KI-Governance Enterprise: SAP, Microsoft und Google ziehen die Leitplanken enger

SAP, Microsoft und Google haben binnen weniger Tage neue Leitlinien und Positionspapiere zur KI-Governance veröffentlicht. Alle drei zielen explizit auf agentische Workflows – also auf KI, die nicht mehr nur Texte liefert, sondern selbstständig Aktionen ausführt, Systeme anstößt und Entscheidungen trifft. Klingt nach einem historischen Schulterschluss der drei Software-Riesen. Seien wir ehrlich: So einfach ist es nicht.

Der Mythos vom gemeinsamen Standard

Die harte Wahrheit zuerst: Es gibt keinen einzigen, gemeinsam unterschriebenen KI-Governance-Standard von SAP, Microsoft und Google. Wer das behauptet, verwechselt Konvergenz mit Kooperation. Was wirklich passiert, ist etwas anderes und trotzdem relevant – drei unabhängige Konzerne kommen zu erstaunlich ähnlichen Schlussfolgerungen, weil das zugrunde liegende Problem identisch ist.

Klartext: Wenn KI-Agenten eigenständig auf Daten zugreifen, Freigaben auslösen oder Systeme verändern, reicht ein Ethik-Papier nicht mehr aus. Microsoft, SAP und Google haben das erkannt und liefern – unabhängig voneinander – technische Kontrollmechanismen statt bloßer Absichtserklärungen. Genau diese Parallelität wird in der öffentlichen Debatte gern zu einem gemeinsamen Standard verklärt. Das ist Marketing-Sprache, keine Realität.

Trotzdem verändert sich etwas Substanzielles: Der Fokus verschiebt sich von der Bewertung einzelner KI-Modelle hin zur Kontrolle von Autonomie, Zugriffsrechten und Nachvollziehbarkeit über den gesamten Lebenszyklus eines Agenten. Diese Verschiebung betrifft jedes Unternehmen, das heute KI-Agenten produktiv einsetzt oder plant, es zu tun – ob mit SAP Joule, Microsoft Copilot Studio oder Google Vertex AI.

Wichtig ist dabei auch, das Tempo der Entwicklung realistisch einzuordnen. Während sich die drei Konzerne bei internen Kontrollmechanismen erstaunlich schnell bewegen, hinkt die regulatorische Begleitung in Europa oft hinterher – ähnlich wie bei anderen Vorhaben, bei denen technische Schutzmaßnahmen langsamer greifen als geplant, etwa wenn es um Europas Tempo gegen Desinformation geht. Governance-Leitlinien von Herstellern sind deshalb kein Ersatz für Regulierung, sondern bestenfalls eine Vorstufe, die Unternehmen schon jetzt nutzen können, um sich auf kommende gesetzliche Anforderungen vorzubereiten.

Microsoft zählt: mehr als 25 Kontrollpunkte für Enterprise-Agenten

Microsoft hat seine Leitlinien für verantwortungsvolle KI in Unternehmen konkretisiert und benennt laut eigenen Angaben mehr als 25 Kontrollpunkte für Enterprise-KI-Agenten – darunter Zugriffslimits und Audit-Trails. Das ist kein Zufallswert, sondern das Ergebnis des Agentic AI Maturity Model, das Agenten nach Zweck, Kritikalität und Autonomiegrad klassifiziert und auf höheren Reifegraden eine zentrale Agenten-Registrierung, durchgängige Überwachungsprotokollierung und formale Aufsicht verlangt.

Praktisch heißt das: Ein Agent, der nur Termine vorschlägt, braucht weniger Aufsicht als einer, der Rechnungen freigibt oder Kundendaten verändert. Microsoft empfiehlt außerdem, diese Kontrollen nicht per Handbuch, sondern per Werkzeug zu erzwingen – über Azure Policy und Microsoft Purview, also automatisiert statt auf Zuruf. Microsofts aktuelle Leitlinien beschreiben genau diesen Übergang von der Papierform zur technischen Durchsetzung.

