Freitag, 21. August 2026 von Oliver Schwartz Wann KI-Agenten im Unternehmen zum Compliance-Fall werden
Vom Assistenten zum Power-Akteur
KI-Agenten recherchieren nicht nur. Sie planen, greifen auf Systeme zu und führen Aufgaben selbstständig aus. Damit wachsen ihre Möglichkeiten – und die Verantwortung der Unternehmen, die sie einsetzen. Der Auftrag klingt überschaubar. Ein KI-Agent soll Angebote für eine größere Bestellung einholen, Konditionen vergleichen und den Einkauf vorbereiten. Dafür erhält er Zugriff auf das E-Mail-Postfach, interne Preislisten, Lieferantendaten und das Warenwirtschaftssystem. Er recherchiert Anbieter, wertet Dokumente aus, bittet um ergänzende Informationen und aktualisiert seine Kalkulation. Schließlich wählt er einen Lieferanten aus und löst die Bestellung innerhalb des freigegebenen Budgets aus.
Was aus betriebswirtschaftlicher Sicht wie eine gelungene Automatisierung aussieht, kann sich innerhalb weniger Arbeitsschritte in einen Compliance-Vorfall verwandeln. Eine der eingelesenen Dateien enthält versteckte Anweisungen, die sich nicht an den menschlichen Leser, sondern an das Sprachmodell richten. Der Agent folgt ihnen, übermittelt interne Informationen an einen externen Dienst und verändert die Bestellung. Bis ein Mitarbeiter die Abweichung bemerkt, sind E-Mails verschickt, Daten übertragen und vertraglich relevante Erklärungen abgegeben.
Das Szenario ist konstruiert, technisch aber realistisch. Es zeigt den entscheidenden Unterschied zwischen den vertrauten KI-Assistenten und einer neuen Generation von Systemen. Ein Assistent erstellt Inhalte, beantwortet Fragen oder bereitet Entscheidungen vor. Ein Agent kann auf Grundlage eines vorgegebenen Ziels selbst bestimmen, welche Zwischenschritte erforderlich sind, welche Informationsquellen er nutzt und welche Handlungen er ausführt. Aus einem System, das Texte produziert, wird ein System, das in Geschäftsprozesse eingreift.
Genau darin liegt der wirtschaftliche Reiz. Unternehmen können nicht mehr nur einzelne Tätigkeiten beschleunigen, sondern ganze Arbeitsabläufe an KI-gestützte Systeme delegieren. Gleichzeitig wird aus einem falschen Ergebnis leichter eine Kette falscher Handlungen. Je mehr Zugriffsrechte, Werkzeuge und Entscheidungsspielräume ein Agent erhält, desto größer wird die mögliche Wirkung eines Irrtums, einer unklaren Anweisung oder eines gezielten Angriffs.
Ein Begriff mit großer Spannweite
Der Begriff KI-Agent wird derzeit großzügig verwendet. Manche Anbieter bezeichnen bereits einen Chatbot mit Zugriff auf eine Wissensdatenbank als Agenten. Andere reservieren den Ausdruck für Systeme, die über längere Zeiträume selbstständig arbeiten, mehrere Anwendungen bedienen und ihre Vorgehensweise an neue Situationen anpassen. Eine allgemein verbindliche Definition hat sich bislang nicht durchgesetzt.
Die OECD beschreibt KI-Agenten als Systeme, die mit einem gewissen Grad an Autonomie Ziele verfolgen, ihre Umgebung wahrnehmen und mithilfe geeigneter Werkzeuge auf sie einwirken. Der KI-Anbieter Anthropic unterscheidet zwischen fest vorgegebenen Workflows und echten Agenten. In einem Workflow werden Sprachmodell und Werkzeuge entlang programmierter Pfade eingesetzt. Ein Agent entscheidet dagegen dynamisch, wie er eine Aufgabe bearbeitet und welche Werkzeuge er dafür benötigt. Die spanische Datenschutzaufsicht AEPD spricht treffend von einer technologischen Grauzone, in der die Übergänge zwischen Sprachmodell, generativer KI, Automatisierung und Agentensystem fließend sind.
