Wenn KI schneller läuft als die Kontrolle: EY-Studie deckt gefährliche Governance-Lücke auf

Fast alle großen Unternehmen haben KI-Richtlinien, doch fast die Hälfte umgeht sie bei dringenden Projekten, und ein Viertel erkennt nicht einmal unautorisierte KI-Agenten im eigenen System.

Regeln auf dem Papier, Chaos in der Praxis

Eine neue Studie von Ernst & Young offenbart einen wachsenden Widerspruch zwischen Anspruch und Wirklichkeit bei der KI-Steuerung. Zwar geben nahezu alle der 202 befragten AI-Führungskräfte großer US-Konzerne mit mindestens einer Milliarde Dollar Umsatz an, über formale Governance-Richtlinien zu verfügen. Doch fast die Hälfte räumt ein, diese bei eiligen Projekten schon einmal übergangen zu haben. Verschärft wird das Bild durch fehlende Kompetenz, denn rund zwei Drittel sorgen sich, dass intern das Wissen fehle, um Kontrollmechanismen überhaupt sinnvoll zu entwerfen und weiterzuentwickeln. Für EY-Manager Richard Jackson wenden Organisationen damit die Regeln von gestern auf die KI-Interaktionen von heute an.

Autonome Agenten ohne Aufsicht

Besonders brisant wird es beim Vormarsch agentischer KI. Rund neun von zehn Unternehmen setzen solche Systeme bereits ein, doch bei knapp der Hälfte wurde das Regelwerk noch gar nicht an deren spezifische Risiken angepasst. Die Folgen sind gravierend, denn 85 Prozent der Betroffenen berichten, dass zumindest einige dieser Agenten Aktionen ohne menschliche Kontrolle in Echtzeit ausführen. Am alarmierendsten ist eine Sichtbarkeitslücke, denn gut ein Viertel der Unternehmen kann unautorisierte KI-Agenten im eigenen Haus überhaupt nicht aufspüren. EY-Experte John McLain bringt das Kernproblem darauf, dass sich die menschliche Aufsicht nicht im gleichen Tempo mitentwickelt habe.

Vom Risiko zum realen Schaden

Dass diese Sorgen nicht abstrakt sind, belegen konkrete Vorfälle. 89 Prozent der Befragten trafen im vergangenen Jahr auf KI-bezogene Risiken, von Cyberangriffen über menschliches Versagen bis zur sogenannten Schatten-KI. Bei rund einem Drittel schlug sich das bereits in materiellem Schaden nieder, sei es durch Datenverlust, finanzielle Einbußen, Betriebsstörungen oder Reputationsschäden. Als Gegenmittel setzen die Unternehmen zunehmend auf formale Prüfungen, die erstaunlich oft anschlagen. Von jenen, die eine solche Kontrolle durchführten, mussten fast zwei Drittel ein Viertel oder mehr ihrer KI-Systeme deutlich anpassen, viele pausierten oder stoppten einzelne Anwendungen sogar ganz. Für Jackson ist gerade diese hohe Trefferquote der Beweis, dass Governance funktioniert, sobald man sie ernsthaft betreibt.