Was geschieht bei der Einführung von KI-Agenten wirklich?

Unternehmen führen KI-Agenten schneller ein, als sie sie steuern können. Für 2026 werden die Ausgaben für KI-Agenten-Software auf 206 Milliarden Dollar geschätzt, ein Anstieg von 139 Prozent gegenüber 2025. Zugleich meldeten 88 Prozent der Unternehmen im vergangenen Jahr einen bestätigten oder vermuteten Sicherheitsvorfall mit einem KI-Agenten, und nur 14,4 Prozent der Agenten gingen mit voller Freigabe durch IT und Sicherheit in Betrieb. Die Lücke zwischen Einführungstempo und Governance-Reife schrumpft nicht. Sie wächst.

Das ist kein Versagen der Technologie. KI-Agenten funktionieren. Das Versagen liegt in der Governance: Unternehmen behandeln KI-Agenten wie gewöhnliche Software und rollen sie in großem Maßstab aus, ohne zu erfassen, welche Zugriffsrechte sie erben, welche Entscheidungen sie treffen und welche Systeme sie berühren.

Warum einheitliche Governance scheitert

Gartner hat es im Mai 2026 klar formuliert: Eine einheitliche Governance über alle KI-Agenten hinweg, unabhängig von ihrem Autonomiegrad und Umfang, wird zum Scheitern von KI-Agenten im Unternehmen führen. Der Grund ist struktureller Natur. Ein Agent, der einen Kalender liest, birgt nicht dasselbe Risiko wie ein Agent, der Transaktionen ausführen, Datensätze aktualisieren oder im Namen einer Führungskraft Nachrichten versenden kann. Behandelt man beide mit identischen Kontrollen, schränkt man entweder die risikoarmen zu stark ein und erstickt die Produktivität, oder man schränkt die risikoreichen zu wenig ein und setzt das Unternehmen einem Risiko aus. Keines der beiden Ergebnisse ist akzeptabel.

Das richtige Modell ist proportional. Jeder Agent gehört zu einer Autonomiestufe. Jede Stufe hat eine entsprechende Vertrauensgrenze und Governance-Anforderung: worauf der Agent zugreifen darf, welche Entscheidungen er eigenständig treffen kann, wann er an einen Menschen eskaliert und wie seine Handlungen protokolliert und prüfbar sind.

Wie sieht disziplinierte Governance von KI-Agenten in der Praxis aus?

Sie beginnt mit Transparenz. Bevor ein Governance-Rahmen überhaupt sinnvoll ist, muss ein Unternehmen jeden Agenten kennen, den es eingeführt hat: welche Systeme er berührt, welche Berechtigungen er besitzt und wer für sein Verhalten verantwortlich ist. Den meisten Unternehmen, die Vorfälle hatten, fehlte genau dieses Verzeichnis. Sie hatten Agenten im Produktivbetrieb, die die IT nicht freigegeben hatte und nicht vollständig einsehen konnte.

Von der Transparenz führt der Weg zu Klassifizierung und Kontrolle. Agenten mit geringer Autonomie, die nur lesen und berichten, brauchen eine leichte Aufsicht. Agenten mit hoher Autonomie, die schreiben, ausführen oder entscheiden, brauchen dokumentierte Umfangsgrenzen, Eskalationswege und regelmäßige Überprüfung. Unternehmen, die diese Arbeit jetzt leisten, solange die Einführungen überschaubar sind, werden es deutlich leichter haben als jene, die den großen Maßstab ohne Struktur und mit einem wachsenden Vorfallsprotokoll erreichen.

Weiterlesen: Es gibt jetzt eine gemeinsame Referenz für KI-Sicherheit. Hier ist, warum sie Ihre Beschaffung erreicht.  |  Die Fristen des EU AI Act haben sich gerade verschoben. Ist das eine gute Nachricht oder eine Falle?