OneTrust Studienbericht 2026: KI-fähige Governance
Die Einführung von KI schafft eine Governance-Lücke.
Unternehmen integrieren KI zunehmend in ihre Geschäftsbereiche, während Mitarbeitende kontinuierlich neue Tools und KI-Agenten nutzen. Gleichzeitig hat sich auch die Governance weiterentwickelt – jedoch nicht mit der erforderlichen Geschwindigkeit und Konsistenz.
Mehr als die Hälfte der Führungskräfte gibt an, dass KI-Governance bereits in den KI-Lebenszyklus integriert ist. Doch 47 % beschreiben ihre Programme als reaktiv, fragmentiert, langsam oder manuell. Lediglich 17 % berichten, dass Governance von Anfang an in die Gestaltung eingebettet ist.
Neue Studienergebnisse zeigen, in welchen Bereichen die KI-Governance Fortschritte macht und in welchen eine fehlende Abstimmung bei der Umsetzung neue Risiken schafft.
Bei den meisten Unternehmen ist die Einführung von KI längst über isolierte Pilotprojekte hinaus. Fast drei Viertel (74 %) von ihnen berichten von einer abteilungsweiten oder skalierten KI-Einführung. 52 % setzen KI bereits in mehreren Geschäftsbereichen ein oder haben sie fest in ihre Geschäftsprozesse und operativen Abläufe integriert.
Auch die Governance hat sich weiterentwickelt. Dennoch geben nur 5 % der Befragten an, dass Koordination und Rechenschaftspflicht über den gesamten KI-Lebenszyklus hinweg klar geregelt sind.
Die Einführung von KI-Agenten legt die nächste Governance-Lücke offen
Nirgendwo wird die Diskrepanz zwischen KI-Einführung und Governance-Reife in der Studie deutlicher als bei KI-Agenten.
87 % der Befragten geben an, dass ihr Unternehmen den Einsatz von KI-Agenten fördert. Doch nur 47 % sagen, dass dabei klare Governance-Strukturen sowie Aufsichts- und Kontrollmechanismen vorhanden sind. Weitere 40 % fördern bereits den Einsatz, während die Governance- und Kontrollmechanismen noch aufgebaut werden.
Somit ermöglichen Unternehmen bereits den Zugang zu KI-Agenten, obwohl die Regeln für deren Einsatz und Handlungen noch nicht feststehen.
Der Zuspruch zu KI-Agenten wächst schneller als die Governance
Schatten-KI und Koordinationslücken werden zum betrieblichen Risiko
Schatten-KI stellt eine zentrale Herausforderung für die Transparenz in der KI-Governance dar. Die meisten Unternehmen haben den Einsatz genehmigter KI im Blick. Deutlich weniger haben jedoch einen vollständigen Überblick über die übrige KI-Nutzung.
Knapp die Hälfte (48 %) der Befragten gibt an, einen klaren Überblick über die genehmigte sowie die nicht genehmigte KI-Nutzung im Unternehmen zu haben. Weitere 46 % haben die genehmigte KI-Nutzung gut im Blick, verfügen jedoch nur über eingeschränkte Einblicke in von Mitarbeitenden initiierte oder nicht genehmigte KI-Nutzung.
Diese Lücke birgt betriebliche Risiken. Ein Drittel der Befragten berichtet, dass Mitarbeitende nicht genehmigte KI-Tools genutzt haben, weil genehmigte Alternativen oder Prozesse nicht schnell genug verfügbar waren. 31 % der Befragten geben an, dass Anwendungsfälle erst nach ihrem Einsatz erkannt und zur Prüfung vorgelegt wurden.
Unternehmen treiben ihre Governance-Programme aktiv voran. Doch über den gesamten Lebenszyklus hinweg greifen Zuständigkeiten, Kontext, Kontrollen und Nachweise noch nicht durchgängig ineinander.
Unternehmen haben ihre genehmigte KI im Blick
Schatten-KI schafft betriebliche Risiken
KI-Vorfälle gehören inzwischen zur Realität. Die Frage ist nicht mehr, ob sie auftreten, sondern wann.
Im vergangenen Jahr waren 86 % der Unternehmen von mindestens einem KI-bezogenen Vorfall betroffen. 99 % dieser Unternehmen ergriffen konkrete Maßnahmen, um darauf zu reagieren.
45 % der Unternehmen haben formelle Prüf- und Freigabeprozesse für KI eingeführt, während 43 % ihr Monitoring oder ihre Governance-Kontrollen ausgebaut haben.
