Was ist ein KI-Agent – und was nicht?
Ein gewöhnlicher Chatbot reagiert hauptsächlich auf Eingaben und erzeugt eine Antwort. Ein KI-Agent kann zusätzlich einen Auftrag in Teilschritte zerlegen, Informationen aus freigegebenen Quellen abrufen, über Schnittstellen handeln und den Zwischenstand berücksichtigen. Typische Werkzeuge sind eine Dokumentensuche, ein CRM-Lesezugriff, ein Kalender, eine Datenbankabfrage oder eine klar definierte Geschäftsfunktion.
Das Wort „autonom“ sollte dabei nicht mit „unkontrolliert“ verwechselt werden. Ein guter Agent besitzt gerade so viel Handlungsspielraum, wie die Aufgabe benötigt. Entscheidungen mit finanziellen, rechtlichen oder reputativen Folgen brauchen feste Grenzen und häufig eine menschliche Freigabe. Ein Agent, der Antwortentwürfe vorbereitet, ist anders abzusichern als ein System, das E-Mails versendet oder Datensätze verändert.
Wann ein KI-Agent sinnvoll ist
Ein Agent eignet sich für Aufgaben, bei denen mehrere Schritte abhängig vom jeweiligen Ergebnis gewählt werden müssen. Beispiele sind die Recherche aus verschiedenen freigegebenen Quellen, die Vorbereitung eines Angebots aus strukturierten Angaben oder die Vorsortierung einer Anfrage mit anschließendem Entwurf. Besonders geeignet sind wiederkehrende Prozesse mit klar erkennbarem Anfang, überprüfbarem Ergebnis und beherrschbaren Ausnahmen.
Nicht jeder Prozess benötigt einen Agenten. Wenn Ablauf und Regeln vollständig feststehen, ist eine klassische Automatisierung oft günstiger, schneller und verlässlicher. Bei fehlenden Daten, unklarer Verantwortung oder sehr seltenen Aufgaben löst ein Sprachmodell meist nicht das eigentliche Organisationsproblem. Der erste Entwurf sollte deshalb immer die Frage beantworten: Welche Entscheidung muss flexibel sein, und welcher Teil kann deterministisch bleiben?
Die Bausteine eines eigenen KI-Agenten
Modell und klare Anweisung
Das Sprachmodell interpretiert die Aufgabe und schlägt den nächsten zulässigen Schritt vor. Eine Systemanweisung beschreibt Rolle, Ziel, Grenzen, Ausgabeformat und Eskalationsregeln. Sie ersetzt jedoch keine technische Berechtigungskontrolle: Was der Agent nicht dürfen soll, darf nicht allein durch einen Satz im Prompt geschützt werden.
Wissen und Kontext
Unternehmenswissen kann bei Bedarf aus freigegebenen Dokumenten oder Datenbanken abgerufen werden. Dieser Retrieval-Ansatz hält Quellen aktualisierbar und ermöglicht, Antworten mit Fundstellen zu verbinden. Dokumente brauchen dafür eine nachvollziehbare Herkunft, Zugriffsrechte und eine sinnvolle Segmentierung.
Werkzeuge und Schnittstellen
Werkzeuge verbinden den Agenten mit der Außenwelt. Jede Funktion sollte eng beschrieben sein, ein festes Eingabeschema besitzen und nur die minimal notwendigen Rechte erhalten. „Kundendaten lesen“ und „Kundendaten ändern“ sind getrennte Werkzeuge. Schreibende oder externe Aktionen können zunächst als Vorschau ausgeführt und erst nach Bestätigung freigegeben werden.
Zustand und Gedächtnis
Der kurzfristige Zustand enthält Auftrag, relevante Zwischenergebnisse und bereits ausgeführte Schritte. Langzeitgedächtnis speichert nur Informationen, die auch künftig benötigt werden dürfen. Eine vollständige Gesprächshistorie unbegrenzt zu behalten ist weder automatisch hilfreich noch datenschutzfreundlich.
Orchestrierung und Schutzschicht
Die Orchestrierung steuert den Ablauf: Aufgabe verstehen, nächsten Schritt auswählen, Werkzeug ausführen, Ergebnis prüfen und entweder fortfahren, nachfragen oder eskalieren. Zeit-, Kosten- und Schrittlimits verhindern Endlosschleifen. Die Schutzschicht prüft Berechtigungen, Eingaben, Ausgaben und sensible Aktionen außerhalb des Modells.
Eigenen KI Agent erstellen: Anleitung in zehn Schritten
1. Einen begrenzten Anwendungsfall wählen
Formulieren Sie nicht „Der Agent unterstützt den Vertrieb“, sondern eine überprüfbare Aufgabe: „Aus einer qualifizierten Anfrage und freigegebenen Leistungsdaten entsteht ein Angebotsentwurf, den ein Mitarbeiter prüft.“ Dokumentieren Sie Startsignal, Ergebnis, Ausnahmen und verantwortliche Person.
