Illustration Absmeier foto ki designer

Management Summary

Der AI Governance Benchmark 2026 zeigt: Unternehmen bringen KI zwar zunehmend produktiv in zentrale Prozesse, doch die Steuerungsmechanismen halten mit dieser Dynamik nur bedingt Schritt. Besonders Schatten-KI wird zum Management-Thema, weil nicht freigegebene GenAI-Tools operative Effizienz versprechen, zugleich aber Datenschutz, Sicherheit und Compliance unterlaufen können.

Schatten-KI ist kein Randphänomen: In 42 Prozent der befragten Unternehmen werden nicht freigegebene GenAI-Tools gelegentlich, in weiteren 34 Prozent häufig genutzt.
KI-Reife löst Governance-Probleme nicht automatisch: Auch fortgeschrittene Unternehmen bleiben anfällig, wenn Regeln, Verantwortlichkeiten und Kontrollen nicht im Arbeitsalltag verankert sind.
Governance wird zur Voraussetzung für Skalierung: 79 Prozent der Befragten halten klare Steuerung für wichtig oder sehr wichtig, doch erst 40 Prozent haben eine zentrale Rolle für KI-Steuerung etabliert.
Datenzugriff ist der kritische Hebel: Wenn KI sensible Unternehmens- und Kundendaten verarbeitet, müssen Berechtigungen, Transparenz und Protokollierung belastbar funktionieren.
KI-Agenten erhöhen den Handlungsdruck: Autonome Systeme werden Governance-Anforderungen verschärfen, weil Entscheidungen und Datenzugriffe künftig noch stärker abgesichert und nachvollziehbar sein müssen.

Der AI Governance Benchmark 2026 von Box und dem Handelsblatt Research Institute befasst sich mit der Nutzung und Skalierung von KI in Unternehmen sowie mit dem Stand der dazugehörigen Governance-Strukturen [1]. Die Ergebnisse zeigen unter anderem, wie weit KI bereits produktiv eingesetzt wird und welche Rolle Governance bei Datenzugriffen sowie beim Umgang mit Schatten-KI spielt.

Unternehmen setzen künstliche Intelligenz in immer größerem Umfang produktiv ein. Damit rückt eine Herausforderung in den Vordergrund, die sich mit technologischer Reife, also dem Grad an KI-Integration im Unternehmen, nicht gänzlich auflöst. Beschäftigte greifen auf generative KI-Tools zurück, die vom eigenen Unternehmen nicht offiziell freigegeben wurden. In 42 Prozent der befragten Unternehmen geschieht dies gelegentlich, in weiteren 34 Prozent häufig. Nur neun Prozent verbieten externe KI-Tools vollständig.

Der Benchmark verweist damit auf eine Lücke zwischen formaler Governance und ihrer praktischen Verankerung. Die Studie versteht KI-Governance als Zusammenspiel aus wirksamem Risikomanagement und klarer Verantwortung für Entscheidungen und Kontrolle. Die Umsetzung dieser Prinzipien bleibt vielerorts hinter der technologischen Nutzung zurück, wie das Beispiel der Schatten-KI aufzeigt, das laut der Auswertung auch bei Unternehmen mit höherer KI-Reife nicht automatisch verschwindet.

Das Problem gewinnt an Gewicht, weil KI bereits tief in den Unternehmensalltag vorgedrungen ist. 80 Prozent der befragten Unternehmen nutzen KI produktiv, weitere 20 Prozent befinden sich in der Pilotphase. Bei rund einem Fünftel ist KI bereits Bestandteil fast aller zentralen Prozesse.

Angesichts dieser Gemengelage verschiebt sich die Governance-Frage. Unternehmen müssen nachvollziehen können, welche KI-Systeme mit ihren Informationen arbeiten und welche Zugriffsrechte dabei gelten. Schatten-KI erschwert diese Kontrolle. Werden Inhalte in nicht freigegebene Anwendungen eingegeben oder über externe Dienste verarbeitet, können bestehende Vorgaben und Kontrollmechanismen umgangen werden. Aus einer individuellen Entscheidung für ein vermeintlich hilfreiches Werkzeug kann damit ein unternehmensweites Governance-Risiko entstehen.

