Die Prognose: Im Jahr 2027 werden Käufer von KI-gestützten Dienstleistungen mit erheblichen Auswirkungen zunehmend aktuelle, für den konkreten Einsatz relevante Nachweise verlangen, bevor sie deren Nutzung aktivieren oder ausweiten.

Ein KI-Anbieter veröffentlicht eine neue Funktion. Die Entwicklung ist abgeschlossen, die Funktion verfügbar und Kunden können sie aktivieren.

Doch einige Kunden könnten zunächst zögern.

Die Frage ist, ob die zuvor bereitgestellten Absicherungsnachweise noch das abdecken, was der Dienst jetzt leisten kann. Eine abgeschlossene Sicherheitsprüfung oder eine frühere Bewertung kann Vertrauen in die ursprüngliche Bereitstellung schaffen, ohne Fragen zu neuen Funktionen, Datenverbindungen oder Betriebsbedingungen zu beantworten.

Wir gehen davon aus, dass diese Fragen im Jahr 2027 bei Kauf-, Aktivierungs- und Erweiterungsentscheidungen stärker in den Vordergrund rücken werden.

Damit verändert sich die kommerzielle Bedeutung der KI-Governance. Ein Anbieter kann technisch bereit sein, eine Funktion bereitzustellen, aber möglicherweise nicht nachweisen, dass seine Kontrollen für den Einsatz, den ein Kunde in Betracht zieht, weiterhin angemessen sind.

Die OneTrust-Studie zeigt, vor welchen Herausforderungen Unternehmen beim Nachweis stehen. Nur 28 % der Befragten geben an, dass Governance-Nachweise und Audit-Trails zu ihren aktuellen Governance-Aktivitäten gehören. Gleichzeitig priorisieren 38 % in den kommenden zwölf Monaten die Vorbereitung auf Vorschriften, Standards oder Audits.

Der Bericht untersucht außerdem neue Kundenerwartungen in Bezug auf Nachvollziehbarkeit, Überwachung und Eingriffsmöglichkeiten. Die Entwicklung geht hin zu einer Absicherung, die bei einer konkreten Geschäftsentscheidung hilft, statt sich ausschließlich auf Nachweise aus einer früheren Prüfung zu stützen.

Was ändert sich für Unternehmen?

Für KI-Anbieter kann die Fähigkeit, relevante Absicherungsnachweise bereitzustellen, zunehmend die Kundenakzeptanz und das Tempo der Ausweitung beeinflussen. Vertriebs-, Produkt-, Sicherheits- und Governance-Teams müssen klären, welche Nachweise für die jeweilige Funktion gelten und wer offene Bedenken ausräumen kann.

Für Käufer wird die Absicherung zu einem Teil der Entscheidung, ob sie einen Dienst aktivieren, seine Nutzung einschränken oder zusätzliche Kontrollen verlangen.

Finanz- und Geschäftsverantwortliche müssen möglicherweise auch abwägen, ob der Nutzen einer KI-Funktion ihre Betriebskosten und Risiken rechtfertigt, bevor sie ihre Investitionen ausweiten.

Worauf Sie 2027 achten sollten

• Kunden verlangen aktualisierte Absicherungsnachweise, bevor sie neue KI-Funktionen aktivieren.
• Verträge sehen bei wesentlichen Änderungen eine erneute Bewertung oder neue Nachweise vor.
• KI-bezogene Risiken werden bei Versicherungs- und Geschäftsentscheidungen stärker geprüft.

Die Prognose: Im Jahr 2027 werden führende Programme für KI-Agenten mit erheblichen Auswirkungen aufgabenspezifische Befugnisse, erprobte Eingriffsmöglichkeiten und unabhängig geschützte Aufzeichnungen in ihre Bereitstellungskriterien aufnehmen.

