Von der Automatisierung zum Agenten: der Unterschied, der die Architektur ändert

Was sich technisch ändert

Eine feste Automatisierung, ob als Skript, als Workflow im ERP oder als RPA-Roboter, ist ein Ablaufplan: Schritt eins, Schritt zwei, bei Bedingung X Abzweig nach Schritt vier. Jeder Pfad ist im Voraus bekannt, jeder Pfad ist prüfbar, und wenn etwas schiefgeht, lässt sich der Fehler auf einen Schritt zurückführen. Ein Agent bekommt statt des Ablaufplans ein Ziel, einen Satz Werkzeuge und die Freiheit, diese Werkzeuge in einer Reihenfolge zu kombinieren, die niemand vorgesehen hat. Beim nächsten Lauf kann die Reihenfolge anders sein, weil das Sprachmodell die Zwischenergebnisse anders bewertet.

Das ist die Stärke und zugleich das Risiko. Die Stärke: Ein Agent kommt mit Fällen zurecht, die im Ablaufplan nie standen, etwa einer Störmeldung, deren Ursache in drei Systemen gleichzeitig steckt. Das Risiko: Sie können vorab nicht mehr prüfen, was er tun wird, weil das Modell den Pfad zur Laufzeit erzeugt. Im Zwei-Wochen-Pilot bei TROESTER hat der Wissensassistent mit Zugriff auf zwölf angebundene Systeme die Lösungszeit pro Störung von rund sechs Stunden auf 76 Minuten gesenkt, und genau diese Breite an Systemen ist der Grund, warum die Reihenfolge der Abfragen dort keinem festen Skript folgen konnte. Wie ein solcher Mehrschrittlauf mit Protokoll technisch aussieht, beschreibt Agent: mehrere Schritte mit Protokoll.

Welche vier Grenzen ersetzen den geprüften Pfad?

Wenn der Pfad nicht mehr prüfbar ist, verlagert sich die Kontrolle auf das, was um den Pfad herum steht. In unserer Praxis haben sich vier Leitplanken bewährt, die unabhängig vom Modell und vom Anbieter funktionieren. Sie bauen aufeinander auf, deshalb lohnt sich die Reihenfolge: Erst der Werkzeugkasten, dann die Verbote, dann das Protokoll, dann die Abbruchkriterien.

• Werkzeugkasten statt Freiheit: Ein Agent darf genau die Werkzeuge nutzen, die Sie ihm geben, mit genau den Rechten des Auftraggebers. Läuft er im Namen einer Instandhalterin, sieht er, was diese Instandhalterin im ERP und im Dokumentenarchiv sieht, und keine Zeile mehr. Ein technisches Sammelkonto mit Vollzugriff ist die häufigste Fehlentscheidung in frühen Projekten, weil sie bequem ist. Warum die Berechtigung die eigentliche Systemgrenze ist, steht in Berechtigungen als Systemgrenze.
• Verbote statt Pfade: Sie definieren, was er nie tun darf: keine Bestellung auslösen, keine Nachricht nach außen senden, keine Stammdaten ändern, keine Freigabe erteilen. Was er tun soll, ergibt sich aus dem Ziel. Die Verbotsliste ist kurz, meist fünf bis zehn Zeilen, und sie wird technisch durchgesetzt, nicht nur im Prompt beschrieben.
• Vollständiges Protokoll: Welche Schritte, welche Quellen, welche Werkzeuge, in welcher Reihenfolge, mit welchem Zwischenergebnis und aus welchem Grund. Das Protokoll ist die einzige Möglichkeit, einen Lauf im Nachhinein zu verstehen.
• Abbruchkriterien: maximale Schrittzahl (in unseren Projekten meist zwischen zehn und zwanzig Schritten je Lauf), maximale Kosten je Lauf, ein Zeitlimit und eine definierte Übergabe an einen Menschen, wenn eines davon erreicht ist. Wie ein solches Kriterium formuliert wird, damit es hält, zeigt Abbruchkriterium für den KI-Pilot definieren.

Die vier Leitplanken sind zugleich die Prüfliste für jedes Angebot. Ein Anbieter, der sie für sein Produkt auf einer Seite darlegen kann, hat den Betrieb im Mittelstand zu Ende gedacht. Wer stattdessen von Autonomie spricht, sollte die vier Punkte nachreichen, bevor ein Vertrag unterschrieben wird.

Wo Agenten heute sinnvoll sind

Die Entscheidung, ob eine Aufgabe einem Agenten oder einer festen Automatisierung gehört, hängt an zwei Größen: Wie viele Varianten hat die Aufgabe, und wie groß ist der Schaden, wenn ein einzelner Lauf danebenliegt? Viele Varianten und geringer Schaden je Fall sprechen für den Agenten. Wenige Varianten und hoher Schaden sprechen für die feste Automatisierung. Die Matrix ordnet typische Aufgaben aus Produktion, Service und Verwaltung ein.

Bei Aufgaben mit vielen Varianten und geringem Schadenspotenzial pro Fall ist der Agent heute die richtige Wahl: Recherche über mehrere Quellen, Vorbereitung von Entscheidungen, Zusammenstellung von Unterlagen für ein Angebot oder eine Reklamation. Der Agent liefert einen Vorschlag mit Belegen, ein Mensch entscheidet. Bei wirksamen Handlungen mit Außenwirkung, also Bestellungen, Kundenkommunikation, Freigaben, bleibt die feste Automatisierung die bessere Wahl, weil sie prüfbar ist. Dazwischen liegt ein Muster, das sich in der Praxis bewährt hat: Der Agent bereitet vor, ein Mensch gibt frei, eine feste Automatisierung führt aus. Wie diese Freigabestelle gebaut wird, ohne dass sie zum Flaschenhals wird, steht in Human in the Loop als Architektur.

