Was eine neue Studie von Carnegie Mellon und Larridin über KI-Adoption und Umsatzwachstum zeigt

Jedes Unternehmen behauptet inzwischen, eine KI-Strategie zu verfolgen. Doch kaum eines kann nachweisen, dass sie das Geschäft tatsächlich vorangebracht hat. Ein neues Working Paper des AI Capstone Program der Carnegie Mellon University, erstellt in Zusammenarbeit mit dem Analyseunternehmen Larridin für KI-Adoption, hat diese Lücke empirisch bei über 500 großen US-Börsenunternehmen untersucht. Die Ergebnisse sind für Sicherheits- und Compliance-Verantwortliche deutlich spezifischer und nützlicher als die meisten bisherigen Studien zur KI-Einführung.

Das Paper, „Do AI Adoption Signals Predict Company Performance? Evidence from a 500-Company Cross-Section of Scores, Filings, and Hiring Data“ (Li, Tao, Xu und Hong, Working Draft Juli 2026), prüfte, ob KI-Adoptionssignale, Investitionsintensität, Einstellungsaktivität, Anbieterbewertungen und Offenlegungssprache tatsächlich Umsatzwachstum, Margenverbesserung oder Aktienrenditen vorhersagen. Die Forschenden entwickelten eine evidenzbasierte Messpipeline, bewerteten Hunderte von 10-K-Berichten und Zehntausende von Stellenanzeigen und verglichen die Ergebnisse mit realen Finanzkennzahlen statt mit Umfragewerten.

Das zentrale Ergebnis ist nicht das, was die meisten Anbieter von KI-Reifegradmodellen hören möchten: Ausgaben, Einstellungen und generische KI-Adoptionsscores verlieren ihren Aussagewert, sobald die Unternehmensgröße berücksichtigt wird. Das einzige Signal, das alle statistischen Kontrollen überstand, war die narrative Konkretheit – also ob ein Unternehmen auf benannte, eingesetzte KI-Systeme mit messbaren Geschäftsergebnissen verweisen kann, statt auf vage KI-Versprechen. Das hat direkte Auswirkungen darauf, wie Organisationen – auch Kiteworks – den Wert ihrer KI-Governance- und Compliance-Programme messen und belegen sollten.

Das ist aus einem Grund relevant, der über Marketing hinausgeht. Wenn der Markt beginnt, echte KI-Einsätze von bloßer KI-Rhetorik zu unterscheiden, und wenn das entscheidende Signal der Nachweis eines konkreten, gesteuerten Produktivsystems ist, profitieren vor allem die Organisationen, die diesen Nachweis bereits erbringen können: Wer hat auf welche Daten zugegriffen, mit welcher Autorisierung, mit welchem Ergebnis. Das ist in erster Linie eine Frage von Data Governance und Audit-Trail – nicht von KI.

Wichtige Erkenntnisse

1. Spezifität schlägt Ausgaben.

Unter mehr als 500 großen US-Börsenunternehmen war das KI-Adoptionssignal, das am stärksten mit Umsatzwachstum korrelierte, die narrative Konkretheit: benannte, eingesetzte Use Cases mit messbaren Ergebnissen – nicht die Gesamthöhe der KI-Investitionen, die Anzahl der Anbieter oder die Zahl der Mitarbeitenden.

2. Der Konkretheitseffekt ist groß und beständig.

Ein Wechsel von der geringsten zur höchsten Konkretheit in der KI-Offenlegung war mit rund 8 Prozentpunkten höherem Umsatzwachstum pro Jahr verbunden – auch nach Kontrolle von Branche, Unternehmensgröße und vorherigem Wachstumstrend.

3. KI ist aktuell eine Wachstums-, keine Margengeschichte.

Die Studie fand keinen relevanten Zusammenhang zwischen KI-Adoptionssignalen und Verbesserungen der operativen Marge sowie keinen Hinweis darauf, dass öffentliche KI-Signale die Aktienrenditen der folgenden vier Monate vorhersagen.

4. Generische KI-Risiko-Offenlegung ist Standard geworden.

Etwa 75 % der untersuchten Unternehmen lagen beim KI-Risiko-Offenlegungs-Score dicht beieinander – Standardformulierungen zu KI-Risiken unterscheiden reife Programme nicht mehr von unreifen.

