Die Lücke bei der KI-Governance ist kein politisches Problem, sondern ein Evidenzproblem

Fragen Sie einen CISO oder Chief Compliance Officer, was ihnen beim Thema KI-Agents den Schlaf raubt, und die ehrliche Antwort ist selten „die Agents“ selbst. Es ist die Frage, die ein Regulator, Auditor oder gegnerischer Anwalt irgendwann stellen wird: Welcher Agent hat auf diesen Datensatz zugegriffen, mit welcher Autorisierung, und wo ist der Nachweis?

Auf diese Frage gibt es inzwischen eine branchenweite Antwort – und sie ist wenig beruhigend. Der OneTrust 2026 AI-Ready Governance Survey Report, durchgeführt mit Sapio Research unter 1.200 Führungskräften in acht Märkten, zeigt: 87 Prozent der Unternehmen fördern aktiv den Einsatz von KI-Agents durch Mitarbeitende und Geschäftsbereiche. Nur 47 Prozent kombinieren diese Förderung mit klaren Governance-Strukturen, Aufsicht und Kontrollen. Lediglich 5 Prozent geben an, dass Koordination und Verantwortlichkeit über den gesamten KI-Lebenszyklus hinweg eindeutig geregelt sind. OneTrust selbst bringt diese Lücke auf den Punkt: Unternehmen „bauen das Flugzeug, während es schon fliegt“.

Diese Differenz von 40 Prozentpunkten zwischen Nutzung und Governance ist die Schlagzeile. Die eigentliche Bedeutung liegt jedoch tiefer – vor allem für alle, die Compliance-Risiken verantworten. Von den acht Governance-Aktivitäten, die OneTrust gemessen hat, ist der Nachweis von Governance und Audit-Trails die am wenigsten verbreitete: Nur 28 Prozent der Unternehmen führen sie durch – der niedrigste Wert aller getesteten Kategorien. Das Vertrauen in einzelne Governance-Aufgaben ist hoch, je nach Aktivität zwischen 76 und 78 Prozent. Das Vertrauen, Beweise zu liefern, die ein Ergebnis mit einer autorisierten, protokollierten Entscheidung verknüpfen, fehlt jedoch. Genau dieser Unterschied – Governance umzusetzen versus sie nachweisen zu können – ist der Punkt, an dem die Diskussion um KI-Governance weitergehen muss.

Auch die eigenen Untersuchungen von Kiteworks zeigen dieselbe Schwachstelle – vom Daten-Layer aus betrachtet. Der Kiteworks Data Security and Compliance Risk: 2026 Annual Survey Report ermittelte einen Data Security and Compliance Readiness Index (DSCRI) von nur 16,2 von 100 bei 459 Unternehmen. Zudem verfügen 79 Prozent der Unternehmen über keinen automatisierten Mechanismus, um einen fehlverhaltenden KI-Agenten zu deaktivieren. Die beiden Datensätze – einer misst Governance-Prozesse und Koordination, der andere die zugrundeliegenden Datenkontrollen – beschreiben dasselbe Unternehmen aus zwei Perspektiven. Keines ist auf die Frage eines Regulators vorbereitet.

