Im September 2026 hat Ernst & Young in New York die Ergebnisse einer Befragung unter 202 US-Führungskräften veröffentlicht, die in ihren Unternehmen unmittelbar für KI-Systeme, deren Steuerung oder deren Prüfung zuständig sind. 98 Prozent gaben an, ihr Unternehmen habe formale Richtlinien für den Umgang mit Künstlicher Intelligenz. Im selben Fragebogen räumten 47 Prozent ein, ihr Unternehmen habe diesen Prozess bei dringenden Einführungen schon einmal nicht befolgt.
Man kann das für einen Widerspruch halten. Ich halte es für eine Messung.
Beide Zahlen stammen aus derselben Erhebung und beschreiben dieselben Menschen. Sie widersprechen sich nicht — sie beschreiben zwei verschiedene Gegenstände: die Richtlinie und ihre Geltung. Das eine ist ein Dokument, das andere eine Praxis. Ob zwischen beiden eine Verbindung besteht, ist keine rhetorische Frage. Sie lässt sich untersuchen, und sie ist untersucht worden.
Zwei Methoden, zwei Zahlen
Wer wissen will, wie verbreitet KI-Governance tatsächlich ist, hat zwei Wege. Der erste: Führungskräfte fragen. Der zweite: nachlesen, was Unternehmen selbst veröffentlichen, wenn sie für die Angabe rechtlich einstehen müssen.
Glass Lewis hat den zweiten Weg genommen und die Proxy Statements der S&P-100-Unternehmen für das Berichtsjahr 2025 ausgewertet — jene Dokumente, mit denen börsennotierte US-Konzerne ihre Aktionäre vor der Hauptversammlung unterrichten. Ergebnis: 54 Prozent legten eine Aufsicht über KI auf Ebene des Boards offen, 45 Prozent verfügten über eine KI-Richtlinie. Beides zusammen fand sich bei 28 Prozent.
ISS STOXX hat dieselbe Frage breiter gestellt und im Januar 2026 die Offenlegungen von 3.048 Unternehmen aus Russell 3000 und S&P 500 ausgewertet. Dort legten 245 Unternehmen eine Aufsicht auf Board-Ebene offen, also 8 Prozent, und 275 eine KI-Richtlinie, also 9 Prozent. Der Befund der Autoren: Für den größten Teil des Marktes finde die Einführung von KI derzeit in einem „policy vacuum“ statt.
Die 98 Prozent und die 45 Prozent lassen sich nicht direkt gegeneinanderstellen, und ich tue es auch nicht. Die Grundgesamtheiten unterscheiden sich, vor allem aber der Gegenstand: Offenlegung ist nicht dasselbe wie Existenz. Ein Unternehmen kann eine ausgezeichnete KI-Richtlinie haben und sie im Proxy Statement nicht erwähnen, weil kein Gesetz es verlangt. Der Abstand ist kein Beweis für Unaufrichtigkeit.
Er zeigt etwas anderes, und das ist interessanter: Was Führungskräfte über ihr Unternehmen sagen und was ihr Unternehmen für berichtenswert hält, sind zwei unabhängige Größen. Wo eine KI-Richtlinie nicht einmal in dem Dokument vorkommt, in dem ein Board seine eigene Aufsicht darstellt, ist sie jedenfalls kein Gegenstand dieser Aufsicht.
Eine dritte Messung liegt dazwischen. Der Berufsverband ISACA hat im Mai 2026 über 3.400 Fachleute aus IT-Prüfung, Governance und Informationssicherheit befragt: 90 Prozent gehen davon aus, dass in ihrer Organisation KI genutzt wird; 38 Prozent berichten eine formale, umfassende Richtlinie, 25 Prozent gar keine. Ein Jahr zuvor waren es 28 Prozent mit Richtlinie. Die Lücke schließt sich also — langsamer, als die Nutzung wächst. Und weil ISACA die eigenen Mitglieder befragt, also ein überdurchschnittlich governance-affines Publikum, dürfte der reale Abstand eher größer sein als kleiner.
