IBM-Studie zeigt erhebliche Lücken bei der Kontrolle autonomer KI-Agenten: 80 Prozent der befragten Führungskräfte berichten von eskalierten KI-Vorfällen. Nur 40 Prozent der betroffenen Unternehmen haben daraufhin ihre Governance angepasst.

Künstliche Intelligenz entwickelt sich für Unternehmen zunehmend zu einer Herausforderung für Informationssicherheit, Risikomanagement und Unternehmensführung. Nach einer aktuellen IBM-Studie berichten 80 Prozent der befragten Führungskräfte in acht Ländern Europas und des Nahen Ostens, dass mindestens ein KI-bezogener Vorfall innerhalb eines Jahres bis auf Vorstands- oder Geschäftsleitungsebene eskaliert wurde. In Deutschland liegt der Anteil bei 82 Prozent.

Zu den gemeldeten Vorfällen zählen Fehlverhalten von KI-Systemen, die Offenlegung sensibler Daten, fehlerhafte KI-gestützte Entscheidungen und Sicherheitsverletzungen.

Besonders auffällig: Nur 40 Prozent der betroffenen Unternehmen haben anschließend ihre KI-Governance-Richtlinien oder Kontrollmechanismen angepasst. In Deutschland waren es lediglich 39 Prozent.

Die Ergebnisse stammen aus einer von Censuswide im Auftrag von IBM durchgeführten Befragung von 3.221 Führungskräften. Sie verdeutlichen eine wachsende Diskrepanz zwischen dem operativen Einsatz künstlicher Intelligenz und der Fähigkeit von Unternehmen, damit verbundene Risiken wirksam zu kontrollieren.

Autonome KI-Agenten verschärfen die Sicherheitsanforderungen

Eine besondere Herausforderung entsteht durch sogenannte agentische KI. Anders als klassische KI-Assistenten können solche Systeme innerhalb ihrer Berechtigungen eigenständig Aufgaben ausführen, Anwendungen miteinander verbinden und operative Prozesse beeinflussen.

Bereits 35 Prozent der befragten Unternehmen setzen KI-Agenten produktiv ein. In Deutschland sind es 19 Prozent.

Gleichzeitig erwarten 75 Prozent der Führungskräfte in den untersuchten Ländern, dass KI-Agenten bis 2027 ein gewisses Maß an Entscheidungsautonomie erreichen werden. In Deutschland liegt dieser Wert bei 62 Prozent.

Auf diese Entwicklung sind die vorhandenen Governance-Strukturen nur eingeschränkt vorbereitet. Lediglich 37 Prozent der Befragten halten ihre Kontrollsysteme für ausreichend skalierbar, um den zunehmenden Einsatz autonomer KI-Agenten sicher zu begleiten. In Deutschland sind es 38 Prozent.

Damit wachsen die Anforderungen an Zugriffsrechte, Protokollierung, Überwachung und die Möglichkeit, kritische Systemaktivitäten unverzüglich zu unterbrechen.

Unternehmen führen KI ein, obwohl Kontrollmechanismen noch fehlen

Die Studie zeigt zudem, dass viele Unternehmen ihre KI-Projekte trotz unvollständiger Governance-Strukturen vorantreiben.

56 Prozent der befragten Führungskräfte geben an, neue KI-Anwendungen innerhalb vereinbarter Risikogrenzen einzuführen und die notwendigen Kontrollmechanismen parallel weiterzuentwickeln. In Deutschland beträgt dieser Anteil sogar 64 Prozent.

Dagegen verschieben 33 Prozent der Unternehmen in den untersuchten Ländern eine Einführung, bis entsprechende Governance-Strukturen vorhanden sind. In Deutschland sind es lediglich 23 Prozent.

Für die Informationssicherheit entsteht daraus ein Spannungsfeld: Während KI-Systeme zunehmend auf interne Daten, Anwendungen und Geschäftsprozesse zugreifen, müssen die Sicherheitsverantwortlichen sicherstellen, dass Berechtigungen begrenzt, Entscheidungen nachvollziehbar und Fehlfunktionen rechtzeitig erkannt werden.

Drittanbieter-KI bleibt eine Schwachstelle

Besondere Defizite offenbart die Untersuchung bei KI-Anwendungen externer Anbieter.