2. Erfolg und Abbruch definieren
Geeignete Kriterien sind Aufgabenabschluss, fachliche Richtigkeit, korrekte Werkzeugwahl, Anteil notwendiger Nacharbeit, Bearbeitungszeit und sichere Eskalation. Ebenso wichtig ist die Abbruchregel: Bei fehlenden Daten, widersprüchlichen Quellen oder unzulässigen Aktionen soll der Agent nachfragen oder stoppen.
3. Prozess, Daten und Rechte aufnehmen
Listen Sie jeden benötigten Informationszugriff und jede mögliche Aktion auf. Markieren Sie personenbezogene, vertrauliche und geschäftskritische Daten. Daraus entstehen Rollen, erlaubte Quellen, Aufbewahrungsregeln und Freigabestufen. Für Datenschutz- und Rechtsfragen ist je nach Anwendungsfall fachkundiger Rat erforderlich.
4. Modell und Betriebsform auswählen
Entscheidend sind nicht nur Antwortqualität, sondern auch strukturierte Ausgaben, Werkzeugaufrufe, Kontextlänge, Geschwindigkeit, Kosten, Datenverarbeitung und Hostinganforderungen. Testen Sie mehrere geeignete Modelle an derselben realen Aufgabenstichprobe. Ein größeres Modell ist nicht bei jedem Teilprozess notwendig.
5. Wissen abrufbar machen
Bereiten Sie nur relevante, gültige Dokumente auf. Metadaten wie Quelle, Datum, Version und Berechtigung helfen bei Auswahl und Nachvollziehbarkeit. Prüfen Sie Retrieval separat: Findet die Suche wirklich die richtige Passage, bevor das Modell daraus eine Antwort formuliert?
6. Werkzeuge klein und eindeutig gestalten
Eine Funktion sollte genau eine Aufgabe erfüllen und eindeutige Parameter erwarten. Prüfen Sie Datentypen, erlaubte Werte und Ressourcen serverseitig. Idempotenz schützt davor, dass ein wiederholter Aufruf versehentlich doppelte Buchungen oder Nachrichten erzeugt. Kritische Aktionen erhalten eine Bestätigung und ein manipulationssicheres Protokoll.
7. Den Agentenablauf implementieren
Starten Sie mit einer einfachen Schleife und einer begrenzten Zahl von Schritten. Der Agent erhält Aufgabe und aktuellen Zustand, wählt aus erlaubten Aktionen, verarbeitet das Werkzeugergebnis und entscheidet über Abschluss oder Eskalation. Vermeiden Sie unnötig komplexe Multi-Agent-Systeme, solange ein einzelner kontrollierter Ablauf ausreicht.
8. Schutzmaßnahmen einbauen
Setzen Sie Least Privilege, Allowlists, Trennung von Lesen und Schreiben, feste Betrags- oder Umfangsgrenzen und menschliche Freigaben um. Behandeln Sie Webseiten, E-Mails und hochgeladene Dokumente als potenziell nicht vertrauenswürdig. Vertrauliche Systeminformationen gehören nicht in Ausgaben oder frei zugängliche Logs.
9. Mit realistischen Fällen evaluieren
Ein guter Testsatz enthält normale Aufgaben, unvollständige Angaben, widersprüchliche Quellen, missverständliche Formulierungen, Werkzeugfehler und bösartige Eingaben. Erwartetes Ergebnis und zulässige Aktionen werden vorab festgelegt. Automatische Bewertungen sind hilfreich, sollten bei wichtigen Fällen aber durch fachliche Stichproben ergänzt werden.
10. Begrenzt starten und überwachen
Beginnen Sie mit wenigen Nutzern oder einem Entwurfsmodus. Erfassen Sie Modellversion, verwendete Quellen, Werkzeugaufrufe, Laufzeit, Kosten und Eskalationen – datensparsam und mit geregelter Aufbewahrung. Änderungen an Prompt, Modell, Daten oder Werkzeugen brauchen Regressionstests und eine Rückfallmöglichkeit.
RAG, Fine-Tuning oder Werkzeuge?
Diese Ansätze lösen unterschiedliche Probleme. Retrieval-Augmented Generation (RAG) stellt dem Modell zur Laufzeit relevante Informationen aus einer Wissensbasis bereit. Es passt, wenn Inhalte aktuell bleiben, Zugriffsrechte berücksichtigen oder zitiert werden sollen. Fine-Tuning verändert das Verhalten eines Modells anhand von Beispielen und kann bei wiederkehrenden Formaten oder spezialisierten Mustern helfen; es ist kein verlässlicher Ersatz für eine aktuelle Datenbank.
