Red Hat-Umfrage: CIOs in EMEA vertrauen auf ihre KI-Governance, doch es fehlt an Transparenz

Zuversicht an der Spitze, Lücken darunter

Laut Red Hat beschränkt sich KI in Unternehmen in der EMEA-Region längst nicht mehr auf Sandboxes oder Pilotprojekte. Autonome KI-Agenten, in Software-as-a-Service eingebettete Funktionen und automatisierte Workflows laufen in geschäftskritischen Umgebungen im Produktivbetrieb. Christopher McBrayne, Senior Vice President und General Manager für EMEA bei Red Hat, schrieb am 27. Oktober 2026 in einem Blogbeitrag über die Ergebnisse.

Die Umfrage führte Censuswide zwischen dem 24.08.2026 und dem 01.09.2026 unter 1.400 CIOs im Vereinigten Königreich, in Frankreich, Italien, Deutschland, Spanien, den VAE, Schweden, der Türkei, der Schweiz, Polen, Südafrika, den Niederlanden, Belgien und Saudi-Arabien durch.

Bei der übergeordneten Governance zeigen sich die Befragten optimistisch: 86,7 % sagen, sie seien zuversichtlich, dass ihre Organisation im Einsatz befindliche KI-Agenten sicher, regelkonform und im Einklang mit den unternehmensinternen Geschäftsregeln steuern kann. Das Bild ändert sich, sobald es um die alltäglichen Mechanismen geht:

• Nachvollziehbarkeit von Daten: 84,8 % glauben zu wissen, wo KI-bezogene Daten verarbeitet, gespeichert und geteilt werden, aber nur 39,6 % haben volles Vertrauen in ihren gesamten Datenüberblick.
• Regulatorisches Risiko: 45,2 % räumen kleinere blinde Flecken bei der Verfolgung von Datenflüssen ein, da KI zunehmend in zugelassene Cloud-Plattformen und Unternehmenssoftware integriert wird.

McBrayne argumentiert, dass unter Regelwerken wie der DSGVO und dem EU AI Act schon kleine Lücken in der Datenherkunft Organisationen regulatorischen, finanziellen und Reputationsrisiken aussetzen.

Schnelles Patchen, begrenzter Blick auf Abhängigkeiten

Die Umfrage ergab, dass die Behebungsgeschwindigkeit nicht die größte Schwäche ist. 76 % der Befragten geben an, kritische Sicherheitsupdates in der Regel innerhalb von 24 Stunden nach Verfügbarkeit eines Patches einzuspielen.

Schwächer ist die Transparenz darüber, was überhaupt gepatcht werden muss. Nur 32,9 % der CIOs in EMEA pflegen einen vollständigen, kontinuierlich aktualisierten Überblick über ihre Open-Source-Software-Lieferkette, einschließlich direkter und verschachtelter Abhängigkeiten. Weitere 43,0 % sehen die Hauptkomponenten, haben aber keinen klaren Einblick in die Open-Source-Bibliotheken innerhalb von Drittanbieteranwendungen.

Red Hat zufolge kann schnelles Patchen ohne Einblick über eine Software Bill of Materials (SBOM) ein trügerisches Sicherheitsgefühl erzeugen. Taucht eine Zero-Day-Schwachstelle in einer tief verschachtelten Open-Source-Abhängigkeit auf, bleiben Organisationen mit eingeschränkter Transparenz in der Lieferkette angreifbar, egal wie schnell ihr Patch-Team arbeitet.

Risiko bei KI-Anbietern wird einmal geprüft, nicht laufend

Ein ähnliches Muster zeigt sich bei der Bewertung von KI-Anbietern. Laut Umfrage führen die meisten Organisationen vor der Anbindung eines Anbieters gründliche Risikobewertungen durch, danach lässt die Überwachung jedoch nach. Nur 34,4 % legen formale, messbare Kriterien fest, um die Risiken von KI-Anbietern kontinuierlich und in Echtzeit zu überwachen, und 19,7 % betreiben gar keine laufende Risikoüberwachung mehr, sobald ein Anbieter im Live-Betrieb ist.

McBrayne schreibt, Modelle driften, Richtlinien zur Datennutzung ändern sich und Software-Abhängigkeiten entwickeln sich täglich weiter. Vertrauen müsse deshalb über den gesamten Lebenszyklus der Anwendung geprüft und verifiziert werden.

Vier Säulen und was sie für Unternehmen bedeuten

Red Hat folgert, das Problem sei nicht ein Mangel an Governance-Ambitionen, sondern ein Mangel an operativer Transparenz. Governance müsse zu einer aktiven, automatisierten Disziplin werden, die auf vier Säulen ruht:

• Vollständige Transparenz über den gesamten Lebenszyklus: Datenflüsse abbilden, sensible Assets klassifizieren und Echtzeit-Observability über Public Cloud, On-Premises- und Edge-Umgebungen hinweg sicherstellen.
• Transparenz in der Software-Lieferkette: automatisierte Abhängigkeitsanalysen und SBOMs standardisieren, um direkte und verschachtelte Open-Source-Komponenten nachzuverfolgen.
• Kontinuierliche Verifizierung: von einmaligen Anbieterprüfungen zu einer Echtzeitüberwachung der Risiken von KI-Anbietern und des Modellverhaltens wechseln.
• Offene Hybrid-Grundlagen: Open-Source-Architekturen mit zentralisiertem Management und einheitlichen Leitplanken einführen.

Für IT-Verantwortliche legen die Ergebnisse nahe, dass Vertrauen in die eigenen Richtlinien allein nicht ausreicht. Red Hat, das Open-Source-Software für Unternehmen verkauft, versteht das Thema als Frage von Werkzeugen und Prozessen: Datenbewegungen und Abhängigkeiten in Echtzeit nachzuverfolgen. Mit der zunehmenden Verbreitung von KI in EMEA, so McBrayne, werde Widerstandsfähigkeit jenen Organisationen gehören, die hohe Ambitionen mit tiefer, überprüfbarer operativer Kontrolle verbinden.