Corporate Risk Radar 2026: Die KI-Governance-Lücke wird zum Datensicherheitsproblem

Vertrauen ist nicht dasselbe wie Kontrolle, und die neueste globale Einschätzung des Unternehmensrisikos zeigt, dass diese Lücke rasant wächst. Clyde & Co’s Corporate Risk Radar 2026 befragte 700 Führungskräfte – darunter CEOs, CFOs, General Counsel und Vorstandsmitglieder – aus zehn Branchen und acht Regionen. Die in der Studie vertretenen Unternehmen sind keineswegs klein: Die Befragten gaben einen durchschnittlichen Jahresumsatz von 14,7 Milliarden USD an. Wenn Führungskräfte von Unternehmen dieser Größenordnung sagen, dass Technologie- und Compliance-Risiken schneller steigen, als die Governance mithalten kann, sollte man genau hinsehen.

Die wichtigste Zahl im Bericht betrifft das Technologierisiko, das innerhalb eines Jahres von 46 % auf 86 % bei der Bewertung als „hoher Einfluss“ gestiegen ist – der größte Anstieg aller gemessenen Risikokategorien. Clyde & Co führt diesen Sprung direkt darauf zurück, dass KI-Einführung von einer Zukunftsüberlegung zu einer operativen Realität geworden ist, die fest in die Geschäftsabläufe integriert ist. Diese Veränderung hat weitreichende Folgen, die weit über die IT-Abteilung hinausgehen: Sie beeinflusst, wie Daten im Unternehmen bewegt werden, wer darauf zugreifen kann und wie stark dieser Zugriff inzwischen von externen Anbietern abhängt.

Für Teams aus den Bereichen Datensicherheit und Compliance liest sich dieser Bericht weniger wie eine Warnung vor einem fernen Risiko, sondern vielmehr wie eine Beschreibung von Problemen, die bereits auf ihrem Schreibtisch liegen: eine wachsende Lücke zwischen dem Anspruch an KI-Governance und der tatsächlichen Umsetzung, eine Compliance-Belastung, die schneller fragmentiert, als Rechtsabteilungen sie nachverfolgen können, und eine Technologie, die stärker denn je mit Drittparteien verflochten ist. Der sichere Datenaustausch von Kiteworks wurde genau dafür entwickelt, diese Lücke zu schließen – und der Bericht liefert eine klare, datenbasierte Analyse, warum sie überhaupt entstanden ist.

Wichtige Erkenntnisse

1. Technologierisiko verzeichnet den stärksten Anstieg seit Beginn der Umfrage. 86 % der globalen Führungskräfte bewerten Technologierisiko inzwischen als „hoher Einfluss“, gegenüber 46 % im Vorjahr – ein Anstieg um 40 Prozentpunkte, der alle anderen Risikokategorien übertrifft.
2. Vertrauen liegt deutlich vor der Governance-Reife. 88 % der Führungskräfte fühlen sich gut vorbereitet, Technologierisiken zu begegnen, doch nur 68 % verfügen über ein ausgereiftes KI-Governance-Framework, und 76 % sagen, dass sich KI-, Datenschutz– und Cybersecurity-Regulierung schneller entwickeln, als ihr Unternehmen sie aufnehmen kann.
3. KI-Einführung konzentriert Risiken auf Drittparteien-Abhängigkeiten. Unternehmen, die KI in ihre Kernprozesse integrieren, verlassen sich zunehmend auf eine kleinere Gruppe von Technologieanbietern und sind an den Integrationspunkten zwischen Systemen stärker exponiert – so werden Anbieter- und Datenaustauschbeziehungen zur primären Angriffsfläche.
4. Regulatorisches und Reputationsrisiko verschmelzen. 85 % der Führungskräfte bewerten die regulatorische und Compliance-Belastung als „hoher Einfluss“ (Vorjahr: 54 %), und 82 % geben an, dass Compliance-Verpflichtungen bereits ihre Möglichkeiten zur Investition und zum Wachstum des Unternehmens einschränken.
5. Governance nach den Regeln des Vorjahres reicht nicht mehr aus. Unternehmen, die die Lücke schließen, behandeln KI-Governance als Infrastruktur, nicht als Richtlinie, und schaffen durchsetzbare Kontrollen darüber, wohin sensible Daten gelangen, wer und was darauf zugreifen darf und wie jede Interaktion protokolliert und nachgewiesen wird.

