Agentische KI im Mittelstand: 10 Anwendungsfälle, Grenzen und Risiken von KI-Agenten

Agentische KI bezeichnet KI-Systeme, die eine Aufgabe selbstständig in mehreren Schritten erledigen. Ein KI-Agent antwortet also nicht nur wie ein Chatbot, sondern handelt: Er recherchiert, schreibt E-Mails oder trägt Daten in andere Programme ein. Dieser Ratgeber zeigt zehn mögliche Anwendungsfälle für den Mittelstand, jeweils mit der Stelle, an der ein Mensch freigibt. Er erklärt, wann ein Agent das falsche Werkzeug ist und welche Regeln gelten. Er ist anbieterneutral und nennt keine Produkte. Dieser Ratgeber ist keine Rechtsberatung.

Kurz zusammengefasst

• Begriff: KI-Agenten führen Aufgaben selbstständig in mehreren Schritten aus, ohne dass ein Mensch jeden Schritt bestätigt. Meist nutzen sie ein großes Sprachmodell (BSI).
• Rechtslage: Die KI-Verordnung (AI Act) definiert KI-Agenten nicht. Für sie gelten die Regeln für KI-Systeme, je nach Rolle und Risiko.
• Freigaben: Das BSI empfiehlt, wichtige Aktionen erst nach Bestätigung auszuführen, besonders bei finanziellen oder persönlichen Folgen.
• Prompt Injection: Versteckte Befehle in E-Mails, Dokumenten oder Webseiten können einen Agenten steuern. Einen absolut sicheren Schutz dagegen gibt es laut BSI derzeit nicht.
• KI-Hinweis: Kommuniziert ein Agent direkt mit Menschen, muss er sich seit dem 2. August 2026 als KI zu erkennen geben, außer das ist offensichtlich. Die Pflicht trifft den Anbieter (Artikel 50 Absatz 1).
• Entscheidungen über Menschen: Eine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung darf grundsätzlich nicht ausschließlich automatisiert fallen (Artikel 22 DSGVO). Ausnahmen gelten, wenn sie für einen Vertrag erforderlich ist, ein Gesetz sie erlaubt oder die Person ausdrücklich einwilligt.
• Falsches Werkzeug: Bei festen Regeln, seltenen Vorgängen und teuren, nicht umkehrbaren Fehlern passt ein Agent oft nicht.

Was ein KI-Agent ist

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt KI-Agenten als KI-Systeme, die nicht nur Antworten geben. Sie sollen eigenständig Aktionen ausführen, etwa im Internet recherchieren oder E-Mails versenden. Ein Chatbot erklärt etwa, wie man einen Flug bucht. Ein Agent sucht, bucht und trägt den Termin in den Kalender ein. Technisch beruhen KI-Agenten laut BSI meist auf großen Sprachmodellen (LLM). Sie planen einen Schritt, führen ihn aus, werten das Ergebnis aus und planen den nächsten.

Die KI-Verordnung kennt keinen eigenen Begriff für KI-Agenten. Sie beschreibt KI-Systeme aber als „für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt“ (Artikel 3 Nummer 1). „Agentische KI“ nennt sie seit Juli 2026 nur in einem Code-Verzeichnis für Konformitätsbewertungsstellen (Anhang XIV).

Regelbasierte Workflows, RPA und 20 Prozesse mit Bewertungsraster erklärt der Ratgeber KI-Automatisierung im Mittelstand.

10 Anwendungsfälle für den Mittelstand

Die Beispiele sind mögliche Abläufe, keine Messwerte. Die Freigabepunkte sind unser Vorschlag nach der BSI-Empfehlung, wichtige Aktionen erst nach Bestätigung auszuführen.

Besondere Regeln:

• Fall 3, 5 und 8: Schreibt der Agent selbst an Kunden, muss er sich als KI zu erkennen geben, außer das ist offensichtlich (Artikel 50 Absatz 1). Prüft ein Mensch die Entwürfe sorgfältig und sendet sie selbst, liegt laut Leitlinien der Kommission keine direkte Interaktion vor.
• Fall 4: Webseiten können versteckte Befehle enthalten. Geben Sie einem Recherche-Agenten deshalb keinen Zugriff auf vertrauliche Daten.
• Fall 5: Verteilt der Agent Aufgaben nach Verhalten oder persönlichen Merkmalen von Beschäftigten, kann er hochriskant sein (Anhang III Nummer 4 Buchstabe b).
• Fall 9: KI, die Bewerbungen sichtet, filtert oder bewertet, gilt in der Regel als hochriskant (Anhang III Nummer 4 Buchstabe a). Die Datenschutzkonferenz (DSK) nennt dazu einen Verstoß gegen Artikel 22 DSGVO: Eine KI wertet alle Bewerbungen aus und verschickt selbst die Einladungen zum Gespräch.