Wichtige Erkenntnisse

1. Die Einführung von KI-Agents überholt deren Governance um 40 Prozentpunkte. Die OneTrust-Umfrage 2026 zeigt: 87 Prozent der Unternehmen fördern den Einsatz von KI-Agents, aber nur 47 Prozent haben passende Governance, Aufsicht und Kontrollen implementiert.
2. Koordination und Verantwortlichkeit über den gesamten KI-Lebenszyklus fehlen nahezu vollständig. Nur 5 Prozent der Unternehmen berichten über klare Zuständigkeiten und Übergaben von der Use-Case-Freigabe bis zum Monitoring nach dem Rollout, obwohl im Schnitt vier Governance-Aktivitäten durchgeführt werden.
3. Der Nachweis ist die schwächste gemessene Governance-Aktivität – nicht die stärkste. Governance-Dokumentation, Audit-Trails und Beweiserbringung rangieren unter acht getesteten Aktivitäten auf dem letzten Platz – nur 28 Prozent der Unternehmen führen sie durch. Das ist die eigentliche Lücke in der Verantwortlichkeit, die sich hinter selbstbewussten Umfrageantworten verbirgt.
4. Unautorisierte Agenten-Aktionen sind bereits Realität, kein hypothetisches Szenario. 48 Prozent der Unternehmen berichten von mindestens einem Vorfall mit nicht genehmigten Aktionen eines KI-Agents oder KI-Systems in den letzten 12 Monaten, 28 Prozent sogar von zwei oder mehr.
5. Die Lösung ist ein Problem der Datenkontrolle, nicht ein weiteres Policy-Dokument. Laut Kiteworks liegt der kombinierte Wert für Datensicherheit und KI-Governance-Readiness im Durchschnitt bei 16,2 von 100. Das bedeutet: Die Evidenzlücke und die Agentenlücke sind dasselbe Grundproblem – das Fehlen eines verlässlichen Nachweises darüber, auf welche Daten ein Agent zugegriffen hat und mit welcher Autorisierung.

Adoption gewinnt das Rennen. Governance ist noch nicht einmal gestartet

Die zentrale Zahl der OneTrust-Umfrage verdient es, vollständig wiederholt zu werden, denn die Einordnung ist genauso wichtig wie der Wert selbst. 87 Prozent der Unternehmen fördern den Einsatz von KI-Agents – unabhängig davon, ob Governance existiert oder nicht. Nur 47 Prozent verfügen über klare Governance, Aufsicht und Kontrollen, die diese Förderung begleiten. 40 Prozent fördern aktiv die Nutzung von Agents und geben gleichzeitig zu, dass Governance und Kontrollen „noch in der Entwicklung“ sind. 10 Prozent sagen, dass Agents in Teilen des Unternehmens ohne konsistente Aufsicht agieren. Nur 1 Prozent untersagt den Einsatz von KI-Agents derzeit vollständig.

Auch die Förderung ist nicht gleichmäßig nach Rolle verteilt. CISOs berichten mit 91 Prozent am häufigsten, dass sie den Einsatz von Agents fördern, gefolgt von CDOs mit 90 Prozent, CPOs mit 85 Prozent und CMOs mit 83 Prozent. Diese Reihenfolge ist bemerkenswert. Die Funktion, die am meisten für das Security Risk Management verantwortlich ist, ist auch die, die Agents am ehesten durchwinkt. Das ist kein Widerspruch, sondern zeigt, dass CISOs verstehen, dass ein generelles Verbot von Agents 2026 keine realistische Policy ist – die eigentliche Aufgabe ist, Kontrollen zu schaffen, um das bereits laufende Geschehen zu steuern.

Der OneTrust-Report beschreibt ein AI Governance Maturity Model mit fünf Stufen, dessen Verteilung aufschlussreich ist. Nur 17 Prozent der Unternehmen bezeichnen ihre Governance als vollständig eingebettet und innovationsfördernd – der höchste gemessene Reifegrad. Fast die Hälfte (47 Prozent) beschreibt Governance als reaktiv und fragmentiert oder zwar dokumentiert, aber in der Praxis langsam und manuell. Ein Unternehmen kann also ein Governance-Framework, ein Risikokomitee und eine dokumentierte Policy haben – und trotzdem zu den 47 Prozent gehören, wenn nichts davon schnell genug funktioniert, um mit der Agenten-Einführung Schritt zu halten.

Hier zeigt sich, warum das Bild vom „Flugzeugbau während des Flugs“ so treffend ist. Es geht nicht um Unternehmen ohne Plan, sondern um solche, die KI-Adoption umsetzen und parallel – manchmal im selben Meeting – erst die Governance dafür schreiben.