5. Die Messdisziplin ist genauso wichtig wie das Ergebnis.

Die Forschenden verlangten für jeden KI-Adoptionsscore überprüfbare Quellnachweise statt bloßer Modellinferenz – nach dem gleichen evidence-first-Prinzip, das auch Unternehmen bei der Messung ihrer eigenen KI-Programme und beim Nachweis von Compliance gegenüber Aufsichtsbehörden anwenden sollten.

Einblick in die Studie: 500+ Unternehmen, drei Datenquellen, eine Frage

Das Forschungsteam – Yixiao Li, Siru Tao, Xin Xu und Hanzhe Hong von der Carnegie Mellon University, gemeinsam mit Larridin – kombinierte für die Untersuchung den Coverage-Set des Larridin AI Transformation Tracker mit dem S&P 500 und kam so auf 564 Unternehmen aus allen zwölf Branchen. Um eine Dominanz weniger KI-Halbleiter-Giganten zu vermeiden, schloss die Hauptanalyse die fünf größten KI-Halbleiterunternehmen (Nvidia, Broadcom, AMD, Micron und Intel) aus; laut Studie bleiben alle Ergebnisse auch in der Gesamtauswertung bestehen.

Drei unabhängige Datenquellen flossen in die Analyse ein. Der Larridin AI Transformation Tracker vergibt für jedes Unternehmen evidenzbasierte 1-bis-5-Scores in den Bereichen Adoption, Workforce-Kompetenz und realisierter Impact sowie einen zusammengesetzten Reifeindex für 562 Unternehmen. Ein Large-Language-Model-Extraktionsprozess bewertete separat die aktuellsten 10-K-Berichte von 478 Unternehmen nach drei Dimensionen: KI-Investitionsintensität, narrative Konkretheit und Tiefe der Risiko-Offenlegung – mit der Vorgabe, dass jeder nicht-leere Score eine wörtliche Belegstelle aus dem Bericht anführen musste. Ein drittes Team klassifizierte 30.861 einzelne Stellenanzeigen aus 536 Unternehmen in KI-Builder-, KI-User-, KI-Leader- und Non-KI-Rollen, um eine Kennzahl zur KI-Einstellungsintensität zu erstellen.

Anhand dieser drei Signalgruppen prüften die Forschenden drei Fragen: Sagen KI-Adoptionssignale Umsatzwachstum, Margenveränderung und Produktivität voraus? Sagen sie marktbereinigte Aktienrenditen für die folgenden vier Monate voraus? Und wo in der KI-Wertschöpfungskette konzentrieren sich etwaige Effekte? Jede Regression kontrollierte für Branche, Unternehmensgröße und das bestehende Umsatzwachstumsmomentum, um den offensichtlichen Zusammenhang auszuschließen, dass schnell wachsende Unternehmen sowohl KI schneller einführen als auch unabhängig von KI weiter wachsen.

Das Signal, das Bestand hatte: Narrative Konkretheit

Hier zeigt sich die Relevanz der Studie für alle, die ein KI-Governance-Programm aufbauen. Jedes Score- und Offenlegungssignal der Studie war in einem einfachen Vergleich mit Umsatzwachstum verbunden. Doch je mehr die Forschenden die statistischen Kontrollen verschärften – Branche, Größe, Wachstumsmomentum –, desto mehr verloren die meisten Signale ihre Aussagekraft. Zusammengesetzte KI-Adoptionsscores, die mehrere Komponenten bündeln, die naturgemäß mit der Unternehmensgröße skalieren, wurden schwächer, sobald Größe im Modell berücksichtigt wurde. Die KI-Investitionsintensität blieb zwar positiv, verlor aber an Signifikanz (p = 0,14), sobald die Größe kontrolliert wurde. Die KI-Builder-Einstellungsrate zeigte keinerlei Zusammenhang mit den Ergebnissen; zudem wurde das Einstellungsdaten nach dem Outcome-Quartal erhoben, was eine echte Vorhersage ausschließt.