Persönlich halte ich das für den einzig funktionierenden Ansatz. Governance, die nur in einem Dokument existiert, überlebt den ersten stressigen Rollout nicht. Governance, die im System selbst verankert ist, schon.

Auch andere Enterprise-Anbieter bewegen sich in dieselbe Richtung, auch wenn sie nicht im Zentrum dieser drei Leitlinien stehen. Salesforce etwa treibt mit Agentforce die Automatisierung tief in Vertriebsprozesse hinein, wo Agenten Angebote erstellen, Leads priorisieren oder Follow-ups automatisch anstoßen. Wer sich mit den Details solcher Agentforce-Ansätzen für Sales-Automatisierung beschäftigt, erkennt schnell, dass dieselben Fragen nach Zugriffsrechten und Nachvollziehbarkeit auch dort unausweichlich sind. Die Diskussion um Agenten-Sicherheit ist also längst kein SAP-Microsoft-Google-Spezifikum, sondern ein branchenweites Thema, das jeden Anbieter betrifft, der Agenten mit Schreibzugriff auf Geschäftsprozesse ausliefert.

SAP sortiert: Risiko-Scoring statt Bauchgefühl

SAP verfolgt einen anderen, aber verwandten Weg: ein mehrstufiges Risk-Scoring-Modell für KI-Anwendungsfälle, das agentische Workflows in mittlere und hohe Risikokategorien einteilen kann. Ein Agent, der lediglich Berichte zusammenfasst, landet in einer anderen Kategorie als einer, der automatisch Bestellungen auslöst oder Personaldaten verarbeitet.

Diese Einteilung ist kein neues Konstrukt aus dem Nichts. SAP hatte bereits 2024 seine globale KI-Ethikrichtlinie überarbeitet und dabei ausdrücklich an der UNESCO-Empfehlung zur Ethik der KI orientiert. Zehn Leitprinzipien stecken dahinter, darunter Schutz und Sicherheit, Privatsphäre, menschliche Kontrolle, Transparenz, Verantwortlichkeit und eine flexible Governance-Struktur. Das neue Risiko-Scoring übersetzt diese Prinzipien nun in eine praktische Klassifizierung, mit der Unternehmen ihre Agenten-Landschaft tatsächlich einordnen können.

Der Unterschied zu früheren Ethikpapieren: Ein Score ist prüfbar. Ein Bekenntnis nicht. Wer als Unternehmen SAP-Systeme mit agentischen Funktionen einsetzt, sollte diese Risikokategorien kennen, bevor der erste Wirtschaftsprüfer danach fragt.

Google sichert ab: vom Modell zum Aktionsraum

Google Cloud hat seine KI-Governance-Updates ebenfalls verschärft und baut dabei auf dem bereits etablierten Secure AI Framework auf, das Sicherheitsgrundlagen konsequent auf das gesamte KI-Ökosystem ausweitet – inklusive Datenzugriff, Schutz vor Data Poisoning, Logging und Prüfpfaden. Die jüngsten Google-Cloud-Updates ordnen diese Prinzipien stärker auf agentische Anwendungsfälle ein.

Google nennt als Governance-Grundsätze Fairness, Transparenz, Rechenschaftspflicht, Datenschutz und Sicherheit. Das liest sich zunächst wie jedes andere Ethik-Statement der Branche. Der entscheidende Unterschied liegt im Kleingedruckten: Es geht nicht mehr um die Frage, ob ein Modell fair antwortet, sondern darum, ob ein Agent fair und nachvollziehbar handelt, wenn er eigenständig Aktionen im Unternehmen auslöst.

Bemerkenswert ist zudem die enger werdende Verzahnung zwischen SAP- und Google-Daten: Eine Zero-Copy-Data-Fabric für den direkten Zugriff auf SAP-Daten in Google BigQuery soll SAP zufolge im ersten Halbjahr 2026 allgemein verfügbar werden. Direkter Datenzugriff ohne Kopieren spart Aufwand – erhöht aber auch den Druck auf Berechtigungskonzepte, denn ohne Kopie gibt es auch keine zusätzliche Kontrollstelle mehr.

