KI-Agenten: Was sie können und wie ihr einen sicher erstellt

Ein KI-Agent ist ein KI-System, das eine Aufgabe in mehreren Schritten selbst erledigt: Ein Sprachmodell plant, ruft Werkzeuge wie CRM, E-Mail oder Datenbank auf, prüft die Ergebnisse und entscheidet über den nächsten Schritt, bis das Ziel erreicht ist. Sinnvoll ist das für klar abgegrenzte Abläufe mit minimalen Rechten und menschlicher Freigabe. Seit dem 2. August 2026 gelten zudem die Transparenzpflichten des EU AI Act, etwa wenn ein Agent direkt mit Menschen kommuniziert.

Was macht ein KI-Agent?

Ein KI-Agent arbeitet ein Ziel eigenständig ab: Er zerlegt die Aufgabe, wählt passende Werkzeuge, wertet deren Ergebnisse aus und legt dann den nächsten Schritt fest. Google Cloud beschreibt Agenten als Softwaresysteme, die mit KI Ziele verfolgen und Aufgaben im Auftrag von Nutzern erledigen, mit Planung, Gedächtnis und einem gewissen Maß an Autonomie.

Laut Anthropic sind Agenten technisch meist Sprachmodelle, die in einer Schleife Werkzeuge nutzen und sich an den Rückmeldungen ihrer Umgebung orientieren. Ein Durchlauf:

1. Auslöser: Ein Mensch erteilt einen Auftrag, oder ein Ereignis wie eine neue E-Mail oder ein neues Ticket startet den Agenten.
2. Plan: Das Modell legt fest, welche Schritte und Werkzeuge nötig sind.
3. Aktion: Es ruft ein Werkzeug auf, etwa eine CRM-Abfrage, eine Suche oder einen Kalendereintrag.
4. Prüfung: Das Ergebnis fließt zurück. Daran misst der Agent, wie weit er gekommen ist.
5. Ende oder Rückfrage: Der Agent stoppt, wenn das Ziel erreicht ist oder eine Abbruchgrenze wie eine maximale Zahl an Durchläufen greift. An Kontrollpunkten kann er einen Menschen fragen.

Ob KI-Agent, agentische KI oder Agentic AI: Entscheidend ist, wer den Weg bestimmt. Anthropic fasst alle Varianten als „agentische Systeme“ zusammen und unterscheidet zwei Bauarten. Bei Workflows laufen Modell und Werkzeuge über vorab programmierte Pfade. Bei Agenten steuert das Modell seinen Ablauf und die Wahl der Werkzeuge selbst. Workflows sind vorhersagbarer; Agenten sind flexibler, verursachen aber höhere Kosten, und Fehler können sich über mehrere Schritte fortpflanzen.

KI-Agent, Chatbot, Workflow oder RPA: Was ist der Unterschied?

Der Unterschied liegt darin, wer über den nächsten Schritt entscheidet: beim Chatbot der Mensch, bei Workflow-Automatisierung und RPA der vorab festgelegte Ablauf, beim KI-Agenten das Sprachmodell innerhalb gesetzter Grenzen.

Ansatz	Wer bestimmt den nächsten Schritt?	Passt, wenn …
Chatbot / KI-Assistent	Der Mensch. Das System beantwortet Anfragen und kann Aktionen empfehlen, entscheiden muss der Nutzer.	ohnehin jemand jeden Schritt anstößt, etwa beim Recherchieren oder Formulieren
Workflow-Automatisierung (auch mit KI-Schritten)	Der vorab programmierte Ablauf. Das Sprachmodell erledigt einzelne Schritte wie Klassifizieren oder Zusammenfassen.	sich der Weg vorher aufschreiben lässt
RPA (Robotic Process Automation)	Ein aufgezeichneter oder gebauter Ablauf, der Anwendungen über ihre Oberfläche bedient, auch ältere Programme.	wiederkehrende Klickfolgen in Desktop-Anwendungen anfallen
KI-Agent	Das Sprachmodell, im Rahmen der Werkzeuge und Rechte, die ihr freigebt.	sich die nötigen Schritte nicht vorhersagen lassen

Anthropic rät, immer mit der einfachsten Lösung zu beginnen und Komplexität nur dann zu erhöhen, wenn sie das Ergebnis nachweislich verbessert. Für viele Anwendungen genüge ein einzelner, gut gebauter Modellaufruf, der passendes Wissen und Beispiele abruft. Prüft deshalb zuerst, ob ein fester Workflow reicht. Geht es nur darum, Fragen aus euren Dokumenten mit Quellenangabe zu beantworten, braucht ihr meist keinen Agenten, sondern ein RAG-System für eure Unternehmensdaten.

