Agentic AI auf einer Seite.

Der Agent sammelt, was er für den Fall braucht: das Dokument, das Ticket, den Stand im ERP. Er liest nicht nur Felder aus, sondern erkennt auch, was fehlt oder nicht zusammenpasst. Wie gut das gelingt, hängt an der Qualität der Eingänge und an den Systemen, auf die der Agent lesend zugreifen darf.

Aus dem Wahrgenommenen leitet der Agent ab, was der Fall bedeutet und wo die fehlende Information liegen könnte. Hier leistet das Sprachmodell seinen eigentlichen Beitrag: Zusammenhänge erkennen, die in keiner Regel stehen. Genau deshalb entstehen in diesem Schritt auch plausible, aber falsche Schlüsse.

Bevor der Agent handelt, legt er die Schritte fest – und die Kriterien, an denen er später prüft, ob das Ergebnis stimmt. Ein guter Plan nutzt nur Werkzeuge, die der Agent tatsächlich hat, und hält Aktionen, die sich nicht rückgängig machen lassen, möglichst weit hinten.

Der Agent führt den Plan über Werkzeuge aus: Er fragt ab, legt an, schlägt vor oder bucht – immer nur innerhalb seiner Berechtigungen. Auf niedrigen Autonomiestufen bereitet er die Aktion nur vor und ein Mensch bestätigt; später darf er in klar abgegrenzten Fällen selbst ausführen.

Nach jedem Schritt prüft der Agent, was seine Aktion bewirkt hat, und passt den Plan an. Zum Schluss gleicht er sein Ergebnis mit den Kriterien aus dem Plan ab und hält fest, warum er so entschieden hat. Passt etwas nicht, beginnt die Schleife von vorn. Bleibt er unsicher – etwa bei zwei gleich guten Kandidaten –, gibt er den Fall mit seiner Begründung an einen Menschen.

Bieten Systeme eine stabile Schnittstelle und lassen sich die Regeln vollständig beschreiben, ist ein Skript die beste Wahl: schnell, günstig, verlässlich und fast ohne laufende Kosten je Fall. Es entscheidet nichts – es führt aus, was festgelegt ist.

Software-Roboter bedienen Anwendungen über die Oberfläche, wie ein Mensch es täte. Das lohnt sich, wo keine Schnittstelle existiert, die Masken stabil sind und Ausnahmen selten. Klassisches RPA ist schnell eingeführt – aber jede geänderte Maske und jeder unvorhergesehene Fall hält den Bot an. Neu sind Agenten, die Bildschirm und Browser selbst bedienen („Computer Use“): Sie helfen, wo Masken wechseln, sind aber langsamer, teurer und weniger vorhersagbar – bei stabilen Masken bleibt der Roboter erste Wahl.

Ein Agent lohnt sich, wo Fälle viele Varianten haben, Informationen in Mails, PDFs oder Freitext stecken und im Einzelfall geurteilt werden muss. Er kostet im Betrieb mehr als ein Skript und arbeitet mit Wahrscheinlichkeiten – deshalb braucht er Testfälle, Grenzen und jemanden, der die Ausnahmen verantwortet.

Gemessen wird er am Preis je erledigtem Fall: Denkschritte, Werkzeugaufrufe und Schleifen verbrauchen ein Vielfaches der Token einer Chat-Antwort. Oft reicht auch weniger – ist der Ablauf fest und braucht nur ein Schritt Sprachverständnis, genügt ein Workflow mit KI-Schritt.

Das Sprachmodell liefert das Verständnis: Es liest, fasst zusammen, erkennt Absichten und formuliert. Vortrainiert wurde es darauf, das nächste Wort vorherzusagen; heutige Modelle lernen danach zusätzlich, Aufgaben in Zwischenschritten zu durchdenken. Wahrheit garantiert keiner dieser Schritte: Wo Wissen fehlt, ist eine plausible Vermutung oft naheliegender als ein „weiß ich nicht“. Modelle werden in kurzen Abständen ersetzt; die Architektur sollte den Wechsel vorsehen.

Bei Retrieval-Augmented Generation holt das System passende Stellen aus euren Dokumenten und legt sie dem Modell vor – klassisch vor jeder Antwort, bei Agenten zunehmend als Werkzeug, das der Agent gezielt aufruft. Das Modell antwortet auf dieser Grundlage und nennt die Quelle. Fehler verschwinden damit nicht, aber sie werden prüfbar. Das ist meist schneller, günstiger und leichter zu korrigieren, als ein eigenes Modell zu trainieren.