Die Ausnahme war die narrative Konkretheit. Ihr Koeffizient von 0,080 (p = 0,009) blieb auch nach allen Kontrollen bestehen und bestand zudem eine Benjamini-Hochberg-Korrektur zur Kontrolle der Fehlerentdeckungsrate innerhalb der vordefinierten Hypothesenfamilie – ein Standardverfahren gegen falsch-positive Ergebnisse bei multiplen Tests. Praktisch bedeutete das: Ein Wechsel vom unteren zum oberen Ende der Konkretheitsverteilung war mit einem Unterschied von 8 Prozentpunkten beim jährlichen Umsatzwachstum verbunden – bei konstanter Branche, Größe und Wachstumsmomentum.

Die Interpretation der Forschenden ist wörtlich zitierenswert, denn sie bildet die Kernthese des gesamten Papers: „Spezifität ist das Signal.“ Was schneller wachsende Unternehmen innerhalb derselben Branche und Größenklasse unterschied, war überprüfbare Substanz in den regulatorischen Offenlegungen: benannte Systeme im Einsatz, messbare Ergebnisse – nicht bloße KI-Schlagworte. Die inzwischen standardisierte Risikosprache unterschied nichts mehr. Jeder Schritt hin zu evidenzbasierter Spezifität brachte Informationsgewinn.

Was keine Performance vorhersagte: Ausgaben, Personal, Einstellungen

Es lohnt sich, die negativen Ergebnisse der Studie zu betrachten, denn sie sind strategisch ebenso wichtig wie die positiven. Die KI-Investitionsintensität – also wie viel ein Unternehmen angibt, in KI zu investieren – korrelierte im Rohvergleich mit Wachstum, verschwand aber, sobald die Forschenden die Unternehmensgröße berücksichtigten. Größere Unternehmen investieren einfach mehr in alles, auch in KI, sodass das Investitionsvolumen allein keine echten KI-Performer von großen Unternehmen mit hohen Ausgaben unterschied.

Die Kennzahl zur KI-Einstellungsintensität, basierend auf der validierten Klassifizierung von über 30.000 Stellenanzeigen, zeigte praktisch keinen Zusammenhang mit den getesteten Ergebnissen (Koeffizient 0,026 im univariaten Fall, negativ nach vollständiger Kontrolle). Die Autoren benennen hier offen eine Designgrenze: Da Einstellungsdaten nur in Echtzeit erhoben werden können, wurden die Snapshots nach dem Finanzquartal aufgenommen, auf das sie sich beziehen. Das heißt, das Ergebnis zur Einstellung ist eher beschreibend als vorhersagend.

Für Unternehmen, die ihre eigenen KI-Programme bewerten, und für Anbieter, die KI-Reifegrad-Scorecards auf Basis von Ausgaben, Anbieterzahlen oder Headcount verkaufen, ist das eine wichtige Korrektur: Diese Kennzahlen beschreiben Aktivität, aber laut dieser Studie keinen Geschäftswert.

KI ist aktuell eine Wachstums-, keine Margengeschichte

Die zweite zentrale Erkenntnis der Studie betrifft den Ort des wirtschaftlichen Effekts von KI. Keines der getesteten Signale – weder zusammengesetzt noch offenlegungsbasiert – sagte die Aktienrendite der kommenden vier Monate voraus, nachdem die Forschenden für multiple Tests korrigiert hatten. Die Autoren interpretieren das mit der klassischen Markteffizienz: Da alle Signale auf öffentlichen Informationen beruhen, sind diese bereits im Marktpreis enthalten. Der Punktwert für den zusammengesetzten KI-Score war im Studienzeitraum sogar leicht negativ, was zu einer teilweisen Korrektur der KI-basierten Aktienbewertungen im ersten Halbjahr 2026 passt.

Auch bei den Margen gab es keine Effekte: Kein Signal zeigte einen relevanten Zusammenhang mit der Veränderung der operativen Marge. Zusammen mit den Umsatzwachstumsergebnissen interpretiert das Paper, dass KI-Einführung derzeit vor allem über den Umsatz und weniger über kurzfristige Kostensenkungen wirkt. Das entspricht auch der internen Wahrnehmung von Security- und Compliance-Verantwortlichen: KI-Initiativen werden mit neuen Fähigkeiten, schnelleren Produktzyklen und besserer Kundenerfahrung begründet – (noch) nicht mit Personalabbau.

