Was verlangt ein KI-Agent im Betrieb an Rechten, Freigaben, Protokollen und Kostengrenzen?
Ein Agent handelt im Alltag selbst. Bevor Sie ihn freigeben, sollten vier Dinge schriftlich stehen: Rechte, Freigaben, Protokoll und Kostenobergrenze. Mit Optionenvergleich und der Möglichkeit, nichts zu ändern.
Angenommen, der Pilot lief ordentlich, der Anbieter schickt den Vertrag für den Regelbetrieb, und Ihr IT-Leiter fragt mit welchem Konto sich der Agent künftig im Warenwirtschaftssystem anmelden soll. Diese Frage entscheiden Sie, nicht der Anbieter. Dieser Beitrag klärt, was ein Agent im laufenden Betrieb an Rechten, Freigaben, Protokollen und Kostengrenzen verlangt, und wann sich dieser Aufwand für Ihren Prozess nicht lohnt.
Ich trenne dabei technische Machbarkeit von Wirtschaftlichkeit. Ob sich eine Grenze einrichten lässt, ist die technische Frage. Ob jemand sie regelmäßig pflegt und liest, ist die wirtschaftliche.
Welche Rechte und Freigaben braucht ein Agent, bevor er Folgenreiches tut?
Das OWASP Gen AI Security Project führt unter „Excessive Agency“ (LLM06:2025) als Ursachen auf: zu viele Funktionen, zu weitreichende Berechtigungen und zu viel Autonomie. Als Gegenmaßnahmen nennt OWASP, die aufrufbaren Erweiterungen auf das notwendige Minimum zu begrenzen, die Autorisierung in den nachgelagerten Systemen zu prüfen, statt dem Modell die Entscheidung zu überlassen, und bei folgenreichen Aktionen vorab einen Menschen zustimmen zu lassen („human-in-the-loop“). Als Beispiel nennt OWASP, dass ein Nutzer jede vom Agenten entworfene Mail selbst prüft und auf „Senden“ klickt.
Das BSI nennt auf seiner Seite für Verbraucherinnen und Verbraucher zu KI-Agenten das Prinzip der minimalen Rechte als entscheidend und rät, besonders auf Aktionen mit finanziellen oder persönlichen Konsequenzen zu achten.
Aus unserer Sicht ist es sinnvoll, dem Agenten ein eigenes Konto zu geben und nie das Konto eines Mitarbeiters. Er startet mit Leserechten, und jedes Schreibrecht wird einzeln begründet. Zahlungen, Löschungen und Nachrichten an Kunden laufen über eine menschliche Freigabe vor der Ausführung. Das ist eine eigene Bewertung, keine Aussage der genannten Quellen.
Als Prüffrage an den Anbieter taugt die Reihenfolge der Regeln. Laut der Claude-Code-Dokumentation von Anthropic (abgerufen 2026) werden Rechte-Regeln in der Reihenfolge „deny“, „ask“, „allow“ ausgewertet, und der erste Treffer entscheidet. Eine Erlaubnis kann ein Verbot also nicht aufheben. Fragen Sie jeden Anbieter, ob das bei ihm genauso gilt. Das ist eine Frage zur Funktionsweise, keine Produktempfehlung.
Für die Aufsicht lohnt ein Blick in die KI-Verordnung. Laut Artikel 14 müssen die Aufsichtsmaßnahmen den Risiken, dem Grad der Autonomie und dem Kontext der Nutzung angemessen sein. Artikel 26 verlangt von Betreibern, die Aufsicht Personen mit Kompetenz, Ausbildung und Befugnis zu übertragen. Beide Artikel gelten für Hochrisiko-KI-Systeme. Ob Ihr Agent dazugehört, kann ich nicht beurteilen, und ich gebe keine Rechtsberatung. Das klärt eine rechtliche Prüfung. Als Messlatte nehme ich daraus mit: Je mehr Autonomie, desto mehr Aufsicht, und eine benannte Person trägt sie. Das NIST sagt es ähnlich: Rollen und Verantwortlichkeiten bei der Aufsicht müssen klar definiert und voneinander abgegrenzt sein (AI RMF 1.0, 2023).
Was muss das Protokoll enthalten, und wer liest es?
Das BSI schreibt: Je selbstständiger ein Agent agiert, desto schwerer ist nachzuvollziehen, was er genau tut. Die Behörde rät, regelmäßig hineinzuschauen, um ungewöhnliche Aktivitäten früh zu erkennen (BSI, Verbraucherseite, ohne Jahresangabe). OWASP empfiehlt, die Aktivität der Erweiterungen und der nachgelagerten Systeme zu protokollieren und zu überwachen.
Für Hochrisiko-Systeme geht die KI-Verordnung weiter. Laut Artikel 12 (AI Act Service Desk der Europäischen Kommission) müssen solche Systeme über ihre Lebensdauer die automatische Aufzeichnung von Ereignissen ermöglichen. Laut Artikel 26 bewahren Betreiber die automatisch erzeugten Protokolle für einen angemessenen Zeitraum von mindestens sechs Monaten auf. Auch das gilt nicht automatisch für Ihren Agenten. Als Maßstab für ein ordentliches Protokoll ist es trotzdem brauchbar.