Welche KI-Agenten gibt es?

KI-Agenten lassen sich nach Einsatzart, nach Zahl der beteiligten Agenten und nach dem Werkzeug unterscheiden, mit dem sie gebaut werden. Für Unternehmen ist die Einteilung nach Werkzeug am praktischsten, denn das Werkzeug bestimmt Aufwand, Kontrolle und Abhängigkeit vom Anbieter.

Nach Einsatzart und Aufbau

• Dialog-Agenten arbeiten im Gespräch mit Mitarbeitenden oder Kunden und werden in der Regel durch eine Anfrage ausgelöst.
• Hintergrund-Agenten laufen ohne Dialog, reagieren auf Ereignisse und arbeiten Aufgaben aus einer Warteschlange ab.
• Einzel- und Multi-Agenten-Systeme: Ein einzelner Agent passt zu klar umrissenen Aufgaben. In Multi-Agenten-Systemen arbeiten mehrere Agenten zusammen, etwa ein koordinierender Agent, der Teilaufgaben verteilt und die Ergebnisse zusammenführt.

Nach Werkzeug: Womit KI-Agenten erstellt werden

Vier Wege, einen KI-Agenten zu erstellen, mit Beispielen aus der offiziellen Dokumentation der Anbieter (Stand 4. November 2026, keine Marktübersicht):

Weg	Beispiele	Passt zu
Low-Code-Baukasten	Microsoft Copilot Studio: grafisches Low-Code-Studio für Agenten und Workflows; „Agent flows“ können Prüfschritte durch Menschen enthalten.	Teams, die ohne viel Programmierung in der Microsoft-Umgebung starten
Agenten im Chat-Arbeitsplatz	ChatGPT Workspace Agents: veröffentlichte Agenten lassen sich per API auch aus anderen Systemen anstoßen.	Unternehmen, die ChatGPT bereits im eigenen Workspace nutzen
Workflow-Werkzeug mit Agenten-Baustein	n8n: Der Knoten „AI Agent“ verbindet ein Sprachmodell mit Werkzeugen, der Agent wählt das passende. Die Community Edition lässt sich selbst betreiben.	Abläufe, in denen nur ein Schritt Agenten-Freiheit braucht
Entwickler-Frameworks	OpenAI Agents SDK, Claude Agent SDK, Google Agent Development Kit (ADK, Open Source)	eigene Anwendungen mit voller Kontrolle über Daten, Freigaben und Hosting

Plant bei jedem Weg einen Ausstieg ein, denn die Werkzeuge ändern sich schnell: OpenAI stellt seinen Agent Builder laut eigener Dokumentation am 30. November 2026 ein. Wer Anweisungen, Werkzeugbeschreibungen und Testfälle unabhängig vom Baukasten dokumentiert, kann einen Agenten leichter umziehen.

KI-Agenten Beispiele: Wo helfen sie im Unternehmen?

KI-Agenten helfen dort, wo eine Aufgabe Gespräch und Handlung verbindet, ein klares Erfolgskriterium hat und ein Mensch sinnvoll eingreifen kann; so fasst Anthropic die aussichtsreichsten Einsatzfelder aus der Arbeit mit seinen Kunden zusammen. Typische Beispiele aus der Dokumentation von Anthropic, Microsoft und OWASP:

• Kundenservice: Der Agent holt Kundendaten, Bestellhistorie und Wissensartikel, aktualisiert Tickets und kann Erstattungen auslösen, sinnvollerweise erst nach Freigabe. Der Erfolg lässt sich an gelösten Anliegen messen.
• Anfragen verteilen: Eingehende Anliegen werden nach Art erkannt, etwa allgemeine Frage, Erstattung oder technischer Support, und an den passenden Ablauf übergeben. Dafür reicht oft schon ein Workflow.
• Postfach-Assistenz: Der Agent fasst E-Mails zusammen und entwirft Antworten. Gesendet wird erst, wenn ein Mensch jeden Entwurf geprüft und selbst auf „Senden“ geklickt hat.
• Interne Abläufe: Microsoft nennt für Copilot Studio Agenten, die an gemeinsamen Prozessen mitarbeiten, etwa beim Onboarding neuer Mitarbeitender oder bei der Koordination wiederkehrender Termine.
• Recherche über mehrere Quellen: Ein koordinierender Agent verteilt Suchaufträge, sammelt die Ergebnisse und fasst sie zusammen.

