Die deutsche Wirtschaft steht bei der Integration von Künstlicher Intelligenz (KI) vor einer grundlegenden Weichenstellung. Mathias Herrmann, Geschäftsführer der ALLEHERZEN GmbH, erläutert, dass KI nicht länger ein reines Innovationsthema großer Technologiekonzerne darstellt. Aktuellen Bitkom-Studien zufolge nutzen bereits 41 Prozent der deutschen Unternehmen KI, während weitere 48 Prozent den Einsatz planen oder diskutieren. Nahezu jedes Unternehmen beschäftigt sich somit mit dieser Technologie.
Die nächste Entwicklungsstufe – agentische KI – unterscheidet sich jedoch signifikant. KI-Agenten können selbstständig Ziele in Handlungsschritte übersetzen, auf Systeme und Daten zugreifen, Entscheidungen vorbereiten und Aktionen ausführen. Dadurch transformiert sich ein reines Werkzeug zunehmend zu einem eigenständigen Akteur innerhalb von Geschäftsprozessen. Die deutsche Wirtschaft agiert in dieser Entwicklung bislang mit deutlicher Zurückhaltung. Der PwC Cloud Business Survey 2025 zeigt auf, dass lediglich sieben Prozent der befragten deutschen Organisationen agentische KI-Lösungen entwickeln oder skalieren, während der EMEA-Durchschnitt bereits bei 29 Prozent liegt.
Governance-Lücken und regulatorische Anforderungen
Die PwC AI-Performance-Studie 2026 weist darauf hin, dass deutsche Unternehmen über eine solide KI-Ausgangslage verfügen, jedoch Schwierigkeiten haben, Experimente in skalierbare Wertschöpfung zu überführen. Weltweit entfallen 74 Prozent der KI-getriebenen Wertschöpfung auf lediglich 20 Prozent der Unternehmen. Die zentrale Herausforderung liegt nicht in der Frage des KI-Einsatzes, sondern in den Bedingungen, unter denen Systeme zunehmend autonom agieren dürfen. Hier entsteht ein Governance-Gap, welcher mit klassischen KI-Richtlinien kaum zu schließen ist. Ein Unternehmen kann zwar festlegen, welche generativen KI-Dienste Mitarbeiter nutzen dürfen. Dies reicht jedoch nicht aus, wenn ein Agent eigenständig auf Kundendaten zugreift, Informationen zusammenführt, Vorgänge verändert und Aktionen auslöst.
Mit zunehmender Autonomie eines Systems genügt die Kontrolle am Prozessanfang und -ende nicht mehr. Unternehmen müssen die Identität eines Agenten nachvollziehen können, dessen Zugriffsrechte auf Daten und Systeme, die möglichen Aktionen, die Notwendigkeit menschlichen Eingriffs sowie die Rekonstruierbarkeit geschehener Prozesse. Diese Anforderungen sind nicht nur eine Frage technischer Sicherheit, sondern berühren Verantwortlichkeit, Datenschutz, Informationssicherheit, interne Kontrollen und regulatorische Nachweisbarkeit. Der EU AI Act, dessen Transparenzpflichten nach Artikel 50 ab dem 2. August 2026 gelten, verdeutlicht die Richtung dieser Entwicklung. Je nach Rolle, System und Risikoklasse ergeben sich unterschiedliche Anforderungen an Verantwortlichkeiten, Risikomanagement, menschliche Aufsicht und technische Kontrollmechanismen.
Strategische Notwendigkeit eines Governed Access Layers
Eine Deloitte-Erhebung unter deutschen Unternehmen zeigt das Ausmaß der Lücke: Knapp die Hälfte der Befragten hatte sich 2024 noch nicht intensiv mit der Umsetzung des EU AI Act beschäftigt, und nur rund ein Drittel fühlte sich gut vorbereitet. Neuere Daten bestätigen, dass viele Unternehmen noch grundlegende Elemente für die Skalierung von KI-Agenten vermissen. Insbesondere bei komplexen Sachverhalten, die mehrere Systeme und Zuständigkeiten betreffen, wird die Herausforderung deutlich. Eine klassische IT-Zugriffskontrolle, die regelt, wer auf ein System zugreifen darf, reicht nicht aus, um die spezifischen Aktionen eines Agenten in einem Geschäftskontext unter definierten Bedingungen und Freigaben zu steuern.
Es ist keine Lösung, den Einsatz von KI-Agenten generell zu unterbinden und damit erhebliches wirtschaftliches Potenzial zu ungenutzt zu lassen. Eine zielführende Strategie besteht darin, Autonomie kontrollierbar zu gestalten. Dies erfordert eine technische Vermittlungsschicht zwischen dem KI-Agenten und den Unternehmenssystemen. Dort müssen Zugriffe geprüft, Aktionen anhand definierter Regeln freigegeben, kritische Vorgänge bei Bedarf an Menschen eskaliert und sämtliche relevanten Aktivitäten nachvollziehbar dokumentiert werden. Der Fokus liegt darauf, dass bestehende Systeme nicht vollständig ersetzt werden müssen. Stattdessen setzt Governance dort an, wo ein Agent auf Unternehmenssysteme zugreift und in Geschäftsprozesse eingreift. Ein solcher „Governed Access Layer“ steuert nicht nur, welche Systeme und Daten ein Agent nutzen darf, sondern auch, welche Aktionen er in welchem Kontext und unter welchen Compliance-, Risiko- und Freigaberegeln ausführen kann. Kritische Vorgänge können an Menschen zur Entscheidung weitergeleitet werden.
