Die entscheidende Grenze verläuft nicht zwischen alter und neuer Software. Sie verläuft zwischen Software, die eine Aktion empfiehlt, und Software, die sie ausführen kann. Sobald ein KI-System planen, Tools aufrufen, Datensätze verändern oder einen Workflow auslösen kann, reicht eine reine Anwendungsprüfung nicht mehr aus. Das Unternehmen braucht zusätzlich Entscheidungsrechte, Aufsicht, Ausnahmebehandlung und operative Verantwortung für den gesamten Aktionszyklus.
OWASPs Arbeit zu agentischen Bedrohungen vom Februar 2025 war ein frühes Signal für diesen Wandel. Das Problem ist größer als Prompt Injection oder Datenabfluss, weil ein Agent Anweisungen, Daten, Zugangsdaten und Tools zu einer operativen Wirkung verbinden kann. Klassische Application Security bleibt wichtig. Sie beantwortet aber nicht, wer die Aktion genehmigt hat oder was geschehen soll, wenn der Agent auf eine unbekannte Ausnahme trifft.
Ein tragfähiges Modell baut auf den etablierten Standardwegen des Platform Engineering, der Infrastruktur hinter Unternehmens-KI und einem disziplinierten Umgang mit Cloud-Unsicherheit und Guardrails auf.
Vom Antworten zum Handeln
Um die Tragweite dieses Wandels zu verstehen, muss man zwischen Chatbot und Agent unterscheiden. Ein Chatbot antwortet; er endet mit dem Gespräch oder dem Prompt. Ein Agent plant: Er startet Abläufe, nutzt externe Tools, verarbeitet Daten, führt Aktionen aus und behandelt Ausnahmen eigenständig. Damit wird IT von einer unterstützenden Funktion zu einem aktiven Teil des Geschäftsbetriebs.
Ruft eine Anwendung lediglich Informationen ab, bleibt der Mensch im gesamten Zyklus der primäre Entscheider. Das Risiko bleibt innerhalb der Grenzen seiner Absicht. Handelt ein Agent auf Grundlage dieser Absicht – bestellt er Lagerbestand, verhandelt Verträge oder automatisiert Compliance-Prüfungen –, tritt der Mensch aus der unmittelbaren Control Plane zurück. Hier entsteht eine Lücke, in der traditionelle Governance versagt, weil niemand mehr jeden Fehler in Echtzeit abfangen kann.
Das NIST Generative AI Profile vom Juli 2024 wendet Govern, Map, Measure und Manage auf den gesamten Lebenszyklus an. Bei einem agentischen System muss diese Arbeit delegierte Autorität, Tool-Zugriff, Freigaben, Monitoring und Recovery einschließen. Auch wenn Software handelt, braucht das Business eine namentlich benannte verantwortliche Person, falls sie falsch handelt oder ihre vorgesehenen Grenzen überschreitet.
Autonomiezyklus und Entscheidungsrechte
Ein autonomer Agent durchläuft einen klaren Zyklus: Er erkennt eine Absicht, wählt Tools, verarbeitet Daten, führt Aktionen aus und behandelt Ausnahmen. In jeder Phase kann etwas scheitern und menschliche Aufsicht erforderlich machen. Nimmt das System an, menschliches Urteilsvermögen sei jederzeit sofort verfügbar, wird es irgendwann versagen. Kein Mensch kann unmittelbar auf jede Anomalie reagieren.
Deshalb braucht es neue Strukturen für Entscheidungsrechte. Wir müssen klar definieren, welche Entscheidungen autonom getroffen werden dürfen und welche eine menschliche Freigabe erfordern. Daraus entstehen häufig Autonomiestufen. Stufe eins könnte einem Agenten erlauben, Aufgaben mit geringen Folgen wie Terminplanung oder Dokumentformatierung ohne menschlichen Eingriff zu erledigen. Stufe zwei könnte Aktionen bis zu einer bestimmten finanziellen oder risikobezogenen Grenze gestatten: vorab genehmigt, anschließend autonom ausgeführt. Stufe drei umfasst Entscheidungen mit hoher Auswirkung, die vor der Ausführung in Echtzeit an einen Menschen eskaliert werden müssen.
Diese Stufen machen den Zielkonflikt besprechbar. Zu viel Autorität kann Daten offenlegen, Geld ausgeben oder ein Geschäftssystem verändern, ohne dass ein ausreichender Recovery-Pfad existiert. Zu wenig Autorität kann einen teuren Workflow hinterlassen, der gegenüber gewöhnlicher Automatisierung keinen Vorteil bietet. Die richtige Grenze hängt von Folgen, Reversibilität und der Qualität der zum Aktionszeitpunkt verfügbaren Evidenz ab.
