19.08.2026 Deutsches KI-Dilemma: Zwischen Innovationsdruck und Governance
Wie Unternehmen den Spagat zwischen dem Einsatz agentischer KI und den wachsenden Anforderungen an Sicherheit, Kontrolle und Regulierung meistern können, weiß Mathias Herrmann, Geschäftsführer der ALLEHERZEN GmbH:
„Die deutsche Wirtschaft hat bei Künstlicher Intelligenz eine Weggabelung erreicht. KI ist längst kein Innovationsthema mehr, das nur in den Laboren großer Technologiekonzerne stattfindet. Laut einer aktuellen Bitkom-Studie setzen inzwischen 41 Prozent der deutschen Unternehmen KI ein; weitere 48 Prozent planen oder diskutieren den Einsatz. Damit beschäftigt sich mittlerweile fast jedes Unternehmen mit der Technologie.
Doch die nächste Entwicklungsstufe gestaltet sich grundlegend anders. KI-Agenten können Ziele selbstständig in mehrere Handlungsschritte übersetzen, auf Systeme und Daten zugreifen, Entscheidungen vorbereiten und Aktionen ausführen. Aus einem reinen Werkzeug wird damit zunehmend ein Akteur innerhalb von Geschäftsprozessen. Noch ist Deutschland bei dieser Entwicklung allerdings deutlich vorsichtiger. Der PwC Cloud Business Survey 2025 zeigt, dass erst sieben Prozent der befragten deutschen Organisationen agentische KI-Lösungen entwickeln oder skalieren. Im EMEA-Durchschnitt sind es bereits 29 Prozent. Gleichzeitig zeigt die PwC AI-Performance-Studie 2026, dass deutsche Unternehmen grundsätzlich eine solide KI-Ausgangslage besitzen, aber Schwierigkeiten haben, aus Experimenten skalierbare Wertschöpfung zu machen. Weltweit entfallen demnach 74 Prozent der KI-getriebenen Wertschöpfung auf lediglich 20 Prozent der Unternehmen. Das Problem liegt deshalb nicht in der Frage, ob Unternehmen KI einsetzen werden, sondern unter welchen Bedingungen Systeme zunehmend selbstständig handeln dürfen.
Lücke zwischen Modell und Geschäftsprozess
Genau hier entsteht ein Governance-Gap, der sich mit klassischen KI-Richtlinien kaum schließen lässt. Ein Unternehmen kann durchaus festgelegt haben, welche generativen KI-Dienste Mitarbeiter verwenden dürfen. Das reicht aber nicht mehr aus, wenn ein Agent eigenständig auf Kundendaten zugreift, Informationen aus verschiedenen Systemen zusammenführt, einen Vorgang verändert und anschließend eine Aktion auslöst. Je autonomer ein System agiert, desto weniger genügt die Kontrolle am Anfang und am Ende eines Prozesses. Unternehmen müssen nachvollziehen können, welche Identität ein Agent besitzt, auf welche Daten und Systeme er zugreifen darf, welche Aktionen er auslösen kann, wann ein Mensch eingreifen muss und wie sich im Nachhinein rekonstruieren lässt, was tatsächlich passiert ist. Diese Anforderungen sind nicht allein eine Frage technischer Sicherheit. Sie berühren Verantwortlichkeit, Datenschutz, Informationssicherheit, interne Kontrollen und regulatorische Nachweisbarkeit. Besonders relevant wird das auch durch den EU AI Act. Seit dem 2. August 2026 gelten unter anderem die Transparenzpflichten nach Artikel 50. Zugleich zeigt der AI Act insgesamt, wohin die Entwicklung geht: Abhängig von Rolle, System und Risikoklasse entstehen unterschiedliche Anforderungen an Verantwortlichkeiten, Risikomanagement, menschliche Aufsicht und technische Kontrollmechanismen. Wer KI tief in Geschäftsprozesse integriert, muss deshalb Governance zunehmend nicht nur organisatorisch definieren, sondern technisch umsetzen und nachweisbar machen.
