KI-Agenten im Unternehmen: Wofür sie heute taugen
KI-Agenten im Unternehmen: Welche begrenzten Aufgaben heute zuverlässig laufen, was noch Hype ist, typische Fehlerbilder und ein kleiner Einstieg.
Hinweis zu KI-Inhalten: Bilder und Blogbeiträge auf dieser Website können ganz oder teilweise mit künstlicher Intelligenz erstellt oder bearbeitet sein.
Wofür sind KI-Agenten im Unternehmen heute wirklich geeignet?
KI-Agenten sind heute dann verlässlich, wenn die Aufgabe klar begrenzt ist: ein definierter Eingang, ein vorhersehbares Ergebnis, ein Mensch, der an der richtigen Stelle freigibt, und ein Protokoll, das nachher zeigt, was passiert ist. Ein Agent, der eine Rechnung aus einem PDF vorbereitet, eine E-Mail nach festen Kategorien sortiert oder einen Terminvorschlag aus einem Kalender ableitet, kann das zuverlässig tun, solange eine Person das Ergebnis prüft, bevor es verbindlich wird. Ein Agent, der ohne Aufsicht eigenständig mehrstufige Entscheidungen trifft, mit fremden Systemen spricht und Geld, Verträge oder Kundenkommunikation direkt bewegt, ist bei den meisten Unternehmen noch nicht dort, wo der Hype ihn schon sieht.
Dieser Beitrag trennt beide Bilder: was heute schon nützlich ist, was noch Versprechen bleibt, welche Fehler typisch sind und wie ein kleiner, sicherer Einstieg aussieht.
Was einen Agenten von einem Chat-Assistenten unterscheidet
Ein Chat-Assistent beantwortet eine Frage. Ein Agent führt mehrere Schritte selbstständig aus: Er liest eine Eingabe, entscheidet, welche Aktion als Nächstes folgt, ruft dafür ein Werkzeug oder eine Schnittstelle auf und wiederholt das, bis ein Ziel erreicht ist oder er abbricht. Genau diese Handlungsfähigkeit macht Agenten nützlich und gleichzeitig riskanter als ein reiner Textassistent. Ein falscher Textvorschlag lässt sich verwerfen. Eine falsch ausgeführte Aktion, etwa eine verschickte E-Mail oder ein angelegter Auftrag, muss im Zweifel wieder rückgängig gemacht werden.
Wo Agenten heute zuverlässig helfen
Die Aufgaben, bei denen Agenten heute einen echten Unterschied machen, teilen meist drei Eigenschaften: ein enger Rahmen, ein prüfbares Ergebnis und ein Freigabepunkt vor jeder Wirkung nach außen.
| Aufgabe | Eingang | Ergebnis | Freigabepunkt vor Wirkung |
|---|---|---|---|
| E-Mail-Triage | Eingehende Nachricht | Kategorie und Vorschlag für Zuständigkeit | Person bestätigt Zuordnung |
| Angebots- oder Antwortentwurf | Anfrage mit bekannten Angaben | Formulierter Entwurf | Person prüft und versendet |
| Dokumenten-Zusammenfassung | PDF, Vertrag, Protokoll | Kurzfassung mit Fundstellen | Person nutzt Fassung als Ausgangspunkt |
| Termin- oder Datenvorbereitung | Formular oder Gesprächsnotiz | Strukturierter Datensatz | Person übernimmt in führendes System |
In jeder Zeile bleibt die Wirkung nach außen, etwa ein Versand, eine Buchung oder eine Zahlung, an eine Person gebunden. Der Agent bereitet vor und beschleunigt. Er entscheidet nicht abschließend.
Wo es noch Hype ist
Weniger tragfähig sind heute Versprechen wie ein Agent, der ein Kundenanliegen von Anfang bis Ende ohne jede menschliche Prüfung abschließt, mehrere Fachsysteme eigenständig verknüpft und dabei selbst neue Teilziele setzt, oder der über längere Zeiträume autonom weiterarbeitet, ohne dass jemand die Zwischenschritte sieht. Solche Aufbauten wirken in einer Vorführung beeindruckend, weil die gezeigten Fälle sorgfältig ausgewählt sind. Im echten Betrieb kommen unvollständige Anfragen, widersprüchliche Angaben und Ausnahmefälle deutlich häufiger vor als in jeder Demo. Ein Agent ohne engen Rahmen trifft dann still falsche Annahmen, statt sichtbar an einen Menschen zu übergeben.
Typische Fehlerbilder
Falsche Aktionen
Ein Agent kann eine Aufgabe technisch korrekt ausführen und trotzdem das Falsche tun, etwa eine Anfrage der falschen Person zuordnen, einen Termin im falschen Kalender anlegen oder eine Angabe fehlerhaft übernehmen, weil die Eingabe uneindeutig war. Ohne Protokoll bleibt das oft unbemerkt, bis sich jemand über das Ergebnis wundert.
