Inhaltsverzeichnis
„KI-Agent“ wird 2026 für sehr unterschiedliche Systeme verwendet. Manche erzeugen nur einen Textvorschlag, andere wählen Werkzeuge, lesen Daten und führen mehrere Schritte in Richtung eines Ziels aus. Für eine technische und wirtschaftliche Entscheidung reicht das Etikett deshalb nicht.
Dieser Beitrag unterscheidet drei Stufen: feste Workflow-Automatisierung, KI als begrenzter Baustein und einen stärker eigenständig planenden Agenten. Je größer der Entscheidungs- und Aktionsspielraum, desto wichtiger werden Rechtebegrenzung, Tests, Freigaben und Überwachung.
Drei Begriffe, die nicht dasselbe bedeuten
Klassische Workflow-Automatisierung folgt vorgegebenen Auslösern, Regeln und Aktionen: Wenn ein freigegebenes Formular eingeht, prüfe Pflichtfelder, lege einen CRM-Datensatz an und informiere die zuständige Person. Bei gleichen Eingaben ist der Ablauf weitgehend vorhersehbar.
KI-unterstützter Workflow nutzt ein Modell für eine begrenzte unstrukturierte Aufgabe, zum Beispiel das Zuordnen einer freien Anfrage zu einer Kategorie. Der restliche Prozess, erlaubte Daten und Folgeschritte bleiben fest definiert.
KI-Agent erhält ein Ziel und kann innerhalb eines Rahmens Zwischenschritte, Werkzeuge oder Reihenfolge selbst wählen. Der Begriff ist nicht überall einheitlich definiert. Für die Risikobewertung zählt daher konkret: Was darf das System lesen, entscheiden, erzeugen und ausführen — und unter welchen Grenzen?
Wann der feste Workflow die bessere Lösung ist
Klassische Automatisierung passt, wenn Regeln stabil und prüfbar sind:
- Pflichtfelder und Datenformate kontrollieren
- Datensätze zwischen freigegebenen Systemen übertragen
- Fristen oder Statusänderungen melden
- Dokumente nach eindeutigen Merkmalen ablegen
- freigegebene Vorlagen mit bekannten Daten befüllen
Vorteile sind Nachvollziehbarkeit, reproduzierbare Tests und klar begrenzte Fehlerfälle. Eine KI-Komponente würde hier häufig zusätzliche Unsicherheit und Kosten einführen, ohne ein ungelöstes Problem zu beseitigen. Mehr zu solchen Abläufen steht im Beitrag Lead-Automatisierung im Mittelstand.
Wann KI als begrenzter Baustein hilft
KI wird interessant, wenn Eingaben in Sprache, Bildern oder unterschiedlich aufgebauten Dokumenten vorliegen und feste Regeln allein zu aufwendig werden. Beispiele sind Themenvorschläge für E-Mails, Zusammenfassungen langer Dokumente oder das Vorbefüllen strukturierter Felder.
Der robuste Aufbau bleibt dabei hybrid: Das Modell liefert einen Vorschlag und eine klar definierte Anwendung prüft Format, Berechtigung, Pflichtfelder und erlaubte Folgeschritte. Unsichere oder widersprüchliche Fälle gehen an einen Menschen. Damit liegt die KI nicht unkontrolliert zwischen Eingang und geschäftskritischer Aktion.
Wann ein Agent überhaupt plausibel wird
Ein Agent kann sinnvoll sein, wenn ein Ziel mehrere variable Recherche- oder Bearbeitungsschritte benötigt, der Lösungsweg nicht vollständig vorgegeben werden kann und Fehler reversibel bleiben. Ein Beispiel wäre die Vorbereitung einer internen Recherche aus freigegebenen Quellen mit dokumentierten Fundstellen.
Ein Agent ist keine gute Standardwahl, nur weil ein Prozess viele Schritte hat. Bei Zahlungen, Vertragsänderungen, Löschungen, Personalentscheidungen oder öffentlicher Kommunikation steigt das Schadenspotenzial. Dort sollten Aktionen entweder regelbasiert bleiben oder eine echte fachliche Freigabe verlangen. „Autonom“ ist kein Qualitätsmerkmal; oft ist ein engerer Handlungsspielraum das bessere System.
Die wichtigsten zusätzlichen Risiken von Agenten
Indirekte Prompt Injection. Ein Agent kann manipulierte Anweisungen aus Webseiten, E-Mails oder Dokumenten als Arbeitsauftrag missverstehen. Das BSI bezeichnet dies bei anwendungsintegrierten Sprachmodellen als grundlegende Schwachstelle.
Übermäßige Rechte. Ein Assistent mit Lese-, Schreib-, Versand- und Löschrechten kann aus einem einzelnen Modellfehler einen realen Geschäftsschaden machen.
Nicht deterministische Pfade. Derselbe Auftrag kann unterschiedliche Zwischenschritte oder Ergebnisse erzeugen. Tests müssen deshalb Varianten, Grenzen und Abbruchfälle abdecken.
Datenabfluss. Eingaben, abgerufene Quellen, Tool-Antworten und Logs können personenbezogene oder vertrauliche Informationen enthalten.