Werkzeuge führen deterministische Funktionen aus oder liefern Live-Daten. Für einen Kontostand, einen Lieferstatus oder eine Terminbuchung ist eine geprüfte Schnittstelle geeigneter als die Hoffnung, dass das Modell die Information kennt. Häufig kombiniert ein produktiver Agent alle drei Ebenen: klare Instruktion für Verhalten, Retrieval für Wissen und Werkzeuge für Daten oder Aktionen.
Was die Forschung über KI-Agenten zeigt
Das ReAct-Verfahren von Yao et al. verbindet sprachbasierte Planung mit Handlungen in einer Umgebung. In den untersuchten Aufgaben half der Wechsel aus Überlegung und Aktion dabei, externe Informationen einzubeziehen und mehrstufige Aufgaben nachvollziehbar zu bearbeiten. Für die Praxis spricht das für klar definierte Beobachtungs- und Werkzeugschritte – nicht für unbegrenzte Autonomie.
Toolformer von Schick et al. untersuchte, wie Sprachmodelle lernen können, wann und wie externe Werkzeuge wie Suche, Rechner oder Übersetzung genutzt werden. Die Studie unterstreicht den Nutzen von Werkzeugen dort, wo ein Modell allein keine verlässliche Berechnung oder aktuelle Information liefern kann.
Die Arbeit Generative Agents von Park et al. kombinierte Beobachtungen, Gedächtnis, Reflexion und Planung in einer simulierten Umgebung. Ablationsstudien zeigten, dass diese Komponenten zum untersuchten Verhalten beitrugen. Das ist keine allgemeine Geschäftswirkungsgarantie, liefert aber ein anschauliches Architekturmodell für zustandsbehaftete Agenten.
Grenzen werden im AgentBench-Benchmark von Liu et al. sichtbar. In acht interaktiven Umgebungen zeigten die getesteten Modelle deutliche Schwächen bei langen Handlungsketten, Entscheidungen und dem Befolgen von Anweisungen. Deshalb muss ein Agent am eigenen Prozess evaluiert werden; eine gute Chat-Antwort beweist noch keinen zuverlässigen Betrieb.
Sicherheit: Warum Prompt-Injection beim Agenten kritischer wird
Ein Modell kann Text nicht zuverlässig so trennen wie klassische Software zwischen harmlosen Daten und ausführbaren Anweisungen unterscheidet. Enthält eine abgerufene Webseite oder E-Mail eine versteckte Aufforderung, kann sie den Agenten zu einer unerwünschten Aktion verleiten. Mit Schreibrechten wird aus einer falschen Antwort ein reales Sicherheitsproblem.
AgentDojo von Debenedetti et al. untersucht genau solche Angriffe in realistischen Werkzeugaufgaben. Der Benchmark umfasst 97 Aufgaben und 629 Sicherheitstests; die Ergebnisse zeigen sowohl Schwierigkeiten bei regulären Aufgaben als auch Sicherheitsprobleme unter Prompt-Injection. Sicherheit darf daher nicht allein vom Prompt abhängen.
- Minimale Rechte: Der Agent erhält nur die Daten und Aktionen, die sein konkreter Auftrag benötigt.
- Vertrauensgrenzen: Inhalte aus Web, E-Mail, Dateien und Toolantworten gelten als nicht vertrauenswürdig.
- Technische Prüfungen: Parameter, Zielsysteme und erlaubte Aktionen werden außerhalb des Sprachmodells validiert.
- Bestätigung: Versenden, Löschen, Kaufen, Veröffentlichen und sensible Änderungen benötigen eine Freigabe.
- Nachvollziehbarkeit: Werkzeugaufrufe, Freigaben und Fehler werden sicher protokolliert.
- Angriffstests: Manipulative Inhalte gehören in den Testsatz und werden nach jeder relevanten Änderung erneut geprüft.
Qualität sinnvoll messen
Eine einzelne „Genauigkeit“ reicht bei Agenten nicht aus. Das Ergebnis kann korrekt wirken, obwohl der Agent ein falsches Werkzeug verwendet oder unzulässig auf Daten zugegriffen hat. Trennen Sie deshalb mehrere Ebenen:
- Aufgabenerfolg: Ist das erwartete Ergebnis vollständig und fachlich richtig?
- Werkzeugtreue: Wurden richtige Funktionen mit gültigen Parametern und in zulässiger Reihenfolge genutzt?
- Quellentreue: Sind Aussagen durch die bereitgestellten Informationen gedeckt?
- Sicherheit: Wurden Rechte, Freigaben und Datenschutzregeln eingehalten?
- Robustheit: Stoppt oder fragt das System bei Fehlern und fehlenden Angaben sinnvoll nach?