Wann ein KI-Agent das falsche Werkzeug ist

Die Tabelle ist eine redaktionelle Arbeitshilfe, kein gesetzlicher Maßstab.

Risiken und Schutzmaßnahmen

Menschliche Aufsicht und Freigaben

Je selbstständiger ein Agent arbeitet, desto schwerer lässt sich laut BSI nachvollziehen, was er tut. Das BSI empfiehlt deshalb, wichtige Aktionen erst nach einer Bestätigung auszuführen. Sein Leitfaden zu Angriffen auf Sprachmodelle nennt als Beispiel eine E-Mail, die der Nutzer vor dem Versand bestätigt oder blockiert.

Eine Freigabe hilft nur, wenn sie echt ist. Hat eine Entscheidung Rechtswirkung, genügt laut DSK eine lediglich formelle Beteiligung eines Menschen nicht. Zeitdruck darf nicht dazu führen, dass Ergebnisse ungeprüft übernommen werden.

Fehlerketten

Ein Agent plant jeden Schritt nach dem Ergebnis des vorigen. Ein falsches Zwischenergebnis wirkt deshalb weiter. Arbeiten mehrere Agenten zusammen, kann ein Angriff auf einen Agenten laut BSI auch andere Systeme beeinträchtigen. Begrenzen Sie Schritte, Beträge und Empfänger, und legen Sie fest, wann der Agent an einen Menschen übergibt.

Prompt Injection und missbrauchte Werkzeuge

Bei einer Prompt Injection verstecken Angreifer Befehle in Webseiten, Dokumenten oder E-Mails, etwa als unsichtbaren Text. Liest der Agent diese Inhalte, kann er die Befehle wie echte Anweisungen ausführen. Das BSI nennt eine E-Mail, die den Agenten anweist, alle künftigen E-Mails an eine andere Adresse weiterzuleiten. Laut BSI-Leitfaden gibt es derzeit keinen absolut sicheren Schutz gegen solche Angriffe, Restrisiken bleiben.

Das BSI warnt vor der „Lethal Trifecta“: Ein Agent hat Zugriff auf vertrauliche Daten, verarbeitet fremde Inhalte und kommuniziert mit externen Systemen. Der BSI-Leitfaden empfiehlt zu prüfen, ob sich das System so bauen lässt, dass es nie alle drei Merkmale zugleich hat.

Zugriffsrechte

Geben Sie einem Agenten nur die Rechte, die seine Aufgabe braucht. Kein Agent sollte laut BSI zugleich auf E-Mails, Bankkonto und persönliche Dateien zugreifen. Entwickler sollen laut BSI-Leitfaden davon ausgehen, dass alle Daten und Funktionen der Anwendung potenziell auch Angreifern zur Verfügung stehen.

Protokolle

Laut BSI-Leitfaden sind Monitoring und Logging die Grundlage, um verdächtige Aktivitäten zu erkennen. Das BSI empfiehlt, Protokolle regelmäßig zu prüfen. Auch das Gedächtnis eines Agenten kann laut BSI sensible Daten enthalten.

Gute Praxis, keine gesetzliche Liste:

• Für jede Aktion festlegen, ob sie eine Freigabe braucht. Zahlungen, Verträge und Löschungen immer.
• Rechte auf das Nötige begrenzen und dem Agenten ein eigenes Konto geben.
• Vor dem Start mit echten Fällen und mit manipulierten Testinhalten prüfen.
• Eine Person für Stichproben benennen und einen Rückfallplan ohne Agenten festlegen.

Was KI-Verordnung, DSGVO und Betriebsverfassung verlangen

KI-Verordnung (AI Act)

• Ihre Rolle: Nutzt Ihr Unternehmen einen fertigen Agenten in eigener Verantwortung im Beruf, ist es Betreiber (Artikel 3 Nummer 4). Entwickelt es einen Agenten oder lässt ihn entwickeln und nimmt ihn unter eigenem Namen in Betrieb, kann es Anbieter sein (Artikel 3 Nummer 3). Das gilt auch bei reinem Eigengebrauch (Artikel 3 Nummer 11).
• KI-Kompetenz: Anbieter und Betreiber ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals zu unterstützen (Artikel 4, geänderte Fassung seit 27. Juli 2026). Mehr im Ratgeber KI-Schulungspflicht nach dem AI Act.
• KI-Hinweis: Laut Leitlinien der Kommission fallen Agenten unter Artikel 50 Absatz 1, wenn sie mit Menschen interagieren können, etwa bei Buchungen oder Korrespondenz. Sie sollen offenlegen, dass sie eine KI sind und für wen sie handeln, etwa mit einem KI-Hinweis oben in der E-Mail. Die Pflicht gilt seit dem 2. August 2026 und trifft den Anbieter. Details im Ratgeber KI-Kennzeichnungspflicht.
• Hochrisiko: Anhang III nennt unter anderem KI für die Bewerberauswahl, die Aufgabenverteilung nach Verhalten oder persönlichen Merkmalen und die Kreditwürdigkeitsprüfung natürlicher Personen. Die Pflichten dafür gelten ab dem 2. Dezember 2027. Artikel 6 Absatz 3 nennt Ausnahmen, ein System mit Profiling von Personen bleibt aber hochriskant. Betreiber übertragen dann die menschliche Aufsicht Personen mit Kompetenz, Ausbildung und Befugnis (Artikel 26 Absatz 2). Automatisch erzeugte Protokolle bewahren sie mindestens sechs Monate auf, soweit sie diese kontrollieren (Artikel 26 Absatz 6).