Technologierisiko: Der größte Sprung in der Geschichte der Umfrage

Technologierisiko ist in diesem Jahr nicht langsam gestiegen – es ist regelrecht explodiert. Clyde & Co fand heraus, dass 86 % der Befragten das Technologierisiko als „hoher Einfluss“ einstufen, verglichen mit 46 % im Jahr 2025; laut Bericht ist dies der größte Anstieg aller gemessenen Risikokategorien. Auch das operationelle Risiko stieg von 61 % auf 86 % – beide Trends hängen zusammen: Da KI in den täglichen Betrieb integriert wird, treten Technologie- und Betriebsstörungen zunehmend gemeinsam auf.

Dies ist kein reines IT-Problem, wie Clyde & Co ausdrücklich betont. Die Einführung von KI hat Abhängigkeiten und Verwundbarkeiten im gesamten Unternehmen neu strukturiert: Unternehmen verlassen sich stärker auf eine konzentrierte Gruppe von Drittanbieter-Technologien, sind an Systemintegrationspunkten exponierter und anfälliger für Kaskadeneffekte durch Vernetzung. Führungskräfte nannten die Implementierung von Technologie und die Systemintegration mit 72 % als größten operationellen Risikofaktor.

Diese Kombination aus rasanter KI-Einführung und konzentrierter Drittparteien-Abhängigkeit hat KI-Datengovernance von einem Compliance-Checkbox-Thema zu einer Vorstandsangelegenheit gemacht. Ein großes Sprachmodell, ein KI-Agent oder eine Retrieval-Augmented-Generation-Pipeline ist nur so sicher wie die Datenströme, die es speisen – und die meisten Unternehmen haben diese Datenströme für eine Welt gebaut, in der Menschen und nicht automatisierte Systeme entschieden, wer was sehen darf. Die Klassifizierung von Daten nach Sensibilität, bevor sie in einen KI-Workflow gelangen, ist die Voraussetzung, damit Zugriffs-Governance tatsächlich wirksam und nicht nur ungefähr ist.

Wo Vertrauen und Fähigkeit auseinanderdriften

Einer der aufschlussreichsten Befunde im Corporate Risk Radar liegt zwischen zwei Zahlen: 76 % der Führungskräfte sagen, dass KI-, Datenschutz- und Cybersecurity-Regulierung und die damit verbundenen Compliance-Anforderungen sich rasant weiterentwickeln. Nur 68 % geben an, über ein ausgereiftes KI-Governance-Framework zur Steuerung dieses Wandels zu verfügen. 51 % der Befragten erwarten, dass schwache Governance bei der Einführung neuer Technologien – einschließlich KI-Kontrollen – im nächsten Jahr ein erhebliches Risiko für ihr Unternehmen darstellen wird.

Und dennoch fühlen sich 88 % der Führungskräfte gut vorbereitet, Technologierisiken insgesamt zu begegnen. Die Analyse von Clyde & Co weist direkt auf diesen Widerspruch hin: Die Zahl „könnte darauf hindeuten, dass das Vertrauen in einigen Unternehmen der tatsächlichen Reife voraus ist“. Das ist eine höfliche Umschreibung für eine Governance-Lücke, die viele Führungskräfte noch nicht vollständig erkannt haben.

Dieses Muster ist jedem vertraut, der schon einmal einen Regulierungszyklus erlebt hat. Jan Spittka, Partner bei Clyde & Co, zieht im Bericht den Vergleich zur DSGVO: „Was wir bei der KI-Governance sehen, ist genau das, was wir bei der DSGVO gesehen haben: Auch wenn auf dem Papier alle konform sein mussten, haben Unternehmen sich Zeit gelassen und abgewogen, weil die Aufsichtsbehörden anfangs klar signalisiert haben, dass sie ihre Rolle zunächst beratend und nicht strafend sehen.“ Das Risiko diesmal: Die Schonfrist ist kürzer, und die Einsätze sind angesichts der Menge sensibler Daten, die durch KI-Systeme fließen, deutlich höher. Eine formale Risikoanalyse, die aktuelle KI-Datenflüsse mit den bestehenden Governance-Kontrollen abgleicht – und die Lücke zwischen dokumentierter Richtlinie und durchgesetzter, revisionssicherer Kontrolle quantifiziert – liefert die Grundlage, um die Diskrepanz zwischen Vertrauen und Reife von einer abstrakten Umfragezahl in einen priorisierten, vorstandsreifen Maßnahmenplan zu überführen.

