KI wird bereits in 97 % der Unternehmen produktiv eingesetzt. Zwei Drittel davon haben in den letzten zwölf Monaten mindestens einen KI-bezogenen Vorfall erlebt, von Datenschutzverletzungen über voreingenommene Ergebnisse bis hin zu „Shadow AI“. Die Frage ist nicht mehr, ob Sie ein KI-Governance-Rahmenwerk benötigen. Die Frage ist vielmehr, ob Ihr Rahmenwerk tatsächlich steuert, was die KI im produktiven Einsatz tut.
Die meisten Leitfäden zu Governance-Rahmenwerken listen Grundsätze auf: Fairness, Transparenz, Rechenschaftspflicht. Dieser hier geht von den Daten aus. Die BARC-Studie „The State of Data and AI Governance“ aus dem Jahr 2026, die auf einer weltweiten Umfrage unter 234 Führungskräften aus den Bereichen Daten, KI und IT basiert, zeigt, wo Organisationen stehen, wo ihre Kontrollmechanismen an ihre Grenzen stoßen und was die Vorreiter im KI-Bereich anders machen. Aus diesen Erkenntnissen leiten wir sechs Bausteine für ein KI-Governance-Rahmenwerk ab, das sich in der Praxis bewährt.
Was ist ein Rahmenwerk für die KI-Governance?
Ein KI-Governance-Rahmenwerk ist die Gesamtheit der Rollen, Regeln, Kontrollmechanismen und Kennzahlen, die festlegen, wie eine Organisation ihre KI-Systeme – einschließlich der dahinterstehenden Daten, Modelle und Agenten – entwickelt, einsetzt, überwacht und die Verantwortung dafür übernimmt.
Referenzrahmen wie das EU-AI-Gesetz, das NIST AI Risk Management Framework oder die Norm ISO/IEC 42001 legen fest, was erreicht werden muss. Ihr eigenes Rahmenwerk definiert, wie dies in Ihrer Organisation umgesetzt wird: Wer entscheidet, welche Kontrollmaßnahmen für welche KI-Workloads gelten und wie Sie nachweisen, dass diese funktionieren. Ein Rahmenwerk, das lediglich als Richtliniendokument vorliegt, trägt kaum zur Risikominderung bei. BARC bringt es auf den Punkt: Richtlinien verringern das Risiko nur dann, wenn sie in Kontrollmaßnahmen innerhalb der tatsächlich genutzten KI-Workflows umgesetzt werden.
Ein Rahmenwerk für die KI-Governance stützt sich zudem auf Data Governance. KI ist nur so zuverlässig wie die Daten und der Kontext, mit denen sie arbeitet – deshalb ist Data Governance die Grundlage für KI. Doch wie die Studie zeigt, reicht Data Governance allein nicht aus.
Schaffen Sie eine Datenfundament, um KI-gestützte Automatisierung und zuverlässige Entscheidungsfindung zu ermöglichen. Laden Sie das Whitepaper herunter und erfahren Sie, wie Sie Data Governance als strategische Kompetenz etablieren – und so skalierbare Automatisierung und KI nutzen können.
Der Stand der KI-Governance im Jahr 2026: sechs Erkenntnisse
1. KI wird bereits im operativen Einsatz genutzt, ebenso wie die damit verbundenen Vorfälle
KI findet in Geschäftsprozessen, Analysen, Datenmanagement, Integration, Programmierung und kundenorientierten Tätigkeiten Anwendung. An der Spitze steht die Dokumentenanalyse mit einem Einsatzanteil von 62 %, gefolgt von Datenmanagement und Integration (55 %) sowie KI-gestützten Analysen (54 %). Aufgrund dieser Breite ist Governance nicht mehr nur eine spezielle Compliance-Aufgabe, sondern eine betriebliche Grundvoraussetzung.
Die Vorfälle sind bereits Realität. In den vergangenen zwölf Monaten waren jeweils 23 % der Befragten von Datenschutzverletzungen sowie von voreingenommenen oder schädlichen KI-Ergebnissen betroffen. An zweiter Stelle folgten unbefugte oder „Schatten-KI“ mit 22 % sowie fehlerhafte KI-Ergebnisse, die Endnutzer oder Kunden erreichten, mit 21 %.
