Was ist ein KI-Agent? Definition, Abgrenzung und die Bedingungen für den Einsatz im Industriebetrieb

Der Begriff fällt inzwischen in jedem zweiten Anbietergespräch.

Manchmal meint er einen Chatbot mit ein paar zusätzlichen Funktionen. Manchmal eine Software, die eigenständig in Ihrem ERP bucht. Manchmal nur ein Produktversprechen.

Diese Unschärfe ist kein sprachliches Problem, sondern ein praktisches. Solange unklar ist, was ein KI-Agent eigentlich ist, lassen sich drei Fragen nicht beantworten. Betrifft das Thema den eigenen Betrieb? Was fragt man einen Anbieter? Wer verantwortet es, wenn etwas schiefgeht?

An manchen Stellen ist die Faktenlage dünner, als die Marktkommunikation vermuten lässt. Auch das steht hier.

Was ist ein KI-Agent?

Ein KI-Agent ist ein softwarebasiertes System, das Informationen aus seiner Umgebung aufnimmt, Entscheidungen innerhalb definierter Leitplanken trifft und Aktionen in angebundenen Systemen ausführt. Der Unterschied zu einem reinen Sprachmodell liegt nicht in der Intelligenz, sondern in der Handlungsfähigkeit. Ein KI-Agent gibt nicht nur Text aus, er verändert Zustände in Systemen.

Leitplanken sind die vorab festgelegten Grenzen, innerhalb derer ein KI-Agent selbst entscheiden darf. Sie legen fest, welche Systeme er ansprechen kann, welche Werte er nicht überschreiten darf und ab welchem Punkt er an einen Menschen übergeben muss.

Das Bundesamt für Sicherheit in der Informationstechnik beschreibt einen KI-Agenten als „ein unter Umständen mit mehr Zugriffsrechten angereichertes Software-System, das auf Basis von Eingaben in einem sogenannten Großen Sprachmodell eigenständig Aktionen ausführt". Entscheidend ist der Zusatz des BSI: Der Agent nutzt dafür „Schnittstellen zu anderen Programmen und dem Internet, um ans Ziel zu gelangen".

Der Ablauf ist immer derselbe. Der KI-Agent nimmt Informationen aus seiner Umgebung auf, leitet daraus einen nächsten Schritt ab und führt eine Handlung in dieser Umgebung aus. Dieses Schlussfolgern über mehrere Schritte ist der Grund, warum KI-Agenten komplexe Aufgaben übernehmen können, die sich nicht in einer einzigen Anfrage erledigen lassen. Ein Sprachmodell antwortet. Ein KI-Agent schlussfolgert, handelt und prüft das Ergebnis. Dieses Schlussfolgern ist kein Denken, sondern das Ableiten eines nächsten Schritts aus dem, was er in seiner Umgebung vorfindet.

Ein KI-Agent bekommt keine Arbeitsanweisung, sondern Ziele. Den Weg, diese Ziele zu erreichen, sucht er selbst. Genau darin liegt der Nutzen, und genau daraus entstehen die Fragen, die weiter unten behandelt werden.

Der Begriff ist älter als der Hype

Was in der Marktkommunikation seit 2025 als Neuheit auftritt, ist in der Informatik seit Jahrzehnten definiert. In der Standardliteratur von Stuart Russell und Peter Norvig ist ein Agent schlicht etwas, das seine Umgebung durch Sensoren wahrnimmt und darin durch Aktuatoren handelt. Diese Definition findet sich unverändert in der deutschsprachigen Hochschullehre, etwa in der Einführungsvorlesung zur Künstlichen Intelligenz an der Universität zu Lübeck.

Für Industrieunternehmen ist die Kontinuität sogar noch enger. Agentensysteme sind in der Automatisierungstechnik ein etabliertes Feld. Der VDI führt dazu seit Langem eine eigene Richtlinienreihe: VDI/VDE 2653 „Agentensysteme in der Automatisierungstechnik", in fünf Blättern von den Grundlagen bis zu Metriken.

Neu ist nicht das Konzept, sondern die Umsetzung. Große Sprachmodelle übernehmen heute, was früher aufwendig ausprogrammiert werden musste: unstrukturierte Informationen zu interpretieren und daraus einen nächsten Schritt abzuleiten.

Diese Einordnung ist mehr als eine begriffliche Fußnote. Wer versteht, dass KI-Agenten eine alte Architekturidee mit neuer Entscheidungskomponente sind, bewertet Anbieterversprechen anders.

Gebräuchliche Namen für dieselbe Sache: KI-Agent, KI-Agenten, LLM-Agenten, intelligenter Agent. Im Englischen heißen sie AI Agent, im Plural AI Agents oder verkürzt Agents, die Systemklasse insgesamt heißt Agentic AI. Der weiter gefasste Oberbegriff aus der Informatik lautet Software-Agent, in der Automatisierungstechnik spricht man von Agententechnologie.