Ein marktweites Ergebnis sticht als separates Datenpunkt hervor: Die KI-Wertschöpfungsketten-Klassifikation der Studie ergab, dass KI-Infrastruktur- und Hardwareanbieter ihre branchen- und größenangepassten Vergleichsunternehmen im ersten Halbjahr 2026 um rund 32 Prozentpunkte übertrafen – ein bemerkenswerter Befund zur KI-bedingten Aktienrallye und ein Hinweis darauf, dass der „KI-Trade“ und die Frage „KI-Adoption sagt Fundamentaldaten voraus“ zwei verschiedene Phänomene sind, die zufällig gleichzeitig im Markt auftraten.

Wo das Signal am meisten zählte: Unternehmen mit vielen physischen Assets und späte Anwender

Die KI-Wertschöpfungsketten-Analyse des Papers teilt den S&P 500 in vier Gruppen: KI-Infrastruktur und Hardware (36 Unternehmen), KI-Software und Plattformen (41), datenreiche Anwender (138) und Unternehmen mit vielen physischen Assets oder späte Anwender (285) – bei weitem die größte Gruppe. Der Zusammenhang zwischen narrativer Konkretheit und Umsatzwachstum war speziell in dieser letzten Gruppe statistisch signifikant (n = 214, p = 0,025).

Auf den ersten Blick scheint das eine statistische Randnotiz zu sein. Ist es aber nicht. Die Autoren argumentieren – und hier liegt die Verbindung zu Security und Governance –, dass gerade in diesem Segment am schwersten zwischen echter KI-Einführung und KI-Rhetorik zu unterscheiden ist. Die KI-Behauptungen eines Softwareunternehmens lassen sich leicht am Produkt überprüfen. Bei Herstellern, Händlern oder Industrieunternehmen ist das nicht so einfach. Genau dort leistete konkrete, evidenzbasierte Offenlegung die meiste Arbeit bei der Unterscheidung von echten Anwendern und Unternehmen, die KI nur als Erzählung nutzen. Für die große Mehrheit des Enterprise-Markts, die in diese Kategorie fällt – also Unternehmen, die keine KI-Infrastruktur-Anbieter oder KI-native Softwareplattformen sind –, kann die Fähigkeit, gesteuerte, überprüfbare KI-Einführung nachzuweisen, das wichtigste Differenzierungsmerkmal sein.

Governance-Fazit: Evidence-First-Messung als operative Disziplin

Die methodische Grundentscheidung der gesamten Studie ist zugleich die wichtigste Lehre für KI-Governance-Programme in Unternehmen. Die Forschenden entwickelten ein evidence-first LLM-Extraktionsprotokoll: Jeder nicht-leere KI-Offenlegungsscore musste eine wörtliche Belegstelle aus dem Quellbericht anführen; Dimensionen ohne Beleg wurden als null und nicht als Schätzung zurückgegeben. In einem internen Audit stimmten 87 bis 90 Prozent der Modellbelege exakt mit dem Quelltext überein.

Das lässt sich einfach zusammenfassen: Die Forschenden ließen kein Modell zu, das den KI-Reifegrad eines Unternehmens nur auf Grundlage von Inferenz bewertet. Jede Aussage musste auf ein konkretes, zitierbares Beweisstück zurückgehen. Und das Signal, das am stärksten auf diesem Prinzip aufbaute – narrative Konkretheit –, war auch das einzige, das allen statistischen Tests im Paper standhielt.

Genau diese Disziplin sollte auch die Messung und den Nachweis des eigenen KI-Programms in Unternehmen bestimmen. Hier wird aus einer akademischen Studie ein praktischer Leitfaden: Ein internes KI-Data-Governance-Programm, das auf dem gleichen evidence-first-Ansatz basiert, könnte für jeden KI-Use-Case beantworten: Welchen Produktionsprozess verändert KI tatsächlich? Wer nutzt sie? Auf welche Daten greift sie zu? Welches konkrete Geschäftsergebnis wurde verbessert? Ist das messbar? Und kann das Unternehmen Belege liefern – nicht bloße Behauptungen –, dass das System produktiv eingesetzt und gesteuert wird? Ein KI-Programm, das diese Fragen mit zitierbaren Nachweisen beantworten kann, ähnelt laut dieser Studie deutlich mehr den Unternehmen mit realem Umsatzwachstum als solchen, die auf KI-Ankündigungen oder Pilotprojekte setzen.