Werkzeuge geben dem Agenten definierte Fähigkeiten: eine Bestellung abfragen, eine Buchung vorschlagen, einen Roboter starten. Jedes Werkzeug ist mit Name, Zweck und Parametern beschrieben; Das Model Context Protocol (MCP) – seit Dezember 2025 herstellerneutral unter dem Dach der Linux Foundation – vereinheitlicht, wie Systeme sie anbieten; mit A2A übergeben Agenten einander Aufgaben. Was nicht als Werkzeug freigegeben ist, kann der Agent nicht tun.

Evals sind der Softwaretest für Systeme, die mit Wahrscheinlichkeiten arbeiten: eine Sammlung echter Fälle mit bekannten richtigen Ergebnissen, gegen die der Agent nach jeder Änderung automatisch geprüft wird. Aus „wirkt gut“ wird ein Messwert mit Verlauf – und ein Modellwechsel wird planbar.

Bei Agenten zählt auch der Weg: welche Werkzeuge er mit welchen Werten aufgerufen und ob er Grenzen eingehalten hat. Weil derselbe Fall unterschiedlich ausgehen kann, läuft jeder Test mehrfach.

Jeder Agent erhält eine eigene Identität – die Identitätssysteme führen Agenten inzwischen als eigene Identitätsart, etwa Microsoft Entra Agent ID oder Okta –, mit einer verantwortlichen Person und nie als geteilten Service-Account. Seine Berechtigungen sind eng geschnitten, seine Zugangsdaten kurzlebig. So bleibt nachvollziehbar, wer gehandelt hat, und Berechtigungsprüfungen funktionieren wie bei Mitarbeitenden.

Die Grenzen des Agenten sind als Regeln festgelegt – und werden in der Werkzeugschicht durchgesetzt, nicht nur im Prompt. Eine Regel im Prompt ist eine Bitte an ein Modell; eine Regel im Werkzeug ist eine Tatsache. Geändert werden Policies wie Software: mit Review und Versionsgeschichte.

Das größte Risiko sind Anweisungen, die in den verarbeiteten Inhalten stecken – in einer Mail, einem PDF, einer Webseite (Prompt Injection). Sprachmodelle können Anweisungen und Daten nicht zuverlässig trennen; deshalb zählt, was der Agent tun kann, wenn er getäuscht wird.

Jeder Schritt wird manipulationssicher protokolliert: Eingaben einschließlich fremder Inhalte, Werkzeugaufrufe mit Parametern, der Policy-Entscheid, das Ergebnis und die Begründung des Agenten, idealerweise hash-verkettet. Der Audit-Trail beantwortet die Frage, die Revision und Geschäftsführung stellen werden: Warum hat das System das getan? Und er ist das beste Werkzeug für die Fehleranalyse.

Menschliche Aufsicht heißt nicht, dass jemand alles ansieht. Gut gestaltet landen Ausnahmen in einer Queue mit Service-Level – mit dem Fall, der Begründung und dem Vorschlag des Agenten. Dazu gehört ein Stopp-Schalter je Agent, der außerhalb des Modells greift – Identität sperren, Tokens entziehen, Lauf beenden – und den der Fachbereich selbst bedienen kann.

Menschen erledigen alle Schritte. Das ist kein Makel, sondern oft die richtige Wahl – für seltene Fälle, für Arbeit, die viel Urteil und Beziehung braucht, oder solange der Prozess nicht verstanden ist. Und es ist die Ausgangsbasis: Wer nicht misst, wie lange und teuer die Arbeit heute ist, kann später keinen Nutzen belegen.

Feste Abläufe laufen ohne Menschen: Skripte über Schnittstellen, Software-Roboter über Oberflächen. Die Software urteilt nicht; jede Ausnahme geht zurück an einen Menschen. Das trägt, solange die Fälle gleichförmig sind.

Machine Learning übernimmt einzelne Schritte, die Verständnis brauchen: Dokumente auslesen, Fälle klassifizieren, Risiken schätzen. Die Dunkelverarbeitungsquote steigt – der Anteil der Fälle, die ohne menschliche Berührung durchlaufen. Die schwierigen Ausnahmen bleiben bei Menschen.

Der Agent bearbeitet den ganzen Fall und schlägt vor; ein Mensch bestätigt jede Aktion. Diese Stufe ist die Lernphase für beide Seiten: Das Team sieht, wie der Agent entscheidet, und jede Korrektur wird zu einem neuen Testfall.

Der Agent handelt selbst – innerhalb klarer Grenzen und für festgelegte Fallgruppen. Menschen entscheiden die Ausnahmen und überwachen die Kennzahlen. Die Stufe gilt nicht für den ganzen Prozess auf einmal: Sie wird je Fallgruppe freigeschaltet und kann jederzeit zurückgenommen werden.

