Was ist ein KI-Agent? Einfach erklärt mit Unternehmensbeispiel

„Wir haben jetzt auch einen KI-Agenten” höre ich in Kundengesprächen für ziemlich unterschiedliche Dinge: einen Chatbot mit neuem Namen, eine Zapier-Automatisierung mit einem KI-Baustein, oder tatsächlich ein System, das selbstständig E-Mails liest, eine Bestellung im ERP anlegt und bei Unklarheit einen Menschen fragt. Das ist kein Zufall – der Begriff wird derzeit für sehr Unterschiedliches verwendet, von Anbietern genauso wie von Kunden. Wer eine Kaufentscheidung oder ein Pilotprojekt darauf aufbaut, sollte wissen, was technisch tatsächlich dahintersteckt.

Dieser Artikel ordnet den Begriff für Geschäftsführung, Operations, IT und Fachbereiche in KMU: Was ist ein KI-Agent wirklich, aus welchen Teilen besteht er, wie nutzt er Werkzeuge, was unterscheidet ihn von Chatbot und klassischer Automatisierung – und wo hört das sinnvoll auf.

Direkt beantwortet: Was ist ein KI-Agent?

Ein KI-Agent ist ein System, in dem ein Sprachmodell selbstständig entscheidet, welche Schritte es unternimmt und welche Werkzeuge (Tools) es dafür nutzt – statt einem festen, vorprogrammierten Ablauf zu folgen. Er beobachtet das Ergebnis jedes Schritts und passt sein Vorgehen darauf an, bis das Ziel erreicht ist oder eine Grenze greift. Ein einfacher Chatbot antwortet nur; ein Workflow folgt starren Regeln; ein Agent plant und handelt innerhalb festgelegter Leitplanken.

Begriffe kurz geklärt

Vier Begriffe, die im Alltag oft durcheinandergeworfen werden:

• Chatbot/Assistent: beantwortet Eingaben mit Text. Ohne eigene Werkzeuge kann er nichts außerhalb des Gesprächs bewirken – er liest keine E-Mail, bucht keinen Termin, schreibt nichts in ein System.
• Workflow-Automatisierung (mit KI-Baustein): ein fest verdrahteter Ablauf mit definierten Schritten, in den an einer oder mehreren Stellen ein Sprachmodell eingebaut ist, etwa um einen Text zu klassifizieren oder zusammenzufassen. Die Reihenfolge der Schritte steht vorher fest.
• KI-Agent: ein System, das nicht nur Text erzeugt, sondern selbst entscheidet, welche Werkzeuge es in welcher Reihenfolge einsetzt, um ein Ziel zu erreichen. Die Reihenfolge steht vorher gerade nicht fest – der Agent plant sie während der Ausführung.
• Agentic AI / Multi-Agent-System: mehrere solcher Agenten, die zusammenarbeiten oder sich gegenseitig Aufgaben zuweisen. Das ist eine Erweiterung des Grundkonzepts, kein anderes Konzept – dazu mehr im Cluster-Artikel zu Multi-Agent-Systemen.

Anthropic, einer der Anbieter von Sprachmodellen und Autor eines vielzitierten Praxisleitfadens zum Thema, zieht die Grenze so: Workflows sind Systeme, in denen Modelle und Werkzeuge über vorprogrammierte Codepfade orchestriert werden; Agenten sind Systeme, in denen Modelle selbst steuern, wie sie ihre Aufgabe angehen und welche Werkzeuge sie dafür verwenden. Diese Unterscheidung ist im Alltag oft fließend – viele reale Systeme liegen irgendwo dazwischen –, aber als Denkmodell ist sie brauchbar, weil sie an der entscheidenden Stelle ansetzt: Wer trifft die Entscheidung über den nächsten Schritt, ein Mensch beim Programmieren oder das Modell zur Laufzeit?

Welche Bestandteile hat ein KI-Agent?

Vier Bausteine gehören in jedes ernstzunehmende Agentensystem dazu. Fehlt einer, ist es entweder kein Agent im engeren Sinn oder ein unfertiges, riskantes System.