Formale Regeln stellen keine Komplettlösung für fehlende Umsetzung dar

An Aufmerksamkeit für das Thema mangelt es in vielen Unternehmen kaum. 58 Prozent der befragten Betriebe verfügen bereits über formale KI-Richtlinien, weitere 32 Prozent entwickeln sie derzeit. Die weiterhin hohe Verbreitung nicht freigegebener Anwendungen verstärkt jedoch den Verdacht, dass Richtlinien den tatsächlichen Umgang mit KI im Arbeitsalltag nur begrenzt abbilden.

Auch bei den organisatorischen Zuständigkeiten besteht Handlungsbedarf. 79 Prozent der befragten Unternehmen halten klare Governance für die weitere Skalierung von KI für wichtig oder sehr wichtig. Eine zentrale Rolle im Unternehmen für die KI-Steuerung haben bislang 40 Prozent der Befragten etabliert.

Governance wird selten als Skalierungshürde wahrgenommen

Bemerkenswert ist die Wahrnehmung der Risiken. Fehlende Governance-Strukturen betrachten lediglich 18 Prozent der befragten Unternehmen als Hindernis für die Skalierung von KI. Gleichzeitig nennen 42 Prozent Datenschutzverletzungen und 41 Prozent Sicherheits- beziehungsweise Cybersicherheitsrisiken als zentrale Gefahren beim KI-Einsatz. Die Auffälligkeit liegt nun darin, dass beide Risikofelder einen klaren Governance-Bezug aufweisen, da sie unmittelbar mit dem Zugriff auf und den Umgang mit Unternehmensinformationen zusammenhängen.

Diese Diskrepanz kann für Unternehmen an Bedeutung gewinnen, wenn KI in weitere Prozesse vordringt. Für 75 Prozent der Befragten ist der Zugriff auf Unternehmensdaten wichtig für die Skalierung von KI. In 43 Prozent der Unternehmen verarbeitet KI bereits besonders sensible Informationen wie Kundendaten.

Die Anforderungen an Governance steigen damit parallel zum Wert der Informationen, auf die KI zugreifen kann. Entscheidend wird die Fähigkeit, Zugriffe klar zu definieren und Berechtigungen entsprechend durchzusetzen. Die Protokollierung dieser Prozesse weist bereits eine hohe Verbreitungsrate auf. 51 Prozent der Unternehmen erfassen KI-Zugriffe auf Unternehmensdaten vollständig, weitere 39 Prozent zumindest teilweise.

Die hohe Verbreitung von Schatten-KI macht zugleich deutlich, dass Transparenz über offizielle Systeme nur einen Teil des tatsächlichen KI-Einsatzes erfassen kann. Für Unternehmen entsteht dadurch eine operative Aufgabe. Governance muss dort greifen, wo Beschäftigte KI einsetzen und Unternehmensinformationen verarbeiten.

Künftige KI-Entwicklungen verschärfen die Governance-Anforderungen

Die nächsten Entwicklungsschritte von KI werden die bereits bestehenden Herausforderungen verschärfen. Dies zeigt sich am Beispiel der KI-Agenten, welche eigenständig auf Informationen zugreifen und Aktionen ausführen können. Durch derartige technische Entwicklungen wächst der Umfang an Entscheidungen, die innerhalb eines Unternehmens abgesichert und nachvollziehbar sein müssen.

Für Unternehmen wird damit entscheidend, Governance als festen Bestandteil ihrer KI-Infrastruktur zu verankern und im Arbeitsalltag wirksam umzusetzen. Schatten-KI macht bereits heute sichtbar, wie schnell formale Vorgaben und tatsächliche Nutzung auseinanderfallen können. Künftig wird es daher darauf ankommen, Governance mit der technologischen Entwicklung im Gleichschritt weiterzuentwickeln sowie Regelwerke in verlässliche Steuerungsstrukturen zu überführen.

»Die entscheidende Frage ist nicht mehr nur, wie schnell Unternehmen KI einführen. Sondern auch, ob die Grundlagen, auf denen diese KI arbeitet, genauso schnell mitwachsen«, sagt Michael Pietsch, Vice President DACH und Osteuropa bei Box.