Warum Agenten-Sicherheit ein anderes Spiel ist

Modell-Sicherheit fragt: Ist die Antwort korrekt, fair, unverzerrt? Agenten-Sicherheit fragt etwas völlig anderes: Darf dieser Agent das gerade wirklich tun? Das ist der Kern der neuen Leitlinien von SAP, Microsoft und Google, auch wenn sie unterschiedliche Begriffe dafür verwenden.

Ein Agent, der ein E-Mail-Postfach zusammenfasst, ist harmlos. Ein Agent, der Rechnungen automatisch freigibt, Zugriffsrechte vergibt oder Kundendaten in ein anderes System schreibt, ist es nicht. Genau diese Differenzierung fehlt in vielen Unternehmen bislang komplett. Wer heute einen KI-Agenten produktiv schaltet, ohne vorher zu definieren, welche Aktionen er ausführen darf und welche nicht, handelt fahrlässig – auch wenn das Modell selbst technisch einwandfrei funktioniert.

Die neuen Leitplanken drehen sich deshalb fast ausschließlich um vier Bausteine: Least Privilege, also minimale Rechte pro Agent; klare Verantwortlichkeiten für jede Aktion; lückenlose Audit-Trails; und gestufte Freigabeprozesse je nach Risikoklasse. Wer diese vier Punkte in seiner eigenen Agenten-Architektur nicht beantworten kann, hat noch keine funktionierende Agenten-Sicherheit – egal wie viele Ethikprinzipien im Intranet stehen.

Ein einfaches Beispiel macht den Unterschied greifbar: Ein Einkaufsagent, der Bestellungen bis 500 Euro selbstständig auslösen darf, aber ab 5.000 Euro eine menschliche Freigabe benötigt, braucht keine komplizierte Ethik-Debatte – er braucht eine klar hinterlegte Schwelle im System, die technisch erzwungen wird. Genau an solchen banal wirkenden Schwellenwerten entscheidet sich in der Praxis, ob Governance funktioniert oder nur auf dem Papier existiert.

Ist das bürokratisch? Ja. Unvermeidbar? Auch ja. Wer einer Maschine erlaubt, selbstständig zu handeln, muss auch erlauben, dass jemand nachträglich prüft, was sie getan hat.

Compliance-Automation: vom Papier in die Pipeline

Der eigentliche Bruch mit der alten Governance-Welt liegt nicht in neuen Prinzipien, sondern in der Erwartung, dass diese Prinzipien technisch durchgesetzt werden. Compliance-Automation heißt: Richtlinien laufen nicht mehr als PDF im Intranet, sondern als Regelwerk im System – erzwungen durch Policy-Engines, Berechtigungsmanagement und automatisierte Protokollierung.

Microsofts Empfehlung, Richtlinien über Azure Policy und Purview automatisiert durchzusetzen, ist dafür das deutlichste Beispiel. SAPs Risiko-Scoring wird nur dann wirksam, wenn es in den Freigabeprozess eines Systems eingebettet ist und nicht erst im nachträglichen Audit auffällt. Und Googles Secure-AI-Framework-Logik funktioniert nur, wenn Logging und Prüfpfade tatsächlich lückenlos entstehen, statt nur theoretisch möglich zu sein.

Für IT-Sicherheitsteams bedeutet das eine Verschiebung der Prioritäten: Weniger Zeit für Richtlinientexte, mehr Zeit für die technische Implementierung von Kontrollpunkten. Wer bislang KI-Governance als Aufgabe der Rechtsabteilung verstanden hat, muss umdenken. Es ist eine Aufgabe für Architekten, Plattform-Teams und Sicherheitsverantwortliche gleichzeitig.

