Die häufigste Reaktion auf Schatten-KI ist ein Projekt.
Eine Richtlinie wird beauftragt. Die IT prüft Enterprise-Lizenzen.
Der Betriebsrat wird eingebunden. Sechs Monate später steht ein Dokument, das niemand liest.
In der Zwischenzeit läuft alles weiter wie vorher.
Dabei gibt es drei Dinge, die ein Entwicklungsleiter in achtundvierzig Stunden tun kann, ohne Budget und ohne IT-Projekt.
Erstens: eine Negativliste. Ein Satz an alle, welche Daten bis auf Weiteres unter keinen Umständen in ein öffentliches KI-Tool gehören. Kunden-Lastenhefte. Prüfprotokolle. Konstruktionsdaten. Nicht dreißig Seiten Policy, sondern drei Zeilen, die jeder versteht und behält. Das stoppt die akutesten Lecks sofort.
Zweitens: eine Schnellinventur. Zehn Minuten, anonym, im Team: welches Tool, wofür, wie oft. Keine Schuldfrage, keine Namen. Du hast danach eine Zahl statt eines Verdachts — und die brauchst du, bevor du irgendetwas entscheidest.
Drittens: ein legitimer Kanal. Ein einziges freigegebenes Tool, offiziell benannt. Denn der Druck, der zur Schatten-KI führt, verschwindet nicht, wenn du ihn verbietest. Er sucht sich ein Ventil. Also gib ihm eines.
Kein Entwickler nötig. Keine neue Software. Keine Freigabe von oben.
Bei einem Team von zehn ist das an einem Nachmittag erledigt. Bei einer R&D-Organisation mit drei Standorten ist es der Unterschied zwischen einer Zahl, die du kennst, und einem Vorfall, von dem dir dein Kunde erzählt.
Die meisten warten auf die perfekte Richtlinie.
Sie könnten heute die Hälfte des Risikos schließen.
Welches der drei Dinge wäre bei euch bis Freitag machbar?