DSGVO

Nach Artikel 22 DSGVO muss niemand eine Entscheidung hinnehmen, die ausschließlich automatisiert fällt und ihm gegenüber rechtliche Wirkung hat oder ihn ähnlich erheblich beeinträchtigt. Ausnahmen gelten, wenn die Entscheidung für einen Vertrag erforderlich ist, ein Gesetz sie erlaubt oder die Person ausdrücklich einwilligt. Bei Vertrag und Einwilligung muss die Person mindestens das Eingreifen eines Menschen erwirken, ihren Standpunkt darlegen und die Entscheidung anfechten können.

Verarbeitet ein Anbieter personenbezogene Daten in Ihrem Auftrag, gilt Artikel 28 DSGVO. Grundlage ist in der Regel ein Vertrag nach Artikel 28 DSGVO.

Hat eine Verarbeitung voraussichtlich ein hohes Risiko für Personen, ist vorab eine Datenschutz-Folgenabschätzung (DSFA) nötig (Artikel 35 Absatz 1). Die DSK-Liste für Unternehmen nennt dafür KI, die personenbezogene Daten verarbeitet, um die Interaktion mit Betroffenen zu steuern oder persönliche Aspekte zu bewerten (Nr. 11).

Betriebsrat

Gibt es einen Betriebsrat, muss der Arbeitgeber ihn rechtzeitig über die Planung von Arbeitsabläufen unterrichten. Das gilt ausdrücklich auch für den Einsatz von KI (§ 90 Absatz 1 Nummer 3 BetrVG). Bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung bestimmt sind, hat er ein Mitbestimmungsrecht (§ 87 Absatz 1 Nummer 6). Laut Bundesarbeitsgericht reicht es, dass die Einrichtung objektiv geeignet ist, solche Informationen zu erheben oder aufzuzeichnen (Beschluss vom 16.07.2024, 1 ABR 16/23).

Das kann Agenten betreffen, die Tickets, Touren oder Aufgaben einzelnen Beschäftigten zuordnen und protokollieren. Bei Hochrisiko-Systemen nach Anhang III am Arbeitsplatz informieren Arbeitgeber ab dem 2. Dezember 2027 zusätzlich Arbeitnehmervertreter und Beschäftigte vorab (Artikel 26 Absatz 7 KI-Verordnung).

Selbst bauen oder Anbieter beauftragen?

Fragen Sie jede Firma, ob sie eigene Agenten-Software verkauft. Fragen Sie auch, ob für Ihren Ablauf eine einfachere Automatisierung reicht.

Was ein KI-Agent kostet

Feste Marktpreise gibt es nicht. Diese Punkte bestimmen den Preis:

• Einmalig: Prozessanalyse, Anbindung an E-Mail, ERP oder CRM, Rechtekonzept, Tests, Schulung.
• Laufend: Lizenzen, Gebühren je Anfrage oder verarbeiteter Textmenge, Hosting und Wartung.
• Intern: Zeit für Freigaben, Stichproben und Protokolle, auch nach dem Start.

Ein Agent erledigt eine Aufgabe in mehreren Schritten. Bei Gebühren je Anfrage oder Textmenge steigen die Kosten deshalb mit der Zahl der Schritte. Vereinbaren Sie eine Obergrenze. Mehr in den Ratgebern KI-Kosten und Was kostet KI-Beratung?.

Förderung für KI-Agenten

Stand: Oktober 2026.

• KfW ERP-Förderkredit Digitalisierung: KI-Vorhaben zählen zur Stufe 3, wenn die KI eine wesentliche Rolle für das Ziel des Vorhabens spielt und unternehmensinterne Daten nutzt. Standardsoftware mit integrierten KI-Tools zählt nicht. Der Antrag läuft vor Beginn des Vorhabens über einen Finanzierungspartner.
• BAFA-Förderung von Unternehmensberatungen: Je nach Region 50 oder 80 Prozent von höchstens 3.500 Euro Beratungskosten, für Anträge bis 31.12.2026. Beraten muss ein beim BAFA registriertes Beratungsunternehmen. Beratung, die auf den Kauf von Waren oder Leistungen des Beraters selbst zielt, ist ausgeschlossen.
• European Digital Innovation Hubs: KMU können Leistungen wie Tests vor einer Investition kostenfrei oder vergünstigt erhalten, laut FAQ der Kommission.