Ein Begriff aus dem Jahr 1977
Für das Muster gibt es seit fast fünfzig Jahren einen Namen. John Meyer und Brian Rowan haben 1977 beschrieben, dass Organisationen formale Strukturen nicht nur deshalb übernehmen, weil sie funktionieren, sondern weil ihre Umwelt sie erwartet. Solche Strukturen verschaffen Legitimität. Und weil sie den laufenden Betrieb stören würden, wenn man sie ernst nähme, werden sie von ihm entkoppelt. Die Struktur bleibt stehen, die Arbeit läuft daneben weiter.
Patricia Bromley und Walter Powell haben den Begriff 2012 geschärft und in zwei Varianten zerlegt. Die erste ist die bekannte: Eine Richtlinie wird beschlossen und nicht umgesetzt — policy-practice decoupling. Die zweite ist die unangenehmere: Die Richtlinie wird sehr wohl umgesetzt, aber die Umsetzung hat den Bezug zu ihrem Zweck verloren — means-ends decoupling. Es wird dokumentiert, geprüft, freigegeben und berichtet, und nichts davon macht das Ergebnis besser.
Für KI-Governance ist die zweite Variante die gefährlichere. Die erste erkennt man daran, dass nichts passiert. Die zweite erkennt man an gar nichts — sie erzeugt Aktivität, Artefakte und Berichte. Sie sieht aus wie Arbeit.
Eine Richtlinie, die einer Organisation aufgesetzt wird, ohne dass ihre Entscheidungswege sie berühren, verhält sich wie ein aufgepfropfter Trieb, dessen Schnittflächen sich nicht treffen. Er bleibt eine Weile grün, weil noch Saft in ihm ist. Verwachsen wird er nicht.
Was Praktiker berichten
Ravit Dotan, Tomer Gershoni, Irit Hadar und Gil Luria haben diese Theorie erstmals systematisch auf KI angewandt. Ihre Arbeit erschien im April 2026 in Empirical Software Engineering: 32 halbstrukturierte Interviews, geführt zwischen Juni und November 2024, mit Menschen aus technischen Rollen, Führungsrollen, nicht-technischen Rollen und eigens eingerichteten KI-Ethik-Rollen — in Unternehmen von vier bis über hunderttausend Beschäftigten.
Zwölf der 32 Interviews ordnen die Autoren dem negativen Decoupling zu, also mehr Erklärung als Praxis. Darunter ein Profil, das sie Policy Focus nennen: Es entstehen Richtlinien, und die Arbeit an der Umsetzung bleibt aus. Ein zweites heißt Standstill — ausgearbeitete Rahmenwerke ohne praktische Anwendung.
Der bemerkenswertere Befund ist der andere. Acht der 32 Interviews zeigen positives Decoupling — Organisationen, die mehr tun, als sie erklären. Fünf davon im Profil Operations Focus: gelebte Praxis ohne formale Struktur. Entkopplung läuft also in beide Richtungen. Das Vorhandensein einer Richtlinie sagt wenig über die Praxis. Ihr Fehlen ebenfalls.
Zur Einordnung: 32 Interviews sind keine repräsentative Stichprobe, und rund zwei Drittel der Befragten arbeiten in den USA. Die Arbeit erklärt die Mechanik des Problems; über seine Verbreitung sagt sie nichts.
Wo sich die Lücke gerade weitet
Zurück zur EY-Erhebung, diesmal mit dem nötigen Vorbehalt. 202 Befragte ergeben eine Fehlermarge von ±7 Prozentpunkten; befragt wurden ausschließlich börsennotierte US-Unternehmen ab einer Milliarde Dollar Jahresumsatz; das Feld lief vom 28. Mai bis zum 15. Juni 2026; Auftraggeber ist der Prüfungsbereich von EY, der die naheliegende Abhilfe verkauft. Für den deutschen Mittelstand lässt sich daraus nichts ableiten. Als Richtungsangabe für große, KI-affine Konzerne taugt es.
91 Prozent der Befragten geben an, ihr Unternehmen setze agentische KI ein — als Pilot oder im Regelbetrieb. Von dieser Teilgruppe sagen 49 Prozent, das bestehende Governance-Rahmenwerk sei dafür noch nicht angepasst worden. Und 26 Prozent dieser Teilgruppe antworten, ihr Unternehmen könne nicht autorisierte KI-Agenten im eigenen Haus nicht erkennen.
