Zum S+P-Prüfrahmen Quick-Check starten
S+P Governance · Auswertung
Leitfrage: Wie unterscheiden sich KI-Nutzung und genannte Einführungshürden nach Unternehmensgröße, und welche prüfbaren Entscheidungsfragen folgen daraus für die Leitung?
Version 1.0Stichtag der Quellenrecherche: 01.10.20269 KernquellenRechtsstand: 01.10.2026Lesezeit: 28 Minuten
Leitfrage: Wie unterscheiden sich KI-Nutzung, Technologiearten und genannte Einführungshürden nach Unternehmensgröße, und welche prüfbaren Entscheidungsfragen folgen daraus für die Leitung?
KI-Einführung ist nicht allein eine Budgetfrage. Unter den Unternehmen, die KI bislang nicht nutzen, ihren Einsatz aber erwogen haben, nennen 72 % fehlendes Wissen, 62 % unklare rechtliche Folgen und 60 % Datenschutzbedenken; zu hohe Kosten nennen 32 %.[1] Das ist eine Aussage über eine klar abgegrenzte Teilgruppe, keine Diagnose fehlender Kompetenz oder mangelhafter Compliance in allen deutschen Unternehmen.
Die KI-Nutzungsquote beträgt in den erfassten Wirtschaftsbereichen 26 %. Sie reicht von 23 % bei Unternehmen mit 10 bis 49 Beschäftigten über 36 % bei 50 bis 249 Beschäftigten bis zu 57 % bei Unternehmen mit mindestens 250 Beschäftigten.[2][3] Zwischen der größten und der kleinsten Größenklasse liegen damit 34 Prozentpunkte, berechnet aus den veröffentlichten gerundeten Anteilen.
Der eigenständige Befund dieser Auswertung verbindet zwei Beobachtungen: Die Verbreitung unterscheidet sich deutlich nach Unternehmensgröße, während der Abstand zwischen Wissens- und Kostenhemmnis in den drei Größenklassen mit 40, 40 und 41 Prozentpunkten nahezu gleich ausfällt. Die zweite Aussage betrifft jeweils nur erwägende Nichtnutzer. Daraus leitet S+P Governance die Empfehlung ab, KI-Vorhaben nicht ausschließlich über Lizenzen und Investitionsvolumen zu steuern, sondern über geklärte Einsatzfälle, passende Kompetenzmaßnahmen, Datenfreigaben und überprüfte Ergebnisse.
Die Auswertung misst weder die Wirksamkeit vorhandener KI-Kontrollen noch Verstöße gegen die KI-Verordnung. Sie ist ein empirischer Ausgangspunkt für Managemententscheidungen, aber kein „KI-Compliance-Index“, kein Bankenbenchmark und kein Nachweis, dass eine bestimmte Maßnahme die Nutzungsquote erhöht.
Die Nutzungsquoten liegen bei 23 %, 36 % und 57 %, der Gesamtwert bei 26 %; der Abstand zwischen größter und kleinster Klasse beträgt 34 Prozentpunkte.[2]
Bezugsgröße: Alle Unternehmen der jeweiligen Größenklasse in der erfassten Grundgesamtheit (ab zehn tätigen Personen, ausgewählte Wirtschaftsbereiche), grundsätzlich Stand Januar 2025.
Die Abstände betragen 40, 40 und 41 Prozentpunkte (73 % zu 33 %, 72 % zu 32 %, 67 % zu 26 %); das Muster ist nicht auf kleine Unternehmen beschränkt.[1]
Bezugsgröße: Nichtnutzende Unternehmen, die KI bereits erwogen haben, je Größenklasse; Mehrfachnennungen möglich.
Datenschutzbedenken nennen 60 %, 59 % und 63 % der erwägenden Nichtnutzer; Datenverfügbarkeit und -qualität liegen zwischen 43 % und 45 %.[1]
Bezugsgröße: Nichtnutzende Unternehmen, die KI bereits erwogen haben, je Größenklasse; gerundete Punktwerte ohne Konfidenzintervall.
Text Mining sowie Bild-, Video- und Audioerzeugung erreichen je 52 %, Spracherkennung 42 %, Sprach- und Codeerzeugung 35 %; bei maschinellem Lernen und Sprach-/Codeerzeugung liegen große Unternehmen 18 Prozentpunkte vor kleinen.[2]
Bezugsgröße: KI-nutzende Unternehmen der jeweiligen Größenklasse; Mehrfachnennungen möglich, die Anteile sind nicht addierbar.
Art. 4 KI-Verordnung verlangt Maßnahmen zur Entwicklung der KI-Kompetenz des Personals; ein bestimmtes individuelles Kompetenzniveau muss nicht garantiert werden. Die Neufassung ist seit 27.07.2026 in Kraft.[4]
Bezugsgröße: Rechtsstand 01.10.2026; Norm, keine Erhebungsgröße. Sie sagt nichts über den Umsetzungsstand in Unternehmen.
Kleinstunternehmen unterhalb der Erhebungsgrenze und der Wirtschaftsabschnitt K „Finanz- und Versicherungsdienstleistungen“ sind von der herangezogenen Abgrenzung nicht erfasst.[5]
Bezugsgröße: Grundgesamtheit der Erhebung IKT in Unternehmen 2025; die Befragungsdaten beziehen sich auf Januar 2025, der Rechtsstand dieser Auswertung auf den 01.10.2026.
Die Auswertung richtet sich an Geschäftsleitungen, Compliance- und Rechtsfunktionen, Datenschutzverantwortliche, IT-Leitungen und die Interne Revision. Untersucht wird, wie sich KI-Nutzung, eingesetzte Technologiearten und berichtete Einführungshürden nach Unternehmensgröße unterscheiden und welche prüfbaren Entscheidungsfragen daraus entwickelt werden können.
