KI-Lieferantenrisiken ändern sich innerhalb von Wochen: Analyse

Ihre Tabelle für Lieferantenrisiken hatte eine gute Zeit. Sie trug eine winzige Krawatte, stellte Anbietern jedes Jahr dieselben Fragen und tat so, als würde zwischen Audits nichts Wichtiges passieren. Dann begannen KI-Anbieter, neue Modellfunktionen auszuliefern, Datenflüsse zu verändern, übernommen zu werden und gelegentlich auf die übliche Enterprise-Art in Flammen aufzugehen. Consultancy.eu berichtete am 13. Oktober 2026, dass IG&H inzwischen sieht, wie traditionelle jährliche Lieferantenprüfungen Mühe haben, mit der KI-Einführung Schritt zu halten. Das ist Governance, höflich formuliert: Der Kalender verliert gegen die API.

Das Risikoprofil hat jetzt eine kürzere Halbwertszeit

Laut Consultancy.eu warnt IG&H, dass Organisationen KI über externe Parteien einführen, darunter Cloud-Anbieter, Anbieter von Foundation Models, Datenlieferanten und spezialisierte Softwareanbieter. Giovanni Ferronato, Senior Manager Cyber Security bei IG&H, brachte das Problem treffend auf den Punkt: „Das Risikoprofil eines KI-Lieferanten kann sich innerhalb weniger Wochen erheblich verändern.“ Er fügte hinzu: „Ein Cybervorfall, eine Übernahme, eine Änderung in der Datenverarbeitung oder neue KI-Funktionalität kann das Risikoniveau grundlegend verändern.“ Das ist die zentrale Verschiebung: KI-Lieferantenrisiko ist kein jährliches Porträt, sondern ein Wettersystem mit rechtlichen Nutzungsbedingungen.

@title Wie sich KI-Lieferantenrisiko bewegt
@source AI challenges traditional approach to IT supplier risk management

  External suppliers
     │
     ├─ cloud providers
     ├─ foundation model providers
     ├─ data suppliers
     └─ specialist vendors
     │
     ▼
  Supplier changes
     │
     ├─ cyber incident
     ├─ acquisition
     ├─ data processing
     └─ new AI functionality
     │
     ▼
  Service risk

@caption KI-Lieferanten können das von einer Organisation übernommene Risiko innerhalb von Wochen verändern.

Derselbe Bericht von Consultancy.eu sagt, dass die aktuelle CISO Pulse Survey von IG&H ergab: Die Hälfte der befragten CISOs nennt Drittanbieter- und Lieferkettenrisiken als eine ihrer größten Sorgen. Außerdem sind 55 % besorgt über die Abhängigkeit von einer kleinen Gruppe von Hyperscalern außerhalb der EU, während drei Viertel KI als eine ihrer größten Sorgen betrachten. Das ist keine Panik, das ist Abhängigkeitsmathematik. Wenn Ihr kundenorientiertes Produkt von einem Modellanbieter, einer Cloud-Region, einem Datenbroker und einem Nischen-Orchestrierungstool abhängt: Glückwunsch, Sie haben eine Lieferkette mit Chatbot-Oberfläche erfunden.

Jährliche Offenlegung holt auf, etwas unbeholfen

Das Paper des AI Risk Observatory auf arXiv zeigt, warum das nicht nur ein CISO-Angst-Smoothie ist. Die Autorinnen und Autoren wendeten eine reproduzierbare zweistufige Klassifizierungspipeline auf 9.821 Geschäftsberichte von 1.362 börsennotierten britischen Unternehmen für den Zeitraum 2020 bis 2025 an, mit Teil-Daten für 2026. Sie stellten fest, dass Berichte mit Erwähnungen von KI-Risiken zwischen 2020 und 2025 von 2,8 % auf 41,2 % stiegen, während Offenlegungen zur KI-Einführung von 13,8 % auf 45,2 % zunahmen. Namentliche Anbietererwähnungen konzentrieren sich laut demselben Paper auf eine kleine Gruppe großer Anbieter, angeführt von Microsoft.