Tim Crockford, ebenfalls Partner bei Clyde & Co, bringt die operative Herausforderung auf den Punkt: „Wenn Sie fragen, ob Unternehmen ein ausgereiftes KI-Governance-Framework haben, sagen manche heute ja – aber das ist morgen schon wieder veraltet. Deshalb muss das Governance-Framework, das mit KI einhergeht, mit der technologischen Entwicklung Schritt halten, und Unternehmen müssen wissen, wann und wie KI eingesetzt wird und Maßnahmen gegen Missbrauch ergreifen.“ Das beschreibt kontinuierliche, durchgesetzte Datengovernance – nicht ein Dokument, das einmal jährlich überprüft wird.

Um diese Lücke zu schließen, braucht es Infrastruktur, die in Echtzeit drei Fragen beantworten kann: Welche sensiblen Inhalte werden bewegt, wohin gehen sie, und ist das Ziel – Mensch oder KI-System – autorisiert, sie zu empfangen? Genau dafür wurde Kiteworks Compliant AI entwickelt: Richtlinien werden dort durchgesetzt, wo sensible Daten tatsächlich auf ein KI-Modell oder einen Agenten treffen – und nicht erst nachträglich durch Audits Probleme aufdecken.

Drittparteien-Abhängigkeit wird zur Standard-Angriffsfläche

Ein wiederkehrendes Thema des Berichts: Risiken werden zunehmend importiert statt intern erzeugt. Mit der beschleunigten KI-Einführung konzentrieren sich Unternehmen auf eine kleinere Zahl kritischer Technologieanbieter – und jede dieser Beziehungen ist ein potenzieller Schwachpunkt. Der General Counsel eines globalen Beratungsunternehmens bringt es auf den Punkt: „KI schafft eindeutig Wachstumsmöglichkeiten, erweitert aber auch die Angriffsfläche und die Governance-Herausforderungen.“

Clyde & Co verweist zudem auf eine Wechselwirkung zwischen geopolitischer Instabilität und Technologie-Exponierung. Mit zunehmenden geopolitischen Spannungen nehmen Angriffe staatlicher Akteure auf kritische Dateninfrastrukturen zu und Schwachstellen in sich schnell verändernden Systemen werden ausgenutzt, während die beschleunigte KI-Einführung neue Angriffsflächen schafft, bevor die Sicherheitskontrollen nachgezogen haben. Ein Chief Strategy Officer aus der maritimen Branche sagt im Bericht: „Viele maritime Unternehmen sind heute stark auf Daten und vernetzte Systeme angewiesen – das Cyberrisiko ist dadurch viel bedeutender als noch vor zehn Jahren.“ Der Bericht stellt fest, dass sich dieses Muster – digitale Fähigkeiten schaffen operativen Mehrwert und erhöhen gleichzeitig die Verwundbarkeit – in Bau, Finanzwesen, Beratung und anderen Branchen wiederholt.

Genau dieses Problem sollen Third-Party-Risk-Management-Programme adressieren. Doch die meisten dieser Programme basieren auf Anbieter-Fragebögen und periodischen Audits – nicht auf dem Volumen und der Geschwindigkeit des Datenaustauschs, die moderne KI-Systeme erzeugen. Jede Datei, die mit einer externen Kanzlei geteilt wird, jeder Datensatz, der in einen Cloud-KI-Dienst hochgeladen wird, und jeder API-Call zwischen internen Systemen und der Plattform eines Anbieters ist ein Datenaustauschereignis, das Zugriffskontrollen, Verschlüsselung und einen Audit-Trail benötigt. Ohne diese Instrumentierung vertrauen Unternehmen einem wachsenden Netz von Drittparteien, ohne zuverlässig prüfen zu können, ob dieses Vertrauen gerechtfertigt ist. Supply-Chain-Risk-Management-Programme, die diese Instrumentierung formell auf jeden Datenpfad eines Anbieters ausweiten – nicht nur auf die primären Cloud-Service-Verträge –, schließen die Drittparteien-Angriffsfläche, die der Bericht als neue dominante operationelle Risikokategorie identifiziert.