Bei der letzten Zahl lohnt ein Moment. Wer nicht autorisierte Systeme nicht erkennen kann, weiß per Definition nicht, wie viele es gibt. Die 26 Prozent sind die Selbsteinschätzung derer, denen diese Lücke bewusst ist. Über die übrigen 74 Prozent ist damit nichts gesagt.
Unabhängig von Befragungen steigt die Zahl dokumentierter Vorfälle. Der AI Index Report der Stanford University weist für 2025 362 in der AI Incident Database erfasste Vorfälle aus, gegenüber 233 im Jahr 2024; bis 2022 lag die Jahreszahl unter hundert. Der Report benennt die Grenzen dieser Reihe selbst: Die Einträge werden redaktionell geprüft, die Abdeckung ist auf englischsprachige Medien und sichtbare Fälle verzerrt. Gemessen wird die Berichterstattung, nicht die Wirklichkeit. Die Steigung bleibt trotzdem bemerkenswert.
Die Pflicht ohne Bußgeld
Seit dem 2. Februar 2025 gilt Artikel 4 der KI-Verordnung. Er verpflichtet Anbieter und Betreiber von KI-Systemen — also auch jede Organisation, die KI nur einkauft und benutzt —, Maßnahmen zu ergreifen, damit ihr Personal über ausreichende KI-Kompetenz verfügt. Die Änderungsverordnung (EU) 2026/1744, seit dem 27. Juli 2026 in Kraft, hat die Formulierung abgeschwächt: Aus dem Sicherstellen wurde ein Unterstützen, und ein bestimmtes Kompetenzniveau für eine bestimmte Person muss niemand garantieren. Aufgehoben wurde die Pflicht nicht.
Nun das Detail, das in den meisten Zusammenfassungen fehlt: Artikel 4 steht nicht im Bußgeldkatalog. Artikel 99 Absätze 3 bis 5 zählen auf, welche Verstöße mit welchen Beträgen belegt werden — Artikel 5, die Artikel 16, 22 bis 24 und 26, die Vorschriften für notifizierte Stellen, Artikel 50. Artikel 4 kommt darin nicht vor.
Daraus folgt nicht, dass er folgenlos wäre. Artikel 99 Absatz 1 verpflichtet die Mitgliedstaaten, für jeden Verstoß gegen die Verordnung Sanktionen und andere Durchsetzungsmaßnahmen vorzusehen, ausdrücklich auch nichtmonetäre. In Deutschland ist seit dem 29. Juli 2026 das KI-Marktüberwachungs- und Innovationsförderungsgesetz in Kraft; die Bundesnetzagentur ist nationale Marktüberwachungs-, Anlauf- und Beschwerdestelle. Juristische Kommentierungen weisen zudem auf zwei weitere Wege hin: Ein Unterlassen kann in Haftungsfragen als Verletzung der Sorgfaltspflicht gewertet werden, und Beschäftigte könnten daraus Ansprüche auf Qualifizierung ableiten.
Eine Pflicht ohne festen Bußgeldrahmen ist damit nicht die harmlosere, sondern die schlechter planbare. Ein Bußgeld lässt sich beziffern, ins Risikoregister schreiben und gegen den Aufwand halten. Eine Sorgfaltspflicht zeigt sich erst, wenn etwas passiert ist — und dann rückwirkend.
Die Rolle ohne Befugnis
Bleibt die Frage, woran man vorab erkennt, auf welcher Seite der Lücke eine Organisation steht. Ein brauchbarer Indikator ist nicht die Existenz einer Richtlinie, sondern die Befugnis derer, die sie verantworten.
Victor Frimpong und Ortopah Kojo Botchey haben dazu im April 2026 eine Kartierung vorgelegt: 351 Organisationen weltweit, befragt wurden Personen mit KI-Verantwortung auf Leitungsebene. Bei 6,3 Prozent der 351 Organisationen ist die KI-Governance-Rolle in der Geschäftsführung angesiedelt. Nach dem Grad ihrer Befugnis geordnet — wieder bezogen auf alle 351 — ist sie bei 32,2 Prozent beratend — einflussreich, aber ohne Entscheidungsrecht — und nur bei 16,5 Prozent befugt, ein KI-System zu genehmigen oder zu verhindern.