Baustein	Aufgabe	Fehlt er, passiert Folgendes
Sprachmodell als Entscheidungszentrale	Interpretiert die Aufgabe, plant Schritte, wählt Werkzeuge	Ohne dieses Zentrum gibt es keine Planung – nur ein fest verdrahteter Ablauf
Werkzeuge (Tools)	Schnittstellen zu E-Mail, CRM, Datenbank, Suchmaschine, internen Systemen	Der Agent kann nichts außerhalb des Gesprächs bewirken – bleibt ein Chatbot
Feedback-Schleife	Prüft Zwischenergebnisse (Toolausgabe, Fehlermeldung) und passt den nächsten Schritt an	Der Agent merkt nicht, wenn ein Schritt schiefgelaufen ist, und macht blind weiter
Leitplanken (Kontrolle)	Berechtigungsgrenzen, Freigabepunkte, Abbruchbedingungen, Protokollierung	Fehler oder Fehlgriffe wirken ungeprüft nach außen – das größte praktische Risiko

Eigenes Bausteinmodell Philogic Labs, abgeleitet aus der Architekturbeschreibung von Anthropic und aus eigenen Umsetzungsprojekten.

In der Praxis ist der vierte Baustein der am häufigsten übersehene. Anbieter demonstrieren gerne die ersten drei – „schau, wie selbstständig das System plant und handelt” – und lassen die Frage offen, wer entscheidet, was der Agent überhaupt darf. Genau das ist aber die Frage, die für den Unternehmenseinsatz zählt.

Wie nutzt ein KI-Agent Werkzeuge?

Ein Werkzeug (Tool) ist im Kern eine dokumentierte Schnittstelle: eine Beschreibung, was die Funktion tut, welche Eingaben sie erwartet und wann sie sinnvoll ist – zum Beispiel „Suche eine Bestellung anhand der Bestellnummer” oder „Sende eine E-Mail an eine bestimmte Adresse mit Betreff und Text”. Der Agent bekommt diese Beschreibungen zur Verfügung gestellt und wählt zur Laufzeit selbst aus, welches Tool er wann mit welchen Parametern aufruft.

Konkret läuft das in vier Schritten ab:

1. Der Agent erhält eine Aufgabe und den aktuellen Kontext (bisherige Schritte, verfügbare Werkzeuge).
2. Er entscheidet, ob er direkt antworten kann oder ein Werkzeug braucht – und wenn ja, welches.
3. Das Werkzeug wird mit den vom Agenten gewählten Parametern aufgerufen; das Ergebnis fließt zurück in den Kontext.
4. Der Agent bewertet das Ergebnis und entscheidet über den nächsten Schritt – weiteres Tool, Rückfrage an einen Menschen, oder Abschluss der Aufgabe.

Wie gut das funktioniert, hängt stark von der Qualität der Werkzeugbeschreibung ab. Anthropic beschreibt das in der eigenen Praxisdokumentation so, dass Tool-Definitionen ähnlich viel Sorgfalt verdienen wie eine gute Bedienoberfläche für Menschen – ein schlecht beschriebenes Werkzeug führt zu falschen oder unnötigen Aufrufen, unabhängig davon, wie leistungsfähig das zugrundeliegende Modell ist. Das deckt sich mit meiner Erfahrung aus Umsetzungsprojekten: Die meisten frühen Fehlfunktionen liegen nicht am Modell, sondern an vagen oder widersprüchlichen Toolbeschreibungen.

Ein aktueller Trend in der Praxis ist die Standardisierung dieser Schnittstellen über das Model Context Protocol (MCP) – ein offenes Protokoll, mit dem Agenten sich an vorgefertigte Werkzeugsammlungen anbinden, statt jede Integration einzeln zu programmieren. Automatisierungsplattformen wie n8n haben entsprechende Anbindungen 2026 ausgebaut, sodass ein Agent etwa auf Notion, Linear oder andere Dienste zugreifen kann, ohne dass jede Verbindung von Hand gebaut werden muss. Für Unternehmen ändert das nichts an der Grundfrage – wer darf welches Werkzeug wann nutzen –, senkt aber den technischen Aufwand für die Anbindung.

Was unterscheidet ihn vom Chatbot?

