KI und Compliance Kiteworks-Report: Sicherheit top, KI-Governance flop?

Anbieter zum Thema

Sangfor Technologies

XOPERO SOFTWARE S.A.

Europas IT-Sicherheit ist top, die KI-Governance ein Flop. So sehen es zumindest die Befragten des Kiteworks-Report 2026. Während Europa bei der Datensicherheit führt, hinkt es bei KI-Governance hinterher – trotz höchstem Regulierungsdruck. Woran kann das liegen?

Wegbereiter im Bereich Datensicherheit, Nachzügler bei KI-Governance: Das ist das Kernergebnis des neuen Kiteworks-Reports 2026. Die fünfte Jahresstudie unter 459 Sicherheits-, Compliance-, Risiko- und IT-Fachleuten in zehn Branchen aus drei globalen Regionen zeigt ein klares Ungleichgewicht: Europas Sicherheitsinfrastruktur ist top, doch bei der Kontrolle von KI-Systemen haben Nordamerika und der Nahe Osten die Nase vorn.

Der Experte glaubt, dass der einzige Weg in die Zukunft „hier nur über die Architektur beschritten werden“ kann. „Es braucht eine Datenrichtlinien-Engine, die Kontrollen auf Datenebene durchsetzt und für jeden Menschen und jeden Agenten gleichermaßen greift, statt einer verhaltensbasierten Richtlinie, die umgangen werden kann. Europas Lücke klafft nicht bei der Sicherheit. Sie liegt bei der KI-Governance.“

GitLab-Studie zur KI-Softwareentwicklung

KI-Code wächst schneller als Governance

Ungleichgewicht bei Sicherheit und KI

Der Report offenbart ein klares europäisches Paradox: Bei der allgemeinen Datensicherheit ist Europa mit einem Spitzenwert von 40 weltweit führend. Gemessen wurde dieser Wert anhand des sogenannten Data Security Maturity Score (DSMS), der die Kontrollen zum Schutz des menschengesteuerten Datenzugriffs ebenso wie KI-spezifische Schutzmaßnahmen auf Basis von 11 binären Sicherheitskontrollen erfasst. Der DSMS liegt in Europa im Mittel bei 40 von 100.

Im starken Kontrast dazu steht die KI-Governance. Hier steht der AI Governance Maturity Score (AIGMS) im Fokus, der die Governance-Fähigkeit von KI-Systemen und -Agenten misst. Dieser besteht aus 19 binären Governance-Fähigkeiten für KI-Daten. Er liegt in Europa im Mittel bei 33 und damit hinter Nordamerika (39) und dem Nahen Osten (34). Das globale Umfragemittel liegt bei 35. Kombiniert zeigen beide Werte, ob die Kontrollen sowohl im Zusammenwirken mit Menschen als auch mit Agenten greifen.

Daraus ergibt sich ein mittlerer Compliance-Readiness-Index (DSCRI) von 15, gleichauf mit dem Nahen Osten als niedrigster Wert aller Regionen und deutlich unter dem Nordamerikas (19). Das globale Mittel liegt bei 16,2. Die europäischen Unternehmen zeichnen damit ein klar erkennbares Profil: eine Sicherheitsinfrastruktur, die den Rest der Welt übertrifft, gepaart mit einer KI-Governance, die hinterherhinkt.

CISO AI Risk Report 2026

Keine Kontrolle über KI-Identitäten

Compliance mit hohen KI-spezifischen Anforderungen

Passend dazu, stufen Unternehmen in Europa deutlicher als jede andere Region KI-spezifische regulatorische Anforderungen als ihre größte Compliance-Herausforderung ein. 29 Prozent nennen sie als Sorge Nummer eins. Dem gegenüber stehen 24 Prozent in Nordamerika und 7 Prozent im Nahen Osten. Weltweit hatten 63 Prozent mit Konsequenzen im Bereich der Compliance zu kämpfen. Die Quote in Europa ist mit 57 Prozent die niedrigste aller Regionen, verglichen mit 69 Prozent in Nordamerika und 76 Prozent im Nahen Osten.

Ob diese niedrigere europäische Quote auf ausgereiftere Compliance-Programme, geringere Durchsetzungsmaßnahmen oder eine zu geringe Meldungsquote zurückzuführen ist, lässt sich anhand der Umfragedaten allein nicht klären. Aber regulatorische Sorge hat sich nicht in stärkere KI-Governance übersetzt.

Fehlende KI-Kontrolle trifft auf strenge EU-Gesetze

Ein ähnliches Muster zeigt sich bei den europäischen Befragten beim Erkennen von Schwachstellen. Europäische Unternehmen verzeichnen monatlich 11 Prozent Schatten-KI-Nutzung, gegenüber 24 Prozent in Nordamerika, und melden KI-Tool-Datenexpositionsvorfälle zu 20 Prozent, gegenüber 36 Prozent in Nordamerika. Diese niedrigeren Zahlen können einerseits kontrollierte Umgebungen widerspiegeln, andererseits kann eine geringere Erkennungsrate aber auch längere unentdeckte Expositionen bedeuten.

Autonome KI-Agenten handeln schneller als Security-Teams reagieren

Schatten-KI und Maschinenidentitäten überfordern Unternehmen

Europas Problem liegt in der Governance-Architektur

Das Kontrolldefizit, das hinter diesen Zahlen steht, ist jedoch global, nicht nur europäisch. 74 Prozent der befragten Unternehmen weltweit verfügen über keine Zweckbindung für die KI-Datennutzung und mehr als 31 Prozent fehlt ein Eindämmungsmechanismus. Die Audit-Pflichten von DORA, NIS2 und dem EU AI Act setzen zwar inzwischen Fristen. Die Hälfte der befragten Unternehmen gab jedoch an, diese nicht einhalten zu können.

Marc ten Eikelder, Senior Director Marketing EMEA bei Kiteworks, sieht das Problem vor allem in der fehlenden Governance-Architektur Europas. Entsprechend merkt er an: „Die Region steht unter dem stärksten regulatorischen Druck und wandelt ihn dennoch nicht in KI-Governance-Fähigkeit um. DSGVO, DORA, NIS2 und der EU AI Act verlangen alle Nachweise von denselben Teams. Die Unternehmen, die die Lücke schließen, müssen eine einzige Richtlinien-Engine und ein einziges Audit-Log bauen, das Menschen und Agenten gleichermaßen erfasst und alle Rechtsvorschriften gleichzeitig bedient.“

Bedrohungen und Angriffspunkte

Die unterschätzten Risiken agentischer KI‑Systeme

(ID:50921209)