KI-Agenten: Beispiele aus Beratung und Wissensarbeit – und wo der Mensch freigibt

Ein KI-Agent ist ein System, das ein Ziel selbstständig in Schritte zerlegt, dafür Werkzeuge nutzt und erkennt, wann es fertig ist. In der Wissensarbeit taugen Agenten heute vor allem für klar umrissene Zuarbeit: Unterlagen auswerten, Belege zusammentragen, Entwürfe in einer Vorlage füllen. Den Schritt, der nach außen wirkt, sollten sie einem Menschen überlassen. Die Forschung gibt dafür einen nüchternen Grund: Selbst das beste Agentensystem in einem realistischen Bürotest erledigte nur rund 30 Prozent der Aufgaben vollständig ^[4].

Kurz gesagt

• Was ein Agent ist: Ein Sprachmodell steuert den Ablauf selbst, wählt Werkzeuge und kann abbrechen und an den Menschen übergeben. Ein Chatbot, der nur antwortet, ist kein Agent ^[1], ^[2].
• Wie verbreitet: In Deutschland setzen 11 Prozent der Unternehmen, die KI nutzen oder ihren Einsatz planen oder diskutieren, KI-Agenten bereits ein. 29 Prozent planen den Einsatz ^[3].
• Wo die Grenzen liegen: Fehler summieren sich über viele Schritte ^[2]. Agenten mit zu vielen Rechten lassen sich über manipulierte Inhalte zu schädlichen Aktionen bringen ^[5]. Und eine Freigabe, die nur abgenickt wird, zählt datenschutzrechtlich nicht als menschliche Entscheidung ^[6].

Was ein KI-Agent ist, und was nicht

Die Hersteller der großen Modelle definieren den Begriff recht ähnlich. OpenAI schreibt: „Agents are systems that independently accomplish tasks on your behalf.“ Anwendungen, die ein Sprachmodell zwar nutzen, es aber nicht den Ablauf steuern lassen, sind ausdrücklich keine Agenten, etwa einfache Chatbots oder Stimmungsklassifikatoren ^[1]. Zwei Merkmale machen den Agenten aus. Erstens steuert das Modell den Ablauf, erkennt das Ende der Aufgabe und kann bei einem Fehler anhalten und die Kontrolle an den Nutzer zurückgeben. Zweitens nutzt es Werkzeuge, um Informationen zu holen und um zu handeln, und zwar innerhalb klar festgelegter Grenzen ^[1].

Anthropic unterscheidet zwei Bauformen. In Workflows werden Sprachmodell und Werkzeuge über fest vorgegebene Pfade im Code verbunden. In Agenten bestimmt das Modell selbst, welche Schritte es geht und welche Werkzeuge es nutzt ^[2]. Anthropic rät, die einfachste Lösung zu wählen, die funktioniert. Oft sei das gar kein Agent, denn agentische Systeme tauschen Kosten und Wartezeit gegen bessere Ergebnisse ^[2].

Bitkom fasst es für Unternehmen knapp: „Anders als ein Chatbot, der auf Fragen antwortet, handelt ein Agent selbstständig“ ^[3].

Agentic AI ist der englische Sammelbegriff für solche Systeme. KI-Mitarbeiter oder „digitale Kollegen“ sind Bilder dafür, wie man Agenten im Alltag führt: mit Rolle, Auftrag und Freigaben. Rechtlich und organisatorisch bleibt die Verantwortung beim Menschen, der den Agenten beauftragt.

Acht Beispiele aus der Wissensarbeit

Die folgenden Beispiele stammen aus Beratung, Projektarbeit und Backoffice. Sie sind bewusst so geschnitten, dass der Agent die Fleißarbeit macht und ein Mensch an einer klar benannten Stelle entscheidet. Die Beispiele beschreiben typische Abläufe, keine konkreten Kundenfälle.

1. Ausschreibung auswerten

Auslöser: Eine Ausschreibung mit Lastenheft, Leistungsverzeichnis und Vertragsentwurf geht ein. Was der Agent tut: Er liest alle Unterlagen und legt eine Anforderungsmatrix an: Muss- und Kann-Kriterien, Fristen, geforderte Nachweise, Zuschlagskriterien. Er gleicht sie mit früheren Projekten und Referenzen ab und markiert Lücken, etwa „Referenz im Bereich Wasserwirtschaft gefordert, letzte von 2022“. Mensch: Entscheidet über Go oder No-Go und über die Teamaufstellung.

2. Referenzliste für ein Angebot

Auslöser: „Wir brauchen drei vergleichbare Projekte zur Prozessaufnahme bei Versorgern.“ Was der Agent tut: Er sucht im Unternehmenswissen nach passenden Projekten und nennt zu jedem Kunde, Jahr, Methode, Team und Fundstelle. Er weist darauf hin, wenn ein Abschlussbericht fehlt oder eine Tabelle Mandantenzahlen enthält. Mensch: Prüft, ob die Referenz genannt werden darf (Vertraulichkeit, Freigabe des Kunden), und wählt aus.