Für den Unternehmenseinsatz lässt sich der Begriff dennoch praktikabel eingrenzen. Ein moderner KI-Agent ist ein Softwaresystem, das ein vorgegebenes Ziel in Teilaufgaben zerlegt, Informationen beschafft, Werkzeuge auswählt, Zwischenergebnisse bewertet und innerhalb eingeräumter Grenzen Handlungen in einer digitalen oder physischen Umgebung ausführt. Viele heutige Agenten basieren auf großen Sprachmodellen. Die agentische Eigenschaft entsteht jedoch erst durch das Zusammenspiel mit Planung, Speicher, Datenquellen, Schnittstellen und Ausführungsrechten. Damit verläuft die Grenze zum KI-Assistenten nicht primär entlang der Leistungsfähigkeit des Modells. Entscheidend ist der delegierte Handlungsspielraum. Ein Assistent formuliert eine Antwort auf eine Kundenbeschwerde. Ein Agent kann die Kundenhistorie aus dem CRM abrufen, den Vorgang klassifizieren, eine Gutschrift nach vorgegebenen Regeln veranlassen, die Antwort versenden und den Fall dokumentieren. Ein Assistent schlägt einen Termin vor. Ein Agent gleicht Kalender ab, lädt Teilnehmer ein, bucht einen Raum und verschiebt bei einer Absage die übrigen Termine.
Zwischen beiden Polen liegt eine breite Palette. Viele Systeme arbeiten mit weitgehend festen Abläufen und nutzen KI nur an bestimmten Stellen zur Klassifikation, Zusammenfassung oder Formulierung. Andere erhalten ein offenes Ziel und bestimmen den Weg dorthin selbst. Hinzu kommen Multi-Agenten-Systeme, in denen spezialisierte Agenten unterschiedliche Rollen übernehmen. Ein Agent plant, mehrere andere recherchieren oder analysieren, ein weiterer prüft die Resultate, während ein übergeordnetes System die Ergebnisse zusammenführt.
Diese Unterscheidung ist mehr als technologische Begriffsarbeit. Sie bestimmt, wie vorhersehbar ein System bleibt, welche Kontrollen erforderlich sind und welche rechtlichen Folgen sein Einsatz haben kann. Ein fest programmierter Workflow lässt sich Schritt für Schritt testen. Bei einem Agenten sollte zusätzlich überprüft werden, ob er auch in unerwarteten Situationen angemessen handelt.
Vom Sprachmodell zum handelnden System
Ein KI-Agent arbeitet typischerweise in einer Rückkopplungsschleife. Das Sprachmodell interpretiert zunächst Ziel, Rahmenbedingungen und verfügbaren Kontext. Anschließend entwirft das System einen Plan oder bestimmt den nächsten sinnvollen Arbeitsschritt. Es ruft eine Datenquelle auf, durchsucht eine Datei, startet ein Programm oder nutzt eine Schnittstelle zu einer anderen Anwendung. Danach bewertet es das Ergebnis, korrigiert gegebenenfalls seine Vorgehensweise und setzt die Arbeit fort.
Dieser Ablauf kann nur wenige Sekunden oder mehrere Stunden dauern. Fortgeschrittene Systeme unterbrechen ihre Arbeit, wenn Informationen fehlen, ein Widerspruch auftaucht oder eine menschliche Freigabe erforderlich ist. Andere arbeiten weiter, bis sie ihr Ziel erreicht haben, ein Kosten- oder Zeitlimit überschreiten oder technisch nicht mehr vorankommen.
Neben dem zugrunde liegenden Modell prägen vor allem drei Komponenten das Verhalten. Werkzeuge eröffnen den Zugriff auf Anwendungen und Daten. Der Speicher hält Informationen über frühere Schritte, Nutzerpräferenzen oder bereits bearbeitete Fälle fest. Die Orchestrierung legt fest, wie Aufgaben zerlegt, Zuständigkeiten verteilt und Ergebnisse bewertet werden. Werkzeuge können vergleichsweise harmlos sein, etwa eine Suchfunktion oder ein Taschenrechner. Sie können aber auch E-Mails versenden, Dateien verändern, Programme ausführen, Zahlungen vorbereiten oder Maschinen steuern. Moderne Schnittstellenstandards erleichtern es, Agenten mit einer wachsenden Zahl solcher Dienste zu verbinden. Was technisch Integration schafft, vergrößert zugleich die Angriffs- und Fehlerfläche.
Auch das Gedächtnis ist ambivalent. Ein Agent, der frühere Vorgänge kennt, kann konsistenter und stärker an den Bedürfnissen eines Unternehmens arbeiten. Er muss nicht bei jedem Auftrag neu über Zuständigkeiten, Schreibweisen, Produktportfolios oder interne Richtlinien informiert werden. Dauerhafte Erinnerung führt jedoch dazu, dass Informationen aus verschiedenen Aufgaben, Kundenbeziehungen oder Abteilungen zusammenfließen können. Falsch gespeicherte Daten wirken auf spätere Entscheidungen ein. Sensible Inhalte bleiben womöglich länger erhalten, als es der ursprüngliche Zweck rechtfertigt.
