Illustration Absmeier foto ki designer

Agentische KI verspricht deutschen Unternehmen den nächsten Produktivitätsschub – stellt aber klassische Governance-Modelle vor neue Belastungsproben. Wer autonome Systeme in Geschäftsprozesse integriert, muss Kontrolle, Nachvollziehbarkeit und regulatorische Anforderungen technisch verankern, statt sie nur organisatorisch zu beschreiben.

Management Summary

KI ist in deutschen Unternehmen angekommen; agentische KI steht jedoch erst am Anfang der breiten Skalierung.
Der entscheidende Engpass ist nicht mehr das Modell, sondern die kontrollierte Einbindung in reale Geschäftsprozesse.
Klassische Zugriffsrechte reichen nicht aus, wenn KI-Agenten eigenständig Daten kombinieren, Vorgänge verändern und Aktionen auslösen.
Ein Governed Access Layer kann Policies, Freigaben, Eskalationen und Audit-Trails direkt dort verankern, wo KI handelt.
Governance wird damit vom Compliance-Kostenblock zum Wettbewerbsvorteil für skalierbare, verantwortbare KI-Nutzung.

Wie Unternehmen den Spagat zwischen dem Einsatz agentischer KI und den wachsenden Anforderungen an Sicherheit, Kontrolle und Regulierung meistern können, weiß Mathias Herrmann*, Geschäftsführer der Alleherzen GmbH:

»Die deutsche Wirtschaft hat bei künstlicher Intelligenz eine Weggabelung erreicht. KI ist längst kein Innovationsthema mehr, das nur in den Laboren großer Technologiekonzerne stattfindet. Laut einer aktuellen Bitkom-Studie setzen inzwischen 41 Prozent der deutschen Unternehmen KI ein; weitere 48 Prozent planen oder diskutieren den Einsatz. Damit beschäftigt sich mittlerweile fast jedes Unternehmen mit der Technologie.[1]

Doch die nächste Entwicklungsstufe gestaltet sich grundlegend anders. KI-Agenten können Ziele selbstständig in mehrere Handlungsschritte übersetzen, auf Systeme und Daten zugreifen, Entscheidungen vorbereiten und Aktionen ausführen. Aus einem reinen Werkzeug wird damit zunehmend ein Akteur innerhalb von Geschäftsprozessen. Noch ist Deutschland bei dieser Entwicklung allerdings deutlich vorsichtiger. Der PwC Cloud Business Survey 2025 zeigt, dass erst sieben Prozent der befragten deutschen Organisationen agentische KI-Lösungen entwickeln oder skalieren. Im EMEA-Durchschnitt sind es bereits 29 Prozent.[2]

Gleichzeitig zeigt die PwC AI-Performance-Studie 2026, dass deutsche Unternehmen grundsätzlich eine solide KI-Ausgangslage besitzen, aber Schwierigkeiten haben, aus Experimenten skalierbare Wertschöpfung zu machen. Weltweit entfallen demnach 74 Prozent der KI-getriebenen Wertschöpfung auf lediglich 20 Prozent der Unternehmen.[3]

Das Problem liegt deshalb nicht in der Frage, ob Unternehmen KI einsetzen werden, sondern unter welchen Bedingungen Systeme zunehmend selbstständig handeln dürfen.

Lücke zwischen Modell und Geschäftsprozess

Genau hier entsteht ein Governance-Gap, der sich mit klassischen KI-Richtlinien kaum schließen lässt. Ein Unternehmen kann durchaus festgelegt haben, welche generativen KI-Dienste Mitarbeiter verwenden dürfen. Das reicht aber nicht mehr aus, wenn ein Agent eigenständig auf Kundendaten zugreift, Informationen aus verschiedenen Systemen zusammenführt, einen Vorgang verändert und anschließend eine Aktion auslöst. Je autonomer ein System agiert, desto weniger genügt die Kontrolle am Anfang und am Ende eines Prozesses.

Unternehmen müssen nachvollziehen können, welche Identität ein Agent besitzt, auf welche Daten und Systeme er zugreifen darf, welche Aktionen er auslösen kann, wann ein Mensch eingreifen muss und wie sich im Nachhinein rekonstruieren lässt, was tatsächlich passiert ist. Diese Anforderungen sind nicht allein eine Frage technischer Sicherheit. Sie berühren Verantwortlichkeit, Datenschutz, Informationssicherheit, interne Kontrollen und regulatorische Nachweisbarkeit. Besonders relevant wird das auch durch den EU AI Act.

Seit dem 2. August 2026 gelten unter anderem die Transparenzpflichten nach Artikel 50. Zugleich zeigt der AI Act insgesamt, wohin die Entwicklung geht: Abhängig von Rolle, System und Risikoklasse entstehen unterschiedliche Anforderungen an Verantwortlichkeiten, Risikomanagement, menschliche Aufsicht und technische Kontrollmechanismen. Wer KI tief in Geschäftsprozesse integriert, muss deshalb Governance zunehmend nicht nur organisatorisch definieren, sondern technisch umsetzen und nachweisbar machen.

