Der Agent hat die Anfrage verstanden, Kundendaten aus dem CRM geholt, eine Offerte vorbereitet und wegen der Auftragsgrösse 8 Prozent Rabatt vorgeschlagen. Der Text ist gut. Die Zahlen sehen plausibel aus. Jetzt fehlt nur noch „Senden“.
Genau dieser letzte Klick verändert den Charakter der Automation. Bis hierhin hat der Agent vorbereitet. Danach kommuniziert die Firma einen Preis an einen echten Kunden.
Viele KMU behandeln Human-in-the-Loop deshalb zu grob: Entweder darf der Agent gar nichts autonom, oder ein Mensch soll „irgendwo“ im Prozess kontrollieren. Praktischer ist ein klarer Dreischritt: Draft → Approve → Execute. Der Agent erstellt einen konkreten Handlungsvorschlag, eine berechtigte Person prüft die entscheidenden Punkte, und erst danach wird die Aktion technisch ausgeführt.
Das ist eine Architektur-Empfehlung, keine gesetzlich vorgeschriebene Universalmethode. Ihr Wert liegt darin, Folgen sichtbar zu machen, bevor sie nach aussen gehen.
Der AI Agent Draft Approve Execute Pattern trennt Denken von Verpflichtung
Ein Sprachmodell kann hervorragend Informationen zusammenführen und einen Entwurf erzeugen. Die geschäftliche Autorität, einen Preis zu versprechen, eine Zahlung auszulösen, einen Vertrag zu verschicken oder einen Kundendatensatz zu löschen, ist eine andere Sache.
NISTs AI Risk Management Framework betont Governance und den laufenden Umgang mit AI-Risiken. Die Konvention des Europarats nennt unter anderem Transparenz, Aufsicht, Verantwortlichkeit und Zuverlässigkeit als relevante Prinzipien. Daraus folgt nicht, dass jedes KMU jeden Agentenschritt manuell genehmigen muss. Es stützt aber den Grundgedanken, dass Kontrolle an den Konsequenzen ausgerichtet werden sollte.
Ein guter Entwurf enthält deshalb nicht nur das Ergebnis. Er zeigt auch die Entscheidungsbasis: Kundendaten, relevante Regel, berechneter Preis, Abweichung vom Standard und geplante Aktion.
Der Reviewer soll nicht raten müssen, was der Agent getan hat.
Nicht jede Aktion verdient denselben Approval
Wenn ein Mitarbeiter jede Rechtschreibkorrektur freigeben muss, wird Human-in-the-Loop zum Hindernis. Wenn er hingegen erst nach einer versendeten Offerte informiert wird, ist es kein Approval mehr.
Die nützlichste Grenze liegt kurz vor einer Aktion mit spürbarer Aussenwirkung.
Internes Tagging eines Leads kann unter klaren Regeln automatisch laufen. Ein vorbereiteter Termin-Vorschlag kann ebenfalls harmlos sein. Ein Rabatt ausserhalb der Standardspanne, eine verbindliche Buchung, eine Rückerstattung oder das Versenden sensibler Informationen gehört dagegen eher in einen Freigabeschritt.
Empfehlung: Definieren Sie drei Aktionsklassen: niedriges Risiko und reversibel; folgenreich, aber kontrollierbar; bindend oder schwer reversibel. Die Schwellen müssen zum Betrieb passen, nicht zu einer allgemeinen AI-Tabelle.
Beispiel: Eine Garage lässt den Agenten automatisch eine Empfangsbestätigung senden. Für eine Terminoption darf er einen Entwurf vorbereiten. Eine Zusage über Kosten oder Reparaturumfang braucht dagegen eine Person, weil Diagnose und Preis vom realen Fahrzeug abhängen.
Approval ohne Kontext ist nur ein Klickritual
Das schlechteste Interface zeigt: „Agent möchte Aktion ausführen. Genehmigen?“ Nach einigen Dutzend harmlosen Fällen klickt jeder auf Ja.
Eine brauchbare Freigabe zeigt die relevanten Unterschiede: Was will der Agent tun? Warum? Welche Daten hat er verwendet? Was ist gegenüber dem Standard ungewöhnlich? Welche externe Wirkung entsteht? Kann die Aktion nachher rückgängig gemacht werden?
Bei einer Offerte bedeutet das vielleicht: Standardpreis CHF 4'800; Agent schlägt CHF 4'416 vor; Grund: hinterlegte Rabattregel für Volumen; Grenzwert für automatische Freigabe: 5 Prozent; deshalb menschliche Prüfung.