Als Governance wird hier die nachvollziehbare Verbindung von Zuständigkeit, Bewertung, Entscheidung, Umsetzung und Überprüfung verstanden. Die Einführung möglichst vieler KI-Anwendungen ist nicht das normative Ziel; auch eine begründete Entscheidung gegen einen Einsatz kann sachgerecht sein.
| Stufe | Evidenztyp | Trägt | Trägt nicht |
|---|---|---|---|
| Amtliche Erhebung | Veröffentlichte Ergebnisse einer amtlichen Unternehmenserhebung | Verbreitungs- und Hürdenmuster nach Größenklasse in der abgegrenzten Grundgesamtheit | Aussagen über einzelne Unternehmen, Kausalität, Wirksamkeit von Kontrollen, Finanzsektor |
| Rechtsakt | Verkündete Norm oder Entwurf | Maßstab und Frist | Umsetzungsstand |
Den quantitativen Kern bilden zwei Tabellen mit Veröffentlichungsstand 24.11.2025: KI-Nutzung einschließlich Technologiearten sowie Gründe gegen KI-Nutzung, jeweils nach Beschäftigtengrößenklassen.[2][1] Der Qualitätsbericht samt Fragebogen und die Erläuterungsseite der Erhebung wurden ergänzend ausgewertet, um Nenner, Filterführung und Vergleichbarkeit zu prüfen.[5][3]
Die Angaben beziehen sich grundsätzlich auf Januar 2025; der Fragebogen benennt abweichende Zeiträume bei einzelnen anderen Merkmalen, etwa dem E-Commerce.[5] „Berichtsjahr 2025“ bezeichnet deshalb keine durchgehende Beobachtung sämtlicher KI-Einführungen bis Dezember 2025. Die Ergebnisse der Erhebung 2026 sind nach der beim Abruf verfügbaren Information erst für November oder Dezember 2026 vorgesehen.[3]
Darstellungseinheit ist seit 2025 das Unternehmen nach der EU-Einheitenverordnung, das aus einer oder mehreren rechtlichen Einheiten bestehen kann; Erhebungseinheit bleibt die rechtliche Einheit, bei komplexeren Unternehmen grundsätzlich die bestimmende rechtliche Einheit.[5] Die Übernahme ihrer Angaben folgt einem Repräsentantenansatz und ist keine vollständige Bestandsaufnahme aller KI-Anwendungen sämtlicher Konzerngesellschaften.
Die Erhebung umfasst Unternehmen mit mindestens zehn tätigen Personen in ausgewählten Wirtschaftsbereichen; tätige Personen umfassen neben abhängig Beschäftigten insbesondere auch tätige Inhaber und unbezahlt mithelfende Familienangehörige.[5] Die Bezeichnung „Beschäftigtengrößenklasse“ der Veröffentlichungstabellen wird beibehalten. „Klein“, „mittel“ und „groß“ sind hier lediglich Kurzbezeichnungen für 10–49, 50–249 und mindestens 250 Beschäftigte, keine vollständige rechtliche KMU-Einstufung.
Die Ergebnisse gelten nicht für sämtliche Unternehmen in Deutschland. Kleinstunternehmen unterhalb der Erhebungsgrenze und der Wirtschaftsabschnitt K „Finanz- und Versicherungsdienstleistungen“ sind nicht erfasst.[5] Eine Übertragung der Quoten auf Banken, Versicherer oder die gesamte FinTech- und Kryptobranche ist deshalb nicht zulässig; für einzelne FinTech-Unternehmen wäre zunächst ihre wirtschaftszweigbezogene Zuordnung zu klären.
Eine Abgrenzungsunschärfe der amtlichen Dokumentation wird offengelegt: Der Destatis-Qualitätsbericht nennt die Abschnitte C bis J, L bis M und 95.1, die bayerische Veröffentlichung zur gleichen Erhebung dagegen C bis J, L bis N und 95.1.[5][6] Diese Auswertung übernimmt die veröffentlichten Bundesaggregate unverändert, bildet keine eigenen Sektoraggregate und leitet keine Aussage über Abschnitt N ab.
Die Filterführung des Fragebogens trennt KI-Nutzung, Technologiearten und Gründe der Nichtnutzung: Die Hemmnisfragen folgen nur dann, wenn sämtliche Technologien verneint und die Erwägung eines Einsatzes bejaht wurden.[5] Die Auswertung verwendet daher drei ausdrücklich getrennte Nenner.
| Kennzahlengruppe | Bezugsgruppe | Nicht zulässige Umdeutung |
|---|---|---|
| KI-Nutzung | Alle Unternehmen der erfassten Grundgesamtheit innerhalb der jeweiligen Größenklasse | Anteil aller deutschen Unternehmen unabhängig von Größe und Branche |
| Einzelne Technologiearten | KI-nutzende Unternehmen innerhalb der jeweiligen Größenklasse | Anteil aller Unternehmen oder aller Beschäftigten |
| Einführungshürden | Nichtnutzende Unternehmen, die KI bereits erwogen haben, innerhalb der jeweiligen Größenklasse | Hemmnisse sämtlicher Nichtnutzer oder festgestellte Mängel bei KI-Nutzern |
Auch bei der veröffentlichten Quote der Unternehmen, die einen KI-Einsatz erwogen haben, besteht ein Quellenwiderspruch: Die Tabellenüberschrift nennt „an allen Unternehmen“, während der Erläuterungstext die 20 % auf bisherige Nichtnutzer bezieht.[1][3] Die Auswertung verzichtet deshalb auf jede quantitative Weiterverarbeitung dieser Erwägungsquote und auf eine Hochrechnung der Hemmnisse auf alle Unternehmen. Die Hemmnisquoten selbst haben in Tabelle und Filterführung eine übereinstimmend abgegrenzte Bezugsgruppe.[5]
Veröffentlichten Prozentanteilen werden Differenzen in Prozentpunkten gegenübergestellt. Für zwei Gruppen A und B lautet die Rechnung: Δpp = pA − pB. Die Anteile werden unverändert aus den gerundeten amtlichen Tabellen übernommen; Gesamtwerte werden nicht aus den Größenklassen gemittelt. Mehrfachnennungen werden nicht addiert, fehlende Werte nicht als null behandelt, und Nutzungs- und Hemmnisdaten werden nicht zu vermeintlich unternehmensbezogenen Datensätzen verknüpft.
