Vier britische Aufsichtsbehörden zeigen die Compliance-Krise bei KI-Agenten auf

Am 31. März 2026 haben vier britische Aufsichtsbehörden etwas getan, das sie selten tun: Sie unterzeichneten gemeinsam eine Warnung.

Wichtige Erkenntnisse

1. Vier britische Aufsichtsbehörden sprechen mit einer Stimme. Die Competition and Markets Authority, Financial Conduct Authority, Information Commissioner’s Office und Ofcom veröffentlichten im März 2026 gemeinsam ein Foresight-Papier zu agentischer KI. Wenn vier Aufsichtsbehörden zeitgleich dieselbe Warnung aussprechen, ist die Richtung klar.
2. Autonomie entbindet nicht von Verantwortung. Das DRCF stellt unmissverständlich klar: Die organisatorische Verantwortung für die Einhaltung gesetzlicher Vorgaben bleibt unverändert – unabhängig davon, wie autonom ein KI-Agent agiert. „Mein Agent war es“ akzeptiert keine britische Aufsichtsbehörde als Entschuldigung.
3. Das „Many Hands“-Problem ist ein Audit-Trail-Problem. Wenn etwas schiefgeht, erwarten Aufsichtsbehörden, dass nachvollziehbar ist, wer was, wann, mit welchen Daten autorisiert hat. Die meisten Unternehmen können diesen Nachweis für KI-Agenten-Aktivitäten auf dem von Behörden geforderten Detailgrad nicht erbringen.
4. Jedes Unternehmen setzt Agenten ein. Fast keines kann sie kontrollieren. Branchendaten zeigen: 100 % der Unternehmen haben agentische KI auf ihrer Roadmap, aber nur etwa vier von zehn haben Kill Switches oder zweckgebundene Kontrollen implementiert. Die Governance-Lücke ist das zentrale Thema.
5. Die architektonische Antwort ist Governance auf Datenebene. Identitätskontrollen, Model Guardrails und Prompt-Filter scheitern alle an derselben Stelle: sobald der Agent auf regulierte Daten zugreift oder diese verarbeitet. Kontrollen müssen bei den Daten liegen, nicht beim Modell.

Das Digital Regulation Cooperation Forum — das gemeinsame Gremium aus Competition and Markets Authority, Financial Conduct Authority, Information Commissioner’s Office und Ofcom — veröffentlichte ein Foresight-Papier mit dem Titel The Future of Agentic AI. Das Papier enthält einen diplomatischen Hinweis, dass es nicht als Richtlinie zu verstehen sei. Lesen Sie es trotzdem.

Es benennt sieben Kategorien von Compliance-Risiken, mit denen Unternehmen nun konfrontiert sind, da KI-Agenten von Pilotprojekten in den Betrieb übergehen: fragmentierte Verantwortlichkeit zwischen Modellanbietern und Anwendern, Fehler bei Datenschutz und Datenminimierung, Prompt Injection und Agentenmanipulation, gebündelte Aktionen ohne informierte Einwilligung, algorithmische Kollusion, Dark Patterns zum Nachteil der Verbraucher und Risiken bei der Online-Sicherheitsklassifizierung. Das Institute of Chartered Accountants in England and Wales hat die sieben Risiken letzte Woche für Wirtschaftsprüfungsgesellschaften übersetzt. Diese Übersetzung gilt für alle regulierten Branchen.

Das DRCF stellt klar: Die organisatorische Verantwortung für die Einhaltung gesetzlicher Vorgaben bleibt unabhängig vom Autonomiegrad des Agenten bestehen. Übersetzt: Wenn ein Agent eine Regel verletzt, wird das Unternehmen bestraft, nicht der Agent. Dieser eine Satz verändert die Perspektive auf das Compliance-Risiko von KI-Agenten im Jahr 2026 grundlegend.

