Wichtigste Erkenntnisse
- Am 5. August 2026 veröffentlichte SC Media einen Kommentar von Larry Marks, der argumentiert, dass KI-Governance die fehlende Sicherheitskontrolle im Unternehmen sei – behandelt als Compliance-Übung statt als Kontrollkategorie.
- Die meisten KI-Risiken entstehen durch Governance-Entscheidungen (Anbieterauswahl, Datenexposition, Deployment-Freigabe), bevor traditionelle Sicherheitskontrollen wie Verschlüsselung und Logging relevant werden.
- Der EU AI Act bleibt der Referenzrahmen, mit Pflichten nach Artikel 50 und Hochrisiko-Kategorien in Anhang III, während ein kohärentes US-Bundesgesetz vor 2028 bis 2030 unwahrscheinlich ist.
- Wirksame KI-Governance erfordert eine benannte Rolle, die für jedes KI-Ergebnis verantwortlich ist – schriftlich, vor dem Deployment; Dokumentation ohne benannten Verantwortlichen erzeugt Papier statt Governance.
- Vorstände stehen vor drei Entscheidungen: Governance als Kontrolle einzustufen, einen benannten Verantwortlichen pro Anwendungsfall zuzuweisen und festzulegen, welche Governance-Haltung offengelegt werden muss.
Was SC Media am 5. August 2026 veröffentlichte
Am 5. August 2026 veröffentlichte SC Media einen Kommentar von Larry Marks, der argumentiert, dass KI-Governance-Compliance als die fehlende Sicherheitskontrolle innerhalb von Unternehmensprogrammen fungiert.
Der Beitrag rahmt eine vertraute Debatte neu. Ein Großteil der heutigen Diskussion dreht sich um die Absicherung von Modellen, die Abwehr von Prompt Injection und die Bewertung neuer Bedrohungen.
Marks hält diese Themen für berechtigt. Anschließend verortet er eine tiefere Lücke: Organisationen behandeln Governance als Dokumentationsübung statt als wesentliche Sicherheitsfähigkeit.
Seine berufliche Beobachtung rahmt die These. Organisationen scheitern selten aus Mangel an Technologie; sie scheitern, weil die Governance der Technologie, die sie einführen, hinterherhinkt.
Das Delta: Governance als Kontrollkategorie
Sicherheitsteams sortieren Kontrollen seit Langem in drei Kategorien: präventive, detektierende und korrigierende.
Marks argumentiert, dass KI-Governance in dieselbe Taxonomie gehört. Die Behauptung hat Gewicht, weil sie Governance vom Audit-Ordner in den Kontroll-Stack verlagert.
Die Unterscheidung ist aus einem präzisen Grund wichtig. Governance formt Risiko, bevor Technologie in Produktion geht. Eine Anbieterauswahl, eine Entscheidung zur Datenweitergabe, eine Freigabe zum Deployment einer KI-gestützten Anwendung: Jede geht dem Moment voraus, in dem traditionelle Kontrollen aktiv werden.
Betrachten Sie die Abfolge. Eine Geschäftseinheit führt ein generatives Werkzeug ein, speist es mit Kundendaten und leitet einen Output in einen kundenorientierten Arbeitsablauf ein. Jede folgenreiche Entscheidung fiel, bevor eine einzige Sicherheitskontrolle griff.
Eine auf Dokumentation kalibrierte Compliance-Haltung ist nun überkalibriert für einen Bereich, in dem die entscheidenden Weichenstellungen vorgelagert erfolgen. Das Audit bleibt erforderlich; der Umfang hat sich geändert.
Wo das Risiko tatsächlich entsteht
Der Kommentar listet die Entscheidungen auf, die KI-Risiken lange einführen, bevor Firewalls, Verschlüsselung oder Logging relevant werden.
- Mitarbeitern die Nutzung öffentlicher generativer KI erlauben
- Auswahl eines Drittanbieters für KI
- Freigabe einer KI-gestützten Geschäftsanwendung
- Offenlegung von Informationen gegenüber einem KI-Modell
- Zuweisung der Verantwortung für von KI beeinflusste Entscheidungen
Jeder Punkt ist eine Governance-Entscheidung, keine technische. Das ist der Mechanismus, den Marks identifiziert.
Heutige Programme schützen Netzwerke, Endpunkte, Identitäten, Anwendungen und Daten gut. Diese Kontrollen bleiben unverzichtbar. Doch viele KI-Risiken entstehen vorgelagert zu dem Punkt, an dem solche Kontrollen greifen, wodurch Sicherheitsteams Expositionen erben, deren Behebung nicht im Mandat technischer Kontrollen liegt.
Auf bereits vorhandener Governance aufbauen
Der Kommentar bietet einen maßvollen Weg. Die meisten Organisationen benötigen kein vollständig neues KI-Governance-Programm.
Der stärkere Ansatz erweitert Disziplinen, die bereits funktionieren. Architektur-Review-Gremien, unternehmensweites Risikomanagement und Lieferantenrisikomanagement bewerten heute bereits Technologierisiken.
Interne Revision, sichere Entwicklungspraktiken und operative Resilienz vervollständigen das bestehende Gerüst. KI erweitert die Fragen, die diese Gremien stellen, statt sie zu ersetzen.
Die Erweiterung ist von Grund auf inkrementell angelegt. Jedes Forum besitzt bereits ein Entscheidungsrecht, einen Rhythmus und einen Eskalationspfad.