Die eigentliche Lücke ist Koordination – und Koordination braucht Nachweise

Die auffälligste Zahl im gesamten OneTrust-Datensatz ist nicht die 87/47-Teilung, sondern die 5 Prozent. Nur 5 Prozent der Unternehmen berichten über klare Koordination und Verantwortlichkeit über den gesamten KI-Lebenszyklus hinweg – von der Use-Case-Freigabe über das Monitoring nach dem Rollout, Incident Response und Vendor Oversight. Diese Zahl steht neben zwei weiteren, die auf den ersten Blick widersprüchlich erscheinen: Unternehmen führen im Schnitt vier Governance-Aktivitäten durch, und 76 bis 78 Prozent der Befragten sind überzeugt, jede einzelne Governance-Fähigkeit kompetent umzusetzen.

Zusammengenommen beschreiben diese drei Zahlen ein sehr spezifisches Problem: Einzelne Teams erledigen ihre Governance-Aufgaben kompetent. Ein Privacy-Team führt Impact Assessments durch. Ein Security-Team protokolliert Vorfälle. Ein Procurement-Team prüft Vendor-Verträge. Das Vertrauen in jede einzelne Aufgabe ist hoch. Was fehlt, ist das verbindende Element: eine verantwortliche Person, die für jede Phase im Agenten-Lebenszyklus klar zuständig ist, und ein gemeinsamer, beweiskräftiger Nachweis, der die Übergabe zwischen den Teams überdauert.

Die OneTrust-Auswertung nach Lebenszyklus-Phasen bestätigt, dass es keinen einzelnen dominanten Pain Point gibt. Die größte Koordinationsherausforderung ist die Messung von Performance, Wert oder Business Impact (28 Prozent), gefolgt vom Management von Drittanbieter- oder Vendor-KI-Risiken (24 Prozent). Monitoring nach dem Rollout und Risikoklassifizierung vor dem Rollout liegen mit je 23 Prozent gleichauf. Die Aufteilung auf acht oder mehr Kategorien, ohne einen klaren Spitzenreiter, ist selbst das Ergebnis: Es handelt sich nicht um einen einzelnen fehlerhaften Schritt, sondern um einen Prozess, der nie Ende-zu-Ende verbunden war.

Genau deshalb rangieren Governance-Nachweise und Audit-Trails bei den acht gemessenen Governance-Aktivitäten von OneTrust auf dem letzten Platz – nur 28 Prozent der Unternehmen führen sie durch. Die Beweiserbringung erfordert per Definition verbindende Strukturen: Es ist unmöglich, einen einzigen, konsistenten Nachweis über den Datenzugriff eines KI-Agents über den gesamten Lebenszyklus zu liefern, wenn fünf Teams jeweils eigene Logs in eigenen Formaten und Systemen führen – ohne gemeinsame Chain of Custody. Die Chain of Custody reißt genau dort, wo das Organigramm auseinanderfällt.

Regulatoren regulieren Daten – nicht Organigramme. Und keine Modelle.

Hier ist die Perspektive, die eine Compliance-Führungskraft auf diese Daten einnimmt – und die im reinen Governance-Prozess-Denken oft fehlt: Keine dieser Entwicklungen ändert die Fragen, die ein Regulator stellt. HIPAA unterscheidet nicht, ob ein menschlicher Arzt oder ein KI-Agent auf eine Patientenakte zugreift. Das Accountability-Prinzip der DSGVO interessiert sich nicht dafür, ob die Entscheidung zur Datenverarbeitung von einer Person oder einem autonomen Workflow getroffen wurde. Die Pflicht, einen belastbaren Nachweis darüber zu liefern, wer wann und mit welcher Autorisierung auf was zugegriffen hat, ist nicht neu – und war nie davon abhängig, dass der Zugriff durch einen Menschen erfolgte.

Was Agents verändern, ist die Menge und Geschwindigkeit der Zugriffsereignisse, die protokolliert, autorisiert und bei Bedarf nachweisbar sein müssen – nicht die zugrundeliegende rechtliche Anforderung. Ein KI-Agent, der eine Kundendatenbank abfragt, ein Dokument aus regulierten Daten erstellt oder eine Datei zwischen Systemen verschiebt, erzeugt ein Datenzugriffsereignis. Regulatorische Compliance-Pflichten gelten für dieses Ereignis genauso, als hätte ein Mensch es ausgelöst. Die von OneTrust dokumentierte Lücke – 47 Prozent mit klarer Agenten-Governance gegenüber 87 Prozent, die Agents einsetzen – ist eine Lücke in der Infrastruktur, die es einem Unternehmen ermöglichen würde, die Frage eines Regulators zu jedem dieser Ereignisse zu beantworten.

