Die vier KI-Risiken, die jede Geschäftsleitung kennen muss

Euphorie trifft auf Realität

Künstliche Intelligenz ist längst kein reines IT-Thema mehr, sondern ein strategischer Erfolgsfaktor. Viele Unternehmen führen generative KI derzeit in hohem Tempo ein.Die damit verbundenen Risiken werden jedoch häufig nur oberflächlich betrachtet.

Der Begriff «KI-Risiko» umfasst unterschiedliche Herausforderungen. Auf die Frage, was konkret damit gemeint ist, stehen dabei häufig zunächst Hackerangriffe und Halluzinationen im Fokus. Für Unternehmen kann dadurch eine strategische Herausforderung entstehen. Denn Risiken, die nicht klar benannt sind, lassen sich weder priorisieren noch delegieren oder angemessen budgetieren.

Wie weit die tatsächliche Nutzung dem Management teilweise voraus ist, zeigt der «Cost of a Data Breach Report 2025» von IBM. Bei jedem fünften untersuchten Unternehmen mit einer Datenpanne spielte Schatten-KI eine Rolle. Damit ist die Nutzung von KI ohne Wissen oder Freigabe des Arbeitgebers gemeint. 63 Prozent der betroffenen Unternehmen verfügten über keine Richtlinie zur KI-Governance.

Die Nutzung beginnt somit häufig nicht erst nach einer offiziellen Freigabe, sondern direkt im Browser. Dadurch wird es für Unternehmen schwieriger, den Überblick über Datenflüsse und Entscheidungsgrundlagen zu behalten. Für die Geschäftsleitung stellt sich deshalb zunehmend die Frage, wie sich die KI-Nutzung kontrolliert und strukturiert gestalten lässt.

Kategorie 1: Datenrisiko – was wird eingegeben?

Das unmittelbarste Risiko entsteht dort, wo Mitarbeitende KI-Werkzeuge mit Informationen versorgen. Dazu gehören beispielsweise Dokumente, E-Mails, Kundendaten oder Quellcode. Je nach Dienst und Konfiguration können diese Daten extern gespeichert, in anderen Rechtsräumen verarbeitet oder für das Training künftiger Modelle verwendet werden.

Vertrauliche Informationen können dadurch die Kontrolle des Unternehmens verlassen, ohne dass ein klassischer Sicherheitsvorfall stattfindet oder die Weitergabe bewusst freigegeben wurde.

Wie real dieses Risiko ist, zeigte im März 2025 ein Fall aus Australien. Ein externer Mitarbeiter lud eine Excel-Tabelle mit über 12’000 Zeilen in ChatGPT hoch. Darin enthalten waren Namen, Adressen und teilweise Gesundheitsinformationen von Flutopfern. Bei 2’031 Personen wurden persönliche Daten nachweislich exponiert.

Dabei handelte es sich weder um einen Angriff noch um Schadsoftware. Ein Mitarbeiter nutzte lediglich ein nicht freigegebenes Werkzeug. Das zugrunde liegende Muster lässt sich auf viele Unternehmen übertragen: Über Jahre aufgebaute Schutzmechanismen werden nicht überwunden, sondern umgangen.

Eine Kundenliste, die nicht per E-Mail an externe Personen versendet würde, kann beispielsweise dennoch in ein Chatfenster eingegeben werden. Dabei kann weniger offensichtlich sein, dass sensible Informationen auf diesem Weg das Unternehmen verlassen können.

Gleichzeitig nimmt das Volumen zu. Gemäss dem «AI Adoption and Risk Report 2025» von Cyberhaven ist inzwischen gut ein Drittel der Daten, die Mitarbeitende in KI-Werkzeuge eingeben, als sensibel einzustufen. Die Tendenz ist steigend.

Kategorie 2: Output-Risiko – Halluzinationen

KI-Systeme können Antworten liefern, die schlüssig und überzeugend formuliert sind, unabhängig davon, ob die enthaltenen Informationen korrekt sind. Ein Modell kann beispielsweise Quellen erfinden, Berechnungen verfälschen, einseitige Empfehlungen erzeugen oder Code mit Sicherheitslücken vorschlagen.

Das Risiko liegt deshalb nicht allein in der Technologie, sondern auch im Umgang mit ihren Ergebnissen. Menschen können dem Output vertrauen, weil er kompetent formuliert ist, und darauf reale Entscheidungen aufbauen.

Dass auch führende Unternehmen davon betroffen sein können, zeigte im Oktober 2025 der Fall Deloitte Australien. In einem 237-seitigen Bericht für die australische Regierung fanden sich KI-generierte Fehler, erfundene Studienreferenzen und ein frei erfundenes Zitat aus einem Bundesgerichtsurteil. Deloitte musste die letzte Rate des Honorars von 440’000 australischen Dollar zurückerstatten. Hinzu kam ein entsprechender Reputationsschaden.

Auch die Justiz befasst sich zunehmend mit dieser Problematik. Der englische High Court stellte 2025 im Leitentscheid zu den Fällen Ayinde und Al-Haroun klar, dass Anwälte für ungeprüften KI-Output haften. In einem der Fälle waren 18 von 45 zitierten Urteilen frei erfunden. Weltweit wurden bis Anfang 2026 mehrere hundert Gerichtsverfahren mit KI-Halluzinationen dokumentiert.

Dass der Markt dieses Risiko ebenfalls ernst nimmt, zeigt Lloyd’s of London. Seit 2025 werden dort Versicherungsprodukte speziell für Schäden aus KI-Halluzinationen angeboten.

