KI-Agent
Ein KI-Agent (englisch AI Agent) ist ein Programm, das mit Hilfe eines Sprachmodells eine Aufgabe selbstständig in mehreren Schritten erledigt. Er greift dabei auf Werkzeuge wie das CRM oder den Kalender zu und entscheidet anhand der Ergebnisse, was als Nächstes zu tun ist.
Wie ein KI-Agent arbeitet
Den Kern bildet ein Large Language Model. Es bekommt eine Aufgabe und eine Liste der Werkzeuge, die es nutzen darf. Daraus leitet es ab, welche Aktion als Nächstes sinnvoll ist, zum Beispiel einen Kundendatensatz abrufen oder einen Termin eintragen. Die Software führt die Aktion aus und gibt das Ergebnis an das Modell zurück. Diese Schleife läuft, bis das Ziel erreicht ist oder der Agent an einen Menschen übergibt.
Werkzeuge sind meist Schnittstellen zu anderen Programmen. Damit Modelle und Werkzeuge einheitlich zusammenfinden, hat Anthropic im November 2024 das Model Context Protocol (MCP) vorgestellt. Seit Dezember 2025 liegt das Protokoll bei der Agentic AI Foundation unter dem Dach der Linux Foundation und wird von vielen Anbietern unterstützt.
Wodurch sich ein Agent von Chatbot und Workflow unterscheidet
Ein klassischer Chatbot beantwortet Fragen. Ein Agent handelt: Er legt zum Beispiel Tickets an oder verschiebt Termine. Ein regelbasierter Workflow wiederum folgt immer demselben, vorher festgelegten Pfad. Der Agent wählt seinen Weg selbst und kommt deshalb auch mit Anfragen zurecht, die nicht ins Schema passen.
Diese Freiheit hat einen Preis. Agenten sind weniger vorhersehbar als feste Regeln und können sich irren. In der Praxis kombinieren wir deshalb oft beides: feste Workflows für den Standardfall und einen Agenten für die Schritte, die Textverständnis erfordern.
Worauf es beim Einsatz ankommt
Ein Agent sollte nur die Rechte bekommen, die er für seine Aufgabe braucht. Lesender Zugriff auf den Kalender ist etwas anderes als die Befugnis, Rechnungen zu verschicken. Bei Aktionen mit Folgen, etwa Zahlungen oder Nachrichten an Kunden, gehört eine Freigabe durch einen Menschen in den Ablauf.
Dazu kommt Prompt Injection, also Anweisungen, die etwa in einer E-Mail versteckt sind und den Agenten zu ungewollten Aktionen verleiten sollen. Die OWASP nennt in ihrer Top-10-Liste der Risiken für LLM-Anwendungen neben Prompt Injection auch übermäßige Handlungsbefugnis (Excessive Agency) als eigenes Risiko. Eng gefasste Rechte und Tests mit echten Beispielfällen gehören deshalb vor jeden Produktivbetrieb.
Beispiel: Unser eigener KI-Assistent sortiert E-Mails vor und schreibt Antwortentwürfe. Außerdem macht er aus Nachrichten, auch aus WhatsApp, konkrete To-dos. Das Muster dahinter eignet sich für viele Betriebe: Der Agent erledigt die Vorarbeit, die Entscheidung trifft ein Mensch.
