KI-Agenten erklärt: Einsatz, Ablauf und Grenzen

KI-Agenten können Unterlagen prüfen, Informationen nachschlagen und Arbeitsschritte vorbereiten. Ob daraus ein verlässlicher Ablauf wird, entscheidet sich an Werkzeugrechten, Datenqualität und Kontrolle. Für Unternehmen lohnt deshalb zuerst eine konkrete Frage: Welche begrenzte Aufgabe soll das System selbst bearbeiten dürfen, und wann muss ein Mensch übernehmen?

Ein Agent für die Angebotsvorbereitung braucht andere Befugnisse als eine Hilfe beim Sortieren eingehender Anfragen. Wer beide Aufgaben unter einem allgemeinen Assistenten zusammenfasst, erschwert die Prüfung. Unser Rat ist ein enger Einstieg mit sichtbaren Zwischenergebnissen. Dieser Beitrag beschreibt einen kontrollierten Pilotbetrieb und seine Grenzen. Er stützt sich auf Architektur- und Sicherheitsquellen, nicht auf behauptete NEXRUM-Kundentests. Prüfstand ist der 1. November 2026.

Ein Sprachmodell erzeugt zunächst Antworten. Sobald eine Anwendung ihm Werkzeuge bereitstellt, kann es beispielsweise eine Dokumentensuche anfordern, eine Berechnung auslösen oder einen Entwurf speichern. Die Anwendung führt den Aufruf aus und gibt das Ergebnis zurück. Das Modell entscheidet danach über den nächsten Schritt. Dieser Kreislauf macht aus einer einzelnen Antwort einen mehrstufigen Vorgang.

Anthropic unterscheidet feste Workflows mit vorgegebenen Pfaden von Agenten, bei denen das Modell Ablauf und Werkzeugnutzung dynamischer steuert. Das ist eine Architekturunterscheidung des Herstellers, kein allgemeiner Nachweis wirtschaftlicher Vorteile. Die Originalbeschreibung zu Agenten und Workflows empfiehlt einfache, nachvollziehbare Ansätze als Ausgangspunkt.

Für einen funktionierenden Vorgang müssen Aufgabenstatus und Ergebnisse außerhalb des flüchtigen Gesprächs verfügbar bleiben. Die Anwendung sollte festhalten, welche Datei verarbeitet wurde, welcher Schritt erfolgreich war und welche Freigabe noch fehlt. Ein langer Chatverlauf ersetzt diese Zustandsverwaltung nicht. Nach einem Abbruch muss klar sein, ob eine Aktion bereits ausgeführt wurde.

Unsere Einordnung: Mehr Entscheidungsfreiheit ist erst sinnvoll, wenn sie eine konkrete Schwierigkeit löst. Ein Agent, der seinen Weg selbst sucht, braucht zusätzliche Grenzen und bessere Beobachtbarkeit. Das muss im Verhältnis zum Nutzen stehen.

Die folgende Tabelle ist eine redaktionelle Entscheidungshilfe. Sie bewertet den Handlungsspielraum, keine konkrete Software.

Eine Rechnungsnummer aus einem fest definierten Feld zu übernehmen, verlangt häufig keinen Agenten. Eine unvollständige Anfrage dagegen kann Rückfragen und die Suche in verschiedenen Unterlagen erfordern. Auch dann muss der Ablauf nicht vollständig autonom werden. Ein fester Prozess kann das Modell gezielt für die sprachliche Einordnung einsetzen.

Entscheidend ist, ob Ausnahmen häufig genug auftreten, um die zusätzliche Flexibilität zu rechtfertigen. Prüfen Sie zuerst einige typische Vorgänge und die schwierigen Randfälle. Wenn eine kleine Regelmenge fast alles abdeckt, lässt sich dieser Ansatz meist einfacher warten. Für die Auswahl des Rechenkerns hilft unser Vergleich der KI-Modelle.

Die folgenden Beispiele sind hypothetisch. Sie beschreiben mögliche Prozesse und enthalten keine gemessenen Einsparungen.

Bei der Anfragenvorsortierung liest das System eine neue Nachricht, ordnet sie einem Anliegen zu und schlägt eine zuständige Person vor. Fehlende Angaben markiert es. Der Entwurf einer Rückfrage bleibt zunächst intern. Ein hilfreiches Ergebnis ist auch die begründete Übergabe an einen Menschen, etwa bei Beschwerden oder widersprüchlichen Kontaktdaten.

Bei der Unterlagenprüfung gleicht der Ablauf eine eingereichte Dokumentenliste mit einem festgelegten Anforderungskatalog ab. Er trennt fehlende Dateien von inhaltlich nicht beurteilbaren Angaben. Jede Feststellung verweist auf die Fundstelle. Eine Aussage wie vollständig darf nur den definierten Prüfbereich betreffen. Die fachliche Richtigkeit eines Vertrags ergibt sich daraus nicht.

