KI-Agenten

Viele Abläufe ziehen sich durch mehrere Systeme. Eine Anfrage wird gelesen, im ERP und im CRM werden Angaben nachgeschlagen, eine Entscheidung wird vorbereitet, Daten werden eingetragen, eine Antwort wird geschrieben. Feste Automatisierung stößt hier an Grenzen, wenn die Eingaben jedes Mal anders aussehen.

Wir entwickeln KI-Agenten für klar abgegrenzte Aufgaben. Der Agent arbeitet mit den Rechten, die er braucht, jeder Schritt wird protokolliert, und wo ein Fehler teuer wäre, entscheidet ein Mensch.

Meistens reicht ein fester Workflow

Ein KI-Agent verfolgt ein Ziel und entscheidet selbst, welche Schritte dafür nötig sind. Ein Sprachmodell plant, ruft Werkzeuge auf (eine Datenbankabfrage, eine E-Mail, eine Buchung im ERP), wertet das Ergebnis aus und entscheidet über den nächsten Schritt, bis die Aufgabe erledigt ist. Ein Chatbot beantwortet dagegen nur Fragen. Typische Aufgaben für einen Agenten sind das Bearbeiten einer Kundenanfrage mit Vertrag, Bestellhistorie, Antwortentwurf und Ticket, die Recherche für ein Angebot aus mehreren Quellen oder der Abgleich von Stammdaten zwischen Systemen mit Korrekturvorschlägen.

Trotzdem braucht nicht jede Automatisierung einen Agenten, und wir fangen mit dem einfachsten Ansatz an, der die Aufgabe löst. Ein fester Workflow führt immer dieselben Schritte aus, ist schneller und günstiger und lässt sich leichter testen. Er genügt, wenn sich die Schritte vorab als Regeln beschreiben lassen, die Eingaben strukturiert sind und das Ergebnis jedes Mal gleich ausfallen muss. Ein Agent lohnt sich erst, wenn die Reihenfolge vom Inhalt abhängt, die Eingaben Freitext sind und es viele Ausnahmen gibt. Oft ist eine Mischform am besten: ein fester Ablauf als Rahmen, ein KI-Schritt an der schwierigen Stelle, etwa beim Klassifizieren oder Zusammenfassen, und ein Agent nur dort, wo Entscheidungsfreiheit nötig ist.

Werkzeuge, MCP und andere Agenten

Ein Agent kann nur, wofür er Werkzeuge hat. Ein Werkzeug ist meist eine Funktion mit Namen, Beschreibung und Parametern, hinter der eine API steht, etwa „Bestellung abfragen“ oder „Ticket anlegen“. Anhand der Beschreibung entscheidet das Modell, wann es welches aufruft. Je mehr Werkzeuge zur Auswahl stehen, desto häufiger greift es daneben.

Das Model Context Protocol (MCP) ist ein offener Standard für diese Anbindung. Anthropic hat ihn eingeführt und Ende 2025 an die Agentic AI Foundation der Linux Foundation übergeben. Ein MCP-Server stellt Werkzeuge und Daten bereit, jede MCP-fähige Anwendung kann sie nutzen. Die Spezifikation weist selbst darauf hin, dass Werkzeuge beliebigen Code ausführen können und ihre Beschreibungen nur dann als vertrauenswürdig gelten, wenn der Server es ist. Wir binden deshalb nur geprüfte Server an, trennen lesende und schreibende Werkzeuge und lassen Schreibzugriffe über eigene Funktionen mit Validierung laufen.

Das Agent2Agent-Protokoll (A2A) ist für Agenten verschiedener Teams oder Anbieter gedacht. Google hat es 2025 vorgestellt, inzwischen betreut es die Linux Foundation, und eine stabile Version liegt vor. Agenten beschreiben ihre Fähigkeiten in einer Agent Card und nehmen Aufgaben anderer Agenten an. MCP verbindet also einen Agenten mit Werkzeugen, A2A Agenten untereinander. Mehrere Agenten braucht man seltener, als es klingt, denn jeder weitere bringt Kosten und Fehlerquellen mit. Oft genügt einer mit gut zugeschnittenen Werkzeugen.

