KI-Compliance: Unternehmen unterschätzen die Kontrollfrage

Laut dem DXC Digital Future Monitor 2026 investieren DACH-Unternehmen offensiv in KI – doch bei Governance, Cyberabwehr und autonomen Systemen klafft eine riskante Lücke zwischen Ambition und Kontrolle.

Laut dem aktuellen DXC Digital Future Monitor 2026 stehen Digitalisierungsstrategien in Deutschland, Österreich und der Schweiz im Spannungsfeld zwischen ehrgeizigen KI-Plänen, massivem Kostendruck und neuen Compliance-Hürden. Besonders bei autonomen Systemen droht eine gefährliche Lücke zwischen Anspruch und technologischer Realität.

Die wirtschaftlichen Rahmenbedingungen in der DACH-Region zwingen CIOs und IT-Entscheider zu einem pragmatischen Spagat. Während der Hype um Künstliche Intelligenz in konkrete Implementierungsprojekte mündet, bremsen strukturelle Altlasten die Unternehmen aus. Das ist das zentrale Ergebnis des aktuellen DXC Digital Future Monitor 2026, für den im Frühjahr 300 Fach- und Führungskräfte befragt wurden. Die Daten offenbaren ein IT-Management im Dauerfeuer – und eine teils paradoxe Haltung zur Rolle autonomer Systeme.

Makroökonomie schlägt Cyber-Angst

Überraschenderweise dominiert in den Chefetagen aktuell nicht die Angst vor dem nächsten Ransomware-Angriff die Agenda. Vielmehr sind es handfeste betriebswirtschaftliche Faktoren: 78,7 Prozent der Unternehmen definieren Kostendruck durch Energie und Inflation als primäre Bedrohung der Wettbewerbsfähigkeit. Dicht darauf folgt mit 74,7 Prozent die überbordende Bürokratie – ein strukturelles Problem, das insbesondere den Wirtschaftsstandort Deutschland seit Jahren belastet und die Agilität in IT-Projekten hemmt.

Besorgniserregend für das Change-Management: 74,3 Prozent der Entscheider identifizieren ein sinkendes Mitarbeiter-Engagement als wesentliche Herausforderung. Dieser Trend korreliert mit der sogenannten "Digital Fatigue" – der Erschöpfung durch permanente Transformationsprozesse –, die in aktuellen HR-Studien branchenübergreifend beobachtet wird. Erst auf den Plätzen vier und fünf folgen kriminelle und staatlich motivierte Cyberangriffe (jeweils rund 72 Prozent) sowie der Fachkräftemangel.

Investitionsfokus: Security und das Fundament für "Agentic AI"

Trotz der makroökonomischen Sorgen werden IT-Budgets nicht primär eingefroren, sondern umgeschichtet. Getrieben durch verschärfte regulatorische Vorgaben wie NIS-2 steht "Cyber Security & Data Protection" an der Spitze der Investitionsvorhaben (57 Prozent).

Im Bereich KI zeigt sich ein Reifeprozess: Reine Automatisierung zur Kosteneinsparung ist in den Hintergrund gerückt. Stattdessen investieren 56,7 Prozent parallel in KI-Einführung und die Weiterbildung ihrer Belegschaft, während 55 Prozent massiv an einer besseren Datenbasis arbeiten. Diese Fokussierung auf die Datenqualität ist entscheidend, da Unternehmen zunehmend erkennen, dass unstrukturierte "Data Swamps" den Einsatz von generativer KI auf Enterprise-Level unmöglich machen.

Der Weg aus der Pilotphase ist zudem weitgehend geschafft: 55,7 Prozent setzen KI ausschließlich in Testumgebungen ein. Gleichzeitig bereiten sich viele Unternehmen auf den Einsatz von "Agentic AI" vor. 73,7 Prozent halten feste Teams aus menschlichen Mitarbeitern und virtuellen KI-Agenten künftig für notwendig, 71,3 Prozent erwarten einen sprunghaften Anstieg dieser virtuellen Assistenten am Arbeitsplatz.

Das Black-Box-Dilemma und die EU-Regulierung

DXC deckt jedoch eine massive Governance-Schwachstelle auf: Rund 66 Prozent der Unternehmen sehen sich bereits heute mit neuen Compliance-Aufgaben konfrontiert, weil KI-Entscheidungen oft nicht transparent nachvollziehbar sind. Im Kontext des europäischen AI Acts, der für Hochrisiko-KI Transparenz, Nachvollziehbarkeit und Risikomanagement verlangt, ist dieser Wert ein Alarmsignal.

