Managed KI-Agenten: Warum die Einrichtung über den Erfolg entscheidet, nicht das Modell

Wenn ein KI-Agent im Unternehmen enttäuscht, liegt das selten am Modell. Die gängigen Sprachmodelle verstehen heute E-Mails, fassen Gesprächsprotokolle zusammen und schreiben brauchbare Entwürfe. Was ihnen fehlt, weiß nur dein Unternehmen: welche Anfragen wichtig sind, welche Preise und Zusagen gerade gelten, auf welche Systeme der Agent zugreifen darf und wer sein Ergebnis übernimmt. Diese vier Dinge machen aus einem Modell einen Agenten, der eine Aufgabe tatsächlich erledigt: Arbeitsauftrag, Wissensquellen, Zugriffe und Zuständigkeiten. Wenn du sie sorgfältig einrichtest und das Ergebnis vor dem Start an echten Fällen abnimmst, holst du aus einem guten Modell mehr heraus als aus dem besten Modell ohne diese Arbeit.

Das sagen auch die Hersteller der Modelle selbst. Anthropic beschreibt Agenten in seinem Leitfaden Building effective agents als Sprachmodelle, die in einer Schleife Werkzeuge benutzen und sich nach jedem Schritt am Ergebnis orientieren. Beim eigenen Programmier-Agenten hat das Team nach eigener Aussage mehr Zeit in die Werkzeuge gesteckt als in den Prompt. Ein Agent kann also nur so gut sein wie das, was man ihm zum Arbeiten gibt.

Warum das Modell selten der Engpass ist

Ein Sprachmodell erzeugt die wahrscheinlichste Fortsetzung dessen, was es sieht. Liegt die richtige Information vor, nutzt es sie. Fehlt sie, schreibt es trotzdem etwas Plausibles, weil es genau dafür trainiert wurde. Wenn ein Agent einem Kunden die Lieferzeit vom letzten Jahr nennt, hat das Modell also kein Intelligenzproblem. Es hatte schlicht keinen Zugang zur aktuellen Lieferzeit, oder es hatte Zugang zu drei verschiedenen und wusste nicht, welche gilt.

Dazu kommt, dass Modelle austauschbar geworden sind. Alle paar Monate erscheint eine neue Generation, und wer heute ein Modell wählt, wechselt es wahrscheinlich innerhalb eines Jahres. Die Einrichtung bleibt dabei bestehen. Die Beschreibung der Aufgabe, die bestätigten Fakten, die Rechte im Postfach und die Regel, wer welche Übergabe bekommt, funktionieren mit dem nächsten Modell genauso. Deshalb lohnt sich die Arbeit an diesen Dingen länger als die Arbeit an der Modellwahl.

Hier liegt auch der Unterschied zu einer allgemeinen KI-Einführung. Bei einer Einführung geht es um Lizenzen, Schulungen und Nutzungsregeln für alle. Ein betreuter Agent hat einen engeren Zweck: Ein konkreter Arbeitsauftrag wird so eingerichtet, getestet und abgenommen, dass der Agent ihn danach zuverlässig erledigt. Das Ergebnis ist kein Werkzeug, mit dem jeder irgendetwas machen kann, sondern eine Aufgabe, die ab einem bestimmten Tag erledigt wird.

Der Arbeitsauftrag beschreibt ein Ergebnis

„Kümmere dich um den Posteingang“ ist ein Wunsch und kein Auftrag. Ein Arbeitsauftrag nennt die Eingabe, also welches Postfach und welche Art von Nachrichten. Er nennt das Ergebnis, etwa einen Antwortentwurf mit Quellenangabe oder eine Übergabe an eine bestimmte Person mit kurzer Zusammenfassung. Und er sagt, wann ein Fall erledigt ist und was der Agent nicht anfasst.

Das ist mehr als Ordnungsliebe. Ein Agent entscheidet bei jedem Schritt selbst, was als Nächstes kommt. Ohne klares Ziel hört er entweder zu früh auf, weil eine halbe Antwort schon plausibel klingt, oder er macht weiter, weil nichts sagt, dass er fertig ist. Anthropic empfiehlt deshalb ausdrücklich Abbruchbedingungen und Punkte, an denen der Agent bei Unklarheit zurück zum Menschen geht.

Der zweite Grund ist die Abnahme. Ob ein Agent gut arbeitet, kannst du nur gegen ein beschriebenes Ergebnis prüfen. Wenn der Auftrag lautet, Preisanfragen mit einem Entwurf auf Basis der gültigen Preisliste zu beantworten und alle Anfragen zu Sonderkonditionen an den Vertriebsleiter zu geben, dann ist jeder Testfall entweder richtig behandelt oder nicht. Bei „Kümmere dich um den Posteingang“ bleibt nur ein Gefühl.