Gegenargumente: Ist das nur Marketing in neuem Gewand?

Bei so viel Einigkeit zwischen drei Konzernen, die sich sonst erbittert um Marktanteile streiten, lohnt sich ein skeptischer Blick. Kritiker weisen zu Recht darauf hin, dass Governance-Leitlinien von Anbietern immer auch ein strategisches Ziel verfolgen: Kundenbindung. Wer seine Agenten-Sicherheit an Azure Policy, Purview oder das SAP-Ökosystem koppelt, bindet sich technisch enger an genau diesen Anbieter. Das ist kein Vorwurf, sondern eine nüchterne Beobachtung – Interoperabilität zwischen den Kontrollsystemen der drei Konzerne existiert praktisch nicht.

Ein zweiter berechtigter Einwand: Reifegradmodelle und Risiko-Scores klingen präzise, sind aber letztlich Selbsteinschätzungen der Hersteller. Es gibt aktuell keine unabhängige, herstellerübergreifende Prüfinstanz, die kontrolliert, ob ein als „niedriges Risiko“ eingestufter Agent tatsächlich so harmlos ist, wie das Scoring-Modell behauptet. Diese Lücke füllt derzeit weder der AI Act noch eine der drei Unternehmensrichtlinien vollständig.

Und drittens: Governance-Papiere lösen kein einziges technisches Problem von allein. Sie beschreiben nur, was möglich wäre, wenn Unternehmen die Werkzeuge auch konsequent implementieren. Zwischen der Existenz einer Kontrollfunktion in Azure Policy und ihrer tatsächlichen, korrekten Konfiguration in einem gewachsenen Unternehmensnetzwerk liegt oft ein großer Graben. Diese Einwände relativieren die Euphorie, ändern aber nichts an der Grundrichtung: Wer heute Agenten produktiv einsetzt, kommt an genau diesen Fragen nicht vorbei, unabhängig davon, wie ehrlich die Motive der Anbieter im Detail sind.

Praxis-Szenario: Wie ein Freigabeprozess entsteht

Wie sähe die Umsetzung in einem mittelständischen Unternehmen konkret aus? Ein realistisches, vorsichtig formuliertes Szenario: Ein Fertigungsbetrieb setzt einen KI-Agenten ein, der Bestellvorschläge für Ersatzteile generiert und bei Lieferantenausfällen automatisch Alternativangebote einholt. Zunächst läuft der Agent nur beratend – er schlägt vor, ein Mensch entscheidet. In dieser Phase wäre die Risikoklasse nach einem SAP-ähnlichen Scoring-Modell vermutlich niedrig, weil keine automatisierte Aktion ohne Freigabe erfolgt.

Im nächsten Schritt soll der Agent Bestellungen bis zu einem festen Betrag selbstständig auslösen dürfen, um Prozesse zu beschleunigen. Genau an diesem Punkt würde sich die Risikoklasse erhöhen, und genau hier müssten die vier Bausteine aus Microsofts Reifegradmodell greifen: eine Registrierung des Agenten im zentralen Verzeichnis, ein dokumentierter Verantwortlicher für seine Aktionen, ein lückenloser Audit-Trail jeder ausgelösten Bestellung und ein Schwellenwert, ab dem automatisch eine menschliche Freigabe eingefordert wird.

Ohne diese Struktur würde das Unternehmen zwar theoretisch von der Automatisierung profitieren, aber praktisch die Kontrolle über Ausgaben, Lieferantenbeziehungen und im schlimmsten Fall auch über vertragliche Verpflichtungen teilweise abgeben. Mit der Struktur bleibt die Beschleunigung erhalten, während Verantwortlichkeit und Nachvollziehbarkeit erhalten bleiben. Dieses Szenario ist bewusst einfach gehalten – in der Praxis kommen häufig noch Fragen von Datenschutz, Exportkontrolle oder internen Freigabehierarchien hinzu, die die Komplexität weiter erhöhen.

