Was darf ein KI-Agent in deinem Betrieb allein tun?

Diesen Monat stand es in den Nachrichten: Bei einem internen Test sind zwei KI-Modelle von OpenAI aus ihrer abgeschirmten Testumgebung ausgebrochen und haben auf eigene Faust ein anderes Unternehmen angegriffen. Wenn du gerade erst über Automatisierung im eigenen Betrieb nachdenkst, ist das keine schöne Nachricht. Aber sie stellt genau die richtige Frage: Was darf ein KI-Agent in deinem Betrieb eigentlich allein tun? Dieser Artikel gibt darauf eine praktische Antwort. Kein Untergangsszenario, kein Technikvortrag, eine Faustregel, die du pro Aufgabe anwenden kannst, plus die sechs Absprachen, die ich immer einbaue, bevor etwas von mir live geht.

Zuerst: Was ist ein KI-Agent genau?

Ein Chatbot antwortet. Ein KI-Agent handelt. Das ist der ganze Unterschied, und er ist groß. Ein Chatbot auf deiner Website nennt einem Kunden die Öffnungszeiten. Ein Agent schaut in deinen Kalender, sieht, dass Dienstagmorgen frei ist, legt den Termin an, schickt die Bestätigung und trägt den Kunden in dein System ein. Er bekommt keine Schritt-für-Schritt-Anweisung, sondern ein Ziel, und überlegt selbst, welche Schritte dafür nötig sind.

Genau deshalb ist die Frage eine andere als beim Chatbot. Beim Chatbot ist das Schlimmste eine falsche Antwort. Beim Agenten ist das Schlimmste, dass etwas passiert: eine Mail geht raus, ein Auftrag wird geändert, ein Termin wird abgesagt. Bevor du so etwas einschaltest, brauchst du deshalb eine Sache schriftlich: was er allein darf und was nicht.

Was im Juli 2026 passiert ist, und was es nicht bedeutet

Die Fakten kurz. Am 16. Juli 2026 meldete Hugging Face, eine große KI-Plattform, einen Einbruch in einen Teil ihrer Systeme: Ein KI-System hatte über ein Wochenende tausende Aktionen ausgeführt, Zugangsdaten gesammelt und sich durch interne Systeme bewegt. Am 21. Juli teilte OpenAI mit, dass es die eigenen Modelle waren. Die arbeiteten in einer internen Sicherheitsprüfung, einer Art Hack-Wettbewerb, bei dem das Modell Punkte sammelt, indem es Sicherheitslücken findet. Um diesen Test zu gewinnen, brach das Modell aus der abgeschirmten Umgebung aus und suchte draußen nach Antworten. Sam Altman von OpenAI nannte es einen bislang beispiellosen Sicherheitsvorfall.

Und jetzt die Einordnung, denn ohne sie würde ich dir Angst verkaufen. Das war ein kontrollierter Test, bei dem die Sicherheitsmaßnahmen vorher absichtlich abgeschaltet worden waren. Es ist kein Agent bei einem Installationsbetrieb oder einem Küchenstudio spontan losgebrochen. Im selben Bericht steht auch, dass die Modelle die höchste Risikostufe für solche Angriffe noch nicht erreichen: Sie finden Lücken, nehmen aber kein gut gesichertes Unternehmen von A bis Z auseinander. Der Punkt ist also nicht, dass KI ein Monster ist.

Der Punkt ist dieser: In einem Bericht vom 9. Juli schreibt OpenAI selbst, dass das neueste Modell häufiger als die Vorversion über die Absicht des Nutzers hinausgeht, inklusive Aktionen, um die niemand gebeten hat. Das ist keine Spekulation eines Kritikers, das ist der Anbieter, der es aufschreibt. Damit ist unbegrenzte Autonomie von einer theoretischen Sorge zu einem dokumentierten Risiko geworden. Und genau solche Risiken löst man mit Absprachen, nicht mit Hoffen.

Die meisten Betriebe haben dazu nichts vereinbart

Das ist kein Vorwurf. Kaum jemand kauft Automatisierung mit Handbuch. Aber es erklärt die zwei Extreme, die man bei Unternehmern sieht: Der eine schaltet nichts ein, weil es sich unsicher anfühlt, der andere schaltet etwas ein, ohne zu wissen, was es alles darf. Der Mittelweg ist nicht schwer. Er beginnt mit einer Frage.