Ein guter Auftrag ist deshalb eher eng geschnitten. Ein Agent, der ein Postfach zuverlässig vorsortiert und Antworten vorbereitet, entlastet dein Team mehr als einer, der angeblich alles kann und bei dem jedes Ergebnis nachgeprüft werden muss.

Wissensquellen: lieber wenige bestätigte Fakten als das ganze Laufwerk

Die naheliegende Idee ist, dem Agenten einfach alles zu geben: das ganze Laufwerk, alle alten Angebote, das Wiki. Das schadet aber eher, weil auf jedem gewachsenen Laufwerk mehrere Fassungen derselben Wahrheit liegen. Wenn dort drei Preislisten und zwei Versionen der AGB liegen, kann der Agent nicht wissen, welche gilt. Er nimmt die, die am besten zur Formulierung der Frage passt, und das ist manchmal die alte.

Besser ist eine kleine Menge bestätigter Fakten, für die jemand zuständig ist und die ein Datum tragen: aktuelle Preise und Konditionen, Lieferzeiten, Ansprechpartner, Leistungsumfang und die Formulierungen, die ihr gegenüber Kunden nutzt. Alles andere kann als Hintergrund dienen, aber wenn es einen Widerspruch gibt, haben die bestätigten Fakten Vorrang.

Genauso wichtig ist, was der Agent tut, wenn er etwas nicht findet. Ein sauber eingerichteter Agent schreibt dann, dass die Information fehlt, und gibt den Fall weiter. Ohne diese Regel füllt das Modell die Lücke mit etwas Plausiblem, und genau dabei entstehen die Fehler, die Vertrauen kosten.

Die wichtigste Folge guter Wissensquellen sind belegte Ergebnisse. Wenn jede Aussage in einem Entwurf auf ihre Quelle verweist, prüft ein Mitarbeiter die Quelle und muss nicht neu recherchieren. Genau dort entsteht die Zeitersparnis. Ein Entwurf ohne Belege muss man komplett nachprüfen. Einen Entwurf mit Belegen kann man gezielt prüfen, und so wird das Lesen eines Agenten-Entwurfs schneller als das Selberschreiben.

Zugriffe: so eng wie die Aufgabe

Das OWASP-Projekt für die Sicherheit von KI-Anwendungen führt übermäßige Handlungsfreiheit als eigenes Risiko. Als Ursachen nennt es drei Dinge: zu viele Funktionen, zu weitreichende Berechtigungen und zu viel Autonomie bei folgenreichen Aktionen. Das Beispiel dort passt genau zum Mittelstand. Ein Agent soll ein Postfach zusammenfassen, das angebundene Werkzeug kann aber auch senden. Eine präparierte E-Mail enthält versteckte Anweisungen, und der Agent leitet daraufhin vertrauliche Nachrichten an einen Angreifer weiter. OWASP empfiehlt, nur die Funktionen freizugeben, die der Auftrag braucht, Verbindungen im Kontext des jeweiligen Nutzers mit möglichst engen Berechtigungen herzustellen und Rechte im Zielsystem durchzusetzen, statt das Sprachmodell entscheiden zu lassen, was erlaubt ist.

Für die Einrichtung heißt das: Ein Agent, der ein Postfach vorsortiert und Antworten vorbereitet, braucht Lese- und Entwurfsrechte. Löschen und Verschieben braucht er nicht, also bekommt er es nicht. Die Zugangsdaten selbst gehören nicht in die Hände des Agenten. Die Verbindung läuft über eine Anmeldung, die an einen Nutzer oder an das Unternehmen gebunden ist und sich jederzeit widerrufen lässt.

Zu enge Rechte sind allerdings auch ein Fehler. Wenn ein Agent Kontakte und Aktivitäten nicht selbst im CRM anlegen darf, tippt am Ende ein Mitarbeiter ab, was der Agent schon fertig hatte. Die Frage für jede Aktion ist daher, ob sie Routine ist und sich korrigieren lässt oder ob sie etwas Verbindliches nach außen auslöst. Einen CRM-Eintrag anlegen, eine Aufgabe zuweisen oder eine Zusammenfassung ablegen sollte der Agent selbst erledigen. Eine verbindliche Preiszusage oder eine Zahlung gehört vor der Ausführung auf den Tisch eines Menschen.

Zugriffe scheitern oft an Kleinigkeiten, die niemand bedacht hat. Microsoft dokumentiert zum Beispiel, dass Administratoren den Graph-Zugriff auf Teams-Transkripte mandantenweit abschalten können. Jede Anfrage endet dann mit einem Fehler, egal wie gut der Agent ist. Außerdem gibt es ein Transkript nur, wenn Teams das Meeting auch transkribiert hat. Solche Voraussetzungen prüft man bei der Einrichtung, nicht erst, wenn nach zwei Wochen jemand fragt, warum keine Meeting-Zusammenfassungen kommen.

