Wenn KI-Agenten handeln: Zugriffe, Freigaben und Risiken richtig steuern

KI-Agenten verändern die Rolle künstlicher Intelligenz im Unternehmen. Ein klassischer KI-Assistent beantwortet Fragen, fasst Dokumente zusammen oder unterstützt bei der Informationssuche. Ein handlungsfähiger Agent geht weiter. Er kann Daten verändern, Prozesse starten, Nachrichten versenden oder Transaktionen vorbereiten.

Damit entsteht eine neue Form der Verantwortung. Solange ein System lediglich Informationen bereitstellt, liegt die Entscheidung beim Menschen. Sobald ein Agent selbst handelt, benötigt er klar definierte Rechte, technische Grenzen und nachvollziehbare Freigabeprozesse.

Die zentrale Frage lautet deshalb nicht nur, ob ein KI-Agent eine Aufgabe ausführen kann. Unternehmen müssen festlegen, welche Aktionen er unter welchen Bedingungen ausführen darf.

Vom digitalen Assistenten zum ausführenden Agenten

Ein KI-Agent kann unterschiedliche Aufgaben übernehmen. Im Kundenservice könnte er eine Anfrage analysieren, relevante Informationen zusammenstellen und einen Servicefall anlegen. Im Einkauf kann er Angebote vergleichen und eine Bestellung vorbereiten. Im Vertrieb könnte er Kundendaten aktualisieren, Termine koordinieren oder ein Angebot anstoßen.

Der entscheidende Unterschied zu einem klassischen Workflow liegt in der Flexibilität. Ein festgelegter Workflow folgt vorab definierten Schritten. Ein KI-Agent interpretiert eine Situation, wählt passende Werkzeuge aus und entscheidet innerhalb eines vorgegebenen Rahmens, welche Schritte erforderlich sind.

Je größer dieser Rahmen ist, desto wichtiger wird seine Kontrolle.

Bis 2028 könnten in einem durchschnittlichen globalen Fortune 500 Unternehmen mehr als 150.000 KI-Agenten im Einsatz sein. Gleichzeitig sind nur 13 Prozent der Organisationen überzeugt, bereits über die passende Governance zu verfügen¹

Mit der Zahl der Agenten steigt nicht nur der mögliche Nutzen. Auch die Gefahr unübersichtlicher Zugriffe, doppelter Funktionen und unkontrollierter Aktionen nimmt zu.

Ein Agent braucht eine eigene Identität

Jede Person, die auf Unternehmenssysteme zugreift, benötigt eine digitale Identität. Über diese Identität werden Rollen, Rechte und Aktivitäten zugeordnet. Für KI-Agenten sollte dasselbe Prinzip gelten.

Ein Agent sollte nicht mit einem allgemeinen technischen Zugang arbeiten, der ihm pauschal umfassende Rechte einräumt. Stattdessen benötigt er eine eindeutig zuordenbare Identität mit einem klar definierten Zweck.

Unternehmen sollten jederzeit beantworten können:

• Welche Aufgabe übernimmt der Agent?
• In wessen Auftrag handelt er?
• Auf welche Systeme darf er zugreifen?
• Welche Berechtigungen lagen bei einer Aktion vor?
• Welche Daten wurden gelesen oder verändert?

Das ist besonders relevant, wenn mehrere Agenten an einem Prozess beteiligt sind. Ein Agent sucht beispielsweise Informationen, ein zweiter bewertet den Vorgang und ein dritter überträgt Daten in ein Fachsystem. Ohne eindeutige Identitäten lässt sich später kaum nachvollziehen, an welcher Stelle ein Fehler entstanden ist.

Auch der Lebenszyklus eines Agenten muss berücksichtigt werden. Wird ein Anwendungsfall beendet, ein Team aufgelöst oder ein System ersetzt, sollten die zugehörigen Zugänge überprüft und gegebenenfalls deaktiviert werden.

Lesen, empfehlen und handeln sind unterschiedliche Rechte

Ein Agent benötigt nicht automatisch das Recht, Informationen zu verändern, nur weil er sie lesen kann.

Diese Trennung ist in vielen Unternehmenssystemen bereits etabliert. Ein Mitarbeiter darf möglicherweise Rechnungen einsehen, aber nicht freigeben. Er kann Kundendaten lesen, aber keine Vertragsbedingungen ändern. Für KI-Agenten müssen diese Grenzen ebenso konsequent gelten.

Ein lesender Agent kann Dokumente suchen, Informationen zusammenfassen oder Daten vergleichen. Sein Zugriff sollte auf klar definierte Quellen beschränkt sein.

Ein beratender Agent erstellt Empfehlungen oder bereitet Entscheidungen vor. Er kann beispielsweise einen Lösungsvorschlag für eine Kundenanfrage formulieren. Die eigentliche Entscheidung bleibt jedoch bei einem Menschen.

Ein ausführender Agent verändert Daten oder startet einen Prozess. Er legt einen Servicefall an, aktualisiert einen Datensatz oder bereitet eine Bestellung vor.