Die Primärerhebung beruht auf einer geschichteten Zufallsauswahl und freiwilliger Teilnahme; für 2025 nennt Destatis eine Antwortquote von 24,6 % und eine Kompensation von Antwortausfällen durch angepasste Hochrechnungsfaktoren innerhalb der Schichten.[5] Gewichtung macht aus Selbstauskünften jedoch keine unabhängigen technischen Prüfungen. Da keine Mikrodaten und keine vollständigen zellbezogenen Varianzen vorliegen, werden weder Konfidenzintervalle noch Signifikanztests ausgewiesen.
Ein ungeprüfter Vorjahresvergleich wird bewusst vermieden. Destatis weist auf den Wechsel von rechtlichen Einheiten zu Unternehmen sowie den Ausschluss von Einheiten unter zehn tätigen Personen hin und bezeichnet die Werte ab 2025 als nur bedingt mit den Vorjahren vergleichbar.[5] Die Auswertung verwendet deshalb einen Querschnitt, keine Wachstumsrate von 2024 auf 2025.
Die folgenden Befunde sind nach Untersuchungsfeldern gegliedert. Alle Zahlen sind veröffentlichte, gerundete Punktwerte; Differenzen in Prozentpunkten sind eigene Rechnungen aus diesen Werten.
| Untersuchung | Ergebnis | Bezugsgröße | Was folgt und was nicht |
|---|---|---|---|
| Nutzungsquote nach Größenklasse | 23 % (10–49), 36 % (50–249), 57 % (ab 250); Gesamtwert 26 % | Alle Unternehmen der Größenklasse, ab zehn tätigen Personen, grundsätzlich Januar 2025 | Folgt: deutliche Unterschiede nach Größenklasse. Folgt nicht: Größe als Ursache, höhere Produktivität oder bessere Governance. |
| Technologiearten insgesamt | Text Mining 52 %, Bild-/Video-/Audioerzeugung 52 %, Spracherkennung 42 %, Sprach-/Codeerzeugung 35 % | KI-nutzende Unternehmen; Mehrfachnennungen | Folgt: Profile unterscheiden sich. Folgt nicht: Risikoklasse oder Reifegrad. |
| Wissen im Vergleich zu Kosten | 72 % zu 32 % insgesamt; Abstand 40, 40 und 41 Prozentpunkte je Größenklasse | Nichtnutzer, die KI erwogen haben; Mehrfachnennungen | Folgt: Wissen wird häufiger genannt als Kosten. Folgt nicht: Kompetenzdefizit in allen Unternehmen oder Wirksamkeit von Schulungen. |
| Unklare rechtliche Folgen | 62 % insgesamt (64 %, 56 %, 56 %) | Nichtnutzer, die KI erwogen haben | Folgt: Rechtsunsicherheit wird häufig genannt. Folgt nicht: ein Rechtsverstoß. |
| Datenschutz / Privatsphäre | 60 % insgesamt (60 %, 59 %, 63 %) | Nichtnutzer, die KI erwogen haben | Folgt: kein einfaches Größengefälle. Folgt nicht: schlechterer Datenschutz bei großen Unternehmen. |
| Datenverfügbarkeit / -qualität | 44 % insgesamt (44 %, 45 %, 43 %) | Nichtnutzer, die KI erwogen haben | Folgt: über die Größenklassen ähnlich präsent. Folgt nicht: ein monotones Größenmuster. |
Die publizierten Nutzungsquoten steigen über die drei Größenklassen von 23 % auf 36 % und 57 %; der Bundesgesamtwert der erfassten Grundgesamtheit liegt bei 26 %.[2]
Größenklasse Gesamtwert
Anteil der Unternehmen mit KI-Nutzung
Skala: 0 % bis 100 %. Balkenlänge entspricht dem veröffentlichten, gerundeten Anteil.
Quellen: eigene Darstellung der veröffentlichten Nutzungsquoten; Grundgesamtheit sind die erfassten Unternehmen ab zehn tätigen Personen, nicht die gesamte deutsche Wirtschaft [2], [5]
| Vergleich | Eigene Rechnung | Ergebnis |
|---|---|---|
| Mittlere gegenüber kleinen Unternehmen | 36 minus 23 | 13 Prozentpunkte |
| Große gegenüber mittleren Unternehmen | 57 minus 36 | 21 Prozentpunkte |
| Große gegenüber kleinen Unternehmen | 57 minus 23 | 34 Prozentpunkte |
Quellen: [2]
Die Unterschiede sind kein Beleg dafür, dass Unternehmensgröße selbst die Nutzung verursacht. Branchenzusammensetzung, Geschäftsmodell, Aufgabenstruktur und Ressourcen kommen als Erklärungen infrage, werden mit den vorliegenden Aggregaten aber nicht getrennt identifiziert. Ebenso wenig lässt sich aus einer höheren Nutzungsquote eine höhere Produktivität oder bessere Governance ableiten.
Für eine Geschäftsleitung ist daher nicht der Bundesdurchschnitt das geeignete Einführungsziel. Zweckmäßiger erscheint die Frage, welche konkreten Prozesse einen hinreichenden Nutzen erwarten lassen und unter welchen Bedingungen ein beherrschbarer Einsatz möglich ist.
