Schatten-KI im Maklerbüro: Das unterschätzte Haftungsrisiko

Lesezeit: ca. 9 Minuten | Stand: August 2026 | Kategorie: KI & Compliance

Wissen Sie, ob heute Vormittag in Ihrem Büro jemand einen Kundenbrief mit ChatGPT formuliert hat? Ob eine Schadensmeldung samt Namen, Vertragsnummer und Diagnose in ein öffentliches KI-Tool kopiert wurde? Ob Ihre Maklerassistenz einen privaten Account nutzt, weil es „einfach schneller geht“?

Wenn Sie bei einer dieser Fragen zögern, geht es Ihnen wie den meisten Maklerbüros in Deutschland. Und genau darum geht es in diesem Beitrag: um Schatten-KI im Maklerbüro – den unkontrollierten Einsatz von KI-Tools durch Mitarbeitende, ohne Richtlinien, ohne Datenschutzprüfung, oft ohne Wissen der Geschäftsführung.

Was ist Schatten-KI im Maklerbüro? Eine präzise Definition

Schatten-KI ist der unkontrollierte Einsatz von KI-Anwendungen durch Mitarbeitende eines Unternehmens – ohne offizielle Freigabe, ohne Datenschutzprüfung und ohne einheitliche Regeln. Sie ist die KI-Variante der bekannten Schatten-IT: Anwendungen laufen im Verborgenen, während die Geschäftsführung glaubt, den Überblick zu haben.

Im Maklerbüro – ob Immobilienmakler oder Versicherungsmakler – nimmt Schatten-KI eine besonders brisante Form an. Hier fließen täglich sensible Kundendaten durch die Büros: Gesundheitsangaben, Einkommensverhältnisse, Finanzierungsunterlagen, Vertragsdaten. Wenn diese Informationen in öffentliche KI-Modelle eingegeben werden, verlassen sie das Unternehmen – und niemand weiß, was mit ihnen geschieht.

Was ist Schatten-KI?
Schatten-KI bezeichnet den nicht autorisierten Einsatz von KI-Tools durch Mitarbeitende, der ohne Wissen oder Freigabe der Unternehmensführung stattfindet. Typische Beispiele sind ChatGPT, Gemini oder Perplexity, die für berufliche Aufgaben genutzt werden, ohne dass eine Datenschutzprüfung oder eine KI-Richtlinie vorliegt. Im Unterschied zur freigegebenen KI fehlen Kontrolle, Protokollierung und Compliance-Absicherung vollständig.

Welche KI-Tools werden unkontrolliert genutzt – und warum

Die meistgenutzten Plattformen im Schatten-Bereich sind keine Exoten. Es sind die Systeme, die jeder kennt: ChatGPT, Gemini, Perplexity, Claude und ähnliche Large Language Models. Sie sind frei zugänglich, intuitiv bedienbar und liefern in Sekunden Ergebnisse, für die früher Stunden gebraucht wurden.

Laut dem Microsoft-LinkedIn Work Trend Index 2024 nutzen 71 Prozent der Beschäftigten in Deutschland KI-Tools am Arbeitsplatz, ohne dass diese offiziell vom Unternehmen bereitgestellt werden. 38 Prozent geben laut einer Erhebung des Infosecurity Magazine (2024) zu, sensible Arbeitsinformationen bereits ohne Erlaubnis in KI-Tools eingegeben zu haben. In der Maklerbranche dürfte dieser Anteil kaum niedriger liegen – der Produktivitätsdruck ist real, qualifiziertes Personal knapp.

Warum greifen Mitarbeitende darauf zurück? Weil der Makleralltag es verlangt. Angebotserstellung, Bestandspflege, Schadenskommunikation, Nachfassschreiben – die Aufgaben wachsen, während die Zeit knapper wird. Wer entdeckt, dass ein KI-System eine Stunde Korrespondenz auf zehn Minuten verkürzt, wird es nutzen – mit oder ohne Erlaubnis.

