Was geschieht tatsächlich bei der Einführung von KI-Agenten?

Unternehmen führen KI-Agenten schneller ein, als sie sie steuern. 2026 werden die Ausgaben für KI-Agenten-Software auf 206 Milliarden Dollar geschätzt, ein Anstieg von 139 Prozent gegenüber 2025. Gleichzeitig berichteten 88 Prozent der Unternehmen im letzten Jahr von einem bestätigten oder vermuteten Sicherheitsvorfall mit einem KI-Agenten, und nur 14,4 Prozent der Agenten gingen mit voller Freigabe von IT und Sicherheit live. Die Lücke zwischen Einführungstempo und Governance-Bereitschaft schrumpft nicht. Sie wächst.

Das ist kein Versagen der Technologie. KI-Agenten funktionieren. Das Versagen liegt in der Governance: Unternehmen behandeln KI-Agenten wie gewöhnliche Software und führen sie in großem Maßstab ein, ohne zu erfassen, welche Zugriffsrechte sie erben, welche Entscheidungen sie treffen oder welche Systeme sie berühren.

Warum einheitliche Governance scheitert

Gartner brachte es im Mai 2026 klar auf den Punkt: Die Anwendung einheitlicher Governance über alle KI-Agenten hinweg, unabhängig von ihrem Autonomiegrad und Umfang, wird zum Scheitern von KI-Agenten im Unternehmen führen. Der Grund ist struktureller Natur. Ein Agent, der einen Kalender liest, stellt nicht dasselbe Risiko dar wie ein Agent, der Transaktionen ausführen, Datensätze aktualisieren oder im Namen einer Führungskraft Nachrichten senden kann. Behandelt man sie mit identischen Maßnahmen, schränkt man entweder die risikoarmen zu stark ein und erstickt die Produktivität, oder man schränkt die risikoreichen zu wenig ein und setzt das Unternehmen aus. Keines der beiden Ergebnisse ist akzeptabel.

Das richtige Modell ist proportional. Jeder Agent gehört zu einer Autonomiestufe. Jede Stufe hat eine entsprechende Vertrauensgrenze und Governance-Anforderung: worauf er zugreifen kann, welche Entscheidungen er autonom treffen kann, wann er an einen Menschen eskaliert und wie seine Handlungen protokolliert und prüfbar sind.

Wie sieht disziplinierte Governance von KI-Agenten tatsächlich aus?

Sie beginnt mit Sichtbarkeit. Bevor ein Governance-Rahmen überhaupt sinnvoll ist, muss ein Unternehmen jeden Agenten kennen, den es eingeführt hat, welche Systeme er berührt, welche Berechtigungen er besitzt und wer für sein Verhalten verantwortlich ist. Die meisten Unternehmen, die Vorfälle hatten, verfügten nicht über dieses Inventar. Sie hatten Agenten im Produktivbetrieb, die die IT nicht freigegeben hatte und nicht vollständig einsehen konnte.

Von der Sichtbarkeit aus wird die Arbeit zu Klassifizierung und Kontrolle. Agenten mit geringer Autonomie, die nur lesen und berichten, benötigen eine leichte Aufsicht. Agenten mit hoher Autonomie, die schreiben, ausführen oder entscheiden, benötigen dokumentierte Umfangsgrenzen, Eskalationswege und regelmäßige Überprüfung. Die Unternehmen, die diese Arbeit jetzt erledigen, solange die Einführungen überschaubar sind, werden es weit leichter haben als jene, die in großem Maßstab ohne Struktur und mit einem wachsenden Vorfallsprotokoll ankommen.

Weiterlesen: ISO 42001 ist jetzt eine Beschaffungsvoraussetzung. Ist Ihr KI-Programm bereit?  ·  Die Fristen des EU AI Act haben sich gerade verschoben. Ist das eine gute Nachricht oder eine Falle?