Für Geschäftsleitungen ergibt sich daraus eine zentrale Erkenntnis: Unternehmen müssen deshalb sicherstellen, dass KI-generierte Inhalte vor ihrer Verwendung angemessen geprüft werden. Das Output-Risiko ist deshalb vor allem eine Prozessfrage. Es muss klar definiert sein, wo KI-Ergebnisse direkt verwendet werden dürfen und wo eine Prüfung durch eine Person erforderlich ist.

Kategorie 3: Compliance-Risiko – was das Recht verlangt

Compliance-Risiken im Zusammenhang mit KI sind bereits Realität. Der EU AI Act entfaltet seine Wirkung gestaffelt. Die Verbote unzulässiger Praktiken gelten seit Februar 2025 und sind mit Bussen von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Umsatzes bewehrt.

Die Pflichten für Anbieter grosser KI-Modelle greifen seit August 2025. Seit dem 2. August 2026 kann die EU-Kommission in diesem Bereich Bussen von bis zu 15 Millionen Euro oder drei Prozent des Umsatzes verhängen. Bis Redaktionsschluss wurde zwar noch keine Busse ausgesprochen, die Durchsetzung der Vorgaben ist jedoch angelaufen.

Für Schweizer Unternehmen ist insbesondere die Reichweite relevant. Entscheidend ist die Marktexposition und nicht der Standort des Servers.

Die Schweiz verfolgt bewusst einen schlankeren Ansatz. Der Bundesrat entschied sich im Februar 2025 gegen ein eigenes KI-Gesetz und setzt stattdessen auf die KI-Konvention des Europarats sowie gezielte sektorielle Anpassungen.

Das bedeutet jedoch nicht, dass KI in der Schweiz in einem rechtsfreien Raum eingesetzt wird. Der Eidgenössische Datenschutzbeauftragte bekräftigte 2025, dass das revidierte Datenschutzgesetz unmittelbar auf KI-gestützte Datenbearbeitungen anwendbar ist. Dazu gehört bei hohen Risiken auch die Pflicht zur Datenschutz-Folgenabschätzung.

Die Herausforderung dieser Kategorie besteht darin, dass Non-Compliance bereits entstehen kann, wenn KI eingesetzt wird, ohne die konkrete Nutzung systematisch mit den geltenden Anforderungen abzugleichen.

Kategorie 4: Angriffsrisiko – KI gegen das eigene Unternehmen

Während die ersten drei Kategorien aus der eigenen KI-Nutzung entstehen, kommt die vierte von aussen.

Wie unmittelbar dieses Risiko sein kann, zeigte im Januar 2026 ein Fall aus dem Kanton Schwyz. Ein Unternehmer überwies gemäss Berichten von SRF mehrere Millionen Franken nach Asien. Vorausgegangen war eine Serie von Telefonanrufen über zwei Wochen, bei denen Betrügerinnen und Betrüger mithilfe einer KI-geklonten Stimme einen vertrauten Geschäftspartner imitierten. Der Fall wird derzeit untersucht.

Das Beispiel steht für eine breitere Entwicklung. Gemäss der Sicherheitsfirma Hoxhunt stieg der Anteil KI-generierter Phishing-Angriffe zwischen November und Dezember 2025 von 4 auf 56 Prozent. Das Federal Bureau of Investigation (FBI) führte KI-gestützten Betrug 2025 erstmals als eigene Kategorie. Allein in den USA wurden Schäden von fast 900 Millionen US-Dollar gemeldet.

Die Verteidigung basiert dabei weniger auf ausschliesslich KI-spezifischer Technologie als auf bewährten Sicherheitsdisziplinen, die an die neue Qualität der Angriffe angepasst werden müssen. Dazu gehören Awareness-Massnahmen, die Mitarbeitende auf täuschend echte Nachrichten und Stimmen vorbereiten, robuste Freigabeprozesse sowie eine Detection, die mit der Geschwindigkeit der Angriffe Schritt hält.

Die Einteilung in vier Bereiche macht aus dem allgemeinen Begriff «KI-Risiko» konkrete und adressierbare Arbeitspakete mit klaren Zuständigkeiten. Unternehmen, die das Thema erfolgreich steuern, verfügen dabei nicht zwingend über die ausgefeilteste Technologie. Entscheidend ist vielmehr, dass sie Risiken in den vier Kategorien erkennen, bewerten und entsprechende Mitigationsmassnahmen planen.

Der Blick nach vorn zeigt, dass der Handlungsbedarf weiter zunimmt. Die Hochrisiko-Pflichten des EU AI Act folgen gestaffelt bis Ende 2027. Mit ISO/IEC 42001 etabliert sich gleichzeitig ein zertifizierbarer Standard für KI-Managementsysteme.

Mit zunehmend autonom agierenden KI-Agenten entsteht zudem eine weitere Angriffsfläche. Bereits 2025 wurden erste Schwachstellen dokumentiert, bei denen eine einzige präparierte E-Mail einem KI-Assistenten unbemerkt Daten entlocken konnte.

Architektur & Damit entwickelt sich auch die zentrale Fragestellung weiter: von «Wer nutzt welches Werkzeug?» hin zu «Welche Systeme handeln selbstständig in unserem Namen?».

Wer die vier Kategorien bereits heute inventarisiert, schafft die Grundlage, um die eigene Governance gezielt und strukturiert weiterzuentwickeln.