Welcher Ablauf sich zuerst lohnt, ist eine Frage der Priorisierung. Wie ihr Anwendungsfälle nach Nutzen und Aufwand bewertet, zeigt der Beitrag KI-Anwendungsfälle mit echtem ROI.

Wie erstellt man einen KI-Agenten?

Einen KI-Agenten erstellt ihr in sieben Schritten: Aufgabe eingrenzen, die einfachste Lösung prüfen, Werkzeuge und Rechte minimieren, Freigaben einbauen, Eingaben absichern, testen und protokollieren, dann schrittweise ausweiten. Die Schritte stützen sich auf Empfehlungen von OWASP, OpenAI und Anthropic.

1. Aufgabe und Erfolgskriterium festlegen

Beschreibt genau eine Aufgabe mit Auslöser, Ergebnis und Messgröße, etwa: „Eingehende Reklamation prüfen und einen Antwortentwurf mit Belegen ins Ticket legen.“ Ohne Erfolgskriterium könnt ihr weder testen noch vergleichen.

2. Prüfen, ob ein fester Workflow reicht

Lässt sich der Weg vorab aufschreiben, baut einen Workflow und setzt das Sprachmodell nur dort ein, wo Text verstanden oder formuliert werden muss. Einen Agenten braucht ihr erst, wenn Flexibilität und Entscheidungen des Modells tatsächlich nötig sind.

3. Werkzeuge und Rechte minimieren

OWASP führt „Excessive Agency“, also zu viel Handlungsspielraum, als eigenes Risiko für Anwendungen mit Sprachmodellen. Ursache sind zu viele Funktionen, zu weit gefasste Rechte oder zu viel Autonomie. Daraus folgen konkrete Regeln:

• Nur die Werkzeuge anbinden, die die Aufgabe braucht: Ein Agent, der E-Mails zusammenfasst, braucht keine Funktion zum Senden oder Löschen.
• Offene Werkzeuge wie beliebige Shell-Befehle oder URL-Abrufe vermeiden und lieber eng zugeschnittene Funktionen bauen.
• Rechte in den Zielsystemen begrenzen, zum Beispiel auf Lesezugriff für eine einzelne Tabelle.
• Aktionen im Kontext und mit den Rechten des jeweiligen Nutzers ausführen.
• Ob eine Aktion erlaubt ist, prüft das Zielsystem, nicht das Sprachmodell.

4. Freigaben für folgenreiche Aktionen einbauen

Was nach außen wirkt oder schwer rückgängig zu machen ist, sollte ein Mensch bestätigen: Kundenmails, Zahlungen, Löschungen, Vertragsänderungen. OWASP empfiehlt solche Human-in-the-Loop-Freigaben ausdrücklich für Aktionen mit großer Wirkung. Frameworks unterstützen das bereits: Im OpenAI Agents SDK kann das Modell eine Aktion für nötig halten, der Lauf pausiert aber, bis ein Mensch zustimmt oder ablehnt.

5. Eingaben als nicht vertrauenswürdig behandeln

Liest ein Agent E-Mails, Dateien oder Webseiten, können darin Anweisungen stecken, die für Menschen nicht einmal sichtbar sein müssen. OpenAI beschreibt diese Prompt Injection als häufigen und gefährlichen Angriff, über den zum Beispiel private Daten per Werkzeugaufruf abfließen können. Gegenmaßnahmen: fremde Inhalte nie in die Systemanweisungen übernehmen, zwischen den Schritten nur fest strukturierte Felder weitergeben und Werkzeugaufrufe bestätigen lassen. Nach Angaben von OpenAI senkt das Risiko deutlich, beseitigt es aber nicht vollständig.

