KI-Agenten im Unternehmen

Ein KI-Agent ist kein digitaler Mitarbeiter. Er ist ein Programm, das ein Sprachmodell in einer Schleife laufen lässt: Aufgabe lesen, Werkzeug benutzen, Ergebnis prüfen, weitermachen. Er hat keinen Feierabend, aber auch kein Urteilsvermögen.

Ein Realitätsanker zur allgemeinen Begeisterung: Das Forschungsinstitut METR hat 2025 erfahrene Entwickler in einem kontrollierten Versuch mit und ohne KI-Werkzeuge arbeiten lassen — an Aufgaben in ihren eigenen Projekten, also im günstigsten Fall. Mit KI brauchten sie 19 Prozent länger. Hinterher schätzten sie, 20 Prozent schneller gewesen zu sein. Einführung ist nicht dasselbe wie Wirkung, und das Gefühl ist kein Messwert. Deshalb wird im Pilot gemessen statt geglaubt.

Phase 1. Drei Kandidaten aufschreiben: häufig, klares Ergebnis, Fehler verkraftbar. Wer mit „welches Tool nehmen wir?“ anfängt, baut eine Lösung für ein Problem, das er nie beschrieben hat.

Phase 2. Vier Fragen, schriftlich: Was darf der Agent lesen? Was darf er schreiben oder verschicken? Wo endet er und ein Mensch entscheidet? Was passiert, wenn er unsicher ist? Wer diese vier Antworten hat, hat den halben Pflichtteil aus KI-Verordnung und Datenschutz erledigt. Das ist kein Papierkram, das ist die Architektur.

Phase 3. Der Agent bekommt einen eigenen Zugang, nie den eines Mitarbeitenden. Jede Aktion bleibt nachvollziehbar. Und es braucht eine klare Antwort auf die Frage, wer ihn abschaltet, wenn er Unsinn macht. Arbeiten mehrere Agenten zusammen, empfiehlt die St.-Gallen-Forschung einen Wächteragenten, der die Regeln überwacht, plus definierte Eskalationswege.

Phase 4. Vorher festlegen, woran Sie Erfolg messen. Betriebsrat vor dem Pilot einbinden. Und daran denken: Die Pflicht, Mitarbeitende im Umgang mit KI zu schulen, gilt bereits seit Februar 2025.

Phase 5. Nachrechnen mit allen Kosten: Modellnutzung, Betrieb, Betreuung, Einarbeitung. Ein Agent, der sich nicht rechnet, wird abgeschaltet. Das ist kein Scheitern, das ist der Sinn eines Pilots. Teuer wird es nur, wenn Sie es nach zwölf Monaten noch nicht wissen.

Beim ersten Agenten ist die Frage technisch. Ab dem zweiten ist sie eine Führungsfrage — und das ist die vielleicht beste Nachricht dieses Leitfadens für Sie.

Forscher der Harvard Kennedy School haben 2025 in einem vorregistrierten Experiment untersucht, wer gut darin ist, KI-Agenten zu einem Ergebnis zu führen. Das Ergebnis: Führungsfähigkeit mit Agenten sagt Führungsfähigkeit mit menschlichen Gruppen voraus — und umgekehrt. Wer beides gut kann, stellt mehr Fragen und lässt mehr Hin und Her zu, statt Anweisungen zu senden. Und, bemerkenswert: Es gab keine Unterschiede nach Geschlecht, Alter, Herkunft oder Bildungsgrad.

Für Sie heißt das: Die Kompetenz, die hier zählt, sitzt nicht in Ihrer IT. Sie sitzt bei den Leuten, die schon heute gut mit Menschen arbeiten — bei der Meisterin, die ihr Team führt, beim Vertriebsleiter, der Feedback geben kann. Wer erklären kann, was er will, was gut wäre und woran er das erkennt, kann mit Agenten arbeiten. Wer das nicht kann, wird es auch mit dem besten Werkzeug nicht lernen.

Die Grenze bei acht. In der Führungslehre gilt seit Langem, dass mehr als etwa acht direkt geführte Personen die Qualität kosten. Nach Berichten aus der Praxis gilt Ähnliches für Agenten: Gibt man einem orchestrierenden Agenten zu viele untergeordnete, wird die Arbeit unzuverlässig und er wählt die falschen Zuständigen. Das ist Erfahrung, keine Studie — aber es deckt sich mit dem, was ich selbst beobachte.

Trennen Sie Erstellen und Prüfen. Ein Agent, der etwas gebaut hat, ist ein schlechter Prüfer seiner eigenen Arbeit — genau wie Menschen. Deshalb braucht es getrennte Rollen: jemand recherchiert, jemand erstellt, jemand widerspricht, jemand koordiniert. Die Aufsicht über das Ganze ist die einzige Rolle, die nicht an eine Maschine geht.