Wer in Ausschreibungen oder Anbieterunterlagen sucht, findet dieselbe Sache unter all diesen Namen, auf Deutsch wie auf Englisch. Für die Bewertung eines Angebots ist der Name unerheblich. Entscheidend ist, ob das Softwareprogramm dahinter eigenständig handeln darf.

Wie ein KI-Agent funktioniert: die Bausteine

Ein KI-Agent ist kein Produkt, sondern ein zusammengesetztes System. Das Fraunhofer IPA beschreibt die Architektur über sieben Komponenten. Übersetzt in Betriebssprache:

• Zielvorgabe: Welche Ziele soll der Agent erreichen, und in welcher Form liegt das Ergebnis vor?
• Sprachmodell: Das KI-Modell, das Informationen und Sprache interpretiert und den nächsten Schritt vorschlägt.
• Werkzeuge: Die Schnittstellen, über die der Agent tatsächlich etwas tut. Im Englischen heißen sie Tools. Datenbankabfrage, ERP-Buchung, Mailversand, Dateizugriff.
• Gedächtnis: Was der Agent aus vorherigen Schritten und Vorgängen behält.
• Orchestrierung: Die Ablauflogik, die festlegt, in welcher Reihenfolge gearbeitet wird und wann abgebrochen wird.
• Schnittstelle zum Menschen: Wo Freigaben eingeholt und Ergebnisse übergeben werden.
• Auswertung: Wie geprüft wird, ob das Ergebnis brauchbar ist.

Diese Komponenten greifen ineinander und ergeben zusammen die Architektur eines Agenten. Das Sprachmodell ist die Komponente, über die am meisten gesprochen wird, und diejenige, die am wenigsten über die Betriebsfähigkeit entscheidet. Ob ein KI-Agent im Alltag funktioniert, hängt an den Werkzeugen, an der Datenlage und an der Frage, wo die Freigabe des Menschen sitzt. Welche Tools angebunden sind, entscheidet über die Leistung eines Agenten mehr als die Wahl des KI-Modells. Zwei Agenten auf demselben KI-Modell können in ihrer Leistung weit auseinanderliegen, wenn der eine drei Tools hat und der andere zehn.

Für die Frage, ob ein KI-Agent im Betrieb funktioniert, sind drei dieser Bausteine entscheidend: die Werkzeuge, weil sie bestimmen, was er überhaupt verändern kann. Die Orchestrierung, weil sie festlegt, wann er aufhört. Und die Schnittstelle zum Menschen, weil dort die Verantwortung übergeben wird.

Was kein KI-Agent ist: Unterschied zu Chatbot, Copilot und RPA

Ein KI-Agent unterscheidet sich von Chatbot, Copilot, RPA und klassischer Workflow-Automatisierung an fünf Punkten. Entscheidend sind: wodurch er ausgelöst wird, wie viel er selbst entscheidet, worauf er zugreift, wie er auf Abweichungen reagiert und wie nachvollziehbar sein Handeln ist.

Ist ChatGPT ein KI-Agent?

Ein Sprachmodell allein ist kein KI-Agent. Es verarbeitet Sprache und beantwortet Anfragen, verändert aber nichts in Ihren Systemen. Zum Agenten wird es erst, wenn vier Dinge hinzukommen: eine Zielvorgabe, Zugriff auf Werkzeuge, ein Gedächtnis über mehrere Schritte und ein Handlungsspielraum in angebundenen Systemen.

Moderne Chat-Oberflächen bewegen sich teilweise bereits in diesem Bereich, weil sie im Web recherchieren, Dateien verarbeiten und Programme ansteuern können. Die Grenze ist im Alltag deshalb unscharf. Betrieblich zählt nicht das Etikett, sondern die Frage, ob das System Zustände in Ihrer Umgebung verändern kann.

Was ist der Unterschied zwischen Bot, Assistent und KI-Agent?

Bots und einfache Chatbots folgen vordefinierten Regeln. Sie beantworten Anfragen von Nutzerinnen und Nutzern nach einem festen Skript, und ihr Lernen ist eingeschränkt. Ein Bot verbessert sich nicht von selbst, sondern nur dann, wenn jemand die Regeln ändert.

KI-Assistenten gehen einen Schritt weiter. Sie verarbeiten natürliche Sprache, formulieren eigene Antworten und schlagen Handlungen vor. Ausgeführt werden diese Handlungen vom Menschen. Copilot-Produkte und vergleichbare KI-Assistenten arbeiten nach diesem Muster.

Ein KI-Agent hat dieselben sprachlichen Fähigkeiten wie ein KI-Assistent. Der Unterschied ist, dass er selbst handeln darf. Das ist die einzige Trennlinie, die betrieblich zählt.

In Anbieterunterlagen werden Chatbots, KI-Assistenten und Agenten oft in einem Atemzug genannt. Für die Bewertung eines Angebots hilft eine einzige Frage: Führt das System eine Aktion in einem Ihrer Systeme aus, oder erzeugt es nur Antworten?