Unter den KI-nutzenden Unternehmen erreichen Text Mining sowie Bild-, Video- und Audioerzeugung jeweils 52 %, Spracherkennung 42 % und die Erzeugung natürlicher Sprache einschließlich Programmiercode 35 %; Mehrfachnennungen sind möglich.[2]
| Technologie | 10–49 | 50–249 | Ab 250 Beschäftigte |
|---|---|---|---|
| Text Mining | 51 % | 53 % | 57 % |
| Spracherkennung | 41 % | 43 % | 50 % |
| Erzeugung natürlicher Sprache einschließlich Code | 32 % | 40 % | 50 % |
| Erzeugung von Bildern, Videos und Audio | 51 % | 55 % | 57 % |
| Bilderkennung | 16 % | 17 % | 24 % |
| Maschinelles Lernen | 21 % | 25 % | 39 % |
| Automatisierung von Arbeitsabläufen / Entscheidungsfindung | 26 % | 25 % | 37 % |
| Autonome Bewegung von Maschinen | 5 % | 6 % | 12 % |
Quellen: [2]
10–49 Beschäftigte Ab 250 Beschäftigte
Text Mining
Spracherkennung
Erzeugung natürlicher Sprache einschließlich Code
Erzeugung von Bildern, Videos und Audio
Bilderkennung
Maschinelles Lernen
Automatisierung von Arbeitsabläufen / Entscheidungsfindung
Autonome Bewegung von Maschinen
Skala: 0 % bis 100 %. Balkenlänge entspricht dem veröffentlichten, gerundeten Anteil.
Quellen: eigene Gegenüberstellung der kleinsten und größten untersuchten Größenklasse; die Anteile beziehen sich jeweils auf KI-Nutzer und sind nicht addierbar [2]
Bei Sprach- und Codeerzeugung beträgt der Abstand zwischen großen und kleinen KI-nutzenden Unternehmen 18 Prozentpunkte, ebenso beim maschinellen Lernen; bei Ablaufautomatisierung beziehungsweise Entscheidungsfindung beträgt er 11 Prozentpunkte (eigene Berechnung).[2]
Die Technologiegruppen sind weder trennscharfe Portfolios noch rechtliche Risikoklassen. Aus „maschinellem Lernen“ folgt für sich genommen keine Hochrisikoeinstufung; eine solche Einordnung muss am konkreten System, dessen Zweck und den einschlägigen Tatbeständen ansetzen, nicht am statistischen Kategorienamen.[7] Die S+P-Schlussfolgerung lautet deshalb, einen technischen Bestandsüberblick um Zweck, Daten, betroffene Personen und die tatsächliche Rolle der KI im Entscheidungsprozess zu ergänzen.
Die Rangfolge der veröffentlichten Gesamtnennungen beginnt mit Wissen, Rechtsklarheit und Datenschutz; technische Inkompatibilität und Datenverfügbarkeit beziehungsweise Datenqualität folgen vor den Kosten.[1] Sämtliche folgenden Werte beziehen sich ausschließlich auf Nichtnutzer, die KI erwogen haben.
| Genannter Nichtnutzungsgrund | Anteil insgesamt | Abstand zur Kostennennung |
|---|---|---|
| Fehlendes Wissen | 72 % | +40 Prozentpunkte |
| Unklare rechtliche Folgen | 62 % | +30 Prozentpunkte |
| Datenschutz / Privatsphäre | 60 % | +28 Prozentpunkte |
| Technische Inkompatibilität | 45 % | +13 Prozentpunkte |
| Datenverfügbarkeit / -qualität | 44 % | +12 Prozentpunkte |
| Zu hohe Kosten | 32 % | Referenzwert |
| Ethische Überlegungen | 23 % | −9 Prozentpunkte |
| Einsatz nicht sinnvoll | 18 % | −14 Prozentpunkte |
Quellen: [1]
Grund Referenzwert Kosten
Anteil der erwägenden Nichtnutzer, die den Grund nennen
Skala: 0 % bis 100 %. Balkenlänge entspricht dem veröffentlichten, gerundeten Anteil.
Quellen: eigene Darstellung der Hemmnisquoten; Mehrfachnennungen und Überschneidungen zwischen den Gründen sind möglich [1], [5]
Die Häufigkeit einer Nennung misst nicht ihre wirtschaftliche Schwere. Ein selten genannter Grund kann im Einzelfall ausschlaggebend sein; ein häufig genannter Grund kann zugleich mit anderen Gründen auftreten. Die Rangfolge bedeutet weder „Kosten sind unwichtig“ noch „Schulung löst die meisten Einführungsprobleme“.
Auch „fehlendes Wissen“ bleibt inhaltlich breit. Der Fragebogen fragt nach entsprechendem Wissen im Unternehmen, führt an dieser Stelle aber keinen Kompetenztest durch und trennt technisches, fachliches und rechtliches Wissen nicht in separate Messgrößen.[5] Ein daraus abgeleitetes Qualifizierungsprogramm sollte deshalb zunächst den konkreten Bedarf feststellen, statt die statistische Nennung bereits als Diagnose eines bestimmten Schulungsdefizits zu behandeln.