Mehr unter Förderprogramme, KI-Förderung 2026 und Kostenlose KI-Beratung.

Anbieter für KI-Agenten finden

Firmen mit diesem Schwerpunkt zeigt die Seite KI-Automatisierung & KI-Agenten. Passend sind auch Generative KI & Sprachmodelle und KI-Governance, Datenschutz & AI Act. Alle Einträge stehen im Verzeichnis der KI-Berater, nach Bundesland unter KI-Beratung nach Region.

Fragen Sie jeden Anbieter: Welche Aktionen führt der Agent ohne Freigabe aus? Welche Rechte bekommt er? Wie testen Sie gegen Prompt Injection? Wie läuft der Prozess, wenn der Agent ausfällt? Weitere Fragen bietet der Ratgeber KI-Berater finden.

Häufige Fragen zu KI-Agenten

Was versteht man unter KI-Agenten?

KI-Agenten sind KI-Systeme, die Aufgaben selbstständig und in mehreren Schritten ausführen, ohne dass ein Mensch jeden Schritt bestätigt. Sie nutzen meist ein großes Sprachmodell und Schnittstellen zu anderen Programmen und zum Internet (BSI).

Was ist der Unterschied zwischen einem KI-Agenten und einem Chatbot?

Ein Chatbot beantwortet Fragen und entwirft Texte, handeln muss danach der Mensch. Ein KI-Agent führt die Aufgabe selbst aus. Bei einer Flugbuchung erklärt der Chatbot die Schritte, der Agent sucht, bucht und trägt den Termin ein (Beispiel des BSI). Dafür braucht ein Agent oft mehr Zugriffsrechte.

Was ist ein Beispiel für einen KI-Agenten im Unternehmen?

Ein Beispiel ist ein Agent im Rechnungseingang. Er gleicht Rechnung, Bestellung und Lieferschein ab und schlägt die Kontierung vor. Die Zahlung gibt die Buchhaltung frei, Zahlungsrechte bekommt der Agent nicht.

Was sind Multi-Agenten-Systeme?

In einem Multi-Agenten-System arbeiten mehrere spezialisierte KI-Agenten zusammen. Ein übergeordneter Agent, der Orchestrator, verteilt Teilaufgaben an die anderen. Laut BSI kann ein Angriff auf einen Agenten dann auch weitere Systeme beeinträchtigen. Verlässliche technische Standards, die die Integrität solcher Systeme garantieren, gibt es laut BSI bisher nicht.

Dürfen autonome KI-Agenten selbst entscheiden?

Nur in engen Grenzen. Eine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung darf nach Artikel 22 DSGVO grundsätzlich nicht ausschließlich automatisiert fallen. Ausnahmen gelten, wenn sie für einen Vertrag erforderlich ist, ein Gesetz sie erlaubt oder die Person ausdrücklich einwilligt. Bei Vertrag und Einwilligung kann die Person das Eingreifen eines Menschen verlangen. Für andere wichtige Aktionen, etwa mit finanziellen Folgen, empfiehlt das BSI eine Bestätigung vorab.

Muss sich ein KI-Agent als KI zu erkennen geben?

Ja, wenn er direkt mit Menschen kommuniziert und das nicht offensichtlich ist (Artikel 50 Absatz 1 KI-Verordnung, seit 2. August 2026). Die Pflicht trifft den Anbieter, also auch Ihr Unternehmen, wenn es den Agenten entwickelt oder entwickeln lässt und unter eigenem Namen in Betrieb nimmt. Laut Leitlinien der Kommission nennt der Agent auch, für wen er handelt. Prüft ein Mensch die Entwürfe sorgfältig und sendet sie selbst, liegt laut Leitlinien keine direkte Interaktion vor.

Wie schützt man KI-Agenten vor Prompt Injection?

Einen absolut sicheren Schutz gibt es laut BSI derzeit nicht, auch mit Gegenmaßnahmen bleiben Restrisiken. Das BSI empfiehlt, Rechte auf das Nötige zu begrenzen, wichtige Aktionen bestätigen zu lassen und Protokolle zu prüfen. Laut BSI-Leitfaden begünstigt es Angriffe, wenn ein Agent fremde Inhalte verarbeitet, auf private Daten zugreift oder nach außen kommuniziert.

Hinweis: Dieser Ratgeber beschreibt den Stand vom 20.10.2026. Er ersetzt keine Rechtsberatung. Wir prüfen ihn spätestens am 04.01.2027 erneut.