Die Abgrenzung im Überblick

Das Mittelstand-Digital Zentrum Berlin unterscheidet Chatbots und Agenten entlang von vier Merkmalen. Der Chatbot reagiert auf Anfragen und folgt Skripten. Der KI-Agent übernimmt eigenständig Aufgaben, entscheidet und wird in ERP-, CRM- oder Buchhaltungssysteme eingebunden.

Für die Abgrenzung zu RPA, also Robotic Process Automation, und zu KI-Assistenten vom Typ Copilot gibt es bislang keine vergleichbar neutrale Systematik. Die folgende Übersicht ist deshalb eine eigene Einordnung, die auf der klassischen Agentendefinition und der genannten Chatbot-Systematik aufsetzt.

Die Achse Nachvollziehbarkeit ist betrieblich die wichtigste. Bei Workflow-Automatisierung, RPA, Chatbots und Assistenzsystemen ist Nachvollziehbarkeit eine Eigenschaft des Systems. Beim KI-Agenten ist sie eine Anforderung, die jemand aktiv stellen muss.

Welche Arten von KI-Agenten es gibt

Die Fachliteratur unterscheidet KI-Agenten nach der Art ihrer Entscheidungsfindung. Diese Typologie ist älter als der aktuelle Markt und hilft, Anbieterbeschreibungen einzuordnen:

1. Reflexagent: reagiert unmittelbar auf die aktuelle Wahrnehmung, ohne Vorgeschichte.
2. Modellbasierter Reflexagent: führt ein internes Modell der Umgebung mit und berücksichtigt, was er vorher gesehen hat.
3. Zielbasierter Agent: bewertet Handlungsoptionen danach, ob sie einem definierten Ziel näherkommen.
4. Nutzenbasierter Agent: wägt zwischen mehreren Zielen ab und trifft Entscheidungen zwischen ihnen, etwa Termintreue gegen Kosten.
5. Lernender Agent: passt sein Verhalten auf Basis von Rückmeldungen an.

Praktisch relevant ist vor allem die Unterscheidung zwischen zielbasiert und nutzenbasiert. Ein zielbasierter Agent verfolgt ein Ziel. Ein nutzenbasierter Agent wägt zwischen konkurrierenden Zielen ab, etwa Termintreue gegen Bestandskosten, und trifft dabei eigene Entscheidungen.

Wer wissen will, womit er es zu tun hat, kann genau danach fragen.

Der lernende Agent verdient eine eigene Einordnung, weil er regelmäßig missverstanden wird. „Lernt aus Erfahrungen" heißt nicht, dass sich ein KI-Agent im Laufe der Zeit von allein verbessert. Es heißt, dass Rückmeldungen erfasst und zur Anpassung genutzt werden.

Ohne eingerichtete Rückkopplung und ohne jemanden, der die Ergebnisse bewertet, verändert sich die Leistung eines Agenten im Laufe der Zeit nicht. Erfahrungen werden nicht automatisch zu besseren Entscheidungen. Wer diese Formulierung in einer Anbieterbeschreibung liest, sollte zwei Fragen stellen: Wer gibt die Rückmeldung, und wer gibt die Änderung frei?

Einzelagent und Multi-Agenten-System

Multi-Agenten-Systeme bestehen aus mehreren spezialisierten KI-Agenten, die über definierte Schnittstellen zusammenarbeiten. Sie koordinieren komplexe Aufgaben über Abteilungsgrenzen hinweg, die ein einzelner Agent nicht abdecken kann.

Der Reiz liegt auf der Hand: ein KI-Agent für die Bedarfsermittlung, einer für die Lieferantenkommunikation, einer für die Buchung.

Die Schwierigkeit ebenfalls. Das BSI weist auf ein Vertrauensproblem bei zusammenarbeitenden Agenten hin. Der koordinierende Agent kann nicht ohne Weiteres erkennen, ob die Ergebnisse der Unteragenten unverfälscht sind. Verlässliche technische Standards, um die Integrität solcher Systeme zu garantieren, gibt es nach Einschätzung des BSI bislang nicht.

Orchestrierung bezeichnet die übergeordnete Steuerung mehrerer KI-Agenten. Sie legt fest, welcher Agent in welcher Reihenfolge arbeitet und welche Rechte er dabei hat. Sie regelt außerdem, wann eskaliert wird und wie das Ergebnis geprüft wird.

In Multi-Agenten-Systemen übernimmt diese Rolle häufig ein eigener Agent. Solche Supervisor-Agenten verteilen Aufgaben, sammeln Ergebnisse ein und entscheiden, wann an einen Menschen übergeben wird. Genau dort sitzt das vom BSI beschriebene Vertrauensproblem: Supervisor-Agenten müssen den Ergebnissen ihrer Unteragenten vertrauen, ohne sie prüfen zu können.