Meine Bewertung: Ein Eintrag zeigt, welches Agentenkonto gehandelt hat, welche Aktion lief, mit welchem Ergebnis und wer freigegeben hat. Fehlt eine dieser vier Angaben, lässt sich im Streitfall schwerer belegen, was geschehen ist. Zusätzlich lohnt sich eine Kennzahl, die das NIST vorschlägt (AI RMF 1.0, 2023): wie oft und mit welcher Begründung Menschen die Ausgabe der KI überstimmen. Wir gehen davon aus, dass ein Anstieg dieser Kennzahl ein Hinweis darauf ist, dass der Agent für den Prozess weniger taugt als gedacht. Das ist nicht belegt. Fällt sie auf null, prüft vermutlich niemand mehr richtig. Auch das ist eine Annahme, keine belegte Tatsache.
Wirtschaftlich zählt, wer das liest. Ein Protokoll, das niemand liest, kostet Speicher und schützt nichts. Personenbezüge in den Einträgen klären Sie vorab mit Ihrem Datenschutzbeauftragten.
Wie begrenze ich, was der Agent im Betrieb kostet?
Anthropic schreibt in „Building effective agents“ (2024), die Autonomie von Agenten bedeute höhere Kosten und das Risiko sich aufschaukelnder Fehler. Der Leitfaden empfiehlt Abbruchbedingungen („stopping conditions“), etwa eine Höchstzahl an Durchläufen. OWASP nennt unter „Unbounded Consumption“ (LLM10:2025) Kontingente, Zeitlimits und Obergrenzen für die Zahl der Aktionen. Die Seite beschreibt vor allem Angriffe von außen. Ich nutze sie nur als Beleg für die Gegenmaßnahmen.
Wie das im Werkzeug aussieht, zeigt die CLI-Dokumentation von Anthropic zu Claude Code (abgerufen 2026). Die Option „—max-budget-usd“ stoppt einen Lauf, sobald die geschätzten API-Kosten den Betrag erreichen, und gilt nur im Print-Modus. Die Prüfung beruht auf einer Schätzung auf dem Rechner des Nutzers, die von der Rechnung abweichen kann. Kosten von Subagenten zählen mit, und die Grenze kann überschritten werden, weshalb die Dokumentation Spielraum empfiehlt. Meine Schlussfolgerung: Eine Obergrenze im Werkzeug ist eine Bremse, keine Garantie. Verlangen Sie zusätzlich eine Grenze, die an der Anbieterrechnung hängt, und lassen Sie die Abweichung monatlich von einer Person prüfen.
Für die laufenden Kosten nenne ich hier bewusst keine Faustzahl. Rechnen Sie aus unserer Sicht mit einzelnen Blöcken: Modellnutzung, Integration, Tests, Monitoring, Wartung und die Arbeitszeit der verantwortlichen Person. Jeden Block bewerten Sie für Ihren Prozess getrennt, und die Summe vergleichen Sie mit dem Aufwand, den der Engpass heute verursacht. Das ist meine Bewertung, kein Quellenbefund.
Agent, fester Ablauf oder nichts ändern: Was empfehle ich?
Option 1: Agent mit allen vier Grenzen. Vorteil: Er bewältigt Fälle, bei denen sich der nächste Schritt erst aus Zwischenergebnissen ergibt. Nachteile: mehr Betriebsaufwand und schwerere Nachvollziehbarkeit. Die Kosten schwanken. Laut silicon.de (2025) erwartet Gartner, dass über 40 Prozent der Projekte mit agentischer KI bis Ende 2027 eingestellt werden, unter anderem wegen steigender Kosten und unklarer wirtschaftlicher Vorteile; auch unzureichende Risikokontrolle wird genannt. Es handelt sich um eine Prognose, nicht um einen Befund.
Option 2: Fester Ablauf mit einzelnen KI-Schritten. Vorteil: Rechte, Freigaben und Kosten sind pro Schritt festgelegt, das Protokoll ist kurz. Nachteil: Er stößt an Grenzen, sobald Fälle stark variieren, und jede Abweichung verlangt eine Anpassung durch Menschen. Anthropic empfiehlt, die einfachste mögliche Lösung zu suchen, und merkt an, das könne bedeuten, gar keine agentischen Systeme zu bauen.
Option 3: Nichts ändern. Vorteil: keine neuen Risiken, kein Betriebsaufwand. Nachteil: Der Engpass im Prozess bleibt, und wenn er real ist, kostet das weiter Zeit. Das gilt nur, wenn er sich messen lässt.
Zuerst ist zu prüfen, ob ein fester Ablauf reicht. Meine Empfehlung: Bleiben Sie bei Option 2 oder 3, bis der Prozess nachweislich variable Fälle hat. Einen Agenten geben Sie erst frei, wenn Rechte, Freigabepunkte, Protokollinhalt und Kostenobergrenze schriftlich stehen und eine Person namentlich zuständig ist. Klären Sie außerdem vor der Entscheidung, wie der Anbieter Modelländerungen ankündigt und welche Fristen gelten. Auch „nicht investieren“ ist eine zulässige Empfehlung.