Ein Agent erhält den Auftrag, Cloud-Ausgaben zu senken und gleichzeitig Fristen für die Auftragsabwicklung einzuhalten. Er reduziert ungenutzte Kapazitäten und verschiebt Batch-Jobs; beide Maßnahmen liegen innerhalb seiner technischen Berechtigungen. Die Betriebskosten sinken, doch die nächtliche Auftragsabwicklung verfehlt ihre Frist. Jede Aktion war zwar einzeln zulässig, in ihrer Gesamtheit verletzten ihre Folgen jedoch eine Bedingung des vom Unternehmen genehmigten Auftrags.

Das veranschaulicht ein wachsendes Problem der Governance von KI-Agenten: Die Berechtigung, einzelne Aktionen auszuführen, belegt nicht, dass der Agent zu jedem Ergebnis befugt ist, das sich durch diese Aktionen erzielen lässt.

Wenn Unternehmen zunehmend vernetzte und autonome Workflows einsetzen, müssen sie festlegen, was Agenten erreichen dürfen, welche Zielkonflikte inakzeptabel sind und wann menschliches Eingreifen erforderlich ist.

Diese Befugnisse müssen auch nach der Bereitstellung wirksam bleiben.

Ein Agent, der eine weitere Verbindung oder Verantwortung erhält, kann Geschäftsergebnisse beeinflussen, die bei seiner ursprünglichen Genehmigung nie berücksichtigt wurden.

In der OneTrust-Studie berichten 48 % der Befragten, dass es im vergangenen Jahr mindestens einen Vorfall mit nicht genehmigten Aktionen von KI-Systemen oder -Agenten gab.

Nur 28 % berichten von Governance-Nachweisen und Audit-Trails.

Diese Ergebnisse machen Befugnisse für Aktionen und die Rekonstruktion von Vorfällen zu aktuellen betrieblichen Herausforderungen.

Die nächste Herausforderung besteht darin festzustellen, ob ein Agent innerhalb des genehmigten Zwecks gehandelt hat.

Eine Aufzeichnung technisch zulässiger Aktionen kann dabei helfen, den Ablauf zu erklären. Um das Gesamtergebnis zu bewerten, müssen die Aktionen und ihre Folgen jedoch mit den genehmigten Grenzen der Aufgabe abgeglichen werden.

Was ändert sich für Unternehmen?

Unternehmen, die Workflows mit KI-Agenten und erheblichen Auswirkungen ausweiten, benötigen strengere Bereitstellungskriterien.

Die Geschäftsverantwortlichen müssen inakzeptable Ergebnisse definieren, während Sicherheits- und Engineering-Teams testen, ob Einschränkungen, Eskalationen und der Entzug von Befugnissen dort funktionieren, wo Aktionen ausgeführt werden.

Audit- und Governance-Teams benötigen Aufzeichnungen, die der handelnde Agent nicht eigenständig verändern kann. So können sie wichtige Entscheidungen rekonstruieren und Fehler über vernetzte Systeme hinweg untersuchen.

Wenn diese Bedingungen nicht nachgewiesen werden können, müssen Unternehmen möglicherweise die Befugnisse eines Agenten einschränken oder menschliche Kontrollpunkte beibehalten.

Worauf Sie 2027 achten sollten

• Prüfungen vor der Bereitstellung von Agenten, die Geschäftszweck und Aufgabengrenzen ausdrücklich festlegen.
• Tests, die zeigen, dass nicht autorisierte Aktionen gestoppt oder eskaliert werden können.
• Unabhängige Aufzeichnungen, die Untersuchungen über mehrere Systeme hinweg unterstützen.
• Erste Bewertungen schädlicher Folgen, die aus einzeln zulässigen Aktionen entstehen.

Die Prognose: Im Jahr 2027 werden führende Unternehmen damit beginnen, wesentliche Änderungen an gekauften, selbst entwickelten und eingebetteten KI-Systemen als Anlass zu betrachten, bestehende Genehmigungen erneut zu prüfen – auch wenn kein neuer Anbieter eingebunden wird.