Für die Angebotsvorbereitung sucht das System freigegebene Leistungsbausteine und erstellt einen Entwurf. Preise stammen aus einer verbindlichen Quelle. Individuelle Nachlässe und verbindliche Zusagen benötigen eine Freigabe. Gerade hier ist es hilfreich, Lesen, Entwerfen und Versenden als getrennte Fähigkeiten anzulegen.

Unsere Einordnung: Der größte praktische Gewinn eines Piloten kann zunächst in einer gleichmäßigen Vorbereitung liegen. Ob tatsächlich Bearbeitungszeit sinkt, zeigt erst die Messung einschließlich Kontrolle und Nacharbeit.

Ein Werkzeug sollte nur die benötigten Funktionen anbieten. Eine begrenzte Suche im freigegebenen Produktkatalog ist leichter abzusichern als ein allgemeiner Datenbankzugriff. Der Agent benötigt für einen Entwurf keine Berechtigung, Kundendaten zu löschen. Zugriffsrechte müssen von der Anwendung durchgesetzt werden und dürfen nicht allein von einer Anweisung im Prompt abhängen.

Freigaben gehören unmittelbar vor die verbindliche Aktion. Der Prüfer muss sehen, welcher Empfänger, welcher Inhalt und welche Änderung vorgesehen sind. Ändert sich der Entwurf danach wesentlich, muss auch die Freigabe erneuert werden. Ein pauschales Einverständnis zu Beginn eines langen Vorgangs ist dafür zu ungenau.

OWASP beschreibt übermäßige Handlungsmöglichkeiten als Excessive Agency, LLM06:2025. Der Risikokatalog ist eine fachliche Grundlage für die Gestaltung. Er liefert keine Erfolgsquote für eine einzelne Implementierung.

Legen Sie außerdem eine maximale Anzahl von Versuchen fest. Ein wiederholter Schreibaufruf darf nicht mehrere identische Vorgänge erzeugen. Eindeutige Vorgangskennungen und eine Prüfung bereits ausgeführter Aktionen helfen, nach einem Verbindungsfehler kontrolliert weiterzuarbeiten.

Ein Dokument kann Text enthalten, der den Agenten zum Ignorieren seiner Regeln oder zum Weitergeben von Daten auffordert. Solche indirekten Anweisungen sind ein typisches Prompt-Injection-Risiko. Eine E-Mail oder Webseite bleibt Quellenmaterial, auch wenn sie im Ton einer Systemanweisung formuliert ist.

Der OWASP-Eintrag zu Prompt Injection beschreibt diese Angriffsfläche. Eine einzelne Formulierung im Systemprompt bietet keinen vollständigen Schutz. Entscheidend sind begrenzte Werkzeuge, getrennte Vertrauensbereiche und eine Prüfung sensibler Aktionen außerhalb des Modells.

Für den Pilotbetrieb gehören deshalb absichtlich problematische Dokumente in den Testbestand. Lassen Sie beispielsweise eine Datei eine unzulässige externe Adresse nennen oder eine erfundene Freigabe behaupten. Das erwartete Ergebnis steht vorher fest. Ein System, das harmlose Standardfälle bewältigt, hat diese Prüfung noch nicht bestanden.

Beginnen Sie mit einer schriftlichen Aufgabenbeschreibung und einem kleinen, repräsentativen Testbestand. Dokumentieren Sie, was als richtig, unvollständig und kritisch falsch zählt. Erfassen Sie außerdem Fälle, bei denen eine menschliche Übernahme die gewünschte Reaktion ist. Sonst belohnt die Auswertung möglicherweise riskantes Weiterarbeiten.

Im ersten Durchlauf bearbeitet der Agent historische oder freigegebene Testdaten ohne verbindliche Außenwirkung. Danach folgt ein begrenzter Parallelbetrieb. Ein Mensch erledigt den Vorgang weiterhin und vergleicht sein Ergebnis mit dem Vorschlag. Erst anschließend entscheiden Sie über einzelne zusätzliche Befugnisse.

Die Kostenrechnung für betriebliche KI hilft, diese Größen zusammenzuführen. Einen universellen Grenzwert für einen wirtschaftlichen Piloten gibt es hier nicht. Er hängt von Aufgabe, Risiko und vorhandener Alternative ab.

Ein erfolgreiches Ergebnis nach einer Vorführung genügt nicht für den laufenden Betrieb. Zuständigkeiten für Fehler, Änderungen und Abschaltung müssen feststehen. Aktualisieren sich Werkzeuge oder Modelle, sollte derselbe Testbestand erneut durchlaufen werden. Protokolle benötigen eine nachvollziehbare Aufbewahrung und dürfen nicht unkontrolliert vertrauliche Inhalte sammeln.

Unsere Empfehlung ist eine stufenweise Freigabe. Beginnen Sie mit Lesen und Entwerfen. Erweitern Sie Befugnisse erst nach messbarer Qualität und einer funktionierenden Rücknahme. In unserer KI-Beratung können wir gemeinsam eine geeignete Aufgabe, Prüfkriterien und Verantwortlichkeiten festlegen. Für einen ersten Austausch nutzen Sie die Kontaktseite.