KI-Agenten

Ein Sprachmodell, das einen Text vorschlägt, ist ein Werkzeug. Ein System, das eine Aufgabe entgegennimmt, sie in Schritte zerlegt, dafür auf Anwendungen zugreift und die Schritte ausführt, ist etwas anderes. KI-Agenten verschieben die Frage von „Was schlägt die Software vor?” zu „Was hat die Software getan?” – und damit die gesamte Compliance-Betrachtung.

Was den Unterschied ausmacht

Drei Eigenschaften, die zusammenkommen:

Handlungsspielraum. Der Agent entscheidet selbst über die Reihenfolge der Schritte, statt einem festen Ablauf zu folgen.

Zugriff auf Werkzeuge. Er kann E-Mails senden, Datensätze anlegen und ändern, Dateien lesen, Bestellungen auslösen, Schnittstellen aufrufen. Genau hier entsteht das Risiko – nicht im Modell, sondern in dem, was es erreichen darf.

Fortdauer. Er läuft über mehrere Schritte, teils über längere Zeit, und trifft dabei Zwischenentscheidungen, die niemand einzeln freigibt.

Die Fragen, die sich dadurch neu stellen

Wer hat gehandelt? Der Agent handelt unter einer technischen Identität. Wenn er unter einem Sammelkonto mit weitreichenden Rechten arbeitet, ist im Nachhinein nicht mehr feststellbar, ob eine Änderung von einem Menschen oder vom System stammt. Das ist zuerst ein Problem der Nachvollziehbarkeit und dann eines der Haftung.

Wer haftet? Rechtlich bleibt es einfach: Es handelt Ihr Unternehmen. Ein Agent ist keine Person, er hat keinen eigenen Willen und keine eigene Verantwortung. Was er auslöst, ist Ihnen zuzurechnen – gegenüber Vertragspartnern, gegenüber betroffenen Personen und gegenüber der Aufsicht. Die Vorstellung, ein Fehler des Systems sei ein Fehler des Anbieters, trägt in aller Regel nicht.

Trifft er Entscheidungen über Menschen? Dann greift Art. 22 DSGVO: Entscheidungen mit rechtlicher Wirkung, die ausschließlich automatisiert ergehen, sind nur unter engen Voraussetzungen zulässig. Achtung – eine Vorbereitung, die faktisch nie überstimmt wird, ist praktisch eine automatisierte Entscheidung.

Ist die Aufsicht wirksam? Die KI-Verordnung verlangt bei Hochrisiko-Systemen menschliche Aufsicht, die tatsächlich eingreifen kann (Art. 14). Bei einem Agenten, der zwanzig Schritte in Sekunden ausführt, ist eine nachgelagerte Prüfung keine Aufsicht.

Wie man Agenten einhegt

Die wirksamen Maßnahmen sind unspektakulär und stammen aus der Informationssicherheit:

Eigene Identität, minimale Rechte. Der Agent bekommt ein eigenes Konto mit genau den Berechtigungen, die seine Aufgabe verlangt – nicht die eines Administrators und nicht die eines Sachbearbeiters, der über Jahre Rechte gesammelt hat.

Vollständige Protokollierung. Jeder Aufruf, jede Änderung, jede gesendete Nachricht – mit Zeitstempel und Auslöser. Ohne Protokoll ist weder Aufklärung noch Rechenschaft möglich.

Freigabe bei folgenreichen Schritten. Lesen darf der Agent selbständig; alles, was nach außen wirkt oder Geld bewegt, wird vorgelegt. Diese Grenze ist die wichtigste Einzelentscheidung.

Begrenzung nach Umfang. Obergrenzen für Zahl und Volumen der Vorgänge, damit ein Fehler nicht tausendfach eintritt, bevor jemand hinsieht.

Ein Notaus. Eine Stelle, an der der Agent sofort angehalten werden kann, und jemand, der weiß, wo sie ist.

Testbetrieb ohne Wirkung. Erst beobachten, was er täte, dann ihn tun lassen.

Der Punkt, der oft übersehen wird

Ein Agent verarbeitet Eingaben aus Quellen, die Sie nicht kontrollieren: eingehende E-Mails, Dokumente, Webseiten. Anweisungen, die in solchen Inhalten stehen, können sein Verhalten beeinflussen. Behandeln Sie deshalb alles, was der Agent liest, als Daten – nicht als Auftrag. Aufträge kommen von Menschen aus Ihrem Haus.

Das ist keine theoretische Sorge: Es ist der Grund, warum ein Agent mit Postfachzugriff und Versandrechten ohne Freigabeschritt keine gute Idee ist.

Was einzuordnen ist

Der Einsatz gehört ins Verarbeitungsverzeichnis, das System in Ihr Inventar mit Rolle und Risikoklasse – siehe KI-Glossar –, die Regeln in die KI-Richtlinie, die Prüfung des Werkzeugs in die zehn Fragen vor der Freigabe. Bei entsprechendem Risiko kommt eine Datenschutz-Folgenabschätzung hinzu.

Kontakt

Sie erwägen einen Agenten mit Zugriff auf Ihre Systeme? Über die Berechtigungen sollten wir vorher sprechen, nicht danach.