Warum geregelte Organisationen bei KI langsamer adaptieren als Einzelne

TL;DR

Etablierte Unternehmen adaptieren KI nicht deshalb langsamer als Einzelpersonen, weil ihre Mitarbeiter träge wären, sondern weil eine wachsende Lücke zwischen zwei Dingen besteht: dem, was die Tools heute können, und dem, was Freigabeprozesse, Compliance und IT-Governance zulassen. Ich habe diese These am 16. Juni bei einem Panel in Wien vertreten, und sie hat polarisiert. Dieser Artikel erklärt, warum die Lücke real ist, warum sie zu privater Schatten-KI führt, und was Organisationen konkret tun können, ohne ihre Schutzmechanismen über Bord zu werfen.

Ein Abend in der Börse, eine These, die polarisierte

Am 16. Juni saß ich auf einem Panel im Accenture-Büro in der Wiener Börse. Thema des Abends: wie sich Software-Architektur und Entwicklung durch KI verändern. Auf dem Podium: zwei Stimmen von Accenture, eine von SQUER, eine aus einem Produkthaus, und ich, der einzige Solo-Practitioner in der Runde. Die anderen sprachen aus der Enterprise- und Beraterperspektive. Ich sprach aus der Perspektive von jemandem, dessen Code seit Ende 2024 fast vollständig von KI-Agenten geschrieben wird, der aber jede Freigabe selbst verantwortet.

Eine These, die ich an dem Abend vertreten habe, kam besonders gut an und hat gleichzeitig am stärksten gereizt: Geregelte Organisationen adaptieren KI strukturell langsamer als Einzelne. Nicht weil ihre Leute weniger können. Sondern weil sie nicht einmal die Tools und die Freiheit haben, die ich als Einzelner täglich nutze.

Ich will diese These hier ausführen, weil sie unbequem klingt, aber konstruktiv gemeint ist. Es geht nicht darum, Compliance oder Governance lächerlich zu machen. Es geht darum, ein strukturelles Problem ehrlich zu benennen, damit man es lösen kann.

Was die Tools können und was die Struktur zulässt

Stellen Sie sich zwei Zahlen vor, die nichts miteinander zu tun haben sollten und es trotzdem tun. Die erste Zahl wächst exponentiell: Was ein KI-Agent heute an einem Tag erledigen kann, war vor einem Jahr noch undenkbar. Die zweite Zahl wächst linear, im besten Fall: die Geschwindigkeit, mit der eine Organisation neue Werkzeuge prüfen, freigeben und in Prozesse einbauen kann.

Diese beiden Linien laufen auseinander. Und genau dieser Abstand ist das Problem, nicht das Tempo selbst.

Als Einzelner stehe ich mit beiden Beinen auf der schnellen Linie. Ich kann ein neues Modell am Tag seines Erscheinens testen. Ich kann ein Agenten-Setup umbauen, ohne jemanden zu fragen. Ich kann einen Workflow verwerfen, der nicht funktioniert, und am selben Nachmittag einen neuen aufsetzen. Meine einzige Freigabeinstanz bin ich selbst.

Eine etablierte Firma steht auf der langsamen Linie, und zwar aus guten Gründen. Bevor ein neues KI-Tool produktiv genutzt werden darf, muss es durch eine Reihe von Toren: Datenschutzprüfung, Sicherheitsfreigabe, Lieferantenbewertung, Budgetfreigabe, oft eine Betriebsratsabstimmung. Jedes einzelne Tor ist berechtigt. In Summe entsteht aber eine Latenz von Wochen bis Monaten, bevor jemand das Werkzeug überhaupt anfassen darf.

Nicht das Tempo der KI ist das Problem für Organisationen. Das Problem ist die wachsende Lücke zwischen dem, was technisch heute geht, und dem, was eine guardrail-gebundene Struktur zulässt.

Das Ergebnis: Wenn das Tool die Freigabe erreicht, ist es oft schon zwei Generationen alt. Der Mitarbeiter, der den Antrag gestellt hat, nutzt privat längst etwas Besseres.

Warum das kein Trägheits-Problem ist

Hier liegt das Missverständnis, das ich am Panel-Abend korrigieren wollte. Die naheliegende Erklärung lautet: Konzerne sind langsam, weil sie behäbig sind, weil die Mitarbeiter keine Lust haben, weil die Kultur verkrustet ist. Das ist bequem, aber meistens falsch.

Die Mitarbeiter in diesen Firmen sind oft genauso neugierig und fähig wie jeder Solo-Builder. Ich treffe regelmäßig Entwicklerinnen und Fachkräfte aus großen Unternehmen, die genau wissen, was möglich wäre, und die sichtlich frustriert sind, dass sie es im Job nicht dürfen.

Das Problem ist nicht der Mensch, sondern die Asymmetrie der Risiken. Wenn ich als Einzelner ein neues Tool ausprobiere und es geht schief, trage ich den Schaden allein, und er ist begrenzt. Wenn ein Konzern ein ungeprüftes Tool produktiv einsetzt und es kommt zu einem Datenleck, einer DSGVO-Verletzung oder einem fehlerhaften automatisierten Vorgang, dann skaliert der Schaden mit der Größe der Organisation. Die Vorsicht ist also rational. Sie ist die korrekte Antwort auf ein echtes Risiko.