Unternehmen wissen um das Problem
Wie groß die Lücke ist, zeigt eine Deloitte-Erhebung unter deutschen Unternehmen. Fast die Hälfte der Befragten hatte sich 2024 noch nicht intensiv mit der Umsetzung des EU AI Act beschäftigt. Nur gut ein Viertel war bereits tiefer in die Umsetzung eingestiegen; rund ein Drittel fühlte sich gut vorbereitet. Die Zahlen sind inzwischen nicht mehr als aktueller Messwert zu verstehen – dafür sind sie zu alt. Sie zeigen aber, von welchem Ausgangspunkt die deutsche Wirtschaft in die Umsetzungsphase gestartet ist. Neuere Daten bestätigen, dass die Herausforderung nicht verschwunden ist, sondern sich nur verschiebt. PwC berichtet in diesem Jahr von einer wachsenden strategischen Bedeutung von KI-Agenten, zugleich fehlen vielen Unternehmen noch zentrale Grundlagen für deren Skalierung. Besonders anspruchsvoll wird das bei Klärfällen, die mehrere Systeme und organisatorische Zuständigkeiten umfassen. Je mehr operative Handlungsspielräume ein Agent erhält, desto weniger reicht klassische IT-Zugriffskontrolle allein aus. Sie regelt typischerweise, wer auf ein System oder eine Ressource zugreifen darf – nicht aber, welche konkrete Aktion ein Agent in einem bestimmten Geschäftskontext, unter welchen Bedingungen und mit welcher Freigabe ausführen darf. Das ist der blinde Fleck vieler KI-Strategien: Governance wird häufig als Richtlinie, Freigabeprozess oder Compliance-Dokument verstanden. Agentische KI verlangt dagegen Governance als technische Eigenschaft des laufenden Prozesses.
Kontrolle muss dort stattfinden, wo KI handelt
Die Antwort darauf kann nicht sein, Agenten grundsätzlich nicht mehr einzusetzen und damit einen erheblichen Teil ihres wirtschaftlichen Potenzials zu verschenken. Die sinnvollere Lösung besteht darin, Autonomie kontrollierbar zu machen. Dafür braucht es eine technische Vermittlungsschicht zwischen KI-Agent und Unternehmenssystemen: Zugriffe müssen geprüft, Aktionen anhand definierter Regeln freigegeben, kritische Vorgänge gegebenenfalls an Menschen eskaliert und sämtliche relevanten Aktivitäten nachvollziehbar dokumentiert werden. Entscheidend ist dabei, dass bestehende Systeme nicht vollständig ersetzt werden müssen. Vielmehr sollte Governance dort ansetzen, wo ein Agent tatsächlich auf Unternehmenssysteme zugreift und in Geschäftsprozesse eingreift. Dafür braucht es einen Governed Access Layer zwischen KI-Agenten und Unternehmenssystemen. Er steuert nicht nur, auf welche Systeme und Daten ein Agent zugreifen darf, sondern auch, welche Aktionen er im jeweiligen Kontext und unter welchen Policies, Compliance-, Risiko- und Freigaberegeln ausführen darf. Kritische Vorgänge können an Menschen eskaliert und relevante Aktivitäten in einem nachvollziehbaren Audit-Trail dokumentiert werden.
Governance als Wettbewerbsvorteil
Der Wirtschaftsstandort Deutschland muss bei agentischer KI nicht zwangsläufig zwischen Innovation und Regulierung wählen. Die eigentliche Aufgabe besteht darin, beides technisch zusammenzubringen. Unternehmen, die Agenten ausschließlich als Produktivitätswerkzeuge betrachten, werden irgendwann an organisatorische und regulatorische Grenzen stoßen. Unternehmen, die Governance dagegen als Teil ihrer KI-Architektur begreifen, können Autonomie gezielt dort einsetzen, wo sie wirtschaftlich sinnvoll ist – ganz ohne die Kontrolle über ihre Prozesse abzugeben. Die entscheidende Frage für die nächsten Jahre lautet deshalb nicht mehr ‚wie autonom kann unsere KI werden?‘, sondern ‚wie viel Autonomie können wir sicher, nachvollziehbar und verantwortbar zulassen?‘ Wer darauf eine belastbare Antwort findet, wird den EU AI Act nicht nur als regulatorische Hürde verstehen; er kann ihn vielmehr als Anstoß nutzen, aus KI-Experimenten belastbare Unternehmensprozesse zu machen. Die Zukunft der agentischen KI wird deshalb nicht allein durch bessere Modelle entschieden, sondern dort, wo Autonomie auf Verantwortung trifft.“
„Die deutsche Wirtschaft hat bei Künstlicher Intelligenz eine Weggabelung erreicht. KI ist längst kein Innovationsthema mehr, das nur in den Laboren großer Technologiekonzerne stattfindet. Laut einer aktuellen Bitkom-Studie setzen inzwischen 41 Prozent der deutschen Unternehmen KI ein; weitere 48 Prozent planen oder diskutieren den Einsatz. Damit beschäftigt sich mittlerweile fast jedes Unternehmen mit der Technologie.