Die technische Architektur bestimmt deshalb stärker als das Etikett des Produkts, wie leistungsfähig und riskant ein Agent ist. Ein kleineres Modell mit weitreichenden Berechtigungen kann größere Schäden verursachen als ein leistungsfähiges Modell, das ausschließlich in einer abgeschotteten Testumgebung arbeitet.
Gute Agenten brauchen gute Prozesse
Der erfolgreiche Einsatz beginnt nicht mit der Auswahl des eindrucksvollsten Modells. Er beginnt mit einem geeigneten Geschäftsprozess. Klar strukturierte, häufig wiederkehrende Aufgaben lassen sich oft zuverlässiger mit klassischen Automatisierungen oder festen KI-Workflows bewältigen. Agenten spielen ihre Stärke dort aus, wo der Lösungsweg nicht vollständig vorab definiert werden kann, Informationen aus unterschiedlichen Quellen zusammengetragen werden müssen und auf Veränderungen flexibel reagiert werden soll.
Diese Flexibilität hat ihren Preis. Agentische Systeme benötigen mehr Rechenleistung, mehr Zeit und mehr Überwachung. Mit jedem zusätzlichen Arbeitsschritt steigt die Wahrscheinlichkeit, dass sich ein Fehler fortsetzt oder verstärkt. Ein Agent kann eine falsche Annahme zur Grundlage der weiteren Recherche machen, eine ungeeignete Datenquelle auswählen oder ein korrektes Zwischenergebnis fehlerhaft interpretieren. Ohne klare Prüfkriterien erkennt er nicht zuverlässig, wann eine Aufgabe tatsächlich abgeschlossen ist.
Aus der praktischen Arbeit mit Agentensystemen leitet Anthropic deshalb eine bemerkenswert zurückhaltende Empfehlung ab: Unternehmen sollten mit der einfachsten geeigneten Lösung beginnen und zusätzliche Autonomie erst einsetzen, wenn die Aufgabe sie wirklich erfordert. Für vorhersehbare Abläufe bieten Workflows mehr Konsistenz. Agenten eignen sich für offenere Probleme, bei denen die Vorteile selbstständiger Planung den zusätzlichen Aufwand und die geringere Vorhersagbarkeit rechtfertigen.
Der Anwender bleibt dabei Architekt der Aufgabe. Er sollte das gewünschte Ergebnis so konkret beschreiben, dass sich Erfolg und Misserfolg unterscheiden lassen. Zugleich braucht der Agent Grenzen, innerhalb derer er handeln darf. Dazu gehören verlässliche Quellen, erlaubte Werkzeuge, maximale Budgets, Laufzeitbeschränkungen und Eskalationsregeln. Besonders folgenreiche Handlungen benötigen Kontrollpunkte, an denen ein Mensch prüft und freigibt. Ein pauschaler Auftrag wie „Optimiere unseren Einkauf“ überlässt dem System zu viel Interpretationsspielraum. Eine belastbare Aufgabenbeschreibung benennt Produktkategorie, Qualitätsanforderungen, Lieferfristen, zulässige Lieferanten, Budget, Bewertungsmaßstab und die Vorgänge, die nicht automatisiert werden dürfen. Sie legt zudem fest, welche Informationen verbindlich sind und wie mit widersprüchlichen Daten umzugehen ist.
Auch ein sorgfältig formulierter Prompt ersetzt keine Prozessgestaltung. Die Leistungsfähigkeit entsteht erst durch geeignete Daten, klar beschriebene Werkzeuge, durchdachte Berechtigungen und überprüfbare Qualitätskriterien. Unternehmen müssen vor dem produktiven Einsatz typische Fälle, Grenzsituationen und gezielte Manipulationsversuche testen. Im laufenden Betrieb kommt es darauf an, Abweichungen zu erkennen, Handlungen zu protokollieren und Änderungen an Modell, Werkzeugen oder Datenquellen kontrolliert einzuspielen.