Die Vorfallzahlen aus der Umfrage sollten einen Compliance Officer mehr beunruhigen als einen Security Architect. 48 Prozent der Unternehmen berichten von mindestens einem Vorfall in den letzten 12 Monaten mit nicht genehmigten Aktionen durch KI-Systeme oder Agents. 28 Prozent berichten von zwei oder mehr. Eine „nicht genehmigte Aktion“ ist in erster Linie kein technisches Versagen, sondern ein Governance-Fehler mit konkreten Compliance-Folgen: Es gab einen Zugriff, den niemand autorisiert hat – und in vielen Unternehmen kann niemand im Nachhinein vollständig rekonstruieren, was passiert ist. Genau für dieses Szenario gibt es Audit-Trail-Pflichten in HIPAA, DSGVO, SOX und branchenspezifischen Frameworks wie DORA.

96 Prozent zahlen bereits die Governance-Kosten – ohne den Nachweis dafür

96 Prozent der Unternehmen geben an, dass mindestens eine KI-Initiative im letzten Jahr durch Governance-, Risiko- oder Prüfanforderungen verzögert, gestoppt oder erschwert wurde. Diese Statistik könnte als Argument gegen strenge Governance gelesen werden – tatsächlich ist das Gegenteil der Fall. Der wichtigste Verzögerungsfaktor, genannt von 52 Prozent der Befragten, ist die Sorge um Datenqualität, Zugriffsrechte, Datenschutz oder Sicherheit – genau das Thema, das eine ausgereifte Evidenzschicht vorab löst, statt zur Verzögerung werden zu lassen. Der zweithäufigste Grund (39 Prozent) ist mangelnde Transparenz bei Drittanbieter-KI-Komponenten, Vendoren oder Datenquellen – eine Lücke im Third-Party Risk Management, die später in der Umfrage erneut als eine der größten Koordinationsherausforderungen auftaucht.

Mit anderen Worten: Die meisten Reibungsverluste, die Unternehmen heute bereits erleben, würden durch eine funktionierende Evidenzschicht beseitigt – nicht verursacht. Review Boards stoppen Projekte, weil sie keine schnelle, verlässliche Antwort auf die Frage „Welche Daten wird dieser Agent berühren – und woher wissen wir das?“ bekommen. Das ist eine Frage auf Datenebene. Sie wird nicht durch ein weiteres Governance-Komitee beantwortet, sondern durch Access Controls und Logging, die die Antwort automatisch und auf Abruf liefern – statt durch manuelle Zusammenstellung in tagelanger Arbeit.

Die Investitionsbereitschaft spiegelt das wachsende Bewusstsein wider: 80 Prozent der Befragten geben an, dass ihre Funktion heute mehr Zeit für das Management von KI-Risiken aufwendet als vor 12 Monaten – im Schnitt ein Plus von 26 Prozent. 98 Prozent planen, ihr Budget für KI-Governance-Technologie im kommenden Jahr zu erhöhen, im Schnitt um 25 Prozent. Das ist viel neues Budget für ein Problem, das laut Umfragedaten nicht primär ein Ausgabenproblem ist. Auch die Kiteworks-Studie bestätigt das unabhängig: Unternehmen, die mindestens 25 Prozent ihres IT-Budgets für Cybersecurity aufwenden, erzielen im Schnitt weniger als einen Punkt mehr auf einem 100-Punkte-Sicherheitsreifeindex als der Gesamtdurchschnitt. Mehr Ausgaben bedeuten nicht automatisch mehr Readiness – gezielte Investitionen in spezifische, testbare Datenkontrollen schon.