Das Problem ist nicht die Motivation. Das Problem ist das Governance-Vakuum dahinter. In der Praxis zeigt sich das häufig so: Einzelne Mitarbeitende legen engagiert los und probieren KI-Tools aus, während die Geschäftsführung gar nicht mitbekommt, was im Alltag bereits läuft. Ohne Struktur entsteht schnell Doppelarbeit – und das eigentliche Potenzial verteilt sich zufällig, statt sich im Team zu multiplizieren.

Die Folge: Jede:r kocht sein eigenes Süppchen. Eine Mitarbeiterin hat sich gute Prompts für Exposés gebaut. Ein Kollege nutzt Google Gemini für Kundenmails. Ein dritter hat noch nie eine KI-Lösung angefasst. Das Potenzial verpufft, statt sich im Team zu multiplizieren.

Konkrete Risiken: Datenschutzverletzung und DSGVO im Maklerbüro

Reden wir konkret. Wenn sensible Kundendaten in öffentliche Modelle eingegeben werden, entstehen drei unmittelbare Risiken.

Risiko 1: Datenschutzverletzung nach DSGVO
Kundendaten – Namen, Gesundheitsangaben, Vertragsnummern, Einkommensverhältnisse – sind nach der Datenschutz-Grundverordnung besonders schützenswert. Werden sie in ein öffentliches KI-System eingegeben, verlassen sie das Unternehmen in aller Regel ohne Auftragsverarbeitungsvertrag, ohne Datenschutz-Folgenabschätzung und ohne Einwilligung der betroffenen Personen. Das begründet regelmäßig eine Datenschutzverletzung – unabhängig davon, ob im Nachgang etwas „passiert“ oder nicht. Die Bußgelder betragen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes (Art. 83 DSGVO).

Risiko 2: Haftung durch KI-Fehler
Künstliche Intelligenz formuliert selbstbewusst – auch wenn sie falsch liegt. Ein übersehener Fehler in einer Deckungsauskunft, einem Angebotsvergleich oder einer Schadensmeldung ist im Maklergeschäft kein Schönheitsfehler. Er kann schnell zu einem echten Haftungsfall werden. Ohne klare Regeln zur Qualitätskontrolle und Freigabe von KI-generierten Inhalten trägt das Maklerunternehmen ein deutlich erhöhtes Risiko.

Risiko 3: Reputationsschaden
Ihr Geschäftsmodell basiert auf Vertrauen. Kunden vertrauen Ihnen ihre sensibelsten Lebensbereiche an – Gesundheit, Familie, Vermögen. Ein einziger öffentlich gewordener Datenleck kann zerstören, was Sie über Jahre aufgebaut haben. Reputationsschäden in der Maklerbranche sind schwer zu beziffern – aber strukturell vermeidbar.

Wer sich täglich mit KI-Governance-Fragen beschäftigt, kennt das Muster: KI wird oft so unbedacht eingesetzt, dass Grauzonen entstehen, bevor jemand es merkt. Genau deshalb lohnt sich der Blick auf klare Strukturen, bevor ein Vorfall eintritt.

EU AI Act und KI-Kompetenzpflicht: Was Maklerunternehmen jetzt wissen müssen

Seit Februar 2025 gilt Artikel 4 des EU AI Act. Er verpflichtet Unternehmen, die KI einsetzen, zur nachweisbaren KI-Grundkompetenz ihrer Mitarbeitenden – der sogenannten KI-Kompetenzpflicht. Das gilt nicht nur für Tech-Konzerne. Es gilt für jedes Maklerunternehmen in Deutschland, das KI-Systeme einsetzt – ob offiziell oder als Schatten-KI.

Wichtig für die rechtliche Einordnung: Art. 4 selbst sieht keinen eigenen, gesondert bezifferten Bußgeldtatbestand vor. Er ist als Sorgfaltspflicht formuliert. Sanktioniert werden nach Art. 99 EU AI Act vor allem Verstöße gegen andere Betreiberpflichten sowie – mit dem höchsten Bußgeldrahmen von bis zu 35 Millionen Euro oder 7 Prozent des Jahresumsatzes – Verstöße gegen die verbotenen KI-Praktiken nach Art. 5. Für die hier relevanten Betreiberpflichten, etwa fehlende Nachweis- und Transparenzdokumentation, drohen Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes.

