Autor: Kevin Bobowski, CMO, Archer

OG-Bild

Die CEOs von 15 führenden Anbietern von Cybersicherheitslösungen haben es auf der RSAC 2026 ganz offen gesagt: KI-Agenten werden schneller in den Produktivbetrieb eingeführt als die Kontrollmechanismen, die Rechenschaftspflichten und die Prüfnachweise, die zu ihrer Steuerung erforderlich sind. Das Regulatory Change Management, das als kontinuierlicher Workflow auf KI-Betreiberausgeführt wird, ist der Ansatz, der diese Lücke schließt.

Die wichtigsten Erkenntnisse

  • Die Einführung von KI schreitet schneller voran als die KI-Governance. KI-Agenten werden bereits im Produktivbetrieb eingesetzt, während die Governance-Ebene noch in der Planungsphase steckt. Dies berichten die CEOs von CrowdStrike, Netskope, Saviynt und sieben weiteren führenden Anbietern von Cybersicherheitslösungen, die von CRN auf der RSAC 2026 befragt wurden .
  • Die Architektur zur Identitätsverwaltung der Agenten ist noch nicht geklärt. „Wir wissen noch nicht, ob wir ein Konto pro Agent, ein Konto pro Benutzer oder ein Konto pro Rolle haben werden“, sagte Sachin Nayyar, CEO von Saviynt. Die grundlegende Ebene eines jeden Governance-Programms ist noch nicht definiert.
  • KI schafft mehr risikobehaftete Arbeit, nicht weniger. Tomer Weingarten, CEO von SentinelOne: KI in der Cybersicherheit „automatisiert nicht nur Arbeit, sondern schafft auch mehr Arbeit.“ Die Bereiche Governance, Risiko und Compliance sehen sich demselben Multiplikatoreffekt gegenüber.
  • Der Mensch muss die Führung übernehmen und darf nicht nur in den Entscheidungsprozess eingebunden sein. Die Neuformulierung von Kyle Hanslovan, CEO von Huntress, ist die prägnanteste Formulierung des Governance-Prinzips für autonome Systeme.
  • Das Regulatory Change Management (RCM) schließt diese Lücke. Als kontinuierlicher Workflow auf AI Operators mit lückenloser Rückverfolgbarkeit (End-to-End-Lineage) ausgeführt, verwandelt RCM die Anpassung von Kontrollmechanismen an regulatorische Änderungen von einem vierteljährlichen Projekt in eine Echtzeitreaktion auf die Durchsetzung des EU-KI-Gesetzes, Aktualisierungen des NIST AI RMF und Offenlegungspflichten der SEC.

Warum schreitet die Einführung von KI schneller voran als die KI-Governance?

Die Einführung von KI schreitet schneller voran als deren Steuerung, da Führungskräfte unter dem Druck des Vorstands stehen, KI-Agenten so schnell wie möglich einzusetzen, um sich einen Wettbewerbsvorteil zu verschaffen, während Risiko- und Compliance-Teams diese mit der Geschwindigkeit veralteter GRC-Prozesse steuern, die für jährliche Prüfungszyklen konzipiert sind. Die beiden Uhren laufen nach unterschiedlichen Zeitmaßstäben. Das ist die Kluft.

Sanjay Beri, CEO von Netskope, benannte in seinem RSAC-2026-Interview mit CRN den zentralen Konflikt :

„Wie schnell kann ein CISO die Governance seiner KI umsetzen und gleichzeitig das Tempo der KI-Einführung in seinem Unternehmen aufrechterhalten?“ Sanjay Beri, CEO, Netskope

Beide Vorgaben sind real. Sie stehen zudem in direktem Widerspruch zueinander.

Sumit Dhawan, CEO von Proofpoint, äußerte sich unverblümt zu den Folgen. Cyber- und Risikoteams wurden an den Rand gedrängt – nicht aus freien Stücken, sondern weil die Einführung neuer Technologien schneller voranschreitet, als sie Kontrollmechanismen etablieren können. KI hat mittlerweile für CEOs oberste Priorität. Die Risikomanagementfunktion ist nicht in der Lage, diesen Prozess zu bremsen.

Das Ergebnis ist eine stille, asymmetrische Realität in den meisten Unternehmen. Die Agenten sind bereits in der Produktion im Einsatz, während die Governance-Ebene noch in der Planungsphase steckt.