Fehlerketten. Ein falscher erster Schritt kann weitere plausible, aber falsche Aktionen auslösen. Eine Prüfung nur des Endtextes erkennt die Ursache möglicherweise nicht.
Kontrollen, bevor ein Agent Werkzeuge nutzen darf
- Minimale Rechte: getrennte technische Konten, standardmäßig lesend, nur notwendige Datenräume und Aktionen
- Erlaubnislisten: freigegebene Werkzeuge, Domains, Datentypen und Empfänger statt offener Zugriff
- Freigabepunkte: Zahlungen, Versand, Veröffentlichung, Löschung und sensible Änderungen benötigen explizite Bestätigung
- Begrenzungen: maximale Schritte, Laufzeit, Kosten, Datenmenge und Wiederholungen pro Auftrag
- Trennung von Inhalt und Anweisung: externe Inhalte grundsätzlich als potenziell untrusted behandeln
- Validierung: Schema-, Werte-, Rechte- und Plausibilitätsprüfungen außerhalb des Sprachmodells
- Protokolle: Eingaben, Quellen, Tool-Aufrufe, Ergebnisse und Freigaben soweit rechtlich zulässig nachvollziehbar machen
- Abschaltung und Rückfall: laufende Aufträge stoppen und auf einen bekannten manuellen Prozess zurückkehren können
Diese Kontrollen machen ein riskantes Vorhaben nicht automatisch zulässig. Sie schaffen aber die technische Grundlage, um einen begrenzten Einsatz überhaupt prüfen zu können.
Entscheidungshilfe für Unternehmen
Beginnen Sie mit der kleinstmöglichen wirksamen Stufe:
Feste Regeln reichen, wenn Eingang, Entscheidung und Aktion strukturiert sind.
Ein begrenzter KI-Schritt passt, wenn vor allem unstrukturierter Inhalt verstanden oder formuliert werden muss, der weitere Ablauf aber bekannt ist.
Ein Agent kommt erst infrage, wenn variable Planung echten Mehrwert bietet, der Fall ausreichend häufig ist und Rechte, Tests, Überwachung sowie Rückfall wirtschaftlich tragbar sind.
Bewerten Sie jede Option nach Ergebnisqualität, kritischen Fehlern, Bearbeitungszeit, Gesamtkosten und möglichem Schadensumfang. Eine Demo zeigt technische Möglichkeit; sie beantwortet noch nicht, ob der produktive Betrieb sicherer oder wirtschaftlicher ist.
Fazit
Für viele Mittelstandsprozesse ist ein fester Workflow oder ein hybrider Aufbau verlässlicher als ein weitgehend autonomer Agent. KI sollte dort eingesetzt werden, wo unstrukturierte Informationen tatsächlich das Problem sind — nicht als Ersatz für klare Regeln, Berechtigungen und Verantwortung.
Wir konzipieren Automatisierungen deshalb vom Prozess und Risiko aus: zunächst feste Logik, dann bei Bedarf ein begrenzter KI-Baustein und erst bei belegtem Mehrwert mehr Handlungsspielraum. Den allgemeinen Einführungsrahmen erklärt unser Artikel KI im Mittelstand.
Nachvollziehbarkeit
Quellen und weiterführende Informationen
Schnell geklärt
Häufig gestellte Fragen
Was ist der Unterschied zwischen einem Chatbot und einem KI-Agenten?
Ein Chatbot kann auf Eingaben antworten, ohne selbst weitere Werkzeuge zu nutzen. Ein Agent kann je nach Ausgestaltung Zwischenschritte planen und Aktionen über angebundene Werkzeuge ausführen. Entscheidend sind die tatsächlichen Rechte, nicht die Produktbezeichnung.
Ist ein KI-Agent besser als n8n, Make oder Zapier?
Nicht pauschal. Workflow-Werkzeuge sind für bekannte Auslöser und Aktionen häufig nachvollziehbarer. Ein Modell kann als begrenzter Schritt ergänzt werden, wenn unstrukturierte Inhalte verarbeitet werden müssen.
Darf ein KI-Agent automatisch E-Mails verschicken?
Technisch ja, organisatorisch und rechtlich nicht in jedem Fall sinnvoll. Empfänger, Inhalt, Datenschutz, Markenrisiko und mögliche Folgen bestimmen, ob eine Freigabe, Vorlage oder rein interne Nutzung nötig ist.
Wie verhindert man Prompt Injection vollständig?
Eine vollständige Verhinderung lässt sich bei agentischen Sprachmodellen nicht seriös versprechen. Risiken werden durch minimale Rechte, Trennung externer Inhalte, Erlaubnislisten, Validierung, Freigaben, Tests und Überwachung begrenzt.
Womit sollte ein Unternehmen anfangen?
Mit Prozessaufnahme und einem festen Workflow, sofern Regeln genügen. Erst wenn eine klar benannte unstrukturierte Aufgabe übrig bleibt, wird ein begrenzter KI-Baustein getestet. Mehr Autonomie folgt nur aus belegtem Nutzen und beherrschtem Risiko.