Seit August 2026 sind die zuständigen Aufsichtsbehörden befugt, dieses Sanktionsregime durchzusetzen. Unabhängig von der exakten Rechtsgrundlage bleibt der entscheidende Punkt: Wer den Einsatz von KI-Systemen und die Schulung der Mitarbeitenden nicht dokumentieren kann, trägt ein erhebliches Nachweis- und Haftungsrisiko – gerade im Zusammenspiel mit der DSGVO.

Was bedeutet das konkret?

Nachweispflicht: Sie müssen dokumentieren können, dass Ihre Mitarbeitenden über KI-Grundkompetenz verfügen.
Transparenzpflichten: Wenn KI-Systeme im Kundenkontakt eingesetzt werden, bestehen Informationspflichten gegenüber den Kunden.
Compliance-Anforderungen: Unternehmen müssen wissen, welche KI-Systeme sie einsetzen und wie diese klassifiziert sind.

Wer nicht einmal weiß, welche KI-Anwendungen heute in seinem Büro genutzt wurden, kann keine dieser Anforderungen erfüllen. Das ist der Kern des Schatten-KI-Problems aus regulatorischer Sicht.

Jetzt unverbindlich beraten lassen

Schritt-für-Schritt: Schatten-KI identifizieren und strukturiert lösen

Der Weg aus der Schatten-KI ist kein Verbotsprojekt. Er ist ein Strukturprojekt. Vier Schritte führen vom Governance-Vakuum zur kontrollierten, effizienten KI-Nutzung.

Schritt 1: Audit – Was läuft gerade wirklich?
Bevor Sie Regeln einführen, brauchen Sie Klarheit. Welche KI-Anwendungen werden genutzt? Von wem? Für welche Aufgaben? Welche Informationen fließen dabei? Ein strukturierter KI-Audit beantwortet diese Fragen – anonym, ohne Schuldzuweisungen, mit dem Ziel, den Ist-Zustand zu verstehen.

Schritt 2: KI-Richtlinie einführen
Nach dem Audit folgt die KI-Governance: klare Regeln, wer welche Systeme für welche Aufgaben nutzen darf – und welche Daten dabei niemals eingegeben werden dürfen. Eine KI-Richtlinie schafft Rechtssicherheit für das Unternehmen und Orientierung für die Mitarbeitenden.

Schritt 3: Sichere Alternative bereitstellen
Verbote allein funktionieren nicht. Wenn Mitarbeitende unter Produktivitätsdruck stehen, suchen sie Wege – mit oder ohne Erlaubnis. Die einzige nachhaltige Lösung ist eine sichere, freigegebene Alternative: eine interne KI-Plattform oder ein Firmen-GPT, das auf Unternehmensdaten trainiert ist und in einer deutschen Cloud oder On-Premise betrieben wird.

Schritt 4: KI-Weiterbildung für alle Mitarbeitenden
Struktur ohne Wissen funktioniert nicht. Mitarbeitende müssen verstehen, warum die Regeln existieren, wie sie die genehmigten KI-Systeme effektiv nutzen und wo die Grenzen liegen. Strukturierte KI-Schulungen schließen diese Lücke und erfüllen gleichzeitig die Anforderungen aus Artikel 4 EU AI Act.

Firmen-GPT als sichere Alternative zur Schatten-KI

Welche KI eignet sich für Immobilienmakler und Versicherungsmakler? Die Antwort ist eindeutig: kein öffentliches, frei zugängliches System für sensible Kundendaten. Die richtige Lösung ist eine interne KI-Plattform – ein Firmen-GPT, das auf die Daten und Prozesse Ihres Betriebs zugeschnitten ist.

Welche KI für Immobilienmakler?
Für Immobilienmakler empfiehlt sich für sensible Kundendaten kein öffentliches KI-Tool, sondern ein unternehmenseigenes Firmen-GPT: eine interne KI-Lösung, die auf Unternehmensdaten trainiert ist, in einer deutschen Cloud oder On-Premise betrieben wird und datenschutzkonform arbeitet. Öffentliche Plattformen wie ChatGPT oder Google Gemini sind für allgemeine Recherchen geeignet – nicht für Exposé-Daten, Finanzierungsunterlagen oder Kundenkommunikation.