Die folgende Gegenüberstellung zeigt keine individuellen Übergänge vom Nichtnutzer zum Nutzer. Sie vergleicht drei jeweils eigene Gruppen erwägender Nichtnutzer, deren Zusammensetzung sich unterscheiden kann.
| Genannter Nichtnutzungsgrund | 10–49 | 50–249 | Ab 250 Beschäftigte |
|---|---|---|---|
| Fehlendes Wissen | 73 % | 72 % | 67 % |
| Unklare rechtliche Folgen | 64 % | 56 % | 56 % |
| Datenschutz / Privatsphäre | 60 % | 59 % | 63 % |
| Technische Inkompatibilität | 46 % | 46 % | 38 % |
| Datenverfügbarkeit / -qualität | 44 % | 45 % | 43 % |
| Zu hohe Kosten | 33 % | 32 % | 26 % |
| Ethische Überlegungen | 23 % | 21 % | 21 % |
| Einsatz nicht sinnvoll | 20 % | 14 % | Nicht veröffentlicht, Zahlenwert nicht sicher genug |
Quellen: [1]
Drei Beobachtungen sprechen gegen eine einfache Lesart „je größer, desto mehr, und überall dasselbe“:
Die höhere Datenschutz-Nennung bei großen erwägenden Nichtnutzern ist nicht gleichbedeutend mit schlechterem Datenschutz. Denkbar wären unter anderem sensiblere Einsatzfälle, komplexere Datenflüsse oder eine höhere Risikosensibilität; diese Erklärungen bleiben mangels geeigneter Verknüpfungsdaten ausdrücklich Hypothesen. Der Befund „Wissen vor Kosten in jeder Größenklasse“ (K2) bleibt davon unberührt, weil er auf den Abständen innerhalb jeder Größenklasse beruht.
Die Befragungsdaten und der heutige Rechtsstand liegen zeitlich auseinander. Dieses Kapitel trennt deshalb geltende Pflichten, den verbindlichen künftigen Zielzustand und Entwürfe. Alle Angaben beziehen sich auf den Rechtsstand 01.10.2026.
Art. 4 KI-Verordnung wurde durch Art. 1 Nr. 5 der Verordnung (EU) 2026/1744 neu gefasst; Anbieter und Betreiber müssen Maßnahmen zur Unterstützung der Entwicklung von KI-Kompetenz ihres Personals und weiterer in ihrem Auftrag handelnder Personen ergreifen.[4] Dabei sind Kenntnisse, Erfahrung, Aus- und Fortbildung, Einsatzkontext und betroffene Personen zu berücksichtigen; ein bestimmtes individuelles Kompetenzniveau muss ausdrücklich nicht garantiert werden.[4] Die Änderung ist seit 27.07.2026 in Kraft und darf zum Stand dieser Auswertung nicht als bloßer Vorschlag behandelt werden.[7]
Die Kommission stellt klar, dass für Art. 4 weder ein bestimmtes Zertifikat noch eine besondere Governance-Struktur vorgeschrieben ist; interne Aufzeichnungen über Schulungen und andere Maßnahmen kommen als Dokumentation in Betracht.[8] Rollenbezogene Einweisungen, Fallübungen und dokumentierte Maßnahmen werden im S+P-Prüfrahmen (Kapitel 06) deshalb als zweckmäßige Umsetzung vorgeschlagen, nicht als gesetzliche Voraussetzung.
Datenschutz bleibt ein eigenständiger Prüfungsbereich: Art. 2 Abs. 7 KI-Verordnung stellt die Fortgeltung der einschlägigen Datenschutzregelwerke klar.[9] Eine dokumentierte KI-Freigabe ersetzt daher nicht die Prüfung der für den konkreten Datenfluss einschlägigen Anforderungen. Eine vollständige Einzelfallprüfung von Datenschutz-, Arbeits-, Urheber-, Vertrags- oder Finanzaufsichtsrecht ist nicht Gegenstand dieser Auswertung.
Für Hochrisiko-KI gelten nach der Änderung differenzierte Fristen: Die Kommission nennt für bestimmte sensible Einsatzbereiche den 02.12.2027 und für die erfassten produktintegrierten Hochrisikosysteme den 02.08.2028.[7] Der Kontrollrahmen in Kapitel 06 ist daher nicht als bereits einheitlich geltender Hochrisiko-Pflichtenkatalog für jede KI-Anwendung zu lesen.
Entwürfe und Vorschläge werden in dieser Auswertung nicht als Maßstab herangezogen. Der KI-Omnibus wird, soweit er in Kraft getreten ist, als verkündetes Recht behandelt.[7]
Die Erhebungsangaben beziehen sich grundsätzlich auf Januar 2025, die ursprüngliche Anwendung von Art. 4 begann am 02.02.2025.[5][10] Die Befragungsdaten können deshalb nicht als Prüfung der im Oktober 2026 geltenden Fassung verwendet werden. Hinzu kommt, dass die Hemmnisfragen gerade an Unternehmen ohne gemeldete KI-Nutzung gerichtet sind, die einen Einsatz erwogen haben.[5]
| Regelung | Status | Zeitpunkt | Bedeutung für diese Auswertung |
|---|---|---|---|
| Art. 4 KI-Verordnung (KI-Kompetenz), ursprüngliche Fassung | Geltendes Recht (zuvor) | Anwendung ab 02.02.2025 | Zeitlicher Bezug zur Erhebung (Januar 2025); keine Aussage über die heutige Fassung |
| Art. 4 KI-Verordnung in der Fassung der Verordnung (EU) 2026/1744 | Geltendes Recht | In Kraft seit 27.07.2026 | Maßnahmenpflicht ohne garantiertes Kompetenzniveau; Grundlage von K5 |
| Art. 2 Abs. 7 KI-Verordnung (Datenschutz) | Geltendes Recht | Fortgeltung der Datenschutzregelwerke | Freigabe ersetzt keine Datenschutzprüfung |
| Hochrisiko-KI, sensible Einsatzbereiche | Verbindlicher künftiger Zielzustand | Anwendung ab 02.12.2027 (laut Kommission) | Kein einheitlich geltender Pflichtenkatalog zum Stand der Auswertung |
| Hochrisiko-KI, produktintegrierte Systeme | Verbindlicher künftiger Zielzustand | Anwendung ab 02.08.2028 (laut Kommission) | Wie zuvor |
| Entwürfe und Vorschläge | Nicht herangezogen | nicht anwendbar | Kein Maßstab dieser Auswertung |
Gesetzlich verankert ist hier nur die Maßnahmenpflicht nach Art. 4 KI-Verordnung (Kapitel 04). Alles Weitere sind Gestaltungsempfehlungen von S+P Governance, die sich aus den Befunden ergeben und keine pauschale Wiedergabe gesetzlicher Mindestpflichten sind.[4]
Gib einen Einsatzfall erst frei, wenn Nutzen, Einsatzgrenzen, Datenverwendung, Verantwortlichkeit und Überprüfung geklärt sind. Steuere nicht über Lizenzzahl oder Budget, sondern über dokumentierte Entscheidungen. Kenntnisnahme ersetzt keine Entscheidung über offene wesentliche Punkte.