2. Die meisten Organisationen überschätzen ihren Reifegrad
BARC stuft ein Unternehmen als „AI Leader“ ein, wenn sein KI-Programm in sieben Bereichen ausgereift ist: Sicherheit, Kontrollen für den Datenzugriff und die Datennutzung, Führungsebene, rechtlicher Rahmen, Projektüberwachung, Unternehmensarchitektur sowie Standards und Richtlinien. Nach zwei Jahren, in denen der Anteil bei etwa 20 % lag, ist der Anteil der „AI Leaders“ auf 29 % gestiegen.
Dennoch bewerten 60 % der Befragten ihre Daten- und KI-Governance als besser als die ihrer wichtigsten Wettbewerber. Doppelt so viele Unternehmen glauben, dass sie einen Vorsprung haben, als tatsächlich als ausgereift gelten. IT-Verantwortliche sind sogar noch zuversichtlicher als Vertreter aus dem Geschäftsbereich, was von Bedeutung ist, da die IT oft über das erforderliche Budget verfügt, um die Lücken zu schließen.
3. Unternehmen, die KI einsetzen, zentralisieren ihre Governance
Mehr als zwei Drittel der Unternehmen (69 %) betreiben entweder ein vollständig zentralisiertes Governance-Programm (31 %) oder ein Kompetenzzentrum, das Standards zentral festlegt und die Umsetzung den dezentralen Teams überlässt (38 %). Unter den KI-Vorreitern ist der Anteil sogar noch höher: 40 % arbeiten vollständig zentralisiert und 48 % nutzen ein Kompetenzzentrum. Föderierte und dezentrale Modelle sind auf 14 % bzw. 7 % zurückgegangen.
4. Die Werkzeuge steuern die Daten, nicht die KI
Die Governance-Tools konzentrieren sich nach wie vor auf die Grundlagen der Daten. KI-spezifische Tools hinken weit hinterher:
| Eingesetzte Governance-Technologie | Anteil der Organisationen |
|---|---|
| Datenqualitätsmanagement | 58% |
| Datenkatalog, Lineage und Metadatenverwaltung | 38% |
| Überwachung und Beobachtbarkeit von KI-Modellen | 26% |
| Register und Bestandsaufnahme von KI-/ML-Modellen | 23% |
| Guardrails für LLM und GenAI | 23% |
| Spezielle Plattformen für die KI-Governance | 20% |
| Agenten-Governance | 10% |
Data-Governance-Tools bilden nach wie vor die richtige Grundlage. Sie regeln jedoch nicht automatisch das Verhalten von Modellen, KI-Ergebnisse, Aktionen von Agenten oder KI-gesteuerte Entscheidungen.
5. Die Kontrollen endet auf der Datenebene
62 % der Governance-Teams konzentrieren ihre Kontrollmaßnahmen auf die Datenebene. Kontrollmaßnahmen auf der Modellebene erreichen nur 45 %, solche auf der Infrastrukturebene 43 %. Dabei erstrecken sich Eingabeaufforderungen, Kontext, Abruf, Ausgaben, Agentenaktionen und Bereitstellungsumgebungen über alle diese Ebenen. Eine Governance, die sich auf isolierte Kontrollpunkte beschränkt, lässt den Rest der KI-Workloads unkontrolliert.
6. Die Agenten-Governance hängt von der menschlichen Aufsicht ab
Um KI-Agenten im Produktivbetrieb zu kontrollieren, verlangen 59 % der Unternehmen bei sensiblen Aktionen eine Genehmigung durch einen Menschen („Human-in-the-Loop“). 40 % legen Aktionsgrenzen fest, 38 % nutzen Whitelists für Tools oder APIs und 38 % überwachen das Verhalten der Agenten kontinuierlich. Nur 16 % verfügen über Kill-Switches und 9 % nutzen Lineage-Ansichten.
„Menschen können den Mangel an automatisierten Kontrollsystemen nicht ausgleichen.“ BARC, „The State of Data and AI Governance“, 2026
Die Überwachung durch Menschen ist ein sinnvoller erster Schritt. Sie lässt sich jedoch nicht skalieren, wenn immer mehr Agenten in die Produktion gehen.