Eines ihrer vier Muster nennen die Autoren Symbolic Governance: Rollen, die es formal gibt, ohne Ressourcen und ohne Durchgriff. Auch hier gilt der Vorbehalt — Schneeballverfahren, Selbstauskunft, eine einzelne Studie in einem Verlag mit gemischtem Ruf. Aber die Größenordnung deckt sich mit den Offenlegungsanalysen und mit dem, was Bromley und Powell means-ends decoupling nennen. Es gibt jemanden. Er darf nur nichts.
Was daraus für Führung folgt
Erstens: Prüfen Sie nicht, ob es eine Richtlinie gibt, sondern wann sie zuletzt eine Entscheidung verändert hat. Die brauchbare Frage lautet nicht „Haben wir eine KI-Richtlinie?“, sondern: Welches Vorhaben wurde in den vergangenen zwölf Monaten auf ihrer Grundlage angehalten, umgebaut oder abgelehnt? Lautet die Antwort „keines“, gibt es zwei Möglichkeiten — entweder war alles in Ordnung, oder die Richtlinie ist entkoppelt. Von außen sehen beide gleich aus.
Zweitens: Statten Sie die Rolle mit einer Befugnis aus, bevor Sie sie besetzen. Eine Governance-Funktion ohne Freigaberecht ist eine Berichtsfunktion. Das kann sinnvoll sein — nur sollte man es dann auch so nennen und nicht für Aufsicht halten.
Drittens: Trennen Sie Kompetenz vom Schulungsnachweis. Artikel 4 verlangt Maßnahmen, keine Zertifikate. Eine Teilnahmepflicht für ein einstündiges Video erzeugt eine Teilnehmerliste. Ob danach jemand erkennt, wann ein Modell plausibel klingt und falsch liegt, steht auf einem anderen Blatt — und genau das ist die Fähigkeit, um die es geht.
Viertens: Führen Sie ein Verzeichnis, bevor Sie eine Richtlinie schreiben. Beaufsichtigen lässt sich nur, was man kennt. Solange niemand sagen kann, welche KI-Systeme im Haus laufen, in wessen Auftrag und mit welchen Zugriffsrechten, regelt die schönste Richtlinie einen unbekannten Gegenstand. Wie schnell dieser Gegenstand wächst, zeigt die amtliche Statistik: Der Anteil der EU-Unternehmen ab zehn Beschäftigten, die KI einsetzen, stieg von 13,5 Prozent im Jahr 2024 auf 20,0 Prozent im Jahr 2025. In Deutschland liegt er bei 26 Prozent, bei Unternehmen ab 250 Beschäftigten bei 57 Prozent.
Fünftens: Behandeln Sie die verschobenen Hochrisiko-Fristen nicht als Aufschub. Der Digital Omnibus hat Anhang III auf den 2. Dezember 2027 und Anhang I auf den 2. August 2028 verschoben. Artikel 4 gilt seit Februar 2025, die Transparenzpflichten des Artikels 50 seit August 2026. Verschoben wurde der Teil, der die meiste Arbeit macht — nicht der, der schon gilt. Was seit August gilt, steht ausführlicher im Beitrag zum EU AI Act.
Sechstens: Rechnen Sie damit, dass Sie besser sind als Ihr Papier. Acht von 32 Interviews zeigten positives Decoupling. Wenn in Ihrer Organisation vernünftige Praxis existiert, die nirgends beschrieben ist, dann ist das kein Mangel, den ein weiteres Dokument behebt. Es ist Substanz — und sie verschwindet an dem Tag, an dem die Person geht, die sie im Kopf hat.
Die Lücke, um die es geht, liegt nicht zwischen Technik und Regulierung. Sie liegt zwischen dem, was eine Organisation über sich aufschreibt, und dem, was sie entscheidet. Diese Lücke ist älter als Künstliche Intelligenz. Neu ist nur, dass sie inzwischen von Systemen ausgefüllt wird, die nicht auf die nächste Sitzung warten.
Hinweis zur KI-Nutzung: Recherche und Textfassung dieses Beitrags sind KI-gestützt entstanden. Jede Zahl wurde an der Originalveröffentlichung geprüft; Stichprobengrößen, Erhebungszeiträume und Auftraggeber sind im Text oder in der Quellenliste genannt. Umfragen aus Anbieter- oder Beratungshäusern sind als solche gekennzeichnet. Die Auswahl, die Einordnung und die Schlussfolgerungen verantworte ich.