Multi-Agenten-Systeme brauchen deshalb eine Plattform, auf der Rechte, Protokolle und Abbruchbedingungen zentral gesetzt werden. Ohne diese Ebene entstehen aus mehreren Softwaresystemen keine Lösungen, sondern neue Abhängigkeiten.

Mehrere KI-Agenten ohne übergeordnete Steuerung erzeugen deshalb keine höhere Automatisierung, sondern eine neue Art von Insellösung.

Wie autonom ein KI-Agent wirklich handelt

„Autonom" ist das meistgebrauchte und am wenigsten präzise Wort in diesem Themenfeld. In der Praxis ist Autonomie kein Zustand, sondern eine Einstellung, die pro Anwendungsfall festgelegt wird.

Ein verbindliches Stufenmodell für Agenten-Autonomie existiert derzeit nicht. Weder ISO noch IEC, DIN, VDI oder IEEE haben eine entsprechende Norm veröffentlicht. Was kursiert, sind Analogien einzelner Organisationen an das autonome Fahren. Die Cloud Security Alliance etwa schlägt in einem Blogbeitrag eine sechsstufige Skala in Anlehnung an SAE J3016 vor. Die höchste Stufe der vollständigen Autonomie hält sie selbst für derzeit nicht angemessen.

In der Forschung wird an einer Systematik gearbeitet. 2026 hat das Fraunhofer-Forschungs- und Innovationszentrum für Hybride Künstliche Intelligenz das Bewertungsraster „Agentic Level" vorgestellt. Es soll zwei Fragen beantworten: Gilt ein System überhaupt als KI-Agent, und welche Risiken bringt es mit? Für die Bewertung von KI-Systemen im eigenen Haus ist das der bislang konkreteste Ansatz.

Die konkrete Ausgestaltung des Rasters ist in der Studie beschrieben und öffentlich bislang nicht im Detail zugänglich.

Für die betriebliche Praxis reicht eine einfachere Einteilung. Entscheidend ist, an welcher Stelle der Mensch steht:

Welche Stufe im Einzelfall angemessen ist, ergibt sich aus den Fehlerkosten, nicht aus den technischen Fähigkeiten eines Systems. Wo eine falsche Entscheidung teuer korrigiert werden muss, ist eine menschliche Freigabe die günstigere Lösung. Stufe zwei oder drei ist deshalb in vielen industriellen Anwendungsfällen kein Übergangszustand auf dem Weg zu Stufe fünf, sondern die wirtschaftlich sinnvolle Zielstufe.

Was ein KI-Agent nicht übernehmen kann

Drei Grenzen bestehen unabhängig davon, wie weit die Technik reift.

Emotionen. KI-Agenten haben Schwierigkeiten mit komplexen menschlichen Emotionen. Sie erkennen in der Sprache Formulierungen, die auf Ärger oder Dringlichkeit hindeuten. Was in einem Gespräch zwischen Menschen tatsächlich verhandelt wird, liegt außerhalb ihrer Fähigkeiten.

Moralische Urteilsfähigkeit. KI-Agenten fehlt moralische Urteilsfähigkeit. In ethischen Situationen, in denen zwischen konkurrierenden Interessen abgewogen werden muss, liefert ein Agent eine Rechenoperation und keine Verantwortung. Wer eine Kürzung trägt oder welcher Kunde zuerst beliefert wird, entscheidet ein Mensch.

Vertrauen. Vertrauen entsteht nicht durch Fähigkeiten, sondern durch Nachvollziehbarkeit. Ein Agent, dessen Handlungen niemand prüfen kann, wird auch dann nicht akzeptiert, wenn seine Ergebnisse stimmen.

Diese drei Grenzen sind keine vorübergehenden Herausforderungen, die sich mit der nächsten Modellgeneration erledigen. Sie sind der Grund, warum die Freigabefrage eine Gestaltungsentscheidung bleibt und keine Übergangslösung ist.

Wie viele Unternehmen in Deutschland KI-Agenten einsetzen

An dieser Stelle wäre eine Zahl hilfreich. Es gibt keine.

Wie viele deutsche Industrieunternehmen KI-Agenten tatsächlich einsetzen, ist statistisch nicht erfasst. Das Statistische Bundesamt erhebt den Einsatz von KI-Technologien nur aggregiert und differenziert nicht nach Agenten. Die Bundesnetzagentur erhebt die Kategorie in ihrem Bericht zum KI-Einsatz in Unternehmen ebenfalls nicht. Auch Bitkom weist Agenten in der repräsentativen Unternehmensbefragung nicht separat aus.

Was kursiert, sind Anbieterbefragungen mit kleinen Fallzahlen, Startup-Erhebungen und internationale Studien, die auf den deutschen Mittelstand übertragen werden. Keine dieser Zahlen trägt eine Investitionsentscheidung.

Belastbar ist die Richtung, nicht die Höhe. Der VDMA sieht in seinem Positionspapier zu Industrial AI „neue Perspektiven für die Automatisierung mehrstufiger Aufgaben". Genannt werden Fehlerdiagnose, Produktionsplanung und Service.