Artikel 5 des AI Act untersagt KI-Praktiken, deren Risiko für Menschen als unannehmbar gilt – etwa Social Scoring, manipulative oder täuschende Techniken, das Ausnutzen von Schwächen bestimmter Personengruppen oder die Erkennung von Emotionen am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen. Diese Verbote gelten seit 2. Februar 2025. Der Digital Omnibus hat KI-Systeme ergänzt, die nicht einvernehmliche intime Darstellungen oder Missbrauchsmaterial erzeugen; dieses Verbot gilt ab 2. Dezember 2026.

Hochrisiko-Systeme sind erlaubt, aber streng geregelt. Dazu zählen nach Anhang III etwa KI in Personalauswahl und -steuerung, bei der Kreditwürdigkeitsprüfung von Privatpersonen oder in kritischer Infrastruktur, nach Anhang I KI als Sicherheitsbauteil regulierter Produkte. Die Hauptpflichten tragen die Anbieter. Betreiber müssen das System unter anderem bestimmungsgemäß einsetzen, menschliche Aufsicht durch geschulte Personen sicherstellen und automatisch erzeugte Protokolle aufbewahren (Art. 26). Diese Pflichten gelten ab 2. Dezember 2027 (Anhang III) bzw. 2. August 2028 (Anhang I). Nicht jedes System in einem Anhang-III-Bereich ist automatisch hochriskant; wer Personen profiliert, fällt jedoch immer darunter.

Seit 2. August 2026 gilt Artikel 50, mit getrennten Pflichten. Anbieter gestalten KI-Systeme, die direkt mit Menschen interagieren, so, dass diese davon erfahren – außer es ist offensichtlich –, und markieren synthetische Audio-, Bild-, Video- und Textausgaben maschinenlesbar; reine Standardbearbeitung ist ausgenommen. Betreiber informieren u. a. über Deepfakes, über den Einsatz von Emotionserkennung und über KI-Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden, sofern keine redaktionelle Kontrolle erfolgt. Die Kommission hat dazu am 20. Juli 2026 Leitlinien veröffentlicht; ein freiwilliger Verhaltenskodex gilt als geeignetes Mittel, die Einhaltung nachzuweisen.

Der große Rest der KI-Anwendungen unterliegt keinen besonderen Auflagen aus dem AI Act; freiwillige Verhaltenskodizes sind möglich. Unabhängig von der Stufe gilt seit 2. Februar 2025 Art. 4: Anbieter und Betreiber ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals und beauftragter Personen zu unterstützen – seit dem Digital Omnibus ohne Pflicht, ein bestimmtes Niveau zu garantieren.

Seit diesem Tag gelten die Transparenzpflichten nach Artikel 50: Anbieter informieren über die Interaktion mit KI-Systemen und markieren synthetische Inhalte maschinenlesbar, Betreiber legen u. a. Deepfakes offen. Seit diesem Tag kann die Kommission außerdem Geldbußen gegen Anbieter von GPAI-Modellen verhängen. Für Unternehmen mit Agenten ist das die Pflicht mit der größten Alltagswirkung, weil sie jede Stelle betrifft, an der ein Agent mit Menschen kommuniziert oder Inhalte erzeugt.

Zwei Termine fallen zusammen: Anbieter von KI-Systemen, die synthetische Inhalte erzeugen und vor dem 2. August 2026 in Verkehr gebracht wurden, müssen die maschinenlesbare Markierung nach Art. 50 Abs. 2 bis zu diesem Tag umsetzen; die übrigen Transparenzpflichten gelten bereits. Und das mit dem Digital Omnibus ergänzte Verbot von KI-Systemen, die nicht einvernehmliche intime Darstellungen oder Missbrauchsmaterial erzeugen, wird anwendbar.

Ab diesem Tag gelten die Pflichten für Hochrisiko-Systeme nach Anhang III – etwa KI in Personalauswahl, Kreditwürdigkeitsprüfung oder kritischer Infrastruktur. Ursprünglich war dafür August 2026 vorgesehen; der Digital Omnibus hat den Termin verschoben. Systeme, die vorher in Verkehr gebracht wurden, fallen erst darunter, wenn sie danach in ihrer Konzeption erheblich verändert werden; für Systeme von Behörden gelten eigene Regeln.

Ab diesem Tag gelten die Hochrisiko-Pflichten für KI in regulierten Produkten nach Anhang I – etwa als Sicherheitsbauteil in Medizinprodukten oder Aufzügen. Für Maschinen gilt seit dem Digital Omnibus ein eigener Weg über die Maschinenverordnung (EU) 2023/1230. KI, die ausschließlich nicht sicherheitsrelevante Aufgaben wie Automatisierung oder Leistungsoptimierung übernimmt, gilt nicht als Sicherheitsbauteil. Betroffen sind vor allem Hersteller, deren Produkte schon heute eine Konformitätsbewertung durchlaufen.