KI und Software Einordnung
Nicht jeder Ablauf braucht einen KI-Agenten. Ein Rahmen, mit dem Sie entscheiden, wo feste Regeln reichen, wo ein KI-Schritt hilft und wo Freigaben nötig sind.
Der Begriff KI-Agent wird für sehr unterschiedliche Dinge verwendet: für einen Chat, der Fragen beantwortet, für ein Skript mit einem KI-Baustein und für Systeme, die selbstständig Werkzeuge bedienen. Für eine Entscheidung im Unternehmen ist diese Unschärfe ein Problem. Wer „wir brauchen einen Agenten“ sagt, meint oft etwas, das mit klassischer Software und einem gezielten KI-Schritt einfacher, günstiger und besser prüfbar wäre.
Anthropic, Entwickler des Sprachmodells Claude, unterscheidet in seinem Beitrag „Building effective agents“ zwei Formen: Workflows, bei denen Sprachmodelle und Werkzeuge über vorgegebene Codepfade gesteuert werden, und Agenten, bei denen das Modell seinen Ablauf und die Nutzung von Werkzeugen selbst bestimmt. Die Empfehlung dort lautet sinngemäß, die einfachste Lösung zu suchen und die Komplexität erst zu erhöhen, wenn es nötig ist. Agentische Systeme tauschen laut dem Beitrag oft Geschwindigkeit und Kosten gegen bessere Ergebnisse bei der Aufgabe. Dieser Tausch muss sich lohnen.
Für die Praxis hilft eine Einteilung in drei Stufen.
Feste Regeln. Klassische Software: Schnittstelle, Import, Prüfregeln. Gleiche Eingabe, gleiches Ergebnis. Geeignet, wenn die Eingaben strukturiert sind, etwa eine E-Rechnung, ein EDI-Auftrag oder ein Export aus der Warenwirtschaft.
Fester Ablauf mit KI-Schritt. Der Ablauf ist vorgegeben, an einer Stelle liest ein Sprachmodell unstrukturierte Angaben, etwa Positionen aus einem PDF oder Mengen aus einer Mail. Was danach passiert, folgt Regeln. Was unsicher wirkt, wird markiert.
Autonomer Agent. Das Modell entscheidet selbst, welche Schritte es in welcher Reihenfolge ausführt und welche Werkzeuge es nutzt, zum Beispiel Mails senden, Datensätze ändern oder im Netz suchen.
| Kriterium | Feste Regeln | Ablauf mit KI-Schritt | Autonomer Agent |
|---|---|---|---|
| Eingaben | Strukturiert | Teils unstrukturiert | Offen, wechselnd |
| Ablauf | Fest | Fest | Vom Modell gewählt |
| Ergebnis wiederholbar | Ja | Im KI-Schritt nicht immer | Nicht immer |
| Nachvollziehbarkeit | Hoch | Hoch mit Protokoll | Aufwendig |
| Typischer Einsatz | Abgleich, Übergabe | Belege lesen | Offene Recherche |
Für kaufmännische Abläufe wie Auftragserfassung, Rechnungsprüfung oder das Prüfen von Auftragsbestätigungen ist die mittlere Stufe oft die passende. Wie das bei Bestellungen per Mail aussehen kann, zeigt der Beitrag E-Mail-Bestellungen ins ERP übertragen.
Die folgenden Fragen helfen, für einen konkreten Ablauf die passende Stufe zu finden.
Achtung Rechte sind die eigentliche Entscheidung
Entscheidend ist weniger, ob KI im Spiel ist, sondern was das System ohne Rückfrage tun darf. Legen Sie fest, welche Aktionen nur mit Freigabe laufen: Zahlungen, Zusagen an Kunden, Änderungen an Stammdaten, Mails nach außen. Standardmäßig sollten solche Schritte bei Ihrem Team bleiben, bis Sie es anders festlegen.
Auftragsbestätigung von Lieferant B Beispiel mit erfundenen Testdaten, kein Kundenprojekt
Lieferant B schickt zu Bestellung B-2304 eine Auftragsbestätigung als PDF. Der Liefertermin weicht um zwei Wochen ab.
Für diesen Fall reicht die mittlere Stufe. Die Rückfrage an den Lieferanten und die Änderung des Termins sind Entscheidungen, die der Einkauf treffen sollte.
Eine sinnvolle Arbeitsteilung sieht so aus: KI liest, was unstrukturiert ankommt, und schlägt Werte vor. Feste Regeln prüfen diese Werte gegen bekannte Daten und entscheiden, ob ein Vorgang durchläuft oder zur Freigabe geht. Die Übergabe an Warenwirtschaft oder Buchhaltung geschieht über definierte Schnittstellen, nicht über freie Aktionen des Modells.