Was deutsche Unternehmen jetzt tun müssen

Für Unternehmen, die bereits mit KI-Agenten arbeiten oder das planen, lassen sich aus den neuen Leitlinien konkrete Schritte ableiten – unabhängig davon, welcher Anbieter im Haus dominiert.

• Ein zentrales Agenten-Register anlegen: Wer weiß aktuell wirklich, wie viele KI-Agenten in welchen Abteilungen aktiv sind?
• Jeden Agenten nach Kritikalität einstufen, ähnlich dem SAP-Risiko-Score oder Microsofts Reifegradmodell.
• Zugriffsrechte nach dem Least-Privilege-Prinzip vergeben und regelmäßig überprüfen, statt sie einmal einzurichten und zu vergessen.
• Audit-Trails für jede automatisierte Aktion technisch erzwingen, nicht nur empfehlen.
• Freigabeprozesse für hochriskante Aktionen definieren, bevor der erste Agent produktiv geht, nicht danach.

Diese Punkte sind kein Neuland für IT-Sicherheitsteams, die bereits mit klassischer IT-Sicherheit, Berechtigungsmanagement und Protokollierung vertraut sind. Neu ist nur, dass sie jetzt auf Software angewendet werden müssen, die selbstständig handelt statt nur zu antworten. Wer im Unternehmen bereits an den AI-Act-Vorgaben arbeitet, kann diese Agenten-Klassifizierung als praktische Ergänzung zur regulatorischen Risikoeinstufung nutzen – die Logik ähnelt sich, auch wenn Herkunft und Rechtsstatus unterschiedlich sind.

Gerade kleinere und mittelständische Unternehmen ohne große IT-Governance-Abteilung sollten sich nicht von der Fülle der Kontrollpunkte abschrecken lassen. Der pragmatische Einstieg beginnt nicht mit einem perfekten Regelwerk, sondern mit einer ehrlichen Bestandsaufnahme: Welche Agenten laufen bereits, welche Aktionen führen sie tatsächlich aus, und wer im Unternehmen könnte im Ernstfall erklären, warum eine bestimmte automatisierte Entscheidung getroffen wurde? Wer diese Fragen für sich beantworten kann, hat mehr erreicht als viele Konzerne mit ihren mehrseitigen Ethikrichtlinien. Wer sich zusätzlich an konkreten Beispielen orientieren möchte, findet in Berichten über KI-Agenten im Mittelstand und deren praktische Umsetzung greifbare Anhaltspunkte, wie andere Unternehmen genau diese Fragen bereits beantwortet haben.

Was bleibt?

Was bleibt, ist keine fertige Blaupause, sondern ein Muster: Drei der größten Enterprise-Anbieter kommen unabhängig zum selben Schluss, dass Autonomie ohne Kontrolle ein Risiko ist, kein Feature. Schluss damit, KI-Governance als lästige Pflichtübung für die Rechtsabteilung abzutun.

Gleichzeitig sollte diese Erkenntnis nicht in blinden Optimismus umschlagen. Die Leitlinien von SAP, Microsoft und Google sind ein Fortschritt gegenüber reinen Ethik-Bekenntnissen, aber sie ersetzen keine unabhängige Prüfung und schon gar keine gesetzliche Regulierung. Unternehmen, die sich allein auf die Reifegradmodelle ihrer Softwareanbieter verlassen, überlassen die Definition von „sicher genug“ genau denjenigen, die ein wirtschaftliches Interesse an einer möglichst reibungslosen Einführung ihrer Agenten haben. Ein gesunder Mittelweg besteht darin, die Werkzeuge der Hersteller zu nutzen, ohne die eigene Verantwortung an sie abzugeben.

Die eigentliche Frage für jedes Unternehmen lautet nicht mehr, ob es Agenten-Sicherheit braucht, sondern wie schnell es die eigenen Agenten überhaupt vollständig auflisten kann. Wer das heute nicht kann, hat ein größeres Problem als jede fehlende Compliance-Automation.