Die BARC-Studie „The State of Data and AI Governance“ basiert auf einer weltweiten Umfrage unter Führungskräften aus den Bereichen Daten, KI, IT und Wirtschaft. Sie zeigt, was die KI-Vorreiter von den Rest des Marktes unterscheidet und welche Schritte erforderlich sind, um Governance von einer reinen Compliance-Maßnahme in ein Betriebsmodell zu verwandeln, das eine zuverlässige Skalierung der KI ermöglicht.
Sechs Bausteine eines Governance-Rahmens für KI
BARC schließt die Studie mit sechs Empfehlungen ab. Zusammengenommen beschreiben sie die Bausteine eines KI-Governance-Rahmens, der in der Praxis funktioniert.
1. Ein Betriebsmodell, kein Richtlinienprojekt
Legen Sie für jede KI-Workload klare Zuständigkeiten, Entscheidungsbefugnisse, Eskalationswege und Überwachungsroutinen fest. Die Studie zeigt, wie sich die Rollen heute aufteilen: CxOs geben die Richtung vor, Geschäftsverantwortliche überwachen, Ingenieure führen die Umsetzung durch. Doch an der Spitze ist die Aufsicht lückenhaft. Nur 39 % der Befragten nennen den Chief Data Officer als für die Governance zuständigen Verantwortlichen, 38 % den Chief AI Officer und 29 % den CISO. BARC empfiehlt, dass diese Rollen die Governance gemeinsam überwachen, während KI-/ML-Ingenieure, Dateningenieure und Entwickler die Kontrollmechanismen in Modelle, Pipelines und Agenten integrieren.
2. Werkzeuge, die den gesamten Bereich der KI abdecken, nicht nur Daten
Nutzen Sie bestehende Investitionen in die Data Governance als Grundlage und ergänzen Sie diese um KI-spezifische Funktionen: Modellregister, Überwachung, Schutzmaßnahmen, Agent-Governance, Audit-Protokollierung, Lineage und Nachvollziehbarkeit von Arbeitsabläufen. Bewerten Sie Tools anhand eines einzigen Kriteriums: Ermöglichen sie eine durchsetzbare Governance über den gesamten KI-Lebenszyklus hinweg? BARC fordert eine zentrale Steuerungsebene, die einheitliche Richtlinien, Transparenz und Nachvollziehbarkeit über alle Umgebungen hinweg gewährleistet, anstatt einer Ansammlung unzusammenhängender Tools.
3. Menschliche Überwachung als Teil eines Kontrollsystems
Legen Sie ausdrücklich fest, in welchen Fällen eine menschliche Genehmigung erforderlich ist, welche Aktionen der Agenten zulässig sind, wie Ausnahmen eskaliert werden und wie Aktivitäten protokolliert werden. Fügen Sie anschließend operative Kontrollmaßnahmen wie Protokollierung, Risikobewertung, Ratenbegrenzung, Kill-Switches und Lineage hinzu. Die menschliche Aufsicht sollte ein Bestandteil des Kontrollsystems sein, nicht das Kontrollsystem selbst.
4. Kontrollen auf jeder Architekturebene
Nutzen Sie die Datenebene als Ausgangspunkt, nicht als Endpunkt. Erfassen Sie, wo KI-Workloads Daten, Kontext, Modelle, Ergebnisse und Aktionen nutzen, und definieren Sie anschließend Kontrollmechanismen für jede Ebene:
| Ebene | Kontrollen |
|---|---|
| Daten | Zugang und Qualität |
| Einsatz | Workflow- und Ausgabesteuerung |
| Modell | Prüfung und Überwachung |
| Infrastruktur | Kontrollen für Bereitstellung, Identitätsmanagement, Netzwerk und Cloud |
5. Datenqualität der Daten, die die KI tatsächlich nutzt
Dokumentenanalyse, Wissensabruf, Codierungsunterstützung und agentenbasierte Arbeitsabläufe sind nicht nur auf strukturierte Tabellen angewiesen, sondern auch auf unstrukturierte und kontextbezogene Informationen. Weiten Sie die Qualitätskontrollen auf Dokumente, Wissensdatenbanken, Code, Verträge, Metadaten, Einbettungen, Abruf-Pipelines und Kontextquellen aus. Überprüfen Sie, ob die Informationen aktuell, korrekt klassifiziert, autorisiert, nachvollziehbar und für den Einsatz in KI geeignet sind. Ein unzureichender Kontext kann ebenso schädlich sein wie ungenaue strukturierte Daten.