Warum ist die Steuerung von KI-Agenten ein Problem der Risikoarchitektur und kein Problem der Sicherheitswerkzeuge?

Die Steuerung von KI-Agenten ist ein Problem der Risikoarchitektur, da kein einzelnes Sicherheitstool das Verhalten der Agenten, Zugriffskontrollen, Richtlinienrahmen und Prüfpfade zu dem einheitlichen, unternehmensweiten Überblick zusammenführen kann, den eine wirksame Überwachung erfordert. Hierfür ist eine GRC-Infrastruktur erforderlich, die speziell für autonome Systeme konzipiert ist – und nicht nur eine einzelne Funktion.

George Kurtz, CEO von CrowdStrike, hat das Ausmaß der Sicherheitslücke klar umrissen:

„Wenn Agenten Zugriff auf Shells, auf Daten und auf Arbeitsabläufe haben – wie soll man dann überhaupt wissen, was vor sich geht?“ George Kurtz, Mitbegründer und CEO von CrowdStrike

KI-Agenten sind keine passiven Werkzeuge. Sie sind autonome Akteure. Sie führen Arbeitsabläufe aus, greifen auf Daten zu, durchlaufen Systeme und sammeln Berechtigungen in Maschinen-Geschwindigkeit. Wenn sie kompromittiert oder falsch konfiguriert sind, vergrößert sich der Schadensumfang innerhalb von Minuten.

Art Gilliland, Geschäftsführer von Delinea, sprach aus, was die meisten denken, aber nur wenige offen aussprechen:

„Mir sind keine Fälle bekannt, in denen ein KI-Agent gehackt wurde und dies die Ursache für die Sicherheitsverletzung war. Aber das wird noch passieren.“ Art Gilliland, Geschäftsführer, Delinea

Das auffälligste Eingeständnis kam von Sachin Nayyar, dem CEO von Saviynt:

„Wir wissen noch nicht, ob wir ein Konto pro Agent, ein Konto pro Benutzer oder ein Konto pro Rolle haben werden. Die Architektur für die Agenten steht derzeit noch nicht fest.“ Sachin Nayyar, CEO, Saviynt

Die Identitäts- und Zugriffsarchitektur für KI-Agenten – das Fundament, auf dem jedes Governance-Programm aufbaut – ist noch nicht feststehend. KI-Agenten werden schneller eingesetzt als die Rahmenwerke, die zu ihrer Steuerung entwickelt wurden. Um diese Lücke zu schließen, bedarf es einer GRC-Infrastruktur, die KI-Agenten durchgängig steuert und das Verhalten der Agenten, Zugriffskontrollen, Richtlinienrahmen sowie Prüfpfade zu einem unternehmensweiten Gesamtbild verknüpft.

Ist KI ein neues Sicherheitsparadigma? Der CEO von Mimecast verneint dies.

KI ist kein neues Paradigma, das es zu sichern gilt. Die Grundlagen der Cybersicherheit und des Risikomanagements haben sich nicht geändert. Was sich geändert hat, ist das Tempo, mit dem diese Bereiche umgesetzt werden müssen.

Marc van Zadelhoff, CEO von Mimecast, lieferte auf der RSAC 2026 das stärkste Gegenargument zu der These „KI verändert alles“:

„Letztendlich muss man das Netzwerk, die Endgeräte, die Anwendungen, die Daten und die Identität im Blick behalten. Und dann natürlich auch die Menschen, die diese nutzen. Das sind die Grundprinzipien der Cybersicherheit. Das war schon immer so.“ Marc van Zadelhoff, CEO, Mimecast

Was die Grundsätze angeht, hat er Recht. Auch die Grundlagen des Risiko- und Compliance-Managements haben sich nicht geändert: Transparenz, Kontrolle, Verantwortlichkeit, Nachweisbarkeit. Was sich geändert hat, ist das Arbeitstempo. KI-Agenten sorgen dafür, dass jede dieser Grundlagen mit Maschinen-Geschwindigkeit und gleichzeitig in allen Systemen des Unternehmens umgesetzt wird. Das ist kein Paradigmenwechsel. Es ist ein Stresstest für das bestehende System.

Die Plattformen, die den Stresstest bestehen, sind diejenigen, die sowohl auf Geschwindigkeit als auch auf Tiefe ausgelegt sind. Diejenigen, die den Test nicht bestehen, sind die veralteten GRC-Plattformen, die für jährliche Prüfungszyklen und statische Kontrollen konzipiert wurden.