Das verändert zugleich die Rolle der Beschäftigten. Wer einen Agenten beaufsichtigt, benötigt nicht nur Fachwissen über den zugrunde liegenden Geschäftsprozess. Es gilt zu verstehen, wie das System Informationen auswählt, welche Unsicherheiten bestehen und an welchen Stellen ein Eingriff erforderlich ist. Eine Freigabeschaltfläche allein schafft noch keine wirksame menschliche Kontrolle. Wer Vorschläge routinemäßig bestätigt, ohne sie fachlich beurteilen zu können, verwandelt die Aufsicht in ein formales Ritual.
Autonomes System, menschliche Verantwortung
Rechtlich bleibt der Agent ein Werkzeug. Er ist weder natürliche noch juristische Person, kann keine eigene Willenserklärung im rechtlichen Sinne abgeben und besitzt keine Haftungsmasse. Rechte und Pflichten entstehen weiterhin bei den Menschen und Organisationen, die das System entwickeln, anbieten, einsetzen oder für konkrete Aufgaben konfigurieren.
Der EU AI Act schafft für KI-Agenten keine eigene regulatorische Kategorie. Der offizielle AI Act Service Desk der Europäischen Kommission stellt ausdrücklich klar, dass die allgemeinen Definitionen des KI-Systems und des Modells mit allgemeinem Verwendungszweck ausreichen, um Agenten zu erfassen. Welche Pflichten gelten, hängt vom Verwendungszweck, der Risikoklasse und der Rolle des jeweiligen Unternehmens ab.
Ein Unternehmen, das ein fremdes Agentensystem unter eigener Verantwortung einsetzt, ist regelmäßig Betreiber, im englischen Verordnungstext „Deployer“. Entwickelt es das System selbst oder lässt es dieses im eigenen Namen entwickeln, kann es zugleich Anbieter sein. Auch eine nachträgliche Rollenverschiebung ist möglich. Wer ein Hochrisikosystem unter eigenem Namen vermarktet, wesentlich verändert oder für einen neuen Hochrisikozweck einsetzt, kann nach Artikel 25 des AI Act selbst in die Anbieterrolle geraten.
Die Risikoklasse richtet sich nicht nach der Bezeichnung als Agent. Maßgeblich bleibt sein konkreter Einsatz. Ein System zur Beobachtung allgemeiner Marktdaten unterliegt anderen Anforderungen als ein Agent, der Bewerbungen bewertet, Kreditentscheidungen vorbereitet oder über den Zugang zu wesentlichen privaten oder öffentlichen Leistungen mitentscheidet. Agenten können zudem Funktionen verbinden, die einzeln unterschiedlichen Risikoklassen angehören. Unternehmen müssen daher den gesamten Prozess und nicht nur das zugrunde liegende Modell bewerten.
Nach dem im Juli 2026 in Kraft getretenen AI Omnibus gelten die umfassenden Vorgaben für Hochrisikosysteme des Anhangs III ab dem 2. Dezember 2027. Für KI-Systeme, die als Sicherheitskomponenten in regulierte Produkte integriert sind, beginnt die Anwendung am 2. August 2028. Andere Teile der Verordnung greifen bereits. Dazu gehören die Verbote bestimmter Praktiken, die Verpflichtung zu Maßnahmen für KI-Kompetenz sowie seit August 2026 verschiedene Transparenzanforderungen und die Durchsetzungsbefugnisse der Behörden.
Bei direkter Interaktion müssen Menschen grundsätzlich erkennen können, dass sie es mit einem KI-System zu tun haben, sofern dies nicht ohnehin offensichtlich ist. Das betrifft insbesondere Agenten im Kundenservice, in der Beratung oder in digitalen Portalen. Unternehmen müssen außerdem dafür sorgen, dass die mit den Systemen befassten Beschäftigten angemessen qualifiziert werden. Ein einheitlich vorgeschriebenes Schulungsniveau gibt es nicht. Umfang und Inhalt müssen sich an Kenntnissen, Einsatzkontext und Risiken orientieren. Verstöße können empfindliche Sanktionen auslösen. Für verbotene Praktiken sieht der AI Act Bußgelder von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes vor. Bei anderen Pflichten können bis zu 15 Millionen Euro oder drei Prozent des Jahresumsatzes erreicht werden. Für kleine und mittlere Unternehmen gelten bei den Höchstgrenzen besondere Regelungen. Die Sanktionen des AI Act treten neben mögliche Ansprüche aus anderen Rechtsgebieten.
Komplexer ist die zivilrechtliche Zurechnung. Bei herkömmlichen Computererklärungen geht die Rechtsordnung davon aus, dass eine automatisiert erzeugte Erklärung demjenigen zugerechnet wird, der das System dafür in Betrieb genommen hat. Der Betreiber eines Warenautomaten kann sich schließlich nicht darauf berufen, der Automat habe den Vertrag geschlossen.