6. Testen, protokollieren und Grenzen setzen

Anthropic empfiehlt umfangreiche Tests in abgeschotteten Umgebungen, bevor ein Agent produktiv arbeitet. Setzt Abbruchgrenzen wie eine maximale Zahl an Durchläufen und protokolliert jede Aktion mit Zeitpunkt, Eingabe und Ergebnis. OWASP nennt Logging, Monitoring und Ratenbegrenzung als Mittel, um unerwünschte Aktionen zu erkennen, bevor großer Schaden entsteht.

7. Messen und schrittweise ausweiten

Vergleicht Aufwand, Fehlerquote und Durchlaufzeit mit dem bisherigen Ablauf. Mehr Spielraum für unkritische Fälle und der nächste Prozess folgen erst, wenn die Ergebnisse über Wochen stabil sind.

Kurz-Check vor dem Start

• Gibt es eine einzelne Aufgabe mit klarem Auslöser und messbarem Ergebnis?
• Reicht ein fester Workflow nicht, weil sich der Weg nicht vorab festlegen lässt?
• Sind die nötigen Systeme per Schnittstelle erreichbar, mit einem eigenen, eng begrenzten Zugang für den Agenten?
• Ist festgelegt, welche Aktionen wer freigibt?
• Ist bei personenbezogenen Daten geklärt, wo das Modell läuft und wer Auftragsverarbeiter ist?
• Gibt es Testfälle, Protokolle und eine Abbruchgrenze?

Wie viel kostet ein KI-Agent?

Einen Festpreis für KI-Agenten gibt es nicht. Die Kosten setzen sich aus Modellnutzung, Plattform oder Lizenz, Entwicklung und Anbindung sowie dem laufenden Betrieb zusammen. Weil ein Agent in einer Schleife arbeitet, ruft er das Modell pro Aufgabe meist mehrfach auf, und jeder Aufruf wird abgerechnet. Anthropic weist ausdrücklich darauf hin, dass agentische Systeme Geschwindigkeit und Kosten gegen bessere Ergebnisse tauschen.

Kostenblock	Abrechnung	Beispiel laut Anbieter, Stand 4. November 2026
Modellnutzung per API	nach Tokens, getrennt nach Eingabe und Ausgabe	OpenAI: 0,10 bis 10 US-Dollar pro Million Eingabe-Tokens und 0,50 bis 50 US-Dollar pro Million Ausgabe-Tokens für die GPT-6-Modelle (Standardtarif, kurzer Kontext). Anthropic rechnet Claude-Modelle ebenfalls pro Million Tokens ab.
Agenten-Plattform	nach Verbrauch oder Kontingent	Microsoft Copilot Studio rechnet in Copilot Credits ab; wie viele pro Antwort oder Aktion anfallen, hängt von der Komplexität der Aufgabe ab.
Workflow-Werkzeug	nach Ausführungen oder Eigenbetrieb	n8n Cloud „Starter“: 20 Euro pro Monat bei jährlicher Zahlung für 2.500 Workflow-Ausführungen. Die Community Edition betreibt ihr selbst, Server und Wartung inklusive.
Entwicklung und Anbindung	Projektaufwand	hängt von Zahl und Zustand der Schnittstellen, der Freigabelogik und den Tests ab
Betrieb	laufend	Überwachung, Auswertung der Protokolle, Anpassung bei Modell- oder Prozesswechseln

Der Faktor 100 zwischen günstigstem und teuerstem GPT-6-Modell zeigt den Hebel: Einfache Anfragen lassen sich an günstige Modelle leiten und nur schwierige an große, ein Muster, das Anthropic als Routing beschreibt. Belastbare Zahlen liefert ein Pilot, der echte Vorgänge zählt; Preise ändern sich häufig.

Welche Gefahren bringen KI-Agenten mit sich?

