Montagmorgen im Vorstand. Die Fachabteilung präsentiert einen AI-Assistenten, der technische Dokumentationen durchsuchen, Fehlerdiagnosen unterstützen und Mitarbeitern bei Routineaufgaben helfen soll. Der Pilot funktioniert, die ersten Anwender sind begeistert, und der erwartete Produktivitätsgewinn sieht vielversprechend aus. Dann beginnt die Diskussion über Risiken. Datenschutz? Noch prüfen. Halluzinationen? Nicht ausgeschlossen. Urheberrecht? Bitte Gutachten. Informationssicherheit? Weitere Analyse. AI Act? Lieber noch einmal Legal fragen. Nach sechs Monaten ist aus dem Pilotprojekt ein 84-seitiges Governance-Dokument geworden. Das System selbst ist immer noch nicht produktiv. Beim nächsten Strategie-Meeting berichtet der Vertrieb, dass zwei Wettbewerber inzwischen genau diese Funktion ihren Kunden anbieten.
Willkommen bei der Null-Risiko-Illusion.
Natürlich gibt es Bereiche, in denen "Null Fehler" ein völlig legitimes Ziel ist. Niemand wünscht sich eine Fehlerquote von zwei Prozent bei Herzschrittmachern, Flugzeugsteuerungen oder der Dosierung hochwirksamer Medikamente. In sicherheitskritischen Prozessen ist Fehlervermeidung elementar. Problematisch wird es erst, wenn daraus ein allgemeines unternehmerisches Weltbild entsteht: Ein gutes Unternehmen ist demnach eines, das möglichst keine Risiken eingeht.
Das klingt vernünftig. Es ist nur leider nicht besonders unternehmerisch.
Denn Risiko hat zwei Seiten. Die eine kennen wir sehr gut: Downside Risk. Eine Investition kann scheitern. Ein Entwicklungsprojekt kann teurer werden. Eine Technologie funktioniert nicht. Ein Produkt kommt zu spät auf den Markt. Es entstehen Haftungsrisiken, Liquiditätsbedarf oder Abschreibungen. All das gehört selbstverständlich auf den Tisch.
Nur besitzt dieselbe Unsicherheit auch eine andere Seite: Upside Risk. Ein neues Produkt kann erfolgreicher werden als erwartet. Eine Technologie eröffnet einen neuen Markt. Forschung schafft einen Vorsprung gegenüber Wettbewerbern. Eine Investition führt zu höheren Margen oder erzeugt strategische Optionen, die heute noch gar nicht vollständig sichtbar sind.
Wer Unsicherheit vollständig beseitigen möchte, beseitigt deshalb häufig nicht nur die negative Seite der Ergebnisverteilung. Er schneidet gleichzeitig die positive Chancenseite ab.
Das ist ein wenig so, als würde ein Skilehrer verkünden: "Wir haben das Verletzungsrisiko vollständig eliminiert." Die Methode ist ebenso einfach wie effektiv: Niemand darf mehr Ski fahren. Im Unternehmen heißt das dann: kein technologisches Risiko, kein Entwicklungsrisiko, kein Marktrisiko – und irgendwann vielleicht auch kein Markt mehr.
Kaum ein aktuelles Thema macht dieses Dilemma deutlicher als künstliche Intelligenz. Natürlich besitzt AI erhebliche Risiken: fehlerhafte Ergebnisse, Datenschutzverletzungen, Cyberrisiken, Know-how-Abfluss, Haftungsfragen oder unerwartete Abhängigkeiten von Technologieanbietern. Es wäre fahrlässig, diese Risiken zu ignorieren.
Ebenso fahrlässig könnte es allerdings sein, AI erst dann einzusetzen, wenn sämtliche Unsicherheiten verschwunden sind.
Der EU AI Act zeigt interessanterweise selbst, dass eine solche undifferenzierte Betrachtung nicht beabsichtigt ist. Sein Grundprinzip ist risikobasiert. Die überwiegende Mehrheit der AI-Systeme, die als minimal oder nicht risikobehaftet gelten, unterliegt keinen zusätzlichen AI-Act-spezifischen Pflichten. Deutlich strengere Anforderungen gelten dagegen für definierte Hochrisiko-Anwendungen.
Das ist eigentlich eine Einladung zu intelligentem Risikomanagement. Ein interner AI-Assistent zur Recherche in technischen Dokumenten besitzt ein anderes Risikoprofil als ein System, das Personalentscheidungen trifft oder sicherheitskritische Maschinen steuert. Wer trotzdem jede Anwendung behandelt, als würde sie autonom ein Kernkraftwerk bedienen, minimiert möglicherweise ein Compliance-Risiko – und maximiert gleichzeitig das strategische Risiko des Nicht-Handelns.
Denn auch Nichtstun besitzt eine Wahrscheinlichkeitsverteilung.
Vielleicht passiert zunächst gar nichts. Vielleicht wird der Wettbewerb nur etwas produktiver. Vielleicht sammeln andere Unternehmen schneller Erfahrung, Daten und Kompetenzen. Vielleicht entstehen neue Geschäftsmodelle. Und irgendwann steht am rechten Rand dieser Verteilung nicht "AI-Projekt gescheitert", sondern: Technologiefenster verpasst. Marktanteil verloren. Anschluss verloren.
