KI-Daten-Compliance-Krise: 88 % der Unternehmen kämpfen mit Governance und Sicherheit

Die KI-Revolution in Unternehmen führt zu einer Datenkrise, auf die die meisten Organisationen nicht vorbereitet sind. Laut dem Theta Lake 2025/26 Digital Communications Governance Report setzen 99 % der Unternehmen verstärkt auf KI, während 88 % bereits mit Herausforderungen bei der KI-Datengovernance und Datensicherheit kämpfen.

wichtige Erkenntnisse

1. KI-Einführung überholt Governance-Fähigkeiten. Fast alle Unternehmen (99 %) erweitern ihre KI-Nutzung, doch 88 % stehen bereits vor Herausforderungen bei Governance und Datensicherheit. Diese Diskrepanz zwischen Implementierungstempo und Governance-Bereitschaft schafft unternehmensweite Risiken, die bestehende Rahmenwerke nicht abdecken können.
2. KI-bedingte Offenlegung sensibler Daten bleibt oft unbemerkt. Fast die Hälfte der Unternehmen (45 %) kann nicht erkennen, wann vertrauliche Informationen in KI-generierten Inhalten auftauchen. Sobald KI Inhalte mit sensiblen Daten erstellt, verlieren 40 % der Unternehmen die Kontrolle darüber, wohin sich diese Informationen verbreiten.
3. Aufsichtsbehörden nehmen Unternehmen für KI-Inhalte in die Pflicht. FINRA stellt klar, dass Unternehmen für ihre Kommunikation verantwortlich sind – unabhängig davon, ob diese von Menschen oder KI generiert wurde. Da 47 % der Unternehmen nicht sicherstellen können, dass KI-Inhalte Compliance-Anforderungen erfüllen, steigt das regulatorische Risiko erheblich.
4. Infrastruktur-Governance allein schützt sensible Daten nicht. Zugriffskontrollen und Nutzungsrechte regeln, wer KI-Tools nutzen darf, aber nicht, was KI mit diesem Zugriff generiert. Unternehmen benötigen Inhaltsinspektion und verhaltensbasierte Governance, um die Offenlegung sensibler Daten und Compliance-Verstöße zu erkennen.
5. Governance muss den Datenfluss in KI-Systeme steuern. KI-Risiken bestehen sowohl beim Input als auch beim Output – also bei dem, was Mitarbeitende mit KI teilen, und was KI daraus generiert. Ohne Kontrollen am Punkt des Datenaustauschs können Unternehmen die Offenlegung sensibler Inhalte nicht verhindern, selbst wenn einzelne KI-Tools Schutzmechanismen bieten.

Diese jährliche Umfrage unter 500 leitenden IT-, Kommunikations- und Compliance-Verantwortlichen aus US- und UK-Finanzdienstleistern zeigt ein besorgniserregendes Muster: Unternehmen setzen KI in nie dagewesenem Tempo ein, verfügen aber nicht über die nötigen Governance-Rahmenwerke, um sensible Daten zu schützen oder regulatorische Compliance sicherzustellen. Die Ergebnisse stehen vor dem Hintergrund von über 4 Milliarden US-Dollar an weltweiten Bußgeldern wegen Versäumnissen bei Aufzeichnung und Überwachung in den letzten Jahren – nun rücken KI-generierte Inhalte in den Fokus der Aufsichtsbehörden.

Obwohl sich die Umfrage auf Finanzdienstleister konzentriert, gelten die Erkenntnisse für alle regulierten Branchen. Jede Organisation, die mit sensiblen Daten arbeitet – etwa im Gesundheitswesen, der Rechtsberatung, der öffentlichen Verwaltung oder der Industrie – steht vor ähnlichen Herausforderungen bei der KI-Datengovernance. Der schnelle KI-Einsatz führt zur Offenlegung vertraulicher Informationen, schafft regulatorische Risiken und überfordert die Kontrollmöglichkeiten der Unternehmen.