Ein Firmen-GPT bietet Ihrem Betrieb konkrete Vorteile:

Datensicherheit: Kundendaten verlassen das Unternehmen nicht. Die KI läuft auf Ihrer Infrastruktur – in einer deutschen Cloud oder vollständig On-Premise.
Unternehmenswissen integriert: Das System kennt Ihre Produktpalette, Ihre Prozesse, Ihre Vorlagen. Es liefert Antworten, die zu Ihrem Büro passen – keine generischen Texte.
Audit-Trail: Jede Anfrage wird protokolliert. Sie haben jederzeit Zugriffskontrolle und Transparenz darüber, wer was gefragt hat.
Compliance by Design: Das System ist so konfiguriert, dass sensible Datentypen nicht unkontrolliert verarbeitet werden.

SESTdigital entwickelt solche Firmen-GPTs seit 2021 – nicht als Beratungsprodukt, sondern als technische Realität. Wir kommen aus der Softwareentwicklung. Das bedeutet: Unsere Empfehlungen entstehen nicht im Lehrbuch, sondern aus 15+ umgesetzten KI-Projekten.

KI-Richtlinie für Ihr Maklerbüro: Was hineingehört

Eine KI-Richtlinie ist das Fundament jeder KI-Governance. Sie schafft klare Verhältnisse – für das Unternehmen, für die Mitarbeitenden und gegenüber Aufsichtsbehörden. Was muss eine KI-Richtlinie für Maklerunternehmen enthalten?

Mindestinhalt einer KI-Richtlinie:

• Genehmigte Systeme: Welche KI-Anwendungen sind freigegeben – und für welche Aufgaben?
• Verbotene Datentypen: Welche Informationen dürfen niemals in KI-Systeme eingegeben werden? (Gesundheitsdaten, Vertragsnummern, Einkommensnachweise, Kundennamen in Kombination mit Vertragsdaten)
• Freigabeprozesse: Wer genehmigt neue Plattformen? Wie läuft die Freigabe ab?
• Verantwortlichkeiten: Wer ist KI-Verantwortliche:r im Unternehmen? Wer trägt die Betreiberpflichten?
• Qualitätskontrolle: Wie werden KI-generierte Inhalte vor der Verwendung geprüft?
• Dokumentation: Wie wird der KI-Einsatz nachvollziehbar aufgezeichnet?

Basis-Variante vs. anwaltlich geprüfte Variante:
SESTdigital bietet KI-Richtlinien in zwei Varianten an. Die Basis-Variante liefert schnell einsetzbare Regeln für Maklerunternehmen, die sofort handlungsfähig sein wollen. Die anwaltlich geprüfte Variante ist vollständig auf EU AI Act und DSGVO abgestimmt, individualisiert auf Ihr Büro und gibt Ihnen maximale Rechtssicherheit. Beide Varianten sind als Einzelprodukt buchbar – ohne komplettes Programm.

Praxisbeispiele: Typische Schatten-KI-Szenarien im Makleralltag

Welche Rolle spielt künstliche Intelligenz im Immobilienbereich heute? Generative KI wird in der Immobilienwirtschaft bereits für Exposé-Erstellung, Marktanalysen, Kundenkommunikation und Dokumentenverarbeitung eingesetzt. Das Potenzial ist real – die Herausforderungen liegen in der kontrollierten Umsetzung.

Welche Rolle spielt KI im Immobilienbereich?
KI spielt in der Immobilienwirtschaft eine wachsende Rolle bei der Erstellung von Exposés, der Analyse von Marktdaten, der Automatisierung von Kundenkommunikation und der Verarbeitung von Finanzierungsunterlagen. Generative KI-Systeme wie Large Language Models werden dabei sowohl als freigegebene Unternehmensanwendungen als auch – häufig unkontrolliert – als Schatten-KI eingesetzt, was erhebliche Datensicherheits- und Compliance-Risiken erzeugt.

