Der „AI Governance Benchmark 2026“ von Box und dem Handelsblatt Research Institute zeigt, dass die organisatorische Steuerung von KI mit ihrer Verbreitung nicht Schritt hält. Die Verantwortung liegt überwiegend bei der IT, während Datenschutz- und Cyberrisiken zentrale Herausforderungen darstellen. Gefragt sind eine unternehmensweite KI-Governance, klare Verantwortlichkeiten und einheitliche Sicherheits- und Zugriffsregeln.
Der von Box und dem Handelsblatt Research Institute gemeinsam herausgegebene Bericht „AI Governance Benchmark 2026“ weist offensichtlich auf eine organisatorische Schieflage hin – denn während Künstliche Intelligenz (KI) immer enger in Geschäftsprozesse integriert wird, liegt doch ihre Steuerung weiterhin noch immer überwiegend bei der IT-Abteilung.
Gleichzeitig oder damit einhergehend drohten dann zentrale KI-Risiken häufig nicht als Governance-Thema wahrgenommen zu werden. Der vorliegende Bericht basiert nach Box-Angaben auf der Befragung von 300 Entscheidern aus Unternehmen mit mindestens 500 Beschäftigten. Die Erhebung sei im Juni 2026 gemeinsam mit dem Marktforschungsinstitut techconsult durchgeführt worden.
Ergänzend zur quantitativen Befragung fließen laut Box zudem vier vertiefende Interviews mit Vertretern vom TÜV SÜD, der Hoffmann Group, des KI-Bundesverbands und der DvH in die Studie mit ein. Diese ordneten die Ergebnisse aus der Unternehmenspraxis ein und ergänzten die Befragungsdaten um unterschiedliche Perspektiven auf den Einsatz und die Governance von KI.
Der Vergleichsmaßstab verdeutliche eine zentrale Aufgabe für die nächste Phase der KI-Einführung: Unternehmen müssten die Verantwortung für KI über die „IT“ hinaus definieren und zugleich sicherstellen, dass gemeinsam festgelegte Regeln auch über unterschiedliche Anwendungen hinweg durchgesetzt werden könnten.
Bei der KI-Governance liegt in 44% der Unternehmen die primäre Verantwortung bei der „IT“
KI habe sich in Unternehmen schon lange von einer isolierten Technologie zu einer unternehmensweiten Steuerungsaufgabe entwickelt. Der „AI Governance Benchmark 2026“ von Box und dem Handelsblatt Research Institute zeige jedoch auf, dass sich diese Entwicklung bislang nur bedingt in den Zuständigkeiten widerspiegele. Bei 52 Prozent der befragten Unternehmen sei die IT-Abteilung in Entscheidungen über den KI-Einsatz eingebunden, während Geschäftsführung oder Vorstand lediglich bei 30 Prozent beteiligt seien.
Bei der KI-Governance setze sich dieses Bild dann fort: In 44 Prozent der Unternehmen liege die primäre Verantwortung bei der „IT“. Ein „Head of AI“, „Chief AI Officer“ oder eine vergleichbare Rolle sei bei elf Prozent verantwortlich, der Vorstand bei nur zehn Prozent.
Nur drei Prozent gäben an, dass mehrere Unternehmensfunktionen gemeinsam für KI-Governance hauptverantwortlich seien. Eine zentrale Rolle für die KI-Steuerung hätten bislang nur 40 Prozent der Unternehmen etabliert. Angesichts dieser Datenlage wirft der Report die Frage auf, wie stark KI bereits als unternehmensweite Führungsaufgabe und nicht lediglich als ein Thema verstanden wird, welches in eine einzelne Abteilung ausgelagert werden kann.
Governance-Strukturen hinken hinter zunehmenden Anforderungen hinterher
KI-Governance umfasse komplexe Zusammenhänge, welche deutlich über die reine technische Implementierung hinausgingen. Datenschutz sowie regulatorische und sicherheitsrelevante Anforderungen müssten ebenso berücksichtigt werden wie die spezifischen Bedingungen der jeweiligen Geschäftsbereiche.