Ein autonomer Agent kann mehrere Systeme und Prozessschritte weitgehend selbstständig koordinieren. Diese Form benötigt die engsten Grenzen, da Fehler nicht nur einzelne Informationen, sondern komplette Abläufe betreffen können.

Bis 2027 könnten 40 Prozent der Unternehmen autonome KI-Agenten zurückstufen oder außer Betrieb nehmen, weil Governance Lücken erst nach Vorfällen im produktiven Einsatz erkannt werden. Besonders kritisch ist die fehlende Trennung zwischen den technischen Fähigkeiten eines Agenten und dem Umfang seiner tatsächlichen Zugriffsrechte.²

Ein einheitliches Berechtigungsmodell für alle Agenten ist daher nicht sinnvoll. Die Kontrolle muss sich nach der Aufgabe, dem Autonomiegrad und den möglichen Auswirkungen richten.

Kritische Aktionen brauchen eine Freigabe

Nicht jede Aktion sollte vollständig autonom erfolgen. Entscheidend sind das mögliche Risiko und die Frage, ob eine Handlung problemlos rückgängig gemacht werden kann.

Das automatische Anlegen eines internen Entwurfs hat in der Regel geringere Auswirkungen als der Versand einer verbindlichen Nachricht an einen Kunden. Das Öffnen eines Formulars ist weniger kritisch als die tatsächliche Übermittlung der enthaltenen Daten. Eine vorbereitete Bestellung unterscheidet sich grundlegend von einer verbindlich ausgelösten Transaktion.

Unternehmen sollten deshalb definieren, ab welchem Punkt eine menschliche Bestätigung erforderlich ist.

Eine Freigabe kann beispielsweise notwendig sein, wenn:

• finanzielle Grenzwerte überschritten werden
• personenbezogene Daten weitergegeben werden
• Verträge oder Konditionen verändert werden
• verbindliche Aussagen gegenüber Kunden erfolgen
• Zugriffsrechte angepasst werden
• Daten gelöscht oder dauerhaft verändert werden

Auch ungewöhnliche Vorgänge sollten automatisch zur Prüfung weitergeleitet werden.

Der Mensch muss dabei nicht jeden einzelnen Arbeitsschritt kontrollieren. Sinnvoller ist eine gezielte Kontrolle an den Stellen, an denen Entscheidungen schwer rückgängig zu machen sind oder größere Auswirkungen entstehen können.

Technische Grenzen statt allgemeiner Vorgaben

Eine Richtlinie wie „Der Agent darf nur sichere Aktionen ausführen“ reicht nicht aus. Sicherheit muss technisch durchsetzbar sein.

Dazu gehört zunächst eine eindeutige Begrenzung der Systeme und Funktionen, die ein Agent verwenden darf. Ein Agent für den Kundenservice benötigt möglicherweise Zugriff auf die Wissensdatenbank und das Ticketsystem. Einen Zugang zur Finanzbuchhaltung benötigt er nicht.

Zusätzlich können konkrete Grenzwerte festgelegt werden. Ein Einkaufsagent darf beispielsweise Bestellungen bis zu einem bestimmten Betrag vorbereiten. Höhere Summen erfordern eine Freigabe. Ein Serviceagent kann eine Rückerstattung vorschlagen, aber nicht eigenständig auszahlen.

Auch Mengen und Zeiträume lassen sich begrenzen. Führt ein Agent innerhalb kurzer Zeit ungewöhnlich viele Aktionen aus, sollte das System den Vorgang stoppen oder eine Prüfung auslösen.

Solche Regeln reduzieren nicht nur das Risiko absichtlicher Angriffe. Sie begrenzen auch die Folgen von Fehlinterpretationen, fehlerhaften Daten oder unerwartetem Systemverhalten.

Gute Entscheidungen benötigen kontrollierte Informationen

Bevor ein Agent handelt, muss er die passende Entscheidungsgrundlage erhalten. Hier ist Enterprise Search ein wichtiger Teil der Architektur.

Die Suche stellt sicher, dass ein Agent relevante und aktuelle Informationen aus den vorgesehenen Quellen erhält. Sie kann bestehende Berechtigungen berücksichtigen, freigegebene Dokumente priorisieren und die verwendeten Quellen sichtbar machen.

Die Suchplattform entscheidet jedoch nicht allein, welche Handlung erlaubt ist. Sie kontrolliert den Informationszugriff. Die Freigabe einer Aktion muss zusätzlich über Identitätsmanagement, Prozessregeln und die angebundenen Fachsysteme abgesichert werden.

Diese Trennung ist wichtig. Ein Agent kann berechtigt sein, eine aktuelle Vertragsvorlage zu finden, ohne einen Vertrag eigenständig versenden zu dürfen. Er darf möglicherweise eine Preisliste lesen, aber keine individuellen Rabatte genehmigen.

Eine sichere Architektur verbindet deshalb kontrollierte Suche mit klar begrenzten Handlungsrechten.

