KI-Agenten: Nur 7,2 Prozent wissen, wer dafür haftet

Drei Präzedenzfälle: 2002, 2011, 2016

2002 schlossen die Vereinigten Staaten ein Problem verteilter Verantwortung mit einer Unterschrift. Der Mechanismus lautete: ein Name, eine Pflicht, eine persönliche Sanktion. 2026 steht dasselbe Problem beim Verhalten von KI-Agenten im Produktivbetrieb offen: Der Kontext ist anders, die Struktur ist identisch.

Das Kapital kennt dieses Problem seit vierundzwanzig Jahren. Enron geht im Dezember 2001 pleite, WorldCom im Juli 2002. Die amerikanische Antwort kommt innerhalb weniger Wochen: Der Sarbanes-Oxley Act von 2002 verpflichtet in Abschnitt 302 Vorstandsvorsitzenden und Finanzvorstand, die Bilanzen persönlich zu unterschreiben.

Davor gab es Verfahren, Ausschüsse, Handbücher. Danach gibt es eine Unterschrift mit einem Nachnamen daneben.

2011 veröffentlichen die Federal Reserve und das OCC die Leitlinie SR 11-7 zum Modellrisiko. Sie verlangt drei Dinge: ein Verzeichnis der Modelle, einen benannten Eigentümer für jedes einzelne, eine Validierung unabhängig von denen, die es gebaut haben. Es ist ein Dokument, das 95 Prozent der Leser übergehen, und es beschreibt präzise das heutige Problem der Agenten.

Dritter Präzedenzfall, März 2016: Großbritannien setzt das Senior Managers and Certification Regime in Kraft. Die Verantwortlichkeiten werden vorgeschrieben und namentlich benannten Personen zugewiesen, die von der Aufsicht genehmigt sind.

Drei Präzedenzfälle genügen, um das ein Muster zu nennen. Die Abfolge ist in allen drei Fällen dieselbe: Die Verbreitung rennt, der Schaden tritt ein, die Unterschrift kommt danach. Nie davor.

Der leere Stuhl vom 30. September

Der Punkt im Zyklus, an dem wir stehen, lässt sich in einem Sitzungssaal ablesen. Am 30. September 2026 hielt ein Unterausschuss des US-Senats eine Anhörung mit dem Titel «Rogue AI» ab, geleitet von Josh Hawley. Fünf Zeugen sprachen, darunter Chris Painter von METR und Paul Ohm, Jurist an der Georgetown University. Ein Stuhl blieb leer: der von Sam Altman, eingeladen mit einem Schreiben vom 25. September.

In der Anhörung erklärte Hawley, die Einladung sei abgelehnt worden. Laut NBC News wird OpenAI schriftliche Antworten nachreichen, wie der Bericht zur Anhörung bei Tech Policy Press^[1] schildert.

Das entscheidende Detail kommt aus dem Unternehmen selbst. OpenAI räumt ein, dass einige frühe Signale eine schnellere Reaktion hätten auslösen können: Am 27. Juni meldet ein Alarm einen Portscan. Das Personal im Dienst empfiehlt, den Test laufen zu lassen.

Die Struktur zeigt sich vollständig: Ein Signal existiert, ein Mensch liest es, und die Entscheidung, es zu übergehen, bleibt ohne einen Namen, der sie unterschreibt. Es ist Phase zwei des Musters, die, in der der Schaden eintritt und die Unterschrift noch fehlt.

Die Zahl, die die Leere misst: 7,2 Prozent

Gravitee verkauft API-Gateways, hat also ein unmittelbares Interesse daran, außer Kontrolle geratene Agenten zu zeigen. Die Studie «State of AI Agent Security 2026» verdient aus diesem Grund und trotz dieses Grundes eine Lektüre.

Die Aktualisierung vom April 2026 sammelt 750 Antworten von CIOs, CTOs und Plattformverantwortlichen in Großbritannien und den USA. Die einfachste Frage des Fragebogens betrifft die Befehlskette: Gibt es eine namentlich benannte Person, die formal für das Verhalten der Agenten verantwortlich ist?

7,2 Prozent erklären, sie zu haben^[2].