Quellen
- Ernst & Young LLP (EY US): AI Risk and Governance Survey. Online-Befragung von 202 US-Führungskräften börsennotierter Unternehmen ab 1 Mrd. USD Umsatz, Feldzeit 28. Mai bis 15. Juni 2026, Fehlermarge ±7 Prozentpunkte. Pressemitteilung vom 15. September 2026. Auftraggeber ist der Assurance-Bereich von EY. ey.com
- Wenger, S. (Glass Lewis): US AI Oversight Through Three Lenses: Investor Expectations, the S&P 100 and Company-Specific Analysis. Harvard Law School Forum on Corporate Governance, 11. März 2026. Auswertung der Proxy Statements des S&P 100 für 2025. corpgov.law.harvard.edu
- Zeru, H. / Schultz, A. (ISS STOXX): Mind the Governance Gap: The State of Board Oversight and AI Policy in U.S. Companies, 3. März 2026. Auswertung der Offenlegungen von 3.048 Unternehmen aus Russell 3000 und S&P 500, Datenstand Januar 2026. iss-stoxx.com
- Dotan, R. / Gershoni, T. / Hadar, I. / Luria, G.: Decoupling in AI ethics: Learning how to walk the talk. Empirical Software Engineering 31, Artikel 131, online 30. April 2026, DOI 10.1007/s10664-026-10861-z. 32 halbstrukturierte Interviews, Juni bis November 2024. doi.org
- Frimpong, V. / Botchey, O. K.: Where Are the AI Governance Roles? Businesses 6(2), Artikel 18, April 2026, DOI 10.3390/businesses6020018. Online-Befragung von 351 Organisationen; Schneeballverfahren, Selbstauskunft. doi.org
- Meyer, J. W. / Rowan, B.: Institutionalized Organizations: Formal Structure as Myth and Ceremony. American Journal of Sociology 83(2), 1977, S. 340–363, DOI 10.1086/226550. doi.org
- Bromley, P. / Powell, W. W.: From Smoke and Mirrors to Walking the Talk: Decoupling in the Contemporary World. Academy of Management Annals 6(1), 2012, DOI 10.5465/19416520.2012.684462. doi.org
- Stanford Institute for Human-Centered AI: The 2026 AI Index Report, Kapitel 3 „Responsible AI“, 2026. Vorfallszahlen aus der AI Incident Database; die Grenzen der Reihe sind dort benannt. hai.stanford.edu
- Eurostat: 20% of EU enterprises use AI technologies, 11. Dezember 2025. Amtliche IKT-Unternehmenserhebung, Referenzjahr 2025, Unternehmen ab zehn Beschäftigten. ec.europa.eu
- Statistisches Bundesamt: Unternehmen mit Nutzung von Technologien der künstlichen Intelligenz nach Beschäftigtengrößenklassen, Stand 24. November 2025, Berichtsjahr 2025. destatis.de
- Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 4 und Art. 99; Art. 4 und Art. 113 in der Fassung der Verordnung (EU) 2026/1744 vom 8. Juli 2026, in Kraft seit 27. Juli 2026. eur-lex.europa.eu
- ISACA: AI Use Accelerates While Governance and ROI Lag, 5. Mai 2026 — Befragung von über 3.400 Fachleuten aus IT-Audit, Governance und Informationssicherheit; Mitgliederbefragung mit Selbstselektion. 90 Prozent vermuten KI-Nutzung durch Beschäftigte, 38 Prozent berichten eine umfassende Richtlinie, gegenüber 28 Prozent im Vorjahr. isaca.org
- Bundesministerium für Digitales und Datenschutz: Neues KI-Gesetz tritt in Kraft, 29. Juli 2026 — KI-Marktüberwachungs- und Innovationsförderungsgesetz, Bundesnetzagentur als nationale Marktüberwachungs- und Anlaufstelle. bmds.bund.de
- Schulz, A. / Bohne, J. P. P.: Art. 4 KI-VO — KI-Kompetenz, Neufassung September 2026, zur fehlenden Nennung des Art. 4 im Bußgeldkatalog und zu mittelbaren Folgen. itmr-legal.de
Dieser Beitrag gibt eine fachliche Einschätzung wieder und ersetzt keine Rechtsberatung im Einzelfall.