KI-Agenten interagieren dort „eigenständig mit Maschinen- und IT-Systemen" und unterstützen Entscheidungsprozesse. Das ist eine Einordnung des Branchenverbands, keine Verbreitungsmessung.

Warum hier keine Zahl steht: Anbieterbefragungen und internationale Erhebungen wurden bewusst nicht zu einer Gesamtzahl verdichtet. Sie messen unterschiedliche Grundgesamtheiten, und eine daraus gebildete Zahl wäre genauer, als die Datenlage hergibt.

Wo KI-Agenten im Industriebetrieb ansetzen: Beispiele aus Produktion und Logistik

Im Industriebetrieb setzen KI-Agenten dort an, wo Entscheidungen heute an der Beschaffung ihrer Grundlage hängen: in Produktionsplanung, Qualitätsüberwachung, Instandhaltung, Disposition und Engineering. Die öffentlich diskutierten Beispiele stammen dagegen überwiegend aus Kundenservice, Vertrieb und Softwareentwicklung und helfen Produktions- und Logistikbetrieben wenig.

Die häufigsten Einsatzfelder außerhalb der Industrie

Drei Anwendungen werden derzeit am häufigsten genannt. Sie erklären, warum das Bild vom KI-Agenten so stark vom Kundenkontakt geprägt ist.

Kundenservice. KI-Agenten beantworten Anfragen von Kunden, greifen dabei auf deren Historie zu und bereiten eine personalisierte Unterstützung vor, statt Standardantworten auszugeben. Das ist der sichtbarste Einsatz und zugleich der, der sich auf Produktionsbetriebe am schlechtesten übertragen lässt. Für diese Zwecke sind die Fähigkeiten eines Agenten gut belegt.

Kreative Aufgaben. Für kreative Zwecke generieren KI-Agenten Inhalte und Designs. Texte für Websites, Bildentwürfe, Varianten für E-Mails an Nutzer. Auf vielen Websites stammen Produktbeschreibungen inzwischen aus solchen Werkzeugen. Der Mensch bewertet und wählt aus. Der Agent recherchiert dafür auf fremden Websites, was ihn zugleich angreifbar macht, dazu weiter unten mehr.

Softwareentwicklung und Datenanalysen. Agenten erstellen Code-Entwürfe, testen sie und bereiten Datenanalysen für Menschen auf, die damit weiterarbeiten.

Als Orientierung sind diese Beispiele brauchbar. Als Vorlage für einen Industriebetrieb sind sie es nicht. Die Datenlage ist eine andere, die Fehlerkosten sind höher, und die Freigabefrage stellt sich schärfer.

In der Produktion

Das Fraunhofer IPA beschreibt KI-Agenten, die Maschinen- und Prozessdaten überwachen, Störungen erkennen und definierte Maßnahmen anstoßen. Genannte Felder sind Produktionsplanung, Qualitätsüberwachung und assistierte Instandhaltung. Hinzu kommt das Energiemanagement, etwa bei der Analyse von Energieflüssen und der Erstellung von Berichten nach ISO 50001.

Das Muster ist in allen Fällen dasselbe: Der KI-Agent verbindet Datenquellen, die heute getrennt betrachtet werden, und bereitet eine Entscheidung vor, die sonst jemand manuell zusammensuchen müsste. Wie das in eine Gesamtarchitektur passt, ist Thema unseres Beitrags zu KI in der Produktion.

In Disposition und Logistik

Hier liegt die Stärke von KI-Agenten weniger in der Entscheidung selbst als in der Beschaffung ihrer Grundlage. Bestellstatus, Wareneingang, Buchung und Lieferantenmail liegen in verschiedenen Systemen und werden heute von erfahrenen Mitarbeitenden zusammengeführt.

Ein KI-Agent kann diesen Abgleich vorbereiten und Abweichungen melden, bevor sie zum Eskalationsfall werden. Angrenzende Anwendungsfälle beschreiben wir im Beitrag zu KI in der Logistik.

Im Engineering

Das Fraunhofer IKS beschreibt KI-Agenten, die eigenständig Teilaufgaben in Analyse, Planung und Unterstützung von Entwicklungsprozessen übernehmen. Genannt werden Fehleranalyse, Safety Engineering, Datenanalysen und die Erzeugung von Steuerungscode.

Was dagegen spricht, jetzt breit zu skalieren

Dieselbe Einschätzung des Fraunhofer IKS enthält den Vorbehalt, der in Anbieterunterlagen selten auftaucht: Viele Anwendungen liefern bislang keinen klaren wirtschaftlichen Mehrwert. Hinzu kommen offene regulatorische Fragen sowie Sicherheits- und Datenschutzrisiken.

Auch acatech ordnet agentische KI als Übergang vom reaktiven Werkzeug zum proaktiven Akteur ein und benennt dabei ausdrücklich neue Sicherheitsgefährdungen.