Jede Aktion muss nachvollziehbar bleiben

Sobald ein KI-Agent in Unternehmenssystemen handelt, wird die Protokollierung zu einem zentralen Qualitätsmerkmal.

Ein vollständiger Prüfpfad sollte zeigen:

• welche Anfrage den Vorgang ausgelöst hat
• welche Daten und Dokumente verwendet wurden
• welche Entscheidung der Agent getroffen hat
• welche Aktion ausgeführt wurde
• ob eine menschliche Freigabe vorlag
• welche Daten anschließend verändert wurden

Diese Informationen helfen bei der Fehleranalyse. Sie sind aber auch für interne Kontrollen, Datenschutz, Sicherheit und Compliance relevant.

Fast zwei Drittel der Unternehmen sehen Sicherheitsfragen und Risiken als größte Hürde bei der Skalierung agentischer KI. 74 Prozent betrachten ungenaue Ergebnisse als besonders relevantes Risiko. 72 Prozent nennen Cybersicherheit.³

Der produktive Einsatz hängt damit nicht allein von der Leistungsfähigkeit der Modelle ab. Entscheidend ist das Vertrauen in die umgebenden Kontrollmechanismen.

Auffälliges Verhalten früh erkennen

Auch ein korrekt eingerichteter Agent muss laufend überwacht werden. Aufgaben, Systeme und Daten können sich verändern. Eine Berechtigung, die bei der Einführung angemessen war, kann später zu weit gefasst sein.

Unternehmen sollten deshalb typische Verhaltensmuster definieren und Abweichungen erkennen können. Dazu gehören ungewöhnlich viele Aktionen, Zugriffe auf bisher nicht verwendete Datenquellen oder Aktivitäten außerhalb der erwarteten Prozesse.

Bei Auffälligkeiten muss ein Agent automatisch eingeschränkt oder gestoppt werden können. Ebenso wichtig ist ein klarer Verantwortlicher, der den Vorgang prüft und über das weitere Vorgehen entscheidet.

Monitoring bedeutet dabei nicht, jede einzelne Aktion manuell zu kontrollieren. Ziel ist eine risikobasierte Überwachung, die ungewöhnliches Verhalten frühzeitig sichtbar macht.

Governance beginnt vor dem Pilotprojekt

Viele Risiken entstehen, weil Governance erst betrachtet wird, nachdem ein Agent technisch funktioniert.

1. Sinnvoller ist es, bereits vor der Umsetzung klare Fragen zu beantworten:
2. Welche konkrete Aufgabe soll der Agent übernehmen?
3. In wessen Auftrag handelt er?
4. Welche Informationen darf er lesen?
5. Welche Daten darf er verändern?
6. Welche Systeme darf er verwenden?
7. Welche Aktionen benötigen eine Freigabe?
8. Welche Grenzwerte gelten?
9. Wie werden Entscheidungen und Aktionen protokolliert?
10. Wer kann den Agenten stoppen?

Diese Fragen schaffen einen verbindlichen Rahmen. Gleichzeitig helfen sie dabei, einen Anwendungsfall realistisch einzugrenzen.

Ein kleiner Agent mit klarer Aufgabe und begrenzten Rechten kann produktiver und sicherer sein als ein umfassendes System, das theoretisch viele Prozesse abdeckt, aber nur schwer kontrollierbar ist.

Fazit: Handlungsfähigkeit braucht klare Grenzen

KI-Agenten können Prozesse beschleunigen, Mitarbeitende entlasten und Informationen direkt in nutzbare Aktionen übersetzen. Ihr Mehrwert entsteht jedoch nicht durch möglichst umfassende Autonomie. Ein produktiver Agent benötigt eine eindeutige Identität, klar definierte Zugriffsrechte, technische Grenzwerte und nachvollziehbare Freigaben. Je größer die möglichen Auswirkungen einer Aktion sind, desto enger muss der Handlungsspielraum gestaltet werden.

Enterprise Search schafft dabei eine wichtige Grundlage. Sie stellt relevante Informationen aus kontrollierten Quellen bereit, berücksichtigt Berechtigungen und macht die verwendete Wissensbasis nachvollziehbar. Für einen sicheren produktiven Einsatz muss diese Suchschicht mit Identitätsmanagement, Prozesssteuerung und vollständiger Protokollierung verbunden werden. Unternehmen sollten deshalb nicht mit der Frage beginnen, welche Prozesse ein Agent vollständig übernehmen kann. Der bessere Ausgangspunkt lautet: Welche konkrete Aufgabe darf er innerhalb eines klar kontrollierten Rahmens zuverlässig ausführen?

Ein Search Review kann zeigen, ob die bestehende Sucharchitektur aktuelle Informationen, Berechtigungen und nachvollziehbare Quellen zuverlässig bereitstellt. Damit lässt sich eine zentrale Voraussetzung prüfen, bevor ein KI-Agent auf Basis dieser Informationen Entscheidungen trifft und Aktionen ausführt.