Lücke zwischen KI-Einsatz und Kontrolle Autonome KI läuft der Governance davon

Anbieter zum Thema

Optro

cidaas by Widas ID GmbH

FTAPI Software GmbH

Jedes dritte Unternehmen setzt KI bereits in geschäftskritischen Resilienz­prozessen ein. Doch nur wenige verfügen über aktive Risikokontrollen. Die Governance für autonome Agenten hinkt der sprunghaften Umsetzung in vielen deutschen Unternehmen deutlich hinterher.

30 Prozent der Unternehmen haben bislang nicht getestet, was passiert, wenn agentische KI die Kontrolle verliert oder fehlerhafte autonome Entscheidungen trifft. In Deutschland liegt der Anteil bei 25 Prozent. Gleichzeitig setzt bereits jedes dritte Unternehmen KI in geschäfts­kritischen Resilienzprozessen ein. Damit verschiebt sich auch die zentrale Governance-Frage. Nicht mehr nur die Verlässlichkeit einzelner KI-Ergebnisse steht im Mittelpunkt. Entscheidend wird, wie Unternehmen autonome Systeme steuern und kontrollieren.

Die bestehenden Strukturen sind darauf nur unzureichend vorbereitet. Verteilte Ver­ant­wort­lich­kei­ten, regelmäßige Prüfzyklen und richtlinienbasierte Kontrollen wurden für überwachte oder manuelle Prozesse entwickelt. Systeme, die autonom und mit hoher Geschwindigkeit handeln, stellen diese Modelle vor grundsätzliche Grenzen.

One Identity prognostiziert ersten großen KI-Sicherheitsvorfall 2026

Autonome KI-Agenten gefährden Identitäten und Berechtigungen

Vertrauen wächst schneller als Kontrolle

58 Prozent der befragten Führungskräfte gehen davon aus, dass ihre Governance-Maßnahmen mit der KI-Einführung Schritt halten. Tatsächlich verfügen laut Bericht jedoch nur 18 Prozent über aktive Maßnahmen zur Risikominimierung.

Die Folgen dieser Lücke zeigen sich bereits:

• 40 Prozent der Unternehmen berichteten in den vergangenen zwölf Monaten von fehlerhaften KI-Ergebnissen.

• 27 Prozent meldeten Datenschutzverletzungen im Zusammenhang mit KI.

• 26 Prozent waren von behördlichen Maßnahmen betroffen.

• Fast zwei Drittel erlebten mindestens einen Vorfall mit KI-Agenten, der zu Datenlecks, Betriebsunterbrechungen oder finanziellen Schäden führte.

Für die Unternehmensleitung reicht es deshalb nicht aus, KI-Anwendungen freizugeben und ihre Ergebnisse stichprobenartig zu prüfen. Notwendig sind klare Zuständigkeiten, nachvollziehbare Kontrollmechanismen und definierte Eingriffs- und Eskalationswege.

„Die Realität ist, dass die Einführung agentischer KI die bestehenden Governance-Strukturen bereits heute überholt“, stellt Guru Sethupathy, General Manager für KI-Governance bei Optro, fest. Governance müsse neu gedacht werden, damit Unternehmen KI schneller, sicherer und verlässlicher skalieren könnten.

Agenten werden zu nichtmenschlichen Identitäten

Autonome KI-Agenten authentifizieren sich, greifen auf Systeme zu und führen eigenständig Aktionen aus. Damit erhalten sie faktisch die Rolle nichtmenschlicher Identitäten. In vielen Unternehmen bleiben sie jedoch unsichtbar.

Besonders problematisch ist der Einsatz durch Fachbereiche. Mitarbeitende integrieren KI-Agenten in Prozesse, ohne dass die IT-Abteilung davon Kenntnis hat. Zwar haben 85 Prozent der Unternehmen KI bereits in ihre Kernprozesse integriert. Nur ein Viertel besitzt laut Optro jedoch einen umfassenden Überblick darüber, wie Mitarbeitende diese Technologien tatsächlich nutzen.

Statische Zugangsdaten sind im KI-Zeitalter nicht mehr sicher

KI-Agenten brauchen Secrets und machen sie zur Angriffsfläche

Für Sicherheits- und Compliance-Verantwortliche entsteht damit eine zusätzliche Schattenlandschaft. Neben klassischen Benutzerkonten, Anwendungen und Schnittstellen müssen auch Agenten erfasst und kontrolliert werden. Relevant sind dabei unter anderem folgende Fragen:

• Welche Agenten existieren im Unternehmen?

• Unter welcher Identität authentifizieren sie sich?

• Auf welche Systeme und Daten dürfen sie zugreifen?

• Welche Aktionen dürfen sie selbstständig ausführen?

• Wer trägt die Verantwortung für ihre Entscheidungen?

• Wie wird ein fehlerhaftes oder missbräuchliches Verhalten gestoppt?

Nahezu die Hälfte der Sicherheitsverantwortlichen zählt agentische KI bereits zu den größten Sicherheitsrisiken. Der Satz „Die KI hat entschieden“ wird dabei weder für interne Kontrollen noch gegenüber Aufsichtsbehörden ausreichen. Hinter Entscheidungen mit Auswirkungen auf Kunden, Märkte oder regulatorische Meldungen muss weiterhin ein namentlich benannter und rechenschaftspflichtiger Mensch stehen.

Sandboxing allein reicht bei KI-Agenten nicht aus

Je mehr Zugriffsrechte ein KI-Agent hat, desto größer das Risiko

Deutscher Mittelstand erwartet neue Resilienzrisiken

Auch deutsche Unternehmen rechnen mit wachsenden Problemen bei der Ver­ant­wor­tungs­zu­ord­nung. 36 Prozent erwarten, dass klare Zuständigkeiten für autonome KI-Systeme künftig zu den größten Herausforderungen für Business Continuity und Resilienz zählen werden.

Der Zeitpunkt für den Aufbau geeigneter Strukturen ist damit nicht beliebig verschiebbar. Unternehmen, die Verantwortlichkeiten jetzt definieren, können ihre Governance-Modelle selbst gestalten. Wer abwartet, muss voraussichtlich unter dem Druck regulatorischer Auflagen, von Abhilfemaßnahmen oder nach einem Sicherheitsvorfall reagieren.

(ID:50940015)