Lizenz zum Handeln: Kontrolle über KI-Agenten im Unternehmen
Wenn Software beginnt, in Ihrem Namen zu handeln: Wer autorisiert das, und wer kann es später nachprüfen?
Der Agent, der in Ihrem Namen handel
Ein KI-Agent ist mehr als ein Chatbot, der lediglich Fragen beantwortet: Er kann selbstständig Aktionen ausführen, etwa E-Mails sortieren, Termine buchen, Tickets bearbeiten, sowie Dateien erstellen oder löschen. Obwohl dies an vielen Stellen Prozesse stark beschleunigen kann, eröffnet es eine Vielzahl neuer Risiken. Stellen Sie sich zum Beispiel vor, Nora, Mitarbeiterin in Ihrem Unternehmen, übergibt die Pflege ihres überquellenden Postfachs an einen solchen Agenten mit der Aufgabe “einsortieren, Wichtiges markieren, den Rest aufräumen”. Irgendwo im Netz liest der Agent den gut gemeinten Rat, alle E-Mails älter als 30 Tage zu löschen und beginnt zu löschen. Über einfache Nachrichten im Chat lässt er sich nicht stoppen. Den passenden Abbruch-Befehl kennt niemand im Team.
Alles nur Theorie? Nein! Genau das ist bereits passiert, und ausgerechnet einer Fachfrau für KI-Sicherheit. Eine Bereichsleiterin bei den Meta Superintelligence Labs gab einem KI-Agenten Zugriff auf ihr Postfach, mit der klaren Vorgabe, nichts ohne ihre Bestätigung zu tun. Als das Postfach zu groß wurde, ging diese Regel im Verlauf verloren, und der Agent löschte Hunderte E-Mails. Ihre wiederholten Stopp-Befehle ignorierte er. Beenden ließ er sich erst direkt am Rechner.[1] Für ein Unternehmen oder eine Behörde steht dabei nicht der Komfort auf dem Spiel, sondern Daten, Fristen und Nachweispflichten und somit auch das Vertrauen in zentrale Unternehmensprozesse.
Die Lücke: vier Fragen, die heute niemand beantwortet
Sobald ein Agent in Ihrem Namen handelt, müssen vier Fragen jederzeit eine klare Antwort haben.
- Wer hat den Agenten beauftragt und trägt die Verantwortung?
- Welcher Agent hat gehandelt (welches Modell, welche Regeln, welche Version)?
- Was hat der Agent tatsächlich getan?
- Und lässt sich das alles im Nachhinein belegen?
Für Menschen ist das längst geregelt: Ein Login weist nach, wer jemand ist, und Berechtigungen legen fest, was er tun darf. Für einen KI-Agenten, der im Auftrag eines Menschen handelt, fehlt dieses Gerüst. Nirgends steht verbindlich fest, welcher Agent im Namen von wem was tun darf, wie lange diese Erlaubnis gilt und wie sich hinterher überprüfen lässt, ob der Agent sich daran gehalten hat.
Das Prinzip: harte Barrieren statt Friktion
Die Antwort heißt Zero Trust, übertragen auf KI-Agenten. Ein Agent genießt kein Vertrauen, nur weil er im eigenen System läuft. Erlaubt ist ausschließlich, was ausdrücklich erlaubt wurde. Zu Beginn besitzt er gar keine Rechte, und was er bekommt, gilt nur befristet. Jede erteilte Vollmacht ist an eine kryptografische Identität geknüpft und läuft nach kurzer Zeit von selbst ab.
Entscheidend ist, dass diese Grenzen technisch erzwungen werden und nicht nur als Bitte formuliert sind. Statt Mitarbeitende mit Warnhinweisen auszubremsen, wirken harte Barrieren im Hintergrund: Eine nicht freigegebene Aktion kann der Agent schlicht nicht ausführen. Jede Handlung, ob erlaubt oder abgelehnt, landet in einem fälschungssicheren Protokoll, das die vier Fragen im Nachhinein beantwortet.