Zuständigkeiten: Wer übernimmt, wenn der Agent nicht weiterkommt

Jeder Agent braucht Menschen mit klaren Rollen: jemanden, der das Ziel festlegt, jemanden, der Übergaben bekommt, und jemanden, der die bestätigten Fakten pflegt. In kleinen Unternehmen ist das oft dieselbe Person, aber sie muss benannt sein. Eine Übergabe ohne Empfänger landet in einer Liste, die niemand liest. Wenn das ein paar Mal passiert, lernt das Team, den Agenten zu ignorieren, und dann ist die ganze Einrichtung umsonst.

Zuständigkeit heißt auch, dass Korrekturen an der richtigen Stelle landen. Wenn ein Mitarbeiter einen Entwurf korrigiert, weil eine Lieferzeit falsch war, hilft das nur diesem einen Entwurf. Erst wenn die Lieferzeit in den bestätigten Fakten korrigiert wird, macht der Agent den Fehler morgen nicht wieder. Jemand muss also für jede Korrektur entscheiden, ob es ein Einzelfall war oder ob die Quelle oder der Auftrag angepasst werden muss.

Eine gute Einrichtung gibt dem Agenten außerdem einen klaren Weg für Unklarheit. Wenn eine Anfrage in keine Kategorie passt, ein Kunde verärgert schreibt oder eine Nachricht nach einer Zusage verlangt, die der Agent nicht geben darf, geht der Fall mit Zusammenfassung an die zuständige Person. Das ist der Punkt, an dem Menschen ihren Rahmen setzen. Innerhalb dieses Rahmens arbeitet der Agent selbst.

Wie eine gute Einrichtung konkret aussieht

Am deutlichsten wird das an Rollen, bei denen Eingabe, Ergebnis und Grenze genau beschrieben sind. Needs richtet vier solche Rollen betreut ein: Inbound, Outbound, Meetings und Content.

Der Inbound-Agent arbeitet in einem ausgewählten Outlook- oder Gmail-Postfach. Er liest eingehende Nachrichten, schreibt Antwortentwürfe, deren Aussagen auf Quellen verweisen, und übergibt Fälle an die zuständige Person. Er löscht und verschiebt keine Nachrichten, sodass das Postfach so bleibt, wie das Team es kennt. Versendet wird eine Antwort erst, wenn ein Mensch sie freigegeben hat.

Der Outbound-Agent startet mit einem freigegebenen Zielbild, also einer Beschreibung der Unternehmen, die ihr ansprechen wollt. Er recherchiert passende Leads und belegt, warum sie zum Zielbild passen. Er legt Kontakte und Aktivitäten in Pipedrive an. Den ersten Kontakt führen Menschen. Zeigt ein Interessent Interesse, übernimmt der Agent die Terminabstimmung über das bestätigte Microsoft-365-Firmenkonto des einladenden Unternehmens. Teams-Einladungen verschickt er, sobald dieses Werkzeug für ihn freigegeben ist.

Der Meeting-Agent liest vorhandene Teams-Transkripte, auf die er zugreifen darf. Er startet keine Aufnahme. Aus dem Transkript schreibt er eine Zusammenfassung und Aufgaben, die jeweils auf die Stelle im Gespräch verweisen. Auf Anfrage legt er einen CRM-Eintrag an und entwirft eine Follow-up-Mail. Selbst verschickt er nichts.

Der Content-Agent schreibt Entwürfe aus freigegebenen Fakten und dem Markenleitfaden. Veröffentlicht wird von einem Menschen.

Gemeinsam ist den vier Rollen, dass vor dem Start feststeht, woher der Agent seine Eingaben bekommt, was er selbst erledigt und an welcher Stelle ein Mensch übernimmt. Dadurch weißt du vom ersten Tag an, was du bekommst. Die Grenzen sind kein Misstrauen gegenüber dem Modell. Sie sorgen dafür, dass das Team den Ergebnissen vertrauen kann, ohne jedes einzelne nachzuprüfen.

Abnahme: an echten Fällen und vor dem Start

Abnehmen heißt, den eingerichteten Agenten an echtem Material zu testen, bevor er produktiv arbeitet. Dafür nimmst du Fälle aus den letzten Wochen, etwa eingegangene Anfragen oder Meeting-Transkripte, lässt den Agenten sie bearbeiten und vergleichst das Ergebnis mit dem, was dein Team tatsächlich gemacht hat.