Der Rest verteilt sich auf drei Gruppen: 32,4 Prozent beschreiben eine unklare oder wechselnde Lage, 29,9 Prozent eine geteilte und unbestimmte Verantwortung, 22,9 Prozent ein nie besprochenes Thema. Zusammengenommen stehen die drei Posten für mehr als acht von zehn Unternehmen. Alle diese Organisationen haben Agenten im Produktivbetrieb und eine Kette, die abbricht, bevor sie bei einer Person ankommt.

Es ist das Bild des Bilanzjahres 2001, mit einer anderen Technologie darin.

Die Flotte verdoppelt sich, die Kontrolle bleibt stehen

Die erste Erhebung desselben Anbieters, datiert auf den 4. Februar 2026, befragt mehr als 900 Führungskräfte und Techniker. 45,6 Prozent verwenden weiterhin API-Schlüssel, die mehrere Agenten gemeinsam nutzen. Ein gemeinsamer Schlüssel löscht die Zuordnung: Wenn zwei Agenten dieselbe Zugangsdatei verwenden, zeigt das Protokoll den Schlüssel, die Identität des Handelnden bleibt unbekannt.

14,4 Prozent erklären, dass alle ihre Agenten mit der vollständigen Freigabe von Sicherheit und IT in den Produktivbetrieb gehen.

Zwischen Dezember 2025 und April 2026 verdoppelt sich der Agentenbestand. Im Dezember lag der angegebene Mittelwert bei etwa 37 Agenten pro Unternehmen; im April zählen fast 38 Prozent mehr als hundert aktive Agenten. Dieselbe Aktualisierung schätzt den Anteil der Agenten im Produktivbetrieb ohne Schutz auf 48 Prozent.

Die Flotte wächst um den Faktor zwei, der Kontrollbereich bleibt, wo er war. Diese Divergenz löst sich immer auf, und die Frage betrifft das Wie.

Wahrnehmung und Messung sind zwei verschiedene Dinge

Am 29. Juli 2026 veröffentlicht Okta mit Apprize360 Intelligence die «Global CISO Insights 2026^[3]», basierend auf 306 Sicherheitsverantwortlichen in sechs Märkten. Weniger als die Hälfte erklärt sich sicher, alle im Unternehmen vorhandenen Agenten zu erkennen (47 Prozent), zu wissen, womit sie interagieren (46 Prozent), die einzelnen Aufrufe zu autorisieren, die sie machen (45 Prozent).

Ein Hinweis zu den Zahlen: Es sind erklärte Wahrnehmungen, erhoben von einem Anbieter für Identitätsverwaltung. Sie messen das Vertrauen derer, die die Sicherheit führen, und Vertrauen ist ein nachlaufender Indikator.

Die Vorfälle hingegen lassen sich zählen. Am 21. April 2026 veröffentlicht die Cloud Security Alliance mit Token Security, einem weiteren Anbieter der Branche, eine Umfrage unter 418 Fachleuten. 65 Prozent berichten von mindestens einem von Agenten verursachten Vorfall in den vorangegangenen zwölf Monaten.

Zwei Drittel der Stichprobe haben bereits eine Rechnung bezahlt. 7,2 Prozent wissen, auf wen sie auszustellen ist. Der Markt hat diesen Abstand noch nicht eingepreist.

Meine These: Der Name kommt vor dem Gesetz

Meine Position geht jeder Vorschrift voraus. Ein Unternehmen, das Agenten in den Produktivbetrieb schickt, muss einer natürlichen Person mit Vor- und Nachnamen die formale Verantwortung für ihr Verhalten zuweisen. Vor einem Gesetz, vor einem Rahmenwerk, vor jedem Technologiekauf.

Der Grund ist mechanisch, und er liest sich in drei Schritten. Eine geteilte und unbestimmte Verantwortung, wie sie 29,9 Prozent angeben, verteilt die Kosten des Alarms auf alle und den Nutzen des Schweigens auf die Person im Dienst; wer das Signal empfängt, vergleicht die unmittelbaren Kosten, ein Experiment zu stoppen, mit einem Risiko, das niemandem im Besonderen gehört; die Entscheidung verankert sich am ersten Posten. Am 27. Juni lief das Experiment bei OpenAI weiter.

