In zahlreichen Unternehmen bricht die Risikofähigkeit leise weg. Entscheidungen unter Unsicherheit werden vertagt, bis aus Risikomanagement faktisch Risikovermeidung wird. Sebastian Schurig zeigt in diesem Artikel, wie sichtbar dieses Muster an der Einführung von KI‑Werkzeugen in Unternehmen wird – und daran, wie viel in der Zwischenzeit nicht entschieden wird. 

Ein Industrieunternehmen prüft die Einführung eines KI-Werkzeugs. Es schreibt Textentwürfe, fasst zusammen, übersetzt und kostet 40 Euro pro Nutzer*in und Monat. Die Prüfung läuft im vierten Monat, elf Termine bisher, beteiligt sind Datenschutz, Informationssicherheit, Betriebsrat, Einkauf und IT-Architektur. Unterschreiben soll am Ende ein Bereichsleiter, der die Unterschrift lieber eine Ebene höher gesehen hätte. 

Der Fall ist verdichtet aus wiederkehrenden Beobachtungen. Interessant daran ist weniger die Prüfung selbst als das, was in diesen vier Monaten nicht passiert. Dreihundert Leute arbeiten weiter wie vorher. Wer nicht warten will, greift zur kostenlosen Variante über den privaten Account. Diese Grauzone ist inzwischen groß. 

Der Verizon Data Breach Investigations Report 2026 zählt 45 Prozent der Beschäftigten als regelmäßige KI-Nutzende auf Firmengeräten, dreimal so viele wie im Jahr davor. 67 Prozent von ihnen arbeiten über nicht-betriebliche Konten. Produktivitätsgewinne entstehen dabei durchaus. Was einzelne gewinnen, kommt im Unternehmen aber nicht als steuerbarer Vorteil an, sondern bleibt verstreut, ungleich verteilt und ohne Anschluss an die Prozesse. 

Wir reden viel über Geschwindigkeit und meinen dabei meistens die Umsetzung. Verloren geht sie oft schon vorher. Das eigentliche Problem liegt nicht im Freigabeprozess. Was fehlt, ist die Fähigkeit, Risiken voneinander zu unterscheiden. Ein Unternehmen, das jedes Risiko gleich behandelt, kann nur noch prüfen und nicht mehr entscheiden. Diese Fähigkeit meine ich, wenn ich von Risikofähigkeit im Unternehmen spreche. 

Die Rechnung, die niemand aufmacht: Kosten langsamer Entscheidungen im Risikomanagement 

In jeder Freigaberunde wird eine Frage sorgfältig beantwortet: Welches Risiko entsteht, wenn wir die KI einführen? Die Gegenfrage, was es kostet, noch nicht entschieden zu haben, wird nicht gestellt. Das ist keine Nachlässigkeit, denn die Kosten des Wartens haben schlicht keine Adresse. Wer entscheidet und danebenliegt, bekommt es im nächsten Review vorgehalten. Wer entscheidet und richtig liegt, bekommt dafür selten etwas. Zudem fällt Vertagen selten jemandem auf.  

Sehr deutlich sehe ich das Thema Risikofähigkeit ebenfalls in Projektportfolios. Ob ein Projekt gestoppt oder neu ausgerichtet wird, ist dort selten eine Frage, die überhaupt gestellt wird. Vieles läuft weiter, so wie es irgendwann einmal von irgendjemandem freigegeben wurde. Beenden verlangt eine Entscheidung mit Namen darunter, Weiterlaufen verlangt gar nichts. 

In einer McKinsey-Befragung unter 1.212 Führungskräften sagen 61 Prozent, mindestens die Hälfte ihrer Entscheidungszeit sei ineffektiv genutzt. Hochgerechnet auf ein durchschnittliches Fortune-500-Unternehmen kommt die Studie auf rund 530.000 Manager-Tage im Jahr, etwa 250 Millionen Dollar an Gehalt. Eine Modellrechnung, die zeigt, welche Größenordnung dabei entstehen kann. Das übliche Gegenargument, Gründlichkeit brauche eben Zeit, findet in den Daten keine Stütze: Wer die Entscheidungen im eigenen Haus als schnell bewertete, hielt sie fast doppelt so häufig auch für hochwertig. 

Im Zweifel die strengste Stufe: Wenn Risikovermeidung die Risikofähigkeit im Unternehmen lähmt 

Solange die eine Seite der Rechnung sichtbar ist und die andere nicht, gewinnt die Vorsicht jede Abwägung. Über die Jahre verschiebt das den Maßstab, bis jede Entscheidung behandelt wird, als wäre sie unumkehrbar. Ein Pilot, der sich mit einem Klick abschalten ließe, durchläuft denselben Freigabeweg wie eine neue Fertigungslinie. 