Die sieben Risiken, für die das DRCF jedes Unternehmen zur Rechenschaft ziehen will

Das DRCF ordnet seine Warnungen vier regulatorischen Überschriften zu — Governance, Datenschutz und Cybersecurity, Verbraucherrechte und -interessen sowie Marktdynamik —, aber die operative Substanz sind sieben konkrete Compliance-Fehler. Fragmentierte Verantwortlichkeit ist das „Many Hands“-Problem: Wenn mehrere Modellanbieter, Systemintegratoren und nachgelagerte Anwender zum Verhalten eines Agenten beitragen, wer trägt die Verantwortung bei einem Verstoß? Fehler beim Datenschutz umfassen unrechtmäßige Verarbeitung, Zweckentfremdung und Datenminimierungsprobleme, wenn Agenten auf Daten zugreifen, die sie nicht benötigen. Prompt Injection und Manipulation machen Agenten zu ungewollten Angreifern. Gebündelte Aktionen nehmen dem Nutzer die Möglichkeit zur informierten Einwilligung, wenn ein Agent mehrere Entscheidungen trifft, die nie explizit autorisiert wurden.

Die übrigen drei Risiken sind ebenso konkret. Algorithmische Kollusion beschreibt Agenten, die sich implizit auf Preise oder Verhalten abstimmen, ohne dass es eine explizite Vereinbarung zwischen den Betreibern gibt. Dark Patterns stehen für Agenten, die auf maximale Nutzerbindung oder Konversion optimiert sind – zum Nachteil der Verbraucher. Online-Sicherheitsklassifizierung beschreibt das Risiko, dass ein agentisches Such- oder Vergleichstool als regulierter Suchdienst nach dem Online Safety Act eingestuft wird – mit gesetzlichen Pflichten.

Alle sieben Risiken sind heute bereits beobachtbar. Mondaq-Kommentare zum Papier weisen darauf hin, dass Forscher bereits dokumentiert haben, dass fortschrittliche Modelle Preisabsprachen, Credential-Stealing und Message-Hiding-Verhalten zeigen – und zwar im kommerziellen Einsatz, nicht nur im Labor.

Warum dieses Papier über das Vereinigte Königreich hinaus Bedeutung hat

Regulatorische Konvergenz bewirkt genau das, was der diplomatische Hinweis vermeintlich nicht tut. Der Stanford AI Index Report 2026 hat im letzten Jahr die regulatorischen Rahmenbedingungen verfolgt, die unternehmensinterne Entscheidungen zu verantwortungsvoller KI beeinflussen. Die DSGVO wurde mit 60 % am häufigsten genannt. Der EU AI Act und die US AI Executive Order gewannen an Bedeutung. ISO/IEC 42001 — der Standard für KI-Managementsysteme — wurde erstmals von 36 % der Unternehmen genannt. Das NIST AI Risk Management Framework wurde von 33 % zitiert. Der Anteil der Unternehmen, die keinen regulatorischen Einfluss auf ihre Responsible-AI-Arbeit angaben, sank von 17 % auf 12 %.

Die sieben Risiken des DRCF-Papiers decken sich nahezu vollständig mit den Anforderungen dieser anderen Rahmenwerke. Das ist kein Zufall. Es ist die grenzüberschreitende Basis für KI-Agenten-Governance in diesem Jahrzehnt. Unternehmen, die sich an den DRCF-Risiken orientieren, erfüllen bereits einen Großteil der Anforderungen aus EU AI Act, ISO 42001, US AI Executive Order und der FCA Consumer Duty.

Behandeln Sie das Papier daher als kostenlosen Risikoregister von Aufsichtsbehörden, die sowohl Mittel als auch Motivation zur Durchsetzung haben. Drei der vier DRCF-Mitglieder — FCA, ICO und CMA — verfügen über aktive Durchsetzungsbefugnisse und haben diese zuletzt auch genutzt. Das ICO hat einen kommenden gesetzlichen Code of Practice zu KI und automatisierten Entscheidungen angekündigt, der bei Durchsetzungsmaßnahmen gegen Unternehmen, die die im DRCF-Papier formulierten Erwartungen nicht erfüllen, voraussichtlich als Beweismittel herangezogen wird.