Was Kiteworks‘ eigene Daten über die Schicht unterhalb der Governance-Schicht aussagen

Der OneTrust-Report ist eine Studie zu Governance-Prozessen und Koordination, befragt wurden CPOs, CDOs, CISOs und CMOs zur Struktur der KI-Aufsicht in ihren Unternehmen. Er ergänzt sinnvoll, was Kiteworks in seiner eigenen 2026-Jahresumfrage auf Datenebene erhoben hat – eine Befragung von 459 Security- und Compliance-Experten. Beide Studien stellen unterschiedliche Fragen und kommen aus entgegengesetzten Richtungen zum gleichen Ergebnis.

Kiteworks führt einen Data Security and Compliance Readiness Index (DSCRI) ein, berechnet als Produkt aus Sicherheitsreife und dem Anteil der implementierten KI-Data Governance-Funktionen. Der Mittelwert liegt bei 16,2 von 100. Die Autoren betonen, dass diese Multiplikation bewusst gewählt ist: Ein Unternehmen kann eine große KI-Governance-Lücke nicht durch zusätzliche allgemeine Security-Ausgaben kompensieren – beide Dimensionen müssen gemeinsam wachsen. Das ist die quantitative Version dessen, was OneTrust-Befragte qualitativ beschreiben, wenn sie sagen, einzelne Fähigkeiten seien solide, aber die Koordination über den Lebenszyklus fehle.

Die konkreten Kontrolllücken hinter dem Wert 16,2 spiegeln die OneTrust-Ergebnisse direkt wider: 79 Prozent der Unternehmen haben keinen automatisierten Mechanismus, um einen fehlverhaltenden KI-Agenten zu stoppen – was der Report als Kill Switch bezeichnet. Von den Unternehmen, die einen Kill Switch implementiert haben, haben 23 Prozent ihn nie getestet. Das heißt, selbst die 21 Prozent mit Kill Switch können nicht alle sicher sagen, dass er im Ernstfall funktioniert. 74 Prozent fehlt es an Purpose Binding-Kontrollen, die einen KI-Agenten technisch auf seine autorisierten Aufgaben und Daten beschränken würden – Policies existieren meist, aber es fehlt die technische Durchsetzung. 50 Prozent können keinen vollständigen Audit-Nachweis über KI-Datenzugriffe innerhalb eines Werktages liefern, 83 Prozent nicht innerhalb einer Stunde. 67 Prozent verfügen nicht über manipulationssichere Audit-Trails – genau die Evidenz, die Auditoren oder Ermittler prüfen, um nachträgliche Änderungen auszuschließen.

Jede dieser Zahlen beschreibt ein Evidenzproblem, kein Policy-Problem. Ein Unternehmen kann eine gut formulierte KI-Governance-Policy haben und trotzdem am Tag der Regulatorenfrage nicht beantworten, welcher Agent auf einen bestimmten Datensatz zugegriffen hat, ob der Zugriff autorisiert war und ob das Protokoll nicht nachträglich verändert wurde. Genau das beschreiben auch die OneTrust-Befragten, wenn sie sagen, Koordination und Verantwortlichkeit über den Lebenszyklus seien unklar. Policy-Layer und Evidenz-Layer sind nicht identisch – und eine Lücke im zweiten lässt sich nicht durch mehr Policies im ersten schließen.

Das BBVA-Modell: Governance als Teil des Lebenszyklus – nicht als nachträglicher Zusatz

Der OneTrust-Report enthält eine kurze Fallstudie von BBVA, einer globalen Bank mit Aktivitäten in 25 Ländern und über 81 Millionen Kunden. Sie zeigt, wie das Schließen dieser Lücke in der Praxis aussieht. Marta Sanz, Head of AI Governance bei BBVA, beschreibt, wie Governance von Anfang an in den KI-Lebenszyklus eingebettet wird – und nicht als einmalige Freigabe vor dem Go-live betrachtet wird. Das bedeutet, Use Case, Datensensitivität, Modell, System, Autonomiegrad und Zugriffsfolgen werden bereits zu Beginn bewertet, damit Governance risikoadäquat skaliert – statt für jedes Projekt unabhängig vom Risiko denselben aufwendigen Prüfprozess anzuwenden.

