Stufe 6: Agenten einsetzen

Ein Agent ist eine KI, die selbst entscheidet, welchen Schritt sie als Nächstes geht und welches Werkzeug sie dafür nimmt. Anthropic beschreibt den Unterschied so: In einem Workflow (Stufe 4) legt der Ablauf die Schritte fest. In einem Agenten wählt das Modell den Weg. OpenAI ergänzt in seinem Leitfaden (2025), dass ein Agent merkt, wann er fertig ist, und bei Problemen an den Menschen zurückgibt.

Das klingt nach Science-Fiction, ist im Betrieb aber ganz handfest. Ein Agent bekommt eine Reklamation, liest den Auftrag im Warenwirtschaftssystem nach, schaut in die Lieferscheine, prüft die Garantiebedingungen und legt einen begründeten Vorschlag zur Freigabe vor. Der Weg dahin ist jedes Mal ein wenig anders, und genau dafür sind Agenten da.

Woran ihr sie erkennt

• Agenten haben Rollen (zum Beispiel Reklamation, Lieferantenprüfung, Recherche) und eine festgelegte Liste von Werkzeugen, die sie nutzen dürfen.
• Vor jeder Änderung an einem Agenten läuft ein Testkatalog mit Beispielfällen und Sollergebnissen. Das sind die Evals aus Stufe 5, jetzt für ganze Abläufe.
• Guardrails (Leitplanken) sind technisch gesetzt: Eingangsfilter, Prüfung der Ausgabe, geringste nötige Rechte, Bestätigung vor allem Folgenreichen.
• Jeder Lauf hat ein Budget und eine Obergrenze an Schritten, und die Kosten je Lauf werden protokolliert.
• Ein Mensch gibt frei vor Versand, Zahlung und Löschen.

Was sie bringt

Agenten lohnen sich laut OpenAI vor allem in drei Lagen: bei Entscheidungen mit Ermessen (etwa Kulanz bei Reklamationen), bei Regelwerken, die schwer zu pflegen sind (etwa Lieferantenprüfung), und bei viel unstrukturiertem Material (etwa Schadensfälle mit Fotos, Mails und Notizen). Wo der Ablauf immer gleich ist, reicht die feste Automatisierung von Stufe 4.

Der Gewinn ist, dass auch die Aufgaben mit vielen Schritten und Abzweigungen vorbereitet werden, die bisher erfahrene Leute stundenlang gebunden haben. Die Entscheidung bleibt bei euch, die Vorarbeit wird erledigt.

Anwendungsfälle nach Branche

• Handwerk: Ein Agent bereitet aus Anfrage, Fotos und Kalender ein Angebot mit Terminvorschlag vor.
• Produktion: Lieferantenprüfung mit Zertifikaten, Lieferhistorie und Preisvergleich; Auswertung von Reklamationen über mehrere Systeme.
• Handel: Reklamationen mit Auftragsdaten, Versandstatus und Kulanzregeln bearbeiten, Vorschlag zur Freigabe.
• Gastro: Eventanfragen mit Raumbelegung, Menüvorschlägen und Kalkulation beantworten.
• Dienstleistung: Recherche-Agent stellt Marktinformationen zu einem Kunden vor dem Termin zusammen.
• Verwaltung: Anträge auf Vollständigkeit prüfen, fehlende Unterlagen benennen, Entwurf des Antwortschreibens.