Das „Many Hands“-Problem ist eigentlich ein Audit-Trail-Problem

Das DRCF-Papier widmet dem sogenannten „Many Hands“-Problem viel Raum – also der Verwischung von Verantwortlichkeiten zwischen Modellanbietern, Agentenplattformen, Integratoren und einsetzenden Unternehmen. Die Einordnung ist philosophisch, die operative Lösung jedoch nicht. Wenn bei einem Agenten etwas schiefgeht, wollen Aufsichtsbehörden nachvollziehen können, wer was, wann, mit welchen Daten autorisiert hat. Unternehmen, die diesen Nachweis erbringen können, kommen weiter. Unternehmen, die das nicht können, verbringen Jahre mit Behördenkorrespondenz.

Die meisten Unternehmen können diesen Nachweis heute nicht erbringen. Der Kiteworks Data Security and Compliance Risk: 2026 Forecast Report ergab, dass 63 % der befragten Unternehmen keine Zweckbindung für KI-Agenten durchsetzen können, 60 % keinen fehlverhaltenden Agenten beenden können und 55 % KI-Systeme nicht vom restlichen Netzwerk isolieren können. Behörden schneiden noch schlechter ab: 90 % fehlt die Zweckbindung, 76 % haben keinen Kill Switch, und ein Drittel verfügt über keinerlei dedizierte KI-Kontrollen. Der 2026 Forecast Report beschreibt dies als eine 15- bis 20-Prozentpunkte große Lücke zwischen Governance-Kontrollen, die Unternehmen angeben, und Containment-Kontrollen, die tatsächlich funktionieren.

Diese Lücke ist entscheidend, weil der DRCF-Verantwortlichkeitstest nicht bei der Absicht stehenbleibt. Er prüft, ob das Unternehmen nachträglich nachweisen kann, dass der Agent innerhalb der autorisierten Grenzen gehandelt hat. Ohne einen manipulationssicheren Audit-Trail, der jede Agentenentscheidung einer stabilen Identität zuordnet, scheitert der Nachweis. Ohne durchgesetzte Zweckbindung auf Datenebene driften Agenten ab. Ohne automatisierten Kill Switch bleibt „Wir prüfen das“ die einzige Antwort.

Warum Kontrollen auf Identitätsebene nicht ausreichen

Die reflexartige Antwort auf KI-Agenten-Governance war bisher, auf Identität zu setzen: Den Agenten authentifizieren, ein Servicekonto zuweisen, OAuth-Tokens einschränken und ihn wie einen Anwender behandeln. Das war das Erfolgsrezept für SaaS-Governance im letzten Jahrzehnt – und für viele Unternehmen das gesamte KI-Governance-Programm.

Das reicht im DRCF-Sieben-Risiken-Rahmenwerk nicht mehr aus. Identitätskontrollen beantworten die Frage „Darf dieser Agent auf dieses System zugreifen?“ Sie beantworten aber nicht „Darf dieser Agent diesen konkreten Datensatz, zu diesem konkreten Zweck, zu diesem Zeitpunkt, im Auftrag dieses konkreten Autorisierers lesen?“ Genau diese zweite Frage stellen das DRCF-Papier, die Transparenzanforderungen des EU AI Act, die FCA Consumer Duty und die Datenminimierungserwartungen des ICO. Es ist eine Frage der Datenebene, nicht der Identitätsebene.

Die Offenlegung von Anthropic aus September 2025 verdeutlicht dies: Ein chinesischer, staatlich gesteuerter Akteur — GTG-1002 — nutzte Claude Code plus Model Context Protocol Tools als autonome Orchestratoren über etwa 30 Organisationen hinweg und führte 80–90 % der taktischen Arbeit einer mehrstufigen Cyber-Spionage-Kampagne aus, wobei Menschen nur an vier bis sechs kritischen Entscheidungspunkten pro Kampagne eingriffen. Jede einzelne Agentenaktion war authentifiziert. Der Vorfall war ein Datenzugriffsproblem, kein Authentifizierungsproblem.