Die Kriterien folgen aus dem Arbeitsauftrag. Verweist jede Aussage auf eine Quelle? Hat der Agent die Fälle übergeben, die er übergeben sollte? Hat er an einer Stelle etwas erfunden? Hat er seine Grenzen eingehalten? In die Testmenge gehören auch unangenehme Fälle: eine wütende Beschwerde, eine Anfrage, in der wichtige Angaben fehlen, und eine Nachricht mit eingebauten Anweisungen an den Agenten, wie sie OWASP beschreibt. Ein Agent, der nur die einfachen Fälle besteht, ist noch nicht abgenommen.

Wenn etwas schiefgeht, zeigt die Art des Fehlers fast immer, wo du ansetzen musst. Eine falsche Tatsache deutet auf die Wissensquellen hin. Eine falsche Entscheidung, etwa eine nicht übergebene Sonderanfrage, deutet auf den Arbeitsauftrag hin. Eine Aktion, die gar nicht hätte möglich sein dürfen, deutet auf die Zugriffe hin. Das Modell zu wechseln, ist selten die Lösung.

Hier zahlt sich Betreuung aus. Wer solche Einrichtungen schon oft gemacht hat, erkennt schneller, ob ein Fehler in einer Quelle, einer Regel oder einem Recht liegt, und kennt die typischen Stolperstellen, zum Beispiel abgeschaltete Transkripte oder doppelte Preislisten. Das spart die Wochen, in denen ein Team sonst selbst herausfindet, warum der Agent manchmal Unsinn schreibt.

Was rechtlich dazugehört

Seit dem 2. Februar 2025 gilt Artikel 4 der KI-Verordnung. Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um die KI-Kompetenz der Mitarbeiter zu fördern, die diese Systeme in ihrem Auftrag betreiben oder nutzen. Ein bestimmtes Kompetenzniveau müssen sie nicht garantieren. Für einen Agenten heißt das ganz praktisch: Wer Übergaben bekommt und Entwürfe prüft, sollte wissen, wo der Agent typischerweise Fehler macht und wie man Korrekturen an die richtige Stelle bringt. Die Abnahme ist dafür eine gute Gelegenheit, weil das Team die Schwächen dort an eigenen Fällen sieht.

Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50. Anbieter müssen Systeme, die direkt mit Menschen interagieren, so gestalten, dass diese wissen, dass sie mit einer KI zu tun haben, außer das ist ohnehin offensichtlich. Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, muss der Betreiber als KI-generiert kennzeichnen. Diese Pflicht entfällt, wenn der Text von einem Menschen geprüft oder redaktionell bearbeitet wurde und eine Person oder ein Unternehmen die redaktionelle Verantwortung trägt. Ein Content-Ablauf, in dem ein Mensch prüft und veröffentlicht, ist genau auf diese Ausnahme zugeschnitten, wenn diese Person auch die Verantwortung für die Veröffentlichung übernimmt.

Wenn dein Unternehmen einen Betriebsrat hat, kommt das Betriebsverfassungsgesetz dazu. Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt der Betriebsrat bei der Einführung und Anwendung technischer Einrichtungen mit, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Ein Agent, der Postfächer oder Meeting-Transkripte liest, verarbeitet Daten über die Arbeit von Mitarbeitern. Ob er im Einzelfall unter die Vorschrift fällt, klärst du am besten mit dem Betriebsrat, bevor der Agent startet. Ein eng beschriebener Arbeitsauftrag mit klaren Zugriffen ist dafür die beste Grundlage, weil sich genau zeigen lässt, was der Agent liest und wofür.

Was nach dem Start passiert

Ein abgenommener Agent bleibt nicht von allein gut, weil sich das Unternehmen um ihn herum ändert. Preise ändern sich, Ansprechpartner wechseln, ein neues Produkt kommt dazu, und Kunden stellen Fragen, die in keinem Testfall vorkamen. Wenn niemand die bestätigten Fakten nachzieht, arbeitet der Agent mit einem Stand, der jeden Monat ein bisschen älter wird, und seine Entwürfe werden genau in dem Tempo schlechter.

Deshalb gehören zu einem betreuten Agenten regelmäßige Durchsichten. Welche Fälle hat er übergeben, die er selbst hätte lösen können? Welche Korrekturen kamen mehrfach vor? Wo fehlte ein Recht, sodass ein Mitarbeiter etwas von Hand nachtragen musste? Aus den Antworten ergibt sich die nächste Anpassung, und oft auch der nächste Schritt bei der Autonomie: Wenn ein Agent über Wochen gezeigt hat, dass er eine bestimmte Routineaktion zuverlässig erledigt, kann er sie künftig ohne Rückfrage ausführen.

Dein erster Schritt ist also nicht die Wahl eines Modells. Such dir einen Arbeitsauftrag, bei dem du heute schon sagen kannst, wie ein gutes Ergebnis aussieht, wer es übernimmt und welche Fakten dafür gelten. Wenn dir das gelingt, ist der schwierigste Teil der Einrichtung erledigt.