Lass dir Entscheidungsvollständigkeit, überfällige wesentliche Maßnahmen und die Ausschlüsse hinter jeder Quote zeigen. Behandle keine Quote als allgemeine Compliance-Schwelle; die Auswertung liefert keinen Maßstab dafür.
Sorge für eine datierte rechtliche Ersteinschätzung je Einsatzfall, für die Rollenklärung als Anbieter oder Betreiber und für die getrennte Datenschutzprüfung. Weise darauf hin, dass für Art. 4 kein Zertifikat vorgeschrieben ist, wohl aber Maßnahmen und deren Dokumentation sinnvoll sind.
Prüfe, ob zugesagte Maßnahmen tatsächlich ausgeführt wurden, und nicht nur, ob sie beschlossen sind. Der Status „überprüft“ gilt nur für Umfang und Zeitpunkt der Prüfung. Richte die Tiefe am Einsatzrisiko aus.
Wähle je Feld den Zustand, der am besten passt; die Empfehlung erscheint darunter. Der Quick-Check ersetzt keine evidenzbasierte Prüfung, er zeigt, wo die Leitung zuerst nachfragen sollte. Deine Einschätzung wird weder gespeichert noch übertragen.
Warum es keine Punktzahl gibt: Ein „Offen“ in einem kritischen Feld wiegt schwerer als mehrere „Teilweise“ in anderen Feldern. Ein Durchschnitt darf schwere Einzelmängel nicht verdecken; deshalb weist der Quick-Check weder einen Gesamtwert noch einen Score aus.
Quellen: eigene methodische Entwicklung auf Grundlage von [1], [2]
Der folgende Ablauf ist ein S+P-Planungsvorschlag, keine gesetzliche Umsetzungsfrist und kein allgemeines Aufwandsversprechen. Bei komplexen oder risikoreichen Anwendungen brauchst du womöglich länger; ungeklärte kritische Punkte werden nicht durch einen Projekttermin geheilt.
Priorisierung: Differenziere doppelt, nach vorhandener Organisationskapazität und nach dem Risiko des Einsatzfalls. Eine kleine Organisation braucht nicht automatisch ein großes KI-Gremium; eine große Organisation kann sich nicht darauf verlassen, dass ihre Größe die Verantwortung für eine einzelne Anwendung bereits klärt. Für eine interne Formulierungshilfe ohne sensible Daten kann ein schlanker Nachweis genügen, für kundenwirksame oder personenbewertende Anwendungen empfiehlt S+P Governance eine vertiefte Prüfung. Skaliere erst auf weitere Einsatzfälle, wenn der Einstieg trägt; eine hohe Zahl gebuchter Lizenzen ist kein Erfolgsnachweis.
Der folgende Rahmen ist eine eigene methodische Entwicklung von S+P Governance und kein Messergebnis. Er enthält keine erhobenen Unternehmenswerte, keine validierten Gewichtungen und keine Zertifizierungszusage; seine Angemessenheit ist anhand des konkreten Einsatzfalls zu prüfen.
| Prüffeld | Entscheidungsfrage | Vorgeschlagener Nachweis | Beispielhafter Anlass für Rückgabe oder Eskalation |
|---|---|---|---|
| Zweck und Nutzen | Welches Problem soll KI lösen, und warum reicht eine Alternative nicht aus? | Kurzbeschreibung des Einsatzfalls, Vergleich mit dem bisherigen Verfahren, vorab definierte Nutzenkriterien | Kein nachvollziehbarer Bedarf oder Nutzen nur als unbelegte Zeitersparnis behauptet |
| Verantwortung und Einordnung | Wer verantwortet Betrieb, Fachlichkeit und Freigabe, und welche Rolle übernimmt die Organisation? | Benannter Verantwortlicher, Aufgabenabgrenzung, dokumentierte rechtliche Ersteinschätzung mit Datum | Unklare Zuständigkeit oder ungeklärte Zulässigkeit eines wesentlichen Verwendungszwecks |
| Daten und Anbieter | Welche Daten werden verarbeitet, wohin fließen sie und wer darf sie verwenden? | Datenflussbeschreibung, zulässige Eingabekategorien, Prüfung relevanter Anbieterbedingungen und Berechtigungen | Ungeklärte Weiterverwendung vertraulicher Daten oder unklarer Empfängerkreis |
| Kompetenz und Arbeitsanweisung | Was müssen die betroffenen Rollen über genau diese Anwendung wissen? | Bedarfsanalyse, rollenbezogene Einweisung, Arbeitsanweisung und Aufzeichnung der Maßnahmen | Anwender kennen Einsatzgrenzen oder Eskalationswege nicht |
| Tests und Ergebnisprüfung | Wann ist ein Ergebnis verwendbar, und welche Fehler müssen erkannt werden? | Vorab festgelegte Testfälle und Akzeptanzkriterien, dokumentierte Ergebnisse, Zuordnung der menschlichen Prüfung | Kritische Fehlerszenarien offen oder Ergebnisse ohne verantwortliche Kontrolle extern verwendet |
| Betrieb, Änderung und Ausstieg | Wann wird neu bewertet, wer darf stoppen und wie wird ohne das System weitergearbeitet? | Änderungsregeln, Fehler- und Maßnahmenliste, Überprüfungstermine, Rückfallverfahren | Wesentlicher Modellwechsel ohne Neubewertung oder nicht bearbeitete kritische Fehler |
Quellen: eigene methodische Entwicklung auf Grundlage von [8], [4]
Die Nachweisintensität sollte sich am Einsatzrisiko orientieren. Für eine interne Formulierungshilfe ohne sensible Daten kann ein schlanker Nachweis genügen; für kundenwirksame oder personenbewertende Anwendungen wird in diesem Modell eine vertiefte Prüfung empfohlen.