Hanisch-Einordnung: In gewachsenen Systemlandschaften entscheidet nicht die Fähigkeit des KI-Agenten über den Nutzen, sondern die Frage, ob Daten, Prozess und Verantwortlichkeit den Anwendungsfall tragen. Das lässt sich vorab prüfen. Es kostet weniger als ein abgebrochener Pilot.

Was ein KI-Agent braucht, bevor er produktiv geht

Bevor ein KI-Agent auf produktive Systeme zugreift, sollten vier Fragen beantwortet sein: Auftrag, Zugriff, Grenze und Nachweis. Betrieblich entscheidend ist nämlich nicht, was ein Agent kann, sondern was er darf.

1. Auftrag. Welches Ergebnis verantwortet der KI-Agent, und woran wird gemessen, ob er es liefert? Ohne Baseline gibt es später keine Grundlage, um über Ausweitung oder Abschaltung zu entscheiden.

2. Zugriff. Auf welche Systeme und Daten darf er lesend zugreifen, auf welche schreibend? Das BSI formuliert die Regel eindeutig: „Erlauben Sie einem KI-Agenten nur die Zugriffe, die er für seine spezifische Aufgabe wirklich braucht." Ein Agent mit gleichzeitigem Zugriff auf Stammdaten, Bestellsystem und Mailversand ist nicht leistungsfähiger. Er ist ein größeres Risiko.

Die Zugriffsfrage ist zugleich die Datenschutzfrage. Sobald ein KI-Agent auf Personal-, Kunden- oder Lieferantendaten zugreift, sind drei Dinge zu klären. Welche Daten verarbeitet das Modell tatsächlich, wo findet diese Verarbeitung statt, und muss sie auf eigener Infrastruktur erfolgen? Diese Festlegung gehört an den Anfang eines Anwendungsfalls und nicht in die Abnahme. Welche Voraussetzungen die Datenseite mitbringen muss, behandeln wir im Data-Governance-Framework.

3. Grenze. Wo endet die Entscheidungsbefugnis, und wer übernimmt ab dort? Das BSI empfiehlt, Einstellungen zu nutzen, bei denen wichtige Aktionen erst nach Bestätigung ausgeführt werden, und verweist besonders auf Aktionen mit finanziellen Konsequenzen. Im Betrieb heißt das: Grenzwerte, Eskalationspfad und benannte Zuständigkeit.

4. Nachweis. Wie sind seine Aktionen im Nachhinein rekonstruierbar, und auf welcher Grundlage hat er entschieden? Auch dazu ist das BSI konkret: Viele Agenten führen ein Protokoll ihrer Aktionen, und dieses Protokoll sollte regelmäßig geprüft werden, „um ungewöhnliche Aktivitäten frühzeitig zu erkennen".

Diese vier Fragen sind kein Compliance-Beiwerk. Sie entscheiden darüber, ob ein Pilot in den Regelbetrieb überführt werden kann. Ein KI-Agent ohne definierte Grenze lässt sich nicht freigeben, und ein Agent ohne Nachweis lässt sich nicht verantworten.

Sobald mehrere Agenten in denselben Prozessen arbeiten, wird aus diesen vier Fragen eine Architekturfrage. Genau an dieser Stelle setzt unsere Steuerungsplattform AIOP an, die Datenflüsse, Agenten, Monitoring und Governance über bestehenden Systemen zusammenführt, ohne das ERP umzubauen. Wie die Umsetzung konkret aussieht, beschreiben wir auf der Seite zu KI-Agenten.

Diese vier Entscheidungen lassen sich für einen konkreten Prozess in unter einer Stunde treffen. Wer sie vorab klärt, erkennt meist schon vor dem ersten Anbietergespräch, ob der Anwendungsfall trägt oder ob zuerst an der Datenseite gearbeitet werden muss.

Welche Risiken KI-Agenten mitbringen

KI-Agenten erweitern die Angriffsfläche eines Unternehmens, weil sie eigenständig handeln und dafür Zugriffsrechte benötigen. Fünf Risikomuster sind praktisch relevant.

Manipulierte Eingaben. Ein KI-Agent liest Inhalte, die er nicht selbst ausgewählt hat: Mails, Dokumente, fremde Websites. Genau dort verstecken Angreifer Befehle. Das Verfahren heißt Prompt Injection. Das BSI beschreibt es präzise: Angreifer verbergen Befehle „in Webseiten, Dokumenten oder E-Mails, zum Beispiel als unsichtbarer weißer Text auf weißem Hintergrund". Liest der Agent diese Inhalte, kann er die versteckten Befehle als echte Anweisungen interpretieren.

Werkzeug- und Rechtemissbrauch. Ein KI-Agent mit Zugang zu Daten und Systemrechten kann manipuliert werden, Informationen weiterzugeben. Ebenso können durch manipulierte Inhalte oder fehlerhafte Entscheidungen ungewollte Bestellungen oder Überweisungen ausgelöst werden. Das BSI fasst die kritische Kombination unter dem Begriff „Lethal Trifecta" zusammen: Zugriff auf vertrauliche Daten, Verarbeitung fremder oder unkontrollierter Inhalte und die Möglichkeit, mit externen Systemen zu kommunizieren. Wo alle drei zusammentreffen, steigt das Risiko sprunghaft.