KI-Einführung überholt Sicherheit und Compliance

Das Tempo der Einführung

Die Geschwindigkeit, mit der Unternehmen KI einführen, ist enorm. Nahezu alle Befragten (99 %) planen, KI-Funktionen in ihre Kommunikations- und Collaboration-Tools zu integrieren oder auszubauen – KI hält in nahezu alle Geschäftsbereiche Einzug.

Die eingesetzten KI-Funktionen zeigen das Ausmaß der Risiken: Laut Umfrage planen Unternehmen vor allem den Einsatz von generativen KI-Assistenten (92 %), KI-gestützten Meeting-Notizfunktionen und Zusammenfassungen (81 %) sowie maßgeschneiderter Agentic AI (77 %). Zudem erwarten 68 % der Unternehmen, dass die Nutzung von KI-Tools in den nächsten 12 Monaten weiter steigt.

Jede dieser Anwendungen eröffnet neue Wege für die Offenlegung sensibler Daten. Generative KI-Assistenten verarbeiten Mitarbeiteranfragen, die vertrauliche Informationen enthalten können. Meeting-Tools erfassen und verdichten sensible Gespräche. Agentic AI agiert eigenständig auf Basis der zugänglichen Daten.

Neue Risikokategorie

Der Bericht definiert „aiComms“ als neue Kategorie KI-generierter Kommunikation, die Governance erfordert. KI-Assistenten, generative KI-Tools und Agentic AI schaffen neue Kommunikationsformen und Verhaltensweisen. Diese aiComms sind sowohl neue Kommunikationsarten, die erfasst und überwacht werden müssen, als auch neue Teilnehmer an Interaktionen – mit zusätzlichen Compliance-, Governance- und Sicherheitsherausforderungen.

Dies markiert einen grundlegenden Wandel im Unternehmensrisiko: KI verarbeitet nicht nur Informationen, sondern generiert neue Inhalte aus sensiblen Eingaben. Herkömmliche Sicherheitskonzepte, die Daten im ruhenden Zustand oder während der Übertragung schützen, greifen bei von KI erstellten, transformierten und verbreiteten Inhalten nicht.

Das 88%-Problem

Die Lücke zwischen KI-Einführung und Governance-Bereitschaft hat kritische Ausmaße erreicht. 88 % der Befragten berichten bereits von Herausforderungen bei KI-Datengovernance und Datensicherheit – ein deutliches Zeichen für den dringenden Bedarf an umfassenden Governance-Strategien.

Das ist kein Zukunftsthema, sondern eine aktuelle Krise, die fast neun von zehn Unternehmen betrifft. Die restlichen 12 %, die keine Herausforderungen melden, dürften eher mangelnde Transparenz als effektive Governance widerspiegeln.

Wie KI Sicherheitslücken für Daten schafft

Offenlegung sensibler Daten durch KI-Ausgaben

Das größte Risiko für die Datensicherheit liegt darin, dass sensible Informationen in KI-generierten Inhalten auftauchen. Laut Bericht haben 45 % der Unternehmen Schwierigkeiten, zu erkennen, ob vertrauliche oder sensible Daten in generativen KI-Ausgaben enthalten sind.

Diese Offenlegung erfolgt auf verschiedenen Wegen: KI-Meeting-Zusammenfassungen können vertrauliche Strategiediskussionen erfassen und breit verteilen. Generative Assistenten können proprietäre Daten in extern geteilte Antworten einbauen. KI-Tools, die mit Unternehmensdaten trainiert werden, können sensible Informationen in unerwarteten Kontexten offenlegen.

Das Problem: KI-Systeme aggregieren und transformieren Daten so, dass vertrauliche Informationen auch dann sichtbar werden, wenn einzelne Eingaben harmlos erscheinen. Eine Meeting-Zusammenfassung, die mehrere Teilnehmerstatements kombiniert, kann Wettbewerbsinformationen offenlegen. Eine KI-Antwort, die auf mehreren Dokumenten basiert, kann geschützte Informationen in teilbare Form bringen.