Diese Trennung hat einen praktischen Grund: Sprachmodelle liefern bei gleicher Eingabe nicht zwingend jedes Mal dasselbe Ergebnis. Nachgelagerte Regeln fangen unplausible oder regelwidrige Werte ab, statt sie still weiterzuverarbeiten. Sie erkennen aber nicht jeden Auslesefehler: Liest das Modell 60 statt 600 Stück und sind beide Mengen für den Artikel üblich, ist der Wert formal plausibel. Deshalb gehören Freigaben für risikoreiche Fälle und regelmäßige Stichproben dazu. Ergänzend empfiehlt OWASP als Schutz vor Prompt Injection, klare Ausgabeformate festzulegen und mit deterministischem Code zu prüfen, ob die Ausgaben diesem Format entsprechen. Das sichert die Form, nicht die Richtigkeit der Werte.
OWASP führt Prompt Injection in den „Top 10 for LLM Applications 2025“ an erster Stelle. Gemeint ist, dass Eingaben das Verhalten eines Sprachmodells auf unbeabsichtigte Weise verändern. Bei der indirekten Variante steckt die Anweisung in externen Inhalten, etwa in einer Website oder einer Datei, die das Modell verarbeitet. Laut OWASP müssen solche Anweisungen für Menschen nicht einmal sichtbar sein.
Für Unternehmensprozesse heißt das: Jede Mail und jedes PDF von außen ist eine mögliche Quelle. Ein Agent, der Lieferantenmails liest und zugleich Mails senden oder Daten ändern darf, ist entsprechend angreifbar. OWASP schreibt, es sei unklar, ob es narrensichere Methoden zur Vorbeugung gibt. Empfohlen werden unter anderem: dem Modell nur die nötigsten Rechte geben, Funktionen im Code ausführen statt sie dem Modell zu überlassen, risikoreiche Aktionen nur mit menschlicher Freigabe zulassen, externe Inhalte klar als solche kennzeichnen und regelmäßig Angriffe simulieren.
Ein fester Ablauf mit KI-Schritt verringert vor allem das Risiko unerlaubter Aktionen, weil das Modell dort nur Werte liefert und keine Aktionen auslöst, solange seine Ausgaben nicht ungeprüft als Anweisungen ausgeführt werden. Beseitigt ist Prompt Injection damit nicht: Eine versteckte Anweisung in einem Dokument kann weiterhin die ausgelesenen Werte verfälschen. Auch deshalb folgen auf den KI-Schritt Prüfregeln und Freigaben.
Anthropic weist darauf hin, dass die Eigenständigkeit von Agenten höhere Kosten und das Risiko sich aufsummierender Fehler mit sich bringt. Ein falscher Zwischenschritt wird zur Grundlage des nächsten. Empfohlen werden dort ausführliche Tests in abgeschotteter Umgebung und geeignete Schutzvorkehrungen. Als übliche Bausteine nennt der Beitrag zudem Haltepunkte für menschliche Rückmeldung und Abbruchbedingungen wie eine Höchstzahl an Durchläufen.
Ob ein KI-Schritt zuverlässig genug ist, zeigt nur ein Test mit echten Vorgängen aus Ihrem Alltag, gern anonymisiert. Sammeln Sie dafür eine Auswahl typischer und schwieriger Fälle, legen Sie vorher fest, was als richtiges Ergebnis gilt, und vergleichen Sie. Wichtig ist dabei nicht nur, wie oft das System richtig liegt, sondern ob es erkennt, wann es unsicher ist. Wie ein solcher Test in eine Zusammenarbeit eingebettet sein kann, beschreiben wir unter Zusammenarbeit.
Vor der Wahl der Bauweise klären
Die Frage „Agent oder klassische Software“ ist meist eine Frage nach der Aufteilung. Feste Regeln übernehmen alles, was sich prüfen lässt. KI liest dort, wo sonst ein Mensch lesen müsste. Ein autonomer Agent ist für offene Aufgaben gedacht, bei denen sich der Weg nicht vorab festlegen lässt. In kaufmännischen Abläufen mit Geld, Zusagen und Stammdaten lohnt sich dieser Schritt oft nicht. Wer mit der einfachsten passenden Bauweise beginnt, enge Rechte vergibt und an echten Vorgängen testet, kann später immer noch erweitern.
Geschrieben von Julius Sorgner, Gründer von Sortex AI. Erstmals veröffentlicht am .
Zeigen Sie uns im 20-Minuten-Prozesscheck einen echten Vorgang. Sie erfahren offen, was sich automatisieren lässt und ob es sich lohnt.
Kostenlosvertraulichnichts vorbereiten
Lieber direkt? Rufen Sie an unter +49 152 55612505 oder schreiben Sie an julius@sortexai.com.
Belege und Abgleich Leitfaden
Ein Abgleich gegen den Lieferschein reicht oft nicht. Worauf es beim Abgleich von Rechnung, Bestellung und Wareneingang ankommt und wo Ihr Team entscheiden sollte.
Auftragsabwicklung Leitfaden
Bestellungen per Mail lassen sich auslesen, prüfen und als Auftragsentwurf vorbereiten. Entscheidend ist, an welchen Stellen Ihr Team freigibt und warum.