Fortpflanzung von Fehlern. Ein KI-Agent arbeitet über mehrere Schritte. Ein früher Fehler wirkt sich auf die gesamte Kette aus. Arbeiten mehrere Agenten zusammen, kann laut BSI ein Angriff auf einen Agenten andere Systeme in Mitleidenschaft ziehen.

Endlosschleifen. Ein KI-Agent prüft sein eigenes Ergebnis und startet den nächsten Versuch. Ohne Abbruchbedingung kann er in einer unendlichen Feedbackschleife enden: erzeugen, bewerten, verwerfen, von vorn beginnen. Das kostet Rechenzeit und Geld. Im Verbund mehrerer Agenten kann sich die Schleife über Systemgrenzen fortsetzen. Die Orchestrierung muss deshalb festlegen, nach wie vielen Versuchen abgebrochen und an einen Menschen übergeben wird.

Fehlende Nachvollziehbarkeit. Der zentrale Satz des BSI dazu lautet: „Je selbstständiger ein Agent agiert, desto schwerer ist es nachzuvollziehen, was er genau tut."

Diese Muster sind inzwischen systematisch erfasst. Die OWASP Top 10 für agentische Anwendungen führen sie unter anderem als Agent Goal Hijack, Tool Misuse, Cascading Failures und Rogue Agents.

An verbindlichen Sicherheitsvorgaben wird gearbeitet. Das US-amerikanische NIST entwickelt im Projekt „Control Overlays for Securing AI Systems" Sicherheitsprofile für KI-Systeme, darunter zwei ausdrücklich für Agenten: eines für den Einzelagenten, eines für Multi-Agenten-Systeme. Beide sind angekündigt und bislang nicht als Entwurf veröffentlicht.

Für die Praxis heißt das: Wer heute einen KI-Agenten in Betrieb nimmt, kann sich nicht auf eine fertige Norm stützen. Er muss die Kontrollfragen selbst stellen.

Alle fünf Risiken führen auf den Betriebsrahmen zurück. Ein begrenzter Zugriff reduziert den Missbrauch. Eine definierte Grenze stoppt die Fehlerkette und die Endlosschleife. Ein geprüftes Protokoll stellt Nachvollziehbarkeit her.

Was KI-Agenten regulatorisch bedeuten

Die KI-Verordnung der EU kennt den Begriff „Agent" nicht. Das bedeutet nicht, dass KI-Agenten unreguliert sind. In den Begriffsbestimmungen des Artikels 3 taucht der Begriff nicht auf. Reguliert wird stattdessen über die Definition des KI-Systems, die ausdrücklich von unterschiedlichen Graden an Autonomie spricht. KI-Agenten fallen damit unter die Verordnung.

Ob strenge Anforderungen greifen, hängt vom Anwendungsbereich ab und nicht von der technischen Architektur. Ein KI-Agent, der Schichtpläne vorbereitet, wird anders bewertet als einer, der Wartungsdokumentation zusammenfasst.

Praktisch am wichtigsten ist die Rollenfrage. Die Verordnung unterscheidet zwischen Anbieter und Betreiber. Wer einen eingekauften KI-Agenten wesentlich verändert oder unter eigenem Namen weitergibt, kann von der Betreiber- in die Anbieterrolle wechseln. Damit ändern sich die Pflichten erheblich.

Welche Fristen gelten, welche verschoben wurden und wer in Deutschland die Aufsicht führt, ordnen wir im Beitrag zur KI-Verordnung ein.

Hinweis: Diese Einordnung ersetzt keine Rechtsberatung. Sie zeigt, welche Steuerungs- und Dokumentationsfragen Unternehmen organisatorisch klären sollten.

Was kostet ein KI-Agent?

Eine Marktpreisstatistik für KI-Agenten gibt es nicht. Was es gibt, sind Preisangaben einzelner Anbieter und Institute.

Als Orientierung dienen die Angebotspreise des Fraunhofer IPA für eigene Entwicklungsleistungen. Sie beginnen bei 45.000 Euro für Anwendungen in Kommunikation, Marketing sowie Wissens- und Energiemanagement und bei 70.000 Euro für Anwendungen in Produktionsprozessen. Das sind Institutspreise für Entwicklung und kein Marktdurchschnitt.

Zur Einordnung in eigener Sache: Hanisch Consulting ist in diesem Markt selbst tätig. Die genannten Zahlen stammen deshalb bewusst von einem Forschungsinstitut und nicht aus dem eigenen Angebot.

