsstreit mit der New York Times musste OpenAI bestimmte Daten aus Free, Plus, Pro, Team und der API ohne Zero-Data-Retention-Vereinbarung länger aufbewahren. Enterprise und Edu waren ausgenommen. Entscheidend war damit die Produkt- und Vertragskategorie, nicht der Preis.

Einen Auftragsverarbeitungsvertrag bieten Anthropic, OpenAI, GitHub, Google, Cursor und Mistral in ihren Privattarifen nicht an. Der Beitrag zu den DSGVO-Grenzen des Agentenzugriffs erläutert, auf welche Daten ein Coding Agent überhaupt zugreifen darf.

Die eingangs genannten Nutzungsdaten machen die verwaltete Nutzung nachvollziehbar. Anthropic bietet Audit-Protokolle und administrativen Zugriff ab dem Enterprise-Tarif, OpenAI eine Compliance-API für Enterprise, Edu und Healthcare. Für Privatkonten fanden sich keine vergleichbaren Funktionen. Für die Aufbewahrung der Analytics-Daten nennt Anthropic keine feste Löschfrist.

Die Zugriffsverwaltung umfasst zwei getrennte Funktionen: die Anmeldung sowie das Anlegen und Sperren von Konten, etwa beim Ausscheiden eines Beschäftigten. Geschäftstarife können beides zentralisieren. Private Konten bleiben außerhalb dieser Kontrolle. Die Geräteverwaltung ist davon unabhängig. Cursor dokumentiert eine MDM-Funktion, mit der sich private Anmeldungen auf verwalteten Geräten sperren lassen.

Weitere Risiken: Berechtigungen und Verbindungen zu externen Diensten

Ein privat genutzter Agent kann dieselben weitreichenden Berechtigungen erhalten wie ein freigegebener Agent, jedoch ohne zentral durchgesetzte Vorgaben. Auch seine Verbindungen zu externen Diensten lassen sich nur dann zuverlässig untersuchen, wenn die Organisation das Gerät und den Netzwerkweg kontrolliert. Der Beitrag zu Sandboxen und Berechtigungen erläutert, welche Rechte ein lokaler Agent tatsächlich benötigt, der Test von vier Agenten an einem Proxy zeigt das Verfahren für die Verbindungen.

Auch ein Geschäftskonto macht nicht alles sichtbar

Selbst Geschäftskonten liefern kein vollständiges Bild. GitHub Copilot erfasst lokal gesendete Prompts nicht. Bei Anthropic stehen unter Zero Data Retention nur allgemeine Nutzungsdaten zur Verfügung. Weniger Speicherung bedeutet hier zugleich weniger detaillierte Auswertung.

Der Beitrag zu Kosten, Datenschutz und Grenzen im Team vergleicht die Team- und Enterprise-Funktionen von Claude Code.

Quellcode ist der häufigste erfasste Datentyp

Für den Data Breach Investigations Report 2026 wertete Verizon rund 858.000 DLP-Vorgänge aus, bei denen Daten an generative KI-Dienste übermittelt wurden. Quellcode lag mit 28 Prozent an erster Stelle, vor Bildern mit 16 Prozent, strukturierten Daten mit 14 Prozent, Dokumenten mit 13 Prozent und PDF-Dateien mit 10 Prozent.

Die Zahlen sind nicht repräsentativ. Sie stammen aus Unternehmen, die entsprechende DLP-Produkte einsetzen und Telemetriedaten bereitstellen. Zudem handelt es sich nicht um bestätigte Sicherheitsvorfälle, sondern um Verstöße gegen DLP-Richtlinien.

67 Prozent der Nutzer, die von Firmengeräten auf KI-Dienste zugreifen, verwenden dafür Konten, die das Unternehmen nicht verwaltet. Im Vorjahr waren es 72 Prozent.

Der Bericht ordnet die Quellcode-Uploads keiner Berufsgruppe zu. Cyberhaven zeigt zwar eine besonders hohe allgemeine KI-Nutzung in Engineering-Abteilungen, erfasst aber nicht, welcher Anteil davon ohne Freigabe oder über private Konten erfolgt. Ob Entwickler besonders häufig Schatten-KI nutzen, bleibt daher offen.

Es ist nicht belegt, dass Verbote die Nutzung auf private Konten verlagern

In der Fachdiskussion lautet die verbreitete These: Ein Verbot beendet die Nutzung nicht, sondern verlagert sie auf private Konten. Eine Vergleichsstudie, die diese Wirkung tatsächlich misst, ließ sich jedoch nicht finden.

