Es gibt in fast jedem Unternehmen einen Moment, in dem die Begeisterung für KI kippt. Er kommt nicht bei der ersten Demo, sondern etwa vier Wochen später. Der Assistent hat inzwischen Zugriff auf das Postfach, auf die Dateiablage und auf ein paar Berichte. Er ist wirklich nützlich geworden. Und dann fragt jemand in einer Runde: Was genau darf der eigentlich?
In diesem Moment stellt sich meistens heraus, dass niemand es genau weiß. Die Zugriffe wurden vergeben, als es schnell gehen musste, oft von unterschiedlichen Personen, meist großzügiger als nötig. Genau darin liegt das Risiko, und es hat nichts mit dem Modell zu tun.
Warum die Rechte großzügiger ausfallen als geplant
Das hat einen nachvollziehbaren Grund. Wenn ein Assistent an einer fehlenden Berechtigung scheitert, merkt man das sofort und es ärgert. Wenn er zu viele hat, merkt man es nie. Fehlende Rechte erzeugen Fehlermeldungen, überflüssige Rechte erzeugen Stille. Deshalb wandern Berechtigungen im Zweifel nach oben und nie zurück.
Dazu kommt eine Eigenheit, die es bei klassischer Software nicht gibt. Ein normales Programm tut genau das, was jemand programmiert hat. Ein Agent entscheidet im Rahmen seiner Möglichkeiten selbst, welchen Weg er nimmt. Man vergibt also nicht Rechte für einen bekannten Ablauf, sondern für einen Möglichkeitsraum. Wer das erste Mal darüber nachdenkt, findet den Gedanken unangenehm. Zu Recht.
Bei klassischer Software fragt man, was das Programm tut. Bei einem Agenten muss man fragen, was es tun könnte.
Die Trennung, die den größten Unterschied macht
Wenn man aus diesem Thema nur eine Regel mitnehmen will, dann diese: Lesen und Handeln sind zwei verschiedene Dinge und gehören unterschiedlich behandelt.
Ein Agent, der Daten liest, zusammenfasst, vergleicht und Vorschläge macht, kann im schlimmsten Fall falsch liegen. Das ist ärgerlich und korrigierbar. Ein Agent, der eine E-Mail verschickt, einen Datensatz ändert, eine Bestellung auslöst oder eine Datei löscht, erzeugt Tatsachen. Diese beiden Kategorien mit demselben Vertrauen zu behandeln, ist der häufigste Fehler.
In der Umsetzung heißt das nicht, dass ein Mensch jeden Schritt bestätigen muss. Das würde den Nutzen zerstören. Es heißt, dass verändernde Aktionen durch eine Schicht laufen, die klare Regeln kennt. Rechnungen bis fünfhundert Euro dürfen automatisch verbucht werden, darüber nicht. E-Mails an bekannte Kontakte gehen raus, an unbekannte Adressen nicht. Diese Regeln stehen im Code und nicht im Systemprompt, denn Code lässt sich nicht überreden.
Ein Vorgehen, das im Alltag funktioniert
- Aufgabe zuerst, Rechte danach. Beschreiben Sie in zwei Sätzen, was der Agent leisten soll. Erst dann fragen Sie, welcher Zugriff dafür nötig ist. Umgekehrt wird die Liste immer zu lang.
- Mit Lesezugriff anfangen und den Agenten zwei Wochen laufen lassen. Was er vorschlägt, macht ein Mensch. Dabei zeigt sich, wo er gut ist und wo nicht.
- Verändernde Aktionen einzeln freischalten, nicht als Paket. Jede bekommt eine Regel und eine Grenze.
- Ein Protokoll führen, das ein Fachbereich lesen kann. Wer hat was ausgelöst, mit welchem Ergebnis. Ohne das merkt man einen Fehler erst an seinen Folgen.
- Nach drei Monaten aufräumen. Welche Rechte wurden nie genutzt? Diese Frage stellt niemand von allein, deshalb gehört sie in den Kalender.
Die eigene Identität für den Agenten
Ein technisches Detail mit großer Wirkung: Ein Agent sollte nicht unter dem Konto eines Mitarbeiters laufen. Das passiert häufig, weil es beim Einrichten der bequemste Weg ist. Die Folgen zeigen sich später. Im Protokoll steht dann der Name eines Kollegen bei Aktionen, die er nie ausgelöst hat. Beim Ausscheiden dieses Kollegen fällt der Agent aus. Und die Rechte des Agenten sind automatisch die des Mitarbeiters, also fast immer zu viele.
Ein eigenes Konto mit eigenen, knapp bemessenen Rechten löst alle drei Probleme auf einmal. Der Aufwand dafür beträgt eine Stunde.
Was passiert, wenn etwas schiefgeht
Diese Frage gehört an den Anfang und wird meistens gar nicht gestellt. Ein Agent wird Fehler machen, so wie jeder neue Mitarbeiter Fehler macht. Entscheidend ist, ob sich ein Fehler zurücknehmen lässt. Eine falsch gesetzte Statusänderung ist harmlos, wenn man sie sieht und rückgängig machen kann. Sie ist teuer, wenn sie unbemerkt eine Rechnung auslöst.
Deshalb gehört zu jeder verändernden Aktion die Frage nach dem Rückweg. Gibt es einen? Wie lange dauert er? Wer merkt überhaupt, dass etwas zurückgenommen werden muss? Wo es keinen Rückweg gibt, gehört ein Mensch davor. Nicht aus Misstrauen gegenüber der Technik, sondern weil es bei unumkehrbaren Schritten auch bei Menschen so gehandhabt wird.
Wo sich der Aufwand am schnellsten rechnet
Nach unserer Beobachtung lohnen sich Agenten dort am meisten, wo heute jemand Informationen von A nach B trägt. Angaben aus einer E-Mail in ein Formular. Werte aus einem PDF in eine Tabelle. Ein Status aus einem System in ein anderes. Diese Tätigkeiten sind langweilig, fehleranfällig und in fast jedem Unternehmen reichlich vorhanden.
Das Schöne daran: Genau diese Aufgaben brauchen wenig Rechte. Lesen an einer Stelle, Schreiben an einer anderen, sonst nichts. Der Nutzen ist hoch und die Angriffsfläche klein. Wer mit KI anfangen will, ohne sich Sorgen zu machen, fängt hier an und nicht beim Assistenten, der alles darf.
- Lesen
- Breit genug für die Aufgabe, begrenzt auf die nötigen Quellen
- Schreiben
- Eng, mit Regeln und Grenzwerten im Code
- Versenden
- Nur an bekannte Empfänger, alles andere mit Freigabe
- Löschen
- Grundsätzlich nicht
Die letzte Zeile wird gelegentlich als übervorsichtig belächelt. Bisher hat sich noch niemand darüber beschwert, dass ein Agent zu wenig gelöscht hat.