- Betrieb: Wie entwickeln sich Laufzeit, Nutzungskosten, Abbruch- und Eskalationsrate?
- Menschlicher Aufwand: Wie viel Prüfung und Nacharbeit bleibt tatsächlich übrig?
Bewerten Sie nicht nur den finalen Text, sondern auch die ausgeführten Aktionen. Eine produktionsnahe Evaluation nutzt historische, anonymisierte Fälle oder realistische Testdaten, dokumentiert erwartete Ergebnisse und wird als Regressionstest wiederholt.
Low-Code, Framework oder individuelle Entwicklung?
Low-Code-Plattformen eignen sich für einen frühen Prototyp und überschaubare Integrationen. Sie beschleunigen sichtbare Ergebnisse, können aber bei Berechtigungen, Tests, Versionskontrolle oder Anbieterabhängigkeit Grenzen setzen. Agenten-Frameworks bieten Bausteine für Werkzeugaufrufe, Zustandsverwaltung und Beobachtbarkeit, verlangen jedoch technische Konzeption.
Eine individuelle Entwicklung ist sinnvoll, wenn der Agent eng mit bestehenden Systemen verbunden wird, besondere Sicherheitsregeln erfüllen oder als eigener digitaler Service betrieben werden soll. Häufig ist ein hybrider Weg wirtschaftlich: Risikoarmen Ablauf schnell prototypisieren, Erkenntnisse sammeln und kritische Komponenten anschließend sauber integrieren.
Welche Kosten entstehen?
Eine belastbare Pauschale ist ohne Anwendungsfall nicht möglich. Kosten entstehen durch Prozessanalyse, Datenaufbereitung, Schnittstellen, Entwicklung, Modell- und Infrastrukturverbrauch, Sicherheit, Tests, Monitoring und Pflege. Der größte Aufwand liegt oft nicht beim Prompt, sondern in verlässlichen Daten und robusten Integrationen.
Für eine fundierte Entscheidung genügt zunächst ein begrenzter Pilot. Er beantwortet, ob der Agent die Aufgabe in ausreichender Qualität löst, wie viel menschliche Nacharbeit bleibt und welche laufenden Kosten pro Vorgang entstehen. Erst diese Werte erlauben eine realistische Wirtschaftlichkeitsbetrachtung.
Checkliste für den ersten KI-Agenten
- Einen klar abgegrenzten Prozess und eine verantwortliche Person bestimmen.
- Erwartetes Ergebnis, Erfolgskriterien und Abbruchregeln dokumentieren.
- Datenquellen, Schutzbedarf und Zugriffsrechte prüfen.
- Deterministische Automatisierung von flexiblen Modellentscheidungen trennen.
- Werkzeuge klein halten und serverseitig validieren.
- Lesen und Schreiben technisch getrennt berechtigen.
- Kritische Aktionen durch Menschen freigeben lassen.
- Normale, fehlerhafte und bösartige Testfälle aufbauen.
- Qualität, Sicherheit, Kosten und Nacharbeit gemeinsam messen.
- Mit begrenztem Nutzerkreis starten und Änderungen versionieren.
Fazit: Der beste Agent beginnt mit einer klaren Grenze
Einen eigenen KI Agent zu erstellen bedeutet nicht, möglichst viel Autonomie einzubauen. Der geschäftliche Nutzen entsteht aus einer klaren Aufgabe, guten Daten, verlässlichen Werkzeugen und einem kontrollierten Zusammenspiel aus Modell und klassischer Software.
Wer klein startet, Risiken technisch begrenzt und mit realen Fällen misst, kann fundiert entscheiden, welche Verantwortung der Agent übernehmen darf. Karypto unterstützt Unternehmen bei der Auswahl des Anwendungsfalls, der digitalen Grundlage und der Umsetzung. Mehr zum strukturierten Einstieg steht auf der Seite KI-Beratung für den Mittelstand; passende Schnittstellen und Nutzeroberflächen lassen sich in eine individuelle Website integrieren.
Wissenschaftliche Quellen
- Yao et al. (2023): ReAct – Synergizing Reasoning and Acting in Language Models
- Schick et al. (2023): Toolformer – Language Models Can Teach Themselves to Use Tools
- Park et al. (2023): Generative Agents – Interactive Simulacra of Human Behavior
- Liu et al. (2024): AgentBench – Evaluating LLMs as Agents
- Debenedetti et al. (2024): AgentDojo – Prompt-Injection-Tests für LLM-Agenten
Quellen zuletzt geprüft am 12.09.2026. Die Studien untersuchen bestimmte Modelle, Aufgaben und Testumgebungen. Ihre Ergebnisse sind keine Garantie für die Zuverlässigkeit oder Wirtschaftlichkeit eines konkreten Agenten.