Für jedes Prüffeld werden vier Zustände vorgeschlagen. Sie werden nicht zu einer vermeintlich wissenschaftlichen Reifegradzahl addiert, weil ein gravierendes Defizit bei Datenverwendung oder Zulässigkeit nicht durch gute Dokumentation in anderen Feldern ausgeglichen werden sollte.
„Nicht anwendbar“ ist gesondert mit einer Begründung zu dokumentieren. Der Status „überprüft“ gilt nur für den betrachteten Umfang und Zeitpunkt und ist keine dauerhafte Zusicherung fehlerfreier KI-Ergebnisse.
Die Vorlage enthält keine fiktiven Marktwerte und keinen bereits bewerteten Unternehmensfall. Sie dient dazu, eine einzelne Freigabeentscheidung strukturiert vorzubereiten.
| Feld | Einzutragender Inhalt |
|---|---|
| Einsatzfall und System | Zweck, Prozess, eingesetztes Produkt beziehungsweise Modell und relevante Version |
| Verantwortlicher | Fachlicher Verantwortlicher, Betriebsverantwortlicher und entscheidungsbefugte Stelle |
| Daten und betroffene Personen | Datenkategorien, Datenflüsse, Zugriffsberechtigungen und betroffene Personengruppen |
| Rechtliche Einordnung | Anbieter-/Betreiberrolle, einschlägige Anforderungen, Anwendungsfristen und offene Fragen |
| Ergebnis der Prüfung | Prüfumfang, Testdatum, Kriterien, Befunde und relevante Einschränkungen |
| Entscheidung | Freigabe, Freigabe mit Bedingungen, Rückgabe zur Nacharbeit oder Ablehnung |
| Bedingungen und Maßnahmen | Konkrete Maßnahme, verantwortliche Person, Termin und erforderlicher Nachweis |
| Wiedervorlage | Termin und anlassbezogene Auslöser, etwa neue Datenarten oder veränderte Nutzung |
Quellen: eigene methodische Entwicklung
Eine bloße Kenntnisnahme ersetzt in diesem Modell keine Entscheidung über offene wesentliche Punkte. Ebenso wenig ersetzt die Unterschrift der Geschäftsleitung den Nachweis, dass eine zugesagte Maßnahme ausgeführt wurde.
Die Kennzahlen sind Vorschläge für eine interne Steuerung. Es gibt weder erhobene Zielwerte noch einen Vergleichsmaßstab, der eine bestimmte Quote als allgemeine Compliance-Schwelle ausweisen würde.
| Kennzahl | Vorgeschlagene Berechnung | Wesentliche Interpretationsgrenze |
|---|---|---|
| Entscheidungsvollständigkeit | Aktive Einsatzfälle mit gültiger dokumentierter Entscheidung / alle bekannten aktiven Einsatzfälle | Die Quote hängt von der Vollständigkeit des Bestands ab |
| Maßnahmenabdeckung | Relevante Personen mit dokumentierter Durchführung der für ihre Rolle festgelegten Kompetenzmaßnahmen / alle Personen mit entsprechendem Maßnahmenbedarf | Teilnahme oder Durchführung beweist kein garantiertes Kompetenzniveau |
| Prüfungsabdeckung | Aktive, prüfpflichtig definierte Einsatzfälle mit aktueller ausgeführter Überprüfung / alle nach internem Rahmen zu überprüfenden aktiven Einsatzfälle | Eine abgeschlossene Prüfung kann erhebliche negative Befunde enthalten |
| Überfällige wesentliche Maßnahmen | Anzahl und Alter offener wesentlicher Maßnahmen nach Fristablauf, ergänzt um Verantwortliche und betroffene Einsatzfälle | Niedrige Werte können auch auf unvollständiger Erfassung beruhen |
Quellen: eigene methodische Entwicklung
Für jede Quote sollten Zähler, Nenner, Stichtag und ausgeschlossene Fälle mitgeführt werden. Ein Nenner von null wird als „nicht anwendbar“ erläutert, nicht automatisch als 100 % Erfüllung dargestellt.
Die Quellenbasis besteht aus gerundeten Punktwerten einer freiwilligen Befragung mit einer Antwortquote von 24,6 %, ohne Mikrodaten, Varianzen oder Konfidenzintervalle; sie bezieht sich auf Januar 2025, schließt Kleinstunternehmen und den Finanz- und Versicherungssektor aus, ist wegen des Wechsels der Darstellungseinheit nur bedingt mit Vorjahren vergleichbar und enthält zwei dokumentierte Quellenwidersprüche (Abgrenzung der Wirtschaftsbereiche, Bezugsgruppe der Erwägungsquote).[5][1]
Die verfügbaren Tabellen enthalten keine Messung der Qualität von Freigaben, der Ausführung von Kontrollen oder der Häufigkeit falscher KI-Ergebnisse. Die Auswertung verzichtet deshalb bewusst auf eine Gesamtbewertung der deutschen KI-Governance.
Diese Abgrenzungen sind für die öffentliche Kommunikation wesentlich. Eine Überschrift wie „72 % der Unternehmen haben keine KI-Kompetenz“ wäre durch die ausgewerteten Daten ebenso wenig gedeckt wie „62 % verstoßen gegen den AI Act“.