54 Prozent der Befragten berichten von Governance-Lücken oder Einschränkungen beim Einsatz von KI-Systemen innerhalb der Lieferkette. In Deutschland liegt dieser Anteil bei 47 Prozent.

Dennoch überwachen nur 21 Prozent der Unternehmen die Risiken von Drittanbieter-KI kontinuierlich. In Deutschland sind es sogar nur 18 Prozent. Unabhängige Prüfungen oder Zertifizierungen verlangen lediglich 13 Prozent der Unternehmen, in Deutschland 11 Prozent.

Damit gewinnt die Absicherung externer KI-Komponenten an Bedeutung. Unternehmen müssen nicht nur eigene Systeme kontrollieren, sondern auch nachvollziehen können, welche Daten und Anwendungen externe KI-Dienste erreichen und welche sicherheitsrelevanten Veränderungen bei den Anbietern stattfinden.

Wer haftet, wenn ein KI-Agent Schaden verursacht?

Obwohl die Verantwortung für KI-Risiken nach Angaben der Befragten in 98 Prozent der Unternehmen formal auf Vorstandsebene verankert ist, bestehen weiterhin Unsicherheiten bei der konkreten Verantwortungszuordnung.

Insbesondere bei autonomen KI-Agenten stellt sich die Frage, wer für fehlerhafte Entscheidungen, unzulässige Systemzugriffe oder daraus entstehende Schäden verantwortlich ist.

Als wichtige Anforderungen nennen die Befragten vertragliche Haftungsregelungen, definierte Schwellenwerte für menschliche Eingriffe, Echtzeitüberwachung und nachvollziehbare Prüfprotokolle.

Auch die Möglichkeit einer sofortigen Unterbrechung von Agentenaktivitäten gewinnt an Bedeutung. Gerade bei KI-Systemen mit weitreichenden Zugriffsrechten kann eine solche Funktion entscheidend sein, um die Auswirkungen fehlerhafter oder manipulierter Aktionen zu begrenzen.

EU AI Act erhöht den Druck auf die Governance

Neben operativen Sicherheitsrisiken beeinflussen regulatorische Anforderungen die Investitionen in KI-Governance.

41 Prozent der befragten Führungskräfte in der Europäischen Union beschleunigen nach Angaben von IBM ihre Governance-Investitionen mit Blick auf die Anforderungen des EU AI Act. In Deutschland liegt der Anteil bei 50 Prozent.

Allerdings verfügen nur 37 Prozent der befragten Unternehmen über eine formale, vom Vorstand überprüfte Quantifizierung der finanziellen Risiken aus KI-Governance-Lücken. In Deutschland sind es 38 Prozent.

Damit fehlt vielfach eine belastbare Grundlage, um mögliche Schäden systematisch zu bewerten und Investitionen in Schutzmaßnahmen zu priorisieren.

KI-Governance wird zur Aufgabe der Unternehmenssicherheit

Die IBM-Studie macht deutlich, dass KI-Governance zunehmend über klassische Compliance-Fragen hinausgeht.

Mit dem Einsatz autonomer KI-Agenten müssen Unternehmen technische Berechtigungen, operative Risiken und organisatorische Verantwortlichkeiten gemeinsam betrachten. Informationssicherheit, Risikomanagement, Datenschutz und Unternehmensführung sind gefordert, verbindliche Kontroll- und Eskalationsverfahren zu entwickeln.

Die hohe Zahl von KI-Vorfällen auf Führungsebene zeigt, dass diese Risiken bereits in der Unternehmenspraxis angekommen sind. Dass vergleichsweise wenige Unternehmen ihre Governance anschließend anpassen, unterstreicht den Handlungsbedarf.

Für Sicherheitsverantwortliche wird damit eine Frage zentral: Nicht nur, was KI-Agenten leisten können, sondern auch, welche Entscheidungen sie eigenständig treffen dürfen – und wie Unternehmen eingreifen können, wenn etwas schiefläuft.

Die IBM-Studie im Überblick

Methodik: Censuswide befragte im Auftrag von IBM zwischen dem 14. und 24. September 2026 insgesamt 3.221 Führungskräfte aus Unternehmen mit mindestens 1.000 Beschäftigten. Die Erhebung umfasste Deutschland, Frankreich, Italien, Spanien, die Niederlande, das Vereinigte Königreich, Saudi-Arabien und die Vereinigten Arabischen Emirate.

Quelle: IBM, Pressemitteilung vom 15. Oktober 2026.