Bedeutung für Datensicherheit, Compliance, Souveränität und KI Data Governance

Das CMU-Larridin-Paper stellt klar, was es nicht zeigt: Es prüft nicht direkt, ob stärkere Datensicherheit, gesetzliche Vorgaben, Data Sovereignty oder KI-Governance zu besserer finanzieller Performance führen. Das ist ein ehrlicher und wichtiger Vorbehalt, und jede Schlussfolgerung, die Governance-Reife mit dem Umsatzwachstum der Studie verknüpft, ist eine strategische Ableitung – kein kausaler Nachweis der Forschenden.

Mit diesem Vorbehalt bleibt die Ableitung dennoch nützlich für CISOs und Compliance-Verantwortliche, die über Investitionen in KI-Governance entscheiden. Sobald KI vom Pilot in die Produktion übergeht, berührt sie echte Unternehmensdaten, Mitarbeitende, Kunden und Workflows. Die operative Sicherheitsfrage wandelt sich dann von „Erlauben wir KI?“ zu einer viel spezifischeren: Welches KI-System oder welcher Agent kann auf welche Daten zugreifen, zu welchem Zweck, unter welcher Richtlinie – und was kann mit den abgerufenen Daten geschehen? Das ist ein Data-Governance– und Access-Control-Problem, bevor es ein anderes ist – und es spiegelt direkt die Erkenntnis der Studie wider, dass überprüfbare, einsatzbezogene Spezifität reife Programme von unreifen unterscheidet.

Auch für Compliance gilt diese Logik. Die Studie zeigte, dass die Tiefe der Risiko-Offenlegung – also ob ein Unternehmen überhaupt KI-Risikosprache in seinen Berichten verwendet – kaum Unterscheidungskraft hatte, da etwa 75 % der Unternehmen beim Score dicht beieinander lagen. KI-Risikostandardformulierungen sind inzwischen so verbreitet, dass sie kaum noch Aussagekraft besitzen. Das ist ein Signal, das Compliance-Teams ernst nehmen sollten: Eine KI-Policy, ein Governance-Komitee oder generische Risikosprache in Berichten werden schnell zum Standard und sind kein Nachweis von Reife mehr. Was stattdessen zählt, sind Kontrollnachweise: die konkrete Richtlinie für einen KI-Workflow, die betroffenen Systeme und Daten, die Identität, die jede Aktion ausgelöst hat, die getroffene Durchsetzungsentscheidung und der Audit-Trail, mit dem sich der Vorgang später rekonstruieren lässt. Für Anbieter und Entwickler von Compliance-Technologie ist das Wertversprechen, das diese Studie nahelegt: „Wir können nachweisen, dass die Kontrolle funktioniert hat“ – nicht „wir unterstützen die Regulierung“.

Zum Thema Souveränität ist das Paper explizit: Es enthält keinen empirischen Test, ob Datenresidenz, Lokalisierung oder Jurisdiktionskontrolle Performance vorhersagen; jede Schlussfolgerung hierzu ist eine Ableitung, kein Befund. Aber die Ableitung folgt der gleichen Logik wie der Rest der Studie: Je konkreter und operativer KI-Einsatz wird – und genau das dokumentiert das Paper –, desto wichtiger wird für Organisationen, nicht nur zu wissen, welche Daten ein KI-System nutzt, sondern auch, wo diese Daten liegen, wo sie verarbeitet werden, welcher Anbieter darauf zugreifen kann und ob das Unternehmen die Antwort technisch durchsetzen kann. Für regulierte, multinationale, Gesundheits-, Verteidigungs- und Finanzdienstleister wird Data Sovereignty Compliance mit der KI-Produktivsetzung operativ relevant – sie läuft nicht getrennt von der KI-Einführung.

Eine Evidence-Trail schaffen, den Regulatoren und Auditoren akzeptieren

Fasst man die drei Erkenntnisse des Papers zusammen – Spezifität schlägt Ausgaben, generische Risiko-Offenlegung ist Standard, und der Konkretheitseffekt ist am stärksten dort, wo KI-Behauptungen am schwersten zu überprüfen sind –, ergibt sich ein direktes Betriebsmodell für KI-Governance-Teams. Governance-Reife sollte am realen Verhalten gemessen werden, nicht an Governance-Artefakten. Ein KI-Komitee, eine Acceptable-Use-Policy, eine Inventarliste und jährliche Schulungen sind notwendig – aber sie allein beweisen nicht, dass KI-Verhalten tatsächlich gesteuert wird.