Dasselbe Muster steckt in der internen Bürokratie. In den Organisationen, in denen ich dieses Muster beobachtet habe, kam weniger von außen und mehr aus dem Haus selbst, als die Beteiligten annahmen. Die internen Regelungen waren dabei häufig enger gefasst als die externen Anforderungen. Fast jede ist aus einem konkreten Vorfall entstanden. Das Problem dabei ist häufig, dass die Regelungen selten jemand wieder zurücknimmt. 

Bei KI lässt sich das gerade gut beobachten. Der EU AI Act böte hier nämlich eigentlich eine Hilfe. Für Unternehmen, die die Einführung von KI-Systemen steuern müssen, wäre das eine Chance, Risikomanagement und Entscheidungskompetenz enger zu verzahnen. Der EU AI Act arbeitet, vereinfacht gesagt, mit vier Stufen, von verbotenen Praktiken über hohes Risiko und Transparenzpflichten bis zu Anwendungen ohne besondere Auflagen, und er stuft dabei keine Technologie pauschal ein. Entscheidend sind der vorgesehene Verwendungszweck und der konkrete Einsatzkontext. Ein Werkzeug, das Angebotstexte entwirft, wird deshalb anders behandelt als ein System, das Bewerber bewertet oder vorsortiert. Diese Abstufung ließe sich intern übernehmen. In der Praxis passiert es selten, weil auch die Einstufung selbst eine Entscheidung ist, die jemand verantworten muss. 

Es gibt jedoch auch Risiken, für die harte Grenzen gelten: Leib und Leben, zwingendes Recht, der Schutz personenbezogener Daten. Auch dort wird unter Restunsicherheit entschieden, ein Nullrisiko gibt es selten. Nicht verhandelbar ist die Grenze, nicht das Risiko. Der Fehler beginnt, wenn dieselbe Entscheidungslogik unverändert auf kleine, umkehrbare Vorhaben übertragen wird. Wer Risiko überall auf null fährt, fährt das Tempo gleich mit auf null. 

Risikofähigkeit statt Risikovermeidung 

Die Gegenbewegung heißt Risikofähigkeit, und mit Mut hat sie wenig zu tun. Unsicherheit benennen, Folgen abschätzen, entscheiden, welches Risiko man eingeht, und die Entscheidung dann jemandem zuordnen. Im Alltag hängt das an drei Festlegungen, die in den meisten Häusern fehlen. Bis zu welchem Schadensausmaß darf wer allein entscheiden? Bis wann läuft eine Prüfung, an deren Ende auch auf unvollständiger Grundlage entschieden wird? Und die dritte, die fast überall fehlt: Woran würden wir merken, dass es nicht funktioniert, und was passiert dann? Wer aussteigen kann, muss vorher weniger wissen. 

Regeln allein reichen dafür nicht. Jemand muss einschätzen können, ob eine Entscheidung umkehrbar ist, und sie dann auch vertreten, obwohl die Grundlage unvollständig bleibt. Dazu gehört, offen zu sagen, was man nicht weiß, ohne dass daraus sofort ein Argument fürs Weiterprüfen wird. Risikofähigkeit ist deshalb genauso eine Kompetenzfrage wie eine Frage der Governance. 

Die vierzehn Wochen im Beispiel waren nie eine Frage der Vorschriften. Sie waren eine Frage der Zuständigkeit für ein Risiko, das niemand tragen wollte. 

Ich arbeite daran, Risikomanagement und Entscheidungskompetenz im Unternehmen wieder zusammenzubringen. Weniger über Methodik, mehr über die Frage, welche Kompetenzen verantwortliche Entscheidungen unter Unsicherheit überhaupt möglich machen und wie Organisationen ihre Risikofähigkeit gezielt entwickeln können. Die eigentliche Bewährungsprobe ist, ob eine Organisation diese Fähigkeit zurückgewinnt, bevor ein Vorfall sie dazu zwingt. Dass das geht, habe ich erlebt. Das Gegenteil auch. 

Woran erkennt eine Führungskraft bei euch, dass sie entscheiden darf, statt weiter eskalieren zu müssen? 

Quellen 

• Verizon, Data Breach Investigations Report 2026, Auswertung von 858.440 DLP-Ereignissen mit Bezug zu generativer KI
• McKinsey & Company, „Decision making in the age of urgency" (2019), n = 1.212, sowie „Three keys to faster, better decisions"
• Verordnung (EU) 2024/1689 (AI Act), risikobasierter Ansatz; Entwurfsleitlinien der EU-Kommission zur Einstufung von Hochrisiko-KI-Systemen, Konsultation bis Juli 2026