Warum schafft KI mehr risikobehaftete Arbeit statt weniger?

KI verursacht mehr Arbeitsaufwand im Risikomanagement, da jeder eingesetzte Agent die Risikofläche vergrößert: neue Kontrollmaßnahmen müssen validiert, neue Prüfungsnachweise gesammelt, neue regulatorische Risiken bewältigt und neue Abhängigkeiten von Dritten bewertet werden. Die Annahme, dass KI die Belastung der Risiko- und Compliance-Funktionen verringern wird, wird von den Praktikern, die am nächsten am Geschehen sind, nicht geteilt.

Tomer Weingarten, CEO von SentinelOne, stellte die Annahme, dass dadurch Arbeitsaufwand eingespart werde, direkt in Frage:

„KI im Bereich Cybersicherheit dient nicht nur dazu, die Belegschaft zu vergrößern, wie es in jeder Branche der Fall ist. Sie schafft auch mehr Arbeit für die Cybersicherheitsmitarbeiter. Sie automatisiert nicht nur Arbeitsabläufe, sondern erzeugt auch mehr Arbeit.“ Tomer Weingarten, Mitbegründer und CEO von SentinelOne

Die gleiche Logik gilt in noch stärkerem Maße für die Bereiche Risiko und Compliance. Die Fristen sind konkret. Die Durchsetzung der Verpflichtungen für Systeme mit hohem Risiko gemäß dem EU-KI-Gesetz beginnt im August 2026. Die Einführung des NIST-KI-RMF schreitet in den Bundesbehörden und deren Lieferketten zügig voran. Vorstände betrachten die KI-Aufsicht zunehmend als treuhänderische Verantwortung und nicht als technisches Detail. Der CCO, der keine Nachweise für Kontrollen auf Agentenebene vorlegen kann, ist der CCO, dessen Name in der nächsten 8-K-Offenlegung erscheint.

Risikomanagement-Teams, die davon ausgegangen sind, dass KI ihre Arbeitsbelastung automatisieren würde, werden unvorbereitet sein. Erfolgreich sein werden jene Teams, die das Regulatory Change Management als kontinuierlichen Arbeitsablauf und nicht als vierteljährliches Projekt betreiben.

Was bedeutet „Menschen an der Spitze, nicht nur im Kreislauf“ für die KI-Governance?

„Humans in the lead“ bedeutet, dass Menschen die Risikobereitschaft definieren, die politischen Rahmenbedingungen festlegen und die Verantwortung für das Rechenschaftsrahmenwerk übernehmen, bevor die KI handelt. „Humans in the loop“ erfordert lediglich, dass ein Mensch bestimmte Ergebnisse überprüft oder genehmigt. Diese Unterscheidung ist wichtig, da die Überprüfung durch einen Menschen im Regelkreis versagt, wenn die KI mit Maschinen-Geschwindigkeit Tausende von Entscheidungen gleichzeitig trifft.

Am prägnantesten wurde dieses Prinzip von Kyle Hanslovan, dem CEO von Huntress, formuliert:

„KI braucht Menschen an der Spitze, nicht nur Menschen im Kreislauf. Sie müssen die KI lenken. Sie müssen die Forschung im Bereich der Erkennung vorantreiben.“ Kyle Hanslovan, Mitbegründer und CEO von Huntress

„Humans in the Loop“ ist zu einer reinen Compliance-Maßnahme geworden. Ein Mensch prüft. Ein Mensch genehmigt. Ein Mensch gibt die Freigabe. Dieses Modell versagt bei hohem Arbeitsaufkommen.

„Der Mensch im Mittelpunkt“ ist ein anderer Maßstab. Es handelt sich dabei um eine bewusst gestaltete Steuerung und nicht um eine Steuerung im Ausnahmefall. Wenn KI handelt – sei es autonom oder anderweitig –, tut sie dies innerhalb einer bewusst gestalteten Struktur. Das ist ein Problem des regulatorischen Änderungsmanagements und kein Problem der Sicherheitswerkzeuge. Es erfordert Richtlinienmanagement, Rahmenwerke zur Risikobewertung, Kontrollbibliotheken und Audit-Workflows, die speziell für die Steuerung dynamischer, autonomer Systeme entwickelt wurden.