Doch die nächste Entwicklungsstufe gestaltet sich grundlegend anders. KI-Agenten können Ziele selbstständig in mehrere Handlungsschritte übersetzen, auf Systeme und Daten zugreifen, Entscheidungen vorbereiten und Aktionen ausführen. Aus einem reinen Werkzeug wird damit zunehmend ein Akteur innerhalb von Geschäftsprozessen. Noch ist Deutschland bei dieser Entwicklung allerdings deutlich vorsichtiger. Der PwC Cloud Business Survey 2025 zeigt, dass erst sieben Prozent der befragten deutschen Organisationen agentische KI-Lösungen entwickeln oder skalieren. Im EMEA-Durchschnitt sind es bereits 29 Prozent. Gleichzeitig zeigt die PwC AI-Performance-Studie 2026, dass deutsche Unternehmen grundsätzlich eine solide KI-Ausgangslage besitzen, aber Schwierigkeiten haben, aus Experimenten skalierbare Wertschöpfung zu machen. Weltweit entfallen demnach 74 Prozent der KI-getriebenen Wertschöpfung auf lediglich 20 Prozent der Unternehmen. Das Problem liegt deshalb nicht in der Frage, ob Unternehmen KI einsetzen werden, sondern unter welchen Bedingungen Systeme zunehmend selbstständig handeln dürfen.
Lücke zwischen Modell und Geschäftsprozess
Genau hier entsteht ein Governance-Gap, der sich mit klassischen KI-Richtlinien kaum schließen lässt. Ein Unternehmen kann durchaus festgelegt haben, welche generativen KI-Dienste Mitarbeiter verwenden dürfen. Das reicht aber nicht mehr aus, wenn ein Agent eigenständig auf Kundendaten zugreift, Informationen aus verschiedenen Systemen zusammenführt, einen Vorgang verändert und anschließend eine Aktion auslöst. Je autonomer ein System agiert, desto weniger genügt die Kontrolle am Anfang und am Ende eines Prozesses. Unternehmen müssen nachvollziehen können, welche Identität ein Agent besitzt, auf welche Daten und Systeme er zugreifen darf, welche Aktionen er auslösen kann, wann ein Mensch eingreifen muss und wie sich im Nachhinein rekonstruieren lässt, was tatsächlich passiert ist. Diese Anforderungen sind nicht allein eine Frage technischer Sicherheit. Sie berühren Verantwortlichkeit, Datenschutz, Informationssicherheit, interne Kontrollen und regulatorische Nachweisbarkeit. Besonders relevant wird das auch durch den EU AI Act. Seit dem 2. August 2026 gelten unter anderem die Transparenzpflichten nach Artikel 50. Zugleich zeigt der AI Act insgesamt, wohin die Entwicklung geht: Abhängig von Rolle, System und Risikoklasse entstehen unterschiedliche Anforderungen an Verantwortlichkeiten, Risikomanagement, menschliche Aufsicht und technische Kontrollmechanismen. Wer KI tief in Geschäftsprozesse integriert, muss deshalb Governance zunehmend nicht nur organisatorisch definieren, sondern technisch umsetzen und nachweisbar machen.
