Ein Agent unterscheidet sich von einem Assistenten dadurch, dass er Schritte selbst wählt und Werkzeuge kombiniert, um ein Ziel zu erreichen. Der Nutzen steigt mit der Variabilität der Aufgabe; zugleich werden Fehlerpfade schwerer vorhersehbar. Die Entwurfsfrage lautet deshalb nicht „Wie autonom kann das System sein?“, sondern „Welcher kleinste Handlungsspielraum liefert den Prozessnutzen zuverlässig?“.
Assistent, Workflow, Agent: drei Stufen der Autonomie
| Stufe | Was das System darf | Wer entscheidet | Beispiel |
|---|---|---|---|
| Assistent | Vorschlagen | Der Mensch führt jede Aktion selbst aus | Antwortentwurf für eine Kundenanfrage |
| Workflow | Feste Schrittfolge mit definierten Werkzeugen ausführen | Der Mensch an festgelegten Freigabepunkten | Rechnung erfassen, prüfen, nach Freigabe buchen |
| Agent | Schritte selbst wählen und Werkzeuge kombinieren | Das System innerhalb technischer Grenzen, der Mensch an Stopppunkten | Lieferstatus über mehrere Systeme klären und Antwort vorbereiten |
Viele Aufgaben, die als Agentenprojekt beginnen, sind bei genauer Betrachtung Workflows mit zwei oder drei Verzweigungen. Diese Einordnung spart Aufwand und Risiko, weil ein Workflow vollständig testbar ist.
Grenzen, die technisch durchgesetzt werden
- Werkzeugliste: Nur ausdrücklich freigegebene Werkzeuge sind erreichbar; alles andere existiert für den Agenten nicht.
- Rechte je Werkzeug: Lesen und Schreiben werden getrennt vergeben; Schreibrechte bleiben die Ausnahme.
- Budget: Maximale Zahl an Schritten, maximale Laufzeit und maximale Kosten je Vorgang.
- Erlaubte Ziele: Systeme, Domains und Empfänger, mit denen der Agent interagieren darf.
- Stopppunkte: Aktionen, die immer eine menschliche Freigabe auslösen.
- Reversibilität: Reversible Aktionen werden bevorzugt; irreversible Aktionen wie Zahlungen, Löschungen oder Versand sind Stopppunkte.
Keine dieser Grenzen darf allein im Prompt stehen. Sie gehören in den Code, der die Werkzeuge bereitstellt, weil nur dort ein Text sie nicht außer Kraft setzen kann.
Beispiel: Ein Agent für Lieferanfragen
Ein Agent soll Kundenanfragen zum Lieferstatus beantworten. In der ersten Phase darf er das Bestellsystem und die Sendungsverfolgung lesen und eine Antwort entwerfen. Er darf keine Bestellung ändern, keine Erstattung auslösen und nichts ohne Prüfung versenden. Das Budget beträgt zehn Schritte je Vorgang; eine unbekannte Bestellnummer ist ein Stopppunkt mit Übergabe an einen Mitarbeiter.
Nach einigen Monaten zeigen die Protokolle, dass Standardfälle mit eindeutiger Sendungsverfolgung zuverlässig beantwortet werden. Erst dann wird für genau diese Fälle der Versand ohne Einzelfreigabe erlaubt, mit einer wöchentlichen Stichprobe. Änderungen an Bestellungen bleiben dauerhaft ein Stopppunkt.
Protokolle, die Fragen beantworten
Ein brauchbares Protokoll hält für jede Aktion fest, welche Beobachtung zu welcher Entscheidung führte, welches Werkzeug mit welchen Parametern aufgerufen wurde und was zurückkam. Damit lässt sich nachträglich beantworten, warum der Agent etwas getan hat, welche Quelle eine Fehlentscheidung ausgelöst hat und ob eine Erweiterung des Spielraums vertretbar ist. Protokolle, die nur das Endergebnis speichern, beantworten keine dieser Fragen.
Testen, was schiefgehen kann
- Ein Werkzeug antwortet nicht oder liefert einen Fehler.
- Zwei Quellen widersprechen sich.
- Eine Werkzeugantwort enthält eingebettete Anweisungen.
- Der Agent gerät in eine Schleife aus Wiederholungen.
- Das Budget wird überschritten, bevor das Ziel erreicht ist.
Jeder dieser Fälle muss zu einem definierten, sicheren Zustand führen: Abbruch mit Protokoll, Übergabe an einen Menschen oder Rückfall auf den manuellen Prozess. Die Angriffsfälle aus dem Beitrag zu Prompt Injection gehören in dieselbe Testreihe.
Autonomie wird verdient, nicht konfiguriert. Der Handlungsspielraum wächst erst, wenn Protokolle über einen längeren Zeitraum belegen, dass der kleinere Spielraum zuverlässig genutzt wurde.
Freigabe und Aufsicht mitdenken
Welche Aktionen eine Freigabe brauchen, ergibt sich aus der möglichen Auswirkung, wie sie der Beitrag zur menschlichen Aufsicht einordnet. Ob der Agent im Betrieb innerhalb seiner Grenzen bleibt, zeigen die Signale aus dem KI-Monitoring: ungewöhnliche Werkzeugnutzung, steigende Abbrüche und Budgetüberschreitungen sind die ersten Hinweise auf einen Spielraum, der zu groß geworden ist.