Ein Unternehmen kann ein Modell intern betreiben, auf einen gehosteten KI-Dienst zugreifen und Agenten nutzen, die in bestehende Geschäftsanwendungen eingebettet sind.

Diese Bedingungen können sich jedoch auch ohne eine weitere Kaufentscheidung ändern. Ein neuer Connector kann einem Assistenten Zugriff auf zusätzliche Kundeninformationen geben, eine Konfigurationsänderung kann seine Berechtigungen erweitern oder ein Modell-Update kann die Zuverlässigkeit einer Kontrolle beeinträchtigen, auf der die ursprüngliche Genehmigung beruhte.

Entscheidend ist daher, ob die Nachweise für die ursprüngliche Entscheidung weiterhin gültig sind, während sich das System weiterentwickelt.

Die OneTrust-Studie zeigt, mit welchen Herausforderungen Unternehmen bereits heute bei der Transparenz über KI von Drittanbietern konfrontiert sind.

39 % nennen die begrenzte Transparenz über KI-Komponenten, Anbieter oder Datenquellen von Drittanbietern als einen Faktor, der KI-Initiativen verzögert. Darüber hinaus berichten 28 %, dass KI-Tools von Anbietern eingesetzt wurden, bevor eine vollständige Bewertung stattgefunden hatte.

Diese Ergebnisse unterstreichen den umfassenderen Bedarf an Aufsicht, die auch nach der ursprünglichen Genehmigung fortbesteht.

Wir erwarten, dass führende Unternehmen im Jahr 2027 wesentliche Änderungen als Anlass für eine erneute Bewertung definieren. Dazu gehört festzustellen, wann eine Änderung den vorgesehenen Einsatz, den Datenzugriff, verbundene Systeme oder die Wirksamkeit bestehender Kontrollen betrifft.

Das bedeutet nicht, dass nach jedem Software-Update eine vollständige Prüfung erforderlich ist. Die Reaktion sollte dem veränderten Risiko, der geschäftlichen Bedeutung der Funktion und der fortbestehenden Gültigkeit der Nachweise angemessen sein.

Was ändert sich für Unternehmen?

Die Genehmigung wird zu einer fortlaufenden Verantwortung für das gesamte KI-Portfolio.

Technologie- und Datenteams benötigen Transparenz über Modelle, Anwendungen, Connectoren und wichtige Datenflüsse. Einkaufs- und Rechtsteams brauchen möglicherweise klarere vertragliche Rechte auf Benachrichtigung und Eingriff. Die Geschäftsverantwortlichen müssen wissen, wann sie eine geänderte Funktion weiter nutzen können und wann die Nutzung eingeschränkt werden sollte.

Bei kritischen Workflows können außerdem Ausweichlösungen erforderlich sein, um die Geschäftskontinuität zu gewährleisten.

Ziel ist es, erneute Bewertungen auf sinnvolle Änderungen auszurichten, ohne unnötigen Prüfaufwand zu schaffen.

Worauf Sie 2027 achten sollten

• Erneute KI-Bewertungen, die auch ohne neuen Beschaffungsvorgang ausgelöst werden.
• Änderungsmitteilungen, die mit den betroffenen Anwendungen und Geschäftszwecken verknüpft sind.
• Dokumentierte Entscheidungen darüber, geänderte Funktionen weiter zu nutzen, einzuschränken, nachzubessern oder zu ersetzen.
• Mehr Augenmerk auf Ausweichlösungen für kritische Workflows, die von KI abhängen.

Die Prognose: Im Jahr 2027 werden erste Anbieter KI-vermittelter Kundenerlebnisse damit beginnen, ausdrückliche Entscheidungen zur Datennutzung mit den dadurch erlaubten Verarbeitungsvorgängen zu verknüpfen. So werden Ablehnung und Widerruf innerhalb einzelner Dienste wirksamer.

Eine Kundin bittet einen KI-Assistenten, einen Mantel in einem Geschäft in ihrer Nähe zurücklegen zu lassen.