Die praktische Abgrenzung lässt sich an drei Fragen festmachen:

• Kann das System selbst etwas bewirken, oder nur antworten? Ein Chatbot ohne Werkzeuge bleibt beim Text. Ein Agent mit Zugriff auf ein CRM kann einen Datensatz anlegen oder ändern.
• Steht der Ablauf vorher fest, oder wird er zur Laufzeit geplant? Ein Workflow mit KI-Baustein hat einen festen Pfad: Schritt 1, dann 2, dann 3. Ein Agent entscheidet den nächsten Schritt jeweils neu, abhängig vom bisherigen Ergebnis.
• Reagiert das System auf eine Eingabe, oder verfolgt es ein Ziel über mehrere Schritte? Ein Copilot unterstützt eine Person bei einer laufenden Aufgabe (z. B. Textvorschläge beim Schreiben). Ein Agent kann eine Aufgabe von Anfang bis Ende selbstständig bearbeiten, inklusive mehrerer Zwischenschritte.

Wichtig für die Erwartungshaltung: Diese drei Formen sind keine Rangfolge von „einfach” zu „gut”. Ein gut gebauter Workflow mit KI-Baustein ist für viele Aufgaben die bessere Wahl als ein Agent – berechenbarer, günstiger zu betreiben, leichter zu prüfen. Die Vertiefung dieser Entscheidung findet sich im Cluster-Artikel KI-Agent vs. Workflow; die Abgrenzung zu Chatbot und Copilot im Detail im entsprechenden Geschwisterartikel.

Praxisbeispiel: Auftragsbestätigung im Mittelstand

Ein Beispiel aus einem Projekt, an dem Grundzüge übertragbar sind (Details anonymisiert): Ein Großhändler bekam Bestellungen per E-Mail in unterschiedlichem Format – mal als Freitext, mal als angehängte Excel-Tabelle, mal mit unvollständigen Artikelnummern.

• Als reiner Chatbot hätte ein Mitarbeitender die Mail einfügen und um eine Zusammenfassung bitten müssen – nützlich, aber ohne Wirkung im System.
• Als klassischer Workflow hätte man feste Regeln gebraucht: „Wenn Anhang vorhanden, dann parse Excel nach Schema X” – das bricht bei jeder Abweichung vom erwarteten Format.
• Als Agent liest das System die Mail, erkennt selbstständig, ob die Bestellung als Text oder Anhang vorliegt, sucht fehlende Artikelnummern im Produktkatalog (Werkzeug 1: Katalogsuche), legt einen Entwurf im ERP an (Werkzeug 2: Auftrag anlegen) und stoppt vor der endgültigen Bestätigung, bis eine Mitarbeiterin den Entwurf freigegeben hat (Leitplanke: Freigabepunkt vor jeder nach außen wirkenden Aktion).

Der entscheidende Designpunkt war nicht die Modellwahl, sondern die Leitplanke: Der Agent legt an, aber bestätigt nichts selbstständig gegenüber dem Kunden. Diese eine Regel hat das Projekt von einem theoretisch eindrucksvollen Demo-System zu einem Werkzeug gemacht, dem das Team tatsächlich vertraut.

Umsetzung: Wie startet man mit einem KI-Agenten?

Ein realistischer Einstieg für KMU folgt vier Schritten:

1. Einen eng abgegrenzten Anwendungsfall wählen, bei dem ein Fehler tolerierbar oder leicht erkennbar ist – keine vollautomatische Kundenkommunikation als erstes Projekt.
2. Die benötigten Werkzeuge klar definieren und begrenzen. Je weniger Werkzeuge und je enger deren Berechtigungen, desto überschaubarer das Risiko und desto einfacher die Fehlersuche.
3. Einen Freigabepunkt vor jeder folgenreichen Aktion einbauen – Versand einer E-Mail, Buchung, Zahlung, Änderung an einem Kundendatensatz. Das ist keine Notlösung, sondern Teil eines seriösen Designs.
4. Protokollierung und Stichproben von Anfang an einplanen. Wer nicht regelmäßig prüft, was der Agent tatsächlich getan hat, merkt Fehlverhalten erst, wenn es teuer wird.

Wer das nicht selbst technisch umsetzen will oder kann: Wir prüfen im Rahmen unseres Beratungsangebots gemeinsam, ob ein Agenten-Use-Case für den eigenen Prozess sinnvoll und mit vertretbarem Risiko umsetzbar ist.