Die nächste Phase der KI dürfte also nicht an fehlender Technologie scheitern, sondern daran, ob Unternehmen ihre Governance von formalen Regeln zu einer tatsächlich gelebten Steuerungs- und Kontrollstruktur weiterentwickeln.

[1] Methodik des AI Governance Benchmark 2026

Der AI Governance Benchmark 2026 basiert auf einer Befragung von 300 Entscheiderinnen und Entscheidern aus Unternehmen mit mindestens 500 Beschäftigten. Die Erhebung wurde im Juni 2026 gemeinsam mit dem Marktforschungsinstitut techconsult durchgeführt. Ergänzend zur quantitativen Befragung fließen vier vertiefende Interviews mit Vertreter:innen von TÜV SÜD, der Hoffmann Group, dem KI-Bundesverband und DvH in die Studie ein. Sie ordnen die Ergebnisse aus der Unternehmenspraxis ein und ergänzen die Befragungsdaten um unterschiedliche Perspektiven auf den Einsatz und die Governance von KI.

FAQ

Was bedeutet Schatten-KI?
Schatten-KI bezeichnet den Einsatz von KI-Tools, die nicht offiziell durch das Unternehmen freigegeben oder kontrolliert sind.
Warum ist Schatten-KI problematisch?
Sie kann dazu führen, dass Unternehmensdaten in externe Anwendungen gelangen, ohne dass Compliance-, Sicherheits- oder Datenschutzvorgaben greifen.
Wie verbreitet ist der Einsatz nicht freigegebener GenAI-Tools?
Laut Benchmark werden solche Tools in 42 Prozent der Unternehmen gelegentlich und in 34 Prozent häufig genutzt.
Reicht eine hohe KI-Reife aus, um Schatten-KI zu vermeiden?
Nein. Der Artikel zeigt, dass Schatten-KI auch bei höherer KI-Reife bestehen bleibt, wenn Governance nicht praktisch umgesetzt wird.
Welche Rolle spielt Governance bei der KI-Skalierung?
Governance definiert Verantwortlichkeiten, Zugriffsrechte und Kontrollmechanismen und wird damit zur Grundlage für einen sicheren Ausbau von KI.
Welche Risiken sehen Unternehmen beim KI-Einsatz besonders deutlich?
Datenschutzverletzungen sowie Sicherheits- und Cybersicherheitsrisiken zählen zu den am häufigsten genannten Gefahren.
Warum ist der Datenzugriff so wichtig?
Damit KI produktiv Nutzen stiften kann, muss sie auf Unternehmensdaten zugreifen können. Genau deshalb müssen Berechtigungen, Protokollierung und Kontrolle sauber geregelt sein.
Was verändert sich durch KI-Agenten?
KI-Agenten können eigenständig Informationen abrufen und Aktionen ausführen. Dadurch steigt der Bedarf an nachvollziehbaren Entscheidungen und klaren Kontrollstrukturen.
Was sollten Unternehmen jetzt priorisieren?
Sie sollten Governance nicht nur als Richtlinie formulieren, sondern als operative Fähigkeit etablieren: mit Rollen, Datenklassifizierung, Zugriffskontrollen und klaren Freigabeprozessen.
Was ist die zentrale Botschaft für das Management?
Die nächste KI-Phase entscheidet sich nicht allein an der Technologie, sondern daran, ob Unternehmen Governance wirksam, skalierbar und alltagstauglich umsetzen.

315 Artikel zu „Schatten-KI“

IT-Security | Künstliche Intelligenz | News | Strategien | Tipps | Trends 2026 | Trends Security

Fast die Hälfte der KI-Nutzung in Unternehmen basiert auf ungesicherter Schatten-KI

11. August 2026

Bericht thematisiert unautorisierte Anwendungen, neue Angriffsvektoren und erforderliche Sicherheitsstrategien. Management Summary Schatten-KI ist kein Randphänomen mehr: Fast jede zweite KI-Interaktion läuft über private Identitäten und entzieht sich damit Governance, Monitoring und Compliance. Die Angriffsfläche verlagert sich in den Browser und die Entwicklungsumgebung: Erweiterungen, KI-Coding-Assistenten und agentische Browser werden zu neuen Einfallstoren für Datenabfluss und…