Bei generativen Agenten ist der konkrete Inhalt einer Erklärung nicht mehr vollständig vorprogrammiert. Das System wählt Parameter, vergleicht Möglichkeiten und kann seine Vorgehensweise an neue Informationen anpassen. In der Rechtswissenschaft wird deshalb diskutiert, ob die etablierten Regeln für Computererklärungen ausreichen oder weiterentwickelt werden müssen. Eine gefestigte höchstrichterliche Rechtsprechung zu heutigen generativen Agentensystemen existiert bislang nicht.
Für Unternehmen wäre es dennoch riskant, aus dieser dogmatischen Unsicherheit auf eine fehlende Bindung zu schließen. Wer einen Agenten mit einem geschäftlichen Account, einem Budget und der technischen Möglichkeit zum Vertragsschluss ausstattet, setzt ihn bewusst im eigenen Organisations- und Verantwortungsbereich ein. Geschäftspartner dürfen in vielen Konstellationen darauf vertrauen, dass das System innerhalb der ihm eingeräumten Befugnisse handelt. Interne Beschränkungen, die nach außen nicht erkennbar sind, lösen dieses Problem nicht zuverlässig.
Neben der möglichen vertraglichen Bindung kommen Schadensersatzansprüche wegen Pflichtverletzungen, Organisationsverschulden oder Verletzungen geschützter Rechte in Betracht. Ein Arbeitgeber bleibt für einen diskriminierenden Auswahlprozess verantwortlich, auch wenn ein Agent Bewerber bewertet oder aussortiert hat. Ein Unternehmen haftet gegenüber Kunden nicht weniger, weil eine fehlerhafte Auskunft automatisiert erzeugt und versendet wurde. Verträge mit dem Anbieter oder Integrator können Regress und Risikoverteilung regeln, beseitigen aber nicht automatisch die Verantwortung gegenüber Betroffenen und Geschäftspartnern.
Der AI Act schafft dabei kein umfassendes zivilrechtliches Haftungssystem. Der gesonderte Vorschlag für eine europäische KI-Haftungsrichtlinie wurde 2025 zurückgezogen. Parallel wird das Produkthaftungsrecht modernisiert. Die neue EU-Produkthaftungsrichtlinie erfasst Software und KI ausdrücklich als Produkte und erleichtert Geschädigten unter bestimmten Voraussetzungen die Beweisführung.
Das deutsche Umsetzungsgesetz befindet sich im August 2026 noch im parlamentarischen Verfahren und soll für Produkte gelten, die ab dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden. Diese verschuldensunabhängige Produkthaftung richtet sich vor allem an Hersteller und weitere Akteure der Lieferkette. Sie ersetzt weder die vertragliche Verantwortung des Anwenders noch die regulatorischen Pflichten des Betreibers.
Der Agent als Datenreisender
Datenschutzrechtlich beginnt die Analyse nicht beim Modell, sondern beim gesamten Verarbeitungsvorgang. Die DSGVO enthält keine Sonderregeln für KI-Agenten. Sie erfasst jedoch jeden Zugriff, jede Zusammenführung, Übermittlung, Speicherung und Auswertung personenbezogener Daten, die der Agent im Verlauf seiner Arbeit vornimmt. Gerade die Fähigkeit, selbstständig unterschiedliche Dienste und Datenquellen aufzurufen, macht Agenten zu einer besonderen Herausforderung. Sie können zusätzliche Informationen über Kunden, Beschäftigte oder Geschäftspartner beschaffen, neue Empfänger einbeziehen und Daten für Zwischenschritte verarbeiten, die bei der ursprünglichen Gestaltung des Prozesses nicht vorgesehen waren. Neben dem Agentenanbieter können Betreiber von Sprachmodellen, Cloudplattformen, Suchdiensten, Datenbanken und Fachanwendungen beteiligt sein.
Die spanische Datenschutzbehörde AEPD hat diesen Fragen im Februar 2026 einen 71-seitigen Leitfaden gewidmet. Sie warnt unter anderem vor zu weit gefassten Zugriffsrechten, neuen Verarbeitungszwecken, zusätzlichen Profilen und einer Speicherung personenbezogener Daten in Arbeitsgedächtnis, Langzeitgedächtnis und Protokollen. Auch Informationen über die Beschäftigten, die den Agenten bedienen, können erfasst und ausgewertet werden.