Die aussagekräftigste gefundene Kreuztabelle stammt aus der Studie „Trust, attitudes and use of AI“ von Gillespie und Lockey, veröffentlicht am 29. April 2025 von der University of Melbourne und KPMG. Für die Auswertung wurden Angaben von 32.352 Beschäftigten herangezogen. In Organisationen mit einem Verbot berichteten 67 Prozent von mindestens einer der zusammengefassten regelwidrigen Verhaltensweisen. Bei einer Nutzungsrichtlinie waren es 56 Prozent, ohne solche Regeln 33 Prozent und ohne bekannte Regel 38 Prozent.

Die ebenfalls genannten 67 Prozent aus dem Verizon-Bericht messen etwas völlig anderes, nämlich den Anteil nicht verwalteter Konten und nicht das selbstberichtete Verhalten von Beschäftigten.

Daraus folgt nicht, dass Verbote Verstöße verursachen. Der Wert für Organisationen mit einer Nutzungsrichtlinie liegt fast ebenso hoch. Zudem gaben nur 6 Prozent der Befragten an, dass in ihrer Organisation ein Verbot gilt. Die Einteilung beruht auf Selbstauskünften, und auch eine umgekehrte Kausalität ist möglich: Organisationen könnten Regeln gerade deshalb eingeführt haben, weil es zuvor Vorfälle gab. Die Autoren formulieren entsprechend vorsichtig.

Auch die Gegenrichtung ist nicht belegt. Es fand sich kein dokumentierter Fall, in dem ein Verbot zu einem messbaren Rückgang der Übermittlungen führte. Eine Befragung der Software AG zeigt lediglich eine erklärte Absicht: 46 Prozent der bereits aktiven Nutzer gaben an, persönliche KI-Werkzeuge auch bei einem Verbot weiterverwenden zu wollen. Ob sie das tatsächlich taten, wurde nicht gemessen.

Die Samsung-Chronologie wird häufig verkürzt dargestellt

Die verbreitete Darstellung lautet: Samsung verbot ChatGPT im Mai 2023, nachdem Beschäftigte Quellcode preisgegeben hatten.

Ein koreanischsprachiger Bericht vom 30. März 2023 schildert eine andere Abfolge. Die Halbleitersparte hatte ChatGPT zunächst gesperrt und hob die Sperre am 11. März 2023 auf. Innerhalb von weniger als 20 Tagen meldete Samsung drei Vorfälle: In zwei Fällen wurde vollständiger Quellcode übermittelt, im dritten eine transkribierte Besprechung. Als Sofortmaßnahme begrenzte das Unternehmen die Uploadgröße auf 1.024 Byte pro Prompt.

Der Fall belegt weder, dass Freigaben generell zu solchen Übermittlungen führen, noch dass ein Verbot umgangen wurde. Das konzernweite Verbot folgte erst im Mai. Zudem betraf die vorherige Aufhebung nur die Halbleitersparte, und die Quelle nennt keine genauen Zeitpunkte der einzelnen Vorfälle.

Wann eine vorläufige Einschränkung sinnvoll sein kann

In der Recherche fand sich keine belastbare öffentliche Begründung für ein dauerhaftes Pauschalverbot. Die ausgewerteten Beispiele folgen einem gemeinsamen Muster: Nicht kontrollierte KI-Dienste werden vorläufig eingeschränkt, bis ein freigegebener Zugang bereitsteht.

Das US Department of the Navy riet 2023 vom operativen Einsatz kommerzieller Sprachmodelle ab, bis die Sicherheitsanforderungen geprüft und kontrollierte Umgebungen freigegeben waren. Bis zur Festlegung von GenAI.mil als verbindliche Plattform vergingen rund 28 Monate.

Samsung führte ChatGPT, Gemini Enterprise und Claude gut drei Jahre nach dem konzernweiten Verbot in einer Unternehmenssparte ein, ausschließlich über Enterprise-Tarife und nach verpflichtender Schulung.

Bei Amazon dauerte der Übergang rund fünf Monate. Auf die Einschränkung weiterer Drittanbieterwerkzeuge folgte die interne Freigabe von Claude Code und Codex über die eigene Infrastruktur.

In allen drei Fällen wurde später zumindest für einen bestimmten Anwendungsbereich ein kontrollierter Zugang geschaffen. Diese Beispiele ersetzen keine Vergleichsstudie. Sie zeigen aber, welche Bedingungen eine vorläufige Einschränkung braucht: eine Frist, eine klar benannte Zuständigkeit, nachvollziehbare Freigabekriterien und eine verpflichtende Schulung.