Wie sieht ein Protokoll aus, das ein Audit übersteht?

Ein Protokoll ist erst dann brauchbar, wenn eine zweite Person ohne Vorwissen daraus rekonstruieren kann, was passiert ist und warum. Die Kette vom Ergebnis zurück zur Quelle ist dieselbe, die auch eine belegte Antwort braucht; warum das im Betrieb zählt, steht in Antwort mit Quelle: warum Belege zählen. Für einen Agentenlauf gehören zu jedem einzelnen Schritt sieben Angaben:

• Zeitstempel und Laufnummer: damit sich der Schritt einem Lauf und einer Person zuordnen lässt.
• Werkzeug und Parameter: welche Funktion mit welchen Eingaben aufgerufen wurde, etwa „Suche im Dokumentenarchiv, Anlage P3, Zeitraum März“.
• Gelesene Quellen: Dokument, Version, Abschnitt. Ohne Version lässt sich ein Monat später nicht mehr sagen, ob die Quelle damals aktuell war.
• Zwischenergebnis: was das Werkzeug zurückgegeben hat, in Kurzform.
• Begründung: warum das Modell den nächsten Schritt gewählt hat. Diese Zeile trennt ein Protokoll von einem Logfile.
• Kosten: verbrauchte Tokens und Euro je Schritt, damit das Abbruchkriterium greifen kann.
• Abbruchgrund: Ziel erreicht, Limit erreicht, Übergabe an einen Menschen, Fehler.

Zwei betriebliche Konsequenzen folgen daraus. Erstens enthält das Protokoll Personendaten: wer den Lauf gestartet hat, welche Dokumente er gelesen hat, welche Kollegen darin vorkommen. Damit ist es Gegenstand des Auftragsverarbeitungsvertrags nach DSGVO Art. 28, wenn ein Anbieter es speichert, und Gegenstand der Mitbestimmung nach BetrVG § 87, sobald sich daraus das Verhalten einzelner Beschäftigter auswerten ließe. Zweitens braucht das Protokoll einen Leser: In unseren Projekten liest eine benannte Person wöchentlich eine Stichprobe von Läufen, vor allem die abgebrochenen, denn dort entstehen die Nachschärfungen an Verboten und Abbruchkriterien. Ein Protokoll ohne benannten Leser bleibt Speicherplatz.

In vier Wochen zum ersten kontrollierten Agenten

Ein Pilot dauert in unserer Praxis zwei bis vier Wochen, und der Aufbau ist immer derselbe. Woche eins: eine Aufgabe wählen, die oben rechts in der Matrix steht, also viele Varianten und geringer Schaden je Fall, und den heutigen Ablauf mit Zeitaufwand festhalten. Woche zwei: Werkzeugkasten, Verbote und Abbruchkriterien auf einer Seite festlegen und von Fachbereich, IT und Geschäftsführung gegenzeichnen lassen. Woche drei: Schattenbetrieb. Der Agent erzeugt Vorschläge mit Protokoll, die Menschen arbeiten wie bisher und vergleichen. Woche vier: Protokolle auswerten, vor allem die abgebrochenen Läufe, und entscheiden, ob der Agent in den Regelbetrieb geht, nachgeschärft wird oder beendet wird.

Die Seite aus Woche zwei ist der Freigabebogen. Sie können ihn als druckbares Arbeitsblatt (PDF) herunterladen. Er enthält die Felder für Ziel, Werkzeuge mit Rechten, Verbote, Abbruchkriterien, Protokollleser und die drei Unterschriften. Wer einen Agenten ohne diese Seite startet, hat später keine Grundlage, an der er den Lauf messen kann. Wo ein Agent zwischen mehreren Systemen vermittelt, kommt die Frage hinzu, welches System im Zweifel handelt; dazu Orchestrator: wer entscheidet, welches System handelt.

Die Frage, die Sie im Auswahlgespräch stellen sollten

Die Frage „Kann das System Agenten?“ beantwortet heute jeder Anbieter mit Ja. Die Frage, die trennt, lautet: Zeigen Sie mir das Protokoll eines Laufs, der schiefging. Ein Anbieter mit ernsthafter Betriebserfahrung hat ein solches Protokoll griffbereit, kann die Stelle zeigen, an der das Abbruchkriterium gegriffen hat, und erklären, was danach geändert wurde. Wer darauf keine überzeugende Antwort hat, hat die Nachvollziehbarkeit nicht gebaut, und ohne die ist ein Agent im Betrieb nicht verantwortbar. Drei Nachfragen helfen zusätzlich: Mit welchen Rechten läuft der Agent, mit den Rechten des Nutzers oder mit einem Systemkonto? Wo liegt das Protokoll, und wer kann es lesen? Und was kostet ein Lauf im Durchschnitt und im schlechtesten Fall?

Was ein Agent nicht löst

Ein Agent repariert keine schlechte Datenlage. Wenn die Wartungshistorie in drei Formaten in fünf Ablagen liegt, findet er sie ebenso wenig wie ein Mensch, er scheitert nur schneller und teurer. Er übernimmt keine Verantwortung: Die Entscheidung, die aus seinem Vorschlag folgt, trägt weiterhin die Person, die freigibt, und dafür muss diese Person nach EU AI Act Art. 4 ausreichend geschult sein, um den Vorschlag beurteilen zu können. Er ersetzt keinen Prozess, der nicht definiert ist; ein Ziel, das im Betrieb niemand präzise formulieren kann, kann auch ein Agent nicht verfolgen. Und er ist für wirksame Handlungen mit Außenwirkung heute die falsche Wahl, solange die Freigabe fehlt. Wo der Mittelstand insgesamt beim Thema steht, ordnet Agentic AI im Mittelstand ein.