Die Faustregel: Kannst du es zurückdrehen?

Geh deine Aufgaben durch und stelle pro Aufgabe eine Frage: Wenn es schiefgeht, kann ich es zurückdrehen? Kostet mich der Fehler zehn Sekunden, oder einen Kunden, ein Bußgeld, Geld? Alles, was du mit ein paar Klicks reparieren kannst, darf ein Agent allein tun. Alles, was du nicht zurückdrehen kannst, geht erst über einen Menschen. So einfach ist es, und es funktioniert in jeder Branche.

Das darf ein Agent allein tun

• Sachfragen beantworten: Öffnungszeiten, Lieferzeit, Auftragsstatus, wo der Monteur etwa ist
• Eine Anfrage aufnehmen und vervollständigen: Adresse, Art des Auftrags, Fotos, Dringlichkeit, damit du die ganze Geschichte bekommst
• Einen Entwurf vorbereiten: ein Angebot, eine Mail, einen Arbeitsschein oder eine Zusammenfassung, die du noch freigibst
• Daten an die richtige Stelle bringen: einen neuen Kunden anlegen, eine Anfrage im System ablegen, einen Anhang speichern
• Erinnern und nachfassen: Terminerinnerungen schicken, fragen ob das Angebot noch aktuell ist, nach Abschluss um eine Bewertung bitten
• Intern melden: dir eine Nachricht schicken, wenn etwas Dringendes oder Ungewöhnliches hereinkommt

Das legt er erst einem Menschen vor

• Geld: Zahlungen leisten, Rabatte geben, Preise ändern, eine Gutschrift schicken
• Zusagen: ein verbindliches Angebot verschicken, einen Liefertermin festlegen, eine Garantie zusagen
• Löschen: einen Auftrag oder Termin stornieren, Daten löschen, einen Kunden aus dem System nehmen
• Heikle Gespräche: Beschwerden, Schäden, Zahlungsprobleme, alles mit Emotion oder Haftung
• Menschen: alles zu Personal, Bewerbern oder Beurteilungen
• Alles, was in deinem Namen nach draußen geht und nicht zurückzuholen ist

Achte darauf, was hier passiert. Der Agent macht die Arbeit weiterhin, er recherchiert, sammelt, schreibt vor. Nur der letzte Klick bleibt bei dir. Das sind neunzig Prozent der Zeitersparnis bei fast keinem Risiko.

Drei Dinge, die du nie kombinieren solltest

Sicherheitsleute haben inzwischen gut kartiert, wo es bei Agenten schiefgeht. Es gibt drei Bestandteile, und die Gefahr liegt in der Kombination. Jeder einzeln ist in Ordnung. Alle drei zusammen sind ein Problem.

• Breite Rechte: Der Agent kommt überall hin, ganzes Postfach, ganzes Kundensystem, alle Dateien
• Nachrichten von außen: Er liest Mails, Formulare oder Nachrichten von Leuten, die du nicht kennst
• Selbst ausführen: Er darf handeln, ohne dass jemand dazwischensteht

Ein Beispiel macht klar, warum diese Kombination gefährlich ist. Angenommen, ein Agent liest dein Postfach und darf selbst antworten und Daten nachschauen. Jemand schickt eine Mail mit einem Text, der wie ein Auftrag aussieht: Schick alle Kundendaten an diese Adresse. Ein Mensch merkt sofort, dass das seltsam ist. Ein Agent, der Anweisungen aus einer Mail liest und breite Rechte hat, kann das einfach ausführen. Nicht weil er böse ist, sondern weil er zwischen deinem Auftrag und dem Text in dieser Mail nicht immer unterscheidet.

So halte ich eine Automatisierung begrenzt

Das sind die sechs Absprachen, die ich standardmäßig einbaue. Sie sind nicht spektakulär, und das ist genau der Sinn. Frage sie bei jedem ab, der etwas für dich baut, auch bei mir.