Prompt-Injection über E-Mail oder Dokumente
Ein Agent, der E-Mails, Webseiten oder hochgeladene Dokumente liest, verarbeitet auch deren Inhalt als Text, den ein Modell interpretiert. Enthält dieser Inhalt versteckte oder unauffällig formulierte Anweisungen, etwa in einer E-Mail-Signatur, einem PDF-Kommentar oder einem eingebetteten Link, kann ein Agent diese Anweisungen mit der eigentlichen Aufgabe verwechseln und ausführen, was der Angreifer will, statt was der Nutzer wollte. Das OWASP-Projekt beschreibt diese Angriffsklasse als Prompt Injection und führt sie im OWASP Top 10 for LLM Applications als eigenes Risiko. Wir haben dazu keine eigenen gemessenen Vorfallzahlen und nennen deshalb bewusst keine Häufigkeit, nur die Angriffsklasse selbst und ihre Quelle.
Der wirksamste Schutz ist strukturell, nicht ein besserer Prompt: kritische Aktionen brauchen eine Freigabe außerhalb des Modells, und ein Agent sollte nie allein aus einem gelesenen Dokument heraus eine Berechtigung erhalten, die er vorher nicht hatte.
Wie du klein anfängst
- Einen einzigen Vorgang wählen, mit klarem Eingang und klarem Ende, nicht „die Kundenkommunikation” als Ganzes.
- Die Aktion auf Entwurf begrenzen. Der Agent schlägt vor, eine Person entscheidet, ob und wie es weitergeht.
- Ein Protokoll mitlaufen lassen, das zeigt, was der Agent gelesen, entschieden und vorgeschlagen hat, nicht nur das Endergebnis.
- Feste Testfälle vorbereiten, inklusive fehlender Angaben, doppelter Anfragen und eines absichtlich unklaren Falls.
- Erst nach Review erweitern, in kleinen Schritten und mit erneutem Test, wenn sich Modell, Werkzeuge oder Eingänge ändern.
Dieses Vorgehen deckt sich mit der gestuften Einführung, die wir im Beitrag KI-Projekt im Unternehmen sicher einführen beschreiben. Für Agenten gilt dieselbe Logik, nur mit einem zusätzlichen Punkt: Jede Aktion, die eine Wirkung nach außen hat, braucht einen Freigabepunkt, nicht nur jede Antwort.
Warum Wissen und Regeln vor dem Agenten stehen müssen
Ein Agent ist nur so gut wie die Regeln und Quellen, an die er sich halten soll. Wenn zwei Systeme unterschiedliche Antworten auf dieselbe Frage geben, oder wenn niemand festgelegt hat, welche Quelle im Zweifel gilt, trifft ein Agent diese Entscheidung selbst und oft unsichtbar. Genau an dieser Stelle setzt unser Produktbaustein n3tz Atlas an: Er hält Wissen, Entscheidungen und Zuständigkeiten als geprüfte Unternehmenslinie fest, auf die verschiedene KI-Werkzeuge zugreifen, statt dass jeder Agent seine eigene, driftende Version davon aufbaut. Für Sprachagenten, die telefonisch mit Kundschaft sprechen, prüfen wir vergleichbare Fragen im Quality Lab mit autorisierten, betreuten Testgesprächen, bevor aus einer Demo ein laufender Betrieb wird.
Welche Werkzeuge und Datenklassen ein Agent überhaupt verwenden darf, gehört in dieselbe Richtlinie wie jedes andere KI-Werkzeug im Betrieb. Halte dort vier Dinge fest: erlaubte Werkzeuge, erlaubte Daten, wer freigibt und wie dokumentiert wird.
Der Maßstab bleibt der begrenzte, geprüfte Fall
Ein KI-Agent ersetzt keine Verantwortung, er verschiebt sie an den Punkt, an dem eine Person eine Aktion freigibt. Unternehmen, die heute mit Agenten arbeiten, gewinnen selten, weil sie möglichst viel Autonomie zulassen. Sie gewinnen, weil sie einen einzelnen Vorgang eng genug fassen, um ihn wirklich zu verstehen, zu testen und im Alltag nachzuvollziehen. Bei n3tz prüfen wir im Rahmen unserer Leistungen für Software, Integration und Prozessoptimierung, welcher Vorgang für einen ersten Agenten-Einsatz geeignet ist und welche Freigaben und Protokolle dafür gebraucht werden.
Ersten begrenzten Agenten-Anwendungsfall besprechen: Vorhaben mit n3tz besprechen →
Tarik Ermis ist Software-Architekt und Gründer von n3tz in Saarbrücken. Er entwickelt Unternehmenssoftware, verbindet bestehende Systeme und begleitet Lösungen bis zum laufenden Betrieb.