Genau das macht die Sache so schwierig. Man kann die Freigabeprozesse nicht einfach abschaffen, denn sie schützen vor realen Gefahren. Aber man kann auch nicht so tun, als kosteten sie nichts. Jeder Tag Latenz vergrößert die Lücke zwischen dem, was die Firma offiziell darf, und dem, was draußen längst Standard ist.

In meinem Artikel zu den 9 Trends, die die Arbeitswelt 2026 prägen, habe ich beschrieben, dass KI-Einführungen selten an der Technologie scheitern, sondern an kultureller Dissonanz. Die Freigabe-Lücke ist die strukturelle Schwester dieses Problems: Selbst wenn die Kultur stimmt, kann die Struktur die Menschen ausbremsen.

Die unvermeidliche Folge: Schatten-KI

Wenn die offizielle Lücke zu groß wird, entsteht eine inoffizielle Brücke. Die Leute, die sehen, was möglich wäre, und die es im Beruf nicht dürfen, machen es trotzdem, nur eben privat und an der Organisation vorbei.

Das ist Schatten-KI, und sie ist keine Randerscheinung. Der Mitarbeiter, der einen Vertragsentwurf schnell von einem privaten KI-Account zusammenfassen lässt. Die Analystin, die Firmendaten in ein nicht freigegebenes Tool kopiert, weil das genehmigte einfach schlechter ist. Der Entwickler, der einen Coding-Assistenten auf dem privaten Laptop laufen lässt, weil die IT ihn auf dem Firmengerät blockiert.

Aus Sicht des Einzelnen ist das völlig nachvollziehbar. Er will seine Arbeit gut machen, und das beste verfügbare Werkzeug ist nun einmal das, das er privat nutzt. Aus Sicht der Organisation ist es ein Albtraum: Genau die Risiken, gegen die die Freigabeprozesse schützen sollten, treten jetzt unkontrolliert auf, nur ohne jede Sichtbarkeit. Es gibt keinen Audit-Trail, keine Datenschutzfolgenabschätzung, keine Kontrolle darüber, welche Daten wo landen.

Das ist die bittere Pointe: Je strenger die offiziellen Tore, desto attraktiver der inoffizielle Seitenweg. Eine Organisation, die KI komplett verbietet, bekommt nicht null KI. Sie bekommt unsichtbare, unkontrollierte KI. Über das verwandte Thema unkontrollierter Datenflüsse und souveräner Alternativen habe ich im Leitfaden zu EU-Souveränität im KI-Stack ausführlicher geschrieben.

Was Organisationen daraus lernen können

Bis hierhin klingt das wie eine Sackgasse. Ist es aber nicht. Die Lücke lässt sich nicht schließen, indem man die Tore abschafft, aber man kann sie verkleinern, indem man die Struktur klüger baut. Drei Ansätze haben sich aus meiner Beobachtung als tragfähig erwiesen.

Ein Champion pro Bereich

Der wirkungsvollste Hebel ist nicht ein zentrales KI-Komitee, sondern eine benannte Person pro Fachbereich, die KI nicht nebenbei, sondern als expliziten Teil ihrer Rolle vorantreibt. Offengelegt: Das ist auch das Modell, für das ich in meiner Schulungsarbeit eintrete, ich beobachte es also nicht neutral, sondern habe es in der Praxis als tragfähig erlebt. Dieser Champion kennt sowohl die Werkzeuge als auch die fachlichen Abläufe seiner Abteilung. Er ist nah genug an der Arbeit, um zu erkennen, wo ein Tool wirklich hilft, und legitimiert genug, um schnellere Freigaben für seinen Bereich auszuhandeln.

Der Effekt: Statt dass dreißig Leute heimlich dreißig verschiedene private Tools nutzen, gibt es eine Person, die für ihren Bereich bündelt, prüft und mit der Governance verhandelt. Schatten-KI wird sichtbar gemacht und in geordnete Bahnen geholt, statt sie zu bekämpfen.

Wichtig: Champion bedeutet nicht zusätzliche Last obendrauf. Wenn diese Rolle nur als Hobby neben dem Tagesgeschäft existiert, verpufft sie. Sie braucht echte Zeit und ein klares Mandat.

Geschützte Experimentier-Räume

Der zweite Ansatz ist, die Lücke zu legalisieren, statt sie zu verdrängen. Eine Organisation kann einen klar abgegrenzten Raum definieren, in dem ausprobiert werden darf, was im Produktivbetrieb noch nicht erlaubt ist: eine Sandbox mit synthetischen oder anonymisierten Daten, ohne Verbindung zu echten Kundendaten, mit reduzierter Freigabe-Latenz.

In diesem Raum gilt eine einfache Regel, die ich für meine eigene Arbeit übernommen habe: Alles, was sich rückstandsfrei zurückdrehen lässt, darf ohne große Freigabe ausprobiert werden. Alles, was nach außen wirkt oder nicht umkehrbar ist, braucht eine Freigabe. Diese Trennung nach Reversibilität ist viel praktikabler als ein pauschales Erlaubt-oder-verboten, weil sie das Risiko dort konzentriert, wo es real ist.