Wie sollten Risikoverantwortliche KI-Workflows für die Governance in Stufen einteilen?

Risikoverantwortliche sollten KI-Workflows nach den Kosten von Fehlern einstufen. Workflows, bei denen eine fehlerhafte KI-Entscheidung korrigiert werden kann, können vollständig autonom ablaufen. Workflows, bei denen eine fehlerhafte Entscheidung ein wesentliches Risiko darstellt, erfordern eine menschliche Validierung. Workflows, die regulierte Ergebnisse betreffen, erfordern eine dokumentierte menschliche Verantwortlichkeit und Prüfnachweise.

Nick Schneider, CEO von Arctic Wolf, ergänzte auf der RSAC 2026 folgende praktische Erläuterung:

„Es gibt bestimmte Arbeitsabläufe, bei denen das System völlig autonom arbeiten kann, und wenn dabei Fehler auftreten, ist das kein Weltuntergang. Bei anderen ist es hingegen eine große Sache, wenn etwas schiefgeht.“ Nick Schneider, CEO, Arctic Wolf

Genau diese Art der strukturierten Abstufung ermöglicht ein ausgereiftes Programm zum Regulierungsänderungsmanagement. Zu wissen, welche Entscheidungen man einer Maschine anvertrauen kann, welche einer menschlichen Validierung bedürfen und welche Ausnahmen unterliegen. Es geht nicht darum, die KI zu bremsen. Es geht darum, zu wissen, wo die Leitplanken angebracht werden müssen, bevor der Zug den Bahnhof verlässt.

Wie groß ist das Potenzial im Bereich KI-Governance?

Joe Levy, CEO von Sophos, bezeichnete die KI-getriebene Transformation der Cybersicherheit als „die wahrscheinlich größte Marktchance, die ich je in meinem Leben gesehen habe“, von der weltweit Hunderte Millionen Unternehmen betroffen sind. Die KI-Governance ist der Teil dieser Transformation, der über die am wenigsten ausgereifte Infrastruktur verfügt und bei dem Fehler die höchsten Kosten verursachen.

„Hunderte Millionen Unternehmen stehen kurz vor dieser Transformation. Das ist eine wirtschaftliche Welle, die bald über den gesamten Planeten hereinbrechen wird. Es ist wahrscheinlich die größte Marktchance, die ich je in meinem Leben gesehen habe.“ Joe Levy, CEO, Sophos

Unternehmen, die diese Entwicklung erfolgreich meistern, werden KI-Governance als Teil der Infrastruktur betrachten und nicht als nachträglichen Einfall. Unternehmen, die dies nicht tun, müssen mit anderen Folgen rechnen: regulatorische Risiken, fehlgeschlagene Prüfungen, Betriebsstörungen sowie Reputationsschäden durch KI-Systeme, die außerhalb eines sinnvollen Risikorahmens betrieben werden.

Warum generische KI-Agenten bei der Steuerungsfunktion versagen. Und was KI-Operatoren anders machen.

Generische KI-Agenten sind schlanke LLM-Wrapper, die auf Produktivität ausgelegt sind und nicht als zweite Verteidigungslinie dienen. KI-Operatoren bilden eine eigene Kategorie: Sie sind identitätsbewusst, in ihrem Anwendungsbereich begrenzt, erstellen Prüfberichte, werden von Experten überwacht und sind von Grund auf anbieterunabhängig. Der Unterschied liegt in der Architektur und nicht auf der Ebene der Funktionen.

Die von CRN auf der RSAC 2026 befragten CEOs beschrieben die Fehlerquellen generischer Agenten. Agenten, die ohne Herkunftsnachweis auf Shells zugreifen. Agenten, die ohne Überprüfung Berechtigungen ansammeln. Agenten, die ohne Begründung mit Maschinen-Geschwindigkeit handeln. Diese Fehlerquellen sind keine Bugs. Sie sind die vorhersehbaren Folgen davon, dass ein Grundmodell mit einer Eingabeaufforderung und einigen wenigen Tools so behandelt wird, als handele es sich um eine Kontrollfunktion im Unternehmen.