Und die unbequeme Wahrheit: Wer seine bestehende Organisation eins zu eins in Agenten nachbaut, bekommt auch ihre Fehler. Ein Agenten-Team fürs Marketing, das intern hervorragend läuft, weiß trotzdem nichts vom Vertrieb — dasselbe Silo wie zwischen den menschlichen Abteilungen, nur schneller. Und jeder zusätzliche Agent kostet Führungszeit. Wer glaubt, dass Agenten Zeit sparen, ohne dass neue Führungsarbeit entsteht, hat sich verrechnet.

Das häufigste Missverständnis lautet: „Für KI-Agenten gibt es noch keine Regeln.“ Das ist falsch. Die Konferenz der deutschen Datenschutzaufsichtsbehörden hat drei Papiere veröffentlicht, die genau das behandeln — und sie lesen sich wie eine Checkliste.

Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ (Mai 2024). Verantwortlichkeiten festlegen. Klare Regeln, welche Anwendung wofür genutzt werden darf. Datenschutzbeauftragte und Beschäftigtenvertretung einbinden. Und: die Nutzung privater Accounts und Geräte untersagen. Letzteres ist der stille Standardverstoß in fast jedem Betrieb — jemand nutzt seinen privaten Zugang für Kundendaten, und niemand hat es geregelt.

Papier zu KI-Systemen (Juni 2025). Zentraler Begriff: Intervenierbarkeit. Sie müssen jederzeit in die Verarbeitung eingreifen können, von der Erhebung bis zur Löschung. Für einen Agenten heißt das praktisch: Es muss einen Weg geben, ihn sofort zu stoppen — und jemanden, der ihn kennt.

Orientierungshilfe zu RAG-Systemen (Oktober 2025). Hier wird es günstig für Sie: Die Behörden beschreiben, dass diese Bauweise Richtigkeit und Nachvollziehbarkeit verbessern kann. Weil die Daten in Dokumenten liegen, lassen sie sich aktualisieren, löschen und beauskunften — genau das, was die Betroffenenrechte der DSGVO verlangen.

Für Kanzleien, Praxen und Steuerberatungen kommt § 203 StGB dazu. Berufsgeheimnisse brauchen eine eigene Prüfung; hier reicht ein Auftragsverarbeitungsvertrag nicht.

Und damit das keine Theorie bleibt: Mein eigener Arbeitsbereich, in dem meine Agenten laufen, steht auf einem Server, den ich selbst betreibe. Nachrichten, Verlauf und Protokoll liegen damit nicht bei einem Anbieter. Wichtig ist dabei die Unterscheidung, die viele Anbieter verwischen: Selbst hosten heißt, dass der Arbeitsbereich bei Ihnen liegt. Das Sprachmodell liegt nur dann bei Ihnen, wenn Sie auch ein eigenes betreiben — sonst gehen die Anfragen weiter an einen Anbieter, und genau dafür brauchen Sie den Auftragsverarbeitungsvertrag. Beides sind zwei getrennte Entscheidungen, und beide sollten Sie bewusst treffen.

Praxis-Leitfaden, keine Rechtsberatung. Bei Datenschutz-Folgenabschätzung, Betriebsvereinbarung und Hochrisiko-Einordnung gehört ein Fachanwalt dazu — ich arbeite an dieser Stelle mit zu.

Es gibt einen Angriff, der speziell Agenten trifft und den kaum ein Ratgeber erwähnt: indirekte Prompt-Injection. Dabei steckt die Anweisung nicht in Ihrer Eingabe, sondern im Material, das der Agent liest — in einer E-Mail, einem PDF, einem Kalendereintrag, einem Ticket. Der Agent kann nicht unterscheiden, was Ihre Anweisung ist und was Text, den er nur verarbeiten sollte.

Die Sicherheitsforschung hat dazu ein Muster herausgearbeitet, das sich als Prüfregel benutzen lässt: Verwundbar ist ein Agent, der gleichzeitig Zugriff auf private Daten hat, fremde Inhalte verarbeitet und nach außen kommunizieren kann. Fehlt einer der drei Punkte, läuft der Angriff ins Leere.

Dass das keine Theorie ist: Im dokumentierten Fall „EchoLeak“ genügte eine einzige E-Mail, um Microsoft 365 Copilot dazu zu bringen, interne Dateien zu lesen und Inhalte an einen fremden Server zu senden — ohne dass der Empfänger irgendetwas anklickte. Und im Februar 2026 löschte ein Agent die E-Mails seines Nutzers, nachdem er Stop-Befehle ignoriert hatte.