Mangelnde Transparenz bei KI-Interaktionen

Unternehmen können nur das steuern, was sie sehen – und die meisten haben keinen Einblick, wie Mitarbeitende mit KI-Systemen interagieren. Laut Bericht haben 41 % Schwierigkeiten, riskantes Verhalten von Endanwendern bei der Nutzung von KI-Tools zu erkennen.

Mitarbeitende geben sensible Daten in KI-Eingaben ein, ohne die Risiken zu kennen. Kundeninformationen, Finanzdaten, geistiges Eigentum und strategische Pläne gelangen über einfache Anfragen in KI-Systeme. Ohne Transparenz bei diesen Interaktionen bleibt die Offenlegung oft unentdeckt, bis Schaden entsteht.

Die Nutzung von Schatten-IT verschärft das Problem: Mitarbeitende verwenden KI-Tools außerhalb der IT-Governance, wodurch Datenströme entstehen, die Sicherheitsteams nicht überwachen oder steuern können. Sensible Inhalte gelangen in KI-Systeme, denen unternehmensweite Sicherheitskontrollen, Datenresidenz oder geeignete Zugriffskontrollen fehlen.

Unfähigkeit, KI-Inhalte nachzuverfolgen

Sobald KI Inhalte mit sensiblen Daten generiert, verlieren Unternehmen oft die Kontrolle darüber, wohin diese Informationen gelangen. Der Bericht zeigt, dass 40 % der Unternehmen Schwierigkeiten haben, nachzuvollziehen, wo und mit wem problematische KI-generierte Inhalte geteilt wurden.

Eine KI-generierte Zusammenfassung mit vertraulichen Informationen kann sich über E-Mail, Chat, Filesharing und externe Kommunikation verbreiten, bevor jemand die Offenlegung bemerkt. Ohne Inhalts-Tracking können Unternehmen Datenschutzverstöße weder eindämmen noch deren Ausmaß bewerten. Die verteilte Natur von KI-Inhalten macht klassische Data Loss Prevention (DLP)-Ansätze unzureichend.

Fehlende Validierung von Schutzmechanismen

Viele Unternehmen setzen Zugriffskontrollen und Nutzungsbeschränkungen für KI-Tools ein, doch diese Schutzmechanismen versagen oft in der Praxis. Laut Umfrage haben 36 % Schwierigkeiten, zu überprüfen, ob die Schutzmechanismen rund um den KI-Zugriff auf Daten oder den Anwenderzugriff auf KI-Tools wie gewünscht funktionieren.

Weitere Governance-Lücken verschärfen das Problem: 35 % haben Schwierigkeiten, unangemessene KI-Inhalte aus Gesprächen zu entfernen, wenn Richtlinien verletzt werden. 33 % kämpfen mit der Nachbesserung von KI-Kontrollen oder der Benachrichtigung und Nachschulung von Anwendern nach Vorfällen. Die Lücke zwischen beabsichtigten KI-Beschränkungen und tatsächlichem Verhalten bleibt erheblich.

Herausforderung: Regulatory Compliance

Verantwortung für KI-generierte Inhalte

Regulatorische Rahmenwerke nehmen Unternehmen für KI-generierte Inhalte genauso in die Pflicht wie für menschlich erstellte Kommunikation. Die größte Herausforderung – von fast der Hälfte (47 %) der Unternehmen genannt – ist die Sicherstellung, dass KI-Inhalte korrekt sind und regulatorischen Standards entsprechen.

Es gibt keinen regulatorischen „Freifahrtschein“ für KI-Fehler oder Halluzinationen. Wenn KI fehlerhafte Inhalte erstellt, die Kunden oder Geschäftspartner erreichen, trägt das Unternehmen die Verantwortung – unabhängig vom Ursprung der Inhalte. Angesichts der bekannten Neigung generativer KI, plausible, aber falsche Informationen zu liefern, entsteht erhebliches Risiko.