Für Compliance-Verantwortliche ist das entscheidende Detail, was laut Sanz nach dem Rollout passiert: BBVA behandelt Monitoring, Nachvollziehbarkeit und Eskalationswege nach dem Go-live als genauso wichtig wie die Erstbewertung, weil Nutzungsverhalten, Risiken und Performance sich nach dem Start weiterentwickeln. Das ist eine direkte Antwort auf die von OneTrust gemessene Koordinationslücke: 23 Prozent der Unternehmen nennen das Monitoring nach dem Rollout als eine ihrer größten Herausforderungen. Das BBVA-Modell betrachtet Monitoring nicht als nachgelagerte, weniger wichtige Phase, sondern als kontinuierliche Fortsetzung derselben Governance-Disziplin wie beim Launch – mit derselben Erwartung an nachweisbare Evidenz in jeder Phase.

Fünf Fähigkeiten, eine Grundanforderung: Nachweisbarkeit

OneTrust schließt den Report mit einem Fünf-Fähigkeiten-Framework für die nächste Phase der KI-Governance: kontinuierliche Transparenz über genehmigte, nicht genehmigte, Drittanbieter- und agentische KI-Nutzung; skalierbare Governance, die mit der Adoption Schritt hält; durchgesetzte Leitplanken, die Policy in funktionierende Kontrollen übersetzen; vernetzte Verantwortlichkeit mit klaren Zuständigkeiten und Übergaben; und kontinuierliche Evidenz – also Dokumentation, Monitoring-Historie, Freigaben und Vorfallprotokolle, die auch externer Prüfung standhalten.

Aus Compliance-Sicht springt ein Muster ins Auge: Jede der ersten vier Fähigkeiten ist nur dann überprüfbar, wenn die fünfte – Evidenz – vorhanden ist. Transparenz ohne Nachweis ist eine Behauptung. Governance ohne Nachweis ist eine Policy. Leitplanken ohne Nachweis sind Absichtserklärungen. Verantwortlichkeit ohne Nachweis ist ein Organigramm ohne Beweis, wer was getan hat. Evidenz ist nicht der fünfte Punkt auf einer Liste gleichwertiger Prioritäten – sie ist die Grundlage, auf der die anderen vier aufbauen.

Tim Mullen, CISO bei OneTrust, argumentiert das unabhängig in einem ergänzenden Beitrag für The Hacker News, veröffentlicht in derselben Woche wie der Survey Report. Mullen empfiehlt, KI-Governance-Frameworks wie ISO 42001 und das NIST AI Risk Management Framework auf das bestehende ISO-27001-Fundament eines Unternehmens aufzusetzen – durch kontinuierliches Kontrollmonitoring, nicht als paralleles Programm mit punktueller Bewertung. Sein Rat ist klar: „Ein praktikabler Ansatz ist es, eine solide Basis zu schaffen, wiederholbare Prozesse zu etablieren, Kontrollen auszurichten und dort zu automatisieren, wo Stabilität erreicht ist.“ Mullen verweist auch auf die Vorfallzahlen der Umfrage: 86 Prozent der Unternehmen hatten im letzten Jahr mindestens einen KI-bezogenen Vorfall. Er betont, dass das Nachverfolgen von Abhängigkeiten bei Datenzugriff, Identitäten, Drittanbieter-Modellen und Auswirkungen auf Geschäftsprozesse wichtiger ist als die Jagd nach einer perfekten, statischen Compliance-Position, während das Geschäft weiterläuft.

Beide Beiträge laufen auf dasselbe Prinzip hinaus: Kontinuierlich, nicht punktuell. Automatisiert, nicht nur attestiert. Eine Kontrolle, die jederzeit überprüfbar ist – nicht eine Policy, die einmal im Jahr geprüft und dann als dauerhaft gültig angenommen wird.