AI Operators kehren diese Architektur um. Die Identität wird nativ über SSO und SCIM gebunden. Aktionsbeschränkungen sind Richtlinienelemente, keine Token-Obergrenzen. Jede Aktion erzeugt einen strukturierten, unveränderlichen Prüfprotokolleintrag. Begründung und Konfidenz werden kalibriert und sind schemabunden. Die Modellebene ist abstrahiert und austauschbar. Die Überprüfung durch Experten ist eine Plattformgrundfunktion, kein Workflow-Zusatzmodul. Eine durchgängige Herkunftsverfolgung (End-to-End-Lineage) führt jede Aktion eines Akteurs zurück zur Richtlinie und zur maßgeblichen Quelle, die sie autorisiert hat.

Was die Produktivität angeht, reicht ein Agent aus. Was die Kontrolle angeht, ist nur ein Operator vertretbar.

Wie schließt das Regulatory Change Management die Governance-Lücke?

Das „Regulatory Change Management“ schließt die Lücke zwischen der Einführung von KI und der KI-Governance, indem es die Anpassung von Kontrollmechanismen an regulatorische Änderungen von einem vierteljährlichen Projekt in einen kontinuierlichen Arbeitsablauf umwandelt. Dank einer lückenlosen Nachverfolgbarkeit von der maßgeblichen Quelle über die Verpflichtung, die Kontrolle, den Prozess bis hin zur Aktion des KI-Agenten kann jede regulatorische Änderung deterministisch weitergegeben werden, und jede Entscheidung eines KI-Agenten lässt sich bis zu der Richtlinie zurückverfolgen, die sie autorisiert hat.

Die wirklich wichtigen Fristen fallen nicht im Quartalsrhythmus an. Die Durchsetzung der Verpflichtungen für risikoreiche Systeme gemäß dem EU-KI-Gesetz beginnt im August 2026. Die Überarbeitungen des NIST AI RMF erfolgen kontinuierlich. Die Offenlegungserwartungen der SEC entwickeln sich weiter. Auch die Einführung von KI-Agenten erfolgt nicht im Quartalsrhythmus. Jede Woche kommen in jedem Geschäftsbereich mit jedem neuen SaaS-Update neue Agenten in den Produktivbetrieb.

Ein Programm zum Management regulatorischer Änderungen, das auf der richtigen Architektur basiert, berücksichtigt diese beiden Zeitachsen gemeinsam. Wenn CFR §X geändert wird, wenn das NIST eine Überarbeitung veröffentlicht oder wenn eine neue EU-Richtlinie in Kraft tritt, identifiziert ein effektiver KI-Betreiber alle betroffenen Verpflichtungen, Kontrollmaßnahmen, Geschäftseinheiten, Prozesse und KI-Agenten. Wenn ein neuer Agent eingesetzt wird, zeigt dieselbe Herkunftsverfolgung, welche Verpflichtungen davon betroffen sind und welche Kontrollmaßnahmen er erfüllen muss.

Genau das macht es möglich, diese Lücke zu schließen. Nicht schnellere Überprüfungen. Nicht mehr Prüfer. Sondern ein kontinuierlicher, auf der Herkunftsverfolgung basierender Arbeitsablauf und KI-Operatoren, die im operativen Tempo der von ihnen gesteuerten Systeme arbeiten.

Was sollten CISOs, CCOs, CROs und CAEs jetzt tun?

Für Führungskräfte im Bereich Risiko und Compliance stehen im Jahr 2026 drei dringende Prioritäten an:

1. Einrichtung Rahmenbedingungen für die KI-Governance Rahmenbedingungen für die KI-Governance. Die Architektur der Agentenidentität ist noch nicht geklärt. Unternehmen, die auf einen Branchenkonsens warten, werden erst im Nachhinein Regulierungsmaßnahmen ergreifen müssen. Erfassen Sie jeden eingesetzten Agenten. Legen Sie die Verantwortlichkeiten für jede Entscheidungsklasse fest. Erstellen Sie die Richtlinien, bevor die Aufsichtsbehörde dies tut.

2. Die Risikobereitschaft bei autonomen Systemen neu definieren. Die Frage lautet nicht mehr nur, was KI leisten kann, sondern was KI leisten darf. Wer ist verantwortlich, wenn sie diese Grenzen überschreitet? Welche Nachweise kann die Organisation vorlegen, wenn ein Prüfer oder eine Aufsichtsbehörde danach fragt?