6. Kennzahlen, die auf den durch die Governance reduzierten Risiken basieren
Heutzutage messen Unternehmen die Governance meist anhand der Abdeckung von KI-Anwendungsfällen (37 %), der Reduzierung von Vorfällen im Zusammenhang mit der Datenqualität (33 %) und des geschäftlichen Nutzens von kontrollierte KI-Projekten (31 %). Eine Lücke sticht dabei besonders hervor: 41 % nennen einen Mangel an qualifiziertem Personal oder an Schulungen als ihr größtes Hindernis, doch nur 12 % messen den Abschluss von Mitarbeiterschulungen. Setzen Sie die wichtigsten Ausfallrisiken in eine kleine Reihe von Betriebskennzahlen um, wie beispielsweise die Reduzierung von Vorfällen, die Einhaltung gesetzlicher Vorschriften, den geschäftlichen Nutzen, die Einführung erforderlicher Kontrollmaßnahmen und die Mitarbeiterschulung.
EMEA und Nordamerika: zwei Reifegrade
Die Studie zeigt deutliche regionale Unterschiede. In Nordamerika gelten 37 % der Unternehmen als „AI Leaders“ und 79 % verfügen über zentralisierte Governance-Strukturen. In der EMEA-Region liegen die Zahlen bei 17 % bzw. 50 %.
Auch die Hindernisse unterscheiden sich. Unternehmen in der EMEA-Region haben mit grundlegenden Problemen zu kämpfen: 40 % nennen unzureichende Datenqualität als größtes Hindernis (Nordamerika: 15 %), und 35 % führen isolierte Datenbestände an (Nordamerika: 17 %). Die Befragten aus der EMEA-Region berichten zudem über mehr Vorfälle im Zusammenhang mit „Shadow-AI“ (29 % gegenüber 18 %), und nur 30 % verfügen über formelle Richtlinien zur Datensouveränität bei der Verarbeitung und Speicherung von KI-Daten, verglichen mit 56 % in Nordamerika. Unternehmen in Nordamerika hingegen machen sich mehr Sorgen um Skalierungsrisiken wie sich ändernde Vorschriften und die Kontrolle von KI-Agenten.
Für europäische Organisationen gibt dies die Reihenfolge der Arbeitsschritte vor. Ein Rahmenwerk für die KI-Governance beginnt mit vernetzten, vertrauenswürdigen Daten und einer klaren Datenhoheit und erstreckt sich erst danach auf Modelle und Agenten.
„Shadow AI“ zeigt, wie sich diese Lücken in der täglichen Arbeit auswirken. Wo die Governance nicht zentral organisiert ist und der genehmigte Zugang zu Daten langsam ist oder durch Silos blockiert wird, greifen Mitarbeiter auf KI-Tools zurück, die niemand genehmigt hat. BARC geht davon aus, dass „Shadow AI“ zu einem weit verbreiteten Problem werden wird, da immer mehr Wissensarbeiter ihre eigenen Agenten einsetzen. In unserem Artikel „Shadow AI: Warum in der EMEA-Region mehr nicht genehmigte KI-Vorfälle gemeldet werden“ beleuchten wir die Zahlen, die Risiken und fünf Schritte, um das Problem in den Griff zu bekommen.
Wie SoftProject das Framework in die Praxis umsetzt
Die Kernaussage der Studie deckt sich mit unseren Erfahrungen aus Kundenprojekten: Governance muss handeln und nicht nur dokumentieren. SoftProject vereint die Bausteine auf einer einheitlichen Plattform statt in einem Stapel separater Tools:
- Connect: Integration, ETL und API-Management führen Daten aus allen Systemen zusammen und beseitigen die Silos, die 35 % der Unternehmen in der EMEA-Region behindern.
- Trust: Data Governance mit Datenkatalog, Stammdatenmanagement und Datenqualität macht Daten und Kontext zuverlässig, nachvollziehbar und KI-tauglich.