Was ein evidenzfähiger Daten-Layer wirklich braucht

Die Übersetzung der OneTrust- und Kiteworks-Ergebnisse in eine operative Checkliste ergibt eine kürzere Liste, als das Problem vermuten lässt – denn der Großteil der Lücke lässt sich auf wenige, spezifische und testbare Fähigkeiten zurückführen, nicht auf einen umfassenden Kulturwandel.

Der Ausgangspunkt ist zu wissen, auf welche Daten Agents überhaupt zugreifen können. Data Classification, die nachgelagerte Kontrollen erzwingt – und nicht nur ein Label vergibt, das keine Verhaltensauswirkung hat – ist die Grundlage für alles Weitere. Danach muss der Zugriff technisch, nicht nur per Policy, eingeschränkt werden. Attributbasierte Zugriffskontrolle, die den Zugriff einer Agentenidentität auf denselben Autorisierungsmechanismus wie für menschliche Anwender stützt, schließt die Purpose-Binding-Lücke, die 74 Prozent der Unternehmen in der Kiteworks-Umfrage offenlassen.

Jedes Zugriffsereignis – egal ob durch Mensch oder Agent – muss einen Log-Eintrag erzeugen, der in ein CISO-Dashboard und ein zentrales Audit-System fließt – nicht in ein isoliertes Applikationslog, das nie das Integrationsteam verlässt. Dieser Log muss manipulationssicher sein, denn ein Audit-Trail, der nachträglich geändert werden könnte, ist kein Nachweis, sondern eine Behauptung. Und das Unternehmen braucht einen getesteten, funktionierenden Mechanismus, um einem Agenten sofort den Zugriff zu entziehen, wenn etwas schiefläuft – regelmäßig getestet, nicht nur im Ernstfall angenommen.

Kiteworks Secure Data Exchange ist genau auf diese Anforderungen ausgerichtet. Eine einzige Governance-Schicht – die Kiteworks Control Plane – wendet dieselbe Zugriffsauthorisierung, Verschlüsselung und Audit-Logging auf jede Partei an, die mit sensiblen Daten arbeitet – egal ob Mensch, Maschine oder autonomer Agent. Kiteworks Compliant AI erzwingt Policy genau an der Stelle, an der Daten sonst ungeprüft in ein KI-System fließen würden. Jedes Zugriffsereignis – menschlich oder agentisch – landet im selben Audit-Record, nicht in einem separaten Log, das ein Incident Responder erst suchen muss. Agents werden nicht als Sonderfall nachträglich geregelt, sondern in dasselbe Identity- und Access-Framework eingebunden, das auch menschlichen Datenzugriff steuert – genau wie es BBVA beschreibt und wie es bei 79 Prozent der Unternehmen in der Kiteworks-Umfrage fehlt.

Dafür muss niemand auf das perfekte Governance-Framework warten. Es braucht die gleiche Reihenfolge, die auch Mullen empfiehlt: Basis schaffen, Kontrollen wiederholbar und testbar machen, stabile Prozesse automatisieren. Ein evidenzfähiger Nachweis über Agenten-Datenzugriffe ist nicht der letzte Schritt nach der Governance-Reife, sondern die erste Kontrolle, die alle späteren Governance-Behauptungen überprüfbar macht.

Erfahren Sie mehr darüber, wie Sie die Evidenzlücke bei der KI-Agenten-Governance schließen – vereinbaren Sie jetzt eine individuelle Demo.

Weitere Ressourcen

• Blog-Beitrag
  Zero‑Trust-Strategien für bezahlbaren KI-Datenschutz
• Blog-Beitrag
  Wie 77 % der Unternehmen bei der KI-Datensicherheit scheitern
• eBook
  AI Governance Gap: Warum 91 % der kleinen Unternehmen 2025 beim Datenschutz russisches Roulette spielen
• Blog-Beitrag
  Für Ihre Daten gibt es kein „–dangerously-skip-permissions“
• Blog-Beitrag
  Regulatoren wollen keine KI-Policy mehr sehen. Sie verlangen den Nachweis, dass sie funktioniert.