Der Vergleichsmaßstab zeige hier eine auffällige Diskrepanz: Nur 18 Prozent der Befragten sähen fehlende Governance-Strukturen als größere Hürde bei der KI-Skalierung. Gleichzeitig würden 42 Prozent Datenschutzverletzungen und 41 Prozent Sicherheits- und Cyberrisiken als zentrale Risiken beim Einsatz von KI nennen.
Beide Risikofelder hingen unmittelbar damit zusammen, wer auf welche Unternehmensinformationen zugreifen darf und wie diese Zugriffe kontrolliert werden. Damit handele es sich also um eindeutige Governance-Themen, welche auf Unternehmensebene adressiert werden müssten.
Unternehmensweite KI-Regeln erfordern gemeinsame technische Grundlage
Damit Governance diesen wachsenden Anforderungen gerecht werden kann, brauche sie auch auf technischer Ebene eine einheitliche Basis. Werden Zugriffsregeln für jedes KI-Tool oder jeden Fachbereich separat umgesetzt, steige mit der Zahl der Anwendungen der Aufwand, Richtlinien konsistent durchzusetzen, während zugleich die Chancen auf eine einheitliche Umsetzung zu sinken drohten.
„Viele Unternehmen unterschätzen noch immer die Bedeutung einer einheitlichen Governance. Um eine unkontrollierte Ausbreitung von KI-Anwendungen zu vermeiden, müssen Sicherheits- und Zugriffskontrollen den Unternehmensinhalten überallhin folgen, unabhängig davon, welches ,Tool’ oder welche Anwendung genutzt wird. Indem Unternehmen diese grundlegenden Regeln etablieren, können sie Insellösungen vermeiden und ihre Teams in die Lage versetzen, KI mit größerem Vertrauen einzusetzen“ kommentiert Michael Pietsch, „Vice President DACH und Osteuropa“ bei Box.
So ließen sich z.B. sensible Dokumente bei Box klassifizieren und mit konkreten Schutzregeln versehen, etwa einer Download-Sperre für bestimmte angebundene Anwendungen. Dadurch könnten gemeinsam definierte Vorgaben der Bereiche „IT“, „Security“, „Legal“ und den Fachbereichen zentral auf der Content-Ebene abgebildet werden.
Zentrale Erkenntnisse der DS-Redaktion
- Offensichtlich ist in vielen Unternehmen die Brisanz der KI-Governance noch nicht verinnerlicht.
- Verantwortung ist von der Entscheiderebene in Gänze zu übernehmen – eine weitere Auslagerung der KI-Governance etwa an die IT-Abteilung bedeutet eine unnütze Zersplitterung.
- KI im Sinne der Wertschöpfung, aber auch der Gefahr stellt ein Werkzeug mit strategischer Bedeutung dar und bedarf der eindeutigen Zuweisung an den C-Level.
- Auch alle relevanten Technisch-Organisatorischen Maßnahmen (TOM) im Kontext der betrieblichen KI-Anwendung müssen eindeutig zugeordnet sein.
- Governance ist kein Selbstzweck, sondern von elementarer Bedeutung für die Einhaltung des Datenschutzes und die Cybersicherheit – die Geschäftsführung steht hierzu in der vorrangigen Verantwortung.
Fazit der DS-Redaktion
KI ist im Betriebsalltag angekommen, um zu bleiben! Als ein für die unternehmerische Betätigung zunehmend elementares Werkzeug, muss deren Governance auf der Entscheiderebene zentral angesiedelt sein – natürlich kann und sollte sich der C-Level externe bzw. interne Unterstützung zur begründeten Entscheidungsfindung mit heranziehen.
Weitere Informationen
DATENSICHERHEIT.DE, 02.10.2026
KI im rasanten Wandel: Verantwortung schafft Akzeptanz
DATENSICHERHEIT.DE, 16.09.2026
EU AI Act: Pressure on IT and data managers in the AI sector remains high
DATENSICHERHEIT.DE.DE, 09.09.2026
KI außer Kontrolle: Shadow Agents setzen Führung unter Druck