Verifiable Agent Delegation: das Postfach-Beispiel
Zurück zum Postfach aus dem Beispiel. Mit Verifiable Agent Delegation (VAD) läuft dieselbe Aufgabe kontrolliert ab, Schritt für Schritt:
Regeln festlegen. Einmalig, bei der Definition eines neuen Anwendungsfalls, legt der Auftraggeber im Regelkatalog (PAP) fest, was der Agent darf: E-Mails lesen, verschieben, Ordner anlegen. Löschen ist bewusst ausgeschlossen.
Freigeben. Ein interner Verantwortlicher prüft die Regeln und gibt sie frei. Danach übersetzt der PAP sie aus einer lesbaren Form (ODRL) in eine maschinell prüfbare Richtlinie (Rego).
Delegieren. Beim Start bestätigt unsere Nutzerin Nora die Rechte über den Identitäts- und Delegationsdienst (IDS) ihrer Organisation. Die Übertragung landet im fälschungssicheren Protokoll (T-Log), damit später belegbar ist, wer was freigegeben hat.
Ausführen und prüfen. Der Agent darf auch bei einem externen Anbieter laufen, etwa bei OpenAI. Jede Aktion des Agenten läuft durch einen Kontrollpunkt, der wie ein Türsteher jede Anfrage abfängt: das Gateway (technisch ein Policy Enforcement Point/PEP). Bevor es etwas durchlässt, fragt es eine zentrale Prüfstelle, ob die Aktion nach den Regeln erlaubt ist (den Policy Decision Point/PDP). Erlaubtes wird ausgeführt und im Transaction-Log (T-Log) protokolliert, ein Löschversuch abgelehnt und ebenfalls festgehalten.
[caption id="attachment_3519" align="alignnone" width="150"]
Abbildung: Kontrollierte Delegation an einen externen KI-Agenten mit Verifiable Agent Delegation (VAD)[/caption]
Das Ergebnis: Selbst wenn der Agent die Ordner chaotisch anlegt, geht keine einzige E-Mail verloren. Weil das T-Log jede einzelne Aktion festhält, also welche Mail wohin verschoben wurde, lässt sich hier jeder Schritt nachvollziehen und wieder zurücknehmen. Über eine Verifier-UI kann unabhängig geprüft werden, wer was freigegeben und getan hat.
Mehr als ein Anwendungsfall
Das gezeigte Postfach ist nur eine Anwendung von VAD, das Framework lässt sich für die Automatisierung der Zukunft erweitern. So lassen sich ganze Prozesse verwalten, mit den zugehörigen Prompts, Beschreibungen und einem passenden Default-Policy-Set. Mit VAD ermöglichen wir die sichere Berechtigung und Nachweis der ausgeführten Aktionen. Dies ist der Grundstein, um Themen wie der Schutz personenbezogener Daten (PII) oder die Vertraulichkeit des Modells, etwa über Confidential Computing, in der Zukunft zu lösen.
Was jetzt?
KI-Agenten werden bald in Ihrem Namen handeln, ob Sie wollen oder nicht. Die Frage ist nicht, ob Sie sie einsetzen, sondern ob Sie dabei die Kontrolle behalten.
Genau darauf zielt auch die Regulierung: Der EU AI Act verlangt abhängig vom Risiko menschliche Aufsicht, Transparenz und eine lückenlose Protokollierung der Systemaktivitäten. NIS-2 fordert klare Verantwortlichkeiten und belegbare Nachweise. Beides deckt sich mit dem, was VAD von Grund auf mitbringt: eine ausdrückliche, an eine Identität geknüpfte Delegation (wer hat beauftragt), technisch erzwungene Grenzen (was darf der Agent) und ein fälschungssicheres Protokoll (was ist tatsächlich passiert). Wer Delegation, Grenzen und Nachweis heute so regelt, erfüllt diese Anforderungen nicht nur auf dem Papier, sondern nachprüfbar – und nutzt Agenten ohne Kontrollverlust.
Dieser Blogartikel wurde von unserem Netzwerkpartner neXenio erstellt.