Ein zero trust architecture-Ansatz, bei dem jede Zugriffsanfrage unabhängig vom Ursprung verifiziert wird, ermöglicht es Unternehmen, Governance auch auf Drittparteien- und KI-Interaktionen auszuweiten, ohne das Geschäft zu verlangsamen. Das gilt ebenso für zero trust generative AI-Implementierungen: Das Modell selbst und jeder Agent, der auf dessen Output zugreift, sollten denselben Prüfstandard erfüllen wie ein menschlicher Anwender, der Zugriff auf sensible Inhalte anfordert.

Regulatorische Fragmentierung überfordert Rechtsabteilungen

Wenn das Technologierisiko den größten Sprung gemacht hat, folgt die regulatorische und Compliance-Belastung dicht dahinter – und ist womöglich noch schwerer zu steuern, weil sie nicht ein Problem, sondern viele überlappende Probleme ist. 85 % der Führungskräfte bewerten die regulatorische und Compliance-Belastung als „hoher Einfluss“ (Vorjahr: 54 %). Neue Anforderungen rund um KI, Datenschutz, ESG-Berichterstattung und branchenspezifische Regeln entstehen schnell und uneinheitlich in verschiedenen Rechtsräumen. Die grenzüberschreitende regulatorische Komplexität ist für 51 % der Unternehmen bereits ein bedeutender Risikofaktor, und ESG-, Daten- und Datenschutz-Compliance ist für 64 % erheblich.

Die Folgen sind konkret: 82 % der Führungskräfte sagen, dass steigende regulatorische und Compliance-Verpflichtungen die Fähigkeit ihres Unternehmens, zu investieren und zu wachsen, spürbar beeinflussen. Rebecca Kelly, Partnerin bei Clyde & Co, beschreibt im Bericht die praktische Herausforderung für Mandanten: „Prozessorientierte Compliance ist beherrschbar – man etabliert das Framework und folgt ihm. Die Herausforderung für Mandanten ist die Vorbereitung auf geopolitische Risiken, die ohne Vorwarnung auftreten und Bereiche des Unternehmens betreffen, die man nicht erwartet hätte.“ Jared Kangwana, ebenfalls Partner bei Clyde & Co, betont die grenzüberschreitende Dimension: „Eine Regulierung in Europa kann auch Auswirkungen in, sagen wir, Kenia haben. Unternehmen müssen die grenzüberschreitende Reichweite und die Durchsetzbarkeit ausländischer Regulierung in einem völlig anderen Markt berücksichtigen.“

In diesem Umfeld werden Data Sovereignty– und Data-Residency-Anforderungen von einem Problem der Rechtsabteilung zu einer Infrastrukturfrage. Wenn ein einziges Dokument – Vertrag, Patientenakte, regulatorische Einreichung – in einer Jurisdiktion der DSGVO, in einer anderen branchenspezifischen Regeln und in einer dritten Exportkontrollen unterliegt, muss die Plattform, die diese Inhalte verarbeitet, diese Regeln automatisch durchsetzen – und nicht darauf vertrauen, dass Mitarbeitende wissen, welche Richtlinie wo gilt. DSGVO-Compliance-Pflichten und US-Bundesstaaten-Anforderungen verlangen bereits diese automatisierte Durchsetzung – und laut Bericht wird die Liste der überlappenden Regime, die Unternehmen gleichzeitig erfüllen müssen, immer länger. Datenminimierung, die auf Plattformebene durchgesetzt wird – also nur die Daten speichern, die jede Jurisdiktion zwingend verlangt, und alles andere löschen – reduziert die regulatorische Angriffsfläche, die Unternehmen über mehrere Compliance-Rahmen hinweg verfolgen und verteidigen müssen.