So prüft der Mitarbeiter nicht den ganzen Text von null. Er beurteilt den Teil, der tatsächlich Entscheidung braucht.
Der Handover sollte ausserdem eine Alternative anbieten: approve, edit and execute, reject, escalate. Sonst landet jede Abweichung wieder in einem Nebenkanal per Teams oder WhatsApp und der Audit-Trail bricht.
Ein Ablauf, den ein kleines Team wirklich bedienen kann
Der Pilot braucht weniger Features als Disziplin:
- Eine konkrete Transaktion wählen. Zum Beispiel Offerte senden, Termin bestätigen oder CRM-Status ändern.
- Draft und Execute technisch trennen. Der Entwurf darf nicht denselben ungeprüften Call auslösen, der die reale Aktion committed.
- Freigaberegeln definieren. Betrag, Datentyp, Kundentyp, Abweichung oder Irreversibilität sind sinnvolle Trigger.
- Reviewer-Kontext begrenzen. Zeigen Sie die fünf bis sieben Informationen, die für diese Entscheidung notwendig sind, nicht den kompletten Agenten-Trace.
- Entscheidung protokollieren. Wer hat wann freigegeben, geändert oder abgelehnt?
- Ausführung bestätigen. Nach Approval muss das Zielsystem zurückmelden, ob die Aktion tatsächlich erfolgreich war.
Der letzte Punkt wird gern vergessen. Ein genehmigter Entwurf ist noch keine erfolgreich ausgeführte Aktion. Wenn die API danach fehlschlägt, braucht der Vorgang einen sichtbaren Status statt eines stillen „erledigt“.
Wann der Mensch bewusst aus dem Loop darf
Ein sicherer Prozess ist nicht maximal manuell. Nach einigen Wochen sehen Sie vielleicht, dass eine bestimmte Klasse von Aktionen stabil, reversibel und unter klaren Schwellen läuft. Dann kann die Freigabe für genau diese Klasse automatisiert werden.
Ein Beispiel wäre das Setzen eines internen Lead-Tags aus einer begrenzten Liste. Dagegen sollte eine erstmalige Bankverbindung, Löschung, Vertragszusage oder ungewöhnliche Preisentscheidung nicht nur deshalb autonom werden, weil der Agent „meistens richtig“ lag.
Messen Sie Approval-Rate, Edit-Rate vor Ausführung, Reject-/Escalation-Rate, Zeit vom Draft zur Entscheidung, Fehler nach genehmigter Ausführung und Anteil der Fälle, bei denen der Reviewer fehlenden Kontext melden musste.
Eine sehr hohe Approval-Rate kann gut sein. Sie kann aber auch bedeuten, dass niemand mehr prüft. Deshalb ist die Edit- und Eskalationsqualität mindestens so wichtig wie Geschwindigkeit.
Human-in-the-Loop funktioniert nicht durch einen beliebigen Menschen irgendwo im Flow. Die Person muss an der richtigen Grenze sitzen, relevante Information sehen und echte Wahlmöglichkeiten haben. Dann darf der Agent viel Vorarbeit übernehmen, ohne dass ein generierter Vorschlag automatisch zur geschäftlichen Zusage wird.
Die passenden Rechte beschreibt unser Beitrag zu Berechtigungen und Audit Logs. Für den Ernstfall ergänzt ein Not-Aus mit Rollback den Freigabeschritt.
Quellen
- NIST — AI Risk Management Framework 1.0
- NIST — Generative AI Profile
- Council of Europe — Framework Convention on AI
FAQ
Muss jede Agentenaktion genehmigt werden?
Nein. Niedrigriskante, reversible und klar definierte Aktionen können automatisiert werden. Die Freigabe gehört an folgenreiche Grenzen.
Was sollte im Approval-Screen stehen?
Geplante Aktion, relevante Daten, Abweichung vom Standard, Konsequenz und die wichtigsten Gründe — nicht der gesamte technische Trace.
Ist Human-in-the-Loop gesetzlich vorgeschrieben?
Nicht als universelle Regel für jede AI-Automation. Je nach Anwendung können rechtliche Anforderungen relevant sein; hier geht es primär um eine Sicherheits- und Governance-Empfehlung.
Was passiert, wenn die Ausführung nach der Freigabe fehlschlägt?
Der Vorgang muss als fehlgeschlagen oder offen sichtbar bleiben und darf nicht automatisch als erledigt gelten.
Wann kann man Approval später entfernen?
Wenn eine eng definierte Aktionsklasse nach Tests und realem Betrieb stabil, ausreichend reversibel und fachlich unkritisch ist.