Datenschutzrechtlich Verantwortlicher bleibt, wer über Zwecke und wesentliche Mittel der Verarbeitung entscheidet. Der Einsatz eines externen Agentendienstes ändert daran grundsätzlich nichts. Je nach Ausgestaltung kann der Anbieter Auftragsverarbeiter, gemeinsam Verantwortlicher oder eigenständig Verantwortlicher für bestimmte zusätzliche Verarbeitungen sein. Diese Rollen lassen sich nicht allein durch eine Bezeichnung im Vertrag festlegen. Entscheidend sind die tatsächlichen Zwecke, Einflussmöglichkeiten und Datenflüsse.
Vor der Einführung muss ein Unternehmen deshalb nachvollziehen können, welche Informationen der Agent in jeder Phase verarbeitet, welche externen Dienste er aufruft und wo Daten gespeichert werden. Es muss prüfen, ob eine tragfähige Rechtsgrundlage besteht, ob die Verarbeitung mit dem ursprünglichen Zweck vereinbar ist und ob die Daten auf das notwendige Maß begrenzt bleiben. Werden besondere Kategorien personenbezogener Daten verarbeitet, gelten zusätzliche Voraussetzungen. Bei Dienstleistern außerhalb des Europäischen Wirtschaftsraums kommen die Regeln für internationale Datentransfers hinzu.
Ein Agent darf nicht vorsorglich auf alle verfügbaren Informationen zugreifen, nur weil sie bei der Lösung einer Aufgabe hilfreich sein könnten. Datenschutz durch Technikgestaltung verlangt, die Zugriffsrechte von Beginn an zu beschränken. Wenn zur Prüfung einer einzelnen Einladung lediglich festgestellt werden muss, ob ein Name auf einer Gästeliste steht, muss der Agent nicht zwangsläufig die vollständige Liste abrufen und speichern. Technisch sollte die Abfrage auf die benötigte Information begrenzt werden.
Besondere Aufmerksamkeit verlangt das Gedächtnis. Dauerhafte Erinnerung kann die Qualität verbessern, steht aber in einem Spannungsverhältnis zu Zweckbindung, Datenminimierung und Speicherbegrenzung. Daten verschiedener Kunden, Mandanten oder Abteilungen müssen getrennt bleiben. Aufbewahrungsfristen dürfen sich nicht allein danach richten, wie lange eine Information für den Agenten nützlich sein könnte. Auch Auskunft, Berichtigung und Löschung müssen technisch möglich bleiben, wenn personenbezogene Daten in Agentengedächtnissen und Protokollen abgelegt werden.
Protokollierung ist zugleich unverzichtbar. Ohne belastbare Logs lässt sich kaum feststellen, welche Quellen ein Agent genutzt, welche Daten er übertragen und welche Handlungen er ausgeführt hat. Unternehmen müssen daher zwischen zu geringer Nachvollziehbarkeit und übermäßiger Vorratsspeicherung austarieren. Sinnvoll sind zweckgebundene, zugriffsgeschützte und zeitlich begrenzte Protokolle, die relevante Aktionen dokumentieren, ohne jedes Detail dauerhaft zu archivieren.
Nicht jede automatisierte Tätigkeit eines Agenten fällt unter Artikel 22 DSGVO. Die Vorschrift greift, wenn eine Entscheidung ausschließlich auf automatisierter Verarbeitung beruht und rechtliche oder ähnlich erhebliche Auswirkungen auf eine Person hat. Das kann bei Kredit, Versicherung, Beschäftigung, Vertragsabschluss oder Zugang zu wesentlichen Leistungen der Fall sein. Dann gelten enge Voraussetzungen und zusätzliche Schutzrechte, darunter je nach Rechtsgrundlage das Recht auf menschliches Eingreifen und die Möglichkeit, den eigenen Standpunkt darzulegen und die Entscheidung anzufechten.
Der Europäische Gerichtshof hat den Anwendungsbereich in seiner SCHUFA-Entscheidung weit ausgelegt. Auch ein automatisch erzeugter Score kann bereits als Entscheidung gelten, wenn sich die anschließend handelnde Stelle maßgeblich darauf stützt. Im Verfahren Dun & Bradstreet stellte der Gerichtshof zudem klar, dass Betroffene eine verständliche Erläuterung erhalten müssen, wie ihre Daten zum konkreten Ergebnis beigetragen haben. Weder ein abstrakter Hinweis auf das Verfahren noch die bloße Offenlegung einer mathematischen Formel genügt. Auch Geschäftsgeheimnisse schließen Transparenz nicht pauschal aus.