3. Führen Sie das Regulatory Change Management als kontinuierlichen Arbeitsablauf durch. Ältere GRC-Plattformen, die für jährliche Prüfungszyklen und statische Kontrollen konzipiert wurden, können weder mit dem Arbeitstempo von KI-Agenten noch mit dem Rhythmus der KI-Regulierung Schritt halten. Die Infrastruktur muss beiden gerecht werden.

Für den CRO ist das Ergebnis eine vertretbare KI-Kontrollstrategie, die Sie dem Vorstand, dem Prüfungsausschuss und der Aufsichtsbehörde präsentieren können. Für den CCO ist es eine einzige Plattform, die Richtlinien einheitlich über alle Geschäftsbereiche hinweg durchsetzt und Nachweise liefert, die einer behördlichen Prüfung standhalten. Für den CISO ist es eine identitätsgebundene, im Umfang begrenzte und Auditberichte erstellende KI, die auf Ihr bestehendes IAM-Modell abgestimmt ist – und nicht gegen dieses arbeitet. Für die interne Revision sind es Stichproben-, Walkthrough- und substanzielle Testprogramme, die funktionieren, weil jede KI-Maßnahme konsistent strukturiert, begründet und überprüfbar ist.

Was ist eine GRC-Infrastruktur zur Steuerung von KI-Agenten?

Die GRC-Infrastruktur zur Steuerung von KI-Agenten ist die Ebene für Richtlinien, Kontrollen, Nachweise und Rechenschaftspflicht, die speziell für die Überwachung autonomer Systeme mit Maschinen-Geschwindigkeit entwickelt wurde. Sie führt das Regulatory Change Management als kontinuierlichen Arbeitsablauf durch. Dabei wird das Grundmodell als austauschbare Komponente und nicht als das System selbst betrachtet. Sie liefert auf Agentenebene die prüfungsfähigen Nachweise, die Vorstände, Wirtschaftsprüfer und Aufsichtsbehörden mittlerweile erwarten.

Die GRC-Infrastruktur zur Steuerung von KI-Agenten ist die Ebene für Richtlinien, Kontrollen, Nachweise und Rechenschaftspflicht, die speziell für die Überwachung autonomer Systeme mit Maschinen-Geschwindigkeit entwickelt wurde. Sie führt das Regulatory Change Management als kontinuierlichen Arbeitsablauf durch. Dabei wird das Grundmodell als austauschbare Komponente und nicht als das System selbst betrachtet. Sie liefert auf Agentenebene die prüfungsfähigen Nachweise, die Vorstände, Wirtschaftsprüfer und Aufsichtsbehörden mittlerweile erwarten.

Das Governance-Problem ist lösbar. Unternehmen, die Programme zum Management regulatorischer Veränderungen entwickeln, die KI-fähig sind und über die richtigen Rahmenbedingungen, die richtige Datenintegration sowie die richtigen Strukturen zur Rechenschaftspflicht verfügen, werden schneller und mit mehr Zuversicht vorankommen als solche, die Tools nachrüsten, die nie für agentische Systeme konzipiert wurden.

Genau das ermöglicht ein modernes Regulierungsänderungsmanagement.

KI-Agenten brauchen Leitplanken. Unternehmen brauchen eine GRC-Infrastruktur. Darin liegt die Chance.

Häufig gestellte Fragen

Was ist KI-Governance? 

KI-Governance ist das Rahmenwerk aus Richtlinien, Kontrollmechanismen, Strukturen zur Rechenschaftspflicht und Prüfungsnachweisen, das festlegt, was KI-Systeme tun dürfen, welche Nachweise die Organisation über deren Verhalten vorlegt und wer zur Rechenschaft gezogen wird, wenn sie außerhalb festgelegter Grenzen operieren. Speziell für KI-Agenten ist dies die Risiko- und Compliance-Ebene, die zur Überwachung autonomer Systeme mit Maschinen-Geschwindigkeit erforderlich ist. 

Was ist der Unterschied zwischen einem KI-Agenten und einem KI-Operator? 

Ein generischer KI-Agent ist eine dünne Schicht über einem Grundmodell: eine Eingabeaufforderung, einige Werkzeuge und eine Schlussfolgerungsschleife. Er ist auf Produktivität ausgelegt, nicht auf die Steuerungsfunktion. Ein KI-Operator gehört zu einer anderen Systemkategorie und wurde als regulierter Akteur innerhalb einer unternehmensweiten Steuerungsstruktur konzipiert. KI-Operatoren sind von Grund auf identitätsbewusst, in ihrem Anwendungsbereich begrenzt, erstellen Prüfberichte, werden von Experten überwacht und sind anbieterneutral. Für die Produktivität reicht ein Agent aus. Für die Steuerung ist nur ein Operator vertretbar. 

