Der Agent hat die Anfrage verstanden, Kundendaten aus dem CRM geholt, eine Offerte vorbereitet und wegen der Auftragsgrösse 8 Prozent Rabatt vorgeschlagen. Der Text ist gut. Die Zahlen sehen plausibel aus. Jetzt fehlt nur noch „Senden“.
Genau dieser letzte Klick verändert den Charakter der Automation. Bis hierhin hat der Agent vorbereitet. Danach kommuniziert die Firma einen Preis an einen echten Kunden.
Viele KMU behandeln menschliche Kontrolle deshalb zu grob: Entweder darf der Agent gar nichts autonom, oder ein Mensch soll „irgendwo“ im Prozess kontrollieren. Praktischer ist ein klarer Dreischritt: Entwurf → Freigabe → Ausführung. Der Agent erstellt einen konkreten Handlungsvorschlag, eine berechtigte Person prüft die entscheidenden Punkte, und erst danach wird die Aktion technisch ausgeführt.
Das ist eine Architektur-Empfehlung, keine gesetzlich vorgeschriebene Universalmethode. Ihr Wert liegt darin, Folgen sichtbar zu machen, bevor sie nach aussen gehen.
Entwurf, Freigabe und Ausführung trennen Vorbereitung von Verpflichtung
Ein Sprachmodell kann hervorragend Informationen zusammenführen und einen Entwurf erzeugen. Die geschäftliche Autorität, einen Preis zu versprechen, eine Zahlung auszulösen, einen Vertrag zu verschicken oder einen Kundendatensatz zu löschen, ist eine andere Sache.
NISTs AI Risk Management Framework betont Governance und den laufenden Umgang mit AI-Risiken. Die Konvention des Europarats nennt unter anderem Transparenz, Aufsicht, Verantwortlichkeit und Zuverlässigkeit als relevante Prinzipien. Daraus folgt nicht, dass jedes KMU jeden Agentenschritt manuell genehmigen muss. Es stützt aber den Grundgedanken, dass Kontrolle an den Konsequenzen ausgerichtet werden sollte.
Ein guter Entwurf enthält deshalb nicht nur das Ergebnis. Er zeigt auch die Entscheidungsbasis: Kundendaten, relevante Regel, berechneter Preis, Abweichung vom Standard und geplante Aktion.
Die prüfende Person soll nicht raten müssen, was der Agent getan hat.
Nicht jede Aktion braucht dieselbe Freigabe
Wenn ein Mitarbeiter jede Rechtschreibkorrektur freigeben muss, wird menschliche Kontrolle zum Hindernis. Wenn er hingegen erst nach einer versendeten Offerte informiert wird, ist es keine Freigabe mehr.
Die nützlichste Grenze liegt kurz vor einer Aktion mit spürbarer Aussenwirkung.
Internes Tagging eines Leads kann unter klaren Regeln automatisch laufen. Ein vorbereiteter Termin-Vorschlag kann ebenfalls harmlos sein. Ein Rabatt ausserhalb der Standardspanne, eine verbindliche Buchung, eine Rückerstattung oder das Versenden sensibler Informationen gehört dagegen eher in einen Freigabeschritt.
Empfehlung: Definieren Sie drei Aktionsklassen: niedriges Risiko und reversibel; folgenreich, aber kontrollierbar; bindend oder schwer reversibel. Die Schwellen müssen zum Betrieb passen, nicht zu einer allgemeinen AI-Tabelle.
Beispiel: Eine Garage lässt den Agenten automatisch eine Empfangsbestätigung senden. Für eine Terminoption darf er einen Entwurf vorbereiten. Eine Zusage über Kosten oder Reparaturumfang braucht dagegen eine Person, weil Diagnose und Preis vom realen Fahrzeug abhängen.
Freigabe ohne Kontext ist nur ein Klickritual
Das schlechteste Interface zeigt: „Agent möchte Aktion ausführen. Genehmigen?“ Nach einigen Dutzend harmlosen Fällen klickt jeder auf Ja.
Eine brauchbare Freigabe zeigt die relevanten Unterschiede: Was will der Agent tun? Warum? Welche Daten hat er verwendet? Was ist gegenüber dem Standard ungewöhnlich? Welche externe Wirkung entsteht? Kann die Aktion nachher rückgängig gemacht werden?
Bei einer Offerte bedeutet das vielleicht: Standardpreis CHF 4'800; Agent schlägt CHF 4'416 vor; Grund: hinterlegte Rabattregel für Volumen; Grenzwert für automatische Freigabe: 5 Prozent; deshalb menschliche Prüfung.
So prüft der Mitarbeiter nicht den ganzen Text von null. Er beurteilt den Teil, der tatsächlich Entscheidung braucht.