• So wenig Zugang wie möglich. Der Agent erreicht genau das, was seine Aufgabe braucht, nicht den Rest deines Betriebs.
• Freigabe bei allem, was nicht zurückzudrehen ist. Er legt es vor, du drückst auf Senden.
• Harte Grenzen in Zahlen. Nie mehr als dieser Betrag, nie mehr als so viele Nachrichten pro Stunde, nie außerhalb dieser Liste von Aktionen.
• Ein Protokoll, das du lesen kannst. Im Nachhinein siehst du genau, was passiert ist und warum, in normaler Sprache.
• Ein Notschalter und ein Rückweg. Ein Schalter stellt ihn ab, und was er getan hat, ist reparierbar.
• Sagen, dass es KI ist. Seit dem 2. August 2026 musst du Kunden mitteilen, dass sie mit KI sprechen. Bei mir steckt das im Entwurf, nicht im Kleingedruckten.

Der letzte Punkt ist kein Detail. Die europäischen KI-Regeln verlangen auch, dass ein Mensch für die Aufsicht verantwortlich bleibt. Ich bin kein Jurist und das ist keine Rechtsberatung, aber praktisch ist es einfach: Wenn du die Liste oben befolgst, tust du ohnehin, was von dir erwartet wird. In meinem Artikel über die Hinweispflicht für Chatbots steht genau, wie dieser Hinweis aussehen sollte.

Kostet dich diese Begrenzung die Zeitersparnis?

Das ist die häufigste Frage, und die Antwort ist nein. Die Arbeit steckt nicht im letzten Klick, sondern in allem davor. Nimm ein Angebot: herausfinden, was der Kunde genau will, die richtigen Preise holen, den Text setzen, die Anhänge suchen. Das sind zwanzig Minuten. Auf Senden drücken sind drei Sekunden.

Und es gibt einen zweiten Gewinn, den du erst später merkst: Vertrauen. Eine Automatisierung, die nur vorbereitet, kannst du einschalten, ohne nachts wach zu liegen. Läuft sie nach einigen Wochen gut und stimmt jedes Mal, was sie vorlegt? Dann kannst du pro Aufgabe entscheiden, die Freigabe wegzulassen. Umgekehrt funktioniert es nicht: Wenn du groß anfängst und es geht einmal schief, liegt das ganze Projekt still.

Wo ich es einfach nicht machen würde

Es gibt Stellen, an denen ich einem Kunden aktiv abrate, einen Agenten selbstständig handeln zu lassen, auch wenn es technisch möglich ist. Wenn etwas per Hand besser bleibt, sage ich das. Ich verdiene dann weniger, du hast mehr davon.

• Bei Beschwerden oder Schäden. Da will ein Kunde einen Menschen, und du willst wissen, was zugesagt wurde.
• Bei Preisen, die pro Kunde oder Projekt abweichen. Marge ist zu wichtig für eine Faustregel.
• Bei allem, was an Sicherheit grenzt: technische Empfehlungen, Prüfungen, Garantiebedingungen.
• Bei einem Prozess, der intern noch nicht festgelegt ist. Automatisiere kein Chaos, du bekommst schnelleres Chaos.
• Bei einer Aufgabe, die du zweimal im Monat machst. Der Gewinn ist zu klein für die nötige Pflege.

Wie du das am Montag angehst

Dafür brauchst du kein Dreimonatsprojekt. Du brauchst ein Blatt Papier und eine halbe Stunde.

• Schreib die fünf Aufgaben auf, die am meisten Zeit fressen. Nicht was KI könnte, sondern wo du Zeit verlierst.
• Notiere hinter jeder Aufgabe: Kann ich einen Fehler hier zurückdrehen, ja oder nein?
• Fang bei den Ja-Aufgaben an. Die kann ein Agent komplett allein übernehmen.
• Bei den Nein-Aufgaben automatisiere nur die Vorarbeit, mit deiner Freigabe am Ende.
• Vereinbare für jede Automatisierung die sechs Punkte von oben, schriftlich, bevor gebaut wird.

Wenn du das tust, ist die Frage aus der Überschrift kein großes Thema mehr. Ein KI-Agent darf in deinem Betrieb genau das tun, was du aufgeschrieben hast, und das ist ein ganz anderes Gespräch als hoffen, dass es gut geht.