Regulatorisches Risiko bringt zudem ein Sichtbarkeitsproblem auf Vorstandsebene mit sich, das der Bericht explizit benennt. Trotz der hohen Bewertung wird die regulatorische Belastung nur von 14 % der C-Suite als Bereich genannt, der im letzten Jahr die meiste Aufmerksamkeit der Führung benötigte – hinter operationellen Herausforderungen, Technologierisiken und wirtschaftlichen Risiken. Roshanak Bassiri Gharb, Partnerin bei Clyde & Co, liefert eine plausible Erklärung: „Regulatorische und Compliance-Risiken stehen oft weiter unten auf der Agenda der Führungsebene, da diese Themen häufig als Aufgabe für technische Experten gesehen werden.“ Diese Delegation birgt eigene Risiken: Sitzt das regulatorische Management zu weit weg vom Vorstand, wird die Verantwortung reaktiv statt proaktiv wahrgenommen – und das Reaktionsfenster bei einem tatsächlichen Datenschutzverstoß ist kürzer, als die meisten Unternehmen annehmen.

Reputationsrisiko ist jetzt direkte Folge von Datenpannen

Betriebs- und Technologiestörungen führen schnell zu Reputationsschäden. Der Bericht zieht eine direkte Verbindung zwischen beidem – und zwar über den Umgang mit Daten. 78 % der Führungskräfte bewerten Reputationsrisiko inzwischen als „hoher Einfluss“ (Vorjahr: 47 %), getrieben vor allem durch Service- und Qualitätsprobleme, die das Vertrauen beschädigen (69 %), Investoren-Druck (60 %) und Governance- sowie Verhaltensfehler (57 %). Ein General Counsel aus dem Finanzsektor bringt es im Bericht auf den Punkt: „Ein Cybervorfall oder Datenschutzverstoß kann unsere Kundenservices unterbrechen, regulatorische Probleme verursachen und das Vertrauen unserer Kunden beschädigen. Unsere Servicequalität und Berichterstattung hängen davon ab, dass Systeme und externe Anbieter zuverlässig funktionieren.“

Dieser eine Satz zeigt, warum Datensicherheit, regulatorische Compliance und Reputation nicht mehr als getrennte Aufgabenbereiche gemanagt werden können. Ein Vorfall mit personenbezogenen Daten (PII/PHI) bleibt nicht auf einen Sicherheitsbericht beschränkt: Er löst Meldepflichten aus, zieht regulatorische Prüfungen nach sich und beschädigt – wenn er öffentlich wird – das Vertrauen genau jener Kunden, Investoren und Aufsichtsbehörden, die ein Unternehmen in risikoreichen Zeiten am dringendsten braucht. Rebecca Kelly merkt im Bericht an, dass „die meisten schwerwiegenden regulatorischen Verstöße aus unterlassener Meldung entstehen“ und „Unternehmen sehr kurze Fristen haben, um zu melden und im Unternehmensinteresse zu handeln“, mit Reputationsfolgen, die „sofort und öffentlich sichtbar werden können“. Ein dokumentierter Incident-Response-Plan, der die Bewertung des Datenumfangs, die regulatorische Benachrichtigung und die öffentliche Kommunikation vorab zuweist – und vor echten Vorfällen an realen Szenarien getestet wird – ist der organisatorische Mechanismus, der die Warnungen des Berichts zu Meldefristen in eine geübte, umsetzbare Reaktion überführt.

Um diese Kaskade zu verhindern, braucht es bereits im Vorfeld Kontrollen, die das Risiko eines solchen Vorfalls minimieren. Data Loss Prevention (DLP)-Richtlinien, Ende-zu-Ende-Verschlüsselung und granulare RBAC-Kontrollen reduzieren die Wahrscheinlichkeit, dass sensible Inhalte an falsche Stellen gelangen. Kommt es dennoch zu einem Vorfall, entscheiden die von einer überwachten Secure-File-Transfer-Plattform generierten Prüfprotokolle oft darüber, ob ein Unternehmen die Meldefrist – etwa das 72-Stunden-Fenster der DSGVO für die Benachrichtigung der Aufsichtsbehörden – mit Sicherheit einhalten kann oder diese Zeitspanne mit hektischer Ursachenforschung vergeudet. Werden diese Prüfprotokolle in Echtzeit an eine SIEM-Plattform übergeben, erhalten Sicherheitsteams die Verhaltensanalyse, die anomale Datenbewegungen erkennt – und so die Zeitspanne zwischen Vorfall und Entdeckung verkürzt, die die Meldeuhr startet.