Bei der Plattform entscheiden die vorhandene Cloud, die Identitätsverwaltung, der Datenstandort und die Kenntnisse im Team. Verwaltete Plattformen der großen Cloud-Anbieter nehmen einiges ab, etwa eigene Identitäten für Agenten, Nachverfolgung und Schutzfilter. Frameworks für eigenen Code, etwa LangGraph, geben mehr Kontrolle über den Ablauf. Die Angebote ändern sich schnell, deshalb legen wir uns nicht auf einen Hersteller fest.

Was ein Agent nicht allein entscheiden darf

Ein Agent handelt in Systemen. Er braucht deshalb Regeln, die nicht vom Sprachmodell abhängen. Aktionen teilen wir nach Risiko ein: Lesen läuft automatisch, umkehrbare Änderungen laufen mit Stichproben. Zahlungen, Nachrichten an Kunden und Löschungen gibt eine Person frei, der Entwurf, Begründung und Quellen vorliegen.

Der Agent bekommt eine eigene Identität statt eines geteilten Kontos und nur die Rechte, die seine Aufgabe erfordert. Handelt er für eine Person, sind deren Rechte die Obergrenze. Eingabe, Werkzeugaufrufe, Ergebnisse und Freigaben werden protokolliert, was bei Fehlersuche und Prüfungen hilft. Eine maximale Zahl von Schritten, ein Zeit- und ein Kostenlimit sowie ein Abbruch bei Unsicherheit mit Übergabe an eine Person verhindern, dass sich ein Agent verläuft.

Prompt Injection, Tests und Kosten

Das größte Risiko ist die Prompt Injection. Texte in E-Mails, Dokumenten oder Webseiten können Anweisungen enthalten, die der Agent als Auftrag versteht. Besonders heikel wird es, wenn er interne Daten lesen, externe Inhalte verarbeiten und zugleich handeln darf. Vollständig ausschließen lässt sich das nicht. Wir behandeln Eingaben deshalb als nicht vertrauenswürdig, trennen Rechte und lassen Aktionen mit Außenwirkung freigeben. Schutzfilter der Plattformen helfen, ersetzen diese Maßnahmen aber nicht.

Getestet wird vor dem Start an realen Fällen samt Sonderfällen, mit einer vorab festgelegten Vorstellung vom guten Ergebnis. Geprüft wird nicht nur die Antwort, sondern auch, ob der Agent die richtigen Werkzeuge in sinnvoller Reihenfolge gewählt hat. Weil Sprachmodelle nicht jedes Mal gleich antworten, laufen die Tests nach jeder Änderung an Anweisung, Modell oder Werkzeug erneut.

Ein Vorgang besteht meist aus mehreren Modell- und Werkzeugaufrufen, und der Kontext wächst mit jedem Schritt. Wir messen deshalb die Kosten je erledigtem Vorgang und den Anteil der Fälle, die eine Person nachbearbeiten muss, und vergleichen beides mit dem bisherigen Aufwand. Welche Pflichten sich aus dem EU AI Act ergeben, hängt vom Einsatzzweck ab. Mehr dazu steht im gleichnamigen Schwerpunkt.

In Stufen einführen

Zuerst macht der Agent nur Vorschläge, und eine Person führt sie aus. In der zweiten Stufe führt er Schritte nach Freigabe selbst aus. Erst bei risikoarmen Fällen arbeitet er eigenständig, mit Stichproben. Die Stufe wechselt erst, wenn die gemessenen Ergebnisse es tragen.

Die meisten Vorhaben kommen gar nicht so weit. „Den Vertrieb unterstützen“ ist kein Prozess, ein Agent braucht eine eng umrissene Aufgabe mit prüfbarem Ergebnis. Wenn niemand den Ablauf beschreiben kann, kann ihn auch kein Agent zuverlässig ausführen. Ein Agent mit Administratorkonto macht jeden Fehler und jede Prompt Injection teurer. Und eine Demo mit drei Beispielen überzeugt, der Betrieb mit echten Eingaben oft nicht.