Der Sinn eines solchen Raums ist nicht, dass jedes Experiment in Produktion geht. Der Sinn ist, dass die Organisation lernt, welche Tools überhaupt taugen, bevor sie den langwierigen Freigabeprozess durchlaufen. So validiert man billig, statt teuer zu raten. Genau diese Logik, erst günstig validieren und dann investieren, beschreibe ich auch für den KMU-Einstieg im realistischen Einstiegsguide.

Verifikation in die Architektur einbauen, nicht in den Prozess

Der dritte Punkt ist der, den ich am Panel am stärksten betont habe, und er ist der einzige, der hier nur am Rande gehört, weil er ein eigenes Thema ist. Kurz: Vieles, was Organisationen heute über langsame manuelle Freigaben absichern, lässt sich besser maschinell absichern. Eine Regel, die nur in einem Policy-Dokument steht, existiert in der Praxis kaum. Eine Regel, die als automatisches Gate im System verankert ist, ein Test, eine Berechtigungsgrenze, eine Pflicht-Prüfung vor jedem riskanten Schritt, blockt zuverlässig und kostet keine Wochen.

Wenn ein Teil der Freigabe-Latenz daher rührt, dass Menschen manuell prüfen, was eine Maschine zuverlässiger prüfen könnte, dann ist das ein Ansatzpunkt. Wie man solche Prüf- und Kontrollstrukturen für KI-Agenten konkret baut, habe ich in Harness Design für KI-Coding-Agenten ausführlich beschrieben.

Was die Lücke für Sie bedeutet

Wenn Sie ein Unternehmen mit Freigabeprozessen führen oder verantworten, ist die zentrale Erkenntnis nicht, dass Ihre Vorsicht falsch ist. Sie ist richtig. Die Erkenntnis ist, dass Vorsicht einen Preis hat, den Sie messen und steuern sollten, statt ihn zu ignorieren.

Drei Fragen helfen, diesen Preis sichtbar zu machen:

• Wie lange dauert es bei Ihnen wirklich, bis ein neues Tool genutzt werden darf? Messen Sie die Latenz vom Antrag bis zur produktiven Nutzung. Wenn die Antwort in Monaten liegt, kennen Sie die Größe Ihrer Lücke.
• Wo passiert bei Ihnen schon heute Schatten-KI? Nicht ob, sondern wo. Wenn Sie es nicht wissen, ist das die wichtigste Lücke, die Sie schließen sollten, durch Sichtbarkeit, nicht durch schärfere Verbote.
• Wer treibt KI in jedem Bereich aktiv voran, mit Mandat und Zeit? Wenn die Antwort niemand ist, fehlt der Mechanismus, der die Lücke überhaupt verkleinern könnte.

Die Firmen, die hier gewinnen, sind nicht die, die am schnellsten alles freigeben. Es sind die, die ehrlich anerkennen, dass eine Lücke existiert, und die sie aktiv verkleinern, statt sie zu verdrängen.

Fazit: Die Lücke ist gestaltbar

Geregelte Organisationen adaptieren KI langsamer als Einzelne, und das ist kein Vorwurf, sondern eine strukturelle Tatsache. Die Lücke zwischen dem, was die Tools können, und dem, was die Struktur zulässt, ist real und wächst. Aber sie ist gestaltbar.

Die wichtigsten Punkte zusammengefasst:

1. Die Lücke ist strukturell, nicht menschlich. Ihre Leute sind nicht das Problem. Die Asymmetrie der Risiken zwischen Einzelnem und Organisation ist es.
2. Verbote erzeugen Schatten-KI, nicht null KI. Je strenger die offiziellen Tore, desto attraktiver der unsichtbare Seitenweg.
3. Ein Champion pro Bereich bündelt, was sonst im Verborgenen passiert. Mit echtem Mandat und echter Zeit, nicht als Hobby.
4. Geschützte Experimentier-Räume validieren billig. Trennen Sie nach Reversibilität, nicht nach pauschalem Verbot.
5. Was eine Maschine prüfen kann, sollte keine Wochen manueller Freigabe kosten. Sichern Sie in der Architektur ab, wo es geht.

Ein guter erster Schritt, gerade für nicht-technische Mitarbeiter, ist, mit einem klar abgegrenzten eigenen Arbeitsschritt zu beginnen, bei dem der Mensch in der Schleife bleibt und die KI nur zuarbeitet. Einen neutralen, kuratierten Einstieg dazu habe ich auf agenticbuilders.at/ressourcen zusammengestellt.

Wenn Sie für Ihre Organisation herausfinden möchten, wie groß Ihre Freigabe-Lücke wirklich ist und wo ein Champion-Modell oder ein Experimentier-Raum am meisten bringt, schreiben Sie mir über die Kontaktseite. Ich arbeite bewusst nur mit 1-2 Kunden gleichzeitig und nehme mir entsprechend Zeit für die konkrete Situation.