Die Übergabe sollte ausserdem eine Alternative anbieten: freigeben, ändern und ausführen, ablehnen, weitergeben. Sonst landet jede Abweichung wieder in einem Nebenkanal per Teams oder WhatsApp und der Audit-Trail bricht.
Ein Ablauf, den ein kleines Team wirklich bedienen kann
Der Pilot braucht weniger Features als Disziplin:
- Eine konkrete Transaktion wählen. Zum Beispiel Offerte senden, Termin bestätigen oder CRM-Status ändern.
- Entwurf und Ausführung technisch trennen. Der Entwurf darf nicht denselben ungeprüften Schnittstellenaufruf auslösen, der die reale Aktion verbindlich ausführt.
- Freigaberegeln definieren. Betrag, Datentyp, Kundentyp, Abweichung oder Irreversibilität sind sinnvolle Trigger.
- Informationen für die prüfende Person begrenzen. Zeigen Sie die fünf bis sieben Informationen, die für diese Entscheidung notwendig sind, nicht den kompletten Agenten-Trace.
- Entscheidung protokollieren. Wer hat wann freigegeben, geändert oder abgelehnt?
- Ausführung bestätigen. Nach Freigabe muss das Zielsystem zurückmelden, ob die Aktion tatsächlich erfolgreich war.
Der letzte Punkt wird gern vergessen. Ein genehmigter Entwurf ist noch keine erfolgreich ausgeführte Aktion. Wenn die API danach fehlschlägt, braucht der Vorgang einen sichtbaren Status statt eines stillen „erledigt“.
Wann die manuelle Freigabe bewusst entfallen darf
Ein sicherer Prozess ist nicht maximal manuell. Nach einigen Wochen sehen Sie vielleicht, dass eine bestimmte Klasse von Aktionen stabil, reversibel und unter klaren Schwellen läuft. Dann kann die Freigabe für genau diese Klasse automatisiert werden.
Ein Beispiel wäre das Setzen eines internen Lead-Tags aus einer begrenzten Liste. Dagegen sollte eine erstmalige Bankverbindung, Löschung, Vertragszusage oder ungewöhnliche Preisentscheidung nicht nur deshalb autonom werden, weil der Agent „meistens richtig“ lag.
Messen Sie Freigabequote, Änderungsquote vor Ausführung, Ablehnungs- und Eskalationsquote, Zeit vom Entwurf zur Entscheidung, Fehler nach genehmigter Ausführung und Anteil der Fälle, bei denen die prüfende Person fehlenden Kontext melden musste.
Eine sehr hohe Freigabequote kann gut sein. Sie kann aber auch bedeuten, dass niemand mehr prüft. Deshalb ist die Qualität der Änderungen und Eskalationen mindestens so wichtig wie Geschwindigkeit.
Menschliche Kontrolle funktioniert nicht durch einen beliebigen Menschen irgendwo im Ablauf. Die Person muss an der richtigen Grenze sitzen, relevante Information sehen und echte Wahlmöglichkeiten haben. Dann darf der Agent viel Vorarbeit übernehmen, ohne dass ein generierter Vorschlag automatisch zur geschäftlichen Zusage wird.
Die passenden Rechte beschreibt unser Beitrag zu Berechtigungen und Audit Logs. Für den Ernstfall ergänzt ein Not-Aus mit Rollback den Freigabeschritt.
Quellen
- NIST — AI Risk Management Framework 1.0
- NIST — Generative AI Profile
- Council of Europe — Framework Convention on AI
FAQ
Muss jede Agentenaktion genehmigt werden?
Nein. Niedrigriskante, reversible und klar definierte Aktionen können automatisiert werden. Die Freigabe gehört an folgenreiche Grenzen.
Was sollte in der Freigabeansicht stehen?
Geplante Aktion, relevante Daten, Abweichung vom Standard, Konsequenz und die wichtigsten Gründe — nicht der gesamte technische Trace.
Ist menschliche Kontrolle gesetzlich vorgeschrieben?
Nicht als universelle Regel für jede AI-Automation. Je nach Anwendung können rechtliche Anforderungen relevant sein; hier geht es primär um eine Sicherheits- und Governance-Empfehlung.
Was passiert, wenn die Ausführung nach der Freigabe fehlschlägt?
Der Vorgang muss als fehlgeschlagen oder offen sichtbar bleiben und darf nicht automatisch als erledigt gelten.
Wann kann die manuelle Freigabe entfallen?
Wenn eine eng definierte Aktionsklasse nach Tests und realem Betrieb stabil, ausreichend reversibel und fachlich unkritisch ist.