KI-Agenten im Einsatz: was in der Praxis schiefgeht und wie Sie es beheben, bevor es teuer wird

Ein Logistikunternehmen in den Niederlanden hat Anfang 2025 einen KI-Agenten eingesetzt, der die Kommunikation mit Lieferanten automatisch abwickeln sollte: E-Mails lesen, Antworten entwerfen, ein ERP-System aktualisieren, Ausnahmen markieren. Nach sechs Wochen zeigte sich, dass der Agent bestimmte Rechnungen unauffällig als "erledigt" markiert hatte, obwohl sie strittig waren. Niemand bemerkte es, bis ein Lieferant eskalierte. Der Agent hatte nicht im klassischen Sinne halluziniert. ErErThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → hatte seine Anweisungen exakt befolgt und eine plausible Schlussfolgerung gezogen, die sich als falsch erwies. Dieser Unterschied ist für jeden, der solche Systeme baut oder verantwortet, von enormer Bedeutung.

Solche Geschichten sind inzwischen häufig genug, um ein Muster zu bilden. KI-Agenten laufen produktiv in Finance, Legal, Operations und Customer Service. Die technische Leistungsfähigkeit ist weitgehend vorhanden. Die operative Reife in den meisten Organisationen nicht.

Vom Copilot zum Agenten: was sich tatsächlich ändert

Fast das gesamte Jahr 2023 und 2024 über war der dominierende Einsatz von LLMs im Unternehmen assistierend: Ein Mensch fragt, das Modell antwortet, der Mensch entscheidet, was mit dem Output passiert. Dieses Modell wird zumindest teilweise von agentischen Architekturen ersetzt, in denen das Modell Aktionen ausführt, Tools aufruft, aus externen Systemen liest und in sie schreibt und manchmal andere Modelle orchestriert, um eine Aufgabe zu erledigen.

Die praktische Definition eines Agenten, wie sie 2026 verwendet wird, ist ein System, das ein LLMLLMA Large Language Model is an AI system trained on vast text data to predict and generate language, enabling tasks like writing, summarizing, and answering questions.Vollständige Definition ansehen → mit einer Form von Memory verbindet, mit einem Satz Tools oder APIs, die es aufrufen kann, und mit einem Loop, der es ihm erlaubt, über mehrere Schritte hinweg zu planen und zu handeln, ohne einen Menschen dazwischen. OpenAIs Produkt Operator, Anthropics Ansatz mit Claudes Tool Use und Googles Agentspace spiegeln alle diese Richtung. Ebenso Microsofts Copilot Studio, mit dem Enterprise-Teams Agenten bauen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen, die sich mit internen Datenquellen verbinden und Aktionen innerhalb von Microsoft 365 und darüber hinaus ausführen (Microsoft ist hier ein Anbieter, die eigene Darstellung der Leistungsfähigkeit sollte also in diesem Kontext gelesen werden).

Am stärksten verändert hat sich in den letzten 18 Monaten die Zuverlässigkeit der zugrundeliegenden Modelle bei mehrstufigen Reasoning-Aufgaben, außerdem die Reife von Frameworks wie LangGraph und CrewAI, die Entwicklern mehr Kontrolle darüber geben, wie Agenten strukturiert sind, worauf sie zugreifen können und wann sie stoppen und einen Menschen fragen sollten.

Was sich nicht geändert hat: Agenten scheitern weiterhin lautlos. Sie tun sich weiterhin schwer mit unklaren Anweisungen, und zwar auf Weisen, die schwer vorhersehbar sind. Ihnen fehlt weiterhin echtes Urteilsvermögen dafür, wann eine Situation außerhalb ihrer Kompetenz liegt. Und sie haben weiterhin keinen inhärenten Anreiz, Unsicherheit zu markieren, es sei denn, Sie bauen das explizit ein.

Was das für den KI-Nutzer bedeutet

Die operative Frage ist nicht, ob man Agenten einsetzt. Für viele Workflows ist das Effizienzargument stark genug, dass die Frage längst entschieden ist. Die Frage ist, wie man sie einsetzt, ohne eine neue Kategorie operativer Risiken zu schaffen.

Aus dem, was Praktiker auf die harte Weise gelernt haben, sticht einiges heraus.

Der Scope ist die wichtigste Design-Entscheidung.Ein Agent, der Daten lesen und Outputs entwerfen darf, hat ein anderes Risikoprofil als ein Agent, der E-Mails senden, Datensätze aktualisieren oder Transaktionen ausführen darf. Der Impuls, Agenten breiten Zugriff zu geben, um sie nützlicher zu machen, ist nachvollziehbar, aber er verstärkt die Fehlermodi. Beginnen Sie mit Lesen und Entwerfen, nicht mit Lesen und Handeln. Erweitern Sie erst, wenn Sie beobachtbare Belege dafür haben, dass der Agent Edge Cases korrekt behandelt.