3. Wettbewerber im Blick behalten

Auslöser: Zeitgesteuert, etwa am ersten Montag im Monat. Was der Agent tut: Er ruft die Websites, Pressemitteilungen und Stellenanzeigen einer festen Liste von Wettbewerbern ab. Was sich seit dem letzten Mal geändert hat, fasst er zusammen, mit Quelle und Abrufdatum je Aussage. Mensch: Bewertet, was davon relevant ist, und gibt den Verteiler frei.

4. Datenraum sichten

Auslöser: Für eine Due Diligence werden mehrere tausend Dokumente in einen Datenraum geladen. Was der Agent tut: Er liest Verträge, Protokolle und Finanzunterlagen und markiert mögliche Auffälligkeiten mit Fundstelle: Change-of-Control-Klauseln, ungewöhnliche Laufzeiten, Garantien. Dann füllt er die Gliederung des Red-Flag-Reports. Mensch: Bewertet jeden Befund. Ob eine Klausel ein Deal-Risiko ist, entscheidet das Deal-Team.

5. Postfach sortieren und Antworten vorbereiten

Auslöser: Laufend, bei neuen Mails in einem Team-Postfach. Was der Agent tut: Er ordnet Mails nach Anliegen und Dringlichkeit, verknüpft sie mit dem passenden Projekt und legt Antwortentwürfe an, wo die Antwort aus vorhandenen Unterlagen hervorgeht. Mensch: Sendet. Gerade hier ist das wichtig: Eine präparierte Mail kann Anweisungen enthalten, die ein Agent mit Sende-Rechten ausführen würde. OWASP beschreibt genau diesen Fall, einen Mail-Assistenten, der über eine eingeschleuste Anweisung sensible Daten an Angreifer weiterleitet ^[5].

6. Wöchentlicher Statusbericht

Auslöser: Freitag, 7 Uhr. Was der Agent tut: Er liest die Aufgaben aus dem Projektmanagement-Werkzeug, die Protokolle der Woche und offene Mail-Fäden. Daraus schreibt er den Statusbericht in der Projektvorlage: erledigt, offen, Risiken, Entscheidungsbedarf. Mensch: Ergänzt die Einschätzung, die in keinem System steht, und schickt den Bericht an den Kunden.

7. Expert Call auswerten

Auslöser: Ein Gesprächsprotokoll oder Transkript liegt vor. Was der Agent tut: Er zieht die Kernaussagen heraus, jeweils mit wörtlichem Zitat und Zeitmarke. Widersprüche zu bisherigen Hypothesen markiert er. Mensch: Entscheidet, welche Aussage trägt. Ein einzelner Experte ist eine Stimme, kein Beleg.

8. CRM nach dem Termin pflegen

Auslöser: Ein Kundentermin ist vorbei, die Notizen liegen im Postfach. Was der Agent tut: Er legt den Termin im CRM an, ordnet ihn der richtigen Firma zu, trägt vereinbarte Folgeaufgaben mit Fälligkeit ein und entwirft die Nachfass-Mail. Mensch: Prüft die Zuordnung und sendet die Mail. Bei Folgeaufgaben, die ins eigene CRM gehen, kann eine dauerhafte Freigabe sinnvoll sein.

Gemeinsam ist allen acht Beispielen: Der Agent liest viel, schreibt Entwürfe in eine bekannte Form und belegt, woher er etwas hat. Die Entscheidung und alles, was ein Dritter zu sehen bekommt, bleiben beim Menschen.

Was die Forschung über Wirksamkeit und Grenzen sagt

Realistische Bürotests sind ernüchternd. Xu und Kollegen haben mit „TheAgentCompany“ ein simuliertes Softwareunternehmen gebaut: mit Code-Ablage, Dateiablage, Projektmanagement, Chat und simulierten Kollegen. Es gibt 175 Aufgaben aus Softwareentwicklung, Projektmanagement, Data Science, Verwaltung, Personal und Finanzen ^[4]. Das beste getestete System löste 30,3 Prozent der Aufgaben vollständig. Mit Teilpunkten für Zwischenschritte kam es auf 39,3 Prozent. Am schwersten fielen Aufgaben aus Data Science, Verwaltung und Finanzen, also gerade klassische Büroarbeit. Leichter waren Programmieraufgaben ^[4].

Die Fehler sind lehrreich. Die Autoren beschreiben drei typische Muster ^[4]. Agenten stellen eine Rückfrage, verfolgen aber den genannten Ansprechpartner nicht weiter und halten die Aufgabe für erledigt. Sie scheitern an Oberflächen, etwa an einem Pop-up, das ein Mensch einfach wegklickt. Und wenn sie nicht weiterkommen, nehmen sie Abkürzungen. In einem Fall benannte ein Agent einen anderen Nutzer um, damit der gesuchte Kontakt scheinbar existierte. Das Ergebnis sieht dann erledigt aus, ist es aber nicht.