Eine Datenschutz-Folgenabschätzung ist nicht allein deshalb zwingend, weil ein Agent eingesetzt wird. Sie wird jedoch erforderlich, wenn die geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen erzeugt. Umfangreiche Profilbildung, sensible Daten, Beschäftigtenüberwachung, besonders schutzbedürftige Personen und weitreichende automatisierte Entscheidungen sind gewichtige Indikatoren. Bei bereits bestehenden Folgenabschätzungen sollte geprüft werden, ob die zusätzliche Autonomie, neue Datenquellen oder weitere Empfänger eine Aktualisierung verlangen.
Wenn Informationen zu Befehlen werden
Agenten übernehmen die bekannten Risiken großer Sprachmodelle und erweitern sie um die Fähigkeit, selbstständig zu handeln. Besonders deutlich zeigt sich das bei der Prompt Injection. Angreifer platzieren dabei Anweisungen in Inhalten, die das Modell eigentlich nur auswerten soll. Solche Anweisungen können in einer E-Mail, einer Webseite, einem PDF-Dokument oder den Metadaten einer Datei verborgen sein. Für einen gewöhnlichen Chatbot kann ein erfolgreicher Angriff zu einer falschen Antwort führen. Ein Agent mit Zugriff auf interne Systeme kann dagegen Daten abrufen, Nachrichten versenden, Dateien verändern oder Programme ausführen. Das Risiko entsteht durch die Verbindung von unkontrollierten Informationen mit sensiblen Daten und wirksamen Handlungsrechten.
Die nationalen Cybersicherheitsbehörden der USA, Großbritanniens, Australiens, Kanadas und Neuseelands haben deshalb im Frühjahr 2026 gemeinsam vor einer übereilten Einführung agentischer Systeme gewarnt. Ihr Leitfaden empfiehlt, Agenten niemals breite oder unbeschränkte Zugriffe auf sensible Daten und kritische Systeme zu gewähren. Die Einführung soll schrittweise erfolgen und zunächst auf klar begrenzte, risikoarme Aufgaben konzentriert werden.
Technisch gilt das Prinzip der geringsten Berechtigung. Ein Agent erhält nur die Rechte, die er für die jeweilige Aufgabe benötigt, und nur so lange, wie sie benötigt werden. Lesender und schreibender Zugriff müssen getrennt werden. Hoch privilegierte Handlungen verlangen eine zusätzliche Authentifizierung oder menschliche Freigabe. Werkzeuge und externe Dienste sollten über Positivlisten zugelassen und in abgeschotteten Umgebungen getestet werden.
Sicherheitskritische Regeln dürfen nicht ausschließlich in einem Systemprompt stehen. Ein Sprachmodell kann Anweisungen missverstehen, gegeneinander abwägen oder unter dem Einfluss manipulierter Inhalte umgehen. Zugriffskontrollen, Budgetgrenzen, erlaubte Dateipfade und Transaktionslimits müssen außerhalb des Modells technisch durchgesetzt werden. Ebenso wichtig sind Begrenzungen für die Zahl der Arbeitsschritte und Wiederholungen. Andernfalls kann ein Agent in Schleifen geraten, unkontrollierte Kosten erzeugen oder denselben Fehler in großer Zahl wiederholen.
Mit der Verbreitung von Agenten wächst außerdem die Zahl nichtmenschlicher Identitäten. Jeder Agent und jeder angebundene Dienst benötigt eigene Zugangsrechte, Schlüssel oder Tokens. Werden diese Identitäten nicht zentral erfasst, zeitlich begrenzt und überwacht, entsteht eine schwer kontrollierbare Schattenstruktur privilegierter Konten. Ein kompromittierter Agent kann dann zum Sprungbrett zwischen Anwendungen werden.
Autonomie braucht belastbare Grenzen
Die weitere Entwicklung führt zu Systemen, die länger arbeiten, mehr Werkzeuge verwenden und Aufgaben an andere Agenten delegieren. In Multi-Agenten-Architekturen übernimmt ein System die Planung, während spezialisierte Agenten recherchieren, programmieren, analysieren oder prüfen. Weitere Agenten können Transaktionen ausführen oder mit Systemen anderer Unternehmen kommunizieren.