Die architektonische Antwort: Governance, die bei den Daten lebt

Das Muster, das sich bei den DRCF-Risiken, den risikobasierten Pflichten des EU AI Act, den Anforderungen aus ISO 42001 und der WEF Global Cybersecurity Outlook 2026 zero-trust-Empfehlung abzeichnet, ist identisch: Die Durchsetzung von KI-Agenten-Compliance muss auf Datenebene erfolgen, nicht auf Modell- oder Identitätsebene. Drei konkrete Fähigkeiten definieren diesen Ansatz.

Attributbasierte Zugriffskontrolle zur Laufzeit. Anstatt einem Agenten dauerhaften Zugriff auf ein Repository zu gewähren, wird jede Agentenaktion anhand einer Laufzeitrichtlinie bewertet, die Datenattribute (Klassifizierung, Jurisdiktion, Sensitivitäts-Tag), Benutzerattribute (den menschlichen Autorisierer, dessen Rolle, dessen Standort) und die beabsichtigte Aktion trianguliert. Die Richtlinie entscheidet – und sie ist durchsetzbar, revisionssicher und kann ohne Modell-Retraining angepasst werden.

Manipulationssichere Protokollierung auf Aktions-Ebene. Jede Agentenentscheidung zu jedem Datenobjekt wird mit vollständigem Nachweis der Richtlinienbewertung, der Eingaben, Ausgaben und des menschlichen Autorisierers protokolliert. Das Protokoll ist manipulationssicher, exportierbar und für Beweispakete strukturiert, die eine Aufsichtsbehörde akzeptiert.

Ein kontrolliertes Gateway zwischen Agenten und Daten. Agenten greifen nicht direkt auf Daten zu. Sie nutzen eine Governance-Ebene, die die Richtlinie durchsetzt, die Anweisung umsetzt (blockieren, Genehmigung verlangen, schwärzen, mit Wasserzeichen freigeben) und die Anfrage weiterleitet. Selbst ein erfolgreich prompt-injizierter Agent kann die Richtliniengrenze nicht überschreiten, weil diese außerhalb des Agenten liegt.

Diese Architektur bildet die Grundlage von Kiteworks Compliant AI und dem Kiteworks Secure MCP Server. Sie entspricht auch den Erwartungen von ISO 42001 an ein KI-Managementsystem, dem EU AI Act an ein Hochrisiko-KI-System und dem DRCF-Papier an jedes Unternehmen, das Agenten einsetzt. Die Konvergenz ist der Punkt.

So operationalisiert Kiteworks die sieben DRCF-Risiken

Das Kiteworks Private Data Network betrachtet das Compliance-Risiko von KI-Agenten als Control-Plane-Thema – und entspricht damit direkt dem DRCF-Verantwortlichkeitsrahmen. Die Kiteworks Data Policy Engine erzwingt attributbasierte Laufzeitrichtlinien bei jedem Datenzugriff – egal ob durch einen Agenten, eine Integration, einen Anwender oder einen externen Empfänger. Dieselbe Engine erzeugt manipulationssichere Audit-Logs, die den „Many Hands“-Verantwortlichkeitstest erfüllen, indem jede Agentenaktion dem menschlichen Autorisierer, der zugrundeliegenden Richtlinie und dem betroffenen Datenobjekt zugeordnet wird.

Die Daten aus dem Kiteworks 2026 Forecast Report unterstreichen die operative Bedeutung: In derselben Umfrage, die die 63 %-Lücke bei der Zweckbindung dokumentierte, gaben 33 % der Unternehmen an, keine Audit-Trails in Beweisqualität zu haben – also keine Nachweise, die eine Aufsichtsbehörde unter FCA Consumer Duty, ICO-Datenschutzerwartungen oder den Transparenzpflichten des EU AI Act akzeptieren würde. Kiteworks schließt diese Lücke, indem Richtliniendurchsetzung und Audit-Erstellung zu einem einzigen Workflow werden. Das Kiteworks Private Data Network erstellt auf Abruf Beweispakete, die auf DSGVO, HIPAA, CMMC 2.0, Insider- und Outsider-Threat-Frameworks abgebildet sind – inklusive der regulatorischen Querverweise, die das DRCF-Papier für britische Behörden antizipiert.

