Eine am 3. November auf arXiv eingereichte Studie untersucht, welche KI-Risiken grosse Unternehmen öffentlich benennen. Ihr Titel lautet «Unmitigated?». Die zentrale Grenze der Untersuchung ist für KMU wichtig: Aus öffentlich auffindbaren Aussagen lässt sich nicht unmittelbar ablesen, welche Kontrollen intern tatsächlich bestehen.
Was die Forschenden untersucht haben
Für den Preprint von Alexander Saeri und Mitautoren wurden öffentliche Dokumente von 200 grossen Unternehmen erfasst, die Anfang 2026 gesammelt worden waren. Die Auswertung ordnet die Aussagen 24 KI-Risiken zu. Bei 32 Prozent der 100 grössten Unternehmen fanden die Forschenden keine öffentliche Anerkennung solcher Risiken.
Der Befund betrifft somit Offenlegung in den untersuchten Dokumenten. Er ist kein Audit interner Schutzmassnahmen, keine Erhebung unter Schweizer KMU und keine aktuelle Vollprüfung aller Unternehmensprozesse. Eine Einreichung auf arXiv belegt für sich auch keine abgeschlossene Fachbegutachtung. Der neue Veröffentlichungstermin darf nicht mit dem älteren Stand der untersuchten Unterlagen verwechselt werden.
Nächster Schritt
Was heisst das für KI-Regeln und Nachweise?
- Nutzung sichtbar machen: Welche Teams nutzen welche KI-Tools?
- Daten und Freigaben klären: Was darf in ChatGPT, Copilot oder andere Tools?
- Nachweise vorbereiten: Regeln, Rollen und Unterweisung dokumentieren.
DACH-Hinweis: 10min KI Brief bleibt für KMU im gesamten DACH-Raum lesbar; konkrete Praxisangebote sind zuerst CH-first formuliert.
Drei Aussagen, die getrennt bleiben müssen
Unsere Einordnung: «Ein Risiko wird erwähnt», «eine Gegenmassnahme ist beschrieben» und «ihre Wirkung wurde geprüft» sind drei verschiedene Befunde. Wer einen Anbieter auswählt, sollte diese Ebenen nebeneinander festhalten. Ein umfangreicher Bericht kann wichtige Fragen offenlassen; eine fehlende öffentliche Aussage rechtfertigt zunächst eine Nachfrage.
Das NIST-Playbook empfiehlt, verbleibende Risiken zu dokumentieren und zuständige Akteure darüber zu informieren. Die OECD-Prinzipien verbinden Rechenschaft mit nachvollziehbaren Prozessen. Beide sind eigenständige Orientierungsquellen. Sie bestätigen weder die Stichprobe noch die statistischen Ergebnisse des Preprints.
Was heisst das für Ihr KMU?
Nehmen Sie eine öffentlich verfügbare KI-Risikoaussage Ihres wichtigsten Softwareanbieters. Legen Sie daneben drei Spalten an: benanntes Risiko, beschriebene Massnahme und vorhandener Wirksamkeitsnachweis. Kopieren Sie keine Marketingformulierung als Beleg in die letzte Spalte. Dort gehört eine konkrete Prüfung mit erkennbarem Gegenstand und Datum hin.
Bleibt ein Feld leer, schreiben Sie «nicht öffentlich belegt» statt «nicht vorhanden». Fragen Sie den Anbieter dann gezielt nach dem fehlenden Nachweis für Ihren Einsatzfall. Halten Sie auch fest, ob eine Antwort nur das Grundmodell betrifft oder Ihre tatsächlich verwendete Anwendung einschliesst.
Beispiel für eine redaktionelle Prüffrage: Ein Anbieter nennt falsche Antworten als Risiko und verspricht menschliche Kontrolle. Wer prüft bei Ihrem Arbeitsablauf welche Antwort, und woran erkennen Sie, dass dies geschehen ist? Die neue Studie ist ein Anlass, solche Nachfragen präziser zu stellen. Sie liefert keine fertige Rangliste sicherer und unsicherer Anbieter.
Mit der KI-Regelmappe Risikoaussagen, Massnahmen und Nachweise getrennt festhalten.
Das könnte dich auch interessieren
Kostenloser Newsletter
Den 10-Minuten-KI-Brief per E-Mail erhalten
Die wichtigsten KI-Neuigkeiten für KMU, kurz eingeordnet. Als Dankeschön erhalten Sie den KI-Werkzeugkasten gratis. Kein Spam, jederzeit mit einem Klick abmeldbar.
Sie erhalten zuerst eine E-Mail mit einem Bestätigungslink. Details in der Datenschutzerklärung.