Aufsicht und Ausnahmebehandlung
Der kritischste Teil eines agentischen Betriebsmodells ist der Umgang mit Ausnahmen. In traditionellen Systemen stoppt eine Fehlermeldung den Prozess oder alarmiert einen Administrator. In einer agentischen Umgebung kann die Ausnahme eine fehlgeschlagene Transaktion, ein mitten im Ablauf erkannter Richtlinienverstoß oder eine Dateninkonsistenz sein, die den geplanten Workflow unterbricht.
Aufsicht bedeutet hier, für Unerwartetes zu entwerfen. Es braucht belastbare Feedback-Loops, in denen Agenten sich selbst korrigieren, detaillierte Audit-Trails führen und bestimmte Fehlermuster an Menschen eskalieren, statt auf jeden einzelnen Fehler separat zu reagieren. Die Rolle des Menschen verschiebt sich: weg von der Aufgabenausführung, hin zur Prüfung aggregierter Berichte über die Agentenleistung. Eingegriffen wird, wenn das System auf eine neue Fehlerart trifft oder definierte Risikogrenzen überschreitet.
Wirksame Ausnahmebehandlung muss reaktiven Support durch proaktive Governance ergänzen. Dazu gehören klare Grenzen für Agenten, Monitoring auf Verhaltensdrift und die Nachvollziehbarkeit jeder Aktion. Handelt ein Agent außerhalb seines Mandats, muss die Organisation sofort wissen, wer verantwortlich ist und wie die Situation behoben werden kann.
Organisatorische Verantwortung neu gestalten
KI-Funktionen lassen sich nicht einfach in die bestehende Organisationsstruktur einfügen. Die Verantwortung muss um den neuen operativen Zyklus herum neu gestaltet werden. Führt ein Mensch eine Aufgabe aus, ist er persönlich für das Ergebnis verantwortlich. Führt ein Agent sie aus, stellt sich die Frage: Wer trägt die Verantwortung, wenn er scheitert? Die Person, die ihn programmiert hat? Die Führungskraft, die ihn bereitgestellt hat? Oder das Unternehmen, dem die Infrastruktur gehört?
Das Betriebsmodell muss diese Rollen ausdrücklich benennen. Ein Pilot kann in einem einzelnen Bereich liegen, doch seine Entscheidungen zu Identität, Daten, Security und Incidents betreffen das gesamte Unternehmen. Das Modell sollte deshalb lokale Geschwindigkeit ermöglichen, ohne dass der Erfolg eines Teams Risiken oder Kosten erzeugt, die alle anderen übernehmen müssen.
Auch die Leistungsmessung muss sich ändern. Statt Uptime oder Response Time einzelner Agenten zu messen, sollte die Führung Geschäftsergebnisse, relevante Risikoreduktion und bessere Kundenprozesse verfolgen. Technologie sollte Geschäftsergebnisse liefern, relevante Risiken reduzieren, Fähigkeiten ausbauen oder Kunden und Betrieb verbessern. Steigert ein agentisches System die Effizienz, verursacht aber häufiger Compliance-Fehler, hat es seinen eigentlichen Zweck trotz technischer Erfolge verfehlt.
Begrenzte Neugier braucht einen sicheren Ort zum Scheitern
Pauschale Verbote verlagern Experimente meist aus dem Blickfeld. Unbegrenzte Autonomie schafft das gegenteilige Problem. Ein besserer Ausgangspunkt ist eine Sandbox mit synthetischen oder wenig sensiblen Daten, engen Berechtigungen, beobachtbaren Tool-Aufrufen und einem klaren menschlichen Eskalationspfad. Teams können lernen, worin der Agent gut ist, ohne einen kritischen Geschäftsprozess in seinen Auswirkungsradius zu stellen.
Das ist auch eine Entscheidung über Menschen. Wenn Führungskräfte möchten, dass Teams agentische Workflows testen, müssen sie die Testumgebung finanzieren, akzeptable Fehler definieren und an der Auswertung des Gelernten teilnehmen. Neugier funktioniert, wenn die Grenze glaubwürdig ist und ein gemeldeter Fehler als Evidenz gilt – nicht als Karriererisiko.
Konkrete Schritte für die Führung
Führungskräfte sollten sich auf drei Bereiche konzentrieren: Autonomiestufen definieren, ein menschliches Eskalationsmodell etablieren und organisatorische Verantwortung klären. Beginnen Sie mit einer Prozesslandkarte und ermitteln Sie, welche Abläufe sich aufgrund klarer Regeln und eines geringen Risikos für die Ausführung durch Agenten eignen. Entwerfen Sie dann die Governance-Schicht, innerhalb derer diese Agenten sicher arbeiten können. Stellen Sie schließlich sicher, dass die Führungsstruktur diese neue Realität unterstützt, indem Erfolgsmessung und Umgang mit Fehlern neu definiert werden.
Das Betriebsmodell sollte nur so schnell wachsen wie die Evidenz. Beginnen Sie mit reversiblen Aktionen, weisen Sie Aufsicht und Eskalationspfad nach, und erweitern Sie die Autonomie erst, wenn Geschäftsergebnis und Kontrollnachweise es rechtfertigen.