- Act: Durch Prozessautomatisierung und kontrollierte Agenten-Workflows werden Richtlinien in Kontrollmechanismen umgesetzt, wobei Genehmigungen, Grenzen und Prüfpfade in den Prozess integriert sind.
Über alle drei Ebenen hinweg fungiert die Governance als eine einzige Steuerungsebene: Das bedeutet, dass Qualität, Herkunft, Richtlinien, Zugriff und Nachweise an einem Ort gebündelt sind. Genau das ermöglicht den Übergang der KI vom Pilotprojekt in den Produktivbetrieb. Erfahren Sie mehr über die KI-Enablement mit SoftProject.
Edouard Cante ist als Chief Product Officer für die strategische Ausrichtung und Weiterentwicklung des Produktportfolios von SoftProject verantwortlich. Mit seinem fundierten Marktverständnis und seiner hohen Innovationskraft treibt er kundenorientierte Lösungen voran und sichert die langfristige Wettbewerbsfähigkeit des Unternehmens.
Häufig gestellte Fragen zur KI-Datenverwaltung
Was ist ein Rahmenwerk für die KI-Governance?
Ein KI-Governance-Rahmenwerk umfasst die Gesamtheit der Rollen, Regeln, Kontrollmaßnahmen und Kennzahlen, die festlegen, wie eine Organisation ihre KI-Systeme – einschließlich der dahinterstehenden Daten, Modelle und Agenten – entwickelt, einsetzt, überwacht und die Verantwortung dafür übernimmt. Es setzt Anforderungen aus Vorschriften und internen Richtlinien in Kontrollmaßnahmen innerhalb der laufenden KI-Arbeitsabläufe um.
Was sollte ein Rahmenwerk für die KI-Governance beinhalten?
Basierend auf der BARC-Studie aus dem Jahr 2026 benötigt ein Rahmenwerk sechs Bausteine: ein Betriebsmodell mit klaren Zuständigkeiten und Entscheidungsbefugnissen, Werkzeuge, die nicht nur Daten, sondern auch KI abdecken, eine in ein Kontrollsystem eingebettete menschliche Aufsicht, Kontrollen auf den Ebenen Daten, Anwendung, Modell und Infrastruktur, Datenqualität für die von der KI genutzten unstrukturierten Daten sowie Kennzahlen, die auf den durch die Governance reduzierten Risiken basieren.
Wer sollte für die KI-Governance zuständig sein?
BARC empfiehlt, dass Chief Data Officers, Chief AI Officers und CISOs gemeinsam die Daten- und KI-Governance überwachen, während Geschäfts- und Produktverantwortliche eine Aufsichtsfunktion übernehmen und technische Experten wie KI-/ML-Ingenieure, Dateningenieure und Entwickler die Kontrollmaßnahmen umsetzen. Derzeit geben nur 39 % der Unternehmen an, dass der CDO für die Überwachung der Governance zuständig ist.
Wie regeln Unternehmen heute den Umgang mit KI-Agenten?
Die meisten sind auf menschliche Überwachung angewiesen: 59 % erfordern eine Genehmigung durch einen Menschen („Human-in-the-Loop“) für sensible Aktionen der Agenten, 40 % legen Aktionsgrenzen fest und 38 % nutzen Whitelists für Tools oder APIs. Nur 16 % verfügen über Kill-Switches. BARC kommt zu dem Schluss, dass menschliche Überwachung allein nicht skalierbar ist und Teil eines automatisierten Kontrollsystems werden muss.
Wie lässt sich der Erfolg von KI-Governance messen?
Unternehmen messen am häufigsten die Abdeckung von KI-Anwendungsfällen (37 %), die Verringerung von Vorfällen im Zusammenhang mit der Datenqualität (33 %) und den geschäftlichen Nutzen von geregelten KI-Projekten (31 %). BARC empfiehlt eine kleine Auswahl von Betriebskennzahlen, die sich auf die Hauptrisiken beziehen: Verringerung von Vorfällen, Einhaltung gesetzlicher Vorschriften, geschäftlicher Nutzen, Einführung erforderlicher Kontrollmaßnahmen und Mitarbeiterschulungen.