Welche rechtlichen Grenzen für die Erkennung gelten

Ein freigegebener Zugang beantwortet noch nicht die Frage, wie eine Organisation nicht freigegebene Nutzung erkennen darf. Dabei sind zwei Risiken zu unterscheiden: die Bildung von Profilen über Beschäftigte und die Übermittlung vertraulicher Unternehmensinformationen. Die Datenschutzkonferenz empfiehlt in ihrer Orientierungshilfe vom 6. Mai 2024 deshalb, dass Arbeitgeber Geräte und Konten bereitstellen, weil bei privaten Konten „Profile zu den jeweiligen Beschäftigten entstehen können“ (Randnummer 41). Den Abfluss vertraulicher Unternehmensinformationen behandelt sie gesondert (Randnummer 18).

Auch die verbreitete Aussage, bei privaten Konten fehle schlicht der Auftragsverarbeitungsvertrag, greift zu kurz. Artikel 28 DSGVO gilt nur, wenn der Anbieter als Auftragsverarbeiter handelt. Bei einem privaten Verbraucherkonto kann er dagegen als eigener Verantwortlicher auftreten. Für die Praxis bleibt das Problem ähnlich: Das Unternehmen hat keinen eigenen Vertrag mit dem Anbieter und kann dessen Zusagen weder prüfen noch durchsetzen. Weisungswidriges Handeln einzelner Beschäftigter entlastet die Organisation dabei nicht automatisch.

Welche Grenzen für personenbezogene Erkennung gelten

Personenbeziehbare Erkennungsmaßnahmen können der Mitbestimmung unterliegen. Nach Paragraf 87 Absatz 1 Nummer 6 BetrVG genügt es, dass ein technisches System objektiv zur Überwachung von Verhalten oder Leistung geeignet ist. Das BAG bestätigte das am 16. Juli 2024 (1 ABR 16/23) für ein Headset-System, das Gespräche weder aufzeichnete noch speicherte.

Das betrifft typische Erkennungsverfahren:

• DNS-Protokolle, deren Quell-IPs sich Geräten oder Personen zuordnen lassen
• Softwareinventare auf fest zugeordneten Arbeitsgeräten
• Netzwerktelemetrie, sofern vor der Aggregation personenbeziehbare Rohdaten entstehen

Eine spätere Anonymisierung beseitigt eine mögliche Mitbestimmungspflicht der ursprünglichen Erhebung nicht automatisch.

Eine speziell auf die Erkennung von KI-Werkzeugen bezogene Entscheidung des Bundesarbeitsgerichts liegt nach der Recherche nicht vor. Das Arbeitsgericht Hamburg wies 2024 im Eilverfahren Anträge gegen die Nutzung von ChatGPT und weiteren KI-Systemen ab. Die Entscheidung erging jedoch nur in erster Instanz und hat keine allgemeine Bindungswirkung.

Weitere Einzelheiten zur Beteiligung des Betriebsrats behandelt der Beitrag zum Agenten-Rollout.

Drei Mindestkriterien für die Sperre privater Konten

Für Engineering Leads lautet die erste Frage nicht, ob ein Verbot auf dem Papier steht. Entscheidend ist, ob ein freigegebener Zugang vorhanden ist, der die tatsächlichen Anforderungen der Entwicklungsarbeit abdeckt.

Drei Fragen müssen mindestens geklärt sein:

1. Gibt es geeignete vertragliche Zusagen, einschließlich eines Auftragsverarbeitungsvertrags, soweit Artikel 28 DSGVO gilt, und eines Ausschlusses der Nutzung von Kundendaten zum Modelltraining?
2. Kann die Organisation die Nutzung in dem Umfang nachvollziehen, der erforderlich und rechtlich zulässig ist?
3. Kann sie Konten zentral anlegen, verwalten und beim Ausscheiden eines Beschäftigten deaktivieren?

Sind diese Voraussetzungen erfüllt, kann eine vorübergehende Sperre privater Konten sachlich gerechtfertigt sein.

Fehlt ein solcher Zugang, bietet ein Verbot allein weder eine praktikable, freigegebene Alternative noch verlässlichen Einblick in die tatsächliche Nutzung. Die Organisation kann dann nicht zuverlässig feststellen, ob und in welchem Umfang Beschäftigte private Konten verwenden. Darin liegt das Kernproblem der Schatten-KI.

Quellen

Abrufe am 4. August 2026, soweit nicht anders angegeben.