Werkzeuge

• Ohne Programmieren: der KI-Agenten-Baustein in n8n, der niedrigste Einstieg. Dazu Copilot Studio für Microsoft-Betriebe und Langdock-Agenten.
• Mit Code: Claude Agent SDK, OpenAI Agents SDK, LangGraph (behält den Zustand und kann wieder aufsetzen), CrewAI (schnelle Prototypen mit Rollen).
• Anschlüsse: MCP (Model Context Protocol, 2024 von Anthropic vorgestellt) ist ein offener Stecker, über den ein Agent Werkzeuge und Daten anbindet, etwa euer Kundensystem oder den Kalender. Agent Skills sind Ordner mit Anleitungen und Material, die der Agent erst lädt, wenn er sie braucht. Für den Mittelstand ist das der greifbarste Baustein: Firmenwissen als Handgriff ablegen. Beide liegen heute bei einer Stiftung der Linux Foundation und sind herstellerübergreifend.
• Messen und Testen: Langfuse aus Berlin, selbst betreibbar auf einem EU-Server, dazu Promptfoo für Testkataloge.
• EU-Variante Modelle: Sprachmodelle über die EU-Regionen von Amazon Bedrock oder Google Vertex oder aus deutschen Rechenzentren bei STACKIT.

Aufwand und Zeit

Ein erster Agent für eine klar umrissene Aufgabe braucht einige Wochen, bis er verlässlich läuft. Der größte Teil davon sind Testfälle, Leitplanken und Feinschliff an den Werkzeugbeschreibungen. Ohne Testkatalog und Protokoll geht ein Agent bei uns nie in Betrieb.

Risiken

• Prompt Injection: Versteckte Anweisungen in Mails, Webseiten oder Dokumenten können einen Agenten umlenken. Sie steht auf Platz 1 der OWASP-Liste der größten Risiken für Sprachmodell-Anwendungen (2025). Gegenmittel sind geringste Rechte und Freigaben, weil sich das Problem nie ganz lösen lässt.
• Tool Poisoning: Invariant Labs zeigte 2025, dass in der Beschreibung eines MCP-Werkzeugs Befehle versteckt sein können, die das Modell befolgt und der Mensch nie sieht. Nutzt deshalb nur geprüfte Anschlüsse.
• Kosten: Agenten mit Nachdenk-Modus können ein Vielfaches einer einfachen Antwort kosten. Budget je Lauf, Schrittgrenze und günstige Modelle für einfache Teilschritte halten das im Griff.
• Verantwortung: Wer haftet für die Entscheidung des Agenten? Immer der Betrieb. Darum entscheidet bei Folgenreichem ein Mensch.

Einstieg in einem Tag

1. Einen bestehenden Ablauf aus Stufe 4 wählen, zum Beispiel den Eingang im Support-Postfach.
2. Einen Agenten-Schritt einbauen, der einordnet und je nach Fall den passenden Weg wählt. Das heißt Routing, eines der fünf Grundmuster, die Anthropic beschreibt.
3. Zehn echte Fälle aus dem letzten Monat als Testkatalog aufschreiben, mit dem Ergebnis, das ihr erwartet.
4. Den Agenten gegen diese Fälle laufen lassen, Abweichungen ansehen, Anleitung nachschärfen.

In der Woche danach bekommt der Agent zwei bis drei Werkzeuge (Kundensystem lesen, Kalender, Mailentwurf), der Testkatalog wächst auf 30 Fälle, jeder Schreibzugriff braucht eine Freigabe, und Kosten werden je Lauf protokolliert.

Der nächste Schritt

Auf Stufe 7: KI als Betriebssystem wachsen die einzelnen Agenten zu einem System zusammen. Es hat ein gemeinsames Gedächtnis, festgeschriebene Standards, Prüfer, die Regeln automatisch durchsetzen, und Läufe, die über Nacht arbeiten. Ihr seid bereit, wenn mehrere Agenten zuverlässig laufen und ihr merkt, dass jeder seine eigenen Regeln mitbringt.

Gesprächsfragen für den Termin

• Welche Aufgabe bei euch hat viele Schritte, und der Weg ist jedes Mal etwas anders?
• Welche Systeme müsste ein Agent dafür lesen, und wo dürfte er schreiben?
• Was darf ein Agent nie ohne Zustimmung tun?
• Woran würdet ihr erkennen, dass ein Agent gute Arbeit macht?
• Wie viel darf ein einzelner Lauf höchstens kosten?
• Wer bei euch schaut in die Protokolle, wenn etwas schiefgeht?