Was resiliente Unternehmen anders machen

Die vielleicht wichtigste Erkenntnis des Corporate Risk Radar ist die klarste: Unternehmen, die KI-Governance, regulatorische Compliance und Datensicherheit als eine vernetzte Disziplin behandeln, sind erfolgreicher als solche, die diese Themen noch getrennt managen. Fast sechs von zehn Führungskräften nennen die Komplexität neuer Risiken als das größte Hindernis für deren effektives Management – mehr als doppelt so viele wie bei der nächsthäufigsten Antwort. Diese Komplexität wird sich nicht durch bessere Tabellen oder häufigere Meetings von selbst lösen.

Der im Bericht beschriebene Weg nach vorn entspricht dem, was Kiteworks täglich in regulierten Branchen beobachtet: Verantwortung für KI-Risiken auf Führungsebene, mit klaren Kontrollen, Eskalationswegen und Verantwortlichkeiten – statt das Problem komplett an IT oder Rechtsabteilung zu delegieren. Konkret bedeutet das: klare Richtlinien zur zulässigen Nutzung, definierte Verantwortlichkeiten, Audit-Trails für wichtige Entscheidungen und angemessene Kontrolle der Drittanbieter-KI. Genau diese Elemente nennt der Bericht als notwendig, um die KI-Governance-Lücke zu schließen. Schatten-KI – also Mitarbeitende und Führungskräfte, die nicht genehmigte KI-Tools außerhalb des genehmigten Governance-Perimeters nutzen – ist die Lücke, die diese Maßnahmen am direktesten schließen: Nutzungsrichtlinien definieren die Grenze, Audit-Trails belegen, was sie überschritten hat, und die Kontrolle der Drittanbieter-KI deckt Tools auf, die nie im ursprünglichen Richtlinienscope enthalten waren.

Ein Kiteworks Control Plane verschafft Unternehmen einen zentralen Durchsetzungspunkt und vollständige Transparenz über alle Kanäle, auf denen sensible Inhalte bewegt werden: E-Mail, Filesharing, Managed File Transfer, Web-Formulare und KI-Systeme. So gelten überall dieselben Zugriffs-, Verschlüsselungs- und Protokollierungsrichtlinien – unabhängig vom Tool oder Team. Das CISO-Dashboard stellt all dies in Echtzeit dar und bietet Sicherheits- und Führungsteams die einheitliche Transparenz, die laut Bericht in Unternehmen mit KI-Governance-Lücke heute fehlt. Statt für jeden neuen KI-Use-Case eine eigene Governance-Schicht zu bauen, können Sicherheits- und Compliance-Teams einheitliche Kontrollen auf alle Anwendungsfälle ausweiten – und so genau die Lücke zwischen regulatorischem Tempo und Governance-Reife schließen, die der Corporate Risk Radar 2026 als zentrales Risiko identifiziert.

Erfahren Sie mehr darüber, wie Sie die im Corporate Risk Radar 2026 von Clyde & Co identifizierte KI-Governance-Lücke schließen können: Fordern Sie jetzt Ihre individuelle Demo an.

Weitere Ressourcen

• Blogbeitrag
  Zero‑Trust-Strategien für kostengünstigen KI-Datenschutz
• Blogbeitrag
  Wie 77 % der Unternehmen bei der KI-Datensicherheit scheitern
• eBook
  KI-Governance-Lücke: Warum 91 % der kleinen Unternehmen 2025 russisches Roulette mit Datensicherheit spielen
• Blogbeitrag
  Für Ihre Daten gibt es kein „–dangerously-skip-permissions“
• Blogbeitrag
  Regulierungsbehörden wollen keine KI-Policy mehr sehen. Sie wollen den Nachweis, dass sie funktioniert.