Wenn der Agent eigenmächtig handelt: Rechte- und Freigabekonzepte für Agentic AI im Mittelstand

Stellen Sie sich vor, Ihr neuer KI-Agent soll überfällige Rechnungen mahnen. Er wertet die Buchhaltungsdaten aus, erkennt drei säumige Kunden – und verschickt eigenständig Mahnungen. Einer davon ist allerdings Ihr größter Kunde, mit dem Sie gerade eine Sonderzahlungsvereinbarung getroffen haben, die noch nicht im System hinterlegt ist. Der Agent wusste das nicht. Er hat nur getan, wofür er gebaut wurde: selbstständig handeln.

Genau hier beginnt das eigentliche Thema, das viele Unternehmen bei Agentic AI unterschätzen. In meinem Einführungsbeitrag zu Agentic AI im Mittelstand habe ich beschrieben, was diese Systeme von klassischen Chatbots unterscheidet: Sie treffen nicht nur Aussagen, sie lösen Aktionen aus. Sie verschicken E-Mails, legen Bestellungen an, ändern Datensätze, buchen Termine. Genau diese Handlungsfähigkeit ist ihr größter Nutzen – und gleichzeitig ihr größtes Risiko, wenn niemand vorher festgelegt hat, wie weit diese Handlungsfreiheit reichen darf.

Warum „die KI macht das schon“ keine Strategie ist

Bei klassischer Software ist die Frage nach Berechtigungen seit Jahrzehnten gelöst. Ein Sachbearbeiter darf Rechnungen anlegen, aber nicht löschen. Ein Azubi darf Angebote sehen, aber keine Großaufträge freigeben. Diese Rollenkonzepte sind in jedem ERP-System Standard.

Bei KI-Agenten fehlt dieses Denken oft noch komplett. Viele Unternehmen setzen einen Agenten ein, testen ihn in einer überschaubaren Aufgabe, sind begeistert von der Geschwindigkeit – und erweitern dann Schritt für Schritt seinen Wirkungsbereich, ohne jemals bewusst zu entscheiden, wo die Grenze liegt. Das Problem dabei: Ein Agent unterscheidet nicht intuitiv zwischen einer Routineaktion und einer folgenschweren Entscheidung. Er kennt nur die Regeln, die man ihm gegeben hat, und die Daten, die er sieht. Fehlt eine Regel, improvisiert er im Zweifel – manchmal richtig, manchmal nicht.

Das ist kein Grund, auf Agentic AI zu verzichten. Es ist ein Grund, Governance von Anfang an mitzudenken, so wie man es bei neuen Mitarbeitern auch tut: Man gibt ihnen nicht am ersten Tag die Prokura.

Drei Kategorien von Entscheidungen

In der Praxis hilft es, jede Aufgabe, die ein Agent übernehmen soll, in eine von drei Kategorien einzusortieren.

Autonom ausführbar sind Aktionen, die reversibel sind, geringen finanziellen oder rechtlichen Impact haben und bei Fehlern leicht korrigierbar sind. Ein Beispiel: Der Agent sortiert eingehende Kundenanfragen nach Dringlichkeit und weist sie dem richtigen Postfach zu. Geht das schief, verschiebt man die Mail eben manuell.

Freigabepflichtig sind Aktionen mit echter Außenwirkung oder finanziellem Volumen – etwa der Versand einer Mahnung, das Anlegen einer Bestellung über einem bestimmten Betrag, oder das Ändern von Stammdaten bei Kunden. Hier schlägt der Agent eine Aktion vor, ein Mensch bestätigt sie. Das kostet ein paar Sekunden, verhindert aber genau die Situation aus meinem Einstiegsbeispiel.

Kategorisch ausgeschlossen sind Entscheidungen, die ein Agent grundsätzlich nicht treffen soll, unabhängig vom Einzelfall – etwa das eigenständige Kündigen von Verträgen, das Löschen von Produktivdaten oder rechtlich bindende Zusagen gegenüber Dritten. Diese Grenze sollte technisch erzwungen werden, nicht nur in der Prompt-Anweisung stehen, denn Anweisungen in natürlicher Sprache sind keine verlässliche Sicherheitsschranke.

Diese Einteilung klingt banal, wird in der Praxis aber selten konsequent durchgeführt. Dabei ist genau das die eigentliche Governance-Arbeit: nicht die Technik, sondern die unternehmerische Entscheidung, was in welche Kategorie fällt.

Ein Beispiel aus dem Alltag: Rechnungen und Mahnwesen

In einem früheren Beitrag habe ich gezeigt, wie man mit Claude überfällige Rechnungen in Lexware Office abfragen kann. Das war bewusst ein Beispiel für die lesende, auskunftgebende Seite von KI – der Agent zeigt an, was überfällig ist, ein Mensch entscheidet, was damit passiert.

Der nächste logische Schritt wäre, den Agenten auch handeln zu lassen: Mahnungen automatisch verschicken, Skonto-Fristen automatisch prüfen, bei wiederholtem Zahlungsverzug automatisch eine Bonitätsprüfung anstoßen. Technisch ist das machbar. Die Frage ist, welche dieser Schritte Sie wirklich ohne Blick eines Menschen laufen lassen wollen.

Meine Erfahrung: Die erste Mahnstufe, eine freundliche Zahlungserinnerung, lässt sich oft automatisieren, weil sie reversibel ist und kaum Reputationsrisiko birgt. Die zweite Mahnstufe mit angedrohten Konsequenzen, erst recht gegenüber langjährigen Kunden, gehört in die freigabepflichtige Kategorie. Eine Inkasso-Übergabe gehört in die dritte Kategorie – das entscheidet ein Mensch, immer.