Hier sind drei typische Schatten-KI-Szenarien, die in Maklerbüros täglich vorkommen:

Szenario 1: Exposé-Erstellung mit ChatGPT
Eine Maklerassistenz gibt Objektdaten, Lagemerkmale und Kundenpräferenzen in ChatGPT ein, um schnell ansprechende Exposés zu erstellen. Das Ergebnis ist gut – aber die Daten haben das Unternehmen verlassen. Abhängig von den Einstellungen des Accounts können diese Eingaben für das Training des Modells genutzt werden. Exposés enthalten oft sensible Informationen über Eigentümer und Kaufinteressenten.

Szenario 2: Kundenmails via KI-Assistent
Ein Makler nutzt einen öffentlichen KI-Assistenten, um Nachfassschreiben und Angebotsmails zu formulieren. Er kopiert dabei Kundennamen, Vertragsnummern und spezifische Versicherungsdetails in das System. Ohne Auftragsverarbeitungsvertrag ist diese Nutzung in aller Regel ein Verstoß gegen die DSGVO.

Szenario 3: Marktanalysen mit nicht genehmigten Plattformen
Ein Mitarbeitender nutzt Perplexity für Marktrecherchen und kombiniert dabei öffentliche Informationen mit internen Portfoliodaten. Kein Freigabeprozess, keine Aufzeichnung, kein Audit-Trail. Das Unternehmen hat keine Kontrolle darüber, welche Daten das Büro verlassen haben.

Diese Beispiele sind keine Ausnahmen. Sie sind Alltag in der Maklerbranche – und genau deshalb ist KI-Governance kein optionales Thema.

KI-Schulung als Pflichtbaustein: Der KI-Führerschein für Maklerunternehmen

Struktur ohne Kompetenz funktioniert nicht. Eine KI-Richtlinie, die niemand versteht, wird nicht eingehalten. Ein Firmen-GPT, das niemand bedienen kann, wird nicht genutzt. Deshalb ist die KI-Schulung aller Mitarbeitenden kein Nice-to-have – sie ist Pflicht.

Der KI-Führerschein von SESTdigital ist die strukturierte Grundausbildung für alle Mitarbeitenden, die KI-Systeme einsetzen oder einsetzen werden. Er vermittelt:

• Was künstliche Intelligenz ist und wie Large Language Models funktionieren
• Welche Plattformen im Unternehmen freigegeben sind und wie sie richtig genutzt werden
• Welche Daten niemals in KI-Systeme eingegeben werden dürfen
• Wie KI-generierte Ergebnisse kritisch bewertet und geprüft werden
• Was die Anforderungen aus Artikel 4 EU AI Act bedeuten – und wie der Nachweis erbracht wird

Der KI-Führerschein erfüllt gleichzeitig die Anforderungen der KI-Kompetenzpflicht nach EU AI Act. Ihr Betrieb erhält damit nicht nur geschulte Mitarbeitende, sondern auch die Aufzeichnungen, die Aufsichtsbehörden verlangen können.

Unterschiedliche Mitarbeitendengruppen brauchen unterschiedliche Ansätze: Führungskräfte benötigen strategisches KI-Wissen und Verständnis für Betreiberpflichten. Sachbearbeitende brauchen praxisnahe Anleitung für ihren spezifischen Makleralltag. Beide Gruppen müssen verstehen, was erlaubt ist – und was nicht.

Schatten-KI vs. genehmigte KI: Wo die Grenze liegt

Der Unterschied zwischen Schatten-KI und autorisierter KI ist nicht die Technologie. Es ist die Governance dahinter.

Die Grenze ist klar: Jedes KI-System, das ohne Freigabe, ohne Datenschutzprüfung und ohne klare Regeln genutzt wird, ist Schatten-KI – unabhängig davon, wie gut die Ergebnisse sind. Genehmigte KI-Systeme hingegen sind in die KI-Strategie des Unternehmens eingebettet, aufgezeichnet und für alle Beteiligten transparent.