Unternehmen wissen um das Problem

Wie groß die Lücke ist, zeigt eine Deloitte-Erhebung unter deutschen Unternehmen. Fast die Hälfte der Befragten hatte sich 2024 noch nicht intensiv mit der Umsetzung des EU AI Act beschäftigt. Nur gut ein Viertel war bereits tiefer in die Umsetzung eingestiegen; rund ein Drittel fühlte sich gut vorbereitet.[4]

Die Zahlen sind inzwischen nicht mehr als aktueller Messwert zu verstehen – dafür sind sie zu alt. Sie zeigen aber, von welchem Ausgangspunkt die deutsche Wirtschaft in die Umsetzungsphase gestartet ist. Neuere Daten bestätigen, dass die Herausforderung nicht verschwunden ist, sondern sich nur verschiebt. PwC berichtet in diesem Jahr von einer wachsenden strategischen Bedeutung von KI-Agenten, zugleich fehlen vielen Unternehmen noch zentrale Grundlagen für deren Skalierung.[5]

Besonders anspruchsvoll wird das bei Klärfällen, die mehrere Systeme und organisatorische Zuständigkeiten umfassen. Je mehr operative Handlungsspielräume ein Agent erhält, desto weniger reicht klassische IT-Zugriffskontrolle allein aus. Sie regelt typischerweise, wer auf ein System oder eine Ressource zugreifen darf – nicht aber, welche konkrete Aktion ein Agent in einem bestimmten Geschäftskontext, unter welchen Bedingungen und mit welcher Freigabe ausführen darf. Das ist der blinde Fleck vieler KI-Strategien: Governance wird häufig als Richtlinie, Freigabeprozess oder Compliance-Dokument verstanden. Agentische KI verlangt dagegen Governance als technische Eigenschaft des laufenden Prozesses.

Kontrolle muss dort stattfinden, wo KI handelt

Die Antwort darauf kann nicht sein, Agenten grundsätzlich nicht mehr einzusetzen und damit einen erheblichen Teil ihres wirtschaftlichen Potenzials zu verschenken. Die sinnvollere Lösung besteht darin, Autonomie kontrollierbar zu machen. Dafür braucht es eine technische Vermittlungsschicht zwischen KI-Agent und Unternehmenssystemen: Zugriffe müssen geprüft, Aktionen anhand definierter Regeln freigegeben, kritische Vorgänge gegebenenfalls an Menschen eskaliert und sämtliche relevanten Aktivitäten nachvollziehbar dokumentiert werden.

Entscheidend ist dabei, dass bestehende Systeme nicht vollständig ersetzt werden müssen. Vielmehr sollte Governance dort ansetzen, wo ein Agent tatsächlich auf Unternehmenssysteme zugreift und in Geschäftsprozesse eingreift.

Dafür braucht es einen Governed Access Layer zwischen KI-Agenten und Unternehmenssystemen. Er steuert nicht nur, auf welche Systeme und Daten ein Agent zugreifen darf, sondern auch, welche Aktionen er im jeweiligen Kontext und unter welchen Policies, Compliance-, Risiko- und Freigaberegeln ausführen darf. Kritische Vorgänge können an Menschen eskaliert und relevante Aktivitäten in einem nachvollziehbaren Audit-Trail dokumentiert werden.

Governance als Wettbewerbsvorteil

Der Wirtschaftsstandort Deutschland muss bei agentischer KI nicht zwangsläufig zwischen Innovation und Regulierung wählen. Die eigentliche Aufgabe besteht darin, beides technisch zusammenzubringen. Unternehmen, die Agenten ausschließlich als Produktivitätswerkzeuge betrachten, werden irgendwann an organisatorische und regulatorische Grenzen stoßen. Unternehmen, die Governance dagegen als Teil ihrer KI-Architektur begreifen, können Autonomie gezielt dort einsetzen, wo sie wirtschaftlich sinnvoll ist – ganz ohne die Kontrolle über ihre Prozesse abzugeben.

Die entscheidende Frage für die nächsten Jahre lautet deshalb nicht mehr ›wie autonom kann unsere KI werden?‹, sondern ›wie viel Autonomie können wir sicher, nachvollziehbar und verantwortbar zulassen?‹ Wer darauf eine belastbare Antwort findet, wird den EU AI Act nicht nur als regulatorische Hürde verstehen; er kann ihn vielmehr als Anstoß nutzen, aus KI-Experimenten belastbare Unternehmensprozesse zu machen. Die Zukunft der agentischen KI wird deshalb nicht allein durch bessere Modelle entschieden, sondern dort, wo Autonomie auf Verantwortung trifft.«

(c) alleherzen mathias herrmann

*Mathias Herrmann ist ein erfahrener Digitalstratege und CEO der Alleherzen GmbH mit über 25 Jahren Expertise an der Schnittstelle von IT, Finanz- und Wohnungswirtschaft sowie Energie- und Pharmasektor. Spezialisiert ist er auf den Aufbau digitaler Geschäftsmodelle, strategische Transformation und den Einsatz innovativer Technologien wie agentischer KI unter Berücksichtigung regulatorischer Anforderungen. Er besitzt umfangreiche Projekterfahrung mit internationalen Konzernen und führenden Unternehmen, darunter Deutsche Bank, E.ON, Microsoft und Mercedes-Benz.