Aufzeichnungspflichten gelten auch für KI

Regulatorische Anforderungen an die Aufzeichnung gelten auch für KI-generierte Kommunikation – eine Compliance-Herausforderung, die die meisten Unternehmen nicht gelöst haben. Laut Bericht haben 92 % der Unternehmen Schwierigkeiten, Geschäftskommunikation zu erfassen, um Aufzeichnungs- und Überwachungspflichten zu erfüllen, oder sie deaktivieren Funktionen aus Compliance-Gründen.

KI-spezifische Compliance-Herausforderungen sind erheblich: Die Umfrage zeigt, dass 41 % der Unternehmen Schwierigkeiten speziell mit generativen KI-Assistenten haben, weitere 41 % mit KI-Gesprächszusammenfassungen oder Notizfunktionen.

Manche Unternehmen deaktivieren KI-Funktionen komplett, um Compliance-Verstöße zu vermeiden. Damit verzichten sie auf Produktivitätsvorteile, doch diese Strategie ist nicht tragfähig, da KI zunehmend in zentrale Geschäftsanwendungen integriert wird.

Regulatorische Prüfung nimmt zu

Aufsichtsbehörden prüfen verstärkt, wie Unternehmen KI-generierte Inhalte steuern. Die Herausforderungen beim Management von Geschäftskommunikation stehen vor dem Hintergrund anhaltender regulatorischer Kontrolle. In den letzten Jahren überstiegen weltweite Bußgelder für Versäumnisse bei Aufzeichnung und Überwachung 4 Milliarden US-Dollar – dominiert von den inzwischen abgeschlossenen Untersuchungen der SEC und CFTC.

Das Genauigkeitsproblem

Fehler bei der KI-Genauigkeit schaffen ein eigenes regulatorisches Risiko, wenn fehlerhafte Inhalte Kunden, Geschäftspartner oder öffentliche Kanäle erreichen. Generative KI kann selbstbewusst, aber falsch zu Produkten, Dienstleistungen, Performance oder regulatorischen Themen Stellung nehmen. Kundenorientierte KI-Kommunikation kann Fehler oder irreführende Informationen enthalten, die Offenlegungspflichten oder Eignungsanforderungen verletzen.

Unternehmen fehlt derzeit ein systematischer Ansatz, KI-Genauigkeit in großem Umfang zu überprüfen. Manuelle Prüfung kann mit der Menge an KI-Inhalten nicht Schritt halten, automatisierte Validierung steckt noch in den Kinderschuhen.

Warum herkömmliche Governance-Ansätze scheitern

Infrastruktur-Governance reicht nicht aus

Viele Unternehmen setzen bei der KI-Datengovernance auf Infrastrukturkontrollen wie rollenbasierten Zugriff, Datenklassifizierung und Nutzungsrechte. Diese Schutzmechanismen sind notwendig, aber grundsätzlich unzureichend.

Der Bericht betont: Gerade für Finanzdienstleister schafft der breite KI-Einsatz neue Verhaltensweisen, Interaktionstypen und Kommunikationsarten mit neuen Risiken, die sich nicht allein durch Infrastruktur-Governance absichern lassen.

Infrastrukturkontrollen regeln, wer auf KI-Tools und welche Daten zugreifen darf. Sie steuern aber nicht, was KI mit diesem Zugriff generiert. Ein Mitarbeitender mit passenden Berechtigungen kann mit einem korrekt konfigurierten KI-Tool dennoch Inhalte erstellen, die sensible Informationen offenlegen oder Compliance-Anforderungen verletzen. Unternehmen benötigen verhaltensbasierte Inspektion von KI-Interaktionen und deren Ergebnissen.