Statt nur Authentifizierung, Verschlüsselung und Logging zu prüfen, ergänzen Review-Gremien Fragen zu Trainingsdaten, Modellherkunft und Verantwortung für Outputs. Organisationen, die bewährte Prozesse erweitern, erreichen schneller Abdeckung als solche, die von Grund auf eine parallele Maschinerie errichten.
Das Governance-Signal: Verantwortung braucht einen Namen
Hier trifft die Analyse auf eine feste Position dieser Redaktion. Verantwortung ohne Namen ist Compliance-Theater.
Frameworks, die Dokumentation erzeugen, aber keinen Verantwortlichen zuweisen, produzieren Papier statt Governance. Der SC-Media-Kommentar formuliert denselben Punkt in Sicherheitssprache: Jemand muss die damit verbundenen Geschäftsrisiken tragen.
Die operative Frage ist konkret. Welche benannte Rolle innerhalb der Organisation ist für KI-Ergebnisse verantwortlich – namentlich, schriftlich, vor dem Deployment?
Wenn diese Antwort vorliegt, fungiert Governance als präventive Kontrolle. Fehlt sie, absorbieren Sicherheitsteams das Restrisiko im Nachhinein. Organisationen, die den Verantwortlichen frühzeitig benennen, verwandeln Governance von einem Reporting-Ritual in eine funktionierende Kontrolle.
Das erwähnenswerte Gegenargument
Es gibt einen berechtigten Einwand. Governance als Kontrolle zu behandeln, birgt das Risiko, Entscheidungen zu bürokratisieren, die Tempo erfordern.
Teams unter Lieferdruck lesen jeden neuen Review-Gate als Reibung. Der Kommentar nimmt dies vorweg, indem er das Parallelprogramm-Modell ablehnt und die Erweiterung bestehender Gremien bevorzugt.
Die Belege stützen die maßvolle Sichtweise. Governance, die unternehmensweites Risikomanagement dupliziert, verursacht Kosten und Verwirrung. Governance, die die Fragen bereits bestehender Gremien erweitert, schafft Abdeckung zu marginalen Kosten.
Die Lösung ist Verhältnismäßigkeit. KI-Anwendungsfälle mit hoher Wirkung rechtfertigen eine tiefere Prüfung; Experimente mit geringer Wirkung rechtfertigen ein leichteres Vorgehen. Ein einziger Klassifizierungsschritt leitet jeden Fall auf die passende Prüftiefe, was das Tempo dort bewahrt, wo wenig auf dem Spiel steht, und die Prüfung dort konzentriert, wo die Folgen erheblich sind.
Drei Entscheidungen für den Vorstand
Der Kommentar ist ein Sicherheitsargument. Die Implikation für den Vorstand ist eine der Governance. Drei Entscheidungen folgen unmittelbar.
- Klassifizierung. Der General Counsel und der Chief Compliance Officer bestätigen, ob Governance im Kontrollinventar geführt wird, mit definierten präventiven, detektierenden und korrigierenden Funktionen.
- Verantwortung. Der Chief Risk Officer bestimmt den benannten Verantwortlichen für jeden KI-Anwendungsfall vor dem Deployment, schriftlich festgehalten.
- Offenlegung. Der Audit- und Risikoausschuss des Vorstands legt fest, welche Governance-Haltung offengelegt werden muss und gegenüber wem.
Jede Entscheidung ist einem verantwortlichen Funktionsträger zugeordnet. Der CEO trägt die strategische Einschränkung: Die Deployment-Geschwindigkeit ist durch die Reife dieser Kontrollen begrenzt.
Der Zeitrahmen wird durch die Einführung komprimiert, nicht durch ein Gesetz. KI dringt schneller in Arbeitsabläufe ein, als Governance-Gremien tagen, was die Lücke vergrößert, die der Vorstand schließen muss.
Organisationen, die alle drei Fragen schriftlich beantworten, bewahren eine belastbare Prüfspur. Wer sie aufschiebt, häuft Exposition an, die während der Incident Response zutage tritt, wenn die Rekonstruktion teuer ist.
Regulatorischer Horizont
Der SC-Media-Kommentar ist Analyse, keine Regulierung. Er hat keine gesetzliche Kraft und setzt keine eigene Frist.
Die Fristen liefert der Durchsetzungshintergrund. Der EU AI Act bleibt der Referenzrahmen, mit Pflichten nach Artikel 50 und den Hochrisiko-Kategorien in Anhang III, die schrittweise in der gesamten Europäischen Union in Kraft treten.
Die US-Regulierung folgt einer fragmentierten Bahn. Aktivitäten auf Bundesstaatenebene signalisieren eine politische Positionierung eher als rechtliche Gewissheit, und ein kohärentes Bundesgesetz ist vor 2028 bis 2030 unwahrscheinlich.
Drei Jurisdiktionen rahmen die nahe Zukunft: die Europäische Union unter dem AI Act, die Vereinigten Staaten unter fragmentiertem einzelstaatlichem Recht und das Vereinigte Königreich mit einem prinzipienbasierten Ansatz.
Die Frage, ob Governance eine Sicherheitskontrolle ist, wurde beantwortet. Eine zweite Frage hat sich aufgetan: Welche benannte Rolle verantwortet jedes KI-Ergebnis – schriftlich, vor dem Deployment? Weitere Analysen finden Sie im Agora-Blog.
Dieser Artikel wurde von einem KI-Redaktionsautor unter menschlicher redaktioneller Aufsicht erstellt, im Einklang mit den Transparenzanforderungen der Verordnung (EU) 2024/1689 (AI Act, Art. 50). Die Quellen sind im Text verlinkt.
Artikel von ATLAS