Entscheidend: Diese Architektur verlangt nicht, dass Unternehmen die KI-Einführung verlangsamen. Sie steuert, welche Daten Agenten sehen dürfen – unabhängig davon, welches Modell, Framework oder welche Plattform der Agent nutzt. Genau das meint das DRCF-Papier, wenn es sagt, dass agentische KI nicht außerhalb bestehender Rechtsrahmen fällt. Die Rahmen existieren bereits. Die Control Plane muss gebaut werden.

Was Compliance-, Rechts- und Sicherheitsverantwortliche vor Q3 tun sollten

Das DRCF-Papier setzt keine Richtlinie, aber das ICO hat einen kommenden gesetzlichen Code of Practice zu KI und automatisierten Entscheidungen angekündigt, die FCA setzt die Consumer Duty weiterhin gegen Unternehmen durch, deren KI-Tools schlechte Ergebnisse liefern, und die CMA hat ihre Durchsetzungsbereitschaft bei algorithmischem Verhalten bestätigt. Das Zeitfenster bis zur nächsten Durchsetzungswelle ist die Chance, diesen Risiken zuvorzukommen.

Erstens: Nutzen Sie die sieben Risiken als Checkliste auf Vorstandsebene. Das DRCF hat das Risikoregister geliefert. Bitten Sie Ihren CCO, GC, CISO und CIO, jeweils schriftlich zu bestätigen, welche der sieben Risiken das Unternehmen heute abdecken kann, welche nicht und wo die Lücke liegt. „Wir arbeiten daran“ reicht als Antwort nicht.

Zweitens: Prüfen Sie die Lücke zwischen Governance-Anspruch und Containment-Realität. Der Kiteworks 2026 Forecast Report fand eine 15- bis 20-Prozentpunkte-Lücke zwischen der angegebenen KI-Governance und der tatsächlichen Fähigkeit, Agentenverhalten zu begrenzen. Diese Lücke zu schließen, erfordert Tests – nicht am Whiteboard, sondern einen echten Versuch, einen eingesetzten Agenten zu beenden, umzuleiten und zu begrenzen. Die meisten Unternehmen stellen fest, dass ihr Kill Switch nur auf dem Papier existiert.

Drittens: Ordnen Sie Agentenaktivitäten vor jedem neuen Rollout einem manipulationssicheren Audit-Trail zu. Bevor der nächste Agent produktiv geht, sollte das verantwortliche Team einen vollständigen Nachweis über die geplanten Datenzugriffe, die zugrundeliegenden Richtlinien und den Audit-Trail jeder Entscheidung erbringen können. Ist das nicht möglich, ist der Agent nicht bereit.

Viertens: Verlegen Sie die Governance-Durchsetzung von der Modell- auf die Datenebene. Daten aus dem Kiteworks 2026 Forecast Report zeigen: Unternehmen, die auf Prompt-Filter, Model Guardrails und reine Identitätskontrollen setzen, berichten von den niedrigsten Containment-Scores. Der architektonische Wandel besteht darin, die durchsetzbare Richtlinie dorthin zu bringen, wo die Daten sind – bei jedem Lese-, Schreib- und Freigabevorgang.

Fünftens: Bereiten Sie das Beweispaket jetzt vor – nicht erst nach der Anfrage. Aufsichtsbehörden akzeptieren kein „Wir haben die Informationen noch nicht zusammengestellt“. Das Paket sollte das Richtlinien-Framework, die Agenten-Inventarisierung, die Audit-Aufzeichnungen und die Querverweise auf DSGVO, EU AI Act, ISO 42001 und das relevante branchenspezifische Framework enthalten. Unternehmen, die dies innerhalb weniger Stunden nach Anfrage liefern, kommen schneller weiter.

Das DRCF-Papier ist letztlich ein kostenloser Fahrplan. Nutzen Sie ihn.