Wie alltäglich die Angriffsfläche ist, zeigt eine Zahl aus dem AI Security Report 2026 von Check Point: Etwa jede siebzehnte Eingabe in KI-Werkzeugen birgt ein ernstes Risiko, ungewollt Daten preiszugeben. Der Anteil besonders riskanter Eingaben hat sich binnen eines Jahres auf vier Prozent verdoppelt.

Wichtig dabei: Betroffen waren fertige Produkte großer Anbieter — Microsoft 365 Copilot, Slack AI, Entwicklerwerkzeuge. Das ist also kein Problem von selbstgebauten Lösungen, sondern eines der Bauart. Wer einkauft, kauft es mit ein.

Deshalb steht in diesem Leitfaden der Wissens-Agent an erster Stelle: Er liest intern und schickt nichts nach außen — Faktor drei fehlt. Der Vertriebs-Agent, der Mails liest und verschickt, hätte alle drei. Das ist keine Vorsicht aus Prinzip, sondern der Unterschied zwischen einem Agenten, der ein Werkzeug ist, und einem, der ein offenes Fenster ist.

Beides ein bisschen. Belegt ist: Eine Untersuchung der Universität St. Gallen hat agentische KI bei Otto Group, Deutsche Telekom, Siemens und Bosch analysiert und daraus ein Drei-Stufen-Modell abgeleitet. Die Telekom setzt für Kundenkommunikation auf eine Agenten-Plattform eines Berliner Anbieters. Und SAP — der größte deutsche Softwarekonzern — liefert inzwischen über 40 fertige Agenten aus, samt Baukasten für eigene.

Und jetzt die Einschränkung, die Ihnen sonst niemand sagt: Fast alle öffentlichen Fallbeispiele sind Konzerne, und viele Zahlen kommen von Anbietern, die etwas verkaufen wollen. Für Betriebe Ihrer Größe gibt es kaum belastbare Fallstudien — nicht weil dort nichts passiert, sondern weil niemand darüber schreibt.

Was ein Agent bei Ihnen bringt, sagt Ihnen deshalb keine Studie, sondern nur eine Messung bei Ihnen. Genau dafür ist der Pilot da.

Seit 2024 schießen KI-Agenturen aus dem Boden. Viele davon haben vor zwei Jahren noch Social-Media-Pakete verkauft. Woran Sie den Unterschied erkennen: Fragen Sie nach etwas Vorzeigbarem.

Ich entwickle die Anbindung selbst, statt ein Fertig-Widget mit Aufschlag weiterzuverkaufen — dieselbe Arbeitsweise wie bei Software und Web-Anwendungen. Website, Datenschutztexte und KI kommen aus einer Hand; Sie brauchen keinen zweiten Dienstleister, der sich erst einarbeiten muss. Wie ich Websites baue, steht auf der Seite Webdesign, umgesetzte Projekte finden Sie unter Referenzen.

Wenn Ihr Thema eher „ein Bot beantwortet Kundenfragen auf der Website“ ist als „ein Agent arbeitet in unseren internen Prozessen“, dann schauen Sie auf die Seite KI-Chatbot & Automatisierung — dort steht das passende Angebot.

Fangen Sie dort an, wo Sie es beurteilen können. Der erste Agent sollte eine Aufgabe übernehmen, bei der Sie sofort sehen, ob das Ergebnis stimmt. Wer als Erstes den Bereich automatisiert, von dem er am wenigsten versteht, merkt Fehler zuletzt.

Ein Agent, eine Aufgabe. Der Alleskönner klingt verlockend und wird unzuverlässig. Drei schmale Agenten mit klaren Grenzen sind einfacher zu prüfen, zu korrigieren und im Zweifel abzuschalten als einer, der alles ein bisschen kann.

Verlangen Sie Belege. Ein Agent, der antwortet „steht in Angebot 2024-118, Abschnitt 3“, ist prüfbar. Einer, der nur ein Ergebnis nennt, verlangt Vertrauen, das er nicht verdient hat. Das ist kein Komfort-Feature, sondern Ihre einzige praktikable Kontrolle.

Nicht das teuerste Modell als Standard. Rechnungen auslesen und Termine sortieren brauchen kein Spitzenmodell. Wer für jede Routineaufgabe das stärkste nimmt, zahlt das Zehnfache für dieselbe Arbeit — und merkt es erst auf der Monatsrechnung.

Anweisungen versionieren wie Code. Die Anweisung an einen Agenten ist der eigentliche Wert Ihrer Arbeit. Ohne Historie weiß nach drei Monaten niemand mehr, warum er sich so verhält — und eine kleine Änderung bricht unbemerkt etwas anderes.

Einmal im Monat 30 Minuten. Agenten driften, nicht weil sie schlechter werden, sondern weil sich Ihre Daten, Preise und Prozesse ändern. Ein kurzer Blick auf zehn Vorgänge findet das früh. Ohne diesen Termin merkt es irgendwann ein Kunde.