Die Diskrepanz zwischen Papier und Praxis zieht sich durch die gesamte Erhebung. Obwohl nahezu alle Befragten formale Richtlinien vorweisen, äußern rund zwei Drittel Sorge über fehlende interne Expertise, um KI-Governance-Kontrollen weiterzuentwickeln (69 Prozent), umzusetzen (63 Prozent) oder überhaupt zu entwerfen (63 Prozent).
“Organisationen wenden die Governance-Regeln von gestern auf die heutigen Interaktionen mit KI an”, sagt Richard Jackson, EY Americas Assurance Chief Technology Officer und EY Global and Americas Assurance AI Leader. Vorstände und Führungsebenen stünden unter massivem Druck, die KI-Einführung zu beschleunigen und agentische Systeme auszurollen. Schnelligkeit und angemessene Governance schlössen einander jedoch nicht aus – beides sei nötig, um Reputations-, Finanz- und Betriebsschäden zu vermeiden.
Agentische Systeme führen bereits kritische Handlungen aus, vom Erkennen von Cybersicherheitsbedrohungen bis zum Ausführen von Code. 85 Prozent der Befragten, deren Organisation solche Systeme nutzt, räumen ein, dass zumindest einige davon ohne menschliche Beteiligung in Echtzeit agieren. “Das größte Risiko agentischer KI besteht darin, dass sich die menschliche Aufsicht nicht entsprechend weiterentwickelt hat”, sagt John McLain, EY Americas Assurance Technology Risk AI Leader und EY Americas Assurance AI Deputy Leader. KI-Governance liefere die nötigen Leitplanken, um schnell zu agieren, ohne die Kontrolle zu verlieren – gerade wenn agentische KI bereits reale Geschäftsentscheidungen treffe.
Bei den Risikosorgen führen Cyberangriffe über KI-gestützte Drittanbieter (81 Prozent), gefolgt von öffentlichkeitswirksamen KI-Fehlschlägen mit Reputationsschaden (75 Prozent) sowie – jeweils 72 Prozent – der Nichteinhaltung neuer oder entstehender KI-Regulierung und der Unfähigkeit, Datenherkunft und Eingaben kritischer KI-Entscheidungsmodelle nachzuvollziehen oder zu prüfen.
Diese Befürchtungen haben reale Grundlagen: 89 Prozent der Befragten sind im vergangenen Jahr auf KI-bezogene Risiken gestoßen, darunter Cybersicherheitsrisiken (52 Prozent), menschliche Risiken (47 Prozent) und Schatten-KI (46 Prozent).
Als Gegenmittel setzen die Unternehmen auf formale Prüfungen: 98 Prozent geben an, mindestens jährlich eine formale KI-Assurance-Prüfung durchzuführen. Die Ergebnisse dieser Prüfungen sind laut EY erheblich. 64 Prozent haben daraufhin ein Viertel oder mehr ihrer KI-Systeme deutlich verändert, 14 Prozent sogar drei Viertel oder mehr. 29 Prozent pausierten ein Viertel oder mehr ihrer Systeme, 9 Prozent drei Viertel oder mehr. Ein Viertel der Befragten (25 Prozent) stellte ein Viertel oder mehr der Systeme vollständig ein, 5 Prozent betraf das bei drei Vierteln oder mehr.
Am häufigsten fanden die Prüfungen Probleme mit der Datenqualität (57 Prozent), Modelldrift (48 Prozent) und Schatten-KI (39 Prozent). Dass Prüfungen so beständig Probleme aufdeckten und zu Änderungen, Pausen oder Abschaltungen führten, zeige, dass KI-Governance und Assurance funktionierten, wenn sie umgesetzt würden, so Jackson. Zugleich unterstreiche es die Notwendigkeit, diese Disziplinen in Entwurf, Test und Steuerung von KI-Systemen einzubauen und sie in einer Frequenz zu betreiben, die mit der Technologie Schritt hält.
Die Online-Befragung wurde vom EY Americas Assurance Team beauftragt und zwischen dem 28. Mai und dem 15. Juni 2026 durchgeführt. Die Fehlermarge für die Gesamtstichprobe liegt bei plus/minus 7 Prozentpunkten im 95-Prozent-Konfidenzintervall. Laut EY wurde die Erhebung von menschlichen Forschern unter menschlichen Teilnehmern durchgeführt und auf Bots und KI-Agenten hin überprüft.