[1] https://www.bitkom.org/Presse/Presseinformation/Digitalisierung-der-Wirtschaft-Unternehmen-beschaeftigen-sich-mit-KI

[2] https://www.pwc.de/de/cloud-digital/cloud-business-survey.html

[3] https://www.pwc.de/de/data-and-ai/ai-performance-studie.html

[4] https://www.deloitte.com/de/de/about/press-room/Skepsis-gegenueber-EU-AI-Act.html

[5] https://www.pwc.de/de/data-and-ai/erfolgsrezepte-von-ki-vorreitern.html

Weitere Informationen finden Sie unter https://colossos.ai/

FAQ: Agentische KI und Governance

Was unterscheidet agentische KI von klassischer generativer KI?
Generative KI liefert vor allem Antworten oder Inhalte. Agentische KI kann darüber hinaus Ziele in Handlungsschritte zerlegen, Systeme ansprechen und Aktionen vorbereiten oder ausführen.
Warum entsteht dadurch ein neues Governance-Problem?
Weil Kontrolle nicht mehr nur vor oder nach der Nutzung stattfinden kann. Sobald KI-Agenten in laufende Prozesse eingreifen, müssen Regeln, Freigaben und Protokollierung im Prozess selbst greifen.
Reichen bestehende IT-Berechtigungen dafür aus?
Nur teilweise. Klassische Berechtigungen regeln meist den Zugriff auf Systeme oder Daten, nicht aber die konkrete Aktion eines Agenten in einem bestimmten Geschäftskontext.
Welche Rolle spielt der EU AI Act?
Der EU AI Act erhöht den Druck auf Transparenz, Risikomanagement, menschliche Aufsicht und Nachweisbarkeit. Für Unternehmen wird damit wichtiger, Governance technisch nachvollziehbar umzusetzen.
Was ist ein Governed Access Layer?
Er ist eine technische Vermittlungsschicht zwischen KI-Agenten und Unternehmenssystemen. Sie prüft Zugriffe, bewertet Aktionen anhand von Policies, erzwingt Freigaben und dokumentiert relevante Vorgänge.
Wo sollten Unternehmen mit der Umsetzung beginnen?
Sinnvoll ist ein Prozess mit begrenztem Risiko, klaren Datenquellen und messbarem Nutzen. Dort lassen sich Rollen, Zugriffspfade, Freigaben und Audit-Anforderungen konkret definieren.
Welche Aufgaben sollten weiterhin beim Menschen liegen?
Menschen sollten insbesondere bei risikoreichen Entscheidungen, Ausnahmen, Kundenfolgen, regulatorisch relevanten Vorgängen und nicht eindeutig bewertbaren Situationen eingebunden bleiben.
Wie lässt sich Nachvollziehbarkeit praktisch herstellen?
Durch vollständige Audit-Trails: Unternehmen müssen rekonstruieren können, welcher Agent wann auf welche Daten zugegriffen, welche Entscheidung vorbereitet und welche Aktion ausgelöst hat.
Warum kann Governance ein Wettbewerbsvorteil sein?
Unternehmen mit belastbarer Governance können KI-Agenten schneller und breiter einsetzen, weil Risiken beherrschbar bleiben und regulatorische Anforderungen nicht jede Skalierung ausbremsen.
Was ist die wichtigste Managementfrage?
Nicht: Wie autonom kann unsere KI werden? Sondern: Wie viel Autonomie können wir sicher, nachvollziehbar und verantwortbar zulassen?

Management Summary, FAQ und Bild wurden mit Hilfe von KI erstellt

2488 Artikel zu „KI Governance“

Ausgabe 7-8-2026 | Security Spezial 7-8-2026 | News | IT-Security | Künstliche Intelligenz

KI-Agenten absichern: Warum Identity zum Erfolgsfaktor wird – KI braucht Identity Governance

25. August 2026

KI-Agenten versprechen Unternehmen mehr Tempo und Automatisierung, schaffen aber zugleich neue Sicherheitsrisiken. Entscheidend ist deshalb, nicht nur ihre Funktionen, sondern vor allem ihre Identitäten, Berechtigungen und Zugriffe konsequent zu steuern. Wer Identity Governance früh verankert, kann Innovation ermöglichen, ohne Kontrolle und Compliance aus der Hand zu geben.