Dazu passt die Einordnung von Ramsés Gallego, Chief Technologist Cybersecurity bei DXC Technology: „Die größte Gefahr bei KI ist ein falsches Gefühl von Kontrolle. Ein System ist nicht deshalb beherrschbar, weil es bislang zuverlässig funktioniert. Sobald KI eigenständig Entscheidungen trifft oder Aktionen ausführt, müssen Unternehmen wissen, innerhalb welcher Grenzen sie handeln darf, wie Entscheidungen nachvollzogen werden können und wann ein Mensch eingreifen muss. Vertrauen allein reicht nicht. Es braucht überprüfbare Kontrolle.“

Governance muss deshalb technisch wirksam werden, nicht nur formal dokumentiert sein. Gallego formuliert es so: „KI-Governance darf keine Sammlung von Leitlinien sein, die neben dem eigentlichen Betrieb existiert. Sie muss sich in den Systemen und Prozessen selbst wiederfinden: mit klaren Verantwortlichkeiten, technischen Guardrails, Protokollierung und definierten Eingriffsmöglichkeiten. Standards wie ISO 38507 für die Governance von KI-Systemen und ISO 42001 für KI-Management geben dafür einen strukturierten Rahmen. Entscheidend ist, dass Kontrolle mit der Autonomie der Systeme mitwächst.“

Zudem offenbart die Cybersicherheitsstrategie Risse: Zwar sichern 81 Prozent vertrauliche Daten ab und 74 Prozent haben Notfallpläne, doch präventive Maßnahmen hinken hinterher. Nur 65,3 Prozent üben den Ernstfall regelmäßig und lediglich 61,3 Prozent nutzen KI-gestützte Systeme zur aktiven Cyberabwehr – das ist in einer Zeit, in der Angreifer KI längst zur Skalierung ihrer Attacken nutzen, ein strategischer Nachteil.

Gerade im Cybersecurity-Umfeld verschärft sich das Problem durch Geschwindigkeit. Ramsés Gallego warnt: „KI verändert nicht nur, wie Unternehmen arbeiten, sondern auch, wie schnell Angriffe entstehen und sich weiterentwickeln können. Wenn Angreifer KI nutzen, um schneller und in größerem Maßstab vorzugehen, können Unternehmen auf Dauer nicht mit rein manuellen Prozessen dagegenhalten. Wir müssen KI deshalb auch für die Verteidigung einsetzen, um mehr zu erkennen und schneller reagieren zu können. Entscheidend ist, diese Geschwindigkeit mit klaren Regeln und menschlicher Verantwortung zu verbinden.“

Die Illusion der IT-Architektur-Reife

Das größte Risiko, das sich aus den Daten des DXC-Reports ableiten lässt, liegt in einer kognitiven Dissonanz bezüglich autonomer KI. Auf der einen Seite pochen die Unternehmen auf Kontrolle: 80,3 Prozent fordern, dass bei neuen KI-Prozessen der Mensch das letzte Wort haben muss ("Human-in-the-Loop"). Gleichzeitig halten es 58 Prozent für wahrscheinlich, dass Systeme bald vollkommen eigenständig wichtige Geschäftsentscheidungen treffen.

Das bedeutet jedoch nicht, dass der Mensch aus der Verantwortung entlassen wird. Gallego betont: „KI kann Unternehmen viele operative Aufgaben abnehmen. Die Verantwortung dafür, wie solche Systeme handeln und welche Ergebnisse sie erzeugen, bleibt jedoch beim Menschen. Seine Rolle verändert sich: weg von der Ausführung jedes einzelnen Schritts, hin zur Festlegung von Regeln, zur Bewertung von Ergebnissen und zum Eingreifen bei Abweichungen. Gerade mit wachsender Autonomie wird diese Rolle wichtiger, nicht geringer.“

Besonders kritisch ist in diesem Zusammenhang das Selbstbild der IT-Verantwortlichen: 74 Prozent glauben, ihre aktuelle IT-Architektur sei auf solch hochentwickelte, autonome KI-Systeme vorbereitet. Analysten und Enterprise-Architekten dürften dies stark anzweifeln. Die Realität in DACH-Unternehmen – oft geprägt von fragmentierten ERP-Landschaften, Legacy-Systemen und isolierten Datensilos – ist in der Regel weit davon entfernt, komplexe KI-Agenten sicher, compliant und performant in Kernprozesse zu integrieren.

Die Konsequenz reicht bis ins Identity and Access Management. „Mit KI-Agenten wächst eine neue Klasse nicht-menschlicher Identitäten in den Unternehmen“, sagt Ramsés Gallego. „Diese Agenten greifen auf Daten, Anwendungen und andere Systeme zu und benötigen deshalb genauso klar definierte Berechtigungen wie menschliche Nutzer. Identity und Access Management muss künftig nicht nur beantworten, was ein Mitarbeiter darf, sondern auch, was ein autonom handelndes System darf – und für wie lange.“

Fazit

Der DXC-Monitor liefert das Bild einer DACH-Wirtschaft, die den technologischen Willen zur KI-Transformation besitzt, aber in einem toxischen Mix aus Kostendruck und Bürokratie navigieren muss. Die entscheidenden Aufgaben für Enterprise-IT in den kommenden drei Jahren werden eine rigorose Data-Governance, die Einhaltung des AI-Acts bei Black-Box-Modellen und der Aufbau einer Architektur sein, die echte, messbare Wertschöpfung durch KI-Agenten erst ermöglicht – ohne dabei die Kontrolle an autonome Systeme abzugeben.

„Autonomie ohne Aufsicht ist kein Fortschritt, sondern ein Risiko“, mahnt Ramsés Gallego. „Die gefährlichste Annahme ist zu glauben, man habe es unter Kontrolle.“