Ein Modell nach dem evidence-first-Prinzip der Studie würde für jede KI- oder Agentenaktion erfassen: die Identität, die sie ausgelöst hat, die konkreten Daten, auf die zugegriffen oder die verändert wurden, den Geschäftszweck, die Richtlinie oder Genehmigung, die sie autorisierte, die tatsächlich durchgeführte Aktion, wohin die Daten oder Ergebnisse gingen, die Jurisdiktion der Verarbeitung und ob das Unternehmen die gesamte Kette später auf Anfrage rekonstruieren kann. Das ist keine Wunschliste, sondern genau der Evidenzstandard, den Regulatoren, Prüfer oder Gegenparteien erwarten, wenn sie den Nachweis für einen bestimmten Datenzugriff verlangen: autorisiert, verschlüsselt, protokolliert.

Das ist die Verbindung zwischen der CMU-Larridin-Studie und dem Ansatz von Kiteworks für Compliant AI und zero trust generative AI Governance: Durchsetzung von attributbasierter Zugriffskontrolle und Richtlinienentscheidungen an dem Punkt, an dem ein KI-System oder eine Person auf sensible Daten zugreift, und Generierung eines einheitlichen Audit-Trails, der genau die Fragen beantworten kann, die das evidence-first-Protokoll der Studie an die Unternehmen stellte. Eine Data Policy Engine, die diese Richtlinien durchsetzt, bevor Daten ein KI-System oder einen Workflow erreichen, kombiniert mit einem CISO Dashboard, das die tatsächlichen Vorgänge sichtbar macht, verwandelt Governance von einer Dokumentensammlung in die Art von überprüfbarer, produktiver Evidenz, die laut Studie wirtschaftlich relevant ist. Wenn KI-Builder- und KI-User-Aktivitäten über einen Integrationspunkt wie einen Secure MCP Server laufen, erstreckt sich dieser Evidenzpfad auch auf agenteninitiierte Aktionen – was wichtig ist, weil das Governance-Framework der Studie explizit fordert, „Human/Agent Action“ als eine gemeinsame, verantwortliche Kategorie zu verfolgen, nicht als zwei getrennte.

All das ändert nichts an den Ergebnissen der Forschenden. Es bedeutet lediglich, dass Data Compliance und Governance-Infrastruktur keine Belastung für die KI-Einführung sind, sondern die Voraussetzung für den nachhaltigen, überprüfbaren Produktiveinsatz, den die Studie als wirtschaftlich relevant identifiziert – sobald Regulatoren, Kunden und Auditoren Belege statt Ankündigungen sehen wollen.

Wenn es einen Handlungsbedarf aus all dem gibt, dann nicht „eine bessere KI-Policy schreiben“ oder „einen höheren Score im Reifeindex erreichen“. Security- und Compliance-Teams müssen sich auf die Datenebene konzentrieren: Wer oder was hat darauf zugegriffen, mit welcher Autorisierung – und ist das später nachweisbar? Alles Weitere in den Studienergebnissen – und in dieser Analyse – folgt daraus.

Erfahren Sie mehr über den Aufbau einer evidence-first-Basis für KI-Governance und Compliance – vereinbaren Sie noch heute eine individuelle Demo.

Weitere Ressourcen

• Blogbeitrag
  Zero‑Trust-Strategien für bezahlbaren KI-Datenschutz
• Blogbeitrag
  Wie 77 % der Unternehmen bei KI-Datensicherheit scheitern
• eBook
  KI-Governance-Lücke: Warum 91 % kleiner Unternehmen 2025 russisches Roulette mit Datensicherheit spielen
• Blogbeitrag
  Es gibt kein „–dangerously-skip-permissions“ für Ihre Daten
• Blogbeitrag
  Regulierungsbehörden fragen nicht mehr, ob Sie eine KI-Policy haben. Sie wollen den Nachweis, dass sie funktioniert.