Ein KI-Agent ist ein Sprachmodell, das nicht nur antwortet, sondern handelt: Er entscheidet selbst, welche Werkzeuge er aufruft, liest Ergebnisse, plant weitere Schritte und führt sie aus. In einem SaaS-Produkt kann das bedeuten, dass ein Agent Datensätze anlegt, E-Mails entwirft, Termine verschiebt oder Berichte aus mehreren Quellen zusammenstellt. Das ist mächtig — und genau deshalb ist die wichtigste Entwurfsfrage nicht, was ein Agent kann, sondern was er darf.
Wo Agenten Nutzen stiften
Agenten sind stark bei Aufgaben, die aus mehreren, eher variablen Schritten bestehen und deren Ergebnis ein Mensch leicht prüfen kann. Recherche über mehrere interne Quellen, das Vorbereiten eines Angebots aus Kundendaten und Vorlagen, das Sortieren und Vorbeantworten eingehender Anfragen, das Aufbereiten von Daten für einen Bericht: In all diesen Fällen spart der Agent Arbeit, und ein Fehler ist vor der Verwendung erkennbar.
Schwach sind Agenten bei Aufgaben, die immer gleich ablaufen. Dort ist ein klassischer, fest programmierter Ablauf schneller, günstiger und zuverlässiger. Ein Agent, der jedes Mal neu überlegt, wie eine Rechnung zu buchen ist, ist schlechter als eine Regel, die das immer richtig tut.
Autonomie in Stufen
Hilfreich ist, Autonomie bewusst zu stufen. Auf der ersten Stufe schlägt der Agent vor, und ein Mensch führt aus. Auf der zweiten führt der Agent aus, aber nur nach ausdrücklicher Freigabe. Auf der dritten handelt er selbstständig innerhalb enger Grenzen, und Menschen prüfen im Nachhinein. Die meisten Funktionen in Geschäftsanwendungen gehören auf Stufe eins oder zwei. Selbstständiges Handeln lohnt sich nur bei Aktionen, die leicht rückgängig zu machen sind und geringe Folgen haben.
Werkzeuge mit engen Rechten
Ein Agent ist nur so sicher wie die Werkzeuge, die er aufrufen kann. Jedes Werkzeug sollte genau eine Aufgabe erfüllen, mit den Rechten des Nutzers arbeiten, in dessen Auftrag der Agent handelt, und seine Eingaben selbst prüfen. Ein Werkzeug «Datenbankabfrage ausführen» ist zu mächtig; ein Werkzeug «offene Aufträge dieses Kunden abrufen» ist angemessen. Schreibende Werkzeuge sollten idempotent sein, damit ein wiederholter Aufruf nach einem Fehler nicht doppelt bucht oder doppelt versendet.
Prompt Injection ernst nehmen
Agenten lesen Inhalte, die nicht vom Nutzer stammen: E-Mails, Dokumente, Webseiten, Tickets. Diese Inhalte können Anweisungen enthalten, die das Modell für echte Aufträge hält — etwa die Aufforderung, Daten an eine fremde Adresse zu senden. Gegen diese Prompt Injection gibt es keinen vollständigen Schutz durch geschickte Formulierungen im Systemprompt. Wirksam sind strukturelle Grenzen: Werkzeuge, die gar keine Daten nach aussen senden können, Freigaben für folgenreiche Aktionen und eine klare Trennung zwischen dem, was der Nutzer verlangt, und dem, was der Agent nur liest.
Protokolle und Nachvollziehbarkeit
Jeder Schritt eines Agenten sollte protokolliert werden: welche Aufgabe, welche Überlegungen, welche Werkzeuge mit welchen Eingaben, welche Ergebnisse. Das ist für die Fehlersuche unverzichtbar, für Kunden ein Vertrauensargument und je nach Anwendung auch regulatorisch gefordert. Nutzer sollten im Produkt sehen können, was der Agent getan hat, und Aktionen rückgängig machen können, wo das möglich ist.
Kosten und Laufzeit begrenzen
Agenten führen oft viele Modellaufrufe hintereinander aus, und eine missverstandene Aufgabe kann in eine lange Schleife führen. Ein Agent braucht deshalb harte Grenzen: maximale Anzahl Schritte, maximale Laufzeit, ein Budget pro Aufgabe. Wird eine Grenze erreicht, bricht der Agent ab und meldet, wie weit er gekommen ist, statt weiterzuprobieren.
Regulatorischer Rahmen
Nach dem EU AI Act müssen Menschen erkennen können, dass sie mit einem KI-System interagieren, wenn das nicht offensichtlich ist. Trifft ein Agent Entscheidungen in sensiblen Bereichen — etwa bei Bewerbungen, Krediten oder dem Zugang zu wesentlichen Leistungen —, kann die Anwendung als Hochrisiko-KI gelten, mit Pflichten ab dem 2. Dezember 2027. Datenschutzrechtlich gilt, was für jede KI-Verarbeitung gilt: Zweckbindung, Datenminimierung und die Grenzen für ausschliesslich automatisierte Entscheidungen.
Ein guter Einstieg
Der beste erste Agent in einem SaaS-Produkt ist einer, der vorbereitet statt entscheidet: Er sammelt Informationen, entwirft eine Aktion und legt sie dem Nutzer zur Freigabe vor. So lernt das Team, wie der Agent sich verhält, die Nutzer gewinnen Vertrauen, und die Werkzeuge reifen, bevor ihnen mehr Autonomie zugetraut wird. Innopulse baut solche Funktionen mit engen Werkzeugen, Freigaben und vollständiger Protokollierung.