Wie schließt das regulatorische Änderungsmanagement die Lücke zwischen der Einführung von KI und der KI-Governance? 

Das „Regulatory Change Management“ schließt diese Lücke, indem es die Anpassung von Kontrollmechanismen an regulatorische Änderungen von einem vierteljährlichen Projekt in einen kontinuierlichen Arbeitsablauf umwandelt. Dank einer lückenlosen Nachverfolgbarkeit von der maßgeblichen Quelle über die Verpflichtung, die Kontrollmaßnahme, den Prozess bis hin zum KI-Agenten wird jede regulatorische Änderung deterministisch weitergegeben, und jede Aktion eines KI-Agenten lässt sich bis zu der Richtlinie zurückverfolgen, die sie autorisiert hat. 

Was ist der Unterschied zwischen „Humans in the Lead“ und „Humans in the Loop“? 

„Humans in the Loop“ bedeutet, dass ein Mensch bestimmte KI-Ergebnisse vor der Ausführung überprüft oder genehmigt. „Humans in the Lead“ bedeutet, dass Menschen vor dem Einsatz der KI die Risikobereitschaft definieren, politische Rahmenbedingungen festlegen und die Verantwortung für das Rechenschaftsrahmenwerk übernehmen. Ersteres ist eine Kontrollinstanz. Letzteres ist Governance by Design. Kyle Hanslovan, CEO von Huntress, stellte diese Unterscheidung auf der RSAC 2026 vor. 

Wann tritt das EU-KI-Gesetz für KI-Systeme mit hohem Risiko in Kraft? 

Die Durchsetzung der Verpflichtungen für risikoreiche Systeme gemäß dem EU-KI-Gesetz beginnt im August 2026. Organisationen, die in der Europäischen Union tätig sind oder EU-Bürger betreuen, müssen für KI-Systeme, die gemäß der Verordnung als risikoreich eingestuft werden, dokumentierte Verfahren für Governance, Risikomanagement und Konformitätsbewertung einrichten. 

Was sagten die CEOs aus dem Bereich Cybersicherheit auf der RSAC 2026 zum Thema KI-Agenten? 

CRN hat auf der RSAC 2026 die CEOs von 15 führenden Anbietern im Bereich Cybersicherheit interviewt, darunter CrowdStrike, SentinelOne, Netskope, Proofpoint, Mimecast, Sophos, Saviynt, Delinea, Huntress und Arctic Wolf. Wiederkehrende Themen waren, dass die Architektur der Agentenidentität noch nicht gefestigt ist, dass KI den Risiko- und Sicherheitsteams eher mehr als weniger Arbeit beschert, dass „Humans in the Lead“ („Menschen an der Spitze“) „Humans in the Loop“ („Menschen im Kreislauf“) als Governance-Standard ablösen muss und dass die Marktchancen zu den größten in der Geschichte der Cybersicherheit zählen. 

Inwiefern unterscheidet sich AI-Governance vom herkömmlichen GRC? 

Das traditionelle GRC wurde für jährliche Prüfungszyklen und statische Kontrollmaßnahmen konzipiert. KI-Governance muss auf der Grundlage eines kontinuierlichen Workflows für das Management regulatorischer Änderungen erfolgen, wobei das Verhalten der Akteure in Echtzeit erfasst, Richtlinien in Entscheidungsgeschwindigkeit angewendet und prüfungsreife Nachweise auf Akteurs-Ebene erstellt werden. Die Grundlagen des Risiko- und Compliance-Managements bleiben unverändert. Das Arbeitstempo und die Anforderungen an die Datenintegration hingegen nicht. 

Archer ist die GRC-Infrastruktur zur Steuerung von KI-Agenten. Sie basiert auf 25 Jahren fundierter GRC-Erfahrung, mehr als 1.200 Unternehmenskunden und dem Backbone für regulatorische Informationen, auf das sechs der zehn größten US-Banken vertrauen. Die Geschwindigkeit der KI. Die fundierte Erfahrung. Erfahren Sie mehr unter archerirm.com.