Der Fokus verlagert sich zunehmend vom bloßen Verlangsamen der KI hin zum Ausbau wirksamer Governance-Strukturen.
Die KI-Governance hält allmählich Einzug in den operativen Betrieb, doch es besteht nach wie vor eine erhebliche Lücke. Zwar haben Unternehmen Governance- und Kontrollmaßnahmen etabliert, doch angesichts der zunehmenden Verbreitung von KI sind diese nicht durchgängig über Geschäftsbereiche, Drittanbieter und KI-Agenten hinweg miteinander verknüpft.
Verfolgen Sie den KI-Einsatz im Unternehmen und erkennen Sie Veränderungen frühzeitig.
Halten Sie Prüf- und Freigabeprozesse mit der Geschwindigkeit der KI-Einführung im Einklang.
Überführen Sie Governance-Entscheidungen nahtlos in aktive KI-Workflows.
Schaffen Sie klare Zuständigkeiten über den gesamten KI-Lebenszyklus hinweg.
Der vollständige Studienbericht liefert wertvolle Einblicke, die Ihnen dabei helfen, den Reifegrad Ihres Unternehmens einzuordnen und die nächste Phase Ihrer Governance-Strategie gezielt zu planen.
Der Bericht enthält detaillierte Informationen zu folgenden Themen:
Der Bericht richtet sich an CISOs sowie weitere Führungskräfte mit Verantwortung für Sicherheit, Risikomanagement, Datenschutz, Datenmanagement, KI und unternehmensweite Governance.
OneTrust und Sapio Research befragten im Juni und Juli 2026 insgesamt 1.200 hochrangige Führungskräfte mit Entscheidungsverantwortung in Australien, Deutschland, Frankreich, Kanada, Singapur, Spanien, dem Vereinigten Königreich und den Vereinigten Staaten.
Die Stichprobe umfasste zu gleichen Teilen Führungskräfte in den Funktionen CPO, CDO, CISO und CMO. Alle Teilnehmenden waren in Unternehmen mit einem Jahresumsatz von mindestens 100 Millionen US-Dollar tätig.
Unternehmen haben bereits zahlreiche KI-Governance-Maßnahmen etabliert. Dennoch greifen diese über Teams, Systeme, Drittanbieter und die verschiedenen Phasen des KI-Lebenszyklus hinweg häufig noch nicht nahtlos ineinander.
Schatten-KI bezeichnet KI-Tools und KI-Agenten, die von Mitarbeitenden oder Teams ohne formelle Freigabe oder Aufsicht eingesetzt werden. Als KI-Pendant zur Schatten-IT erschwert sie Transparenz, Kontrolle und ein wirksames Risikomanagement.
Das Risiko geht nicht von den Tools selbst aus. Problematisch ist vielmehr die fehlende Transparenz über deren Nutzung sowie das Fehlen geeigneter Kontrollen und klarer Rechenschaftspflicht. Ohne Einblick in nicht genehmigte KI-Aktivitäten fehlt Sicherheits- und Risikoteams die Grundlage, Risiken fundiert zu bewerten, Governance-Vorgaben durchzusetzen und wirksam auf Vorfälle zu reagieren.
KI-fähige Governance schafft die Transparenz, Prozesse, Kontrollen und Verantwortlichkeitsstrukturen, die Unternehmen benötigen, um KI unternehmensweit im erforderlichen Tempo und Umfang zu steuern.
Dazu gehören eine kontinuierliche Transparenz über den KI-Einsatz in Geschäftsbereichen, bei Drittanbietern und KI-Agenten sowie die Fähigkeit, Governance-Maßnahmen flexibel an neue Anforderungen und Nutzungsmuster anzupassen.
KI-Agenten stellen Unternehmen vor neue Governance-Anforderungen. Sie agieren eigenständig, initiieren Prozesse und interagieren mit Drittsystemen. Dadurch sind ihre Aktivitäten häufig schwerer nachzuvollziehen als bei klassischen KI-Anwendungen.
Um Risiken wirksam zu steuern, benötigen Unternehmen klare Richtlinien für den Einsatz von KI-Agenten, definierte Freigabeprozesse vor der Bereitstellung sowie eine kontinuierliche Überwachung im laufenden Betrieb. Dass bereits 87 % der Unternehmen den Einsatz von KI-Agenten fördern, aber nur 47 % über klare Governance- und Kontrollmechanismen verfügen, zeigt, wie schnell Unternehmen den Zugang öffnen, ohne zuvor die dafür erforderlichen Regeln festzulegen.