Unternehmen wissen um das Problem
Wie groß die Lücke ist, zeigt eine Deloitte-Erhebung unter deutschen Unternehmen. Fast die Hälfte der Befragten hatte sich 2024 noch nicht intensiv mit der Umsetzung des EU AI Act beschäftigt. Nur gut ein Viertel war bereits tiefer in die Umsetzung eingestiegen; rund ein Drittel fühlte sich gut vorbereitet. Die Zahlen sind inzwischen nicht mehr als aktueller Messwert zu verstehen – dafür sind sie zu alt. Sie zeigen aber, von welchem Ausgangspunkt die deutsche Wirtschaft in die Umsetzungsphase gestartet ist. Neuere Daten bestätigen, dass die Herausforderung nicht verschwunden ist, sondern sich nur verschiebt. PwC berichtet in diesem Jahr von einer wachsenden strategischen Bedeutung von KI-Agenten, zugleich fehlen vielen Unternehmen noch zentrale Grundlagen für deren Skalierung. Besonders anspruchsvoll wird das bei Klärfällen, die mehrere Systeme und organisatorische Zuständigkeiten umfassen. Je mehr operative Handlungsspielräume ein Agent erhält, desto weniger reicht klassische IT-Zugriffskontrolle allein aus. Sie regelt typischerweise, wer auf ein System oder eine Ressource zugreifen darf – nicht aber, welche konkrete Aktion ein Agent in einem bestimmten Geschäftskontext, unter welchen Bedingungen und mit welcher Freigabe ausführen darf. Das ist der blinde Fleck vieler KI-Strategien: Governance wird häufig als Richtlinie, Freigabeprozess oder Compliance-Dokument verstanden. Agentische KI verlangt dagegen Governance als technische Eigenschaft des laufenden Prozesses.
Kontrolle muss dort stattfinden, wo KI handelt
Die Antwort darauf kann nicht sein, Agenten grundsätzlich nicht mehr einzusetzen und damit einen erheblichen Teil ihres wirtschaftlichen Potenzials zu verschenken. Die sinnvollere Lösung besteht darin, Autonomie kontrollierbar zu machen. Dafür braucht es eine technische Vermittlungsschicht zwischen KI-Agent und Unternehmenssystemen: Zugriffe müssen geprüft, Aktionen anhand definierter Regeln freigegeben, kritische Vorgänge gegebenenfalls an Menschen eskaliert und sämtliche relevanten Aktivitäten nachvollziehbar dokumentiert werden. Entscheidend ist dabei, dass bestehende Systeme nicht vollständig ersetzt werden müssen. Vielmehr sollte Governance dort ansetzen, wo ein Agent tatsächlich auf Unternehmenssysteme zugreift und in Geschäftsprozesse eingreift. Dafür braucht es einen Governed Access Layer zwischen KI-Agenten und Unternehmenssystemen. Er steuert nicht nur, auf welche Systeme und Daten ein Agent zugreifen darf, sondern auch, welche Aktionen er im jeweiligen Kontext und unter welchen Policies, Compliance-, Risiko- und Freigaberegeln ausführen darf. Kritische Vorgänge können an Menschen eskaliert und relevante Aktivitäten in einem nachvollziehbaren Audit-Trail dokumentiert werden.
Governance als Wettbewerbsvorteil
Der Wirtschaftsstandort Deutschland muss bei agentischer KI nicht zwangsläufig zwischen Innovation und Regulierung wählen. Die eigentliche Aufgabe besteht darin, beides technisch zusammenzubringen. Unternehmen, die Agenten ausschließlich als Produktivitätswerkzeuge betrachten, werden irgendwann an organisatorische und regulatorische Grenzen stoßen. Unternehmen, die Governance dagegen als Teil ihrer KI-Architektur begreifen, können Autonomie gezielt dort einsetzen, wo sie wirtschaftlich sinnvoll ist – ganz ohne die Kontrolle über ihre Prozesse abzugeben. Die entscheidende Frage für die nächsten Jahre lautet deshalb nicht mehr ‚wie autonom kann unsere KI werden?‘, sondern ‚wie viel Autonomie können wir sicher, nachvollziehbar und verantwortbar zulassen?‘ Wer darauf eine belastbare Antwort findet, wird den EU AI Act nicht nur als regulatorische Hürde verstehen; er kann ihn vielmehr als Anstoß nutzen, aus KI-Experimenten belastbare Unternehmensprozesse zu machen. Die Zukunft der agentischen KI wird deshalb nicht allein durch bessere Modelle entschieden, sondern dort, wo Autonomie auf Verantwortung trifft.“