Fragmentierte Systeme schaffen blinde Flecken

KI-Funktionen werden in fragmentierten Technologielandschaften eingeführt, was Governance-Lücken schafft. Wie schon im Vorjahr zeigt sich: Der moderne Arbeitsplatz nutzt zahlreiche UCC-Tools, 82 % der Unternehmen verwenden vier oder mehr, der Anteil mit zehn oder mehr Tools hat sich auf 12 % verdreifacht.

KI-Funktionen in verschiedenen, nicht verbundenen Systemen erzeugen Inhalte, die über unterschiedliche Kanäle mit uneinheitlichen Kontrollen fließen. Es gibt keinen einheitlichen Überblick über KI-generierte Inhalte im gesamten Unternehmen. Governance-Maßnahmen für ein KI-Tool gelten nicht automatisch für andere – so entstehen Lücken, durch die sensible Daten wandern können.

Richtlinienbasierte Steuerung ist nicht skalierbar

Unternehmen, die KI-Nutzung durch Richtlinien steuern, stoßen an Grenzen. Wo KI-Notizfunktionen und Assistenten verboten sind, setzen 60 % auf Richtlinien und Hinweise, 56 % teilen schriftliche Vorgaben mit Mitarbeitenden, 47 % verfolgen aktiv, dass Mitarbeitende und Drittparteien keine eigenen KI-Tools in der Kommunikation nutzen.

Richtlinien vermitteln Erwartungen, können aber die Offenlegung sensibler Daten nicht verhindern. Mitarbeitende können Vorgaben versehentlich oder absichtlich verletzen. Die Überwachung der Richtlinieneinhaltung erfordert technische Kontrollen, die den meisten Unternehmen fehlen. Mit zunehmender KI-Verbreitung wird Governance durch Richtlinien immer unzureichender.

Herausforderung Datenqualität

Effektive KI-Datengovernance erfordert vollständige, kontextbezogene Daten, die die meisten Unternehmen nicht liefern können. Für die Hälfte der Befragten hat KI die Überwachung verbessert, die andere Hälfte kämpft mit fragmentierten Datenquellen und individueller Infrastruktur. Konkret arbeiten 31 % an der Verbesserung der Datenqualität.

Unternehmen können KI-Interaktionen nicht steuern, wenn sie diese nicht erfassen. Sie können KI-Ausgaben ohne Kontext nicht analysieren. Sie können Richtlinien nicht durchsetzen, wenn sie keine Transparenz über die Inhalte haben. Das Datenfundament für KI-Datengovernance fehlt in den meisten Unternehmen.

KI-taugliche Datengovernance aufbauen

Die Investitionsreaktion

Unternehmen erkennen das Scheitern bisheriger Ansätze und reagieren mit höheren Investitionen. Firmen investieren deutlich mehr in Kommunikations-Compliance, um der wachsenden Komplexität digitaler Kommunikation inklusive aiComms und der anhaltenden regulatorischen Kontrolle zu begegnen. 86 % investieren bereits mehr (im Vorjahr 65 %), weitere 12 % planen dies.

Das Vertrauen in bestehende Ansätze ist eingebrochen: Nur noch 2 % (Vorjahr: 8 %) halten die aktuellen Maßnahmen für ausreichend. Diese fast einhellige Erkenntnis der Unzulänglichkeit schafft Dringlichkeit für neue Governance-Modelle.

Unabhängige Studien bestätigen diesen Trend: Laut der jährlichen Collaboration-Studie von Metrigy planen über 65 % der Unternehmen, ihre Ausgaben für Sicherheit und Compliance zu erhöhen, um mit den wachsenden KI-Bedrohungen Schritt zu halten. Über 90 % haben bereits eine eigene Sicherheits- und Compliance-Strategie für KI etabliert oder planen dies.

Wesentliche Anforderungen an KI-Datengovernance

Effektive KI-Datengovernance erfordert Fähigkeiten, die den meisten Unternehmen derzeit fehlen.