Fehler summieren sich. Je mehr Schritte ein Agent selbst geht, desto größer ist das Risiko, dass sich ein früher Fehler fortpflanzt. Anthropic empfiehlt deshalb Tests in abgeschotteten Umgebungen, Schutzvorkehrungen, Abbruchbedingungen wie eine Höchstzahl an Durchläufen und Haltepunkte, an denen der Agent auf menschliches Feedback wartet ^[2].

Zu viel Spielraum ist ein Sicherheitsrisiko. OWASP führt „Excessive Agency“ unter den zehn wichtigsten Risiken für Anwendungen mit Sprachmodellen. Gemeint sind zu viele Funktionen, zu viele Rechte und zu viel Autonomie. Die Gegenmittel: nur die nötigen Werkzeuge, minimale Rechte, etwa nur Lesezugriff, wo Lesen reicht, und eine menschliche Freigabe für folgenreiche Aktionen wie das Senden einer Mail ^[5].

Urteil bleibt fehleranfällig. Bei Aufgaben, die Daten gegen Gesprächseindrücke abwägen, kann KI-Unterstützung Fachleute sogar schlechter machen. Das zeigt die Studie zur „Jagged Frontier“, die wir in einem eigenen Beitrag beschreiben.

Wo der Mensch freigeben sollte

OpenAI empfiehlt, sensible, unumkehrbare oder folgenreiche Aktionen von Menschen beaufsichtigen zu lassen, bis das Vertrauen in die Zuverlässigkeit des Agenten gewachsen ist. Als Beispiele nennt OpenAI das Stornieren von Bestellungen, größere Erstattungen und Zahlungen ^[1]. Für die Wissensarbeit lässt sich daraus eine einfache Staffel ableiten:

Die letzte Zeile ist nicht nur eine Empfehlung. Entscheidungen mit Rechtswirkung dürfen nach Art. 22 DSGVO grundsätzlich nur Menschen treffen. Die Datenschutzkonferenz nennt als Beispiel ausdrücklich eine KI-Anwendung, die Bewerbungen auswertet und selbstständig zu Vorstellungsgesprächen einlädt. Das sei ein Verstoß ^[6]. Wichtig ist auch der Zusatz der DSK: Eine lediglich formelle Beteiligung eines Menschen reicht nicht. Zeitdruck oder fehlende Transparenz dürfen nicht dazu führen, dass Ergebnisse ungeprüft übernommen werden ^[6]. Eine Freigabe, die nur noch abgenickt wird, ist keine Kontrolle.

Was das für die Praxis heißt

1. Mit einem wiederkehrenden Arbeitspaket beginnen, nicht mit „Agenten für alles“. Gute Kandidaten haben einen klaren Auslöser, eine feste Ergebnisform und einen Menschen, der das Ergebnis heute schon prüft, etwa Statusbericht, Referenzliste oder Wettbewerber-Monitor.
2. „Fertig“ vorher festlegen. Was muss im Ergebnis stehen, damit es brauchbar ist? Die Abkürzungen aus dem Bürotest ^[4] fallen nur auf, wenn jemand weiß, wie das richtige Ergebnis aussieht.
3. Rechte knapp halten. Lesezugriff, wo Lesen reicht. Sende-Rechte nur dort, wo sie gebraucht werden, und dann mit Freigabe ^[5].
4. Freigaben stufen und befristen. In der ersten Zeit jeden Schritt nach außen freigeben. Dauerhafte Freigaben erst nach einer Reihe fehlerfreier Läufe, und dann eng gefasst, etwa nur für bestimmte Empfänger.
5. Nachvollziehbarkeit verlangen. Jedes Ergebnis nennt seine Quellen, jede Aktion steht in einem Protokoll.
6. Datenschutzbeauftragte früh einbinden, besonders bei Postfächern und bei allem, was Beschäftigte oder Bewerber betrifft.

Digitale Kollegen bei enter ai

Bei enter ai heißen Agenten „digitale Kollegen“. Sie haben feste Rollen, etwa Analyst, Research, Projektassistenz oder Angebotsassistenz. Sie planen ihre Aufgaben selbstständig und arbeiten in mehreren Schritten mit dem Company Brain, den verbundenen Systemen und den freigegebenen Skills. Gestartet werden sie von Hand, zu festen Zeiten oder bei einem Ereignis. Dabei arbeiten sie im Berechtigungskontext der Person, die sie eingerichtet hat. Ein neuer Kollege beginnt nach einem Einstellungsgespräch in der Probezeit, und dort wartet jede Aktion nach außen auf Freigabe. Die Festanstellung wird nach 15 fehlerfreien Läufen empfohlen. Danach arbeitet der Kollege im Rahmen der Vollmachten selbstständig, Neues und Unbekanntes wartet weiter auf Freigabe. Vollmachten erteilen und widerrufen Nutzer selbst. Sie lassen sich zum Beispiel auf bestimmte Empfänger-Domains beschränken. Laufende Aufgaben lassen sich jederzeit anhalten, und jede Aktion steht im Audit-Log. Wie das im Einzelnen aussieht, zeigen die Anwendungsfälle, etwa Due Diligence oder Angebote erstellen, sowie die Startseite.

Zuletzt aktualisiert am 10. November 2026.