Risiken & Grenzen

Ein KI-Agent ist kein Selbstläufer, und die Autonomie, die ihn nützlich macht, ist zugleich seine größte Schwachstelle:

• Fehlerhafte Zwischenschritte. Ein Agent kann ein falsches Zwischenergebnis für richtig halten und darauf weiter aufbauen – der Fehler pflanzt sich fort, statt aufzufallen.
• Tool-Missbrauch und zu weite Berechtigungen. Je mehr ein Agent darf, desto größer der mögliche Schaden bei einer Fehlentscheidung oder einer manipulierten Eingabe. Sicherheitsbehörden warnen unabhängig voneinander vor genau diesem Muster: weitreichende Berechtigungen ohne ausreichende Kontrolle.
• Schleifen und Zeit-/Kostenexplosion. Ein Agent, der sein Ziel nicht erreicht, kann in Wiederholungsschleifen geraten und dabei unnötig viele Modellaufrufe erzeugen – ein praktisches Kostenrisiko, das bei reinen Chat-Anwendungen so nicht auftritt.
• Prompt Injection. Wenn ein Agent Inhalte aus externen Quellen liest (E-Mails, Webseiten, Dokumente), können darin versteckte Anweisungen sein, die versuchen, das Verhalten des Agenten zu manipulieren. Das ist ein aktives Forschungs- und Sicherheitsthema, kein gelöstes Problem.
• Nachvollziehbarkeit. Wenn niemand protokolliert, welche Schritte und Werkzeugaufrufe zu einem Ergebnis geführt haben, lässt sich ein Fehler im Nachhinein kaum rekonstruieren.

Das BSI ordnet generative KI-Modelle allgemein so ein, dass ihr Einsatz „neuartige IT-Sicherheitsrisiken” mit sich bringt und bestehende Bedrohungen verstärken kann – eine Einschätzung, die für Agenten mit Systemzugriff noch stärker gilt als für reine Text-Chatbots, weil ein Agent nicht nur Text ausgibt, sondern in echten Systemen handelt.

Rechtlich gilt zusätzlich der EU AI Act als Rahmen (Stand Juli 2026, keine Rechtsberatung): Er unterscheidet vier Risikostufen von verbotenen Praktiken bis zu minimalem Risiko. Ob ein konkreter Agenten-Einsatz in eine höhere Risikostufe fällt, hängt vom Einsatzbereich ab – etwa wenn ein Agent Vorentscheidungen im Personalwesen vorbereitet. Das ist im Einzelfall zu prüfen, nicht pauschal zu beantworten; verbindliche Einordnung liefert die Europäische Kommission oder eine Rechtsberatung.

Checkliste: Ist unser Vorhaben wirklich ein Agenten-Fall?

1. Der Ablauf lässt sich nicht vollständig vorher als feste Schrittfolge festlegen – sonst reicht ein klassischer Workflow mit KI-Baustein.
2. Es gibt mindestens ein Werkzeug, über das der Agent tatsächlich etwas außerhalb des Gesprächs bewirkt (Datenbank, System, E-Mail).
3. Wir haben definiert, welche Aktionen der Agent ohne Freigabe ausführen darf – und welche nicht.
4. Jede folgenreiche Aktion (Versand, Buchung, Zahlung, Datenänderung) hat einen menschlichen Freigabepunkt.
5. Wir protokollieren Schritte und Werkzeugaufrufe nachvollziehbar und prüfen Stichproben regelmäßig.
6. Wir haben geprüft, ob der Anwendungsfall unter höhere Risikostufen des AI Act fallen könnte.
7. Der erste Anwendungsfall ist eng abgegrenzt – kein „Agent für alles” als Einstieg.

Wenn du bei einem der Punkte unsicher bist, ist das kein Hindernis, sondern der Ausgangspunkt für ein Erstgespräch: Gemeinsam lässt sich in der Regel innerhalb kurzer Zeit klären, ob ein Agenten-Use-Case für euren Prozess passt oder ob ein einfacherer Ansatz reicht. Weitere Einordnung zu Multi-Agent-Systemen, Berechtigungen und Freigabeprozessen findest du im Cluster KI-Agenten.