Logging und Observability sind nicht optional. Das klingt selbstverständlich und ist durchgehend unterentwickelt. Jede Aktion eines Agenten, jeder Tool-Call, jeder Entscheidungszweig sollte so geloggt werden, dass ein Nicht-Techniker es prüfen kann. Wenn Sie die Frage "was genau hat der Agent am Dienstag zwischen 9 und 11 Uhr gemacht" nicht beantworten können, arbeiten Sie blind. LangSmith (von LangChain, einem Anbieter) und Weights and Biases bieten beide Tracing-Tools für diesen Zweck, die Logging-Architektur sollte aber unabhängig von der Lösung eines einzelnen Anbieters entworfen werden.

Human-in-the-Loop-Checkpoints müssen designt werden, nicht improvisiert. Die Standardannahme in den meisten agentischen Deployments lautet, dass Menschen Probleme über die normalen Geschäftsprozesse bemerken. Das tun sie nicht zuverlässig. Der Agent, der Rechnungen als erledigt markierte, wurde nicht überwacht, weil niemand definiert hatte, was Überwachung in der Praxis bedeutet. Entscheiden Sie im Vorfeld, welche Aktionen eine menschliche Freigabe brauchen, verankern Sie diese Anforderung im Workflow des Agenten, und behandeln Sie jeden Versuch, sie zu umgehen, als Systemfehler und nicht als Feature.

Prompt EngineeringPrompt EngineeringPrompt engineering is the practice of designing and refining text inputs to guide large language models toward accurate, relevant, and reliable outputs.Vollständige Definition ansehen → für Agenten ist eine andere Disziplin als Prompt Engineering für Single-Turn-Anfragen. Agenten brauchen explizite Anweisungen zum Umgang mit Unsicherheit: wann stoppen, wann fragen, was tun, wenn ein Tool ein unerwartetes Ergebnis liefert. Ein System-Prompt, der für das Erstellen einer Zusammenfassung gut funktioniert, lässt sich nicht ohne Weiteres auf einen Agenten übertragen, der einen mehrtägigen Workflow steuert.

Bevor Sie Ihren Agenten-Footprint ausweiten

• Erfassen Sie jedes externe System, das der Agent berühren kann, und fragen Sie für jedes: Was passiert, wenn der Agent die plausibelste falsche Entscheidung trifft? Rechnung als erledigt markiert, E-Mail an den falschen Empfänger, Datensatz mit veralteten Daten aktualisiert: Das sind keine Edge Cases, das sind die Szenarien, gegen die Ihr Design stressgetestet werden sollte.
• Definieren Sie Scheitern explizit. Ein Agent, der stoppt und sagt "ich weiß nicht, wie ich damit umgehen soll", hat Erfolg, nicht versagt. Legen Sie Ihre Bewertungskriterien so an, dass sie angemessene Eskalation belohnen, nicht allein die Abschlussquote von Aufgaben.
• Benennen Sie für jeden Agenten in Produktion einen menschlichen Verantwortlichen. Kein Team, eine Person. Jemanden, dessen Aufgabe es ist, Logs zu prüfen, Anomalien zu erkennen und zu entscheiden, wann das Verhalten des Agenten so weit abgedriftet ist, dass ein Eingriff nötig ist.
• Behandeln Sie Agenten-Outputs in Bereichen mit hohem Risiko (Legal, Finance, Compliance) länger als Entwürfe mit Prüfpflicht, als es nötig erscheint. Der Druck, den menschlichen Review-Schritt zu entfernen, kommt früh. Widerstehen Sie ihm, bis Sie genug Produktionsdaten haben, um ihn zu rechtfertigen.
• Führen Sie regelmäßig adversariale Tests durch: Geben Sie dem Agenten absichtlich unklare oder widersprüchliche Inputs und dokumentieren Sie, wie er reagiert. Das ist aussagekräftiger als Benchmarking mit saubereren, klar formulierten Aufgaben.

Die Organisationen, die 2026 am meisten aus KI-Agenten holen, sind nicht die, die am schnellsten ausgerollt haben. Es sind die, die das erste Deployment als Lerninstrument und nicht als fertiges Produkt behandelt und die Observability-Infrastruktur gebaut haben, um daraus tatsächlich zu lernen. Diese Infrastruktur ist langweilig zu bauen und unglamourös im Unterhalt. Sie ist auch der Unterschied zwischen einem Agenten, der skaliert, und einem, der sechs Wochen lang unauffällig Probleme verursacht, bevor es jemand merkt.