Nicht zu investieren ist eben keine risikofreie Entscheidung. Es ist eine Investitionsentscheidung mit einem anderen Risikoprofil.
SpaceX liefert dafür ein anschauliches Gegenmodell. Starship wurde nicht dadurch entwickelt, dass man vor dem ersten Start sämtliche technischen Unsicherheiten beseitigte. Das Programm arbeitet mit Flug- und Bodentests, aus deren Fehlern die nächste Generation verbessert wird. SpaceX beschreibt selbst, wie Erkenntnisse aus gescheiterten Tests unmittelbar in Konstruktionsänderungen, Prüfverfahren und kommende Fahrzeuge einfließen. Bis Mai 2026 waren zwölf Starship-Flugtests durchgeführt worden. Das bedeutet selbstverständlich nicht, dass Scheitern automatisch eine gute Strategie ist. Es bedeutet: Unsicherheit wird bewusst akzeptiert, begrenzt und in Lernen übersetzt.
Ähnliches sieht man bei forschungsintensiven Unternehmen. ZEISS beispielsweise wendete im Geschäftsjahr 2024/25 rund 1,73 Milliarden Euro für Forschung und Entwicklung auf – etwa 15 Prozent des Umsatzes. Besonders eindrucksvoll zeigt sich der langfristige Charakter solcher Investitionen bei der EUV-Lithografie: Seit Mitte der 1990er-Jahre investierten ZEISS und ASML über Jahrzehnte hinweg Milliardenbeträge in eine Technologie, deren technische Machbarkeit und wirtschaftlicher Erfolg anfangs keineswegs gesichert waren. ZEISS entwickelte dabei die entscheidenden hochpräzisen Optiken für die EUV- und später die High-NA-EUV-Lithografie. Heute bildet diese Technologie eine zentrale Grundlage für die Herstellung modernster Halbleiter. Wie stark sich das langfristige Eingehen technologischer Unsicherheit auszahlen kann, zeigt auch die Entwicklung der ZEISS-Sparte Semiconductor Manufacturing Technology: Sie erzielte 2024/25 einen Umsatz von 5,055 Milliarden Euro und wuchs damit um 23 Prozent. Niemand kann bei solchen Investitionen vorab garantieren, welche Forschungsprojekte erfolgreich sein werden. Würde man nur Entwicklungen zulassen, deren technischer und wirtschaftlicher Erfolg bereits sicher feststeht, bräuchte man keine Forschung mehr. Man könnte gleich auf die Ergebnisse warten.
Die Kunst besteht deshalb nicht darin, möglichst viele Risiken zu eliminieren. Die eigentliche Steuerungsfrage lautet:
Welche Risiken sind wir bereit zu tragen, weil das Chancenpotenzial den begrenzten Downside rechtfertigt?
Das ist etwas völlig anderes als die Aufforderung, möglichst risikofreudig zu handeln. Upside Risk macht ein schlechtes Projekt nicht automatisch gut. Ein möglicher Milliardenmarkt rechtfertigt keine Investition, die bei einem Fehlschlag die Existenz des Unternehmens gefährdet. Chancen müssen immer zur finanziellen und operativen Risikotragfähigkeit passen. Entscheidend ist das Verhältnis: Was können wir verlieren? Was können wir gewinnen? Wie begrenzen wir den Downside? Welche Optionen entstehen bei Erfolg?
Und noch etwas macht die Sache interessant: Dasselbe Ereignis kann für zwei Unternehmen vollkommen unterschiedliche Bedeutungen besitzen.
Künstliche Intelligenz kann für ein etabliertes Geschäftsmodell eine existenzielle Bedrohung darstellen und für einen neuen Anbieter gleichzeitig die größte Wachstumschance seiner Geschichte. Eine neue Technologie ist also weder Risiko noch Chance an sich. Erst im Zusammenspiel mit Strategie, Fähigkeiten, Kapital, Geschwindigkeit und Anpassungsfähigkeit entsteht daraus ein individuelles Chancen-Risiko-Profil.
Die Aufgabe des Risikomanagements ist daher anspruchsvoll: Es sollte ermöglichen, intelligent Ja zu sagen.
Ja – wenn der mögliche Verlust tragbar ist.
Ja – wenn Schutzmaßnahmen den Downside begrenzen.
Ja – wenn das Chancenpotenzial strategisch relevant ist.
Und manchmal auch: Nein – wenn ein einziger Fehlschlag das Unternehmen vom Spielfeld nimmt.
Vielleicht müssen wir deshalb eine der beliebtesten Vorstellungen im Risikomanagement korrigieren. Das sicherste Unternehmen ist nicht zwangsläufig dasjenige, das die wenigsten Risiken eingeht. Es könnte auch das Unternehmen sein, das irgendwann nichts mehr wagt, nichts mehr entwickelt und nichts mehr verändert.
Die Rakete steht dann noch immer sicher auf der Startrampe.
Perfekt geprüft. Perfekt abgesichert. Perfekt angekettet.
Nur die Konkurrenz ist inzwischen längst im Orbit.