Checkliste: 10 Sofortmaßnahmen gegen Schatten-KI

1. KI-Audit durchführen: Befragen Sie Ihr Team anonym, welche KI-Anwendungen aktuell genutzt werden.
2. Bestandsaufnahme der Datenflüsse: Identifizieren Sie, welche sensiblen Informationen in KI-Systeme eingegeben werden.
3. Sofortiger Stopp für Hochrisiko-Nutzung: Definieren Sie, welche Datentypen ab sofort nicht mehr in öffentliche Plattformen eingegeben werden dürfen.
4. KI-Verantwortliche:n benennen: Legen Sie fest, wer im Unternehmen für KI-Governance zuständig ist.
5. KI-Richtlinie einführen: Erstellen Sie klare Richtlinien für genehmigte Systeme, verbotene Datentypen und Freigabeprozesse.
6. Freigabeliste erstellen: Definieren Sie, welche KI-Anwendungen für welche Aufgaben freigegeben sind.
7. Sichere Alternative bereitstellen: Prüfen Sie, ob ein Firmen-GPT oder eine interne KI-Plattform die richtige Lösung für Ihr Büro ist.
8. KI-Weiterbildung für alle Mitarbeitenden: Führen Sie eine strukturierte Grundausbildung durch – inklusive Datensicherheit und Compliance.
9. Nachweis aufbauen: Protokollieren Sie den KI-Einsatz so, dass Sie gegenüber Aufsichtsbehörden Auskunft geben können.
10. Regelmäßige Überprüfung: KI-Systeme entwickeln sich schnell. Überprüfen Sie Ihre KI-Richtlinie mindestens einmal pro Jahr.

Typische Missverständnisse und bewährte Vorgehensweisen

Missverständnis 1: Verbote ohne Alternative
Das häufigste Missverständnis: Schatten-KI lässt sich durch Verbote lösen. Das stimmt nicht. Wenn Mitarbeitende unter Produktivitätsdruck stehen und kein freigegebenes System zur Verfügung steht, suchen sie Wege. Verbote ohne sichere Alternative erhöhen die Schatten-KI-Nutzung – sie reduzieren sie nicht. Effizienz entsteht durch Struktur, nicht durch Restriktionen.

Missverständnis 2: KI-Governance als IT-Thema behandeln
KI-Governance ist kein IT-Thema. Es ist ein Führungsthema. In vielen Unternehmen fehlt auf Führungsebene noch das grundlegende Verständnis dafür, was IT-seitig überhaupt passiert und welche Rolle Compliance dabei spielt. Solange die Geschäftsführung KI-Governance delegiert, ohne selbst Verantwortung zu übernehmen, entsteht kein klarer Owner – und ohne Owner keine Struktur.

Missverständnis 3: Einmalige Weiterbildung als Lösung
Ein Workshop reicht nicht. Der Strohfeuer-Effekt ist real: Nach einer Weiterbildungsmaßnahme steigt die Motivation kurzfristig, fällt dann aber wieder ab. Nachhaltige KI-Adoption braucht Begleitung über mehrere Monate – mit klaren Meilensteinen, Feedback-Schleifen und einem festen Ansprechpartner.

Best Practice 1: Strategisch starten, nicht perfekt
Sie müssen nicht sofort alles lösen. Starten Sie mit dem Audit und der KI-Richtlinie. Das schafft sofort Klarheit und reduziert das größte Risiko – ohne monatelange Vorbereitungszeit.

Best Practice 2: Mitarbeitende einbinden, nicht überrollen
Die Mitarbeitenden, die heute Schatten-KI nutzen, sind Ihre besten KI-Botschafter:innen von morgen. Sie haben bereits verstanden, wie viel Zeit KI spart. Was sie brauchen, ist nicht Kontrolle – sondern Struktur und klare Spielregeln. In der Praxis zeigt sich fast immer: Die Skepsis gegenüber KI ist geringer, als viele Führungskräfte annehmen. Was fehlt, ist meist nicht der Wille, sondern das Wissen, wie man es richtig macht.

Best Practice 3: Technische und menschliche Ebene verbinden
KI-Systeme, die im Makleralltag eingesetzt werden, müssen zuverlässig funktionieren. Technische Sicherheit und menschliche Kompetenz müssen Hand in Hand gehen. Effizienz entsteht nicht durch den Einsatz von KI allein. Sie entsteht durch den strukturierten, kontrollierten Einsatz – mit klaren Richtlinien, geschulten Mitarbeitenden und sicherer Infrastruktur. Das ist der Unterschied zwischen Schatten-KI und strategischer KI-Nutzung.