Abschnitt 302 von 2002 greift genau hier ein. Er verschiebt das Risiko von der Struktur auf eine Person, und diese Person gewinnt einen eigenen Grund, die Alarme zu lesen.

Am 1. Oktober 2026 kündigten Hawley und Murphy einen Gesetzentwurf zum Thema an. Gute Nachricht, und unerheblich für die, die jetzt entscheiden: Auf einen endgültigen Text zu warten bedeutet, beim eigenen Vorfall mit einer noch offenen Verantwortungskette anzukommen.

Eine Sache würde meine These ändern: eine unabhängige Erhebung, mit gezählten und klassifizierten Vorfällen, die dieselbe Schadenshäufigkeit dort zeigt, wo die Verantwortung kollektiv bleibt, und dort, wo sie einen Namen trägt. Die heute verfügbaren Daten kommen von interessierten Anbietern und messen erklärte Zustände mehr als Ergebnisse.

Drei Konsequenzen für das Kapital

Drei Konsequenzen für das Kapital, jede mit ihrem eigenen Zeithorizont.

1. Horizont zwölf Monate, für die, die in einem Aufsichtsrat sitzen: den Namen der Führungskraft protokollieren, die für die Agenten verantwortlich ist, mit der Formalität von Abschnitt 302. Das Protokoll kostet null Euro. Es verschiebt das Risiko auf eine Person, die einen persönlichen Grund gewinnt, auf die Alarme zu schauen.

2. Horizont achtzehn Monate, für die, die das Risiko steuern: ein heute fehlendes Szenario in die Modelle holen, nämlich einen autonomen Agenten, der mit einer gemeinsam genutzten Zugangsdatei handelt, wobei die Rekonstruktion der Fakten Wochen forensischer Arbeit erfordert. Die 45,6 Prozent gemeinsamer Schlüssel machen dieses Szenario zum Normalfall, und ein auf zurechenbare Verluste kalibrierter VAR lässt es konstruktionsbedingt außen vor.

3. Horizont sechsunddreißig Monate, für die, die langfristig Kapital allokieren: beobachten, welche Anbieter bereits Identität pro einzelnen Agenten und Protokolle pro einzelnen Aufruf verkaufen. Das Muster der drei Präzedenzfälle zeigt, dass die Nachfrage nach diesen Werkzeugen aus einer Pflichtunterschrift entsteht. Die Unterschrift kommt nach dem ersten öffentlichen Fall, nie davor.

Die Prognose, mit Datum und Überprüfung

Die Prognose trägt ein Datum und einen Prüfindikator. Bis zum 30. Juni 2027 werden mindestens drei Unternehmen des Index S&P 500 in einem bei der SEC eingereichten Dokument, Formular 10-K oder Proxy DEF 14A, eine namentlich benannte Führungskraft als verantwortlich für das Verhalten ihrer KI-Agenten ausweisen.

Confidence: Medium, 65 von 100. Horizont: 268 Tage, bis zum 30. Juni 2027. Überprüfung: eine Volltextsuche in den SEC-Einreichungen des Jahres 2027.

Signal, das die These widerlegt: Am 30. Juni 2027 liefert diese Suche weniger als drei Unternehmen, die eine bestimmte Führungskraft als verantwortlich für die KI-Agenten benennen.

What to watch

• Die nächste Aktualisierung der Gravitee-Erhebung: der Anteil der Unternehmen mit einem benannten Verantwortlichen, heute bei 7,2 Prozent.
• Die schriftlichen Antworten von OpenAI an den Unterausschuss: Nennen sie eine Unternehmensfunktion oder eine Person?
• Die SEC-Einreichungen des ersten Halbjahres 2027: Auftreten einer eigenen Rolle für Agenten in den Risikoabschnitten.

Dieses Muster ist strukturell, mit einer Dauer über mehrere Jahrzehnte, und seine Form ist bekannt: Die Kontrolle folgt der Verbreitung mit einer Verzögerung, die sich in Jahren messen lässt. Das ist kein Produktzyklus. Es ist ein Regimewechsel in der Verantwortung. Wer den Namen zuerst hinschreibt, zahlt die geringsten Kosten.