Im Gespräch erklärt sie, dass es sich um ein Geschenk handelt, und beschreibt die Vorlieben der beschenkten Person.

Diese Informationen helfen dem Assistenten, die unmittelbare Aufgabe zu erledigen.

Sie können aber auch Details offenbaren, nach denen ein herkömmliches Reservierungsformular nie gefragt hätte.

Was geschieht, wenn der Dienst diese Details später für Werbung nutzen möchte?

Aus dem ursprünglichen Gespräch ergibt sich nicht automatisch die Erlaubnis für einen anderen Zweck.

Wenn eine zusätzliche Entscheidung erforderlich ist, muss das Unternehmen die geplante Nutzung erklären und sicherstellen, dass die Antwort der Kundin beeinflusst, was als Nächstes geschieht.

KI-Gespräche machen diese Herausforderung sichtbarer, weil die erfassten Informationen umfangreich, unstrukturiert und kontextabhängig sein können.

Informationen, die zur Erledigung einer Aufgabe bereitgestellt wurden, können auch für Zwecke verfügbar werden, die Kunden nicht erwartet haben.

Die OneTrust-Studie zeigt die umfassenderen Herausforderungen bei der Data Governance.

52 % der Befragten nennen Bedenken hinsichtlich Datenqualität, Datenzugriff, Datenschutz oder Sicherheit als Faktoren, die KI-Initiativen verzögern.

39 % priorisieren eine bessere Transparenz über Risiken und Datennutzung.

Diese Ergebnisse belegen keine weitverbreitete Einführung dialogbasierter Zustimmungsmechanismen. Sie unterstreichen jedoch, wie wichtig es ist, nachzuvollziehen und zu steuern, wie Informationen durch KI-Workflows fließen.

Wir gehen davon aus, dass sich erste Entwicklungen im Jahr 2027 auf einzelne Dienste konzentrieren werden. Dort können Unternehmen die Entscheidung eines Kunden mit der anschließenden Verarbeitung verknüpfen, die dadurch gesteuert wird.

Eine zuverlässige Durchsetzung über verschiedene Agenten und Anbieter hinweg ist eine weniger ausgereifte Möglichkeit.

Was ändert sich für Unternehmen?

Produkt-, Marketing-, Datenschutz- und Engineering-Teams müssen möglicherweise überdenken, wie Entscheidungen zur Datennutzung in KI-vermittelten Interaktionen dargestellt werden.

Sie müssen zwischen den Informationen unterscheiden, die zur Erfüllung einer Anfrage erforderlich sind, und einer zusätzlichen Verarbeitung, für die eine separate Entscheidung nötig ist.

Wo es erforderlich ist, sollten Systeme außerdem nachweisen können, dass eine Ablehnung oder ein Widerruf die nachgelagerte Nutzung verändert.

Lehnt ein Kunde optionale Werbung ab, sollte der Dienst diese Entscheidung berücksichtigen und, soweit möglich, die ursprüngliche Aufgabe dennoch erledigen.

Kundenpräferenzen, technische Berechtigungen und rechtliche Einwilligungen müssen klar voneinander unterschieden werden.

Eine Anweisung an einen Assistenten stellt nicht automatisch eine rechtliche Einwilligung dar, und eine dokumentierte Zustimmung allein belegt nicht, dass die Verarbeitung rechtmäßig ist.

Worauf Sie 2027 achten sollten

• KI-Erlebnisse, die zum Zeitpunkt einer geplanten zusätzlichen Nutzung nach einer Entscheidung zur Datennutzung fragen.
• Aufzeichnungen, die Kundenentscheidungen mit ihrem Zweck und den vorgesehenen Empfängern verknüpfen.
• Nachweise, dass eine Ablehnung oder ein Widerruf die anschließende Verarbeitung verändert.
• Erste Pilotprojekte zur Umsetzung von Entscheidungen, wenn KI-Workflows zwischen Diensten wechseln.