Der AI Governance Benchmark 2026 von Box und dem Handelsblatt Research Institute untersucht, wie Unternehmen künstliche Intelligenz einsetzen und welche Strukturen den Umgang damit regeln.
KI-Governance hinkt hinterher
Schatten-KI bleibt trotz wachsender KI-Reife ein verbreitetes Problem
Die Ergebnisse zeigen eine wachsende Lücke zwischen der produktiven Nutzung von KI und der praktischen Umsetzung von Governance.
KI ist in vielen Unternehmen längst im Arbeitsalltag angekommen. 80 Prozent der Befragten setzen entsprechende Anwendungen bereits produktiv ein, weitere 20 Prozent befinden sich noch in der Pilotphase. Bei rund einem Fünftel ist KI bereits in nahezu allen zentralen Geschäftsprozessen integriert.
Gleichzeitig zeigt sich, dass formale Vorgaben nicht automatisch verhindern, dass Beschäftigte auf nicht freigegebene KI-Dienste zurückgreifen.
Schatten-KI bleibt verbreitet
Besonders deutlich wird die Diskrepanz beim Umgang mit sogenannter Schatten-KI. In 42 Prozent der befragten Unternehmen verwenden Beschäftigte gelegentlich externe, nicht vom Unternehmen freigegebene KI-Tools. Bei weiteren 34 Prozent geschieht dies häufig. Nur neun Prozent untersagen die Nutzung solcher Anwendungen vollständig.
Damit können Unternehmensdaten außerhalb der vorgesehenen Kontrollstrukturen verarbeitet werden. Welche Informationen in externe KI-Dienste gelangen und welche Zugriffsrechte dabei gelten, lässt sich unter diesen Bedingungen nur eingeschränkt nachvollziehen.
Formale Richtlinien sind zwar weit verbreitet. 58 Prozent der Unternehmen verfügen bereits über entsprechende KI-Vorgaben, weitere 32 Prozent arbeiten daran. Gleichzeitig haben erst 40 Prozent eine zentrale Zuständigkeit für die Steuerung von KI etabliert.
Datenzugriffe werden wichtiger
Mit zunehmender KI-Nutzung steigt auch die Bedeutung des Zugriffs auf Unternehmensdaten. 75 Prozent der Befragten halten diesen für wichtig, um den Einsatz von KI weiter auszubauen. In 43 Prozent der Unternehmen verarbeitet KI bereits besonders sensible Informationen, darunter Kundendaten.
Damit wächst der Bedarf an nachvollziehbaren Berechtigungen und Kontrollmechanismen. Immerhin erfassen 51 Prozent der Unternehmen KI-Zugriffe auf Unternehmensdaten vollständig. Weitere 39 Prozent dokumentieren solche Zugriffe zumindest teilweise.
Die Zahlen machen zugleich deutlich, dass eine Kontrolle der offiziell eingesetzten Systeme nicht ausreicht. Wenn Mitarbeiter zusätzlich nicht freigegebene Anwendungen verwenden, entsteht ein Bereich, der von bestehenden Governance-Strukturen möglicherweise nicht erfasst wird.
Risiken werden nicht immer mit Governance verbunden
Auffällig ist zudem, wie Unternehmen die Hindernisse für eine weitere Skalierung von KI bewerten. Nur 18 Prozent sehen fehlende Governance-Strukturen als relevantes Hindernis. Gleichzeitig nennen 42 Prozent Datenschutzverletzungen und 41 Prozent Sicherheits- beziehungsweise Cybersicherheitsrisiken als zentrale Gefahren.
Beide Bereiche stehen in engem Zusammenhang mit der Frage, wie Unternehmen den Zugriff auf Daten und deren Verarbeitung durch KI kontrollieren. Die vergleichsweise geringe Bedeutung, die Governance als Skalierungshürde zugeschrieben wird, steht damit teilweise im Gegensatz zu den genannten Risiken.
Für 79 Prozent der Befragten ist eine klare Governance wichtig oder sehr wichtig, wenn KI weiter im Unternehmen ausgerollt werden soll. Entscheidend ist daher nicht nur, Richtlinien zu formulieren, sondern sie auch im Arbeitsalltag durchzusetzen.
KI-Agenten erhöhen den Steuerungsbedarf
Mit der weiteren Entwicklung von KI könnten diese Anforderungen noch steigen. Insbesondere KI-Agenten können eigenständig auf Informationen zugreifen und Aktionen ausführen. Dadurch erweitert sich der Bereich, in dem Entscheidungen, Berechtigungen und Aktivitäten nachvollziehbar bleiben müssen.
Für Unternehmen verschiebt sich die Governance-Frage damit von der reinen Regelsetzung hin zur praktischen Kontrolle. Die Ergebnisse des Benchmarks zeigen bereits beim Umgang mit Schatten-KI, dass zwischen offiziellen Vorgaben und tatsächlicher Nutzung eine deutliche Lücke entstehen kann.
Michael Pietsch, Vice President DACH und Osteuropa bei Box, fasst die Herausforderung so zusammen: „Die entscheidende Frage ist nicht mehr nur, wie schnell Unternehmen KI einführen. Sondern auch, ob die Grundlagen, auf denen diese KI arbeitet, genauso schnell mitwachsen.“
Mit der zunehmenden Verbreitung von KI wird damit nicht nur die technische Integration relevant. Unternehmen müssen zugleich klären, welche Systeme auf welche Daten zugreifen dürfen, wie diese Zugriffe dokumentiert werden und wie sich Vorgaben auch bei nicht offiziell freigegebenen Anwendungen durchsetzen lassen.
(red/Box)