Dieser letzte Punkt ist wichtiger als die Offenlegungsprozentsätze, auch wenn die Prozentsätze gerade eine kleine Bühnenshow aufführen. Wenn viele Unternehmen von derselben kleinen Anbietergruppe abhängen, dann ähnelt Lieferantenrisiko weniger der Frage, ob der Kaffeelieferant Ihres Büros versichert ist, und mehr der Frage, ob die halbe Wirtschaft an derselben Mehrfachsteckdose hängt. Geschäftsberichte sind nützliche Signale, aber sie sind auch nachlaufende Artefakte, geschrieben nachdem die Rechtsabteilung die scharfen Kanten abgeschliffen hat. Für operative Governance auf die nächste jährliche Einreichung zu warten, ist wie Produktionsfehler anhand einer Postkarte zu debuggen.

Kontinuierliches Monitoring braucht mehr als Dashboard-Konfetti

Ein separates systematisches arXiv-Literaturreview zu KI in der Risikobewertung von Lieferketten untersuchte 1.903 Artikel aus den Jahren 2015 bis 2025, wobei 54 Studien nach PRISMA-Richtlinien ausgewählt wurden. Das Review stellte fest, dass Machine-Learning-Modelle wie Random Forest, XGBoost und hybride Ansätze die Genauigkeit und Anpassungsfähigkeit der Risikovorhersage in postpandemischen Kontexten verbessern. Es betonte außerdem erklärbare KI für transparente Entscheidungsfindung, Echtzeit-Datennutzung, Blockchain für Rückverfolgbarkeit und kontinuierliche Modellbewertung. Übersetzung: Kontinuierliches Monitoring ist ein Systemdesign-Problem, kein hübscherer Fragebogen mit Roboter-Maskottchen.

Für Technologieführungskräfte besteht der praktische Schritt darin, Änderungen zu überwachen, die die Exponierung tatsächlich verändern. Das bedeutet, wesentliche Verschiebungen bei Datenverarbeitung, Modellfunktionalität, Eigentümerschaft, Vorfällen, kritischen Unterauftragnehmern und Konzentrationsrisiko zu verfolgen. Es bedeutet auch, Beschaffung als Kontrollfläche zu behandeln, denn ein Anbieter kann nicht geschäftskritisch werden, wenn niemand die Abhängigkeit überhaupt genehmigt. Es geht nicht darum, jeden Lieferanten jede Minute wie eine durchgedrehte Kreditauskunftei zu bewerten, sondern darum, die wenigen Änderungen zu erkennen, die eine andere Risikoentscheidung erzwingen würden.

Was Entwicklerteams als Nächstes ändern sollten

Die Beispiele von IG&H geben Teams eine klare Startkarte: Cybervorfälle, Übernahmen, Änderungen in der Datenverarbeitung und neue KI-Funktionalität verdienen alle Auslöser außerhalb des jährlichen Prüfzyklus. Entwicklerteams sollten diese Auslöser in Lieferanten-Onboarding, Modellbewertung, Architekturprüfung und Incident Response einbauen, nicht in einem Compliance-Ordner mit der Aufschrift später vergraben. Die Ergebnisse des AI Risk Observatory deuten außerdem darauf hin, dass Teams die Konzentration über große Anbieter hinweg abbilden sollten, besonders dort, wo ein einzelner Cloud- oder Modellanbieter still und leise tragende Funktion übernimmt. Ihr KI-Stack hat Abhängigkeiten, und Abhängigkeiten haben Hobbys, meistens Sie zu überraschen.

Als Nächstes ist zu beobachten, ob kontinuierliches Lieferantenrisiko-Monitoring zu einem normalen Bestandteil von KI-Governance-Tools wird, neben Modellbewertungen, Datenherkunft und Zugriffskontrollen. Gut umgesetzt sollte es Teams helfen, schneller zu werden, weil Risiken früher sichtbar sind, nicht weil Governance durch Bauchgefühl und ein Dashboard ersetzt wurde. Wenn jährliche Prüfungen der alte Sicherheitsgurt-Check waren, dann ist KI-Lieferantenmonitoring die Kontrollleuchte, die aufleuchtet, bevor der Motor zu interpretativem Rauch wird. Die Tabelle ist nicht tot, sie braucht nur einen Puls.