Die Hauptgefahr ist keine „böse“ KI, sondern eine schädliche Aktion auf Grundlage einer unerwarteten, mehrdeutigen oder manipulierten Modellausgabe; so definiert OWASP das Risiko „Excessive Agency“. Vier Gefahren im Überblick:

• Prompt Injection: Fremde Inhalte bringen den Agenten dazu, seine Anweisungen zu ignorieren. Im Beispiel von OWASP verleitet eine präparierte E-Mail einen Postfach-Assistenten dazu, sensible Informationen an den Angreifer weiterzuleiten.
• Datenabfluss ohne Angreifer: Ein Modell kann ungewollt mehr Daten an ein angebundenes Werkzeug schicken, als beabsichtigt war.
• Fehler, die sich fortpflanzen: Jeder Schritt baut auf dem vorherigen auf, sodass sich ein früher Fehler über viele Schritte auswirken kann.
• Falsche Aktionen: Ein Agent bietet etwa eine Erstattung an, die er nicht anbieten darf, oder löscht Daten, die bleiben sollten.

OpenAI schreibt selbst, dass Agenten auch mit allen Schutzmaßnahmen Fehler machen oder getäuscht werden können. Entscheidend sind deshalb die Rechte, die ihr einem Agenten gebt, und die Stellen, an denen ein Mensch freigibt.

Was verlangen EU AI Act und DSGVO bei KI-Agenten?

Der EU AI Act knüpft Pflichten an eure Rolle und an den Einsatzzweck des KI-Systems. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet. Für Agenten sind vor allem drei Punkte wichtig:

• Transparenz (Art. 50): Seit dem 2. August 2026 müssen Anbieter sicherstellen, dass Menschen informiert werden, wenn sie direkt mit einem KI-System interagieren, es sei denn, das ist nach den Umständen offensichtlich. Das betrifft etwa einen Agenten, der mit Kundinnen und Kunden chattet.
• KI-Kompetenz (Art. 4): Die Pflicht gilt seit dem 2. Februar 2025. Der Digital-Omnibus zur KI, Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026, hat sie neu gefasst: Anbieter und Betreiber ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals zu unterstützen; ein bestimmtes Niveau müssen sie nicht garantieren.
• Hochrisiko-Bereiche (Anhang III): Dazu zählen KI-Systeme für die Einstellung oder Auswahl von Bewerberinnen und Bewerbern sowie für die Kreditwürdigkeitsprüfung natürlicher Personen. Die Pflichten für diese Systeme gelten nach dem Omnibus ab dem 2. Dezember 2027.

Die DSGVO zieht eine weitere Grenze, die für Agenten besonders wichtig ist. Nach Art. 22 Abs. 1 DSGVO hat jede betroffene Person das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt; Absatz 2 regelt Ausnahmen. Lasst solche Entscheidungen deshalb von Menschen treffen und den Agenten nur vorbereiten. Verarbeitet ein Modellanbieter personenbezogene Daten in eurem Auftrag, braucht ihr außerdem einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Fristen und Pflichten im Überblick stehen in unserem Leitfaden zum EU AI Act. Dieser Beitrag ersetzt keine Rechtsberatung; ob und welche Pflichten für euren Agenten gelten, sollte im Einzelfall rechtlich geprüft werden.

Fazit: klein anfangen, Kontrolle behalten

Ein guter erster KI-Agent ist unspektakulär: eine Aufgabe, wenige Werkzeuge, enge Rechte, ein Mensch, der freigibt, und Protokolle, die jede Aktion nachvollziehbar machen. Mehr Autonomie gibt es erst, wenn die Ergebnisse messbar stabil sind. Wenn ihr dabei Unterstützung wollt: KI-Agenten für klar abgegrenzte Aufgaben mit Freigabeschritten gehören zu unseren KI-Automatisierungen.

Quellen

1. Building effective AI agents – Anthropic, 19. Dezember 2024, abgerufen am 4. November 2026
2. LLM06:2025 Excessive Agency – OWASP Gen AI Security Project, abgerufen am 4. November 2026
3. Safety in building agents – OpenAI API-Dokumentation, abgerufen am 4. November 2026
4. Guardrails and human review – OpenAI API-Dokumentation, abgerufen am 4. November 2026
5. Pricing – OpenAI API-Dokumentation, abgerufen am 4. November 2026
6. Licensing for agents powered by the standard harness (Copilot Studio) – Microsoft Learn, Stand 3. August 2026
7. Timeline for the Implementation of the EU AI Act – AI Act Service Desk, Europäische Kommission, abgerufen am 4. November 2026
8. Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus-Verordnung zur KI) – Amtsblatt der Europäischen Union, 24. Juli 2026