Die Preise für die Entwicklung von KI-Agenten hängen vor allem an fünf Faktoren:

• Datenlage: Sind die benötigten Daten vorhanden, zugänglich und ausreichend gepflegt?
• Schnittstellen und Tools: Wie viele Systeme sind beteiligt, wie viele Tools muss der Agent bedienen, und wie gut sind sie ansprechbar?
• Prozessvariabilität: Wie viele Sonderfälle muss der KI-Agent bewältigen?
• Freigabe- und Nachweistiefe: Wie streng sind die Anforderungen an Protokollierung und Kontrolle?
• Betrieb: Wer pflegt, überwacht und passt das System nach dem Projekt an?

Der Betriebsaufwand wird regelmäßig unterschätzt. Ein KI-Agent ist keine einmalige Anschaffung, sondern ein Betriebsgegenstand: Er braucht Pflege, Überwachung und Anpassung, wenn sich Prozesse oder Schnittstellen ändern.

Hanisch-Prinzip: Der Nutzen sollte nicht geschätzt, sondern gegen eine Baseline gemessen werden. Wie sich das rechnerisch aufsetzen lässt, zeigen wir im Beitrag KI-Nutzen berechnen.

Wann sich ein KI-Agent lohnt und wann nicht

Ein KI-Agent passt, wenn der Prozess häufig läuft, mehrere Systemgrenzen überschreitet, eine Varianz enthält, die starre Regeln nicht abbilden, und die benötigten Daten zugänglich sind. Typisch sind Abläufe, in denen erfahrene Mitarbeitende heute Informationen aus drei oder vier Quellen zusammentragen, bevor sie entscheiden. Solche Entscheidungen hängen selten am Urteil und fast immer an der Beschaffung der Informationen.

Kein KI-Agent ist nötig, wenn der Prozess regelfest und stabil ist. Für feste Regeln sind klassische Lösungen günstiger, robuster und leichter nachweisbar. Ein KI-Agent wäre hier die teurere Lösung für ein gelöstes Problem.

Es ist zu früh, wenn die Datengrundlage fehlt, die Verantwortlichkeiten unklar sind oder intern niemand den Prozess vollständig beschreiben kann. Der verlässlichste Frühindikator ist die Beschreibbarkeit des Prozesses. Was sich intern nicht vollständig beschreiben lässt, lässt sich auch nicht delegieren, weder an Menschen noch an Software.

Der sinnvolle erste Schritt ist entsprechend klein: ein Prozess, eine Baseline, eine klar definierte Grenze der Entscheidungsbefugnis. Wie ein solcher Einstieg strukturiert abläuft, beschreiben wir in der KI-Potenzialanalyse und im Beitrag zur KI-Implementierung in der Praxis.

Hilfreich ist dabei die Vorfrage, auf welcher Ebene die Lösung überhaupt sitzen soll. Ob eine KI-Funktion innerhalb eines bestehenden Systems genügt oder ob es eine koordinierende Schicht darüber braucht, entscheidet über Beschaffungsweg, Datenvoraussetzung und Governance-Aufwand. Welche KI-Lösungen auf welcher Ebene sinnvoll sind, beschreiben wir unter KI-Lösungen für Unternehmen. Die Ebene entscheidet, weil sie festlegt, welche Lösungen überhaupt in Frage kommen.

Der interne Aufwand für einen ersten Anwendungsfall ist kleiner, als die Voraussetzungsliste vermuten lässt. Gebraucht werden in der Regel drei Dinge: eine fachlich verantwortliche Person aus dem betroffenen Bereich, eine Ansprechperson für die Systemanbindung und eine Entscheidung darüber, wer Freigaben erteilt. Der Engpass ist selten die IT-Kapazität, sondern die Frage, wer den Prozess vollständig beschreiben kann.

Wenn Sie nach dieser Einschätzung unsicher sind, ob Ihr Anwendungsfall trägt, lässt sich das in einem kurzen Gespräch schneller klären als durch weitere Recherche.

Häufige Fragen zu KI-Agenten

Wie es weitergeht

Wenn Sie prüfen wollen, ob ein konkreter Prozess für einen KI-Agenten geeignet ist, hilft der Blick auf die Datenseite. Das Data-Governance-Framework beschreibt, welche Grundlage Agenten für verlässliche Arbeit brauchen.

Wenn Sie wissen wollen, wie KI-Anwendungen in Produktion und Logistik zusammenspielen: Der Beitrag zu KI in der Produktion ordnet die einzelnen Use Cases in eine Gesamtarchitektur ein.

Wenn ein Anwendungsfall bereits feststeht, zeigt die KI-Potenzialanalyse, wie die Bewertung strukturiert abläuft.

Zu diesem Beitrag: Die Einordnung stützt sich auf institutionelle Quellen, unter anderem das BSI, Fraunhofer IPA und IKS, den VDMA sowie die Begriffsbestimmungen der KI-Verordnung. Anbieterangaben wurden als solche gekennzeichnet und nicht als Marktdaten verwendet. Wo keine belastbaren Zahlen für Deutschland vorliegen, ist das im Text vermerkt. Stand: 11. August 2026.