Wie ein Freigabeprozess technisch aussehen kann

Ein gutes Freigabekonzept muss nicht kompliziert sein. In der Praxis bewähren sich einfache Muster:

• Der Agent erstellt einen Entwurf oder Vorschlag (eine E-Mail, eine Bestellung, eine Datensatzänderung) und legt ihn in eine Warteschlange statt ihn sofort auszuführen.

• Eine verantwortliche Person erhält eine Benachrichtigung, sieht den Vorschlag samt Begründung des Agenten und bestätigt oder lehnt ihn mit einem Klick ab.

• Jede Aktion, autonom oder freigegeben, wird protokolliert: was wurde gemacht, auf welcher Datengrundlage, von wem freigegeben. Diese Protokollierung ist nicht nur für die Fehlersuche wichtig, sondern auch, um im Zweifel nachweisen zu können, dass ein Mensch die Verantwortung getragen hat.

• Schwellenwerte sind konfigurierbar: Ein Bestellvorschlag unter 200 Euro geht automatisch durch, darüber braucht es eine Freigabe. Diese Grenzen sollten Sie als Unternehmer festlegen, nicht die Entwicklerin oder der Entwickler, der das System baut.

Technisch ist das mit heutigen Werkzeugen gut umsetzbar, ohne dass man ein Großprojekt daraus machen muss. Oft reicht eine schlanke Zwischenschicht, die Vorschläge sammelt und per E-Mail oder Chat-Nachricht zur Freigabe anzeigt – ähnlich wie man es aus Freigabeprozessen in der Buchhaltungssoftware kennt.

Die organisatorische Seite ist die eigentliche Arbeit

Die Technik ist meist der leichtere Teil. Schwieriger ist die Frage: Wer im Unternehmen entscheidet, was in welche Kategorie fällt, und wer passt diese Regeln an, wenn sich Prozesse ändern?

Hier lohnt sich ein kurzer Workshop, bevor der erste Agent produktiv geht. Setzen Sie sich mit den Personen zusammen, die den betroffenen Prozess heute manuell verantworten, und gehen Sie gemeinsam durch, welche Einzelentscheidungen dabei anfallen. Oft stellt sich heraus, dass erfahrene Mitarbeiter unbewusst viele kleine Prüfungen vornehmen, die beim Entwurf des Agenten leicht übersehen werden – etwa die Kundin, die zwar formal überfällig ist, aber seit Jahren zuverlässig zahlt und gerade im Urlaub ist.

Das ist auch ein Grund, warum ich in meinem Beitrag über Akzeptanz bei KI-Projekten betont habe, wie wichtig es ist, die Menschen einzubeziehen, die den Prozess kennen. Bei Freigabekonzepten gilt das doppelt: Niemand kennt die Ausnahmefälle besser als diejenigen, die sie bisher von Hand behandelt haben. Ihr Wissen gehört in die Regeln, nicht nur in ihre Köpfe.

Sinnvoll ist außerdem, Verantwortlichkeiten klar zu benennen: Wer ist fachlich zuständig, wenn ein Agent im freigabepflichtigen Bereich eine Entscheidung vorschlägt? Vertretungsregeln für Urlaub und Krankheit sollten Sie dabei genauso mitdenken wie bei jeder anderen Unterschriftsbefugnis im Unternehmen.

Wo auch das beste Konzept an Grenzen stößt

Ehrlich gesagt: Kein Rechtekonzept macht einen Agenten unfehlbar. Auch bei strikt definierten Kategorien kann ein Agent eine Situation falsch einschätzen und etwas als „autonom ausführbar“ behandeln, das eigentlich eine Freigabe gebraucht hätte, wenn die Regeln nicht präzise genug formuliert sind. Deshalb sollten Sie gerade in der Anfangsphase lieber zu konservativ als zu großzügig kategorisieren und die Grenzen erst erweitern, wenn Sie Vertrauen in das System aufgebaut haben.

Auch die Frage der Datensouveränität spielt hier hinein: Ein Agent, der autonom handelt, braucht oft weitreichenden Zugriff auf Systeme und Daten. Wo diese Daten verarbeitet werden und wer darauf theoretisch Zugriff hätte, habe ich in meinem Beitrag zu Datensouveränität beim KI-Einsatz beschrieben. Rechtekonzepte und Datensouveränität gehören zusammen gedacht: Ein Agent, der autonom E-Mails verschicken darf, sollte nicht gleichzeitig unbegrenzten Lesezugriff auf alle Kundendaten haben, nur weil das technisch bequemer ist.

Und schließlich: Governance ist kein einmaliges Projekt. Prozesse ändern sich, neue Aufgaben kommen hinzu, Mitarbeiter wechseln. Die Freigabegrenzen sollten regelmäßig überprüft werden, am besten dort, wo ohnehin über Prozessverbesserungen gesprochen wird.

Rechte- und Freigabekonzepte entscheiden am Ende darüber, ob Agentic AI im Unternehmen Vertrauen gewinnt oder genau das Gegenteil bewirkt. Wer von Anfang an klar festlegt, was ein Agent selbstständig entscheiden darf und wo ein Mensch zustimmen muss, kann die Geschwindigkeit der Automatisierung nutzen, ohne die Kontrolle zu verlieren.

Gemeinsam die richtigen Grenzen ziehen

Welche Entscheidungen in Ihrem Betrieb automatisiert werden können und wo eine Freigabe zwingend bleibt, lässt sich am besten im konkreten Prozess klären. Wenn Sie überlegen, einen KI-Agenten einzuführen, oder einen bestehenden Prozess absichern möchten, sprechen wir gerne unverbindlich darüber, wie ein passendes Konzept für Ihr Unternehmen aussehen könnte.