Schatten-IT durch AI: Warum Vibe-Coded-Tools dein größtes Compliance-Risiko 2026 sind
2026 baut jede Fachabteilung Software. Marketing 'vibe-codet' sich einen Lead-Scorer, HR baut einen Onboarding-Agent, Vertrieb hat drei verschiedene GPT-Assistenten. Die IT erfährt davon, wenn der DSGVO-Brief kommt.
Typischer Stack
Vibe-Coded Apps
Cursor, Lovable, Replit, v0 — produktive Apps ohne Code-Review
AI-Agents
n8n + GPT, Make + Claude, Zapier AI — automatisierte Workflows mit Datenzugriff
Custom GPTs / Copilots
ChatGPT-Plus-Workspaces, Copilot Studio — mit Firmendaten im System-Prompt
Browser-Extensions
AI-Tools, die Inhalte aus internen Tools an externe Modelle senden
Die typischen Probleme
Kein Inventar = kein Audit
DSGVO, EU AI Act, ISO 27001 verlangen ein Verzeichnis aller datenverarbeitenden Systeme. AI-Tools, die niemand kennt, sind ein Audit-Showstopper.
Geistiges Eigentum verlässt das Haus
Wer ein Vibe-Coded-Tool baut, das Kundendaten an einen API-Endpunkt schickt, hat einen Auftragsverarbeiter mehr — meist ohne Vertrag.
Wartung beim ersten Urlaub vorbei
Die Person, die das Tool gebaut hat, ist die einzige, die es versteht. Nach 6 Monaten weiß niemand mehr, was die KI im Hintergrund tut.
Kostenexplosion durch API-Tokens
Drei Abteilungen, drei OpenAI-Accounts, kein Volumenrabatt. Bei einem Mittelständler haben wir 47.000 € jährlich gefunden, die niemand verfolgt hat.
Was es konkret kostet
AI-Schatten-IT ist 2026 die am schnellsten wachsende Kostenposition in mittelständischen IT-Budgets. Realistisch: 8–15 % des SaaS-Spends, davon ist die Hälfte unsichtbar.
Wie SolutionArc das löst
SolutionArc erfasst AI-Lösungen als eigene Kategorie — mit Typ (Vibe-Coded, Agent, Copilot, extern), Owner in der Fachabteilung, verarbeiteten Datenklassen und API-Kosten. So bekommt der CIO die Hoheit zurück, ohne den Fachbereich auszubremsen.
Pilot werden →FAQ
Soll ich Vibe-Coded-Tools verbieten?
Nein — du würdest die produktivste Welle der letzten 10 Jahre abwürgen. Stattdessen: Inventar, Leitplanken, Review-Prozess. Erlauben, aber dokumentieren.
Welche Daten gehören in das AI-Inventar?
Tool-Name, eingesetztes Modell, Owner, Abteilung, verarbeitete Datenklassen, monatliche Kosten, Status (Prototyp / produktiv / abgekündigt).
Wie unterscheide ich AI-Tools von normaler Software?
Drei Merkmale: ein Foundation Model ist im Spiel, der Output ist nicht-deterministisch, und es gibt einen externen API-Vertrag. SolutionArc kennzeichnet das automatisch.