• Inhaltsinspektion muss prüfen, was KI generiert – nicht nur, wer KI-Tools nutzt. Unternehmen benötigen Transparenz über KI-Ausgaben, um sensible Daten, Compliance-Verstöße und Fehler zu erkennen.
• Kontextuelle Analyse muss KI-Inhalte anhand regulatorischer Vorgaben und Unternehmensrichtlinien bewerten. Reine Erfassung ohne Kontextanalyse reicht für Governance-Entscheidungen nicht aus.
• Umfassende Erfassung muss KI-Interaktionen ebenso wie klassische Kommunikation dokumentieren. Selektive Erfassung schafft Lücken, die Regulierer und Kläger ausnutzen können.
• Verhaltensbasierte Erkennung muss riskante Muster bei der KI-Nutzung identifizieren. Anomale Anfragen, sensible Dateneingaben und Richtlinienverstöße müssen erkannt werden, bevor Schaden entsteht.

Governance entlang des gesamten KI-Datenlebenszyklus

KI-Risiken bestehen an beiden Enden des Datenlebenszyklus – beim Input, wenn Mitarbeitende sensible Daten in KI-Systeme eingeben, und beim Output, wenn KI daraus Inhalte generiert. Umfassende Governance muss beide Vektoren abdecken.

Die Kontrolle der Datenzufuhr in KI-Systeme ist entscheidend, um zu verhindern, dass sensible Inhalte in Umgebungen gelangen, in denen sie offengelegt werden könnten. Dazu braucht es Governance am Punkt des Datenaustauschs: Sie muss überwachen, welche vertraulichen Inhalte in KI-Tools gelangen, und Richtlinien durchsetzen, bevor es zur Offenlegung kommt.

Lösungen wie Kiteworks AI Data Gateway und MCP Server bieten Governance-Kontrollen für sensible Datenströme in und zwischen KI-Systemen. Unternehmen erhalten Transparenz darüber, welche vertraulichen Inhalte in KI-Umgebungen gelangen, können Richtlinien für den KI-Datenzugriff durchsetzen und Audit-Trails für Compliance führen. Ohne diese Kontrollschicht am Datenaustauschpunkt können Unternehmen die Offenlegung sensibler Inhalte nicht verhindern – unabhängig davon, welche Schutzmechanismen einzelne KI-Tools bieten.

Die KI-Compliance-Lücke schließen

Die zentrale Herausforderung für Unternehmen ist klar: Die KI-Einführung hat die Governance-Fähigkeiten weit überholt. 88 % der Unternehmen kämpfen mit KI-Datengovernance, 45 % können die Offenlegung sensibler Daten in KI-Ausgaben nicht erkennen, 47 % können nicht sicherstellen, dass KI-Inhalte regulatorischen Standards entsprechen – die Lücke zwischen Einführung und Kontrolle wächst weiter.

Die Risiken gehen über regulatorische Bußgelder hinaus: Datenschutzverstöße durch KI-Systeme können Kundeninformationen, geistiges Eigentum und strategische Pläne offenlegen. Compliance-Fehler können zu Maßnahmen führen, die das Geschäft einschränken. Reputationsschäden durch KI-Vorfälle untergraben das Vertrauen von Kunden und Partnern.

Der Weg nach vorn erfordert einen grundlegenden Wandel: Weg von Infrastruktur-Governance, hin zu Inhaltsinspektion und verhaltensbasierter Steuerung. Unternehmen müssen Transparenz darüber gewinnen, welche Daten in KI-Systeme fließen, welche Inhalte KI generiert und wohin diese Inhalte gelangen. Sie müssen Richtlinien am Punkt des Datenaustauschs durchsetzen – nicht nur beim Systemzugriff.

Wer jetzt umfassende KI-Datengovernance implementiert, reduziert Risiken und erhält regulatorisches Vertrauen, während Wettbewerber exponiert bleiben. Wer zögert, wird die Governance-Lücke nur schwer schließen können, je tiefer KI in Geschäftsprozesse eingebettet ist.