Analytics und Zugriff

• Anthropic: Claude Code Analytics API und Analytics für Claude Code

Begriff, Erhebungen und DLP-Zahlen

• IBM: Was ist Schatten-KI?, 25. Oktober 2024
• Cloudflare: Was ist Schatten-KI?, undatiert
• Deutsche Wikipedia: „Schatten-KI“, zuletzt bearbeitet 26. Juli 2026
• Bitkom: Beschäftigte nutzen vermehrt Schatten-KI, 21. Oktober 2025
• Stack Overflow Developer Survey 2025, mehr als 49.000 Antworten, davon 8,6 Prozent aus Deutschland. Die Befragung erfasst, wer sich durch Vorgaben eingeschränkt fühlt, nicht wer gegen sie verstößt
• JetBrains: State of Developer Ecosystem 2025, n=24.534, Feldzeit April bis Juni 2025
• Google: DORA 2025, rund 5.000 Antworten
• Verizon: 2026 Data Breach Investigations Report, 19. Mai 2026, Abbildungen 64 und 65, Anhang A, Seiten 60 f. und 112
• Cyberhaven Labs: 2026 AI Adoption & Risk Report, 222 Unternehmen, 2025. In Engineering-Abteilungen nutzen mehr als 60 Prozent der Beschäftigten KI-Werkzeuge, knapp 20 Prozentpunkte mehr als im Marketing. Cyberhaven bietet selbst Erkennungssoftware an

Privatkonto und Geschäftskonto

• Anthropic: Updates to our consumer terms, 28. August 2025, wirksam 8. Oktober 2025, dazu Consumer und Commercial Terms sowie Enterprise-Dokumentation zu Audit-Protokollen und Compliance API
• GitHub: Generative AI Services Terms, Fassung März 2026, und Review audit logs for GitHub Copilot
• OpenAI: How your data is used to improve model performance, Enterprise privacy, Business data und Response to NYT data demands, 22. Oktober 2025. Die gerichtliche Aufbewahrungsanordnung im Rechtsstreit mit der New York Times erfasste Konversationen aus dem EWR, der Schweiz und dem Vereinigten Königreich nicht und endete am 26. September 2025
• Bei folgenden Anbietern wurden die Privattarife darauf geprüft, ob ein Auftragsverarbeitungsvertrag angeboten wird: Google (Gemini Apps Privacy Hub, 15. Juli 2026, Gemini for Google Cloud Data Governance, 29. Juli 2026), Cursor (Data Use & Privacy, 15. Juli 2026), Mistral (Privacy Policy, 27. Juli 2026, Terms samt DPA, 28. November 2025)
• Cursor: Enterprise Privacy and Data Governance

Evidenz zu Verboten

• Gillespie, Lockey u. a.: Trust, attitudes and use of AI, University of Melbourne und KPMG, 29. April 2025, Seiten 71 (Abbildung 41) und 75
• Software AG: Befragung vom 22. Oktober 2024, Feldzeit 13. bis 25. September, 6.000 befragte Wissensarbeiter, davon 2.000 in Deutschland
• 이코노미스트 (Economist Korea), 정두용: Bericht vom 30. März 2023

Navy, Samsung und Amazon

• DON CIO: DON Guidance on the Use of Generative Artificial Intelligence and Large Language Models, 6. September 2023, und DON Enterprise IT Service Designation for GenAI.MIL, 28. Januar 2026. Das Memo von 2023 ist von der kommissarischen CIO Jane O. Rathbun unterzeichnet und bezeichnet sich selbst als vorläufige Leitlinie, die Festlegung von 2026 sah eine Umstellung aller Dienststellen und Kommandos bis zum 30. April 2026 vor
• Korea Times: Samsung Electronics to introduce ChatGPT, Gemini, Claude in operations, 11. Juni 2026
• Reuters, Greg Bensinger: Bericht über das interne Amazon-Memo vom 24. November 2025, unterzeichnet von Peter DeSantis und Dave Treadwell. Der Wortlaut ließ sich über drei übereinstimmende Syndizierungen nachvollziehen, die Originalseite bei Reuters war nicht abrufbar
• Business Insider: Bericht vom 4. Mai 2026 über die Freigabe von Claude Code und Codex bei Amazon. Beide werden laut dem Bericht über AWS und Amazon Bedrock bereitgestellt, Codex sollte am 12. Mai 2026 folgen

Recht und Mitbestimmung

• Datenschutzkonferenz: Orientierungshilfe Künstliche Intelligenz und Datenschutz, Version 1.0, 6. Mai 2024, Randnummern 18 und 41
• EuGH, Urteil vom 5. Dezember 2023, C-807/21 (Deutsche Wohnen)
• Paragraf 87 Absatz 1 Nummer 6 BetrVG, gesetze-im-internet.de
• BAG, Beschluss vom 16. Juli 2024, 1 ABR 16/23
• ArbG Hamburg, Beschluss vom 16. Januar 2024, 24 BVGa 1/24