Die Daten zeigen zwei robuste deskriptive Muster der veröffentlichten Punktwerte. „Robust“ bezeichnet hier die Wiederkehr des Musters über die drei Größenklassen, nicht einen durchgeführten Signifikanznachweis.[2][1]
Die entscheidende Managementfrage lautet daher nicht: „Wie erreichen wir möglichst schnell die höchste KI-Quote?“ Sie lautet: „Welche Anwendungen können wir mit nachvollziehbarem Nutzen, geklärten Verantwortlichkeiten und geeigneten Nachweisen betreiben?“
In der erfassten Grundgesamtheit (Unternehmen ab zehn tätigen Personen in ausgewählten Wirtschaftsbereichen, ohne Finanz- und Versicherungsdienstleistungen) beträgt die KI-Nutzungsquote 26 %. Sie liegt bei 23 % für 10 bis 49 Beschäftigte, bei 36 % für 50 bis 249 Beschäftigte und bei 57 % für mindestens 250 Beschäftigte. Die Angaben beziehen sich grundsätzlich auf Januar 2025 und gelten nicht für alle Unternehmen in Deutschland.
Unter den erwägenden Nichtnutzern nennen 72 % fehlendes Wissen, 62 % unklare rechtliche Folgen und 60 % Datenschutzbedenken; zu hohe Kosten nennen 32 %. Mehrfachnennungen sind möglich, und die Häufigkeit einer Nennung misst nicht ihre wirtschaftliche Schwere.
Nein. Der Wirtschaftsabschnitt K „Finanz- und Versicherungsdienstleistungen“ und Kleinstunternehmen unterhalb der Erhebungsgrenze sind von der herangezogenen Abgrenzung nicht erfasst. Eine Übertragung auf Banken, Versicherer oder die gesamte FinTech- und Kryptobranche ist nicht zulässig.
Art. 4 KI-Verordnung verlangt in der seit 27.07.2026 geltenden Fassung Maßnahmen zur Unterstützung der KI-Kompetenz des Personals. Ein bestimmtes individuelles Kompetenzniveau muss nicht garantiert werden, und nach den Erläuterungen der Kommission sind weder ein Zertifikat noch eine besondere Governance-Struktur vorgeschrieben. Interne Aufzeichnungen über Maßnahmen kommen als Dokumentation in Betracht.
Nein. Die Daten messen weder die Wirksamkeit von KI-Kontrollen noch Rechtsverstöße. Rechtsunsicherheit wird nicht mit einem Rechtsverstoß gleichgesetzt, und die Befragungsdaten von Januar 2025 können die im Oktober 2026 geltende Fassung der Norm nicht prüfen.
Der Prüfrahmen ist eine eigene methodische Entwicklung mit sechs Prüffeldern: Zweck und Nutzen, Verantwortung und Einordnung, Daten und Anbieter, Kompetenz und Arbeitsanweisung, Tests und Ergebnisprüfung sowie Betrieb, Änderung und Ausstieg. Je Prüffeld gibt es die Zustände offen, festgelegt, umgesetzt und überprüft. Es gibt bewusst keinen Gesamt-Score.
Die Nummern folgen der ersten Nennung im Text, die Gruppierung folgt der Rangfolge der Quellen. PDF-Dokumente sind gekennzeichnet. Das Abrufdatum entspricht dem Stichtag der Recherche.
Der Anhang steht als normaler Abschnitt da, damit er im Druck erscheint.
| Quelle | Untersuchungseinheit | Zeitraum und Nenner | Methodische Einordnung |
|---|---|---|---|
| Tabelle Nutzung und Technologiearten | Unternehmen nach Größenklasse | Grundsätzlich Januar 2025; Nenner: alle Unternehmen der Klasse, bei Technologiearten KI-Nutzer | Amtliche Erhebung; gerundete Punktwerte, keine Konfidenzintervalle |
| Tabelle Gründe gegen KI-Nutzung | Unternehmen nach Größenklasse | Grundsätzlich Januar 2025; Nenner: Nichtnutzer, die KI erwogen haben | Amtliche Erhebung; ein Wert nicht ausreichend sicher und nicht veröffentlicht |
| Qualitätsbericht mit Fragebogen | Erhebungs- und Darstellungseinheit, Filterführung | Berichtsjahr 2025; Antwortquote 24,6 % | Methodische Dokumentation; Grundlage der Bezugsgruppen und der Grenzen der Vergleichbarkeit |
| Erläuterungsseite der Erhebung | Größenklassen, Erwägungsquote, Terminplanung | Stand beim Abruf | Dokumentation; Widerspruch zur Tabellenüberschrift bei der Erwägungsquote |
| Bayerische Veröffentlichung | Abgrenzung der Wirtschaftsbereiche | 2026 | Ergänzende amtliche Quelle; nur zur Offenlegung der Abgrenzungsunschärfe |
| Verordnung (EU) 2026/1744 und KI-Verordnung | Rechtsnorm | Rechtsstand 01.10.2026 | Rechtsakt; Maßstab, nicht Umsetzungsstand |
| Seiten der Europäischen Kommission | Erläuterungen zu Rechtsrahmen, Fristen und KI-Kompetenz | Stand beim Abruf | Behördliche Erläuterung; nachrangig gegenüber dem Rechtsakt |
S+P Governance (2026): KI in deutschen Unternehmen: Nutzung, Hemmnisse und Konsequenzen für die Governance. Version 1.0, Stand 01.10.2026. https://schulz-beratung.de/ki-nutzung-unternehmen-governance-auswertung/
Autor: Achim Schulz, Geschäftsführer, Schulz & Cie. Consulting GmbH. Profil auf LinkedIn
| Version | Datum | Änderung |
|---|---|---|
| 1.0 | 01.10.2026 | Erstveröffentlichung |
Quellen: eigene Dokumentation
Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung auf unserer Website zu verbessern. Weitere Informationen in unserer Datenschutzerklärung.