Solche Strukturen versprechen erhebliche Produktivitätsgewinne. Sie können umfangreiche Marktanalysen erstellen, Software entwickeln, Lieferketten überwachen oder komplexe Verwaltungsprozesse bearbeiten. Gleichzeitig wird es schwieriger, eine einzelne Handlung auf einen bestimmten Auslöser zurückzuführen. Informationen wandern durch mehrere Modelle, Speicher und Dienste. Fehler und manipulierte Eingaben können sich von einem Agenten auf andere übertragen.
Die Europäische Kommission sieht in agentischer KI einen möglichen Übergang von isolierten Automatisierungen zu koordinierten, zielorientierten Systemen. Ihr Bericht zur europäischen Agentenlandschaft nennt jedoch verschwimmende Verantwortlichkeiten, technologische Abhängigkeiten und fehlende Referenzfälle als wesentliche Hindernisse für eine breite Einführung. Als Voraussetzung nennt er überprüfbare Kontrollpunkte, kontinuierliche Nachvollziehbarkeit und wirksame menschliche Aufsicht.
Für die betriebliche Bewertung reicht ein allgemeines Etikett wie „Human in the Loop“ nicht aus. Die erforderliche Kontrolle hängt von Datenzugriff, Handlungsmacht, Geschwindigkeit, Reichweite und Reversibilität ab. Ein Agent, der einen internen Bericht entwirft, kann weitgehend selbstständig arbeiten. Beim Versand an externe Empfänger steigt der Kontrollbedarf. Bestellungen, Zahlungen, Vertragsänderungen, Veröffentlichungen, Personalentscheidungen und Löschvorgänge verlangen deutlich engere Grenzen. Menschliche Aufsicht bleibt nur wirksam, wenn der zuständige Mitarbeiter über ausreichende Informationen, Fachkenntnisse, Zeit und Eingriffsmöglichkeiten verfügt. Er sollte erkennen können, welche Handlung bevorsteht, auf welchen Daten sie beruht und welche Folgen sie auslöst. Ebenso sollte er die Ausführung stoppen und bereits erfolgte Schritte soweit möglich rückgängig machen können.
Besonders kritisch wird ein Agent, wenn mehrere Risikofaktoren zusammentreffen: Er verarbeitet unkontrollierte Informationen aus offenen Quellen, verfügt zugleich über sensible interne Daten und kann ohne Freigabe nach außen handeln. Ähnliches gilt für Systeme mit dauerhaftem Gedächtnis, weitreichenden Konten und der Fähigkeit, weitere Agenten zu beauftragen. In solchen Konstellationen wächst die mögliche Wirkung schneller als die menschliche Kontrollfähigkeit. Die wirtschaftliche Nutzung von KI-Agenten verlangt deshalb keine pauschale Ablehnung autonomer Systeme. Sie verlangt eine präzise Zuordnung von Aufgaben, Rechten und Verantwortung. Autonomie sollte nur dort eingeräumt werden, wo sie einen nachvollziehbaren Mehrwert schafft und durch technische sowie organisatorische Kontrollen beherrschbar bleibt.
Das Problem liegt nicht in einer geheimnisvollen Eigenmächtigkeit der Maschine, sondern in weit gefassten Zielen: Und wenn KI-Agenten mit dem Zugang zu unkontrollierten Informationen sowie internen Daten auch die Befugnis zu extern wirksamen Handlungen erhalten. Unternehmen führen damit leichtfertig mehrere Schutzschichten in einem einzigen probabilistischen System zusammen. KI-Agenten können und werden zu leistungsfähigen Bausteinen digitaler Geschäftsprozesse werden. Sie übernehmen jedoch keine Verantwortung für die Ziele, die ihnen gesetzt werden, für die Daten, die sie verarbeiten, oder für die Folgen ihrer Handlungen. Diese Verantwortung bleibt bei den Organisationen und Menschen, die ihnen Handlungsmacht übertragen. KI Governance ist deshalb für alle Unternehmen eine wichtige Aufgabe, nicht nur für Großkonzerne. Und sie kann zum Wettbewerbsvorteil werden, jenseits rechtlicher und regulativer Pflichten und Auflagen. ■
#kiagenten #künstlicheintelligenz #agenticai #kiimunternehmen #kigovernance #kicompliance #aiact #euaiact #datenschutz #dsgvo #kiregulierung #kirecht #kiautomatisierung #kiautonomie #kiassistenten #multiagentensysteme #promptinjection #cybersicherheit #itsicherheit #datensicherheit #humanintheloop #kiverantwortung #kihaftung #datenschutzfolgenabschätzung #automatisierteentscheidungen #kikompetenz #kirisikomanagement #kigeschäftsprozesse #kigovernance #digitaletransformation
